1. Quem é responsável pelos seus dados
Esta política explica quais dados pessoais a TicketStart trata, para quê, com quem compartilha, por quanto tempo guarda e como você pode exercer seus direitos. Ela vale para o site ticketstart.com.br, as páginas públicas de evento, o checkout, as áreas logadas e os e-mails que enviamos.
A CBX2 Projetos Ltda. (CNPJ 68.935.974/0001-09, Rua Mira Rio, 02, 1º andar, Centro, Ibirataia/BA, CEP 45580-000), que opera a TicketStart, atua em duas posições, conforme a Lei nº 13.709/2018 (LGPD):
| Situação | Controlador | Papel da TicketStart |
|---|---|---|
| Sua conta, login, senha, papéis e a segurança da plataforma | TicketStart | Controladora |
| Pagamento, taxas, reembolso, contestação, carteira e repasses | TicketStart (com o Mercado Pago) | Controladora |
| Dados que você informa no formulário de inscrição de um evento, presença, check-in e certificados | O organizador do evento | Operadora — trata por conta do organizador e segundo as instruções dele |
| Contatos captados no estande, com a sua autorização | O expositor (e o organizador) | Operadora |
| Anúncios do organizador (pixels da Meta e do Google), com o seu aceite | O organizador, na conta de anúncios dele | Operadora — envia só o que ele configurou e você aceitou |
Na prática: o que é da plataforma, você resolve conosco; o que é do evento, o organizador decide — e nós ajudamos você a chegar até ele.
2. Quais dados tratamos
Coletamos o que você informa, o que o uso da plataforma gera e o que os parceiros de pagamento nos devolvem. Nada além do necessário para cada função.
| Categoria | Dados | Origem |
|---|---|---|
| Conta | Nome, e-mail, senha (guardada só como hash), papéis na plataforma e nos eventos, organização a que pertence | Você, no cadastro |
| Organização | Nome, CPF ou CNPJ e e-mail de contato; para repasses e retiradas de doações, os dados bancários ou a chave PIX e o nome e documento do titular | O organizador |
| Inscrição | Nome, e-mail e CPF do comprador; lote, quantidade, atividades e cupom; respostas ao formulário do evento, inclusive arquivos enviados; autorização (ou não) para expositores; o token do link de acesso à inscrição | Você, no checkout — o formulário é definido pelo organizador |
| Pagamento | Valor, meio (PIX ou cartão), parcelas, identificadores e situação do pagamento no Mercado Pago, data de liberação, estornos e contestações. Não guardamos número, validade nem código de segurança do cartão: eles são digitados em campos do Mercado Pago e viram um token de uso único | Você e o Mercado Pago |
| Presença | Horários de check-in e check-out, atividade, identificador do dispositivo da portaria, código de check-in online | A equipe do evento e você |
| Certificados | Nome do titular, evento, perfil (participante, palestrante…), carga horária, código de verificação e data de emissão | O organizador, a partir da inscrição e da presença |
| Contatos de estande | Nome, e-mail, telefone, empresa e cargo — só com a sua autorização | Você, na inscrição; o expositor, ao ler o crachá |
| Transmissão ao vivo | E-mail para o envio do link de acesso e o registro de quem recebeu acesso | Você |
| Uso e técnica | Endereço IP, navegador e sistema (user agent), páginas acessadas, data e hora; relatos de erro da aplicação (mensagem sanitizada e rota — sem respostas de formulário, tokens ou chaves); registros de auditoria de ações administrativas | Gerados pelo uso |
| Publicidade (só com aceite) | Visita à página do evento e ao checkout, valor da compra e o e-mail do comprador em SHA-256, enviados ao pixel da Meta e/ou do Google configurado pelo organizador | Gerados no navegador, depois do aceite |
Não coletamos dados sensíveis (saúde, biometria, convicção religiosa ou política etc.) por iniciativa própria. Se o organizador incluir no formulário uma pergunta desse tipo — por exemplo, restrição alimentar ou necessidade de acessibilidade —, a resposta é tratada por conta do organizador, para a finalidade do evento.
3. Para que usamos e com qual base legal
| Finalidade | Base legal |
|---|---|
| Criar e manter sua conta, autenticar o acesso, recuperar a senha, confirmar a troca de e-mail | Execução de contrato (art. 7º, V) |
| Registrar a inscrição, reservar a vaga, cobrar, confirmar o pagamento, emitir o voucher e enviar os e-mails da inscrição | Execução de contrato (art. 7º, V) |
| Entregar ao organizador os dados da inscrição e da presença; emitir o certificado | Execução de contrato (art. 7º, V) — o organizador é o controlador |
| Fazer o check-in, registrar a presença e calcular a carga horária | Execução de contrato (art. 7º, V) |
| Processar reembolsos, contestações, retenções e repasses; guardar os comprovantes | Execução de contrato (art. 7º, V), obrigação legal (art. 7º, II) e exercício regular de direitos (art. 7º, VI) |
| Manter registros fiscais e contábeis | Obrigação legal (art. 7º, II) |
| Prevenir fraude, garantir a segurança da plataforma, registrar auditoria e relatar erros da aplicação | Legítimo interesse (art. 7º, IX) e prevenção à fraude e segurança do titular (art. 11, II, g) |
| Compartilhar seus contatos com expositores | Consentimento (art. 7º, I), revogável |
| Carregar os pixels de anúncio do organizador e informar a compra com o e-mail em hash | Consentimento (art. 7º, I), revogável |
| Enviar o link de acesso à transmissão ao vivo | Execução de contrato (art. 7º, V) |
| Atender pedidos de titulares e de autoridades | Obrigação legal (art. 7º, II) |
Não usamos seus dados para publicidade própria, não vendemos dados e não tomamos decisões automatizadas que afetem seus direitos. A análise antifraude do pagamento é feita pelo Mercado Pago, conforme a política dele.
