Política de Privacidade e de Proteção de Dados Pessoais

1.1. SAGACE PAYMENTS LTDA, inscrita no CNPJ sob o nº 61.350.676/0001-08, com nome fantasia SOLUT PAYMENTS e sede na Rua Anhanguera, nº 682, Bairro Cândida Câmara, Montes Claros/MG, CEP 39.401-034 (“SAGACEPAY”), é uma plataforma de tecnologia para gestão de pagamentos eletrônicos que viabiliza a captura, o roteamento, o processamento e o acompanhamento da liquidação de transações realizadas por cartão, Pix, boleto e demais meios habilitados.

1.2. Esta Política descreve, de forma transparente, quais dados pessoais tratamos, com que finalidade, com qual base legal, com quem compartilhamos, por quanto tempo armazenamos e como você pode exercer os seus direitos.

1.3. Aplica-se ao tratamento realizado nos sites sagacepay.com.br e painel.sagacepay.com.br, no checkout e nos links de pagamento operados pela SAGACEPAY, nas APIs de integração e nos canais de atendimento, relacionamento e comunidade oficiais.

1.4. Esta Política aplica-se às seguintes categorias de titulares:

• Clientes: pessoas físicas e jurídicas que abrem conta na SAGACEPAY para receber pagamentos, bem como seus sócios, administradores, representantes legais e beneficiários finais;
• Compradores: pessoas que realizam pagamentos por meio do checkout ou dos links operados pela SAGACEPAY;
• Visitantes: pessoas que navegam pelos sites e canais da SAGACEPAY sem realizar cadastro;
• Candidatos, parceiros e fornecedores: pessoas que se relacionam com a SAGACEPAY em processos seletivos ou em relações contratuais.

1.5. Esta Política não se aplica ao tratamento de dados realizado pelos Clientes em seus próprios sites, lojas, redes sociais e canais de venda, nem por plataformas de terceiros acessadas por meio de links.

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável (art. 5º, I, da LGPD).
• Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dado genético ou biométrico (art. 5º, II, da LGPD).
• Titular: pessoa natural a quem se referem os dados pessoais.
• Controlador: a quem competem as decisões referentes ao tratamento de dados pessoais.
• Operador: quem realiza o tratamento de dados pessoais em nome do controlador.
• Encarregado (DPO): pessoa indicada para atuar como canal de comunicação entre o controlador, os titulares e a ANPD.
• Tratamento: toda operação realizada com dados pessoais, da coleta à eliminação.
• ANPD: Autoridade Nacional de Proteção de Dados.
• Cliente, Comprador, Transação e demais expressões em maiúsculas: têm o significado atribuído nos Termos e Condições de Uso da Plataforma SagacePay.

3.1. Dados que você nos fornece

3.2. Dados gerados pelo uso da Plataforma

3.3. Dados coletados automaticamente

3.4. A SAGACEPAY poderá obter dados de fontes legítimas de terceiros, tais como bureaus de crédito, bases públicas de órgãos governamentais, listas restritivas nacionais e internacionais, provedores de antifraude e de validação cadastral, com a finalidade de confirmar informações e prevenir fraudes.

3.5. O fornecimento de dados cadastrais e de KYC é requisito para a abertura e a manutenção da conta. A recusa em fornecê-los impede a prestação dos serviços, por decorrer de obrigação legal e regulatória.

4.1. Quando o tratamento se fundar em legítimo interesse, a SAGACEPAY realizará e documentará avaliação de balanceamento, adotando salvaguardas para proteger os direitos do titular, que poderá se opor ao tratamento na forma do capítulo 13.

4.2. Quando o tratamento se fundar em consentimento, este poderá ser revogado a qualquer tempo, por procedimento gratuito e facilitado, sem prejuízo dos tratamentos realizados antes da revogação e daqueles amparados em outra base legal.

5.1. Como regra, a SAGACEPAY não coleta dados pessoais sensíveis. A exceção é o dado biométrico facial, coletado no procedimento de prova de vida e de comparação entre a selfie e o documento de identificação apresentado (liveness e face match).

5.2. O tratamento do dado biométrico tem por finalidade exclusiva confirmar a identidade do titular, prevenir fraude de identidade e cumprir os deveres de identificação impostos pela Lei nº 9.613/1998, fundamentando-se no art. 11, II, alíneas “a” e “g”, da LGPD.

5.3. O dado biométrico não é utilizado para qualquer outra finalidade, não é comercializado e não é compartilhado para fins publicitários ou de perfilamento comercial.

5.4. A imagem facial e o resultado da verificação são retidos pelo prazo necessário ao cumprimento da obrigação legal de identificação, sendo eliminados ao término desse período.

6.1. Cookies são pequenos arquivos gravados no seu dispositivo que permitem reconhecer o navegador, manter a sessão ativa, medir desempenho e personalizar a experiência. Utilizamos as seguintes categorias:

6.2. Na primeira visita, é exibido banner de gerenciamento de cookies, no qual o titular pode aceitar, recusar ou configurar as categorias não necessárias. As preferências podem ser revistas a qualquer tempo pelo mesmo painel.

