[RAZÃO SOCIAL] (WeetPay), inscrita no CNPJ sob o nº [CNPJ], com sede em [ENDEREÇO COMPLETO DA SEDE].
Contato: [E-MAIL DE CONTATO]
Esta Política explica como a [RAZÃO SOCIAL] (WeetPay) trata dados pessoais no site weetpay.com, no Painel (app.weetpay.com), na API e nos serviços de pagamento via Pix.
Ela segue a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD), a Lei Complementar nº 105/2001 (sigilo das operações), o Marco Civil da Internet (Lei nº 12.965/2014) e as normas do Banco Central e do arranjo Pix. Ao usar nossos serviços, você declara estar ciente desta Política.
01.Definições
- Dado pessoal: informação que identifica ou pode identificar uma pessoa natural.
- Dado pessoal sensível: dado biométrico, de saúde, origem racial, entre outros previstos na LGPD.
- Titular: pessoa a quem os dados se referem.
- Controlador: quem toma as decisões sobre o tratamento dos dados.
- Operador: quem trata os dados em nome do controlador.
- Tratamento: qualquer operação com dados pessoais, como coleta, uso, armazenamento, compartilhamento e eliminação.
- Cliente: pessoa física ou jurídica que tem conta na WeetPay.
- Pagador: pessoa que paga uma cobrança gerada por um Cliente.
- Instituição Parceira: [INSTITUIÇÃO DE PAGAMENTO PARCEIRA], instituição de pagamento autorizada pelo Banco Central que mantém e liquida os recursos.
02.Quem decide sobre os dados
A WeetPay é controladora dos dados de Clientes, sócios e representantes de empresas, visitantes do site e dos dados que precisa tratar para cumprir a lei, prevenir fraudes e prevenir a lavagem de dinheiro.
Em relação aos dados dos Pagadores que o Cliente envia nas cobranças, o Cliente é o controlador, e a WeetPay trata esses dados para executar o pagamento e cumprir obrigações legais. O Cliente deve informar seus próprios compradores sobre esse tratamento.
Com a Instituição Parceira e os participantes do Pix, o tratamento pode ser conjunto ou independente, conforme o papel de cada um na liquidação e na prevenção a fraudes.
03.Bases legais
Tratamos dados pessoais com base nas hipóteses da LGPD, principalmente:
- cumprimento de obrigação legal ou regulatória, como verificação de identidade e prevenção à lavagem de dinheiro;
- execução de contrato, para abrir a conta e prestar os serviços;
- exercício regular de direitos em processos judiciais, administrativos ou arbitrais;
- legítimo interesse, para segurança, prevenção a fraudes e melhoria dos serviços, sempre respeitando os direitos do titular;
- consentimento, quando for exigido.
A selfie usada na verificação de identidade é tratada para prevenir fraudes e garantir a segurança do titular na identificação e autenticação (art. 11, II, "g", da LGPD).
04.Dados que coletamos
Informados pelo Cliente
- nome, CPF ou CNPJ, e-mail, telefone e endereço;
- dados da empresa, de sócios, administradores e beneficiários finais;
- documentos da verificação de identidade: documento oficial com foto (RG ou CNH), selfie segurando o documento e comprovante de endereço;
- chaves Pix e dados de destino de saques.
Dos Pagadores
- nome, CPF ou CNPJ e e-mail enviados pelo Cliente na cobrança;
- dados da transação Pix, como valor, data, instituição e identificador End-to-End.
Técnicos e de segurança
- endereço IP, data e hora de acesso, navegador e dispositivo;
- localização aproximada estimada a partir do IP, para segurança e prevenção a fraudes;
- registros de acesso, ações no Painel e chamadas à API.
Transacionais
- cobranças, recebimentos, saques, saldo, devoluções, pedidos do MED e trilhas de auditoria.
De terceiros
- bases públicas e privadas, birôs de crédito e de prevenção a fraudes, listas restritivas, de sanções e de pessoas expostas politicamente (PEP).
Ao nos enviar dados de terceiros, como Pagadores ou sócios, o Cliente declara ter base legal para isso.
05.Para que usamos os dados
- abrir, manter e encerrar contas e prestar os serviços de pagamento;
- verificar a identidade e autenticar o acesso;
- cumprir obrigações legais e regulatórias, inclusive comunicações ao COAF;
- prevenir fraudes, analisar riscos e tratar pedidos do MED;
- dar suporte e enviar comunicações sobre a conta e os serviços;
- melhorar e desenvolver produtos, preferindo dados anonimizados para estatísticas;
- defender direitos em processos judiciais, administrativos ou arbitrais.
06.Decisões automatizadas
Usamos regras e modelos automáticos para avaliar cadastros, definir limites e identificar transações de risco, o que pode levar à recusa ou retenção de operações.
