Política de Privacidade

1.Quem é responsável e como entrar em contato

A Zahav atua como controladora nas atividades em que decide as finalidades e os meios do tratamento. Em operações que envolvam outras instituições, as responsabilidades de cada participante dependem da atividade realizada e dos instrumentos da contratação. Os dados de contato acima também podem ser usados para solicitar esclarecimentos sobre essas responsabilidades.

2.Quais dados tratamos e de onde vêm

As informações variam conforme o serviço solicitado e a etapa do relacionamento. Podem incluir:

• Identificação e contato: nome, CPF, documento de identidade, data de nascimento, telefone, e-mail e endereço.
• Informações funcionais e financeiras: vínculo e matrícula no órgão, renda, contracheque, margem consignável, dados bancários, propostas, contratos e pagamentos.
• Cartões e transações, quando aplicáveis: identificadores do cartão ou da conta, situação do produto, valores, datas, estabelecimentos, autorizações, liquidações e contestações.
• Validação de identidade: documentos, imagens e, quando necessário à jornada, dados biométricos e resultados de verificações antifraude.
• Atendimento e registros eletrônicos: mensagens, solicitações, registros de aceite ou assinatura, acessos, endereço IP, informações de navegador e dispositivo e dados de navegação.

Os dados podem ser fornecidos por você ou por seu representante, gerados durante a utilização dos serviços ou recebidos de órgãos conveniados, instituições participantes da operação, prestadores de validação e fontes públicas ou autorizadas, conforme a finalidade e a base legal aplicáveis. Solicitamos apenas informações pertinentes ao serviço. A falta de dados necessários à identificação, à contratação ou ao cumprimento de obrigação legal pode impedir a continuidade da solicitação.

3.Finalidades e bases legais

• Atender solicitações, simular, analisar e contratar crédito: procedimentos preliminares solicitados pelo titular, execução de contrato e proteção do crédito, conforme a atividade.
• Executar a operação: averbação e desconto em folha, emissão e processamento de cartões, pagamentos, liquidação, cobrança e tratamento de contestações, quando aplicáveis, com base na execução contratual e nas obrigações legais ou regulatórias pertinentes.
• Identificar o cliente e prevenir fraude, lavagem de dinheiro e financiamento do terrorismo: cumprimento de obrigações legais ou regulatórias e, para dados não sensíveis, legítimo interesse quando cabível, respeitados os direitos do titular. Para dados sensíveis, aplicam-se as hipóteses específicas da seção 4.
• Atender clientes, manter registros e exercer direitos: execução contratual, cumprimento de obrigações legais ou regulatórias e exercício regular de direitos em procedimentos administrativos, judiciais ou arbitrais.
• Proteger e melhorar os canais digitais: segurança, análise de uso e funcionamento, observadas a necessidade, a finalidade e a base legal pertinente a cada tecnologia, como explicado na seção 7.
• Atividades que dependam de autorização: consentimento específico, informado e revogável, quando essa for a base legal exigida.

O legítimo interesse não é uma autorização ilimitada: seu uso deve considerar a necessidade do tratamento, as expectativas do titular e o impacto sobre seus direitos. Você pode solicitar informações sobre a base legal utilizada em uma atividade específica pelo canal de privacidade.

4.Biometria e dados sensíveis

Dados biométricos vinculados a uma pessoa são dados pessoais sensíveis. Quando utilizados para validar a identidade e prevenir fraude no cadastro ou na autenticação, seu tratamento deve se limitar ao necessário para essas finalidades, conforme o art. 11, II, “g”, da LGPD. Outras hipóteses do art. 11 podem se aplicar conforme a atividade, como obrigação legal ou regulatória e exercício regular de direitos.

Se uma atividade depender de consentimento para dados sensíveis, ele deverá ser específico e destacado. As regras gerais de legítimo interesse para dados comuns não substituem essas condições. Validações podem ser realizadas por prestadores especializados envolvidos na jornada; informações sobre o prestador e o tratamento podem ser solicitadas pelo canal de privacidade.

