Política de Privacidade da Pagnow

Data de vigência: {{DATA_VIGENCIA}}

1. Quem somos e a quem esta Política se aplica

Esta Política explica como a PagNow Pagamentos S.A., inscrita no CNPJ sob o nº 38.284.910/0001-66, com sede na Av. Paulista 1374, São Paulo, Brasil ("Pagnow"), trata dados pessoais no site, nos painéis, nas APIs, no suporte e na infraestrutura de pagamentos que oferece a pessoas jurídicas.

A Pagnow atende gateways, prestadores de serviços de pagamento, fintechs e plataformas ("Clientes"). Esta Política pode abranger dados de representantes, funcionários e prestadores dos Clientes; potenciais Clientes; usuários dos sistemas; pagadores, recebedores e outros usuários finais dos Clientes; e pessoas que contatem a Pagnow ("Titulares").

A Pagnow é uma plataforma tecnológica B2B. Não é uma Instituição de Pagamento autorizada pelo Banco Central do Brasil e não se apresenta como tal. Esta Política não declara licença, homologação, certificação ou supervisão regulatória.

2. Controlador e operador: qual é o papel da Pagnow

O papel da Pagnow depende de quem decide a finalidade e os meios essenciais de cada operação de tratamento:

• Pagnow como controladora: quando decide por que e como tratar dados para finalidades próprias, como cadastrar o Cliente e seus representantes, administrar a relação contratual, proteger a plataforma, prevenir fraude contra a própria operação, atender suporte, faturar e cumprir obrigações legais aplicáveis.
• Pagnow como operadora: quando trata dados pessoais dos usuários finais em nome do Cliente e conforme suas instruções documentadas, para transmitir, registrar, conciliar ou dar suporte a operações iniciadas pelo Cliente.
• Cliente como controlador: em regra, o Cliente define a finalidade das transações, escolhe quais dados de seus usuários finais serão enviados, estabelece a base legal, presta as informações aos Titulares e atende seus direitos.

Esses papéis são avaliados por operação, e não por um rótulo geral. A Pagnow poderá ser controladora de uma operação e operadora de outra envolvendo o mesmo Titular. Se a Pagnow passar a determinar finalidade própria sobre um dado recebido como operadora, deverá tratar essa operação conforme as obrigações de controladora e informar o que for exigido.

Quando receber pedido de um usuário final sobre dados controlados pelo Cliente, a Pagnow poderá direcioná-lo ao Cliente e auxiliá-lo nos limites contratuais. Isso não reduz a responsabilidade de cada parte prevista na Lei nº 13.709/2018 (LGPD).

3. Dados pessoais que podemos tratar

Conforme a relação e as funcionalidades utilizadas, a Pagnow poderá tratar:

1. Dados cadastrais e societários: nome, CPF, data de nascimento, nacionalidade, cargo, assinatura, telefone, e-mail, endereço, documentos de identificação, selfie ou prova de vida quando necessária, CNPJ, quadro societário e informações de beneficiário final.

2. Dados de conta e acesso: identificadores de usuário e Cliente, perfis, permissões, registros de autenticação, identificadores de Credenciais de API, chaves públicas, configurações de segurança e histórico de alterações.

3. Dados transacionais e financeiros: valor, moeda, data, horário, status, descrição, identificadores da transação, dados de pagador e recebedor, chave e dados relacionados ao Pix, dados bancários, boleto, informações de cartão limitadas ao necessário, endereço de carteira de criptoativo, reembolsos, chargebacks, MED, reservas, conciliações e evidências.

4. Dados de verificação e risco: resultados de KYC/KYB, listas restritivas, indícios e pontuações de fraude, inconsistências cadastrais, vínculos entre contas, contestações e informações obtidas de provedores ou fontes públicas legítimas.

5. Dados técnicos e logs: endereço IP, data e hora, dispositivo, sistema operacional, navegador, identificadores de sessão, eventos de API e webhook, páginas acessadas, erros, tentativas de acesso, telemetria, cookies e tecnologias similares.

6. Dados de atendimento e relacionamento: mensagens, chamados, gravações quando informadas, preferências de contato, feedback e histórico de suporte.

