Política de Privacidade.

1.1. Objeto

Esta Política de Privacidade, denominada “Política”, descreve como Dados Pessoais podem ser coletados, utilizados, armazenados, acessados, compartilhados, transferidos, protegidos, retidos ou de outra forma tratados no contexto da Noviuz Platform e das relações relacionadas à sua utilização.

1.2. Aplicação

Esta Política aplica-se, conforme o contexto, ao tratamento de Dados Pessoais relacionado a:

• websites e páginas institucionais;
• Interfaces da Plataforma;
• criação e administração de contas;
• autenticação e controle de acesso;
• utilização de funcionalidades;
• suporte e comunicações;
• segurança;
• organização e acompanhamento de Estruturas;
• integrações;
• serviços relacionados à Plataforma.

1.3. Tratamentos contextuais

Diferentes Interfaces, funcionalidades e serviços podem envolver diferentes participantes responsáveis.

O responsável por determinado tratamento poderá ser identificado:

• na Interface relevante;
• no momento da coleta dos dados;
• na jornada do serviço;
• em contrato comercial;
• em termos específicos;
• em aviso de privacidade complementar;
• em outro instrumento aplicável à relação.

1.4. Serviços de terceiros

Determinados serviços acessíveis ou integrados à Plataforma podem ser prestados por terceiros independentes.

Quando um terceiro determinar autonomamente as finalidades e os meios relevantes de seu tratamento de Dados Pessoais, sua própria política ou aviso de privacidade poderá ser aplicável.

Esta Política não substitui os avisos de privacidade de terceiros independentes.

1.5. Relação com outros documentos

Esta Política deverá ser lida em conjunto, quando aplicável, com:

• os Terms of Use;
• contratos específicos;
• Data Processing Agreements;
• termos de serviços específicos;
• avisos apresentados no momento da coleta;
• suplementos regionais.

Um instrumento mais específico prevalecerá quanto ao tratamento ou à relação que efetivamente regula.

2.1. Dados Pessoais

“Dados Pessoais” significa qualquer informação relacionada a uma pessoa natural identificada ou identificável, ou conceito equivalente previsto na legislação aplicável.

2.2. Tratamento

“Tratamento” significa qualquer operação realizada com Dados Pessoais, incluindo coleta, acesso, uso, organização, consulta, armazenamento, análise, transmissão, compartilhamento, restrição, arquivamento, exclusão ou destruição.

2.3. Titular

“Titular” significa a pessoa natural a quem os Dados Pessoais se referem.

2.4. Plataforma

“Plataforma” ou “Noviuz Platform” significa a infraestrutura tecnológica definida nos Terms of Use.

2.5. Provedor Relevante

“Provedor Relevante” significa a pessoa ou organização identificada como responsável por fornecer determinado acesso, funcionalidade ou serviço relacionado à Plataforma.

Diferentes funcionalidades e serviços podem possuir diferentes Provedores Relevantes.

2.6. Operador

“Operador”, para fins operacionais desta Política, significa uma organização que utiliza a Plataforma para organizar, administrar ou acompanhar relações com seus próprios clientes, usuários, organizações ou Estruturas.

A utilização da expressão “Operador” nesta Política não determina, por si só, seu papel jurídico segundo qualquer legislação de proteção de dados.

2.7. Parceiro

“Parceiro” significa uma organização que mantém relação comercial, institucional, técnica ou operacional com participante do Ecossistema Noviuz.

2.8. Provedor de Serviços

“Provedor de Serviços” significa um terceiro independente que presta serviço específico acessível, relacionado ou integrado à Plataforma.

2.9. Organização

“Organização” significa qualquer sociedade, partnership, trust, fundação, associação, fundo, veículo ou outro arranjo jurídica ou operacionalmente organizado e representado ou administrado por meio da Plataforma.

