Sumário

1. Apresentação
2. Identificação da controladora
3. Escopo de aplicação
4. Definições
5. Papel da VMIX PAY
6. Dados pessoais tratados
7. Finalidades do tratamento
8. Bases legais da LGPD
9. KYC, validação de identidade e biometria
10. Dados financeiros e transacionais
11. API, webhooks, logs e auditoria
12. Compartilhamento com terceiros
13. Segurança da informação
14. Retenção e eliminação
15. Direitos dos titulares
16. Cookies e tecnologias similares
17. Transferência internacional
18. Decisões automatizadas e antifraude
19. Incidentes de segurança
20. Crianças e adolescentes
21. Alterações desta política
22. Contato e DPO
23. Anexos técnicos

1. Apresentação

A presente Política de Privacidade estabelece como a VMIX PAY realiza o tratamento de dados pessoais no contexto de sua plataforma tecnológica de pagamentos, incluindo gateway, API, checkout, PIX, webhooks, painel administrativo, painel de clientes, integrações, suporte e demais funcionalidades relacionadas.

A VMIX PAY adota medidas técnicas, administrativas e organizacionais destinadas à proteção dos dados pessoais, à prevenção de fraudes, à rastreabilidade das operações, à segurança da informação e ao cumprimento da Lei Geral de Proteção de Dados Pessoais — Lei nº 13.709/2018 (“LGPD”).

2. Identificação da controladora

Razão social: MIX SISTEMAS INTELIGENTES LTDA.

CNPJ: 65.517.951/0001-88.

Nome comercial: VMIX PAY.

Atividade: fornecimento de infraestrutura tecnológica para integração, automação, orquestração e gestão de pagamentos eletrônicos.

3. Escopo de aplicação

Esta Política aplica-se a titulares de dados que interajam com a VMIX PAY, incluindo clientes, representantes legais, administradores, usuários autorizados, desenvolvedores, parceiros, visitantes do site, usuários da API, prestadores de serviço, destinatários de comunicações e demais pessoas físicas relacionadas às operações realizadas na plataforma.

Quando a VMIX PAY tratar dados em nome de seus clientes, poderá atuar como operadora. Quando definir as finalidades e meios do tratamento, atuará como controladora, nos termos da LGPD.

4. Definições

• Dados pessoais: informações relacionadas a pessoa natural identificada ou identificável.
• Dados pessoais sensíveis: dados sobre origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, dado genético ou biométrico, quando vinculado a pessoa natural.
• Tratamento: toda operação realizada com dados pessoais, incluindo coleta, armazenamento, uso, compartilhamento, eliminação e análise.
• Controlador: agente responsável pelas decisões sobre o tratamento de dados pessoais.
• Operador: agente que realiza tratamento de dados pessoais em nome do controlador.
• Gateway de pagamento: infraestrutura tecnológica que permite integração, automação, roteamento e orquestração de transações.
• Parceiro financeiro: instituição financeira, instituição de pagamento, cooperativa ou prestador regulado responsável por liquidação, processamento ou serviços financeiros específicos.
• KYC: procedimento de “Conheça seu Cliente”, utilizado para validação cadastral, identidade, risco, prevenção à fraude e compliance.
• PLD/FT: práticas de prevenção à lavagem de dinheiro e financiamento do terrorismo.
• Webhook: comunicação automatizada entre sistemas para atualização de eventos transacionais.
• API: interface de programação utilizada para integração técnica com a plataforma VMIX PAY.

5. Papel da VMIX PAY

A liquidação financeira e determinados serviços de pagamento poderão ser realizados por parceiros financeiros, incluindo, conforme aplicável, Sicredi e Efí, além de outros parceiros que venham a ser integrados futuramente.