5.Compartilhamento e parceiros

O compartilhamento deve se limitar aos dados necessários à finalidade da operação. Conforme o produto solicitado e os serviços efetivamente utilizados, podem participar:

• Órgãos e entidades conveniados e seus prestadores, para verificar vínculo e margem e realizar a averbação e os descontos em folha.
• Instituições financeiras e de pagamento, emissores, processadoras e bandeiras, para análise e contratação, cartões, pagamentos, autenticação, prevenção a fraude, liquidação e contestações.
• Fundos, securitizadoras e outros adquirentes de créditos, quando houver cessão, e prestadores de cobrança, para as atividades correspondentes.
• Fornecedores de tecnologia, hospedagem, armazenamento, comunicação, validação de identidade, leitura de documentos, análise de dados, inteligência artificial e monitoramento, conforme o serviço prestado.
• Autoridades públicas e órgãos reguladores, quando houver obrigação legal, determinação válida ou outra hipótese legal aplicável.

Entre os participantes do ecossistema podem estar Mastercard, Pomelo e ACCREDITO, quando envolvidos no produto ou na sua operação. A Mastercard participa do arranjo de pagamentos; os serviços da Pomelo e da ACCREDITO dependem da estrutura e da contratação aplicáveis. A instituição responsável pelo produto deve ser identificada nos documentos da contratação.

Um parceiro pode atuar como operador, seguindo instruções de um controlador, ou como controlador para finalidades próprias. Esses papéis variam conforme a atividade e não são definidos apenas pela marca do produto. Para conhecer o tratamento realizado pelos próprios parceiros, consulte os avisos oficiais:

• Aviso de Privacidade Global da Mastercard.
• Política de Privacidade da Pomelo.
• Política de Privacidade da ACCREDITO — Sociedade de Crédito Direto S.A. (PDF).

Você pode solicitar a identificação das entidades com as quais seus dados foram compartilhados e as finalidades correspondentes. Avisos de terceiros complementam as informações sobre suas próprias atividades e não afastam as responsabilidades da Zahav.

6.Tratamento no Brasil e no exterior

O tratamento pode envolver infraestrutura, acesso remoto e prestadores no Brasil e no exterior, inclusive fornecedores de tecnologia e participantes do ecossistema de cartões e pagamentos. Hospedagem de parte dos dados no Brasil não significa que todo o tratamento esteja restrito ao território nacional.

Quando houver transferência internacional, ela deverá atender a uma finalidade informada e estar amparada em base legal e mecanismo de transferência válidos, conforme a LGPD e a regulamentação da ANPD. Esses mecanismos podem incluir cláusulas-padrão contratuais, decisões de adequação ou outras hipóteses legalmente admitidas, conforme o caso.

Pelo canal de privacidade, você pode solicitar informações sobre países de destino, destinatários, finalidades, duração, responsabilidades e salvaguardas aplicáveis à sua operação, bem como acesso às cláusulas utilizadas quando cabível, resguardados os segredos comercial e industrial nos limites da lei.

7.Cookies e tecnologias de navegação

Nossos canais utilizam cookies e tecnologias semelhantes para funcionamento, segurança e análise de navegação. Nos canais que exigem acesso autenticado, tecnologias de sessão também permitem reconhecer o usuário e manter a autenticação.

O site institucional utiliza Google Analytics para produzir métricas de acesso e uso, como páginas visitadas, interações e informações do navegador ou dispositivo. Esse serviço pode utilizar identificadores e envolver tratamento de dados pelo Google, inclusive no exterior. Consulte também a Política de Privacidade do Google.

Você pode bloquear ou excluir cookies nas configurações do navegador e consultar a opção de desativação do Google Analytics para navegadores compatíveis. Bloquear tecnologias essenciais pode afetar funcionalidades, como o login. Essas configurações não substituem seus direitos: você também pode solicitar informações, apresentar oposição quando cabível e revogar consentimento anteriormente fornecido pelo canal de privacidade.

Cookies não essenciais exigem análise da base legal adequada à sua finalidade. Quando o uso depender de consentimento, este deve ser prévio, livre e específico, e sua recusa ou revogação não deve impedir o acesso às funcionalidades que não dependam desses cookies.

