Última atualização: 22 de outubro de 2026.
Esta política explica quais dados pessoais a byTickets trata, para quê, com quem compartilha, por quanto tempo guarda e como você exerce os seus direitos, de acordo com a Lei Geral de Proteção de Dados (Lei 13.709/2018, a LGPD).
Quem é o responsável pelos seus dados
A controladora dos dados é a BYTICKETS LTDA, CNPJ 69.309.443/0001-65, com sede em São José dos Campos/SP. O canal do encarregado pelo tratamento de dados (LGPD, art. 41) é o e-mail contatobytickets@gmail.com: é por ele que você fala com a gente sobre qualquer assunto desta política.
Dados que tratamos
- Conta: nome, e-mail, senha (guardada só em formato embaralhado, que não dá para reverter), CPF, celular, gênero e data de nascimento. Se você entrar com o Google, recebemos dele o seu nome, e-mail e foto de perfil.
- Compras: pedidos, ingressos, valores, forma de pagamento, endereço de cobrança, entrada no evento (check-in) e pedidos de reembolso. Os dados do cartão são digitados direto no Mercado Pago; a byTickets não vê nem guarda o número do cartão.
- Organizadores: nome ou razão social, CPF ou CNPJ, telefone e chave Pix para os repasses, e os dados dos eventos. Nas listas de convidados, o organizador informa o nome de cada convidado. Também calculamos o byScore, a nota do organizador na plataforma (veja abaixo).
- Afiliados: redes sociais, número de seguidores, estilos de rolê, a descrição, a idade e a cidade do público, as preferências de evento (dias e faixa de preço), experiência com divulgação e chave Pix, além dos cliques nos links e das vendas e saques.
- Dados técnicos: endereço IP e navegador, usados na hora para proteger o site contra abuso (por exemplo, limitar tentativas de login). Quando você entra, cria a conta, faz um pedido ou troca a senha, guardamos o IP, o navegador, a data e a hora, como exige o Marco Civil da Internet. Nas contas de administração da byTickets, guardamos também o histórico de acessos e os aparelhos aprovados.
Para que usamos e com que base legal
- Vender e entregar o ingresso, fazer repasses, reembolsos e pagar comissões: execução do contrato com você (LGPD, art. 7º, V).
- Emitir documentos e guardar registros fiscais e de acesso: cumprimento de obrigação legal (art. 7º, II), como a legislação tributária e o Marco Civil da Internet.
- Prevenir fraude, golpes e uso indevido (CPF e celular na compra, limite de tentativas, verificação contra robôs, conferência de afiliados): legítimo interesse da byTickets e dos próprios usuários (art. 7º, IX).
- Estatísticas de público para o organizador (gênero e faixa de idade de quem comprou): legítimo interesse (art. 7º, IX). No gênero, você pode escolher “Prefiro não informar”.
- byScore dos organizadores: uma nota de 0 a 1000, recalculada todo dia só com o histórico do organizador na byTickets nos últimos 12 meses (o tempo de casa conta desde a última aprovação do cadastro): frequência e constância dos eventos, antecedência da publicação, cancelamentos, reembolsos, estornos e contestações, check-in na portaria, tempo de casa, tipo de cadastro (CPF ou CNPJ), eventos recusados pela moderação, vendas, crescimento e a parcela do público que volta. Dos pedidos dos compradores usamos só contagens e somas, sem identificar ninguém; compras da própria conta do organizador, da equipe dele e cortesias não contam. A equipe pode ajustar a nota em até 300 pontos ou congelar o crédito, sempre com o motivo registrado. A nota serve para decidir quanto crédito o organizador poderá pegar antes de um evento (uma parte do que o evento deve vender), descontado depois do repasse: legítimo interesse (art. 7º, IX) e proteção do crédito (art. 7º, X). Não consultamos birôs de crédito e não compartilhamos a nota com ninguém. Por enquanto a nota é usada só pela equipe. O organizador recebe a própria nota mais recente, com os indicadores, no arquivo de “Baixar meus dados”, e pode pedir os critérios a qualquer momento pelos canais abaixo.
