Política de Privacidade

1. Introdução e escopo

A [RAZÃO SOCIAL], operadora da plataforma TrevoPay, inscrita no CNPJ nº [CNPJ], com sede em [ENDEREÇO COMPLETO], respeita a privacidade dos seus usuários e trata seus dados pessoais em conformidade com a Lei nº 13.709/2018 ("LGPD"), a Constituição Federal, o Código de Defesa do Consumidor, o Marco Civil da Internet e demais normas aplicáveis.

Esta Política se aplica a todos os dados coletados no âmbito do uso da Plataforma — cadastros de infoprodutores, checkouts, APIs, painéis administrativos, canais de suporte, campanhas de marketing e demais interações.

2. Definições LGPD

Dado Pessoal: Informação relacionada a pessoa natural identificada ou identificável.
Dado Pessoal Sensível: Dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dado genético ou biométrico.
Titular: Pessoa natural a quem se referem os dados pessoais.
Tratamento: Toda operação com dados pessoais: coleta, armazenamento, uso, transferência, exclusão etc.
Controlador: Pessoa a quem competem as decisões sobre o tratamento — no caso desta Política, é a TrevoPay.
Operador: Pessoa que realiza o tratamento em nome do Controlador (ex.: PSPs, provedores de cloud).
ANPD: Autoridade Nacional de Proteção de Dados.

3. Dados que tratamos

3.1. Dados cadastrais

Pessoa física: nome completo, CPF, data de nascimento, RG/CNH, telefone, e-mail, endereço, selfie de prova de vida;
Pessoa jurídica: razão social, nome fantasia, CNPJ, cartão CNPJ, contrato social, dados dos sócios / representante legal;
Chave PIX cadastrada para saque (mesma titularidade do CPF/CNPJ da conta).

3.2. Dados transacionais

Valores, moeda, data/hora e identificadores das Transações;
Chaves PIX pagadoras / recebedoras;
Meios de pagamento utilizados e retornos das adquirentes/PSPs;
Histórico de chargebacks, MED, reembolsos e disputas;
Notas fiscais eventualmente vinculadas.

3.3. Dados técnicos

Endereço IP, identificador do dispositivo, sistema operacional e user-agent;
Cookies, fingerprint antifraude e comportamento de navegação;
Logs de acesso, sessões, tentativas de login e códigos 2FA utilizados;
Geolocalização aproximada (baseada em IP).

3.4. Dados de comunicação

Conteúdo de tíquetes de suporte, mensagens em chat, gravações de chamadas quando aplicável;
Interações em campanhas de marketing (aberturas, cliques, opt-outs).

3.5. Dados sensíveis

A TrevoPay trata dados biométricos (foto do rosto na selfie de prova de vida) exclusivamente para prevenção à fraude e cumprimento de obrigação legal de KYC, com consentimento específico e destacado do titular no ato do cadastro.

4. Finalidades e base legal

Cada tratamento tem finalidade específica e base legal declarada, conforme quadro abaixo:

4.1. Execução de contrato (art. 7º, V, LGPD)

Criação e manutenção da conta;
Processamento e liquidação de Transações;
Cobrança de tarifas e saques;
Prestação de suporte técnico.

4.2. Cumprimento de obrigação legal ou regulatória (art. 7º, II, LGPD)

Procedimentos de KYC/KYB e PLD/FT (Lei 9.613/1998, Circular BACEN 3.978/2020);
Retenção de logs pelo prazo de 6 (seis) meses (Marco Civil da Internet, art. 15);
Retenção de dados fiscais e contábeis por 5 (cinco) anos (Código Tributário Nacional);
Comunicação de operações suspeitas ao COAF;
Atendimento a ordens judiciais e requisições de autoridades competentes.

4.3. Legítimo interesse (art. 7º, IX, LGPD)

Prevenção à fraude e monitoramento antifraude em tempo real;
Melhoria contínua da Plataforma, com dados agregados e estatísticos;
Segurança da informação e defesa em processos judiciais;
Envio de comunicações operacionais essenciais (alertas de saldo, avisos regulatórios).

4.4. Consentimento (art. 7º, I, LGPD)

Tratamento de dados biométricos para prova de vida;
Envio de comunicações de marketing, campanhas e novidades;
Cookies analíticos e de remarketing não essenciais.

O consentimento pode ser revogado a qualquer tempo, sem custo, mediante solicitação nos canais indicados no item 13.

4.5. Proteção ao crédito (art. 7º, X, LGPD)

Consulta a bases de dados de fraude, restrição e listas de sanções;
Compartilhamento de indicadores de risco com bureaus e parceiros.

5. Compartilhamento de dados

A TrevoPay pode compartilhar dados pessoais com as seguintes categorias de terceiros, sempre dentro do estritamente necessário:

PSPs, adquirentes e instituições de pagamento parceiras — para liquidação das Transações e cumprimento de exigências do arranjo PIX;
Órgãos reguladores e autoridades — Banco Central (BACEN), COAF, Receita Federal, ANPD, Poder Judiciário e autoridades de investigação, quando exigido por lei ou ordem judicial;
Prestadores de serviços de tecnologia — provedores de hospedagem, banco de dados, envio de e-mails transacionais, antifraude, KYC e assinatura eletrônica, sujeitos a contratos com cláusulas de confidencialidade e proteção de dados;
Bureaus de crédito e prevenção à fraude — para verificação de identidade e mitigação de risco;
Assessores jurídicos, contábeis e auditores independentes — no exercício regular de suas funções profissionais, sujeitos a sigilo;
Sucessores em operações societárias — em caso de fusão, aquisição, cisão ou reorganização societária, os dados podem ser transferidos ao adquirente, mantidos os direitos dos titulares.

