← Voltar ao site
Documentos legais · LGPD

Política de Privacidade

Política de Privacidade · Versão 1.0 · Junho/2026
Este documento reproduz, em formato web, o conteúdo da Política de Privacidade, correspondente à versão vigente 1.0, aprovada pela Diretoria da instituição em 15/06/2026. Em caso de divergência, prevalece a versão oficial assinada. ↓ Ver versão oficial assinada (PDF)

1. INTRODUÇÃO

A presente Política de Privacidade estabelece os parâmetros adotados por AVOI SOCIEDADE PRESTADORA DE SERVICOS DE ATIVOS VIRTUAIS LTDA, inscrita no CNPJ sob o nº 55.063.975/0001-50, ("Instituição"), na qualidade de Sociedade Prestadora de Serviços de Ativos Virtuais (SPSAV), para o tratamento de dados pessoais realizado no contexto de suas atividades operacionais, comerciais, contratuais, tecnológicas e regulatórias, abrangendo os serviços, produtos, plataformas, aplicações e demais ambientes por meio dos quais a Instituição desenvolve suas atividades. Considerando a natureza regulada da atividade exercida e a criticidade inerente às operações envolvendo ativos virtuais, o tratamento de dados pessoais realizado pela Instituição observa finalidades relacionadas à identificação e qualificação cadastral, à execução de relações contratuais, à autenticação de usuários, à segurança operacional, à prevenção de fraudes, ao monitoramento transacional, à integridade dos ambientes digitais e ao cumprimento de obrigações legais e regulatórias aplicáveis. O tratamento de dados pessoais ocorre em conformidade com a legislação aplicável à proteção de dados e ao setor de ativos virtuais, observando-se, de forma integrada, a Lei Geral de Proteção de Dados Pessoais, a Lei nº 14.478, o Decreto nº 11.563/2023, bem como as normas expedidas pelo Banco Central do Brasil e demais atos normativos aplicáveis às prestadoras de serviços de ativos virtuais, inclusive regulamentações específicas vigentes e supervenientes incidentes sobre a atividade exercida. Integram igualmente o referencial normativo desta Política as orientações expedidas pela Agência Nacional de Proteção de Dados, inclusive a Resolução CD/ANPD nº 15 e a Resolução CD/ANPD nº 19, sem prejuízo de normas complementares supervenientes aplicáveis ao tratamento de dados pessoais e à atividade regulada exercida pela Instituição. A Instituição adota controles técnicos, administrativos e organizacionais compatíveis com a sensibilidade das informações tratadas, especialmente quando relacionadas à identificação de usuários, à execução de operações com ativos virtuais, à rastreabilidade operacional, à proteção de contas, à prevenção de ilícitos e ao atendimento de obrigações regulatórias incidentes sobre a atividade desenvolvida. Esta Política integra o conjunto normativo interno de governança em privacidade, segurança da informação, prevenção à fraude, prevenção à lavagem de dinheiro e conformidade regulatória, devendo ser interpretada em conjunto com os Termos de Uso, avisos específicos de privacidade, instrumentos contratuais aplicáveis e demais documentos institucionais relacionados aos serviços prestados.

2. OBJETIVO

Esta Política tem por objetivo informar, de forma clara, precisa e acessível, como a Instituição realiza o tratamento de dados pessoais no âmbito de suas atividades, bem como demonstrar os fundamentos jurídicos, as finalidades legítimas e os mecanismos de proteção adotados em conformidade com a legislação vigente. Busca-se, por meio deste instrumento, assegurar transparência quanto:

A presente Política destina-se, igualmente, a consolidar os parâmetros institucionais de governança aplicáveis ao tratamento de dados pessoais no âmbito da atuação da Instituição, em conformidade com a estrutura regulatória incidente sobre a prestação de serviços de ativos virtuais e com os deveres de integridade informacional inerentes ao setor. Nesse contexto, o tratamento de dados pessoais é realizado em estrita observância aos princípios da finalidade, adequação, necessidade, segurança, prevenção e responsabilização, de modo compatível com as exigências operacionais relacionadas à execução dos serviços ofertados, aos procedimentos de identificação e qualificação cadastral, à prevenção à fraude, ao monitoramento de operações, ao cumprimento de obrigações legais, regulatórias e contratuais, bem como aos deveres de prevenção à lavagem de dinheiro, financiamento do terrorismo e demais ilícitos financeiros. A Instituição adota controles técnicos, administrativos e procedimentais voltados à preservação da confidencialidade, integridade, disponibilidade e rastreabilidade das informações tratadas, observadas as exigências normativas aplicáveis e a criticidade dos fluxos de dados inerentes às operações realizadas. A utilização dos serviços disponibilizados pela Instituição implica ciência quanto às disposições desta Política, sem prejuízo da aplicação de instrumentos contratuais específicos, avisos complementares de privacidade e demais documentos regulatórios ou operacionais vinculados a produtos, serviços ou relações jurídicas determinadas.

3. ABRANGÊNCIA

Esta Política aplica-se às atividades de tratamento de dados pessoais realizadas no contexto dos serviços de intermediação de ativos virtuais prestados pela Instituição, abrangendo sítio eletrônico, aplicativos, plataformas digitais, sistemas internos, canais de atendimento, materiais informativos e demais ambientes operacionais utilizados para execução das atividades institucionais. Aplica-se, ainda, a todos os administradores, diretores, colaboradores, prestadores de serviços e terceiros que, direta ou indiretamente, participem da elaboração, validação, disponibilização ou divulgação de informações relativas aos ativos virtuais ofertados pela Instituição. A presente Política aplica-se exclusivamente ao modelo operacional de intermediação de operações com ativos virtuais desempenhado pela Instituição, não abrangendo atividades de custódia própria, administração de carteiras digitais sob guarda institucional ou execução direta em ambiente de corretora, as quais, quando existentes, serão disciplinadas em instrumento normativo específico.