4. Com quem compartilhamos
| Quem | O quê | Por quê |
|---|---|---|
| O organizador do evento (e a equipe que ele autorizar) | Dados da inscrição, respostas ao formulário, presença e situação do pagamento — nunca dados do cartão | Realizar o evento: ele é o controlador |
| Mercado Pago (Mercado Pago Instituição de Pagamento Ltda.) | Nome, e-mail, CPF, valor e meio de pagamento; os dados do cartão, diretamente nos campos dele | Processar pagamentos, estornos e contestações |
| Supabase, Inc. | A base de dados e os arquivos enviados, armazenados em servidores na região de São Paulo (Brasil) | Hospedagem do banco de dados, autenticação e armazenamento |
| Provedores de hospedagem da aplicação e de e-mail | Registros técnicos de acesso; e-mails transacionais e seus destinatários | Manter o site no ar e entregar os e-mails |
| Expositores e patrocinadores | Nome, e-mail, telefone, empresa e cargo | Só com a sua autorização na inscrição, revogável |
| Meta Platforms e Google (pixels de anúncio) | Visita, compra com valor e o e-mail em SHA-256 | Só com o seu aceite no aviso de cookies, e só em eventos em que o organizador configurou um pixel |
| YouTube (Google) | Dados de quem assiste a uma transmissão ao vivo, conforme a política do YouTube | Transmissões feitas pelo canal do organizador |
| Autoridades públicas e Judiciário | O que for exigido | Cumprimento de ordem legal ou judicial |
6. Por quanto tempo guardamos
| Dados | Prazo |
|---|---|
| Conta | Enquanto a conta existir. Depois do pedido de encerramento, os dados da conta são eliminados ou anonimizados, exceto o que precisa ficar pelos prazos abaixo |
| Inscrições, pagamentos, reembolsos, contestações e repasses | 5 anos depois do fim do evento (prazos do Código de Defesa do Consumidor, art. 27, e da legislação fiscal), ou até o fim de uma disputa em andamento |
| Registros de presença | Enquanto o evento e os certificados dele existirem na plataforma, por conta do organizador |
| Certificados | Enquanto o certificado for válido: a página pública de verificação existe para que terceiros confirmem a autenticidade. A pedido do titular, o certificado pode ser revogado |
| Contatos de estande | Até a revogação da sua autorização, ou pelo prazo definido pelo organizador e pelo expositor, que são os controladores |
| Relatos de erro da aplicação | 30 dias |
| Registros de auditoria administrativa | 5 anos |
| Consentimentos e escolhas de cookies | No seu navegador, até você apagar |
7. Como protegemos
- Conexão criptografada (HTTPS/TLS) em todo o site e nos e-mails enviados pelo nosso servidor.
- Senhas guardadas apenas como hash; política mínima de 12 caracteres com maiúsculas, minúsculas e números; redefinição por link de uso único.
- Controle de acesso por papel e por evento: cada organização só vê os próprios dados, a equipe de portaria não vê e-mail nem pagamento, e as regras de acesso são aplicadas no próprio banco de dados, linha a linha.
- Dados do cartão nunca passam pelos nossos servidores (tokenização pelo Mercado Pago).
- Ações administrativas e financeiras registradas em trilha de auditoria.
- Relatos de erro sanitizados antes de sair do navegador: e-mails e números de documento são mascarados, e respostas de formulário, tokens e chaves não são enviados.
- Em caso de incidente de segurança que possa causar risco ou dano relevante, comunicamos a Agência Nacional de Proteção de Dados (ANPD) e os titulares afetados, como prevê o art. 48 da LGPD.
8. Transferência internacional
Os dados ficam armazenados no Brasil (região de São Paulo do provedor de banco de dados). Alguns fornecedores, porém, são empresas estrangeiras ou têm infraestrutura fora do país — Supabase, Meta, Google —, e o suporte técnico ou parte do processamento pode ocorrer no exterior. Nesses casos, a transferência se apoia nas hipóteses do art. 33 da LGPD, em especial em cláusulas contratuais que garantem o nível de proteção exigido pela lei e, no caso dos pixels, no seu consentimento específico.
9. Seus direitos
Você pode confirmar se tratamos seus dados, acessá-los, corrigi-los, pedir anonimização, bloqueio ou eliminação, portabilidade, saber com quem compartilhamos, revogar consentimentos e se opor a tratamentos. O passo a passo, os limites e os prazos estão na página LGPD — seus direitos.
10. Crianças e adolescentes
A plataforma não é destinada a menores de 18 anos, que não podem criar conta. Quando um evento admite a inscrição de crianças ou adolescentes, ela é feita pelo responsável legal, que informa os dados do menor no formulário do organizador; nesse caso o organizador, como controlador, deve observar o art. 14 da LGPD. Se soubermos de uma conta criada por menor, ela será encerrada.
11. Alterações desta política
Esta política pode ser atualizada quando a plataforma ou a legislação mudarem. A data de vigência fica no topo da página; mudanças relevantes são comunicadas por e-mail ou aviso na plataforma, com antecedência. A versão anterior pode ser solicitada pelo canal abaixo.
12. Contato e canal do titular
Pedidos, dúvidas e reclamações sobre seus dados: contato@ticketstart.com.br, com o assunto "LGPD" — é o canal de comunicação com o titular previsto no art. 41, § 2º, I, da LGPD. A página LGPD traz os prazos de resposta e informa se há encarregado(a) de dados indicado(a) pela CBX2 Projetos Ltda. — e, se não houver, a base legal da dispensa. Você também pode apresentar petição à Agência Nacional de Proteção de Dados (ANPD).