A TrevoPay não vende dados pessoais.

6. Transferência internacional

Alguns provedores de tecnologia utilizados pela TrevoPay possuem infraestrutura fora do Brasil (ex.: Estados Unidos, União Europeia). Nestas hipóteses, a transferência internacional observa os requisitos do art. 33 da LGPD, incluindo cláusulas contratuais específicas de proteção e verificação prévia do nível adequado de proteção.

7. Prazos de retenção

Os dados são mantidos apenas pelo tempo necessário ao cumprimento das finalidades e das obrigações legais:

Dados cadastrais e transacionais: mínimo de 5 (cinco) anos após o encerramento da conta ou da última Transação, em cumprimento à Circular BACEN 3.978/2020, Lei 9.613/1998 e legislação tributária;
Logs de acesso a aplicações: 6 (seis) meses, conforme art. 15 do Marco Civil da Internet;
Comunicações de suporte: 5 (cinco) anos após o encerramento do tíquete;
Dados biométricos: pelo período mínimo necessário à validação do KYC, salvo obrigação legal em contrário;
Dados para exercício regular de direitos em processo judicial: até o trânsito em julgado da respectiva demanda.

Após esses prazos, os dados são eliminados ou anonimizados de forma irreversível, salvo quando existir obrigação legal, contratual ou processual de retenção adicional.

8. Segurança da informação

A TrevoPay adota medidas técnicas e organizacionais adequadas para proteger os dados pessoais contra acessos não autorizados, perda, alteração ou destruição, incluindo:

Criptografia em trânsito (TLS 1.2+) e em repouso para dados sensíveis;
Autenticação em dois fatores (2FA) para saques e ações críticas;
Segregação de ambientes de produção e desenvolvimento;
Controle de acesso por perfil, com registro de auditoria;
Testes periódicos de segurança (pentests) e monitoramento contínuo;
Backup criptografado com política de retenção;
Treinamento periódico da equipe em segurança e privacidade.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a TrevoPay comunicará a ANPD e os titulares afetados em prazo razoável, conforme o art. 48 da LGPD.

9. Cookies e tecnologias similares

A TrevoPay utiliza cookies e tecnologias semelhantes para operar a Plataforma e melhorar sua experiência. Os cookies se dividem em:

Estritamente necessários — sessão, CSRF, preferência de tema, carrinho de cobranças. Sem eles, a Plataforma não funciona. Não exigem consentimento;
Analíticos — medem uso agregado da Plataforma (ex.: Google Analytics). Podem ser desativados pelo banner de cookies;
Publicidade e remarketing — Meta, Google Ads e afins, quando habilitados. Podem ser desativados pelo banner.

O usuário pode também configurar seu navegador para bloquear cookies, ciente de que isto pode limitar funcionalidades da Plataforma.

10. Direitos do titular

Nos termos do art. 18 da LGPD, o titular pode, a qualquer tempo, solicitar gratuitamente:

Confirmação da existência de tratamento;
Acesso aos dados;
Correção de dados incompletos, inexatos ou desatualizados;
Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
Portabilidade a outro fornecedor de serviço ou produto, observados os segredos comerciais e industriais;
Eliminação dos dados tratados com base no consentimento;
Informação sobre entidades públicas e privadas com as quais o Controlador realizou uso compartilhado;
Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
Revogação do consentimento;
Revisão de decisões automatizadas que afetem os interesses do titular.

As solicitações devem ser encaminhadas ao Encarregado (DPO) pelo canal indicado no item 13. A resposta será enviada em prazo razoável, ordinariamente em até 15 (quinze) dias.

Alguns direitos podem ser limitados quando existir base legal de retenção obrigatória (ex.: dados fiscais, PLD/FT) ou para exercício regular de direitos em processo.

11. Menores de idade

A Plataforma é destinada exclusivamente a maiores de 18 (dezoito) anos ou pessoas jurídicas. A TrevoPay não coleta intencionalmente dados de menores. Identificando-se cadastro de menor, a conta será cancelada e os dados eliminados, ressalvadas as obrigações legais de retenção.

12. Alterações desta Política

Esta Política pode ser atualizada para refletir novas funcionalidades, exigências regulatórias ou melhorias de compliance. A versão vigente sempre exibe a data no cabeçalho. Alterações materiais serão comunicadas ao usuário com antecedência mínima de 10 (dez) dias.

13. Encarregado (DPO) e contato

Nomeado o Encarregado pelo Tratamento de Dados Pessoais nos termos do art. 41 da LGPD, este pode ser contatado por:

E-mail: privacidade@trevopay.com
Endereço postal: Encarregado — [RAZÃO SOCIAL], [ENDEREÇO COMPLETO]

O titular também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) pelo site oficial gov.br/anpd.