4. DEFINIÇÕES

Para fins desta Política, adotam-se as definições da LGPD (Art. 5º) e as seguintes complementações operacionais:

VIII, LGPD);

Instituição, nos termos do Art. 7º da Res. BCB nº 85/2021 (com redação atualizada pela Res. BCB nº 538/2025), responsável pela política de segurança cibernética e pelo plano de ação e resposta a incidentes;

Terrorismo;

O tratamento de dados pessoais realizado pela Instituição observa, de forma permanente, os princípios previstos no artigo 6º da Lei Geral de Proteção de Dados Pessoais, os quais orientam a estruturação dos processos internos, a definição das bases legais aplicáveis, a adoção de medidas de governança e a execução das operações de tratamento no âmbito de suas atividades. Nesse contexto, os dados pessoais são tratados para finalidades legítimas, determinadas, explícitas e previamente informadas ao titular, vedada a utilização posterior em desconformidade com os propósitos originalmente estabelecidos. As operações de tratamento mantêm aderência ao contexto da relação estabelecida com o titular, observando-se a compatibilidade entre a finalidade declarada e a utilização efetivamente realizada. A coleta e utilização de dados pessoais restringem-se ao estritamente necessário para o atendimento das finalidades legítimas e regulatórias aplicáveis, limitando-se aos dados pertinentes, proporcionais e não excessivos em relação às atividades desenvolvidas, inclusive quando necessárias à execução contratual, ao cumprimento de obrigações legais e regulatórias, à prevenção à fraude e aos mecanismos de segurança operacional. É assegurado aos titulares o acesso facilitado às informações relativas ao tratamento de seus dados pessoais, incluindo critérios de utilização, período de retenção, hipóteses de compartilhamento e demais elementos necessários à compreensão adequada do tratamento realizado. A Instituição adota procedimentos destinados à manutenção da exatidão, clareza, relevância e atualização dos dados pessoais tratados, bem como mecanismos voltados à transparência informacional, de modo a assegurar que os titulares tenham acesso a informações claras, precisas e adequadas sobre as atividades de tratamento e sobre os agentes envolvidos. No âmbito da segurança da informação, são implementadas medidas técnicas, administrativas e organizacionais compatíveis com a natureza dos dados tratados e com os riscos envolvidos, com o objetivo de proteger as informações contra acessos não autorizados, destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. As atividades de tratamento também se orientam pelo princípio da prevenção, mediante adoção de controles destinados à mitigação de riscos e à redução da probabilidade de ocorrência de incidentes capazes de gerar danos aos titulares. É vedada a utilização de dados pessoais para finalidades discriminatórias ilícitas, abusivas ou incompatíveis com os direitos e garantias fundamentais dos titulares. Por fim, a Instituição adota mecanismos de governança, registros e controles internos aptos a demonstrar a conformidade de suas operações com a legislação aplicável, em observância ao princípio da responsabilização e prestação de contas, inclusive mediante manutenção de evidências, procedimentos internos e medidas capazes de comprovar a efetividade das salvaguardas adotadas.

6. MAPEAMENTO DE DADOS PESSOAIS E CICLO DE VIDA

6. 1. Categoria dos Dados Pessoais Tratados

6.1.1. Dados Pessoais No contexto da prestação de serviços de ativos virtuais, a Instituição realiza o tratamento de dados pessoais estritamente necessários à identificação dos usuários, à execução das operações contratadas, ao cumprimento de obrigações legais e regulatórias, à prevenção à fraude e à observância dos deveres de integridade operacional exigidos pelo ambiente regulado em que atua. Para essas finalidades, poderão ser tratadas informações cadastrais e de identificação necessárias à validação da identidade do titular e à formalização da relação contratual, incluindo nome completo, número de inscrição no Cadastro de Pessoas Físicas (CPF), documento oficial de identificação civil, Carteira Nacional de Habilitação, data de nascimento, filiação, endereço residencial ou comercial, endereço eletrônico, número de telefone e demais elementos necessários à constituição e atualização cadastral. Nos casos em que a relação envolver pessoas jurídicas, poderão igualmente ser tratados dados relativos à identificação empresarial, tais como número de inscrição no Cadastro Nacional da Pessoa Jurídica (CNPJ), razão social, nome fantasia e informações relativas aos respectivos representantes legais, procuradores ou beneficiários finais, quando exigido pelos procedimentos de identificação e diligência aplicáveis. Para fins de verificação de identidade, prevenção à fraude e cumprimento dos procedimentos de conhecimento do cliente (KYC), poderão ser coletadas imagens de documentos oficiais de identificação, inclusive frente e verso, bem como registros fotográficos do titular, validação facial ou mecanismos biométricos equivalentes, sempre que tais recursos forem empregados como medida de autenticação, segurança ou validação cadastral. Também poderão ser tratados dados financeiros e transacionais necessários à operacionalização dos serviços, incluindo informações bancárias, contas de pagamento, chaves pix, registros de movimentações realizadas na plataforma, histórico de transações, valores, datas, contrapartes envolvidas, descrições operacionais e demais elementos necessários ao monitoramento das operações, à reconciliação financeira e ao atendimento de exigências regulatórias. Quando aplicável à modalidade de serviço contratada, poderão ainda ser utilizados dados relacionados a instrumentos de pagamento, inclusive informações associadas a cartões de crédito ou débito, bem como dados obtidos de fontes legítimas para avaliação de risco, prevenção à fraude e validação de integridade cadastral. No ambiente digital, a Instituição também realiza o tratamento de dados técnicos e eletrônicos decorrentes da utilização de seus sistemas e plataformas, incluindo endereço IP, identificadores de dispositivo, registros de autenticação, logs de acesso, horários de sessão, trilhas de navegação, eventos de uso e demais informações necessárias à segurança dos ambientes tecnológicos, à prevenção de acessos indevidos e à rastreabilidade operacional. Dados de geolocalização poderão ser tratados quando houver autorização do usuário ou quando tecnicamente necessários à proteção da conta, à detecção de anomalias operacionais ou ao cumprimento de requisitos de segurança. As interações mantidas com canais de atendimento, suporte ou relacionamento também poderão gerar registros de comunicação, abrangendo mensagens eletrônicas, atendimentos por chat, e-mails, ligações telefônicas, solicitações, reclamações, contestações e demais manifestações encaminhadas pelo titular no contexto da relação mantida com a Instituição 6.1.2. Dados Pessoais Sensíveis Via de regra, a Instituição não realiza tratamento de dados pessoais sensíveis nos termos definidos pelo artigo 5º, inciso II, da Lei Geral de Proteção de Dados Pessoais, uma vez que a natureza ordinária dos serviços prestados não exige o tratamento de informações relacionadas à origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados referentes à saúde, vida sexual, dado genético ou biométrico para finalidade não vinculada à autenticação. Excepcionalmente, caso determinado processo operacional venha a demandar o uso de dado biométrico como mecanismo de autenticação, verificação de identidade ou reforço de segurança, tal tratamento será precedido de avaliação específica de necessidade, adequação regulatória e fundamento jurídico aplicável, observando-se as hipóteses autorizativas do artigo 11 da LGPD, com validação interna das áreas responsáveis por privacidade, segurança da informação e governança. 6.1.3. Dados Pessoais tratados em processos cadastrais e relacionamento institucional Para fins de cadastro, verificação de identidade, manutenção do relacionamento institucional, atualização cadastral, prevenção à fraude, análise de integridade e cumprimento de obrigações legais e regulatórias, a Instituição poderá tratar dados pessoais fornecidos diretamente pelo titular ou obtidos por fontes públicas e privadas legitimamente acessíveis. No contexto dos procedimentos de identificação, qualificação cadastral, verificação de integridade e prevenção à fraude, a Instituição poderá realizar consultas estruturadas a bases públicas e privadas, nacionais e internacionais, bem como a bureaus especializados, com a finalidade de validação de identidade, avaliação de risco e cumprimento de obrigações regulatórias. Essas verificações poderão abranger, entre outros elementos:

