Política de Privacidade

1.1. Quem é o Controlador dos Dados

O LaranjaPay Instituição e Intermediadora de Pagamentos S.A. atua como Controlador dos dados pessoais tratados no âmbito da sua relação com a Plataforma, sendo responsável pelas decisões referentes ao tratamento desses dados, conforme definido no Art. 5º, VI, da LGPD. Em determinadas operações de roteamento e liquidação financeira, instituições processadoras e arranjos de pagamento parceiros podem atuar como controladores ou operadores independentes, observadas suas próprias políticas e obrigações regulatórias.

1.2. Conceitos Aplicáveis

Para os fins desta Política, "Dados Pessoais" são quaisquer informações relacionadas a pessoa natural identificada ou identificável; "Dados Pessoais Sensíveis" abrangem dados biométricos utilizados para verificação de identidade; "Tratamento" compreende toda operação realizada com dados pessoais (coleta, uso, armazenamento, compartilhamento, eliminação, entre outras); e "Titular" é a pessoa natural a quem os dados se referem.

1.3. Abrangência

Esta Política aplica-se a todos os dados coletados por meio do nosso site, aplicativo, painel de controle (dashboard), APIs de integração e demais canais de atendimento, abrangendo tanto Usuários cadastrados quanto visitantes da Plataforma.

2.1. Dados Cadastrais e de Identificação

Nome completo ou razão social, CPF ou CNPJ, data de nascimento, endereço de e-mail, número de telefone, endereço residencial ou de domicílio fiscal, e dados de representação legal (no caso de pessoa jurídica).

2.2. Dados de Verificação de Identidade (KYC) e Dados Sensíveis

Em cumprimento aos procedimentos de "Conheça Seu Cliente" (KYC), coletamos imagens de documentos oficiais de identidade com foto (RG ou CNH), selfies dinâmicas e dados biométricos faciais utilizados em prova de vida (liveness check), comprovantes de residência, declarações de renda e comprovantes de origem lícita de faturamento. Os dados biométricos faciais são tratados como dados pessoais sensíveis e utilizados exclusivamente para a finalidade de validação de identidade e prevenção a fraudes.

2.3. Dados Transacionais e Financeiros

Histórico de cobranças geradas (PIX QR Code e Pix Copia e Cola), valores transacionados, saldos, datas e horários das operações, identificadores de transações, dados de liquidação e informações relacionadas a contestações, chargebacks e solicitações via Mecanismo Especial de Devolução (MED).

2.4. Dados Técnicos e de Navegação

Endereço IP, dados do dispositivo e do navegador, identificadores únicos de dispositivo, sistema operacional, dados de geolocalização aproximada, registros de acesso (logs) e demais metadados técnicos coletados automaticamente, em conformidade com o Marco Civil da Internet.

2.5. Dados Comportamentais e de Risco

Padrões de uso, comportamento transacional, sinais de risco identificados pelos nossos sistemas de monitoramento antifraude e PLD/FT, bem como dados obtidos a partir de bureaus de crédito e bases públicas e privadas de prevenção à fraude, sempre que a lei nos exigir ou autorizar.

3.1. Para que utilizamos seus dados

Tratamos seus dados pessoais para as seguintes finalidades, dentre outras compatíveis:

• Viabilizar o cadastro, a abertura e a manutenção da conta na Plataforma;
• Cumprir os procedimentos obrigatórios de verificação de identidade (KYC) e prevenção a fraudes;
• Processar, rotear e liquidar transações financeiras de forma segura e eficiente;
• Cumprir obrigações legais e regulatórias impostas pelo BACEN, COAF e demais autoridades competentes;
• Monitorar operações para prevenção à lavagem de dinheiro, ao financiamento ao terrorismo e a fraudes (PLD/FT e antifraude);
• Prestar suporte, comunicar avisos operacionais e responder a solicitações do Titular;
• Aprimorar a segurança, a estabilidade e a experiência de uso da Plataforma;
• Exercer regularmente direitos em processos administrativos, judiciais ou arbitrais.