2.10. Usuário

“Usuário” significa qualquer pessoa natural que acesse ou utilize a Plataforma em nome próprio ou em representação de uma Organização.

2.11. Estrutura

“Estrutura” significa o conjunto organizado de pessoas, organizações, relações, ativos, documentos, poderes, mandatos, decisões, obrigações e registros representados, organizados ou acompanhados por meio da Plataforma.

3.1. Modelo funcional e contextual

A Plataforma opera em um ambiente no qual diferentes participantes podem tratar Dados Pessoais para diferentes finalidades.

Por isso, um participante não será considerado automaticamente responsável por todo tratamento relacionado ao Ecossistema Noviuz apenas porque:

• utiliza a Plataforma;
• fornece uma integração;
• participa de uma relação comercial;
• compartilha infraestrutura;
• atua em uma determinada Interface;
• integra um serviço ao ecossistema.

O papel de cada participante será determinado de acordo com:

• a atividade efetivamente realizada;
• as finalidades do tratamento;
• quem toma as decisões relevantes;
• quem determina os meios relevantes;
• as instruções existentes;
• os contratos aplicáveis;
• as obrigações jurídicas incidentes.

3.2. Tratamento realizado sob instruções

Em determinadas situações, um participante poderá tratar Dados Pessoais em nome de outro participante, segundo instruções documentadas e dentro do escopo contratado.

Esses tratamentos poderão incluir, por exemplo:

• hospedagem;
• armazenamento;
• processamento técnico;
• autenticação;
• suporte;
• operação de funcionalidades;
• segurança.

Os respectivos papéis, instruções e responsabilidades poderão ser disciplinados em contratos específicos ou Data Processing Agreements.

3.3. Tratamentos para finalidades próprias

Um participante poderá tratar Dados Pessoais para finalidades que determina de forma independente, incluindo, conforme seu papel:

• administração de sua própria relação contratual;
• segurança de sua infraestrutura;
• prevenção e investigação de fraude;
• controle de acesso;
• faturamento;
• gestão de fornecedores;
• defesa de direitos;
• cumprimento de obrigações legais;
• resposta a incidentes.

3.4. Papéis distintos para tratamentos distintos

O mesmo participante poderá desempenhar papéis diferentes em diferentes atividades de tratamento.

A função jurídica aplicável será analisada em relação ao tratamento concreto, e não apenas à identidade ou denominação geral da organização.

3.5. Serviços independentes

Provedores de Serviços independentes poderão tratar Dados Pessoais sob suas próprias responsabilidades quando prestarem, por exemplo:

• serviços financeiros;
• pagamentos;
• câmbio;
• custódia;
• serviços jurídicos;
• serviços contábeis ou tributários;
• serviços fiduciários;
• serviços corporativos;
• verificação de identidade;
• due diligence;
• outros serviços profissionais ou regulados.

Nesses casos, o respectivo prestador poderá fornecer sua própria política de privacidade.

4.1. Dados de conta e contato

Podem incluir:

• nome;
• endereço de e-mail;
• número de telefone;
• organização;
• cargo ou função;
• idioma;
• canais de comunicação;
• identificadores de conta.

4.2. Dados de autenticação, uso e segurança

Podem incluir:

• registros de login;
• sessões;
• eventos de autenticação;
• registros de MFA;
• endereços IP;
• informações de dispositivo e navegador;
• logs técnicos;
• eventos de aplicação;
• tentativas de acesso;
• alertas de segurança.

4.3. Dados profissionais e organizacionais

Podem incluir:

• cargo;
• função;
• organização;
• vínculo societário;
• função fiduciária;
• poderes de representação;
• participação em entidades;
• relação profissional ou operacional com uma Organização ou Estrutura.

4.4. Dados relacionados a Estruturas e relacionamentos

Dependendo da utilização da Plataforma, podem ser tratados dados relacionados a:

• entidades e organizações;
• beneficiários;
• administradores;
• diretores;
• signatários;
• representantes;
• procuradores;
• mandatos;
• poderes;
• relações entre pessoas e organizações;
• papéis e responsabilidades.