Para esses fins, poderão ser realizadas consultas, inclusive, a bases mantidas por autoridades públicas, órgãos reguladores, entidades de controle e provedores especializados, tais como:

(TSE) e tribunais judiciais;

Europeia, Reino Unido, Escritório de Controle de Ativos Estrangeiros (OFAC), Conselho de Segurança das Nações Unidas (UNSC) e outras entidades internacionais;

O tratamento dessas informações observa os princípios da necessidade, adequação e minimização, sendo realizado exclusivamente para fins legítimos relacionados à verificação cadastral, prevenção a fraudes, cumprimento de obrigações regulatórias e proteção da integridade das operações. Esse tratamento poderá abranger, entre outros elementos, dados de identificação civil, dados cadastrais, dados de contato, documentos comprobatórios, informações profissionais, dados patrimoniais, dados societários, informações relacionadas à origem de recursos, enquadramento econômico-financeiro, histórico de relacionamento e demais informações necessárias à adequada validação cadastral e ao cumprimento das exigências regulatórias aplicáveis. Em conformidade com as recomendações do Grupo de Ação Financeira Internacional e com as normas aplicáveis ao setor financeiro e de ativos virtuais, a Instituição adota abordagem baseada em risco (risk-based approach) para classificação, segmentação e monitoramento de seus clientes e operações. Nesse contexto, o volume, a natureza e a profundidade dos dados pessoais coletados e tratados poderão variar de acordo com o nível de risco atribuído ao cliente, à operação ou ao relacionamento estabelecido, podendo incluir medidas reforçadas de diligência (enhanced due diligence) nos casos considerados de maior risco, especialmente em situações envolvendo:

Essa abordagem orienta tanto os procedimentos cadastrais quanto o monitoramento contínuo das operações, assegurando alinhamento com as exigências regulatórias, com os deveres de integridade do sistema financeiro e com os princípios de proteção de dados pessoais previstos na legislação aplicável. 6.1.4. Dados tratados na intermediação de operações com ativos virtuais No contexto da intermediação de operações com ativos virtuais, a Instituição poderá tratar dados pessoais necessários à formalização, validação operacional, registro, acompanhamento, monitoramento e rastreabilidade das operações realizadas por seus usuários, observadas as exigências legais, regulatórias e operacionais aplicáveis. Esse tratamento poderá abranger dados cadastrais previamente coletados em procedimentos de identificação e due diligence, dados transacionais, registros de ordens, histórico operacional, perfil de utilização, informações de acesso, registros de autenticação, dados relacionados a meios de pagamento, dados vinculados à origem e ao destino dos recursos, bem como informações necessárias ao monitoramento de risco, prevenção à fraude e cumprimento das obrigações de prevenção à lavagem de dinheiro e financiamento do terrorismo. Poderão ainda ser tratados:

Incluem-se ainda dados derivados de mecanismos de análise de risco aplicados a endereços públicos em redes blockchain, histórico transacional associado, vinculação a clusters operacionais, identificação de padrões compatíveis com exposição a ilícitos financeiros, parâmetros de monitoramento de origem e destino de ativos virtuais e utilização de ferramentas especializadas de blockchain analytics destinadas ao cumprimento de obrigações regulatórias, prevenção a fraudes e mitigação de riscos operacionais. Além disso, a Instituição poderá realizar a vinculação entre dados cadastrais do titular e identificadores associados a endereços de blockchain (wallet addresses), com o objetivo de assegurar a rastreabilidade das operações, a identificação das partes envolvidas e o cumprimento de obrigações regulatórias aplicáveis. Poderão ser adotados mecanismos de monitoramento contínuo de transações e endereços em redes blockchain, incluindo análise de risco em tempo real, classificação de exposição a ilícitos financeiros e identificação de padrões operacionais suspeitos, em conformidade com as exigências regulatórias e com as diretrizes de prevenção à lavagem de dinheiro e financiamento do terrorismo. Poderão ainda ser tratados dados relacionados à análise de origem de recursos (source of funds) e, quando aplicável, à avaliação de compatibilidade econômico-financeira do titular, como parte dos procedimentos de monitoramento contínuo, prevenção à lavagem de dinheiro e gestão de risco operacional.