6.3. O titular pode bloquear ou excluir cookies nas configurações do navegador, ciente de que a desativação dos cookies necessários pode comprometer funcionalidades essenciais, inclusive o acesso à conta e a finalização de pagamentos.

7.1. Os dados pessoais poderão ser compartilhados com:

• Participantes do arranjo de pagamento: credenciadoras, subadquirentes, bandeiras, emissores, instituições de pagamento e instituições financeiras responsáveis pela autorização, custódia e liquidação;
• Prestadores de serviço (operadores): provedores de infraestrutura em nuvem, antifraude, validação cadastral e biométrica, comunicação, emissão de notas fiscais, cobrança e suporte, contratualmente obrigados a tratar os dados apenas conforme instruções da SAGACEPAY;
• Bureaus e órgãos de proteção ao crédito: para verificação cadastral, análise de risco e proteção ao crédito;
• Clientes (lojistas): quanto aos dados do Comprador necessários à identificação da compra, à entrega e ao atendimento pós-venda;
• Autoridades públicas: Banco Central do Brasil, COAF, Receita Federal, ANPD, Procon, Ministério Público e Poder Judiciário, mediante requisição fundamentada ou obrigação legal;
• Assessores e auditores: advogados, auditores independentes e consultores, sob dever de sigilo;
• Terceiros em operações societárias: fusão, cisão, incorporação, aquisição ou reestruturação, hipótese em que os titulares serão informados e esta Política será observada pela sucessora.

7.2. Na hipótese de suspeita de fraude, disputa, reclamação ou ilícito, os dados cadastrais dos envolvidos poderão ser fornecidos à parte prejudicada, a seguradoras, a câmaras arbitrais e a órgãos administrativos competentes, na estrita medida necessária à apuração e ao exercício regular de direitos.

7.3. A SAGACEPAY não comercializa dados pessoais nem os cede a terceiros para finalidades publicitárias próprias destes.

8.1. Parte dos dados pessoais poderá ser armazenada ou processada em servidores localizados fora do Brasil, em razão do uso de provedores de infraestrutura em nuvem e de serviços de segurança e antifraude com operação internacional.

8.2. Toda transferência internacional observa o art. 33 da LGPD e se fundamenta, conforme o caso, em: (i) transferência para país com grau adequado de proteção; (ii) cláusulas contratuais padrão ou específicas aprovadas pela ANPD; (iii) necessidade para execução de contrato; ou (iv) cumprimento de obrigação legal ou exercício regular de direitos.

8.3. A relação atualizada dos países e dos operadores envolvidos pode ser solicitada ao Encarregado pelo e-mail encarregado@sagacepay.com.br.

9.1. Os dados pessoais são conservados pelo tempo necessário ao cumprimento das finalidades para as quais foram coletados e, após, pelos prazos legais de guarda e prescrição:

9.2. Encerrados os prazos acima, os dados são eliminados ou anonimizados de forma segura e irreversível, ressalvada a conservação exigida por determinação de autoridade competente ou necessária ao exercício regular de direitos em processo em curso, nos termos do art. 16 da LGPD.

10.1. A SAGACEPAY adota medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, entre elas:

• criptografia de dados em trânsito (TLS) e em repouso;
• tokenização e não retenção de dados completos de cartão, em conformidade com o padrão PCI-DSS;
• controle de acesso por perfil, mínimo privilégio e autenticação multifator para acessos administrativos;
• registro de trilhas de auditoria e monitoramento contínuo de eventos de segurança;
• segregação de ambientes de desenvolvimento, homologação e produção;
• rotinas de backup, plano de continuidade de negócios e testes periódicos de recuperação;
• cláusulas de confidencialidade e de proteção de dados com colaboradores, operadores e parceiros;
• programa interno de treinamento e conscientização em privacidade e segurança.

10.2. Nenhum sistema é integralmente imune a incidentes. O titular também é responsável por manter suas credenciais em sigilo, utilizar senhas fortes, ativar a autenticação em dois fatores e comunicar imediatamente qualquer suspeita de acesso indevido.

11.1. Verificado incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a SAGACEPAY comunicará a ANPD e os titulares afetados em prazo razoável, na forma do art. 48 da LGPD.

11.2. A comunicação conterá, no mínimo: a descrição da natureza dos dados afetados; as informações sobre os titulares envolvidos; as medidas técnicas e de segurança utilizadas; os riscos relacionados; os motivos de eventual demora; e as medidas adotadas para reverter ou mitigar os efeitos.

11.3. A SAGACEPAY mantém plano de resposta a incidentes, com registro, classificação de severidade, contenção, apuração de causa raiz e adoção de medidas corretivas.

12.1. A SAGACEPAY utiliza sistemas automatizados de análise de risco e prevenção à fraude que podem, com base em dados cadastrais, transacionais, comportamentais e do dispositivo, recusar transações, exigir verificação adicional, limitar operações, definir reservas ou suspender contas.

