Políticas de Privacidade

1. INTRODUÇÃO

Esta Política de Privacidade ("Política") aplica-se aos serviços prestados pelo MAX INSTITUIÇÃO DE PAGAMENTO LTDA., pessoa jurídica de direito privado, com sede na Travessa São José, nº 455, sala 74, bairro Navegantes, Porto Alegre/RS, CEP 90240-200, inscrita no CNPJ sob o nº 54.024.532/0001-98 ("Max").

O Max é uma instituição de pagamento autorizada pelo Banco Central do Brasil, mas que, no momento, atua por meio de parceria com a Celcoin Instituição de Pagamento S.A., que provê a estrutura de Banking as a Service (BaaS) utilizada para abertura de contas, emissão de moeda eletrônica, execução de transações de pagamento e obrigações regulatórias. Portanto, esta Política abrange também o tratamento de dados pessoais realizado em conjunto com a Entidade Autorizada (Celcoin), quando necessário à execução dos serviços.

Esta Política tem por objetivo informar, de forma clara e objetiva, como os dados pessoais dos Titulares são coletados, utilizados, armazenados e compartilhados, bem como os descrever os direitos assegurados pela Lei Geral de Proteção de Dados.

Ao utilizar os serviços do Max, o titular declara estar ciente desta Política e de que seus dados poderão ser tratados para as finalidades aqui descritas. Caso não concorde com os termos aqui descritos, recomendamos que se abstenha de utilizar nossos serviços.

2. DEFINIÇÕES

LGPD: Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018).

Titular: Pessoa natural a quem se referem os dados pessoais objeto de tratamento.

Dados Pessoais: Qualquer informação relacionada a pessoa natural identificada ou identificável.

Dados Pessoais Sensíveis: Dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde, à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

Biometria Facial: Dado referente a características físicas da face do Titular, coletado por meio de imagem estática ou dinâmica (selfie, vídeo com prova de vida) e utilizado para fins de identificação, autenticação e prevenção à fraude.

Tratamento: Toda operação realizada com dados pessoais, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.

Base Legal: Hipótese autorizativa prevista na LGPD que legitima o tratamento de dados pessoais, como execução de contrato, obrigação legal, legítimo interesse, consentimento, entre outras.

Controlador: Pessoa natural ou jurídica a quem competem as decisões sobre o tratamento de dados pessoais.

Operador: Pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do Controlador, conforme suas instruções.

Controlador Conjunto: Pessoa natural ou jurídica que, em cooperação com outro controlador, define conjuntamente as finalidades e os meios de tratamento de dados pessoais.

Entidade Autorizada (Celcoin): Parceira do Max responsável por prover infraestrutura de Banking as a Service (BaaS), podendo atuar como controladora ou operadora, conforme o contexto do tratamento.

ANPD: Autoridade Nacional de Proteção de Dados, órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD.

Encarregado (DPO): Pessoa indicada pelo Max para atuar como canal de comunicação entre o Max, os Titulares de dados e a ANPD.

3. DADOS PESSOAIS COLETADOS E FINALIDADES

A coleta e o tratamento de dados pessoais pelo Max têm como finalidade possibilitar a prestação dos serviços contratados e atender às obrigações legais e regulatórias aplicáveis. O tratamento é realizado sempre com fundamento nas hipóteses autorizativas previstas na LGPD.

No decorrer da utilização dos serviços, o Max poderá coletar dados diretamente fornecidos pelo Usuário, tais como nome, CPF, data de nascimento, endereço, e-mail, telefone, documentos de identificação (como RG e CNH), comprovantes de endereço e dados bancários (banco, agência, número de conta e titularidade). Esses dados são utilizados principalmente para fins de cadastro, autenticação, execução do contrato de prestação de serviços, atendimento e contato por canais oficiais, com base legal no artigo 7º, inciso V, da LGPD.

Além das informações fornecidas pelo próprio Usuário, o Max poderá consultar e receber dados de terceiros, incluindo informações cadastrais, histórico de crédito, eventuais registros restritivos (como negativações), listas restritivas nacionais e internacionais (exemplo: PPE, OFAC, ONU) e histórico judicial. Também poderão ser obtidas informações complementares de fontes externas ou prestadores de serviços integrados, como dados de filiação, utilizadas especialmente para validação de identidade e prevenção à fraude durante a abertura de contas. O tratamento desses dados tem como finalidade assegurar a prevenção à fraude, a análise de risco, o cumprimento das práticas de KYC (Know Your Customer) e a observância das obrigações legais e regulatórias, com fundamento nos artigos 7º, incisos II e IX, da LGPD.