6. 2. Ciclo de Vida dos Dados Pessoais

O tratamento de dados pessoais no âmbito da Instituição observa fluxo controlado e documentado, compreendendo todas as etapas do ciclo de vida da informação, desde a coleta até a eliminação ou anonimização, em conformidade com critérios de segurança, rastreabilidade e governança. A coleta ocorre prioritariamente junto ao próprio titular, podendo também envolver informações provenientes de parceiros legitimamente autorizados, prestadores de serviço especializados, bases públicas acessíveis nos limites legais ou fontes necessárias ao cumprimento de obrigações regulatórias e procedimentos de verificação cadastral. Os dados tratados são armazenados em ambientes tecnológicos dotados de controles de segurança compatíveis com sua criticidade, incluindo mecanismos de criptografia, segregação de acesso, autenticação, trilhas de auditoria e controles de privilégio baseados em função, observando-se critérios de necessidade operacional e segregação de responsabilidades. O uso e o processamento das informações permanecem restritos às finalidades previamente definidas, sendo acessíveis apenas por profissionais, áreas internas ou terceiros autorizados cuja atuação esteja diretamente vinculada à execução das atividades legítimas da Instituição. O compartilhamento de dados limita-se ao estritamente necessário para a finalidade regulatória e operacional envolvida, ocorrendo exclusivamente nas hipóteses previstas nesta Política, em contratos ou em obrigação legal ou regulatória. A retenção dos dados pessoais observa os prazos legalmente exigidos, especialmente aqueles decorrentes de obrigações regulatórias, fiscais, contratuais, de prevenção à lavagem de dinheiro e de preservação de evidências operacionais. Encerrado o período de retenção aplicável e inexistindo fundamento legal que autorize sua manutenção, os dados serão submetidos a procedimento seguro de eliminação ou anonimização, mediante controles aptos a assegurar rastreabilidade e integridade do descarte realizado.

7. BASES LEGAIS E FINALIDADE DO TRATAMENTO

Todo tratamento de dados pessoais realizado pela Instituição encontra fundamento em base legal válida, nos termos do artigo 7º da Lei Geral de Proteção de Dados Pessoais, sendo previamente vinculado a finalidade específica, legítima e compatível com a natureza dos serviços prestados e com o ambiente regulatório aplicável à atuação de sociedades prestadoras de serviços de ativos virtuais. As operações de tratamento relacionadas ao cadastramento de usuários, criação de contas, autenticação de acesso, habilitação de funcionalidades da plataforma e execução das operações contratadas fundamentam-se, predominantemente, na necessidade de execução de procedimentos preliminares e de obrigações decorrentes da relação contratual estabelecida com o titular, nos termos do artigo 7º, inciso V, da LGPD. No contexto da operacionalização de pagamentos, liquidação financeira, integração com instituições de pagamento, liquidantes, parceiros bancários e demais agentes necessários à execução dos serviços, o tratamento de dados financeiros e transacionais também se apoia na execução contratual, abrangendo as informações indispensáveis à adequada realização das operações e à integridade dos fluxos financeiros. As atividades de identificação cadastral, validação documental, verificação de identidade e aplicação de procedimentos de conhecimento do cliente (KYC) são realizadas em cumprimento a obrigações legais e regulatórias impostas ao setor, especialmente aquelas relacionadas à prevenção de ilícitos financeiros, à integridade cadastral e à segurança das operações. Nessas hipóteses, o tratamento encontra fundamento no artigo 7º, inciso II, da LGPD, em observância às normas expedidas pelo Banco Central do Brasil e à disciplina aplicável aos mecanismos de prevenção à lavagem de dinheiro e financiamento do terrorismo. A mesma base legal sustenta o tratamento necessário à prevenção, identificação e monitoramento de operações potencialmente suspeitas, à manutenção de registros transacionais, à análise de perfil operacional e ao eventual atendimento de deveres de comunicação a autoridades competentes, inclusive ao Conselho de Controle de Atividades Financeiras, quando presentes hipóteses legalmente previstas. Também são tratados dados pessoais para atendimento de obrigações legais, regulatórias e administrativas perante autoridades públicas, órgãos supervisores, autoridades fiscais e entidades reguladoras, inclusive para fins de prestação de informações, manutenção de registros obrigatórios, auditoria, fiscalização e atendimento a requisições formalmente válidas. Determinadas operações de tratamento voltadas à proteção dos ambientes tecnológicos, prevenção à fraude, detecção de comportamentos atípicos, gestão de risco operacional e segurança cibernética poderão fundamentar-se no legítimo interesse do controlador, nos termos do artigo 7º, inciso IX, da LGPD, especialmente quando relacionadas à preservação da integridade da plataforma, à mitigação de incidentes e à proteção dos próprios titulares contra usos indevidos de suas credenciais ou contas. Da mesma forma, atividades relacionadas ao aprimoramento da experiência de uso, evolução de funcionalidades, mensuração de desempenho de sistemas e aperfeiçoamento dos serviços poderão apoiar-se em legítimo interesse, sempre com observância dos critérios de necessidade, proporcionalidade e minimização, priorizando-se, sempre que tecnicamente viável, o uso de dados agregados, pseudonimizados ou anonimizados. O tratamento de dados pessoais para atendimento de demandas de suporte, relacionamento com usuários, gestão de solicitações e exercício de direitos dos titulares poderá decorrer tanto da execução contratual quanto do cumprimento de obrigação legal, conforme a natureza da solicitação apresentada. Sempre que o tratamento estiver fundamentado em legítimo interesse, a Instituição realizará avaliação prévia de balanceamento entre a finalidade pretendida e os direitos e liberdades fundamentais do titular, mediante registro formal de Legitimate Interest Assessment (LIA), contendo análise de necessidade, proporcionalidade, expectativa legítima do titular e salvaguardas aplicáveis. Esses registros permanecem sob governança interna e são periodicamente revistos sempre que houver alteração relevante no contexto do tratamento. Conforme já indicado nesta Política, a Instituição não realiza, em sua operação ordinária, tratamento de dados pessoais sensíveis nos termos do artigo 11 da LGPD, ressalvadas hipóteses excepcionais legalmente justificadas e previamente submetidas à correspondente adequação normativa.