4.5. Conteúdo enviado à Plataforma

Pode incluir:

• documentos;
• contratos;
• procurações;
• resoluções;
• atas;
• comprovantes;
• instruções;
• comunicações;
• arquivos;
• evidências;
• outros conteúdos fornecidos no contexto de uma relação específica.

4.6. Dados de identificação e verificação

Quando necessários para determinada relação, funcionalidade ou serviço, podem ser tratados:

• nome completo;
• data de nascimento;
• nacionalidade;
• endereço;
• fotografia;
• assinatura;
• número ou cópia de documento;
• identificadores governamentais;
• informações necessárias à verificação de identidade ou representação.

4.7. Dados financeiros, patrimoniais ou de compliance

Quando exigidos pela natureza de uma relação ou serviço específico, podem ser tratados dados relacionados a:

• ativos;
• participações;
• contas;
• pagamentos;
• transações;
• origem de recursos;
• origem patrimonial;
• informações fiscais;
• ativos digitais;
• elegibilidade;
• verificações de compliance;
• análises ou alertas de risco.

Esses dados não são necessariamente tratados pela mesma parte nem para as mesmas finalidades.

4.8. Comunicações

Podem incluir:

• mensagens;
• solicitações;
• reclamações;
• comunicações de suporte;
• respostas a formulários;
• notas operacionais;
• comunicações institucionais ou comerciais.

4.9. Dados derivados

Determinadas funcionalidades podem produzir informações derivadas de dados existentes, como:

• estados de processo;
• classificações operacionais;
• indicadores de segurança;
• alertas;
• pendências;
• relações entre registros;
• classificações de acesso.

5.1. Diretamente do Titular

Por exemplo, quando o Titular:

• cria uma conta;
• preenche um formulário;
• fornece documentos;
• utiliza uma funcionalidade;
• envia uma mensagem;
• solicita suporte;
• participa de um processo relacionado a um serviço.

5.2. De uma Organização ou Operador

Dados podem ser fornecidos por uma Organização ou Operador no contexto de:

• criação de acesso;
• organização de Estruturas;
• definição de funções;
• administração de permissões;
• execução de processos;
• representação de relações ou autoridades;
• prestação de serviços a seus próprios clientes ou usuários.

5.3. De Parceiros e Provedores de Serviços

Dados podem be recebidos de participantes envolvidos em uma relação específica, incluindo prestadores de:

• identidade;
• autenticação;
• segurança;
• compliance;
• pagamentos;
• serviços corporativos;
• assinatura eletrônica;
• custódia;
• serviços profissionais;
• infraestrutura tecnológica.

5.4. Automaticamente

Determinadas informações são geradas durante a utilização da Plataforma, como:

• logs;
• sessões;
• endereço IP;
• informações de dispositivo;
• navegador;
• eventos de autenticação;
• eventos de segurança;
• eventos de uso da aplicação.

5.5. De fontes legítimas

Quando permitido pela legislação aplicável e relevante para a finalidade específica, dados poderão ser obtidos de:

• registros públicos;
• bases oficiais;
• listas de sanções;
• fontes regulatórias;
• provedores de verificação;
• fontes abertas legítimas.

6.1. Disponibilizar a Plataforma

Incluindo:

• criar e administrar contas;
• autenticar usuários;
• controlar acessos;
• disponibilizar funcionalidades;
• armazenar informações;
• processar ações;
• organizar Estruturas;
• manter históricos e Registros.

6.2. Administrar papéis, permissões e processos

Incluindo:

• atribuição de acessos;
• configuração de funções;
• registro de permissões;
• administração de fluxos;
• registro de aprovações;
• segregação de funções;
• acompanhamento de pendências.