Adicionalmente, durante a navegação e o uso dos serviços, são coletados dados de dispositivos e de acesso, como endereço IP, cookies, geolocalização, navegador utilizado, bem como data e hora de acesso. Esses dados são tratados para reforçar a segurança das contas, prevenir fraudes e gerar estatísticas internas de uso, tendo como base legal o artigo 7º, inciso IX, da LGPD.

Além dos dados pessoais já mencionados, o Max atua como intermediário no processo de captura de biometria facial, realizada por meio de imagem estática ou dinâmica (selfie ou vídeo), utilizada exclusivamente para fins de identificação, autenticação e prevenção à fraude para compartilhá-la com terceiros prestadores de serviços, o Max não faz o armazenamento e o tratamento é limitado àquilo que for estritamente necessário para garantir a segurança dos processos de cadastro e de acesso, sendo realizado com fundamento no artigo 11, inciso II, alínea "g", da LGPD.

4. COMPARTILHAMENTO DE DADOS

O Max poderá compartilhar dados pessoais com terceiros sempre que necessário para a execução dos serviços contratados, para o cumprimento de obrigações legais e regulatórias ou ainda para proteção de seus direitos e interesses legítimos. Esse compartilhamento ocorre de forma controlada, observando a estrita finalidade para a qual os dados foram coletados e respeitando as salvaguardas previstas na LGPD.

Os dados poderão ser compartilhados, em especial, com a Celcoin Instituição de Pagamento S.A., responsável por prover a infraestrutura de Banking as a Service utilizada pelo Max para abertura e gestão de contas de pagamento. Além disso, poderão ser envolvidos prestadores de serviços contratados como operadores, tais como fornecedores de tecnologia, provedores de nuvem, empresas de verificação de identidade, bureaus de crédito, parceiros de prevenção a fraudes, empresas de cibersegurança e instituições financeiras parceiras, sempre com cláusulas contratuais de confidencialidade e segurança da informação.

Os dados pessoais também poderão ser fornecidos a autoridades regulatórias, fiscais ou judiciais, incluindo o Banco Central do Brasil, a Receita Federal e outros órgãos públicos competentes, sempre que houver obrigação legal ou regulatória. Em determinadas situações, os dados poderão ser compartilhados com escritórios de advocacia, auditores independentes ou parceiros institucionais, quando necessário para defesa de direitos em processos administrativos ou judiciais, auditorias ou operações societárias.

Em alguns casos, o compartilhamento poderá envolver a transferência internacional de dados, especialmente quando utilizados serviços de armazenamento em nuvem ou de análise tecnológica mantidos fora do Brasil. Nessas hipóteses, o Max adotará os mecanismos previstos na LGPD, incluindo cláusulas contratuais, garantias de nível adequado de proteção ou consentimento específico, quando exigido.

Todos os terceiros que tratam dados em nome do Max estão obrigados a observar padrões de confidencialidade, governança e segurança compatíveis com os exigidos pelo Max, sendo submetidos a cláusulas contratuais e a processos de due diligence periódicos.

5. ARMAZENAMENTO E PRAZOS

Os dados pessoais tratados pelo Max são armazenados apenas pelo tempo necessário para cumprir as finalidades que justificaram sua coleta ou enquanto perdurar a relação contratual com o Usuário. Em geral, os dados cadastrais e de transações financeiras são mantidos durante toda a vigência da conta de pagamento e, após seu encerramento, pelo prazo de 10 (dez) anos, em conformidade com a Circular Bacen nº 3.978/20, a Resolução BCB nº 179/22 e demais normas aplicáveis às instituições de pagamento. Esse prazo visa atender a obrigações legais, regulatórias e de prevenção à lavagem de dinheiro e ao financiamento do terrorismo.

Determinados dados poderão ser armazenados por prazo superior, quando houver interesse legítimo do Max devidamente fundamentado, como para defesa em processos judiciais, administrativos ou arbitrais, ou ainda quando a legislação exigir prazos diferenciados.

Ao término dos prazos legais e regulatórios aplicáveis, os dados pessoais serão eliminados de forma segura ou convertidos em dados anonimizados, que não permitam a identificação do Titular, salvo se houver impedimento legal que justifique a manutenção por período adicional.