7. 1. Retenção, Conservação e Preservação de Registros

A Instituição manterá os dados pessoais tratados pelo período necessário ao cumprimento das finalidades legítimas que fundamentam o tratamento, observando, adicionalmente, os prazos mínimos de retenção impostos pela legislação aplicável e pelas normas regulatórias incidentes sobre a atividade exercida. No contexto das atividades de intermediação envolvendo ativos virtuais, poderão permanecer armazenados, inclusive após o encerramento da relação contratual ou da conta mantida pelo titular, dados cadastrais, registros de autenticação, evidências de diligência cadastral, histórico de transações, registros de monitoramento, comunicações operacionais, logs de acesso, metadados técnicos, endereços públicos de blockchain vinculados às operações e demais registros necessários à demonstração de conformidade regulatória. A conservação desses registros observará especialmente obrigações legais e regulatórias relacionadas à prevenção à lavagem de dinheiro, ao financiamento do terrorismo, à prevenção a fraudes, à segurança cibernética, à rastreabilidade operacional e ao atendimento de requisições formuladas por autoridades competentes, nos termos do artigo 16, incisos I e II, da Lei Geral de Proteção de Dados Pessoais, bem como das normas expedidas pelo Banco Central do Brasil aplicáveis às prestadoras de serviços de ativos virtuais. Encerrados os prazos legais ou cessadas as bases jurídicas que legitimam a manutenção dos registros, os dados serão eliminados, anonimizados ou mantidos sob forma segura, observadas as hipóteses legalmente admitidas de conservação.

8. OPERADORES E COMPARTILHAMENTO DE DADOS PESSOAIS

No exercício de suas atividades, a Instituição poderá realizar o compartilhamento de dados pessoais com terceiros estritamente na medida necessária ao cumprimento das finalidades legítimas relacionadas à prestação dos serviços, à execução contratual, ao atendimento de obrigações legais e regulatórias, à mitigação de riscos operacionais e à manutenção da segurança das operações. Todo compartilhamento limita-se ao estritamente necessário para a finalidade regulatória e operacional envolvida, observando critérios de adequação, necessidade e limitação de acesso, sendo realizado apenas com agentes que possuam atribuições compatíveis com a finalidade pretendida e que ofereçam garantias suficientes de conformidade com a legislação aplicável.

8. 1. Qualificação dos Agentes de Tratamento no Contexto

Operacional No âmbito das atividades desenvolvidas, a Instituição atua predominantemente na qualidade de controladora dos dados pessoais tratados, uma vez que define as finalidades e os meios essenciais relacionados aos processos de cadastro, validação de identidade, diligência regulatória, prevenção a fraudes, monitoramento transacional, execução operacional e atendimento de obrigações legais e regulatórias incidentes sobre sua atividade. Determinadas atividades operacionais poderão envolver a atuação de terceiros especializados na condição de operadores de dados pessoais, incluindo prestadores de serviços tecnológicos, provedores de infraestrutura em nuvem, bureaus de validação cadastral, ferramentas de autenticação, soluções antifraude, plataformas de monitoramento transacional, provedores de mensageria, serviços de suporte sistêmico e parceiros técnicos necessários ao funcionamento dos ambientes digitais. Sempre que houver contratação de operadores, a Instituição adotará instrumentos contratuais e mecanismos de governança destinados a assegurar que o tratamento ocorra exclusivamente conforme suas instruções legítimas, observados padrões adequados de segurança da informação, confidencialidade, rastreabilidade e conformidade regulatória.

8. 2. Agentes de Tratamento e Papéis Institucionais

No contexto das atividades desempenhadas, a Instituição atua predominantemente na condição de controladora de dados pessoais, na medida em que define, de forma autônoma, as finalidades e os meios de tratamento necessários à execução de seus serviços, à condução de procedimentos cadastrais, à gestão da relação contratual, ao cumprimento de obrigações legais e regulatórias e à implementação de controles internos de segurança, integridade e conformidade. Em situações específicas relacionadas à prestação de determinados serviços tecnológicos, operacionais ou integrados a parceiros de mercado, a Instituição poderá atuar também na condição de operadora de dados pessoais, quando realizar operações de tratamento em nome de terceiros, observadas as instruções contratuais aplicáveis, os limites legais e os deveres de segurança e confidencialidade. Os dados pessoais tratados pela Instituição poderão ser compartilhados, quando necessário ao cumprimento das finalidades descritas nesta Política, com prestadores de serviços especializados, fornecedores de tecnologia, parceiros comerciais, bureaus de verificação cadastral, instituições financeiras, parceiros liquidantes, infraestruturas operacionais e demais terceiros envolvidos na viabilização das atividades desempenhadas. Em determinadas hipóteses, especialmente quando houver compartilhamento com instituições financeiras, parceiros liquidantes, bureaus especializados, participantes de arranjos operacionais ou terceiros sujeitos a obrigações regulatórias próprias, tais agentes poderão atuar como controladores independentes, realizando tratamento de dados pessoais para finalidades próprias, inclusive para cumprimento de obrigação legal, regulatória, prevenção à fraude, prevenção à lavagem de dinheiro, financiamento do terrorismo, controles de integridade e segurança operacional. A delimitação de responsabilidades entre os agentes de tratamento observará os instrumentos contratuais aplicáveis, bem como a natureza da relação estabelecida, especialmente nas hipóteses em que houver atuação de controladores independentes ou tratamento compartilhado no contexto regulatório.

8. 3. Parceiro Liquidante

Nas operações em que a liquidação financeira depender de infraestrutura regulada específica ou de Instituição habilitada para execução financeira, a Instituição poderá compartilhar dados pessoais estritamente necessários com parceiro liquidante ou Instituição financeira contratualmente vinculada ao arranjo operacional. Nesses casos, a Instituição atua na intermediação operacional das operações com ativos virtuais, não realizando diretamente, em nome próprio, atividades de liquidação financeira que dependam de infraestrutura regulada específica, as quais serão executadas pelo parceiro habilitado, nos termos do arranjo contratual e regulatório aplicável. O compartilhamento observará critérios de necessidade, proporcionalidade, segurança da informação, rastreabilidade operacional e conformidade regulatória.

