Preâmbulo e Escopo de Aplicação
A presente Política de Privacidade e Proteção de Dados Pessoais estabelece as diretrizes corporativas, operacionais e tecnológicas adotadas por esta Instituição Financeira ("Instituição") para a coleta, recepção, estruturação, armazenamento, utilização, compartilhamento, enriquecimento e descarte de dados pessoais e dados bancários de seus clientes, proponentes, usuários de plataformas digitais, garantidores e terceiros ("Titulares"), no âmbito de suas atividades de intermediação de crédito, assessoria financeira, estruturação patrimonial, operações consorciais e correspondência bancária em conjunto com suas Instituições Financeiras Parceiras.
Categorias de Dados Pessoais Coletados
Para o regular desenvolvimento de suas atividades financeiras e o estrito cumprimento de deveres regulatórios, a Instituição coleta e trata as seguintes categorias de dados pessoais:
1.1. Dados Cadastrais e Civis
Nome civil completo, nome social, filiação, data de nascimento, gênero, nacionalidade, naturalidade, estado civil, regime de bens, documento de identidade (RG, CNH, RNE ou órgãos de classe), número de inscrição no Cadastro de Pessoas Físicas (CPF), comprovante de endereço residencial e comercial, endereço eletrônico (e-mail) e números de contato telefônico fixo e móvel.
1.2. Dados Financeiros e Patrimoniais
Renda bruta e líquida mensal, holerites, extratos de contas de depósitos, declaração de Imposto de Renda Pessoa Física (IRPF) com recibo de entrega, informações patrimoniais (matrículas de imóveis, CRLVs de veículos), dados bancários de liquidação, histórico de operações de crédito, garantias outorgadas e histórico de pontualidade e endividamento registrado no Sistema de Informações de Créditos (SCR) do Banco Central do Brasil.
1.3. Dados Biométricos e Sensíveis
Registros fotográficos faciais (selfie), biometria facial para fins de autenticação de identidade, validação de prova de vida (liveness detection) e confronto automatizado junto às bases de dados oficiais governamentais e bureaus antifraude, em conformidade com o art. 11, II, "g", da Lei nº 13.709/2018 (LGPD).
1.4. Dados Comportamentais e Digitais
Endereço de Protocolo de Internet (IP), data, hora e fuso horário de conexão e desconexão, identificador único do dispositivo (UUID, IMEI, MAC Address), características do navegador, resolução de tela, geolocalização aproximada ou precisa, telemetria de navegação, cookies de sessão e analíticos, bem como padrões de interação com as plataformas da Instituição.
Finalidades do Tratamento e Hipóteses Legais (LGPD)
As operações de tratamento de dados pessoais realizadas pela Instituição encontram estrito amparo nas hipóteses autorizativas previstas nos arts. 7º e 11 da Lei nº 13.709/2018 (LGPD), vinculando-se a finalidades legítimas, específicas e informadas ao Titular:
| Finalidade Operacional / Regulatória | Bases Legais Aplicáveis (LGPD) |
|---|---|
| Processamento de propostas, simulações de crédito, emissão de cédulas (CCB) e execução dos contratos de consórcio ou financiamento junto a Instituições Financeiras Parceiras. | Art. 7º, V (Execução de contrato e procedimentos preliminares). |
| Cumprimento de exigências de Prevenção à Lavagem de Dinheiro e Combate ao Financiamento do Terrorismo (PLD/CFT), reporte de operações ao COAF e entrega de declarações fiscais e regulatórias ao BACEN e Receita Federal. | Art. 7º, II e Art. 11, II, "a" (Cumprimento de obrigação legal ou regulatória). |
| Avaliação de risco de crédito, capacidade de pagamento, cálculo de score paramétrico e consulta aos bureaus privados e ao SCR do Banco Central do Brasil. | Art. 7º, X (Proteção do crédito) e Resoluções vigentes do CMN/BACEN. |
| Autenticação biométrica, prevenção a golpes de personificação, controle de acessos não autorizados e validação documental contra fraudes. | Art. 11, II, "g" (Prevenção a fraudes e segurança do titular nos processos de identificação e autenticação). |
| Defesa dos interesses da Instituição em juízo, processos administrativos perante o PROCON, BACEN, ANPD ou em procedimentos arbitrais. | Art. 7º, VI e Art. 11, II, "d" (Exercício regular de direitos). |
Dever de Sigilo Bancário e Inviolabilidade Financeira
A Instituição guarda estrito e indeclinável sigilo sobre todas as operações bancárias ativas e passivas, serviços prestados, saldos, limites, dados de investimento e patrimônio dos seus Titulares, em cumprimento rigoroso ao art. 1º da Lei Complementar nº 105/2001.