6.3. Executar relações contratuais

Incluindo:

• onboarding;
• administração de contratos;
• gestão da relação;
• faturamento;
• suporte;
• disponibilização de funcionalidades ou serviços contratados.

6.4. Segurança e prevenção de abuso

Incluindo:

• autenticação;
• monitoramento de segurança;
• prevenção de acesso indevido;
• detecção de comportamento anormal;
• investigação de incidentes;
• prevenção e investigação de fraude;
• proteção de infraestrutura e participantes.

6.5. Diligência, elegibilidade e compliance

Quando necessário para a relação ou serviço específico, dados podem ser tratados para:

• verificar identidade;
• verificar representação;
• realizar diligência;
• realizar screening;
• avaliar elegibilidade;
• identificar riscos;
• cumprir obrigações específicas;
• prevenir utilização ilícita ou abusiva.

A parte responsável por esses tratamentos dependerá do fluxo e do serviço concreto.

6.6. Suporte e comunicação

Incluindo:

• responder solicitações;
• solucionar problemas;
• investigar erros;
• prestar suporte;
• enviar comunicações operacionais;
• comunicar mudanças relevantes;
• responder a reclamações.

6.7. Desenvolvimento e melhoria

Incluindo:

• diagnosticar falhas;
• medir desempenho;
• entender padrões de uso;
• desenvolver funcionalidades;
• aprimorar segurança;
• melhorar a experiência.

Quando apropriado, poderão ser utilizados dados agregados ou desidentificados.

6.8. Obrigações legais e defesa de direitos

Incluindo:

• cumprimento de obrigações jurídicas;
• resposta a ordens válidas;
• preservação de registros exigidos;
• investigação de irregularidades;
• exercício e defesa de direitos;
• resposta a processos administrativos, arbitrais ou judiciais.

8.1. Organizações e Operadores

Dados poderão ser compartilhados com a Organização ou Operador relacionado ao Usuário quando necessário para:

• administrar a relação;
• organizar a Estrutura;
• disponibilizar acessos;
• controlar permissões;
• acompanhar processos;
• executar atividades sob sua responsabilidade.

8.2. Provedores Relevantes e Parceiros

Dados poderão ser compartilhados com participantes envolvidos na disponibilização de determinada Interface, funcionalidade, operação ou relação contratual.

8.3. Provedores de Serviços

Dados poderão ser compartilhados com prestadores necessários à atividade relevante, incluindo fornecedores de:

• hospedagem;
• armazenamento;
• segurança;
• autenticação;
• comunicação;
• suporte;
• assinatura eletrônica;
• identidade;
• compliance;
• serviços corporativos;
• serviços profissionais;
• pagamentos e outros serviços integrados.

8.4. Consultores e profissionais

Quando necessário e sujeito a deveres adequados de confidencialidade, dados poderão ser compartilhados com:

• advogados;
• auditores;
• contadores;
• consultores;
• investigadores;
• outros assessores profissionais.

8.5. Autoridades e terceiros legitimados

Dados poderão ser compartilhados quando necessário para:

• cumprir obrigação legal;
• responder a determinação válida;
• proteger direitos;
• investigar ilícitos;
• responder a processo judicial, arbitral, administrativo ou regulatório.

8.6. Reorganizações e transações societárias

Dados poderão ser compartilhados no contexto de:

• reorganização;
• investimento;
• financiamento;
• aquisição;
• incorporação;
• venda de ativos;
• mudança de controle;
• operação semelhante.

Nessas situações, serão observadas as proteções aplicáveis.

8.7. Uso incompatível

Dados Pessoais não serão disponibilizados indiscriminadamente a terceiros para utilização incompatível com as finalidades legítimas relacionadas ao tratamento.

9.1. Operação global

A Plataforma, seus participantes, usuários e fornecedores podem operar em diferentes países ou regiões. Por isso, Dados Pessoais podem ser armazenados, acessados ou processados em diferentes jurisdições.

