ACORDO DE TRATAMENTO DE DADOS PESSOAIS Versão: 2026-09-03 Vigência: 3 de setembro de 2026 Operadora contratada: ELEVATTE TECHNOLOGY LTDA, CNPJ nº 60.843.266/0001-28 1. OBJETO E ESCOPO 1.1. Este Acordo de Tratamento de Dados Pessoais (“DPA”) integra os Termos de Uso da Malvo e disciplina o tratamento de dados pessoais realizado para fornecer APIs, conectores, webhooks, sincronização, normalização, enriquecimento, hospedagem e suporte ao Cliente. 1.2. Aplicam-se as definições da Lei nº 13.709/2018 (“LGPD”). “Dados do Cliente” são os dados pessoais tratados pela Malvo por conta do Cliente. “Incidente de Segurança” é evento confirmado que comprometa a confidencialidade, integridade, disponibilidade ou autenticidade desses dados. 1.3. Este DPA prevalece sobre os Termos em matéria de proteção de dados. Instrução do Cliente não altera obrigações impostas diretamente à Malvo pela legislação. 2. PAPÉIS DOS AGENTES 2.1. Para os Dados do Cliente processados conforme finalidade e configuração definidas pelo Cliente, o Cliente atua como controlador e a Malvo como operadora. 2.2. A Malvo atua como controladora dos dados necessários à gestão de conta, faturamento, autenticação, prevenção a fraude, segurança própria, cumprimento de obrigação legal e defesa de direitos. Esses tratamentos são descritos na Política de Privacidade e não ficam sujeitos às instruções do Cliente. 2.3. Instituições participantes do Open Finance e provedores de conectividade poderão atuar como controladores independentes, operadores ou suboperadores conforme a atividade efetivamente executada e o instrumento aplicável. A denominação contratual não substitui a análise funcional exigida pela LGPD e pela regulação setorial. 2.4. Se uma atividade exigir controladoria conjunta ou novo tratamento próprio da Malvo, as partes documentarão previamente as respectivas decisões e responsabilidades. 3. INSTRUÇÕES DOCUMENTADAS 3.1. A Malvo tratará Dados do Cliente somente conforme os Termos, este DPA, as configurações do painel, chamadas de API, documentação técnica e outras instruções escritas lícitas do Cliente. 3.2. A Malvo informará o Cliente quando considerar que uma instrução viola a legislação e poderá suspendê-la até esclarecimento, salvo proibição legal de comunicar. 3.3. Solicitações que alterem materialmente escopo, risco, custo ou arquitetura dependerão de avaliação e acordo escrito. 4. OBRIGAÇÕES DO CLIENTE 4.1. O Cliente deverá: - definir finalidade legítima, específica e compatível; - assegurar base legal para cada tratamento sob sua responsabilidade; - prestar informações claras aos titulares; - configurar escopo, acesso e retenção segundo necessidade; - garantir que suas instruções e decisões sejam lícitas; - atender direitos dos titulares e revogações; - manter contatos de privacidade e segurança atualizados; - proteger credenciais, sistemas e dados exportados; e - comunicar previamente tratamento envolvendo menores, dados sensíveis ou decisão de alto risco não descrita neste DPA. 4.2. O consentimento obtido em jornada regulada de Open Finance não dispensa o Cliente de identificar base legal para tratamentos posteriores ou finalidades próprias. 4.3. O Cliente não instruirá a Malvo a coletar dados excessivos nem a conservar dados além do necessário ou do prazo legal. 5. OBRIGAÇÕES DA MALVO 5.1. A Malvo deverá: - tratar os dados nos limites das instruções documentadas; - assegurar que pessoas autorizadas estejam sujeitas a confidencialidade; - manter registro das operações sob sua responsabilidade; - adotar medidas técnicas e administrativas compatíveis com o risco; - auxiliar o Cliente no atendimento a titulares, incidentes e avaliações de impacto; - informar alterações materiais de subprocessadores; - eliminar ou devolver dados conforme este DPA; e - disponibilizar informações razoáveis para demonstrar conformidade. 5.2. A Malvo não venderá Dados do Cliente, não os utilizará para publicidade comportamental e não os utilizará para treinar modelo de inteligência artificial geral ou compartilhado sem autorização específica do Cliente e base legal adequada. 6. CONFIDENCIALIDADE E PESSOAS AUTORIZADAS 6.1. O acesso será limitado a pessoal que necessite tratar os dados para prestar ou proteger os Serviços. A Malvo aplicará compromissos de confidencialidade e orientação compatíveis com as funções exercidas. 6.2. O dever de confidencialidade continuará após o encerramento da relação e abrangerá sigilo bancário ou setorial aplicável. 7. MEDIDAS DE SEGURANÇA 7.1. Considerando a natureza financeira dos dados, a Malvo manterá programa de segurança baseado em risco, incluindo, conforme aplicável: - controle de acesso por função e menor privilégio; - autenticação e gestão segura de credenciais; - criptografia em trânsito e, quando tecnicamente aplicável, em repouso; - segregação lógica de clientes e ambientes; - registro e monitoramento de eventos relevantes; - gestão de vulnerabilidades, correções e dependências; - cópias de segurança e testes de restauração proporcionais ao serviço; - desenvolvimento seguro e revisão de mudanças; - resposta, contenção e recuperação de incidentes; e - avaliação de fornecedores com acesso a dados. 