Não constituem violação do dever de sigilo as hipóteses taxativamente previstas no § 3º do art. 1º da LC nº 105/2001, incluindo:
- (i) a troca de informações cadastrais e creditícias entre instituições financeiras para fins operacionais e de risco;
- (ii) o fornecimento de informações constantes de cadastro de emitentes de cheques sem provisão de fundos e devedores inadimplentes a entidades de proteção ao crédito;
- (iii) a comunicação aos órgãos competentes (COAF/BACEN) da prática de ilícitos penais ou administrativos decorrentes de operações atípicas (Lei nº 9.613/1998);
- (iv) a prestação de informações ordenadas formalmente pelo Poder Judiciário mediante prévia decisão fundamentada de quebra de sigilo bancário.
Segurança da Informação e Cibersegurança (Res. CMN nº 4.893/2021)
A Instituição implementa e mantém ativa uma robusta Política de Segurança Cibernética, em total alinhamento às diretrizes estabelecidas pelo Conselho Monetário Nacional (CMN) na Resolução CMN nº 4.893/2021 e atualizações normativas do Banco Central do Brasil.
A infraestrutura tecnológica conta com controles de salvaguarda que incluem:
Criptografia de ponta a ponta em trânsito (protocolo TLS 1.3) e em repouso (algoritmo AES-256) para todos os dados transacionais e biométricos.
Contratação de provedores que atendam requisitos de segurança, redundância operacional e certificações (ex: ISO/IEC 27001, SOC 2 Type II), com estrita observância aos arts. 12 a 16 da Resolução CMN nº 4.893/2021.
Testes periódicos de intrusão (penetration tests), varreduras contínuas de vulnerabilidades, monitoramento ininterrupto de incidentes (SOC 24/7), autenticação multifator (MFA) e aplicação do princípio do menor privilégio de acesso (least privilege).
Protocolos formalizados para contenção, investigação e remediação célere de eventos adversos, com notificação tempestiva à Autoridade Nacional de Proteção de Dados (ANPD) e ao BACEN em casos de incidentes relevantes.
Compartilhamento de Dados com Terceiros
O compartilhamento de dados pessoais e informações financeiras dos Titulares é restrito ao estritamente necessário para o atingimento das finalidades contratadas e cumprimento legal, ocorrendo exclusivamente com os seguintes destinatários:
Retenção, Guarda e Descarte de Dados
Os dados pessoais e registros eletrônicos são retidos pela Instituição em estrita observância aos prazos mínimos de guarda exigidos pela legislação federal e pelo ordenamento regulatório financeiro, prevalecendo sobre eventuais pedidos de eliminação imediata:
Guarda obrigatória dos registros de acesso a aplicações de internet (IP, data, hora, porta lógica) pelo prazo de 6 (seis) meses (art. 15), e registros de conexão pelo prazo de 1 (um) ano (art. 13), sob absoluto sigilo e ambiente controlado.
Manutenção do dossiê cadastral completo, propostas, documentos de identificação e registros de todas as operações e movimentações financeiras pelo prazo mínimo de 10 (dez) anos (art. 67 da Circular 3.978/2020 e Resolução BCB nº 119/2021), contados do encerramento da relação ou da conclusão da transação.
Findos os prazos prescricionais legais (incluindo os prazos do art. 205 do Código Civil e arts. 27 do Código de Defesa do Consumidor para defesa em juízo) e exauridas as obrigações regulatórias, os dados serão descartados de forma irreversível ou submetidos a processo definitivo de anonimização, na forma do art. 16 da LGPD.
Direitos do Titular e Canal de Atendimento do DPO
Em conformidade com o art. 18 da Lei nº 13.709/2018 (LGPD), o Titular de dados possui os seguintes direitos perante a Instituição: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos; portabilidade a outro fornecedor de serviço financeiro; informação sobre compartilhamento; e revogação do consentimento, ressalvadas as hipóteses de retenção por dever legal ou regulatório.
Comitê de Privacidade e Proteção de Dados
Canal oficial de atendimento aos titulares: dpo@grupofnx.com.br