9.2. Salvaguardas aplicáveis

Quando a legislação aplicável exigir salvaguardas específicas para transferências internacionais, o participante responsável adotará mecanismo apropriado reconhecido pelo respectivo regime jurídico.

Medidas adicionais técnicas, organizacionais ou contratuais poderão ser utilizadas quando necessárias ao contexto e ao risco.

Informações adicionais sobre transferências específicas poderão ser fornecidas em:

• contratos;
• Data Processing Agreements;
• avisos de privacidade específicos;
• suplementos regionais.

10.1. Princípio geral

Dados Pessoais serão mantidos pelo período necessário e proporcional às finalidades do tratamento.

10.2. Critérios

A retenção poderá considerar:

• duração da relação;
• natureza da funcionalidade ou serviço;
• necessidade operacional;
• natureza e sensibilidade dos dados;
• segurança;
• prevenção de fraude;
• auditabilidade;
• defesa de direitos;
• obrigações jurídicas de conservação.

10.3. Diferentes categorias de registros

Períodos distintos podem ser aplicáveis a diferentes tipos de informação, incluindo:

• dados de conta;
• conteúdo operacional;
• documentos;
• registros de autenticação;
• logs de segurança;
• trilhas de auditoria;
• registros sujeitos a obrigação específica de conservação;
• backups.

10.4. Encerramento da necessidade

Quando a retenção deixar de ser necessária, os dados poderão ser, conforme apropriado:

• excluídos;
• anonimizados;
• agregados;
• isolados;
• arquivados sob acesso restrito.

Prazos específicos poderão ser estabelecidos em contratos, termos de serviço ou avisos regionais.

11.1. Preservação de histórico

Determinadas funcionalidades da Plataforma podem utilizar arquiteturas nas quais eventos históricos são preservados e correções, revogações ou alterações são registradas por meio de novos eventos.

11.2. Integridade e minimização

O desenho da Plataforma deverá buscar equilíbrio entre:

• integridade dos registros;
• segurança;
• auditabilidade;
• minimização de dados;
• privacidade;
• direitos dos Titulares;
• obrigações legais.

11.3. Medidas alternativas

Quando a exclusão direta de determinado registro não for tecnicamente adequada ou juridicamente permitida, poderão ser utilizadas, conforme o contexto:

• restrição de acesso;
• pseudonimização;
• criptografia;
• segregação;
• retificação por evento posterior;
• minimização de exposição;
• outras medidas juridicamente adequadas.

11.4. Obrigações legais prevalecem sobre o desenho técnico

Nenhuma característica técnica da Plataforma elimina direitos ou obrigações obrigatoriamente aplicáveis.

A forma de atendimento de determinada solicitação deverá considerar:

• la legislação aplicável;
• a natureza do sistema;
• os direitos de terceiros;
• as obrigações de conservação;
• a segurança;
• a integridade dos registros.

12.1. Medidas de segurança

Os participantes responsáveis adotarão medidas técnicas, administrativas e organizacionais razoáveis e proporcionais ao seu papel e ao risco do tratamento.

Essas medidas podem incluir:

• controles de acesso;
• autenticação;
• princípio do menor privilégio;
• segregação de funções;
• criptografia;
• logs;
• monitoramento;
• backups;
• testes;
• gestão de vulnerabilidades;
• controles de fornecedores;
• procedimentos de resposta a incidentes.

12.2. Responsabilidade compartilhada

A segurança também depende das ações de Usuários, Organizações e demais participantes.

Usuários devem:

• proteger suas credenciais;
• utilizar mecanismos de autenticação disponíveis;
• proteger seus dispositivos;
• evitar compartilhamento indevido de acesso;
• respeitar limites de autoridade;
• comunicar suspeitas de incidente.