4.1. Fundamentos legais aplicáveis

O tratamento dos seus dados pessoais está fundamentado nas hipóteses legais previstas na LGPD, conforme a finalidade de cada operação:

• Cumprimento de obrigação legal ou regulatória (Art. 7º, II), notadamente para KYC, PLD/FT e reportes ao COAF e BACEN;
• Execução de contrato do qual o Titular é parte (Art. 7º, V), para a prestação dos Serviços;
• Exercício regular de direitos em processos (Art. 7º, VI);
• Legítimo interesse do Controlador (Art. 7º, IX), para prevenção a fraudes e segurança, respeitados os direitos e liberdades do Titular;
• Consentimento do Titular (Art. 7º, I e Art. 11, I), quando exigido, especialmente para o tratamento de dados biométricos sensíveis;
• Proteção ao crédito (Art. 7º, X), quando aplicável.

4.2. Tratamento de Dados Sensíveis

Os dados biométricos faciais, classificados como sensíveis, são tratados mediante consentimento específico e destacado do Titular ou para o cumprimento de obrigação regulatória de verificação de identidade, sempre limitados às finalidades de validação de identidade e prevenção a fraudes.

5.1. Parceiros Operacionais e Processadores

Compartilhamos os dados estritamente necessários à execução da transação com as instituições processadoras de pagamento PIX que efetivamente processam, roteiam e liquidam os valores movimentados na Plataforma — atualmente OnlyUp e GGPix —, com a Didit, provedora de tecnologia de verificação de identidade (KYC) e biometria, e com provedores de infraestrutura em nuvem e de prevenção a fraudes, todos sob obrigações contratuais de confidencialidade e segurança. A relação de processadores parceiros pode ser atualizada a qualquer tempo, conforme a evolução técnica e comercial da Plataforma, sem prejuízo do nível de proteção de dados aqui descrito.

5.2. Autoridades e Órgãos Reguladores

Quando exigido por lei, por ordem judicial ou por requisição de autoridade competente, compartilhamos dados com o Banco Central do Brasil (BACEN), o Conselho de Controle de Atividades Financeiras (COAF), o Ministério Público, as polícias federal e civil, a Receita Federal e demais órgãos reguladores e de persecução penal. Reportes de operações suspeitas ao COAF são realizados sob sigilo institucional e independentemente de notificação prévia ao Titular, conforme exigência legal.

5.3. Bureaus de Crédito e Antifraude

Podemos consultar e compartilhar dados com bureaus de crédito e bases de prevenção à fraude para validação cadastral, análise de risco e proteção da integridade do ecossistema financeiro.

5.4. Transferência Internacional de Dados

Caso provedores de serviço utilizem infraestrutura localizada fora do Brasil, a transferência internacional de dados observará as garantias previstas na LGPD, incluindo cláusulas contratuais adequadas e padrões de segurança compatíveis com a legislação brasileira.

6.1. Medidas de Segurança

Adotamos medidas técnicas e administrativas rigorosas para proteger seus dados, incluindo criptografia de ponta a ponta, tokenização de informações vitais, controles de acesso baseados nos princípios de Menor Privilégio (Least Privilege) e Necessidade de Saber (Need to Know), além de trilhas de auditoria (logs) e monitoramento contínuo de segurança da informação.

6.2. Prazo de Retenção

Os dados pessoais são armazenados pelo tempo necessário ao cumprimento das finalidades para as quais foram coletados e enquanto perdurarem obrigações legais e regulatórias de guarda. Registros de transações financeiras e dados de KYC, em particular, são retidos pelos prazos mínimos impostos pela regulação do BACEN e pela legislação de PLD/FT, ainda que após o encerramento ou a exclusão da conta. Registros de acesso à aplicação são mantidos pelo prazo legal previsto no Marco Civil da Internet.