7.2. A Malvo poderá atualizar medidas para acompanhar riscos e evolução tecnológica, sem reduzir materialmente o nível global de proteção. 7.3. O Cliente poderá solicitar descrição atualizada das medidas, sujeita a confidencialidade e sem exposição de informação que aumente o risco da plataforma ou de terceiros. 8. INCIDENTES DE SEGURANÇA 8.1. A Malvo notificará o contato de segurança do Cliente em até 24 horas após tomar ciência de Incidente de Segurança confirmado envolvendo Dados do Cliente. A notificação inicial poderá ser incompleta e será atualizada à medida que a investigação produzir informações confiáveis. 8.2. A notificação incluirá, quando disponível: natureza e data do incidente; categorias de dados e titulares; abrangência estimada; possíveis consequências; medidas de contenção e mitigação; riscos relevantes; ponto de contato; e informações necessárias para decisões do controlador. 8.3. A Malvo preservará evidências, manterá registro do incidente pelo prazo legal mínimo e cooperará de forma razoável com investigação, avaliação de risco e comunicações obrigatórias. 8.4. O Cliente, como controlador, decide e realiza comunicações à ANPD e aos titulares, salvo quando a lei atribuir obrigação direta à Malvo. As partes coordenarão o conteúdo para evitar informações contraditórias, sem atrasar prazo legal. 8.5. A notificação não constitui reconhecimento de responsabilidade. Nenhuma parte fará declaração pública identificando a outra sem necessidade legal ou consentimento, ressalvada comunicação obrigatória. 9. DIREITOS DOS TITULARES 9.1. A Malvo encaminhará ao Cliente, em até dois dias úteis, solicitação de titular relacionada exclusivamente a Dados do Cliente, quando o Cliente puder ser identificado, salvo instrução diferente ou obrigação legal de resposta direta. 9.2. Considerando a natureza do tratamento, a Malvo fornecerá recursos e assistência razoáveis para confirmação, acesso, correção, anonimização, bloqueio, eliminação, portabilidade, informação sobre compartilhamento, oposição, revogação de consentimento e revisão de decisão automatizada. 9.3. O Cliente é responsável pela verificação de identidade, análise do pedido e comunicação ao titular. Assistência extraordinária ou desenvolvimento específico poderá ser cobrado mediante acordo prévio, exceto quando necessário para corrigir violação imputável à Malvo. 10. DECISÕES AUTOMATIZADAS E INTELIGÊNCIA ARTIFICIAL 10.1. A Malvo poderá fornecer categorização e enriquecimento automatizados como recursos auxiliares. O Cliente permanece responsável por determinar se seu uso resulta em decisão exclusivamente automatizada que afete interesses do titular. 10.2. Mediante solicitação razoável, a Malvo fornecerá ao Cliente informações disponíveis sobre lógica, critérios, limitações e dados de entrada necessários ao cumprimento do art. 20 da LGPD, preservados segredos comerciais e a segurança. 10.3. O Cliente não utilizará saídas automatizadas como único fundamento de decisão de alto impacto sem validação, mecanismos de contestação e salvaguardas compatíveis. 11. AVALIAÇÃO DE IMPACTO E CONSULTAS 11.1. A Malvo auxiliará o Cliente com informações sob seu domínio para relatório de impacto, consulta a autoridade ou avaliação de legítimo interesse relacionada aos Serviços. 11.2. A cooperação considerará natureza, escopo, contexto, finalidade, risco e informações disponíveis. Cada parte responde pelas decisões que lhe competem. 12. SUBPROCESSADORES 12.1. O Cliente concede autorização geral para contratação dos subprocessadores publicados em /subprocessors, que informa função, localização e mecanismo de transferência quando aplicável. 12.2. A Malvo comunicará novo subprocessador com acesso a Dados do Cliente com pelo menos 15 dias de antecedência. O Cliente poderá apresentar objeção fundamentada em proteção de dados durante esse prazo. 12.3. As partes buscarão solução razoável, como configuração alternativa. Se não houver alternativa comercialmente viável, o Cliente poderá encerrar apenas o serviço afetado antes do início do novo tratamento, sem multa sobre o período não utilizado. 12.4. A Malvo imporá ao subprocessador obrigações de proteção compatíveis com este DPA e permanecerá responsável perante o Cliente por seu cumprimento, observados os papéis efetivos de agentes independentes. 13. TRANSFERÊNCIA INTERNACIONAL 13.1. A Malvo realizará transferência internacional somente para finalidade legítima, específica e informada, limitada ao necessário e amparada por base legal e mecanismo previsto no art. 33 da LGPD e na regulamentação da ANPD. 13.2. A página de subprocessadores identificará os países de destino e o mecanismo empregado, incluindo decisão de adequação, cláusulas-padrão contratuais da ANPD ou outro mecanismo válido. 