Versão v2 · Em vigor desde 22 de Outubro de 2026
O que mudou em relação à versão 1: a Cruz Vermelha passa a receber o seu nome com cada aposta, a partir das apostas do concurso n.º 8 (secções 1 e 4); e o carregamento da carteira e o recebimento de prémios por Dobra Digital (secções 2, 3 e 4).
O responsável pelo tratamento dos dados pessoais recolhidos neste sítio é a GFT – GolFinTech, S.A., com sede na Rua Patrice Lumumba n.º 10, São Tomé, Caixa Postal n.º 897.
A GFT opera o totoloto.st como agência online da Cruz Vermelha de São Tomé e Príncipe (CVSTP), concessionária do Totoloto Nacional e do Joker. As responsabilidades estão repartidas e essa repartição é importante para si:
Esta delimitação não é apenas uma declaração: está implementada nas regras de acesso da base de dados e é verificada automaticamente a cada alteração do sistema.
Identificação e verificação (KYC): nome completo, data de nascimento, endereço electrónico, número e validade do documento de identificação (bilhete de identidade ou passaporte), imagem do documento e fotografia sua. A recolha é directa — é você que os fornece.
Carteira: movimentos de carregamento, apostas, prémios e levantamentos; o NIB ou o IBAN da conta bancária que indicar para receber levantamentos ou devoluções; e a referência da carteira Dobra Digital que indicar para receber prémios. Se carregar a carteira por Dobra Digital, recebemos dessa plataforma o nome do titular da conta Dobra Digital e o identificador da transacção.
Jogo: as apostas efectuadas, os números marcados, o identificador do bilhete e os prémios apurados.
Utilização: registos técnicos de acesso necessários à segurança do serviço.
Não recolhemos dados que não sejam necessários às finalidades abaixo, em cumprimento do princípio da proporcionalidade do artigo 5.º da Lei n.º 3/2016, de 10 de Maio (Lei de Protecção de Dados Pessoais).
| Finalidade | Fundamento |
|---|---|
| Abertura e gestão da conta de apostador | Execução do contrato que celebra connosco |
| Verificação de identidade e de idade (18 anos) | Obrigação legal e prevenção de fraude |
| Prevenção de branqueamento de capitais e financiamento do terrorismo, e rastreio de listas de sanções | Obrigação legal aplicável à GFT enquanto instituição autorizada pelo BCSTP |
| Registo e transmissão das apostas, com o nome do apostador, apuramento, pagamento e publicitação de prémios | Execução do contrato e obrigação decorrente dos regulamentos da CVSTP |
| Carregamento da carteira e recebimento de prémios por Dobra Digital | Execução do contrato, a seu pedido |
| Jogo responsável: limites, pausas e auto-exclusão | Interesse público e protecção do titular |
| Segurança, auditoria e prova da integridade das operações | Obrigação legal e interesse legítimo |
Não tomamos decisões exclusivamente automatizadas com efeitos jurídicos sobre si. O apuramento das apostas é determinístico e verificável, e está sujeito a homologação da CVSTP.
CVSTP — o seu nome e os dados de cada aposta (identificador do bilhete, números marcados, opção de anonimato e selo de integridade), nos termos da secção 1. A CVSTP utiliza-os para apurar, homologar, pagar e publicitar os prémios, e pode divulgar o nome dos premiados, como faz com as apostas em papel, salvo se tiver marcado «Anonimato».
Dobra Digital — plataforma de moeda electrónica operada pela própria GFT. Só quando escolhe este meio: no carregamento, enviamos a referência de pagamento que nos indicar e o montante, e recebemos o nome do titular da conta e o identificador da transacção, para confirmar que o pagamento foi feito e por quem; no recebimento de prémios, utilizamos a referência da carteira que nos indicar e o montante a pagar, e confirmamos que a carteira é sua.
Banco Central de São Tomé e Príncipe e autoridades competentes — quando a lei o exija.
Instituição bancária — os elementos necessários à execução de transferências que solicitar.
