Política de Privacidade

01Definições

Para fins desta Política, aplicam-se, entre outras, as definições previstas na LGPD:

• Dados Pessoais: informação relacionada a pessoa natural identificada ou identificável.
• Dados Pessoais Sensíveis: dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados genéticos, biométricos ou relativos à saúde (tratados apenas quando estritamente necessários e com base legal adequada).
• Titular: pessoa natural a quem se referem os dados pessoais.
• Tratamento: toda operação realizada com dados pessoais, como coleta, uso, acesso, armazenamento, compartilhamento e eliminação.
• Controlador: pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais.
• Operador: pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do controlador.
• Cliente: pessoa física ou jurídica que contrata os serviços da Versell, incluindo lojistas, estabelecimentos e empresas que utilizam o gateway ou a conta digital.
• Integrador BaaS: Cliente que utiliza a infraestrutura e as APIs da Versell para oferecer contas, pagamentos ou outros produtos financeiros, sob sua própria marca, a seus próprios usuários.
• Usuário Final: pessoa física ou jurídica que se relaciona com um Integrador BaaS e cujos dados são tratados pela Versell para viabilizar esses produtos.
• Comprador ou Pagador: pessoa que realiza pagamento a um Cliente por meio do gateway de pagamentos da Versell.
• Instituição de Pagamento Parceira: infraestrutura tecnológica e operacional fornecida pela Bass Pago Instituição de Pagamento, responsável pela execução regulada dos serviços de pagamento.

02Papéis no tratamento de dados

Em razão da natureza de gateway de pagamentos e de provedora de infraestrutura BaaS, a Versell pode ocupar papéis diferentes conforme o cenário:

• Controladora: em relação aos dados de seus Clientes, representantes legais, sócios, visitantes do site, candidatos a cadastro e demais pessoas com quem se relaciona diretamente, bem como nos tratamentos realizados para cumprimento de obrigações legais e regulatórias próprias, prevenção à fraude e PLD/FT.
• Operadora: quando trata dados de Usuários Finais em nome e conforme as instruções do Integrador BaaS, que atua como controlador desses dados perante seus usuários.
• Controladora conjunta ou independente: em conjunto com a Instituição de Pagamento Parceira, credenciadoras, emissores e participantes dos arranjos de pagamento, nos tratamentos necessários à execução, liquidação, monitoramento e prevenção à fraude das transações, cada qual responsável pelas obrigações que lhe competem.

Integradores BaaS e Clientes que coletam dados de seus próprios usuários são responsáveis por informar a esses titulares sobre o tratamento, obter as bases legais necessárias e disponibilizar suas próprias políticas de privacidade.

03Bases legais para o tratamento

O tratamento de dados pessoais pela Versell e/ou pela Instituição de Pagamento Parceira ocorre sempre com fundamento em pelo menos uma das bases legais previstas na LGPD, incluindo, mas não se limitando a:

• Cumprimento de obrigação legal ou regulatória;
• Execução de contrato ou de procedimentos preliminares relacionados a contrato;
• Exercício regular de direitos em processo judicial, administrativo ou arbitral;
• Legítimo interesse do controlador ou de terceiros, observados os direitos e liberdades fundamentais do titular;
• Proteção do crédito;
• Garantia da prevenção à fraude e da segurança do titular, nos processos de identificação e autenticação de cadastro (art. 11, II, “g”, da LGPD, para dados sensíveis como biometria);
• Consentimento do titular, quando exigido.

04Dados pessoais coletados

A Versell poderá coletar e tratar, conforme a natureza da relação e dos serviços utilizados, os seguintes dados:

4.1 Dados fornecidos diretamente pelo Cliente ou Usuário

• Nome completo, CPF, CNPJ, data de nascimento e documentos de identificação;
• Endereço, telefone, e-mail e demais dados de contato;
• Dados cadastrais e empresariais, incluindo sócios, administradores, beneficiários finais e representantes legais;
• Imagens, selfies, biometria facial e documentos para validação de identidade (KYC/KYB);
• Dados bancários e de contas para liquidação e saque;
• Informações fornecidas em atendimentos, comunicações ou formulários.

4.2 Dados de Compradores e Pagadores (gateway de pagamentos)

• Nome, CPF/CNPJ, e-mail, telefone e endereço de cobrança ou entrega informados no checkout;
• Dados de cartão de pagamento, coletados e tokenizados em ambiente certificado PCI-DSS;
• Dados da transação, como valor, data, meio de pagamento, parcelamento, status e identificadores do pedido;
• Chaves Pix, dados do pagador e do recebedor e informações de boletos.

