1. Objetivo e Vinculação
A PIXZY MARKETPLACE LTDA ("Pixzy", "nós" ou "Empresa"), inscrita no CNPJ sob o nº 65.558.691/0001-99, com sede em Rua Bom Jesus, n° 212, Sala 1904, Bairro Juvevê, Curitiba/PR, CEP 80.035-010, tem compromisso permanente com a transparência, a segurança e o respeito à privacidade de todos que interagem com sua Plataforma.
Esta Política de Privacidade ("Política") descreve como a Pixzy coleta, utiliza, armazena, compartilha e protege os dados pessoais de Usuários (Lojistas), Compradores e demais titulares, em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — "LGPD"), o Marco Civil da Internet (Lei nº 12.965/2014), as regulamentações do Banco Central do Brasil e demais normas aplicáveis.
Esta Política é parte integrante e inseparável dos Termos Gerais de Uso da Pixzy. Ao se cadastrar, acessar ou utilizar a Plataforma, o Usuário declara ter lido, compreendido e concordado integralmente com suas disposições. Caso não concorde, deverá abster-se de utilizar a Plataforma.
A Pixzy é uma prestadora de serviços de tecnologia (SaaS) de gateway de pagamento. Não custodia, não movimenta e não realiza a liquidação de recursos financeiros. Toda a custódia, movimentação e liquidação dos recursos financeiros decorrentes das transações integradas por meio das APIs e interface tecnológica da Pixzy são realizadas de forma direta e exclusiva pela Instituição Parceira de Pagamento, instituição de pagamento devidamente regulada pelo Banco Central do Brasil. Esta distinção é fundamental para a correta compreensão do tratamento de dados descrito nesta Política.
2. Definições
Para os fins desta Política, além das definições previstas nos Termos Gerais de Uso, aplicam-se as seguintes definições:
- Titular: Pessoa natural a quem se referem os dados pessoais que são objeto de tratamento.
- Dados Pessoais: Qualquer informação relacionada a pessoa natural identificada ou identificável.
- Dados Pessoais Sensíveis: Dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dado genético ou biométrico, quando vinculados a uma pessoa identificável.
- Tratamento: Toda operação realizada com dados pessoais, incluindo coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração.
- Controlador: Pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais.
- Operador: Pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome e por instrução do Controlador.
- Encarregado (DPO): Pessoa indicada pelo Controlador para atuar como canal de comunicação entre o Controlador, os Titulares e a Autoridade Nacional de Proteção de Dados (ANPD).
- Instituição Parceira de Pagamento: A instituição de pagamento parceira da Pixzy, licenciada pelo Banco Central do Brasil, que detém autonomia administrativa e operacional plena para realizar a custódia, liquidação, saques, transferências e eventuais retenções dos recursos financeiros das Transações, conforme suas próprias obrigações regulatórias.
3. O Papel da Pixzy no Tratamento dos Dados Pessoais
3.1. Controladora — Dados dos Usuários (Lojistas)
A Pixzy atua como Controladora dos dados pessoais de seus Usuários (Lojistas), determinando as finalidades e os meios do tratamento realizados durante o cadastro, a prestação dos serviços de gateway, o cumprimento de obrigações legais e a gestão do relacionamento comercial.
3.2. Operadora — Dados dos Compradores
Em relação aos dados pessoais dos Compradores (clientes finais dos Lojistas), a Pixzy atua primordialmente como Operadora, tratando esses dados por conta, em nome e por instrução do Usuário/Lojista (que é o Controlador nessa relação), com a finalidade exclusiva de transmitir as instruções tecnológicas de liquidação à Instituição Parceira de Pagamento e de prevenir fraudes. O Usuário/Lojista, na qualidade de Controlador, é o responsável legal pela coleta e pelo tratamento dos dados de seus Compradores, devendo garantir a conformidade com a LGPD, incluindo a obtenção de consentimentos necessários nos checkouts de pagamento.
3.3. Controladora para Fins de Segurança e Conformidade Tecnológica
Para finalidades de monitoramento de segurança cibernética, mitigação de riscos sistêmicos e prevenção a fraudes no ecossistema de pagamentos, a Pixzy atua como Controladora independente de dados transacionais. Caso sejam identificadas inconsistências ou indícios de irregularidades, a Pixzy poderá suspender a integração tecnológica de suas APIs e compartilhar as informações relevantes com a Instituição Parceira de Pagamento, para que esta, na qualidade de instituição autorizada pelo Banco Central do Brasil, tome as providências regulatórias cabíveis no âmbito do Sistema de Pagamentos Brasileiro.