8. 4. Operadores e Prestadores de Serviços Especializados

Para viabilizar suas atividades operacionais e tecnológicas, a Instituição poderá contratar terceiros especializados que atuem como operadores de dados pessoais, incluindo provedores de infraestrutura em nuvem, serviços de hospedagem, processamento de dados, soluções de segurança cibernética, ferramentas de prevenção à fraude, mecanismos de autenticação, plataformas de atendimento, sistemas de relacionamento com clientes, serviços de verificação cadastral, bureaus de validação de identidade e fornecedores de soluções analíticas. Nessas relações, o tratamento realizado por terceiros permanece limitado às instruções documentadas do controlador, sendo vedada a utilização dos dados para finalidades autônomas, incompatíveis ou não autorizadas. Os contratos firmados com operadores estabelecem, conforme a natureza do serviço contratado, requisitos mínimos de governança, segurança da informação, segregação de acesso, confidencialidade, rastreabilidade, subcontratação, retenção, descarte seguro e comunicação tempestiva de incidentes de segurança.

8. 5. Compartilhamento com Autoridades Públicas e Órgãos

Reguladores Os dados pessoais tratados pela Instituição poderão ser compartilhados com autoridades administrativas, regulatórias, fiscais ou judiciais quando houver fundamento legal ou regulatório que imponha tal providência, inclusive para atendimento a obrigações de fiscalização, auditoria, reporte, prevenção de ilícitos financeiros ou cumprimento de ordens formalmente válidas. Esse compartilhamento poderá abranger solicitações provenientes da Agência Nacional de Proteção de Dados, do Conselho de Controle de Atividades Financeiras, da Receita Federal do Brasil, do Ministério Público, do Poder Judiciário e de demais autoridades competentes, sempre nos limites da requisição apresentada e da base jurídica correspondente.

8. 6. Transferência Internacional de Dados Pessoais

Sempre que, por razões operacionais, tecnológicas, contratuais ou regulatórias, houver necessidade de transferência internacional de dados pessoais, a Instituição adotará as salvaguardas previstas no artigo 33 da Lei Geral de Proteção de Dados Pessoais e na Resolução CD/ANPD nº 19/2024. Nessas hipóteses, a transferência ocorrerá mediante utilização de mecanismos juridicamente válidos, tais como cláusulas contratuais específicas, cláusulas-padrão aprovadas, instrumentos de garantia adequados, certificações reconhecidas ou outras salvaguardas admitidas pela regulamentação aplicável. Os fluxos internacionais eventualmente existentes serão previamente mapeados, documentados e incorporados aos registros internos de tratamento, com identificação das categorias de dados transferidos, finalidades envolvidas, destinatários e medidas de proteção adotadas.

8. 7. Do Compartilhamento de Dados para Prevenção a Fraudes,

Crimes Financeiros e Cumprimento de Obrigações Regulatórias No exercício de suas atividades e em observância ao ambiente regulatório aplicável, a Instituição poderá realizar o compartilhamento de dados pessoais, cadastrais, transacionais e comportamentais estritamente necessários à prevenção, detecção, tratamento e mitigação de fraudes, incidentes de segurança, ilícitos financeiros e demais práticas incompatíveis com a integridade do sistema financeiro e do mercado de ativos virtuais. Quando aplicável, o compartilhamento poderá igualmente abranger informações mínimas necessárias ao cumprimento de requisitos de rastreabilidade transacional compatíveis com a denominada Travel Rule, observados os limites legais, regulatórios e os princípios da necessidade, adequação e minimização. Esse compartilhamento constitui obrigação regulatória inerente à atividade exercida pela Instituição e observará, especialmente, as diretrizes estabelecidas pela Resolução Conjunta nº 6, que disciplina procedimentos e controles voltados à prevenção de fraudes, segurança das transações e proteção de usuários no âmbito das instituições autorizadas a funcionar pelo Banco Central do Brasil e demais entidades sujeitas à regulação aplicável. Da mesma forma, a Instituição poderá tratar e compartilhar informações necessárias ao cumprimento de deveres relacionados à prevenção à lavagem de dinheiro, ao financiamento do terrorismo e à identificação de operações suspeitas, nos termos da Circular BCB nº 3.978/2020, incluindo comunicações obrigatórias, monitoramento de operações, procedimentos de identificação, qualificação cadastral, verificação de beneficiário final, avaliação de risco e manutenção de registros legalmente exigidos. Sob a perspectiva da Lei Geral de Proteção de Dados Pessoais, tais operações de tratamento e compartilhamento encontram fundamento, principalmente:

Quando necessário ao cumprimento dessas finalidades, o compartilhamento poderá ocorrer com autoridades públicas competentes, entidades reguladoras, instituições financeiras, parceiros operacionais, prestadores de serviços essenciais, infraestruturas de liquidação, bureaus de prevenção a fraudes e demais agentes legitimamente envolvidos nos fluxos regulatórios e operacionais da atividade desempenhada. A realização dessas operações observará os princípios da necessidade, adequação, minimização, segurança, rastreabilidade e limitação de acesso, restringindo-se aos dados estritamente pertinentes à finalidade regulatória ou operacional correspondente. As diretrizes específicas relacionadas a esses fluxos de tratamento encontram-se detalhadas, de forma complementar, na Política de Prevenção a Fraudes e Crimes em Geral e na Política de Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo (PLD/FT) da Instituição, documentos que integram o sistema interno de governança, integridade e conformidade regulatória. Nos termos da Resolução Conjunta nº 6, de 23 de maio de 2023, o compartilhamento de dados e informações relacionados a indícios, ocorrências ou tentativas de fraude constitui obrigação regulatória incidente sobre instituições autorizadas e participantes de arranjos regulados, podendo abranger informações necessárias à identificação de padrões suspeitos, prevenção de reincidências, mitigação de riscos operacionais e proteção da integridade do sistema financeiro e dos serviços digitais prestados.