7. Dados fiscais e contratuais: contratos, propostas, notas fiscais, cobranças, pagamentos e registros necessários à execução e comprovação da relação comercial.

A Pagnow não solicita que o Cliente envie dados pessoais além do necessário ou fora dos campos e canais previstos. Dados pessoais sensíveis somente devem ser tratados quando indispensáveis, com base legal adequada e controles compatíveis. O Cliente não deve enviar dados completos de cartão ou segredos de autenticação em campos livres, chamados ou logs.

4. Como obtemos os dados

Podemos obter dados:

• diretamente do Titular ou do Cliente;
• dos sistemas, aplicativos, APIs e usuários finais do Cliente;
• de provedores de pagamento, adquirência, Pix, boleto, criptoativos, KYC/KYB e antifraude envolvidos na operação;
• de fontes públicas e bases privadas legitimamente acessadas para verificação cadastral, segurança ou prevenção à fraude; e
• automaticamente, durante o uso do site, painel, API, webhook e demais Serviços.

Quando o Cliente fornece dados de terceiros, ele deve assegurar transparência, base legal e demais requisitos da LGPD. Quando a Pagnow atuar como controladora, verificará sua própria base legal para a operação correspondente.

5. Finalidades, bases legais e papéis

As bases legais abaixo serão aplicadas conforme o contexto e a natureza dos dados. Uma mesma operação poderá se apoiar em mais de uma base legal compatível.

O legítimo interesse não será usado de forma incompatível com direitos e liberdades fundamentais. Quando aplicável, a Pagnow deverá documentar a finalidade, a necessidade, o balanceamento de interesses e as salvaguardas.

6. Decisões automatizadas e prevenção à fraude

A Pagnow e os provedores envolvidos poderão usar sinais e regras automatizadas para detectar anomalias, priorizar análises, limitar tentativas ou apoiar decisões de risco. Nem todo alerta produz recusa automática, e determinadas decisões podem ser tomadas pelo Cliente ou pelo provedor responsável pelo trilho.

Quando a Pagnow for controladora de decisão tomada unicamente com base em tratamento automatizado que afete os interesses do Titular, o Titular poderá solicitar revisão e informações sobre os critérios e procedimentos utilizados, resguardados os segredos comercial e industrial e os limites legais.

7. Com quem compartilhamos dados

Podemos compartilhar somente os dados necessários com:

1. provedores dos trilhos contratados, como provedores de pagamento, Pix, adquirência, bandeiras, emissores, boleto, contas e criptoativos, para executar, liquidar, conciliar, contestar ou devolver transações;

2. provedores de KYC/KYB, identidade, assinatura e antifraude, para verificação e gestão de risco;

3. provedores de infraestrutura, como nuvem, hospedagem, banco de dados, segurança, observabilidade, comunicação, suporte e armazenamento;

4. Cliente e participantes autorizados da operação, para fornecer os Serviços e tratar suporte, conciliação, chargeback, MED, fraude ou incidente;

5. assessores profissionais, auditores e seguradoras, sujeitos a deveres de confidencialidade e necessidade; e

6. autoridades administrativas, policiais ou judiciais, quando houver obrigação, ordem válida ou necessidade de exercer direitos.

Provedores que tratem dados em nome da Pagnow devem receber instruções e obrigações compatíveis com sua função. Alguns destinatários poderão atuar como controladores independentes por força de suas próprias finalidades e obrigações; nesse caso, seus avisos de privacidade também poderão se aplicar.

A Pagnow não vende dados pessoais. Eventual operação societária poderá envolver transferência de dados, com preservação da finalidade, da confidencialidade e dos direitos previstos em lei.

8. Transferência internacional

Alguns provedores de infraestrutura ou suporte poderão armazenar ou acessar dados fora do Brasil. Quando houver transferência internacional de dados pessoais sujeita à LGPD, a Pagnow deverá verificar a hipótese legal e adotar mecanismo válido, como decisão de adequação, cláusulas-padrão contratuais aprovadas pela ANPD ou outro mecanismo previsto no art. 33 da LGPD e na regulamentação aplicável.