3.4. Papel Autônomo da Instituição Parceira de Pagamento
A Instituição Parceira de Pagamento é uma entidade independente com suas próprias obrigações regulatórias perante o Banco Central do Brasil e suas próprias políticas de privacidade.
No que se refere ao tratamento de dados para fins de liquidação financeira, gestão de contas de pagamento, bloqueios preventivos e cumprimento de normas do Banco Central, a Instituição Parceira de Pagamento atua como Controladora autônoma.
A Pixzy compartilha com a Instituição Parceira de Pagamento apenas os dados estritamente necessários à transmissão das instruções tecnológicas de liquidação, conforme descrito na Seção 5. O Usuário, ao aceitar os Termos Gerais de Uso da Pixzy, adere automaticamente aos Termos de Uso e à Política de Conta de Pagamento da Instituição Parceira de Pagamento.
4. Dados Pessoais Coletados, Finalidades e Bases Legais
As tabelas a seguir descrevem os dados pessoais tratados pela Pixzy, as finalidades específicas e as bases legais aplicáveis da LGPD.
4.1. Dados dos Usuários (Lojistas)
| Dados Coletados | Finalidade | Base Legal (LGPD) | Retenção |
|---|---|---|---|
| Nome, CPF/CNPJ, data de nascimento, nacionalidade | Identificação, autenticação e cadastro; KYC e verificação de identidade para habilitação na Plataforma | Execução de contrato (Art. 7º, V); Obrigação legal (Art. 7º, II) | Vigência + 5 anos |
| E-mail, telefone, endereço completo | Comunicações operacionais, notificações de conta e suporte técnico | Execução de contrato (Art. 7º, V) | Vigência + 5 anos |
| Dados bancários (banco, agência, conta, chave Pix) | Parametrização das instruções tecnológicas de liquidação transmitidas à Instituição Parceira de Pagamento para fins de repasse ao Usuário | Execução de contrato (Art. 7º, V) | 5 anos após encerramento |
| Documentos societários, contrato social, procurações (PJ) | KYC aprofundado (EDD) — verificação de representantes legais e beneficiários finais, conforme obrigações de PLD/FT | Obrigação legal — PLD/FT (Art. 7º, II) | 10 anos |
| Dados de faturamento, volume transacionado, segmento de atuação | Monitoramento tecnológico de risco e red flags; definição de limites operacionais; identificação de padrões transacionais atípicos para encaminhamento à IP Parceira | Legítimo interesse (Art. 7º, IX); Obrigação legal (Art. 7º, II) | 5 anos |
| Registros de acesso (IP, data, hora, device fingerprint) | Segurança tecnológica da Plataforma; cumprimento do Marco Civil da Internet (Lei nº 12.965/2014) | Obrigação legal (Art. 7º, II) | Mín. 6 meses (legal); 5 anos para investigações |
| Histórico transacional, chargebacks e estornos | Gestão de disputas; identificação e reporte de red flags à IP Parceira; suporte documental a auditorias regulatórias | Obrigação legal (Art. 7º, II); Prevenção à fraude (Art. 11, II, g) | 10 anos |
| Comunicações com o suporte (e-mails, tickets) | Gestão de atendimento; resolução de disputas; registro de relação contratual | Execução de contrato (Art. 7º, V); Legítimo interesse (Art. 7º, IX) | 5 anos |
4.2. Dados dos Compradores (Consumidores Finais dos Lojistas)
Os dados dos Compradores são tratados pela Pixzy na qualidade de Operadora, por conta e ordem do Usuário/Lojista (Controlador), exclusivamente para as finalidades abaixo. A Pixzy não utiliza dados de Compradores para finalidades próprias além das descritas, não os enriquece com dados de outras fontes para fins comerciais e não os compartilha com terceiros para fins publicitários.