8.Conservação e eliminação

O tempo de conservação depende da categoria do dado, da finalidade, da duração do relacionamento e das obrigações legais ou regulatórias aplicáveis. São considerados, entre outros, os registros de identificação e prevenção à lavagem de dinheiro, os documentos de contratação, as transações, as obrigações de prestação de contas e os prazos necessários ao exercício regular de direitos.

O encerramento da conta, do cartão ou do relacionamento, assim como um pedido de eliminação, não implica exclusão imediata de dados que precisem ser conservados nessas hipóteses. A conservação deve permanecer limitada à finalidade que a justifica. Encerradas as finalidades e as hipóteses legais de conservação, os dados devem ser eliminados ou anonimizados. Você pode solicitar os critérios ou prazos aplicáveis aos seus dados e esclarecimentos sobre eventual impossibilidade de exclusão.

9.Segurança e incidentes

Utilizamos controles de acesso, mecanismos de autenticação, registros de atividades e proteção das comunicações para reduzir riscos de acesso indevido, perda, alteração ou divulgação não autorizada, conforme os sistemas e serviços utilizados. Os controles precisam ser compatíveis com a natureza dos dados e os riscos de cada tratamento.

Suspeitas de uso indevido de dados podem ser comunicadas a [email protected]. Em caso de incidente, cabe avaliar os dados afetados e os riscos, adotar as medidas de resposta pertinentes e, quando houver risco ou dano relevante, comunicar a ANPD e os titulares nos prazos e condições legais aplicáveis. As comunicações aos parceiros envolvidos observarão também as obrigações contratuais aplicáveis.

10.Análises automatizadas

Podemos utilizar ferramentas automatizadas, inclusive inteligência artificial, para leitura e conferência de documentos, validações, prevenção a fraude e apoio à análise de crédito. O uso dessas ferramentas não altera os direitos do titular nem autoriza finalidades incompatíveis com as informadas.

Quando uma decisão que afete seus interesses for tomada unicamente com base em tratamento automatizado, você poderá solicitar sua revisão e informações claras sobre os critérios e procedimentos utilizados, observados os segredos comercial e industrial e os limites previstos na LGPD.

11.Seus direitos e como solicitá-los

Nos termos e limites da LGPD, você pode solicitar:

• Confirmação da existência de tratamento e acesso aos seus dados.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
• Portabilidade, observada a regulamentação aplicável e os segredos comercial e industrial.
• Eliminação de dados tratados com consentimento, ressalvadas as hipóteses legais de conservação.
• Informação sobre entidades públicas e privadas com as quais houve compartilhamento.
• Informação sobre a possibilidade de não fornecer consentimento e suas consequências, e revogação de consentimento anteriormente fornecido.
• Oposição ao tratamento realizado sem consentimento, em caso de descumprimento da LGPD, e revisão de decisões unicamente automatizadas, quando aplicável.

Envie sua solicitação a [email protected], preferencialmente com o assunto “Privacidade — direitos do titular”, indicando seu nome, um contato para resposta e o pedido. O exercício desses direitos é gratuito. Podemos solicitar informações proporcionais para confirmar sua identidade ou a representação e evitar a entrega de dados a terceiros. Não envie senhas, códigos de autenticação ou código de segurança do cartão por e-mail.

A confirmação de tratamento ou o acesso podem ser atendidos de forma simplificada, imediatamente, ou por declaração clara e completa em até 15 dias, nos termos do art. 19 da LGPD. Os demais pedidos seguem os prazos e condições aplicáveis. Se não for possível adotar a providência solicitada, deverão ser informadas as razões de fato ou de direito; se a Zahav não for o agente responsável, será indicado, sempre que possível, o responsável adequado.

Você também pode apresentar petição à ANPD e exercer seus direitos perante os órgãos de defesa do consumidor. O contato com a Zahav não restringe essas possibilidades.

12.Atualizações desta política

Esta política pode ser atualizada para refletir mudanças nos serviços, nos tratamentos ou na legislação. A versão vigente fica disponível nesta página, com a data da atualização. Mudanças relevantes devem ser comunicadas pelos canais apropriados; quando uma nova finalidade depender de consentimento, deverá ser obtida a autorização correspondente antes do tratamento.

Voltar ao site da Zahav Cash