6. Dados pessoais tratados

A VMIX PAY poderá tratar as seguintes categorias de dados:

• dados cadastrais: nome, CPF, RG, CNPJ, razão social, nome fantasia, endereço, telefone, e-mail;
• dados societários: quadro societário, representantes legais, procurações e documentos de autorização;
• dados de identidade: documentos oficiais, selfie, prova de vida, OCR, imagem facial e validações antifraude;
• dados financeiros: dados bancários, chaves PIX, transações, valores, conciliação, identificadores de cobrança e comprovantes;
• dados técnicos: IP, dispositivo, sistema operacional, navegador, user agent, data e hora, identificadores de sessão;
• dados de API: tokens, chaves de integração, escopos, eventos, endpoints, webhooks, requisições e respostas técnicas;
• dados de segurança: logs, trilhas de auditoria, tentativas de acesso, falhas de autenticação, fingerprint e indicadores de risco;
• dados de suporte: mensagens, tickets, anexos, gravações ou registros de atendimento, quando aplicável.

7. Finalidades do tratamento

Os dados poderão ser utilizados para:

• criar, autenticar e administrar contas na plataforma;
• prestar serviços de gateway, API, PIX, checkout, webhooks e integrações;
• validar identidade, documentos, representação legal e elegibilidade;
• processar, conciliar, monitorar e auditar transações;
• prevenir fraude, abuso, lavagem de dinheiro e uso indevido da plataforma;
• cumprir obrigações legais, fiscais, regulatórias, contábeis e contratuais;
• gerenciar riscos, incidentes, vulnerabilidades e segurança operacional;
• prestar suporte, enviar comunicações operacionais e manter relacionamento com clientes;
• defender direitos da VMIX PAY, clientes, parceiros e terceiros;
• aprimorar a plataforma, desenvolver funcionalidades e medir desempenho.

8. Bases legais da LGPD

9. KYC, validação de identidade e biometria

A VMIX PAY poderá solicitar documentos, selfie, prova de vida, validação facial, OCR e outros elementos de verificação para confirmar identidade, poderes de representação, legitimidade do cadastro e prevenção a fraudes.

Dados biométricos, quando coletados, serão tratados com finalidade específica de segurança, autenticação, validação de identidade e prevenção à fraude, observando medidas reforçadas de proteção.

A recusa em fornecer informações indispensáveis ao KYC poderá impedir a criação da conta, limitar funcionalidades, bloquear transações ou ocasionar encerramento contratual, conforme avaliação de risco.

10. Dados financeiros e transacionais

A VMIX PAY poderá tratar dados necessários à execução de pagamentos, emissão de cobranças, criação de QR Codes, consultas de status, conciliação, liquidação por parceiros financeiros, identificação de recebedores e análise de risco.

Os dados financeiros poderão ser compartilhados com Sicredi, Efí e demais parceiros financeiros ou tecnológicos indispensáveis à execução das operações contratadas.

11. API, webhooks, logs e auditoria

O uso da API e dos webhooks gera registros técnicos, incluindo endpoint acessado, horário, IP, identificador da conta, token utilizado, payloads necessários, respostas, erros e eventos de segurança.

Esses registros são essenciais para segurança, auditoria, investigação de incidentes, prevenção à fraude, suporte, conciliação, resolução de disputas e comprovação de operações.

A VMIX PAY poderá manter trilhas de auditoria e logs de forma segregada, controlada e protegida contra alterações indevidas.

12. Compartilhamento com terceiros

A VMIX PAY poderá compartilhar dados pessoais, na medida necessária, com:

• parceiros financeiros, incluindo Sicredi e Efí;
• provedores de infraestrutura, hospedagem, armazenamento, monitoramento e segurança;
• prestadores de serviços de validação documental, antifraude, KYC, suporte, comunicação e auditoria;
• autoridades administrativas, judiciais, policiais, regulatórias ou fiscais, quando houver base legal;
• empresas do mesmo grupo econômico, quando necessário e respeitada a LGPD;
• terceiros em operações societárias, auditorias, reorganizações ou diligências comerciais, observadas obrigações de confidencialidade.

A VMIX PAY exige que terceiros adotem padrões compatíveis de segurança e confidencialidade.

13. Segurança da informação

A VMIX PAY adota medidas proporcionais ao risco, incluindo:

• criptografia em trânsito por TLS;
• controles de acesso e segregação de permissões;
• autenticação multifator em ambientes administrativos;
• monitoramento de acessos, eventos suspeitos e tentativas de abuso;
• gestão de logs e trilhas de auditoria;
• backups e procedimentos de recuperação;
• princípio do menor privilégio;
• gestão de vulnerabilidades e correções de segurança;
• procedimentos internos de resposta a incidentes.

