Política de Privacidade

1. Quem somos

A Xfin Tecnologia Ltda. ("Xfin", "nós" ou "nosso") é uma empresa de tecnologia financeira sediada em São Paulo, SP, Brasil, inscrita no CNPJ sob o número [a definir]. Atuamos como operadora de dados pessoais de nossos parceiros e, em certos contextos, como controladora dos dados de usuários finais que utilizamos para prevenção a fraudes.

Para exercer seus direitos como titular de dados ou entrar em contato com nosso Encarregado de Proteção de Dados (DPO): privacidade@xfin.com.br.

2. Dados que coletamos

Coletamos dados pessoais nas seguintes situações:

• Cadastro de parceiros: nome, e-mail corporativo, razão social, CNPJ e dados de faturamento fornecidos durante o processo de onboarding.
• Utilização da API: logs de requisições com IP de origem, user-agent, timestamp e payload (exceto campos marcados como sensíveis).
• KYC de usuários finais (via parceiros): nome, CPF e e-mail dos destinatários de payouts, processados para fins de conformidade regulatória.
• Navegação no site: endereço IP, páginas visitadas, tempo de sessão e dados de performance coletados de forma anonimizada.

3. Como usamos os dados

Utilizamos os dados pessoais para as seguintes finalidades:

• Prestação do Serviço de processamento de pagamentos e onramp;
• Prevenção a fraudes, lavagem de dinheiro e conformidade com a legislação;
• Comunicações operacionais (faturas, incidentes, atualizações de serviço);
• Melhoria contínua da plataforma por meio de análise de uso (dados agregados);
• Cumprimento de obrigações legais e regulatórias.

Não vendemos dados pessoais a terceiros. Não utilizamos dados pessoais para fins de marketing sem consentimento expresso.

4. Bases legais (LGPD)

O tratamento de dados pessoais pela Xfin fundamenta-se nas seguintes bases legais previstas no art. 7º da Lei nº 13.709/2018:

• Execução de contrato — tratamento necessário para prestação do Serviço contratado;
• Cumprimento de obrigação legal — KYC e reportes regulatórios exigidos pelo Banco Central e Receita Federal;
• Legítimo interesse — prevenção a fraudes e segurança da plataforma;
• Consentimento — para comunicações de marketing, quando aplicável.

5. Compartilhamento de dados

Podemos compartilhar dados pessoais com as seguintes categorias de destinatários, sempre sob obrigações de confidencialidade e proteção adequadas:

• Provedores de infraestrutura: Google Cloud (servidores, banco de dados, monitoramento) com sede nos EUA, amparado por cláusulas contratuais padrão.
• Provedor de pagamentos: 4Pay Finance, para processamento de transações PIX.
• Autoridades regulatórias: quando exigido por lei, ordem judicial ou autoridade competente.
• Auditores e assessores jurídicos: em contextos de due diligence ou litígio, sob sigilo profissional.

6. Retenção de dados

Mantemos dados pessoais pelo prazo necessário para cumprir as finalidades descritas nesta política e as obrigações legais aplicáveis:

• Dados de transações financeiras: mínimo de 5 anos (Resolução BCB nº 149/2021);
• Logs de acesso à API: 6 meses, salvo suspeita de incidente de segurança;
• Dados de cadastro de parceiros: duração do contrato mais 5 anos;
• Dados de navegação anonimizados: sem prazo definido.

7. Segurança dos dados

Adotamos medidas técnicas e organizacionais adequadas para proteger os dados pessoais contra acesso não autorizado, perda, destruição ou divulgação, incluindo: criptografia em trânsito (TLS 1.3) e em repouso, controle de acesso baseado em funções (IAM), gerenciamento de segredos via Google Secret Manager, e monitoramento contínuo de segurança.

Em caso de incidente de segurança que afete dados pessoais, notificaremos a ANPD e os titulares afetados nos prazos previstos na LGPD.

8. Direitos dos titulares

Em conformidade com o art. 18 da LGPD, os titulares de dados pessoais têm direito a: (a) confirmar a existência de tratamento; (b) acessar os dados; (c) corrigir dados incompletos, inexatos ou desatualizados; (d) anonimizar, bloquear ou eliminar dados desnecessários ou tratados em desconformidade; (e) portabilidade dos dados; (f) eliminar dados tratados com consentimento; (g) obter informação sobre compartilhamento; (h) revogar consentimento.

Para exercer esses direitos, envie solicitação para privacidade@xfin.com.br. Respondemos em até 15 dias corridos.

9. Cookies e rastreamento

Nosso site utiliza cookies essenciais para funcionamento (preferência de tema) e cookies analíticos anonimizados para medir desempenho. Você pode gerenciar preferências de cookies nas configurações do seu navegador. Para detalhes, consulte nossa Política de Cookies.

10. Alterações nesta política

Podemos atualizar esta Política de Privacidade periodicamente. Notificaremos os usuários sobre mudanças materiais por e-mail ou mediante aviso em destaque no site, com pelo menos 15 dias de antecedência. O uso continuado do Serviço após as alterações entrarem em vigor constitui aceitação da política atualizada.

11. Contato

Para dúvidas, solicitações ou reclamações relacionadas ao tratamento de dados pessoais:

• E-mail DPO: privacidade@xfin.com.br
• E-mail geral: contato@xfin.com.br
• Endereço: São Paulo, SP, Brasil [endereço a completar]

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.