A transferência deverá ser limitada ao necessário e acompanhada de medidas contratuais, técnicas e organizacionais compatíveis com o risco. Quando atuar como operadora, a Pagnow prestará ao Cliente as informações disponíveis para que ele cumpra suas obrigações de controlador.

9. Retenção e eliminação

A Pagnow conserva dados pelo período necessário para cada finalidade, considerando o contrato, instruções válidas do Cliente, risco de fraude, prazos prescricionais, exercício de direitos e obrigações fiscais, contábeis, financeiras e de segurança aplicáveis.

Em especial:

• dados cadastrais, contratuais e fiscais poderão ser mantidos durante a relação e pelos prazos legais e prescricionais posteriores;
• registros transacionais, de liquidação, reembolso, chargeback e MED poderão ser mantidos pelos prazos necessários à conciliação, auditoria, defesa de direitos e cumprimento das obrigações aplicáveis;
• logs de segurança e acesso serão mantidos por período proporcional à finalidade, aos riscos e aos prazos legais aplicáveis;
• dados tratados como operadora serão devolvidos, eliminados, anonimizados ou retidos conforme instruções do Cliente, o contrato e as exceções legais; e
• registros de incidentes de segurança serão mantidos pelo prazo mínimo exigido pela regulamentação aplicável.

Encerrada a finalidade, os dados serão eliminados ou anonimizados, salvo conservação permitida pelo art. 16 da LGPD ou por outra norma aplicável. Cópias residuais de segurança poderão permanecer até o ciclo seguro de sobrescrita, com acesso restrito e sem uso para nova finalidade.

10. Direitos dos Titulares

Nos termos da LGPD e conforme aplicável, o Titular pode solicitar:

1. confirmação da existência de tratamento e acesso aos dados;

2. correção de dados incompletos, inexatos ou desatualizados;

3. anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;

4. portabilidade, observada a regulamentação e os segredos comercial e industrial;

5. informação sobre compartilhamentos;

6. eliminação de dados tratados com consentimento, ressalvadas as hipóteses legais de conservação;

7. informação sobre a possibilidade de negar consentimento e suas consequências;

8. revogação do consentimento;

9. oposição a tratamento irregular baseado em hipótese diversa do consentimento;

10. revisão de decisão automatizada, quando cabível; e

11. petição perante a Autoridade Nacional de Proteção de Dados e outros órgãos competentes.

Para exercer direitos em operações nas quais a Pagnow é controladora, o Titular deve contatar {{EMAIL_DPO}}. A Pagnow poderá pedir informações proporcionais para confirmar a identidade e evitar fraude. Se não puder atender, explicará as razões de fato ou de direito, quando permitido.

Em relação aos dados de usuários finais tratados pela Pagnow como operadora, o pedido deve ser dirigido primeiro ao Cliente que ofereceu o produto ou serviço. Se o pedido chegar à Pagnow, ela poderá identificar o Cliente responsável, encaminhar a solicitação e auxiliá-lo conforme o contrato, sem divulgar dados a pessoa não verificada.

11. Segurança e incidentes

A Pagnow adota medidas administrativas e técnicas compatíveis com a natureza dos dados e os riscos do tratamento, incluindo controles de acesso, gestão de Credenciais, registros de eventos, segregação de ambientes, proteção de comunicações, cópias de segurança e processos de resposta a incidentes, conforme aplicável à operação.

Nenhum sistema é infalível. A Pagnow não afirma possuir certificação PCI-DSS, SOC 2, ISO ou equivalente. Se ocorrer incidente com dados pessoais, a Pagnow adotará medidas de contenção, investigação e mitigação e cumprirá os deveres de registro e comunicação que lhe couberem. Quando atuar como operadora, informará o controlador sem demora indevida e fornecerá as informações disponíveis para apoiá-lo.

O Cliente também deve manter medidas adequadas, proteger Credenciais, limitar permissões, atualizar integrações e comunicar suspeitas pelos canais contratuais.

12. Cookies e tecnologias similares

O site e os painéis poderão usar:

• cookies estritamente necessários, para sessão, autenticação, segurança, preferências essenciais e funcionamento da plataforma; e
• cookies opcionais, para análise de uso ou comunicações, somente quando implementados e apoiados em base legal adequada.