4.3 Dados de Usuários Finais (BaaS)

• Dados cadastrais e de identificação enviados pelo Integrador BaaS para abertura e manutenção de contas;
• Documentos e biometria para validação de identidade, quando o processo de KYC for realizado pela Versell;
• Saldos, extratos, transações e demais registros das contas e dos produtos disponibilizados.

4.4 Dados obtidos de terceiros

• Informações provenientes de bases públicas ou privadas;
• Dados de bureaus de crédito, prevenção à fraude e PLD/FT;
• Listas restritivas, de sanções e de pessoas expostas politicamente (PEP);
• Informações cadastrais e reputacionais permitidas por lei.

4.5 Dados técnicos, de navegação e antifraude

• Endereço IP, porta lógica, data e hora de acesso;
• Identificadores de dispositivos, sistema operacional, navegador e impressão digital do dispositivo (device fingerprint);
• Padrões de uso, comportamento de navegação e sinais de risco utilizados por modelos antifraude;
• Cookies e tecnologias similares;
• Dados de geolocalização, quando autorizados.

4.6 Dados transacionais e operacionais

• Informações sobre transações financeiras, movimentações, pagamentos, contestações, chargebacks, MED e uso dos serviços;
• Registros de chamadas a APIs, logs e trilhas de auditoria.

O Cliente e o Integrador BaaS declaram possuir base legal e autorização para fornecer à Versell dados de terceiros, incluindo de seus compradores e Usuários Finais.

05Finalidades do tratamento

Os dados pessoais são tratados para:

• Prestação e gestão dos serviços e produtos contratados, incluindo processamento, captura, roteamento e liquidação de pagamentos;
• Abertura, manutenção e encerramento de contas de pagamento, inclusive de Usuários Finais BaaS;
• Identificação, autenticação e verificação de identidade;
• Cumprimento de obrigações legais, regulatórias e normativas, incluindo PLD/FT e comunicações ao COAF;
• Prevenção e combate a fraudes, chargebacks e incidentes de segurança;
• Gestão de contestações, disputas, estornos e procedimentos do Mecanismo Especial de Devolução (MED);
• Atendimento ao Cliente e suporte técnico;
• Comunicação institucional, operacional e comercial;
• Desenvolvimento, aprimoramento e personalização de produtos e serviços;
• Análises, estatísticas e relatórios, preferencialmente de forma anonimizada;
• Exercício regular de direitos da Versell e/ou da Instituição de Pagamento Parceira em processos administrativos, judiciais ou arbitrais.

06Decisões automatizadas

A Versell utiliza modelos automatizados de análise de risco, inclusive para aprovação cadastral, definição de limites, prevenção à fraude e recusa ou retenção de transações.

Nos termos do art. 20 da LGPD, o titular pode solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, bem como informações claras sobre os critérios e procedimentos utilizados, observados os segredos comercial e industrial e as limitações decorrentes de obrigações legais e regulatórias de prevenção à fraude e PLD/FT.

07Compartilhamento e transferência internacional de dados

A Versell poderá compartilhar dados pessoais, sempre de forma proporcional e necessária, com:

• A Instituição de Pagamento Parceira, responsável pela infraestrutura regulada dos serviços de pagamento;
• Instituições financeiras, arranjos de pagamento, bandeiras, emissores, credenciadoras e subcredenciadoras;
• Integradores BaaS, em relação aos dados de seus próprios Usuários Finais;
• Clientes (lojistas), em relação aos dados dos compradores necessários à conclusão da venda;
• Prestadores de serviços, parceiros tecnológicos, provedores de nuvem, bureaus de crédito e empresas de prevenção à fraude;
• Empresas do mesmo grupo econômico;
• Autoridades administrativas, regulatórias, judiciais ou policiais, quando exigido;
• Terceiros envolvidos em operações societárias, como fusão, cisão ou aquisição.

Quando aplicável, a Versell poderá realizar transferências internacionais de dados, especialmente em razão da utilização de provedores de computação em nuvem com servidores no exterior, observando as hipóteses do art. 33 da LGPD, cláusulas contratuais padrão e demais garantias adequadas.