| Dados Coletados | Finalidade | Base Legal (LGPD) | Retenção |
|---|---|---|---|
| Nome, CPF, e-mail, endereço de cobrança/entrega, telefone | Transmissão das instruções tecnológicas de liquidação à IP Parceira; confirmação de identidade para análise antifraude tecnológica | Execução de contrato Comprador-Lojista; Obrigação legal | 5 anos |
| Dados parciais do cartão (4 últimos dígitos, bandeira, validade) | Identificação do meio de pagamento para transmissão à IP Parceira e gestão de chargebacks e disputas | Execução de contrato; Obrigação legal (PCI-DSS e normas BACEN) | 5 anos |
| Endereço de IP, device fingerprint, geolocalização aproximada | Análise tecnológica antifraude; verificação de consistência geográfica da transação; identificação de red flags para reporte à IP Parceira | Prevenção à fraude (Art. 11, II, g); Legítimo interesse (Art. 7º, IX) | 5 anos |
| Dados da transação (valor, data, hora, meio de pagamento, status) | Geração das instruções tecnológicas de liquidação; suporte documental a disputas e chargebacks; cumprimento de obrigações regulatórias via IP Parceira | Obrigação legal (Art. 7º, II) | 10 anos |
4.3. Dados de Visitantes do Site
Para visitantes que acessam o site da Pixzy sem se cadastrar, coletamos dados mínimos de navegação (cookies de sessão, endereço de IP, páginas visitadas) estritamente para garantir o funcionamento técnico do site e a segurança. Consulte a Política de Cookies da Pixzy para detalhes completos.
5. Compartilhamento de Dados Pessoais
A Pixzy não comercializa, não vende e não cede dados pessoais a terceiros para fins comerciais ou publicitários. O compartilhamento ocorre exclusivamente nas hipóteses abaixo, com as salvaguardas necessárias e para as finalidades específicas informadas.
5.1. Com a Instituição Parceira de Pagamento
Os dados estritamente necessários à geração das instruções tecnológicas de liquidação (identificação do Usuário, dados bancários parametrizados, informações da transação) são transmitidos de forma automatizada à Instituição Parceira de Pagamento, que os trata como Controladora autônoma, sujeita às suas próprias obrigações regulatórias perante o Banco Central do Brasil. A Instituição Parceira de Pagamento detém autonomia plena para executar a liquidação, os saques, as transferências e eventuais retenções com base em seu próprio contrato de conta de pagamento com o Usuário e em suas obrigações de compliance.
A Pixzy não possui gerência, poder de veto ou responsabilidade pelas decisões autônomas de liquidação, bloqueio ou retenção tomadas pela Instituição Parceira de Pagamento. Quando a Pixzy identifica red flags transacionais, reporta os indícios documentados à sua área de Compliance, que os encaminha formalmente à Instituição Parceira de Pagamento para análise e providências regulatórias cabíveis, incluindo eventual comunicação ao COAF.
5.2. Com Adquirentes, Subadquirentes e Bandeiras de Cartão
Os dados necessários para o processamento das transações (identificação da transação, dados parciais do cartão, valor, lojista de origem) são transmitidos às redes de adquirência e às bandeiras de cartão, para fins exclusivos de captura, roteamento e liquidação. Este compartilhamento é tecnicamente indispensável para a prestação do serviço de gateway.
5.3. Com Ferramentas e Fornecedores de Antifraude e Verificação de Identidade
Para prevenir fraudes e cumprir obrigações de KYC, a Pixzy pode compartilhar dados com fornecedores especializados (bureaus de crédito, ferramentas de verificação biométrica, bases de dados de PEPs e sancionados). Esses fornecedores atuam como Operadores da Pixzy, vinculados contratualmente a obrigações de confidencialidade e conformidade com a LGPD.
5.4. Com Autoridades Judiciais, Policiais e Regulatórias
A Pixzy compartilha dados pessoais com autoridades quando obrigada por lei, por ordem judicial ou por determinação de órgão regulador competente. No que se refere a obrigações de PLD/FT, a Pixzy repassa os indícios identificados à Instituição Parceira de Pagamento, que detém o credenciamento junto ao SISCOAF e a obrigação legal de realizar as comunicações ao COAF nos termos da Lei nº 9.613/1998.
5.5. Com Fornecedores de Infraestrutura Tecnológica
A Pixzy utiliza provedores de serviços de infraestrutura em nuvem, hospedagem, comunicação e atendimento para operar sua Plataforma. Esses fornecedores atuam como Operadores e estão contratualmente vinculados a obrigações de confidencialidade, segurança e conformidade com a LGPD. Entre as categorias utilizadas: provedores de computação em nuvem, plataformas de atendimento e ferramentas de monitoramento de segurança.