14. Retenção e eliminação

Os dados serão mantidos pelo tempo necessário ao cumprimento das finalidades descritas nesta Política, obrigações legais, regulatórias, fiscais, contábeis, prevenção à fraude, auditoria, segurança e exercício regular de direitos.

A eliminação poderá não ocorrer quando houver obrigação de retenção, investigação de fraude, disputa, auditoria, ordem legal ou necessidade de defesa de direitos.

15. Direitos dos titulares

Nos termos da LGPD, o titular poderá solicitar:

• confirmação da existência de tratamento;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade, quando aplicável;
• informação sobre compartilhamento;
• revogação do consentimento;
• oposição ao tratamento, quando cabível;
• revisão de decisões automatizadas que afetem seus interesses, quando aplicável.

As solicitações poderão exigir validação de identidade para proteção do próprio titular e prevenção a fraudes.

16. Cookies e tecnologias similares

A VMIX PAY poderá utilizar cookies, pixels, identificadores de sessão, armazenamento local e tecnologias semelhantes para autenticação, segurança, prevenção a fraude, funcionamento da plataforma, análise de desempenho e melhoria da experiência.

17. Transferência internacional

A VMIX PAY poderá utilizar provedores de tecnologia, nuvem, segurança, monitoramento ou suporte localizados fora do Brasil. Quando houver transferência internacional de dados, serão adotadas salvaguardas compatíveis com a LGPD, incluindo cláusulas contratuais, medidas técnicas de segurança e avaliação de fornecedores.

18. Decisões automatizadas e antifraude

A VMIX PAY poderá utilizar mecanismos automatizados para análise de risco, autenticação, prevenção à fraude, priorização de alertas, bloqueio preventivo, detecção de comportamento anômalo e proteção da plataforma.

Quando uma decisão automatizada produzir efeitos relevantes sobre o titular, este poderá solicitar informações e revisão, observados os limites legais, segredos comerciais, segurança da plataforma e prevenção a fraudes.

19. Incidentes de segurança

A VMIX PAY possui procedimentos internos para identificação, contenção, investigação, mitigação e registro de incidentes de segurança.

Quando um incidente puder acarretar risco ou dano relevante aos titulares, a VMIX PAY adotará as providências cabíveis, incluindo comunicação à ANPD e aos titulares afetados, quando exigido pela legislação aplicável.

20. Crianças e adolescentes

A VMIX PAY não é destinada ao uso direto por crianças. Caso haja tratamento de dados de menores em contexto operacional ou contratual, esse tratamento deverá observar a legislação aplicável e o melhor interesse do menor.

21. Alterações desta política

Esta Política poderá ser atualizada para refletir alterações legais, regulatórias, operacionais, tecnológicas ou comerciais. A versão vigente será disponibilizada nos canais oficiais da VMIX PAY.

22. Contato e DPO

Solicitações relacionadas a privacidade, dados pessoais e exercício de direitos dos titulares deverão ser encaminhadas pelo canal oficial indicado pela VMIX PAY em seu site, plataforma ou contrato.

Encarregado/DPO: Rafael Fernando Machado.

E-mail de privacidade: contato@vmixpay.com.br.

23. Anexos técnicos

Anexo I — Matriz resumida de tratamento

Anexo II — Princípios de governança

• privacidade desde a concepção e por padrão;
• necessidade e minimização de dados;
• segurança proporcional ao risco;
• rastreabilidade de operações críticas;
• segregação de funções e permissões;
• avaliação de fornecedores e parceiros;
• monitoramento contínuo de riscos;
• resposta estruturada a incidentes.

Anexo III — Declaração sobre parceiros financeiros

A VMIX PAY atua como fornecedora de tecnologia. Determinadas etapas de processamento, liquidação, contas, pagamentos ou serviços financeiros relacionados poderão ser executadas por parceiros financeiros, incluindo Sicredi e Efí, conforme a modalidade contratada, disponibilidade técnica, regras operacionais e requisitos legais aplicáveis.