08Sigilo das operações

Além da LGPD, as informações relativas às operações e aos serviços de pagamento estão protegidas pelo dever de sigilo previsto na Lei Complementar nº 105/2001, aplicável às instituições de pagamento.

O compartilhamento de informações com autoridades competentes, com o COAF ou com participantes dos arranjos de pagamento, nas hipóteses previstas em lei, não constitui violação do dever de sigilo.

09Segurança da informação

A Versell e a Instituição de Pagamento Parceira adotam medidas técnicas, administrativas e organizacionais para proteger os dados pessoais contra acessos não autorizados, perdas, destruição, alteração ou divulgação indevida, incluindo criptografia, controle de acesso, autenticação multifator, monitoramento contínuo e ambiente aderente ao padrão PCI-DSS para dados de cartão.

9.1 Incidentes de segurança e vazamento de dados

Na hipótese de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Versell adotará as medidas técnicas e administrativas cabíveis para mitigação dos efeitos do evento e realizará as comunicações exigidas pela legislação, incluindo à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados, quando aplicável.

O titular reconhece que, apesar da adoção de práticas robustas de segurança da informação, nenhum sistema tecnológico é absolutamente imune a incidentes.

Mais informações estão disponíveis na Política de Segurança da Informação.

10Retenção e eliminação dos dados

Os dados pessoais serão armazenados pelo período necessário para cumprir as finalidades do tratamento e as obrigações legais, regulatórias e contratuais.

• Cadastros e registros de transações: no mínimo 5 (cinco) anos após o encerramento da relação ou da conclusão da transação, conforme a Lei nº 9.613/1998 e a regulamentação de PLD/FT;
• Registros de acesso a aplicações: no mínimo 6 (seis) meses, conforme o Marco Civil da Internet;
• Demais dados: pelo prazo necessário ao exercício regular de direitos, podendo alcançar até 10 (dez) anos.

Após esses períodos, os dados serão eliminados ou anonimizados, salvo se houver outra base legal que autorize sua conservação.

11Direitos dos titulares

A Versell garante aos titulares o exercício dos direitos previstos no artigo 18 da LGPD:

• Confirmação da existência de tratamento;
• Acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• Portabilidade;
• Informação sobre as entidades com as quais os dados foram compartilhados;
• Informação sobre a possibilidade de não fornecer consentimento e suas consequências;
• Revogação do consentimento;
• Oposição ao tratamento, quando cabível;
• Revisão de decisões automatizadas.

11.1 Como exercer seus direitos

As solicitações podem ser enviadas para privacidade@versellpay.com. A Versell poderá solicitar informações para confirmar a identidade do solicitante e responderá no prazo de até 15 (quinze) dias, nos termos da LGPD.

Quando a Versell atuar como operadora em nome de um Integrador BaaS, a solicitação será encaminhada ao respectivo controlador, a quem cabe respondê-la.

Alguns pedidos, como a eliminação de dados, podem ser limitados quando houver obrigação legal ou regulatória de conservação.

O titular também tem o direito de apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

12Dados de crianças e adolescentes

Os serviços da Versell não são direcionados a crianças e adolescentes. A Versell não coleta intencionalmente dados de menores de 18 anos para abertura de contas. Caso identifique tal tratamento indevido, os dados serão eliminados, ressalvadas as hipóteses de conservação previstas em lei.

13Cookies e tecnologias semelhantes

A Versell utiliza cookies e tecnologias similares para:

• Garantir o funcionamento e a segurança das plataformas;
• Prevenir fraudes e autenticar sessões;
• Melhorar a experiência do Usuário;
• Apoiar análises de desempenho.

Os detalhes sobre categorias de cookies e formas de gerenciamento estão na Política de Cookies, disponível em /politica-de-cookies.

14Encarregado pelo tratamento de dados (DPO)

A Versell mantém Encarregado pelo Tratamento de Dados Pessoais, nos termos da LGPD, que pode ser contatado pelo e-mail privacidade@versellpay.com.

15Alterações desta Política

Esta Política poderá ser atualizada a qualquer tempo para refletir alterações legais, regulatórias ou operacionais.

A versão vigente será sempre disponibilizada nos canais oficiais da Versell, incluindo https://versell.com.br.

16Legislação aplicável e foro

Esta Política é regida pelas leis da República Federativa do Brasil.

Fica eleito o foro da Comarca de São Paulo-SP, com renúncia a qualquer outro, para dirimir eventuais controvérsias, ressalvadas as hipóteses de competência legal diversa.