5.6. Entre Usuário e Comprador
Para viabilizar o suporte e a resolução de disputas, os dados de contato do Usuário (Lojista) são disponibilizados ao Comprador no comprovante da transação. Da mesma forma, dados essenciais da transação são compartilhados com o Usuário para gestão de sua venda.
5.7. Em Operações Societárias
Em caso de fusão, aquisição, cisão ou venda de ativos da Pixzy, os dados pessoais poderão ser transferidos ao adquirente, que ficará vinculado às obrigações desta Política. Os titulares serão notificados sobre qualquer mudança relevante.
6. Transferência Internacional de Dados
Alguns fornecedores de infraestrutura e tecnologia utilizados pela Pixzy podem estar localizados ou manter servidores fora do território brasileiro. Nas hipóteses de transferência internacional de dados pessoais, a Pixzy adota as salvaguardas exigidas pela LGPD e pela regulamentação da ANPD, incluindo:
- Contratação exclusiva de fornecedores que demonstrem nível de proteção de dados adequado ou equivalente ao previsto na LGPD;
- Inclusão de cláusulas contratuais específicas de proteção de dados nas relações com fornecedores internacionais;
- Adoção de medidas técnicas complementares (criptografia, pseudonimização) quando necessário.
7. Período de Retenção dos Dados
Os dados pessoais são mantidos pelo prazo mínimo necessário ao cumprimento das finalidades para as quais foram coletados, observados os prazos legais obrigatórios:
- Dados de cadastro e contratuais: pelo prazo de vigência do contrato e por até 5 (cinco) anos após seu encerramento, conforme prescrição civil e tributária;
- Registros de acesso (logs de navegação): mínimo de 6 (seis) meses, conforme art. 15 do Marco Civil da Internet (Lei nº 12.965/2014);
- Dados de transações financeiras: mínimo de 5 (cinco) anos, conforme normas do Banco Central do Brasil e legislação tributária;
- Dados relacionados a PLD/FT (KYC, red flags reportados, correspondências com a IP Parceira): mínimo de 10 (dez) anos, conforme art. 10 da Lei nº 9.613/1998 e regulamentação do COAF;
- Documentos societários de Usuários pessoas jurídicas: mínimo de 10 (dez) anos;
- Dados tratados com base em consentimento: até a revogação, ressalvadas as hipóteses legais de conservação.
Decorridos os prazos, os dados são eliminados de forma segura ou anonimizados, de modo que não seja mais possível identificar os titulares.
8. Segurança dos Dados
8.1. Medidas Técnicas e Administrativas
A Pixzy adota medidas técnicas e administrativas adequadas para proteger os dados pessoais contra acessos não autorizados, destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito:
- Criptografia dos dados em trânsito (TLS/SSL) e em repouso;
- Controle de acesso baseado em função (RBAC), com princípio do menor privilégio;
- Autenticação multifator (MFA) para acesso a sistemas críticos;
- Monitoramento contínuo de segurança e detecção de anomalias;
- Gestão de vulnerabilidades e testes de segurança periódicos;
- Treinamento periódico de colaboradores em segurança da informação e proteção de dados;
- Vedação expressa ao tráfego de dados pessoais de compradores em canais não homologados pela área de segurança da informação (ex: aplicativos de mensagens pessoais, e-mails externos);
- Contratos de confidencialidade e proteção de dados com todos os fornecedores que tratam dados pessoais em nome da Pixzy.
8.2. Incidentes de Segurança
Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Pixzy adotará o seguinte procedimento:
- Contenção imediata do incidente e avaliação do impacto;
- Notificação à ANPD no prazo de até 72 horas após o conhecimento do incidente, conforme art. 48 da LGPD e regulamentação vigente;
- Comunicação aos Titulares afetados, com descrição da natureza dos dados, medidas adotadas e recomendações de mitigação;
- Registro documentado do incidente, das medidas de resposta e das comunicações realizadas.
8.3. Responsabilidade do Usuário
O Usuário é responsável pela guarda e sigilo de suas credenciais de acesso à Plataforma. A Pixzy recomenda o uso de senhas fortes e a ativação da autenticação multifator sempre que disponível. A Pixzy nunca solicitará sua senha por e-mail, telefone ou qualquer canal de atendimento.