Você pode pedir a revisão de uma decisão tomada só com base em tratamento automatizado e informações sobre os critérios usados, respeitados os segredos comercial e industrial e o sigilo exigido pelas normas de prevenção à lavagem de dinheiro (art. 20 da LGPD).
07.Com quem compartilhamos
Compartilhamos dados apenas quando necessário, com:
- a Instituição Parceira e participantes do arranjo Pix, para executar e liquidar as transações;
- prestadores de serviço, como hospedagem e infraestrutura em nuvem, envio de e-mails e proteção contra robôs (Cloudflare Turnstile, usado no cadastro, no login e na recuperação de senha);
- integrações ativadas pelo Cliente, como Utmify e Pushcut, que recebem dados das vendas conforme a configuração feita no Painel;
- o próprio Cliente, que recebe os dados dos seus Pagadores nas transações;
- autoridades competentes, como Banco Central, COAF, Receita Federal e Poder Judiciário, quando exigido por lei ou ordem;
- empresas envolvidas em operações societárias, como fusão ou aquisição, com as mesmas garantias desta Política.
Alguns prestadores podem armazenar dados fora do Brasil. Nesses casos, a transferência internacional segue o art. 33 da LGPD, com garantias contratuais adequadas.
08.Sigilo das operações
As informações sobre as operações de pagamento são protegidas pelo sigilo previsto na Lei Complementar nº 105/2001. O fornecimento de informações a autoridades e órgãos de controle nos casos previstos em lei não viola esse sigilo.
09.Segurança da informação
Adotamos medidas técnicas e administrativas para proteger os dados, entre elas:
- conexões criptografadas (HTTPS) em todo o site, Painel e API;
- documentos da verificação de identidade higienizados e guardados com criptografia AES-256-GCM, com chave própria por arquivo, fora de qualquer área pública;
- senhas e PIN de transação guardados apenas em forma de hash (bcrypt), nunca em texto aberto;
- sessão em cookie protegido (httpOnly) e acesso interno restrito a quem precisa;
- monitoramento de acessos e registros de auditoria.
Nenhum sistema é totalmente imune a incidentes. Se ocorrer um incidente que possa gerar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados, conforme a lei.
10.Por quanto tempo guardamos
- Cadastro e transações: no mínimo 5 (cinco) anos após o encerramento da conta ou da operação, como exigem a Lei nº 9.613/1998 e as normas de prevenção à lavagem de dinheiro.
- Registros de acesso: no mínimo 6 (seis) meses, como exige o Marco Civil da Internet.
- Demais dados: pelo tempo necessário para cumprir a finalidade ou para o exercício de direitos, em regra até 10 (dez) anos.
Depois desses prazos, os dados são eliminados ou anonimizados, salvo se houver outra base legal para mantê-los.
11.Seus direitos
Conforme o art. 18 da LGPD, você pode pedir:
- confirmação de que tratamos seus dados e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei;
- portabilidade, conforme regulamentação da ANPD;
- informação sobre com quem compartilhamos seus dados;
- revogação do consentimento, quando ele for a base do tratamento;
- oposição a tratamentos e revisão de decisões automatizadas.
Para exercer seus direitos, escreva para [E-MAIL DO ENCARREGADO (DPO)]. Responderemos em até 15 (quinze) dias, depois de confirmar sua identidade. Pedidos sobre dados de Pagadores podem ser encaminhados ao Cliente, que é o controlador desses dados.
A eliminação pode ser limitada quando a lei exigir a guarda dos dados. Você também pode apresentar reclamação à ANPD.
12.Crianças e adolescentes
Nossos serviços não se destinam a menores de 18 (dezoito) anos, e não abrimos contas para eles. Se identificarmos dados de menores tratados indevidamente, eles serão eliminados, salvo quando a lei exigir sua guarda.
14.Encarregado pelo tratamento de dados (DPO)
Dúvidas, pedidos e reclamações sobre dados pessoais podem ser enviados ao nosso encarregado pelo e-mail [E-MAIL DO ENCARREGADO (DPO)].
15.Alterações desta Política
Esta Política pode ser atualizada a qualquer momento. A versão vigente fica sempre disponível em weetpay.com/politica-de-privacidade, com a data da última atualização. Mudanças relevantes serão comunicadas aos Clientes.
16.Lei aplicável e foro
Esta Política é regida pelas leis brasileiras. Fica eleito o foro da comarca de [COMARCA DO FORO], ressalvadas as hipóteses de competência definidas em lei.
Contatos: [E-MAIL DE CONTATO] (geral), [E-MAIL DE COMPLIANCE] (compliance) e [E-MAIL DO CANAL DE DENÚNCIA] (denúncias).