6.3. Retenção Contábil de Transações — Base Legal

Nos termos do Art. 16, I, da LGPD, o histórico de transações (cobranças geradas, lançamentos financeiros e movimentações de saldo) NUNCA é apagado da nossa base de dados, mesmo após a exclusão da conta pelo Titular — nem por solicitação do próprio Titular. Essa retenção é necessária para o cumprimento de obrigações legais e regulatórias (contábeis, fiscais, de PLD/FT e de atendimento a requisições do BACEN e do COAF) e para a defesa de direitos em eventuais disputas ou contestações (MED, chargebacks). Os dados retidos após a exclusão da conta ficam vinculados a um cadastro anonimizado (ver Cláusula 7.3) e deixam de ser utilizados para qualquer outra finalidade que não a legal.

6.4. Eliminação de Dados

Encerrados os prazos de retenção e as obrigações legais, os dados serão eliminados ou anonimizados de forma segura, ressalvadas as hipóteses de guarda autorizadas ou exigidas por lei, incluindo a hipótese de retenção contábil descrita na Cláusula 6.3.

7.1. Seus direitos

Nos termos do Art. 18 da LGPD, o Titular pode requerer:

• Confirmação da existência de tratamento e acesso aos seus dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei;
• Portabilidade dos dados a outro fornecedor, observados os segredos comercial e industrial;
• Informação sobre as entidades públicas e privadas com as quais houve compartilhamento;
• Informação sobre a possibilidade de não fornecer consentimento e suas consequências;
• Revogação do consentimento, quando o tratamento se basear nessa hipótese.

7.2. Limitações Regulatórias

Determinados direitos podem ser limitados quando o tratamento for necessário ao cumprimento de obrigação legal ou regulatória, à prevenção a fraudes e à segurança do Titular e de terceiros. Nesses casos, a eliminação ou a interrupção do tratamento poderá não ser possível enquanto perdurarem as obrigações legais de guarda e de prevenção a ilícitos financeiros.

7.3. Como Excluir sua Conta

Você pode solicitar a exclusão da sua conta diretamente pelo aplicativo LaranjaPay, na área de Segurança do seu perfil, mediante confirmação de senha — a solicitação exige que o saldo disponível esteja zerado antes de prosseguir (saque o saldo remanescente antes de excluir a conta). Alternativamente, a exclusão pode ser solicitada pelo e-mail suporte@laranja.site. Ao ser processada, a exclusão suspende o acesso à conta e anonimiza os dados cadastrais associáveis a Você (nome e e-mail deixam de ser identificáveis); ela NÃO apaga o histórico de transações, que é mantido nos termos da Cláusula 6.3 por exigência legal e regulatória.

8.1. Uso de Cookies

Utilizamos cookies e tecnologias similares para autenticar sessões, garantir a segurança da conta, lembrar preferências, analisar o uso da Plataforma e prevenir fraudes. Cookies essenciais são indispensáveis ao funcionamento dos Serviços. Você pode gerenciar cookies não essenciais por meio das configurações do seu navegador, ciente de que a desativação de certos cookies pode afetar funcionalidades da Plataforma.

9.1. Como falar conosco

Para exercer seus direitos, esclarecer dúvidas ou apresentar solicitações relacionadas a dados pessoais — incluindo pedidos de exclusão de conta —, o Titular pode entrar em contato com o nosso Encarregado pelo Tratamento de Dados Pessoais (DPO) pelo e-mail suporte@laranja.site ou pelos demais canais oficiais de atendimento disponibilizados na Plataforma. Responderemos às solicitações nos prazos e na forma previstos pela LGPD.

9.2. Autoridade Nacional de Proteção de Dados

Caso entenda que seus direitos não foram adequadamente atendidos, o Titular pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

10.1. Atualizações

Esta Política poderá ser atualizada a qualquer tempo para refletir mudanças legais, regulatórias ou operacionais. A versão vigente estará sempre disponível na Plataforma, com indicação da data da última atualização. O uso contínuo dos Serviços após a publicação de alterações representa a ciência do Titular quanto às novas disposições.