13.3. Quando utilizar cláusulas-padrão da ANPD, a Malvo assegurará sua incorporação integral e sem alteração proibida ao instrumento entre exportador e importador. Mediante solicitação, disponibilizará ao titular ou ao Cliente a íntegra aplicável no prazo legal, resguardados segredos comerciais. 13.4. Transferências posteriores pelo importador dependerão de proteção equivalente e finalidade compatível. 14. SOLICITAÇÕES DE AUTORIDADES 14.1. A Malvo divulgará Dados do Cliente a autoridade somente quando houver fundamento e competência válidos e limitará a resposta ao necessário. 14.2. Quando juridicamente permitido, a Malvo notificará o Cliente antes da divulgação e fornecerá informações razoáveis para que ele exerça seus direitos. 14.3. Registros de acesso a aplicações serão conservados e disponibilizados conforme o Marco Civil da Internet. Conteúdo e dados protegidos por sigilo somente serão fornecidos na forma legal aplicável. 15. RETENÇÃO, DEVOLUÇÃO E ELIMINAÇÃO 15.1. Durante a vigência, o Cliente define a retenção operacional no painel, dentro dos limites técnicos e legais do plano. A Malvo não utilizará essa configuração para eliminar registros cuja guarda seja obrigatória. 15.2. Após encerramento, o Cliente poderá solicitar exportação dos dados disponíveis por 30 dias. Encerrado esse prazo, a Malvo eliminará ou anonimizará os Dados do Cliente dos sistemas ativos em até 30 dias, salvo obrigação legal, exercício de direitos ou instrução válida em contrário. 15.3. Cópias residuais em backups protegidos serão sobrescritas conforme o ciclo de retenção, em até 90 dias, permanecerão isoladas de uso ordinário e serão restauradas somente para continuidade ou recuperação. 15.4. Registros de acesso a aplicações serão mantidos sob sigilo e segurança por pelo menos seis meses. Evidências de incidentes serão mantidas pelo prazo legal mínimo de cinco anos. Dados de faturamento e defesa de direitos poderão ser conservados pelos prazos legais aplicáveis. 16. EVIDÊNCIAS E AUDITORIA 16.1. Uma vez por ano, ou após incidente relevante ou solicitação de autoridade, o Cliente poderá solicitar evidências razoáveis de conformidade, priorizando relatórios, políticas, questionários e reuniões remotas. 16.2. Auditoria presencial dependerá de justificativa, aviso mínimo de 30 dias, escopo acordado, auditor independente sujeito a confidencialidade e proteção dos dados e segredos de outros clientes. 16.3. Cada parte arcará com seus custos, salvo auditoria que identifique violação material da Malvo, hipótese em que a Malvo suportará custos externos razoáveis previamente aprovados. 17. RESPONSABILIDADE E COOPERAÇÃO 17.1. Cada parte responde por suas obrigações legais e decisões. Nenhuma alocação deste DPA prejudica direitos de titulares ou poderes de autoridades. 17.2. A Malvo informará o Cliente se não puder cumprir materialmente este DPA e adotará medidas razoáveis para remediar a situação. O Cliente poderá suspender o tratamento afetado até a correção. 17.3. A responsabilidade entre as partes observará os Termos, sem afastar hipóteses em que a legislação vede limitação. 18. DURAÇÃO E SOBREVIVÊNCIA 18.1. Este DPA vigora enquanto a Malvo tratar Dados do Cliente. Obrigações de confidencialidade, segurança, eliminação, cooperação e responsabilidade sobrevivem enquanto houver dados ou obrigação legal relacionada. ANEXO A — DESCRIÇÃO DO TRATAMENTO Finalidade: conectar fontes financeiras autorizadas; receber, hospedar, organizar, normalizar, categorizar, enriquecer, sincronizar e entregar dados ao Cliente; prestar suporte; proteger o serviço; e executar instruções documentadas. Titulares: usuários finais pessoas naturais; representantes, colaboradores e prestadores do Cliente; e pessoas naturais relacionadas a transações, quando seus dados estiverem contidos legitimamente no escopo compartilhado. Dados: identificação e cadastro; CPF quando incluído no escopo autorizado; instituição e identificadores de consentimento; contas, saldos, transações, cartões, faturas, operações de crédito e investimentos; metadados técnicos, logs e registros de suporte. Operações: coleta, recepção, acesso, validação, organização, classificação, enriquecimento, armazenamento, consulta, transmissão, disponibilização, bloqueio, exportação e eliminação. Frequência: contínua ou sob demanda, conforme consentimentos, sincronizações, chamadas e configurações do Cliente. Duração: vigência contratual, retenção configurada e períodos adicionais descritos na cláusula 15. ANEXO B — CONTATOS Malvo — privacidade: privacidade@malvo.io Malvo — segurança e incidentes: seguranca@malvo.io Cliente — contatos indicados e mantidos no cadastro de produção.