Quando o consentimento for necessário, cookies opcionais não deverão ser ativados antes da escolha do usuário. O usuário poderá revisar ou retirar sua escolha pelo mecanismo disponibilizado e também controlar cookies no navegador, ciente de que o bloqueio dos estritamente necessários pode impedir o funcionamento de partes do Serviço.

A lista efetiva de cookies, fornecedores, finalidades e durações deverá ser apresentada no aviso ou painel de cookies antes da publicação desta Política.

13. Crianças e adolescentes

Os Serviços são contratados por pessoas jurídicas e não são direcionados a crianças ou adolescentes. Se o modelo do Cliente envolver dados de menores, cabe ao Cliente, como controlador, avaliar a necessidade, a base legal e o melhor interesse do menor, fornecer instruções documentadas e adotar as salvaguardas exigidas. A Pagnow não deve receber esses dados fora de fluxo previamente avaliado e contratado.

14. Alterações desta Política

Esta Política poderá ser atualizada para refletir mudanças nos Serviços, nos tratamentos ou na legislação. A versão publicada indicará a data de vigência. Mudanças materiais serão informadas por meio razoável antes de produzirem efeitos, salvo necessidade de aplicação imediata por lei ou segurança.

Se uma nova finalidade for incompatível com a informada originalmente, a Pagnow adotará a base legal e a transparência exigidas antes de iniciar o novo tratamento.

15. Contato do encarregado

O canal do encarregado pelo tratamento de dados pessoais é:

• E-mail: {{EMAIL_DPO}}
• Endereço: Av. Paulista 1374, São Paulo, Brasil

Esse canal pode ser usado para dúvidas, reclamações e exercício de direitos nas operações em que a Pagnow atua como controladora. Questões operacionais sobre uma compra, cobrança, saque ou conta oferecida por um Cliente devem ser encaminhadas primeiro ao próprio Cliente.

16. Lei aplicável e foro

Esta Política é interpretada conforme as leis da República Federativa do Brasil, especialmente a LGPD.

Fica eleito o foro de {{FORO}} para controvérsias relacionadas a esta Política, ressalvadas as competências obrigatórias e os direitos de petição perante a ANPD e outros órgãos competentes.

17. O que falta para publicar

O jurídico precisa decidir e aprovar, exatamente:

1. a data {{DATA_VIGENCIA}}, o canal {{EMAIL_DPO}} e o foro {{FORO}};

2. a identidade e a forma de divulgação do encarregado, além do fluxo interno e dos prazos para atender direitos dos Titulares;

3. o inventário real de dados, fontes, sistemas, finalidades e dados sensíveis, incluindo selfie, prova de vida, cartão, chave Pix, carteira de criptoativos e dados de menores;

4. a matriz controlador-operador por produto e operação, as instruções documentadas do Cliente e o anexo de tratamento de dados B2B2C;

5. as bases legais de cada tratamento próprio, inclusive testes de legítimo interesse, prevenção à fraude, proteção do crédito e eventual uso de consentimento;

6. quais decisões de risco são automatizadas, quem as toma, quais efeitos produzem e como funcionará a revisão;

7. a lista de provedores e suboperadores, sua função, seu papel como operador ou controlador independente e o procedimento para mudanças;

8. os países de armazenamento ou acesso, os fluxos internacionais e o mecanismo válido para cada transferência, inclusive cláusulas-padrão da ANPD quando aplicáveis;

9. a tabela de retenção por categoria e sistema, alinhada aos prazos fiscais, contábeis, financeiros, civis, antifraude, segurança, chargeback e MED efetivamente aplicáveis;

10. o inventário de cookies e tecnologias similares, seus fornecedores, finalidades, duração e o mecanismo de consentimento e revogação;

11. as medidas de segurança que podem ser descritas publicamente sem criar promessa inexata e o plano de resposta, registro e comunicação de incidentes; e

12. o procedimento para exclusão, anonimização, devolução e exportação de dados no encerramento, inclusive cópias de segurança e exceções legais.