12.3. Incidentes

Quando ocorrer incidente de segurança envolvendo Dados Pessoais, o participante responsável adotará medidas razoáveis e proporcionais para:

• investigar;
• conter;
• corrigir;
• reduzir riscos;
• preservar evidências;
• cumprir obrigações de comunicação;
• cooperar com outros participantes relevantes.

As responsabilidades de cada participante dependerão de seu papel no tratamento e da legislação aplicável.

12.4. Ausência de segurança absoluta

Nenhum sistema tecnológico pode ser garantido como completamente imune a falhas, ataques, incidentes ou acessos indevidos.

13.1. Como exercer direitos

Solicitações relacionadas a privacidade poderão ser encaminhadas para:

privacy@noviuz.com

Quando outro participante for responsável pelo tratamento em questão, a solicitação poderá:

• ser encaminhada ao responsável aplicável; ou
• ser tratada em cooperação com ele.

13.2. Verificação

Poderá ser necessário verificar:

• identidade do solicitante;
• legitimidade da solicitação;
• autoridade de eventual representante.

13.3. Limitações

Solicitações poderão ser limitadas ou recusadas quando permitido pela legislação aplicável, incluindo situações relacionadas a:

• obrigação de retenção;
• direitos de terceiros;
• segurança;
• prevenção de fraude;
• segredo profissional;
• defesa de direitos;
• impossibilidade de verificar adequadamente a identidade ou autoridade do solicitante.

17.1. Comunicações operacionais

Podem ser enviadas comunicações necessárias à operação da Plataforma ou de uma relação específica, incluindo mensagens sobre:

• segurança;
• autenticação;
• pendências;
• suporte;
• solicitações;
• mudanças de serviço;
• alterações importantes;
• incidentes;
• avisos contratuais.

Essas comunicações não são necessariamente promocionais.

17.2. Comunicações institucionais e comerciais

Comunicações institucionais ou comerciais poderão ser enviadas de acordo com a legislação aplicável.

Quando houver mecanismo de opt-out ou gestão de preferências aplicável, o destinatário poderá utilizá-lo para interromper comunicações promocionais elegíveis.

19.1. Alterações desta Política

Esta Política poderá ser atualizada para refletir:

• mudanças na Plataforma;
• novas funcionalidades;
• mudanças operacionais;
• novos riscos;
• evolução tecnológica;
• mudanças regulatórias;
• alterações na organização das relações do Ecossistema Noviuz.

19.2. Versionamento

Cada versão será identificada por:

• número ou identificador;
• data de vigência;
• data da última atualização.

19.3. Alterações materiais

Quando apropriado ao contexto, alterações materiais poderão ser comunicadas por:

• e-mail;
• Interface;
• aviso no website;
• comunicação do Operador;
• outro meio razoavelmente adequado.

19.4. Suplementos regionais

Suplementos regionais poderão ser disponibilizados quando necessários para atender exigências específicas de determinada jurisdição.

Esses suplementos poderão tratar, por exemplo, de:

• direitos adicionais;
• bases jurídicas específicas;
• representantes locais;
• autoridades competentes;
• regras de transferência internacional;
• regras específicas sobre cookies;
• categorias especiais de dados;
• informações obrigatórias.

Quando aplicável, o suplemento regional prevalecerá exclusivamente quanto às matérias obrigatórias da jurisdição que regula.

19.5. Contato sobre privacidade

Solicitações, dúvidas e pedidos relacionados à privacidade poderão ser encaminhados para:

privacy@noviuz.com

Relatos de segurança:

security@noviuz.com

Questões jurídicas gerais:

legal@noviuz.com

Quando outro Provedor Relevante, Operador ou Provedor de Serviços for responsável por determinado tratamento, seus dados de contato poderão ser disponibilizados:

• na Interface;
• no momento da coleta;
• no contrato;
• no fluxo do serviço;
• em aviso específico.

O Titular deverá, sempre que possível, direcionar sua solicitação ao participante identificado como responsável pelo tratamento relevante.