12.2. Nos termos do art. 20 da LGPD, o titular tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, mediante requerimento ao Encarregado.

12.3. A SAGACEPAY prestará informações claras sobre os critérios e procedimentos utilizados, observados os segredos comercial e industrial próprios e de seus parceiros, e assegurará revisão por pessoa natural sempre que a solicitação for fundamentada.

13.1. Nos termos do art. 18 da LGPD, o titular tem direito a obter da SAGACEPAY, a qualquer momento:

• confirmação da existência de tratamento;
• acesso aos dados pessoais tratados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade dos dados a outro fornecedor, observados os segredos comercial e industrial;
• eliminação dos dados tratados com base em consentimento, ressalvadas as hipóteses do art. 16 da LGPD;
• informação sobre as entidades públicas e privadas com as quais houve uso compartilhado de dados;
• informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
• revogação do consentimento;
• oposição a tratamento realizado com fundamento em hipótese de dispensa de consentimento, em caso de descumprimento da lei;
• revisão de decisões automatizadas, na forma do capítulo 12.

13.2. Como exercer. Envie sua solicitação para encarregado@sagacepay.com.br, indicando no assunto “Solicitação de titular — LGPD”, com a descrição do pedido e os dados necessários à sua identificação.

13.3. Para preservar a segurança dos titulares, a SAGACEPAY poderá solicitar informações ou documentos adicionais de confirmação de identidade antes de atender ao pedido.

13.4. As solicitações são respondidas em até 15 (quinze) dias, contados do recebimento do pedido devidamente instruído, conforme o art. 19, II, da LGPD. Pedidos de complexidade elevada podem receber resposta preliminar informando as providências em curso.

13.5. O atendimento é gratuito. A SAGACEPAY poderá deixar de atender, no todo ou em parte, pedidos que impliquem violação de segredo comercial ou industrial, de sigilo legal, de direitos de terceiros, ou que se refiram a dados cuja guarda seja legalmente obrigatória, informando a fundamentação da recusa.

14.1. A Plataforma é destinada exclusivamente a pessoas maiores de 18 (dezoito) anos e a pessoas jurídicas. A SAGACEPAY não coleta intencionalmente dados de crianças e adolescentes para abertura de conta.

14.2. Identificado o tratamento de dados de criança ou adolescente sem o devido amparo legal, a SAGACEPAY adotará providências imediatas para eliminá-los, salvo quando a conservação for exigida por lei.

15.1. No processamento de pagamentos, a SAGACEPAY e o Cliente atuam como controladores independentes: o Cliente é responsável pelo tratamento relacionado à sua atividade comercial, à oferta, à entrega e ao pós-venda; a SAGACEPAY é responsável pelo tratamento necessário ao processamento do pagamento, à prevenção à fraude e ao cumprimento das obrigações regulatórias que lhe incumbem.

15.2. O Cliente obriga-se a manter política de privacidade própria, a informar aos seus Compradores que o pagamento é processado pela SAGACEPAY e a disponibilizar o link para esta Política em seu checkout ou site.

15.3. O Cliente responde perante os titulares e as autoridades pelo tratamento de dados que realiza em seus próprios ambientes.

15.4. Cada parte comunicará à outra, em até 24 (vinte e quatro) horas do conhecimento, incidentes de segurança que possam afetar os titulares comuns.

16.1. O Encarregado pelo tratamento de dados pessoais da SAGACEPAY pode ser contatado pelo e-mail encarregado@sagacepay.com.br ou por correspondência endereçada à sede da empresa, aos cuidados do Encarregado pelo Tratamento de Dados Pessoais.

16.2. Compete ao Encarregado receber comunicações dos titulares e da ANPD, orientar colaboradores sobre as práticas de proteção de dados e executar as demais atribuições do art. 41 da LGPD.

17.1. Esta Política poderá ser alterada a qualquer tempo, em razão de mudanças legislativas, regulatórias, tecnológicas ou de negócio.

17.2. Alterações relevantes serão comunicadas por e-mail e por aviso em destaque na Plataforma com antecedência mínima de 30 (trinta) dias. Quando o tratamento se fundar em consentimento, será solicitada nova manifestação do titular.

17.3. A versão vigente e o histórico de versões permanecem disponíveis na Central de Transparência do site sagacepay.com.br.

18.1. Esta Política é regida pela Lei nº 13.709/2018 (LGPD), pela Lei nº 12.965/2014 (Marco Civil da Internet), pela Lei nº 8.078/1990 (Código de Defesa do Consumidor), pelo Decreto nº 7.962/2013 e pelas demais normas aplicáveis da legislação brasileira.

18.2. O titular que entender não ter sido adequadamente atendido poderá apresentar reclamação à Autoridade Nacional de Proteção de Dados, pelos canais oficiais disponíveis em gov.br/anpd.

18.3. Fica eleito o foro da Comarca de Montes Claros, Estado de Minas Gerais, ressalvada, quando o titular for consumidor, a competência do foro de seu domicílio, nos termos do art. 101, I, do Código de Defesa do Consumidor.