- Casar afiliados com eventos: execução do contrato do programa de afiliados (art. 7º, V).
- Defender direitos em processos (contestação de pagamento, reclamações): exercício regular de direitos (art. 7º, VI).
Não vendemos seus dados e não usamos seus dados para publicidade de terceiros.
Com quem compartilhamos
- Organizador do evento que você comprou: nome, e-mail, código do ingresso, gênero e idade. Ele usa esses dados para o evento (portaria, contato, estatísticas) e responde pelo uso que fizer deles.
- Afiliados: nunca recebem dados de quem comprou, só os números das vendas que trouxeram. O organizador vê o nome da página, as redes, os seguidores, os estilos, a cidade e a faixa de idade do público do afiliado indicado para o evento dele.
- Empresas que operam o serviço para nós, cada uma só com o necessário:
- Mercado Pago: processa os pagamentos (nome, e-mail, CPF, celular e endereço de cobrança);
- Vercel: hospeda o site, guarda as imagens dos eventos e conta as visitas;
- Supabase: guarda o banco de dados;
- Resend: envia os e-mails;
- Upstash: controla o limite de tentativas (usa o IP por pouco tempo);
- hCaptcha: verifica se quem está entrando ou criando conta é uma pessoa;
- Google: só se você escolher entrar com o Google.
- WhatsApp (Meta), quando você escolhe falar com a gente por lá (suporte). O WhatsApp trata os dados da conversa também pelas regras dele.
- Autoridades: quando a lei ou uma ordem judicial exigir. Os registros de acesso só são entregues com ordem judicial, como manda o Marco Civil da Internet.
Dados fora do Brasil
O banco de dados (Supabase) e o site ficam em servidores em São Paulo. Parte dos outros fornecedores (como Vercel, Resend, hCaptcha, Upstash, Google e WhatsApp) também processa dados fora do Brasil, principalmente nos Estados Unidos. Essa transferência é necessária para prestar o serviço que você contratou (LGPD, art. 33, IX, combinado com o art. 7º, V) e é feita com empresas que adotam proteções de segurança e contratos próprios de proteção de dados.
Cookies
Usamos apenas cookies necessários para o site funcionar. Não usamos cookies de publicidade.
- Sessão: mantém você conectado.
- Link de afiliado: quando você abre o link de um afiliado, guardamos por 30 dias o código dele, só para saber se a sua compra veio desse link. O código também vai no endereço da página do evento, para a compra contar mesmo se você trocar de navegador. Do clique, o afiliado vê só a rede de onde ele veio (Instagram, WhatsApp...): nunca o seu nome, o seu IP ou o seu aparelho.
- Aparelho aprovado: só nas contas de administração, para reconhecer os aparelhos liberados.
- hCaptcha: pode usar cookies próprios na verificação contra robôs.
As visitas às páginas são contadas com o Vercel Web Analytics, sem cookies e sem identificar você. Para cada visita ficam a página (sem os códigos dos links que enviamos por e-mail), o horário, a cidade e o país, o navegador, o sistema, o tipo de aparelho e de onde a visita veio. Para não contar a mesma pessoa duas vezes, a Vercel usa um código anônimo que é descartado em 24 horas. A sua conta, a confirmação do pedido e os painéis não entram na contagem.
Por quanto tempo guardamos
- Dados da conta: enquanto a conta existir.
- Pedidos, pagamentos, repasses, reembolsos, comissões e saques: pelo menos 5 anos depois da operação, pela legislação fiscal, mesmo que a conta seja excluída.
- Registros de acesso (IP, navegador, data e hora): 6 meses, como exige o Marco Civil da Internet, mesmo que a conta seja excluída. Depois disso são apagados automaticamente.
- Histórico de acessos e de ações das contas de administração (inclusive os motivos de ajustes e congelamentos do byScore): enquanto for necessário para a segurança da plataforma e para comprovar as decisões.
- Cookie de link de afiliado: 30 dias.
- Contas criadas e nunca confirmadas por e-mail: apagadas automaticamente depois de 7 dias.