Prestadores técnicos — a plataforma é operada sobre a infra-estrutura da Supabase (alojamento dos dados) e da Cloudflare (alojamento e protecção do sítio), que actuam como subcontratantes e não utilizam os dados para fins próprios. Não há mais nenhum terceiro a receber dados do seu navegador ao visitar este sítio.
Não vendemos nem cedemos dados pessoais para fins comerciais de terceiros.
Os dados são alojados em servidores da Supabase localizados em Estocolmo, Suécia.
Esta transferência é-lhe comunicada de forma expressa. O país de destino assegura um nível de protecção reconhecido internacionalmente, e a relação com o prestador está sujeita a compromissos contratuais de confidencialidade e segurança. A localização do alojamento consta da notificação a apresentar à Agência Nacional de Protecção de Dados Pessoais.
Os dados de identificação e os registos das operações são conservados durante a relação e, após o seu termo, pelo prazo máximo de cinco anos, em cumprimento das obrigações aplicáveis à GFT em matéria de prevenção do branqueamento de capitais.
Os dados relativos a apostas, apuramentos e prémios são conservados pelo prazo necessário à prova das operações e ao cumprimento das obrigações perante a CVSTP.
Os registos de auto-exclusão são conservados enquanto necessários para tornar a exclusão efectiva.
A Lei n.º 3/2016 confere-lhe o direito de informação (artigo 10.º), acesso (artigo 11.º), oposição (artigo 12.º) e de não sujeição a decisões individuais automatizadas (artigo 13.º), bem como o direito a indemnização em caso de violação (artigo 14.º).
Pode exercer estes direitos por escrito, junto do responsável pelo tratamento, para: GFT – GolFinTech, S.A., Rua Patrice Lumumba n.º 10, São Tomé, Caixa Postal n.º 897.
Alguns direitos têm limites decorrentes da lei: não podemos, por exemplo, apagar registos que somos obrigados a conservar para prevenção de branqueamento de capitais, nem eliminar o registo de uma aposta já efectuada, cuja integridade é condição da prova do jogo.
Pode ainda apresentar reclamação junto da Agência Nacional de Protecção de Dados Pessoais (ANPDP).
Adoptamos as medidas físicas e lógicas exigidas pelos artigos 15.º e 16.º da Lei n.º 3/2016, entre as quais: acesso à plataforma por credenciais e, para as contas internas, segundo factor de autenticação; regras de acesso aplicadas ao nível da própria base de dados, de modo a que cada utilizador só alcance o que lhe compete; selo criptográfico de cada recibo de aposta e do lote semanal enviado à CVSTP, o que permite demonstrar que nenhum registo foi alterado; controlo a quatro olhos na introdução da chave do sorteio, nos quinhões oficiais e nas operações de tesouraria acima de determinado valor; e registo de auditoria de todas as operações relevantes.
Os colaboradores da GFT com acesso a dados estão sujeitos ao dever de sigilo previsto no artigo 18.º da Lei n.º 3/2016 e na legislação do mercado financeiro.
O serviço destina-se exclusivamente a maiores de 18 anos. Não recolhemos intencionalmente dados de menores. Se for detectada uma conta titulada por menor, é imediatamente encerrada e os fundos devolvidos, sem direito a prémios.
O tratamento de dados pessoais realizado através do totoloto.st será notificado à Agência Nacional de Protecção de Dados Pessoais, nos termos do artigo 21.º da Lei n.º 3/2016, de 10 de Maio, antes da entrada em funcionamento do serviço.
A GFT é igualmente titular da Autorização n.º 089/2022 da ANPDP, relativa ao tratamento realizado através da plataforma Dobra Digital, que constitui tratamento distinto do aqui descrito.
Esta política pode ser actualizada. Alterações aos termos do tratamento autorizado são previamente submetidas à apreciação da ANPDP. A versão em vigor está sempre disponível nesta página, com indicação da data, e uma nova versão tem de ser aceite antes de voltar a apostar ou a carregar a carteira.