9. Cookies e Tecnologias de Rastreamento
A Pixzy utiliza cookies e tecnologias similares em sua Plataforma para garantir o funcionamento técnico, aprimorar a experiência do usuário e, mediante consentimento, para fins analíticos. O detalhamento completo das categorias de cookies utilizados, suas finalidades, períodos de retenção e as opções de gerenciamento estão descritos na Política de Cookies da Pixzy.
Ao acessar a Plataforma, o Usuário será informado sobre o uso de cookies e poderá gerenciar suas preferências por meio do painel de consentimento disponível no site.
10. Direitos do Titular dos Dados
Em conformidade com o art. 18 da LGPD, todo Titular de dados pessoais tratados pela Pixzy tem os seguintes direitos, exercíveis a qualquer momento mediante requisição:
| Direito | O que significa na prática |
|---|---|
| Confirmação e Acesso | Saber se a Pixzy trata seus dados e acessar quais dados são tratados. |
| Correção | Solicitar a atualização ou correção de dados incompletos, inexatos ou desatualizados. |
| Anonimização, Bloqueio ou Eliminação | Solicitar a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD. |
| Portabilidade | Solicitar a transferência de seus dados a outro fornecedor, observados os segredos comerciais. |
| Eliminação (consentimento) | Solicitar a eliminação dos dados tratados com base no consentimento, exceto nos casos em que a lei autoriza a manutenção. |
| Informação sobre compartilhamento | Saber com quais entidades públicas e privadas a Pixzy compartilhou seus dados. |
| Revogação do consentimento | Revogar o consentimento previamente fornecido, a qualquer tempo, sem prejuízo da licitude do tratamento anterior. |
| Oposição | Opor-se ao tratamento realizado com fundamento em bases legais distintas do consentimento, quando houver descumprimento da LGPD. |
| Revisão de decisões automatizadas | Solicitar revisão de decisões tomadas exclusivamente com base em tratamento automatizado de dados que afetem seus interesses. |
Como exercer seus direitos: O Titular pode exercer seus direitos por meio do canal: E-mail de suporte: [email protected]. A Pixzy responderá no prazo de até 15 (quinze) dias úteis, podendo ser prorrogado mediante justificativa. A solicitação poderá exigir a verificação da identidade do Titular.
Limitações: Alguns direitos poderão ser limitados quando o tratamento for necessário para cumprimento de obrigação legal, exercício regular de direito em processo judicial ou quando a eliminação for vedada pela legislação aplicável (ex: dados de PLD/FT durante o prazo de retenção obrigatório de 10 anos).
11. Encarregado de Dados (DPO)
A Pixzy designou um Encarregado de Proteção de Dados (DPO), responsável por:
- Atuar como canal de comunicação entre a Pixzy, os Titulares e a ANPD;
- Orientar colaboradores e fornecedores sobre práticas de proteção de dados;
- Receber reclamações e comunicações dos Titulares;
- Tomar as providências necessárias para o cumprimento da LGPD.
Canal de contato com o DPO: E-mail — [email protected].
Endereço postal: Rua Bom Jesus, n° 212, Sala 1904, Bairro Juvevê, Curitiba/PR, CEP 80.035-010, aos cuidados do Encarregado de Proteção de Dados.
Caso o Titular considere que seus direitos não foram atendidos adequadamente, poderá apresentar reclamação diretamente à Autoridade Nacional de Proteção de Dados (ANPD), por meio dos canais disponíveis em www.gov.br/anpd.
12. Alterações desta Política
A Pixzy reserva-se o direito de atualizar esta Política a qualquer momento, para refletir mudanças na legislação, nas práticas de tratamento de dados ou nos serviços prestados. A versão atualizada será publicada na Plataforma com indicação da data de vigência. Alterações relevantes serão comunicadas aos Usuários com antecedência mínima de 15 (quinze) dias, por e-mail ou aviso na Plataforma. A continuidade do uso da Plataforma após a publicação será interpretada como aceite às alterações.
13. Lei Aplicável e Foro
Esta Política é regida pelas leis da República Federativa do Brasil, em especial pela Lei Geral de Proteção de Dados (Lei nº 13.709/2018). Fica eleito o foro da Comarca de Goiânia, Estado do Goiás, como único competente para dirimir quaisquer controvérsias oriundas desta Política, com renúncia a qualquer outro, por mais privilegiado que seja.