8. 8. Compartilhamento de Dados em Transferências de Ativos

Virtuais e Cumprimento da Travel Rule A Instituição, no exercício de atividades de intermediação de operações com ativos virtuais, poderá realizar o tratamento e o compartilhamento de dados pessoais necessários ao atendimento de obrigações regulatórias incidentes sobre transferências de ativos virtuais entre prestadores de serviços, inclusive quando exigido para fins de identificação das partes envolvidas na transação, rastreabilidade operacional, prevenção à lavagem de dinheiro, prevenção ao financiamento do terrorismo e mitigação de riscos associados à circulação de ativos digitais. Esse compartilhamento observará, quando aplicável, os parâmetros regulatórios relativos à denominada Travel Rule, compreendida como o dever de transmissão de informações mínimas associadas ao originador e ao beneficiário das operações, em conformidade com as recomendações do Grupo de Ação Financeira Internacional (FATF), especialmente aquelas aplicáveis a prestadores de serviços de ativos virtuais, bem como com os padrões internacionais de prevenção à lavagem de dinheiro e financiamento do terrorismo e as exigências regulatórias nacionais supervenientes expedidas pelo Banco Central do Brasil ou demais autoridades competentes. Poderão ser compartilhados, conforme a natureza da operação:

Quando tecnicamente aplicável, a Instituição poderá utilizar mecanismos compatíveis com padrões de interoperabilidade regulatória adotados pelo setor, incluindo, quando aplicável, mecanismos de interoperabilidade entre prestadores de serviços de ativos virtuais para transmissão segura das informações exigidas, por meio de estruturas de comunicação seguras e padronizadas. O tratamento realizado neste contexto possui fundamento jurídico no cumprimento de obrigação legal ou regulatória, nos termos do art. 7º, II, da Lei Geral de Proteção de Dados Pessoais, sem prejuízo da observância dos princípios da necessidade, adequação, proporcionalidade e segurança. A Instituição poderá igualmente adotar procedimentos compatíveis com diretrizes técnicas e operacionais associadas ao intercâmbio estruturado de informações entre prestadores de serviços de ativos virtuais, inclusive modelos de governança interoperável voltados ao atendimento de obrigações regulatórias internacionais, tais como frameworks equivalentes ao Global Asset Transfer Infrastructure (GATI), sempre observadas as exigências legais aplicáveis ao tratamento de dados pessoais e à segurança das informações trafegadas.

9. DIREITOS DOS TITULARES E PROCEDIMENTO PARA ATENDIMENTO

A Instituição garante aos titulares de dados pessoais o exercício dos direitos previstos na legislação aplicável, observadas as limitações decorrentes de obrigações legais, regulatórias, contratuais e de preservação de registros exigidos no contexto da prestação de serviços de ativos virtuais. O titular poderá, a qualquer tempo e mediante solicitação formal, obter confirmação acerca da existência de tratamento de seus dados pessoais, acessar as informações tratadas, requerer correção de dados incompletos, inexatos ou desatualizados, bem como solicitar esclarecimentos sobre os critérios, finalidades e hipóteses jurídicas que fundamentam o tratamento realizado. Também poderá ser requerido, quando juridicamente cabível, o bloqueio, a anonimização ou a eliminação de dados pessoais que se revelem desnecessários, excessivos ou tratados em desconformidade com a legislação aplicável, ressalvadas as hipóteses em que a manutenção dos dados seja necessária ao cumprimento de obrigação legal ou regulatória, ao exercício regular de direitos, à preservação de evidências, à prevenção à fraude, à segurança das operações ou à observância dos deveres de integridade financeira e regulatória. Nos casos em que o tratamento se fundamente em consentimento, o titular poderá requerer sua revogação ou a eliminação dos dados correspondentes, observado que tal medida não alcança tratamentos cuja conservação permaneça autorizada ou exigida por fundamento legal superveniente ou autônomo. O titular poderá ainda solicitar informações sobre as entidades públicas ou privadas com as quais seus dados tenham sido compartilhados, requerer portabilidade quando tecnicamente viável e juridicamente aplicável, bem como apresentar oposição ao tratamento realizado com fundamento em hipótese legal diversa do consentimento, sempre que entender existir desconformidade com a legislação. Quando aplicável, também será assegurada a possibilidade de solicitação de revisão de decisões eventualmente adotadas com base predominante em processamento automatizado de dados pessoais que produzam efeitos relevantes sobre sua esfera jurídica ou interesses legítimos, observadas as características operacionais e regulatórias dos serviços prestados. Sem prejuízo dos canais internos de atendimento, o titular poderá apresentar petição perante a Agência Nacional de Proteção de Dados caso entenda insatisfatória a resposta recebida ou discorde do tratamento realizado.

9. 1. Procedimento para Atendimento aos Direitos dos Titulares

As solicitações relacionadas ao exercício de direitos dos titulares serão recebidas por meio dos canais oficiais disponibilizados pela Instituição, observando fluxo interno destinado a assegurar autenticidade, rastreabilidade, integridade e segurança no atendimento. Recebida a solicitação, será realizado registro formal da demanda, com identificação do requerimento apresentado, data de recebimento, número de protocolo e classificação interna quanto à natureza do direito exercido. Como medida de prevenção a fraudes e acessos indevidos, o atendimento ficará condicionado à prévia verificação da identidade do solicitante, podendo a Instituição exigir documentos, informações complementares ou mecanismos adicionais de validação sempre que necessários à confirmação segura da titularidade dos dados ou da legitimidade da representação exercida. Após a validação da identidade, a solicitação será submetida à análise técnica e jurídica, considerando a natureza do pedido, a base legal aplicável ao tratamento, os deveres regulatórios incidentes, eventuais obrigações legais de retenção de registros e as hipóteses de limitação legal ao exercício de determinados direitos. Nos termos do art. 19 da Lei Geral de Proteção de Dados Pessoais, a Instituição observará o prazo legal de até 15 (quinze) dias, contado da data do requerimento validamente apresentado, para fornecimento de declaração clara e completa acerca do tratamento de dados pessoais, sem prejuízo de resposta simplificada imediata quando cabível, especialmente nos pedidos de confirmação de existência de tratamento. Sempre que a complexidade da demanda exigir diligências técnicas adicionais, interação com operadores, recuperação de registros históricos ou análise regulatória complementar, a resposta ao titular poderá ser apresentada de forma fundamentada dentro do prazo legal, com indicação das providências em andamento e dos elementos necessários à conclusão do atendimento. Todas as solicitações recebidas, respectivas respostas, fundamentos adotados e providências eventualmente implementadas permanecerão registradas em ambiente controlado, para fins de governança, auditoria, rastreabilidade e demonstração de conformidade regulatória. Nas hipóteses em que o pedido não puder ser integralmente atendido, o titular receberá resposta fundamentada, com indicação objetiva dos motivos jurídicos, técnicos ou regulatórios que justifiquem a limitação, recusa ou impossibilidade de atendimento, preservado o direito de petição perante a autoridade competente.