6. DIREITOS DOS TITULARES

Em conformidade com a LGPD, o Usuário, na qualidade de Titular de dados pessoais, possui uma série de direitos em relação ao tratamento realizado pelo Max. Entre eles estão: a confirmação da existência de tratamento, o acesso aos dados pessoais, a correção de informações incompletas, inexatas ou desatualizadas, a eliminação de dados tratados com base no consentimento, a portabilidade para outro prestador de serviços, a informação sobre as entidades públicas e privadas com as quais os dados tenham sido compartilhados, a oposição ao tratamento realizado com fundamento no legítimo interesse e a possibilidade de apresentar reclamação junto à Autoridade Nacional de Proteção de Dados (ANPD).

Quando o tratamento for baseado em consentimento, o Titular poderá ainda solicitar a revogação a qualquer momento, sem que isso afete a legalidade dos tratamentos realizados anteriormente.

Para exercer qualquer um desses direitos, o Titular deverá encaminhar solicitação ao canal oficial de privacidade do Max, identificado nesta Política. O Max poderá solicitar informações ou documentos adicionais para fins de verificação da identidade do solicitante, como medida de segurança. As solicitações serão analisadas e respondidas em prazo razoável, observado o limite de até 15 (quinze) dias úteis, salvo hipóteses em que a legislação ou regulamentação específica imponham prazos diferenciados.

Importante destacar que determinados pedidos poderão ser restringidos em razão de obrigações legais ou regulatórias que exijam a manutenção de dados por prazos mínimos, como ocorre com informações relacionadas a prevenção à lavagem de dinheiro, registros de transações e exigências do Banco Central do Brasil. Nessas situações, o Titular será devidamente informado sobre o fundamento da impossibilidade de atendimento integral da solicitação.

7. SEGURANÇA DA INFORMAÇÃO

O Max adota um conjunto de medidas técnicas, administrativas e organizacionais destinadas a proteger os dados pessoais contra acessos não autorizados, vazamentos, perda, alteração indevida ou qualquer forma de tratamento inadequado ou ilícito. Para isso, são utilizados servidores seguros, mecanismos de criptografia em repouso e em trânsito, firewalls, autenticação multifator, gestão periódica de vulnerabilidades e monitoramento contínuo dos sistemas.

Além das medidas tecnológicas, o Max mantém políticas internas de governança e segurança da informação, que abrangem o controle de acessos baseado em perfis, a rastreabilidade das operações realizadas em sistemas, auditorias internas regulares e treinamentos de conscientização em proteção de dados para colaboradores e prestadores de serviço.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos Titulares, o Max seguirá plano formal de resposta a incidentes, incluindo a contenção e mitigação do evento, a investigação das causas, a comunicação imediata às áreas internas competentes e, quando aplicável, a notificação aos Titulares e à Autoridade Nacional de Proteção de Dados (ANPD), em conformidade com os requisitos legais e regulatórios.

O compromisso do Max é manter padrões elevados de segurança, revisando continuamente suas práticas à luz da evolução tecnológica, das orientações do Banco Central do Brasil e das melhores práticas do mercado.

8. ALTERAÇÕES NESTA POLÍTICA

O Max poderá atualizar esta Política de Privacidade a qualquer tempo, a fim de refletir melhorias nos serviços, adequações legais, regulamentares ou mudanças em seus processos internos. Todas as versões trarão a data de revisão e ficarão disponíveis para consulta nos canais oficiais da empresa.

Sempre que houver alterações consideradas relevantes, o Usuário será comunicado de forma clara e tempestiva, por meio dos canais oficiais do Max. Caso tais alterações envolvam mudanças nas bases legais de tratamento ou novas finalidades que exijam consentimento, este será solicitado novamente ao Titular, conforme previsto na LGPD.

9. CONTATO

Para dúvidas, solicitações ou exercício dos direitos previstos na LGPD, o Titular poderá entrar em contato com o Encarregado de Proteção de Dados (DPO) do Max por meio do e-mail: [email protected]. As solicitações recebidas serão avaliadas e respondidas dentro do prazo legal aplicável, podendo ser solicitadas informações adicionais para verificação da identidade do requerente.

Histórico de Versões

Versão 1.0 – 07/02/2025: Publicação inicial da Política.
Versão 1.1 – 10/09/2025: Inclusão da base legal para biometria facial e atualização do prazo de retenção de dados.