- Endereço de cobrança de pedidos que nunca foram pagos: apagado automaticamente depois de 90 dias.
- CPF do titular de cada ingresso: apagado automaticamente 180 dias depois do fim do evento (o prazo em que um pagamento com cartão ainda pode ser contestado). O nome do titular fica com o pedido.
- Nome de quem recebeu um ingresso por transferência, no registro da transferência: apagado automaticamente depois de 180 dias.
- Convites de equipe nunca aceitos: apagados automaticamente depois de 90 dias.
- Histórico diário do byScore do organizador: apagado automaticamente depois de 12 meses (a nota atual é sempre recalculada).
Quando você pede a exclusão da conta, apagamos ou tornamos anônimos os dados que não precisamos mais guardar; o que a lei obriga a manter fica guardado só pelo prazo dela.
Fazemos uma cópia de segurança do banco de dados todos os dias, criptografada e guardada por 30 dias. Por isso, depois que você exclui a conta, seus dados podem continuar nessas cópias por até 30 dias; se uma cópia for restaurada, apagamos de novo o que já tinha sido excluído.
Seus direitos
Pela LGPD (art. 18), você pode, a qualquer momento:
- confirmar se tratamos os seus dados e ter acesso a eles;
- corrigir dados incompletos, errados ou desatualizados;
- pedir a anonimização, o bloqueio ou a exclusão de dados desnecessários ou tratados fora da lei;
- pedir a portabilidade dos seus dados para outro fornecedor;
- pedir a exclusão da sua conta e dos seus dados, respeitados os prazos legais acima;
- saber com quem compartilhamos os seus dados;
- se opor a um tratamento feito com base no legítimo interesse, quando discordar dele;
- reclamar à Autoridade Nacional de Proteção de Dados (ANPD);
- se você é organizador, saber os critérios do seu byScore e pedir que uma pessoa da equipe revise a nota ou a decisão de crédito (art. 20), pelo e-mail abaixo ou pelo WhatsApp do suporte ((12) 99600-7122). Quando você pedir, informamos a sua nota, os pilares, os indicadores e o peso de cada um, e as faixas. O motivo de um ajuste manual ou de um congelamento pode ficar reservado só enquanto houver uma apuração de fraude em andamento (legítimo interesse na prevenção a fraudes, art. 7º, IX); fora disso, informamos quando você pedir. A revisão por uma pessoa é sempre garantida.
Em Minha conta → Conta você vê os seus dados, atualiza o celular, baixa uma cópia de tudo o que a sua conta tem (em formato JSON, que serve também para levar a outro serviço; as anotações internas da equipe sobre o byScore ficam de fora e são informadas quando você pedir, como explicado acima) e exclui a sua conta, com confirmação por e-mail. Contas de organizador são excluídas pelo suporte, por causa dos eventos e dos repasses. Para os demais pedidos, escreva para contatobytickets@gmail.com a partir do e-mail da sua conta. Respondemos em até 15 dias; para confirmar que é você, podemos pedir alguma informação a mais.
Menores de idade
É preciso ter pelo menos 13 anos para criar uma conta. Os dados de adolescentes (13 a 17 anos) são tratados só no necessário para a compra e o acesso ao evento, no melhor interesse deles. A entrada em cada evento segue a classificação etária definida pelo organizador. Pais ou responsáveis podem falar com a gente pelo contatobytickets@gmail.com.
Segurança
Usamos conexão criptografada (HTTPS), senhas guardadas de forma irreversível, acesso restrito aos dados por perfil de usuário, painel de administração liberado só em aparelhos aprovados e registro das ações sensíveis. O CPF da conta e do titular de cada ingresso, o documento e a chave Pix dos organizadores ficam criptografados no nosso banco de dados (AES-256), com chaves guardadas separadamente do banco. Se acontecer um incidente de segurança que possa trazer risco ou dano relevante a você, avisaremos você e a ANPD nos prazos da lei.
Mudanças nesta política
Quando esta política mudar, atualizamos a data no começo da página. Se a mudança for importante, avisamos por e-mail ou no site.