10. SEGURANÇA DA INFORMAÇÃO, GOVERNANÇA Cibernética E Conformidade Regulatória

A Instituição adota estrutura formal de governança em segurança da informação e segurança cibernética compatível com a natureza de suas atividades, com o volume de operações realizadas, com a criticidade dos ativos tecnológicos utilizados e com os riscos inerentes à prestação de serviços relacionados a ativos virtuais. Essa estrutura observa, de forma integrada, a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), os princípios de segurança previstos no art. 46 da LGPD, bem como as exigências regulatórias estabelecidas pelo Banco Central do Brasil, especialmente aquelas constantes da Resolução BCB nº 85/2021, com as alterações promovidas pela Resolução BCB nº 538/2025, incluindo mecanismos de auditoria interna, monitoramento contínuo da conformidade regulatória e avaliação periódica da efetividade dos controles implementados. A política de segurança cibernética da Instituição é formalmente documentada, aprovada pela Diretoria e submetida a revisão periódica, ao menos anual, contemplando diretrizes de prevenção, detecção, resposta, contenção e recuperação diante de incidentes de segurança, além de mecanismos de monitoramento contínuo da efetividade dos controles implementados. Nos termos regulatórios aplicáveis, o resumo público da política de segurança cibernética permanece disponível aos usuários e parceiros, em observância ao dever de transparência regulatória.

10. 1. Diretor Responsável pela Segurança Cibernética

Em conformidade com a regulamentação do Banco Central do Brasil, a Instituição designa formalmente o Diretor responsável pela política de segurança cibernética, incumbido de supervisionar sua implementação, assegurar a execução do plano de ação e de resposta a incidentes e reportar à alta administração os eventos relevantes relacionados à segurança dos ambientes tecnológicos. A designação é formalizada em ata societária própria e poderá coexistir com outras atribuições executivas, desde que preservada a independência funcional necessária à adequada governança do tema e inexistente conflito material de interesses.

10. 2. Controles Mínimos de Segurança Cibernética

A estrutura de controles da Instituição contempla, no mínimo, os procedimentos exigidos pela regulamentação vigente, inclusive aqueles aplicáveis a ambientes operados por terceiros, prestadores de serviços tecnológicos, parceiros de infraestrutura ou soluções em nuvem. Nesse contexto, são adotados controles destinados a assegurar:

Tais controles são continuamente avaliados quanto à aderência regulatória e à efetividade operacional.

10. 3. Testes de Intrusão e Avaliação Técnica Independente

A Instituição realiza, em periodicidade mínima anual, testes independentes de intrusão e avaliações técnicas de segurança voltadas à identificação de vulnerabilidades em seus ativos tecnológicos, aplicações, interfaces expostas, integrações e infraestrutura crítica. Os testes abrangem, sempre que aplicável, ambientes próprios e ambientes operados por terceiros relevantes para a cadeia operacional. Os resultados são formalmente registrados, acompanhados de plano de remediação, priorização por criticidade e evidências de correção, permanecendo arquivados pelo prazo regulatório aplicável e disponíveis para apresentação às autoridades competentes.

10. 4. Relatório Anual de Segurança Cibernética

Ao término de cada exercício, é elaborado relatório consolidado de segurança cibernética contendo avaliação da efetividade dos controles adotados, síntese dos incidentes relevantes ocorridos, resultados de testes técnicos realizados, status das medidas corretivas implementadas e análise dos testes de continuidade operacional. Esse relatório é submetido à Diretoria dentro do prazo regulatório aplicável e integra os instrumentos formais de governança corporativa da Instituição.

11. COMUNICAÇÃO DE INCIDENTES DE SEGURANÇA

Na hipótese de incidente de segurança suscetível de acarretar risco ou dano relevante aos titulares de dados pessoais, a Instituição observará os deveres legais e regulatórios de comunicação perante as autoridades competentes, titulares eventualmente afetados, parceiros contratuais e instâncias internas de governança. A comunicação será realizada de forma tempestiva, observando-se os prazos estabelecidos pela regulamentação da Agência Nacional de Proteção de Dados e, quando aplicável, pelas normas expedidas pelo Banco Central do Brasil. A condução do processo observará, no mínimo, a identificação técnica preliminar do incidente; a avaliação de impacto regulatório; a classificação de severidade; a preservação de evidências; a contenção; a comunicação institucional e as medidas corretivas e preventivas subsequentes. Sempre que aplicável, incidentes relevantes também serão reportados aos parceiros operacionais envolvidos na cadeia de prestação dos serviços.

12. ENCARREGADO PELO TRATAMENTO DE DADOS PESSOAIS (DPO)

A Instituição designa formalmente Encarregado pelo Tratamento de Dados Pessoais, nos termos do art. 41 da LGPD, responsável por atuar como canal institucional de interlocução com titulares, Agência Nacional de Proteção de Dados e demais autoridades competentes. Os dados de contato do Encarregado permanecem permanentemente acessíveis nos canais oficiais da Instituição.

13. GOVERNANÇA E APROVAÇÃO

Esta Política é aprovada pela Diretoria da Instituição, com ciência formal do Diretor responsável pela Segurança Cibernética e do Encarregado pelo Tratamento de Dados Pessoais, e deverá ser revisada sempre que houver alteração legislativa ou regulatória relevante; modificação substancial na estrutura operacional; ocorrência de incidente relevante ou mudança relevante em processos de tratamento de dados ou infraestrutura tecnológica.

14. CLASSIFICAÇÃO DO DOCUMENTO

Esta Política possui natureza corporativa interna e classificação restrita, não podendo ser reproduzida, compartilhada ou divulgada externamente sem autorização expressa da Diretoria ou do Encarregado, ressalvadas as hipóteses legais, regulatórias ou contratuais aplicáveis.

15. APROVAÇÃO

A presente Política foi aprovada pela Diretoria Executiva da Instituição, passando a vigorar na data de sua aprovação.

Diretor Presidente Salomon Saldarriaga Osorio

Diretor de Compliance e PLD/FT Hector Mauricio Garcia

↑ Voltar ao topo