Proteção de dados
Política de privacidade
A CartPay trata dados pessoais como operadora, em nome da serventia contratante. Esta página diz o que tratamos, com que fundamento, por quanto tempo e como você exerce seus direitos.
Versão 1.0 · em vigor desde setembro de 2026
Encarregado de dados
Art. 41 da LGPD. É a pessoa que recebe reclamações, presta esclarecimentos e faz a interlocução com a Autoridade Nacional de Proteção de Dados.
- Nome
- Rafael Quinteiro
- Contato
- encarregado@cartpaybr.com.br
Prazo de resposta: até 15 dias, conforme art. 19 da LGPD. Pedidos feitos por usuários da plataforma podem ser abertos direto em /plataforma/privacidade, onde o prazo é contado pelo próprio sistema.
Quem é o quê: controlador e operador
A distinção não é formalidade — ela define quem responde por quê.
Controlador
A serventia
Decide quais dados trata e para quê. Os dados dos atos, das partes e dos emolumentos são dela, e continuam dela.
Operador
A CartPay
Trata em nome da serventia, seguindo as instruções dela e o contrato. Não usa esses dados para finalidade própria e não os comercializa.
O que tratamos, e com que base
Cada linha tem finalidade, fundamento legal e prazo. Não guardamos nada “por precaução”.
| Dado | Finalidade | Base legal | Retenção |
|---|---|---|---|
| Nome e e-mail de quem usa a plataforma | Identificar o acesso e registrar a autoria de cada ato | Execução de contrato (art. 7º, V) | Vigência do vínculo + 5 anos |
| Papel na serventia e alçada | Decidir o que cada pessoa pode aprovar, e até que valor | Execução de contrato (art. 7º, V) | Vigência do vínculo + 5 anos |
| Solicitações e aprovações de pagamento | Prestação de contas, conciliação e auditoria da serventia | Obrigação legal (art. 7º, II) | 5 anos após a competência |
| Registros de acesso: IP, navegador e horário | Provar autoria e investigar acesso indevido | Obrigação legal — Marco Civil, art. 15 | 12 meses (o mínimo legal é 6) |
| Contato deixado no formulário do site | Responder ao interesse comercial de quem procurou a CartPay | Diligências pré-contratuais a pedido do titular (art. 7º, V) | 2 anos, ou até o pedido de exclusão |
O que nunca guardamos
- Senha de banco do cliente — a autenticação bancária acontece no site da própria instituição
- Número de cartão de crédito — no máximo bandeira e quatro últimos dígitos
- Dado biométrico e prova de vida — ficam com a instituição financeira parceira
- CPF ou CNPJ digitado em campo de texto livre — o banco de dados recusa
Não é promessa de comportamento: campos de texto livre da plataforma recusam CPF e CNPJ por restrição do banco de dados, e há prova automatizada que falha se a restrição for removida.
Onde os dados ficam
Em servidores localizados em São Paulo, Brasil. Não há transferência internacional de dados, e portanto não se aplicam as cláusulas do art. 33 da LGPD.
Os serviços financeiros e de pagamento são prestados por instituição parceira autorizada e regulamentada. Quando essa integração estiver ativa, o acesso à conta é autorizado individualmente pelo titular da serventia, e pode ser revogado por ele a qualquer momento junto à instituição.
Seus direitos
Art. 18 da LGPD. Todos podem ser exercidos pelo contato do encarregado acima, sem custo.
-
Confirmação e acesso
art. 18, I e II
-
Correção de dado
art. 18, III
-
Anonimização ou bloqueio
art. 18, IV
-
Portabilidade
art. 18, V
-
Eliminação
art. 18, VI
-
Informação sobre compartilhamento
art. 18, VII e VIII
-
Revogação de consentimento
art. 18, IX
Incidentes
Havendo incidente de segurança que possa acarretar risco ou dano relevante, comunicamos a serventia contratante e, no que nos couber como operador, apoiamos a comunicação à ANPD e aos titulares no prazo legal. A responsabilidade primária de comunicar é do controlador — a serventia —, e a divisão exata está no contrato de tratamento de dados.
Normas que observamos
- Lei 13.709/2018 — Lei Geral de Proteção de Dados
- Lei 12.965/2014 — Marco Civil da Internet, art. 15 (registros de acesso)
- Provimento CNJ 149/2023 — Código Nacional de Normas do Foro Extrajudicial
- Provimento CGJ/SP 16/2025 — proteção de dados nos serviços extrajudiciais
- Provimento CNJ 88/2019 — prevenção à lavagem de dinheiro, no que toca à retenção
IBPD Pay — Instituto Brasileiro de Pagamentos Digitais Ltda. — CNPJ 63.746.359/0001-22 — Av. Professor Magalhães Neto, 1752, Sala 1407 — Pituba, Salvador/BA. Mudanças nesta política são publicadas nesta página com nova data de vigência. Alterações relevantes são comunicadas às serventias contratantes antes de entrarem em vigor.