RASCUNHO, documento não vigente, apenas para ambiente de testes

Política de Privacidade

# Politica de Privacidade v1.0

<!-- cspell:disable -->

Status: draft. Revisao juridica e DPO obrigatoria antes de publicacao.

## 1. Controlador

Controlador: TechSoma Group, CNPJ 35.830.899/0001-54, `[ADDRESS]`.

Encarregado pelo Tratamento de Dados (DPO interino MVP): Marcos Barra, Founder/CEO.

Canal DPO/privacidade: formulario publico em `/contact/dpo`. Email dedicado sera definido antes do
uso em producao.

## 2. Escopo

Esta politica explica como a MuPag trata dados pessoais de usuarios de conta, lojistas, afiliados,
compradores finais, operadores de backoffice, candidatos, contatos de suporte e visitantes.

## 3. Categorias de Dados

MuPag pode tratar:

- identificacao: nome, CPF/CNPJ, data de nascimento, representante legal;
- contato: email, telefone, endereco;
- conta: login, MFA, sessoes, papel e permissoes;
- lojista/afiliado: KYC/KYB, dados bancarios, chave PIX, dados empresariais e documentos;
- comprador: dados de checkout, endereco, assinatura e portal;
- pagamento: IDs de charge/PSP, valor, metodo, bandeira, last4 e referencias tokenizadas;
- seguranca/fraude: IP, user-agent, device fingerprint, login history e sinais de risco;
- comunicacao: emails, WhatsApp, webhooks e tickets;
- auditoria: ator, acao, recurso, timestamp, IP, user-agent e snapshots sanitizados.

MuPag nao deve coletar ou armazenar PAN ou CVV.

## 4. Finalidades

Dados podem ser tratados para:

- criar e proteger contas;
- fazer onboarding de lojistas e afiliados;
- prestar servicos de pagamento, split, payout, assinatura, webhook e dashboard;
- prevenir fraude, abuso, lavagem de dinheiro, chargeback e acesso indevido;
- cumprir obrigacoes legais, regulatorias, fiscais, contabeis, PSP e auditoria;
- prestar suporte e comunicacoes transacionais;
- melhorar seguranca, confiabilidade e qualidade do produto;
- gerir consentimento, pedidos LGPD e exercicio regular de direitos.

## 5. Bases Legais

Classificacao final deve ser revisada por advogado. Premissas operacionais:

| Finalidade | Base legal esperada |
| --- | --- |
| conta e entrega do servico | contrato |
| KYC/KYB, retencao fiscal e contabil | obrigacao legal |
| prevencao de fraude e seguranca | legitimo interesse, obrigacao legal |
| marketing | consentimento ou legitimo interesse quando permitido |
| analytics | consentimento ou legitimo interesse conforme ferramenta/contexto |
| auditoria e disputas | exercicio regular de direitos |

## 6. Compartilhamento

Dados podem ser compartilhados com PSPs, bancos, cloud providers, observabilidade, email/WhatsApp,
KYC/KYB, antifraude, assessores contabeis/juridicos, reguladores, tribunais e lojistas quando
necessario para o servico.

Subprocessadores iniciais incluem AWS, Datadog, Asaas, Woovi, provedor de email, provedor WhatsApp e
provedor KYC/KYB. Lista publica final deve ser revisada e mantida atualizada.

## 7. Transferencias Internacionais

Dados podem ser processados fora do Brasil por cloud, observabilidade, comunicacao ou suporte.
Salvaguardas devem ser revisadas por juridico antes da publicacao.

## 8. Retencao

Dados sao retidos pelo periodo necessario para servico, seguranca, obrigacoes fiscais, regulacao,
auditoria, disputas e exercicio de direitos. Registros financeiros/fiscais podem permanecer apos
anonimizacao de PII operacional.

Mapa interno: `docs/lgpd-data-flows.md`.

## 9. Direitos do Titular

Titulares podem solicitar acesso, confirmacao de tratamento, correcao, anonimizacao, portabilidade,
informacoes de compartilhamento, revogacao de consentimento, oposicao e revisao de decisoes
automatizadas quando aplicavel.

Pedidos devem ser enviados pelo formulario publico `/contact/dpo`, pelo portal autenticado quando
disponivel ou pelo email dedicado quando ele for publicado.

## 10. Seguranca

MuPag aplica controles tecnicos e administrativos como controle de acesso, MFA, secrets management,
audit logs, criptografia de segredos selecionados, hash de tokens, redacao de logs, idempotencia,
monitoramento e resposta a incidentes.

## 11. Cookies

Cookies e tecnologias similares sao descritos na Politica de Cookies.

## 12. Alteracoes

Mudancas materiais exigem versionamento, publicacao e aviso ou re-aceite quando necessario.