TERMOS DE USO DA PLATAFORMA MALVO Versão: 2026-09-03 Vigência: 3 de setembro de 2026 Contratada: ELEVATTE TECHNOLOGY LTDA, CNPJ nº 60.843.266/0001-28 1. OBJETO E FORMAÇÃO DO CONTRATO 1.1. Estes Termos regulam o acesso e o uso da plataforma Malvo, incluindo painel, APIs, SDKs, webhooks, widget de conexão, documentação e recursos relacionados, pela pessoa jurídica identificada no cadastro (“Cliente”). 1.2. A ELEVATTE TECHNOLOGY LTDA, denominada “Malvo”, fornece uma plataforma tecnológica de conectividade, agregação, normalização e enriquecimento de dados financeiros. O escopo contratado, os preços e eventuais condições adicionais podem constar de proposta comercial ou ordem de serviço aceita pelo Cliente. 1.3. O contrato é celebrado eletronicamente quando o representante autorizado marca as opções de aceite e confirma possuir poderes para obrigar o Cliente. A Malvo registra a identidade do representante, CPF, cargo, data e hora, endereço IP, navegador, versão, endereço eletrônico e resumo criptográfico dos documentos aceitos. As partes reconhecem esses registros como meio válido de comprovação de autoria, integridade e manifestação de vontade. 1.4. O Cliente poderá acessar e baixar a versão imutável aceita. O simples acesso ao site ou a recursos públicos não substitui o aceite expresso exigido para ativação da produção. 2. DOCUMENTOS CONTRATUAIS E PREVALÊNCIA 2.1. Integram o contrato, conforme aplicáveis: proposta comercial ou ordem de serviço; Acordo de Tratamento de Dados (“DPA”); Acordo de Nível de Serviço (“SLA”); estes Termos; Política de Privacidade; Política de Segurança; Política de Uso Aceitável; lista de subprocessadores; documentação técnica e limites do plano. 2.2. Em caso de conflito, prevalecem: (i) proposta ou contrato bilateral assinado, apenas quanto ao ponto expressamente negociado; (ii) DPA, para proteção de dados pessoais; (iii) SLA, para disponibilidade e suporte; (iv) estes Termos; e (v) políticas e documentação técnica. 2.3. Nenhum documento afasta obrigação legal, regulatória ou direito que não possa ser validamente limitado pelas partes. 3. ELEGIBILIDADE, CADASTRO E REPRESENTAÇÃO 3.1. O ambiente de produção destina-se a pessoas jurídicas regularmente constituídas. Pessoa natural somente poderá contratar quando atuar profissionalmente ou empresarialmente em nome próprio, for maior de 18 anos e plenamente capaz. 3.2. O Cliente fornecerá informações verdadeiras, completas e atualizadas sobre razão social, CNPJ, endereço, atividade, finalidade de uso, contatos de privacidade e segurança e representante autorizado. 3.3. O representante declara possuir poderes suficientes para celebrar e executar o contrato em nome do Cliente. A Malvo poderá solicitar documentos adicionais de identificação, representação, prevenção a fraude ou conformidade antes ou durante a prestação dos Serviços. 3.4. Alterações na identidade do Cliente, no representante ou em informações determinantes para o tratamento de dados poderão exigir nova análise e novo aceite. 4. CONTAS, CREDENCIAIS E USUÁRIOS AUTORIZADOS 4.1. O Cliente administrará seus usuários, papéis, aplicações, chaves e permissões e concederá acesso apenas a pessoas que necessitem utilizá-lo para as finalidades contratadas. 4.2. Senhas, segredos de cliente, tokens e chaves de API são confidenciais. As chaves pertencem à aplicação e ao ambiente para os quais foram emitidas e não poderão ser publicadas, compartilhadas fora do Cliente ou incorporadas em código acessível ao usuário final. 4.3. O Cliente comunicará imediatamente qualquer suspeita de comprometimento pelo canal de segurança e revogará ou rotacionará a credencial afetada. A Malvo poderá revogar credenciais expostas ou utilizadas de forma incompatível com o contrato. 4.4. Atividades realizadas com credenciais válidas serão atribuídas ao Cliente, exceto quando decorrentes de falha imputável à Malvo ou após comunicação tempestiva de comprometimento. 5. ESCOPO TECNOLÓGICO E OPEN FINANCE 5.1. A Malvo fornece tecnologia para conectar fontes financeiras autorizadas, receber dados, normalizá-los e disponibilizá-los ao Cliente. A Malvo não mantém conta de pagamento, não concede crédito, não custodia nem movimenta recursos e, salvo contratação expressa de produto distinto, não presta serviço de iniciação de transação de pagamento. 5.2. No Open Finance Brasil, o consentimento regulatório é obtido, gerido e revogado na jornada da instituição participante que figure como receptora de dados ou iniciadora, conforme o produto e a regulação aplicável. A Malvo pode disponibilizar a interface tecnológica dessa jornada e integrar provedores de conectividade, mas não se apresenta como instituição participante quando não possuir essa condição. 5.3. Os papéis regulatórios da Malvo, do Cliente, do provedor de conectividade e das instituições participantes decorrem das atividades efetivamente realizadas e não apenas da denominação adotada neste contrato. 5.4. A disponibilidade, o escopo e o histórico de dados dependem do consentimento, da instituição, do provedor, do produto financeiro, da regulamentação e das condições técnicas de cada conexão. 6. OBRIGAÇÕES DO CLIENTE SOBRE DADOS E USUÁRIOS FINAIS 6.1. O Cliente definirá finalidades legítimas, específicas e informadas para o uso dos dados e será responsável por sua relação com os usuários finais, inclusive pelos avisos de privacidade, bases legais e decisões tomadas após o recebimento dos dados. 6.2. O consentimento regulatório do Open Finance não substitui automaticamente a base legal necessária para outros tratamentos realizados pelo Cliente, como análise de crédito, marketing, perfil comportamental, prevenção a fraude ou compartilhamento com terceiros. 6.3. O Cliente deverá limitar a coleta ao mínimo necessário, respeitar o escopo e a validade do consentimento, atender revogações e solicitações dos titulares e não conservar dados por prazo superior ao informado e configurado. 6.4. O Cliente não poderá utilizar os Serviços para decisões ilícitas ou discriminatórias, enriquecimento incompatível com a finalidade informada, vigilância indevida ou tratamento que viole direitos fundamentais. 6.5. O Cliente não utilizará deliberadamente os Serviços em produtos dirigidos a crianças ou adolescentes sem comunicação prévia à Malvo, avaliação documentada do melhor interesse, transparência adequada e configuração contratual específica. 7. USO ACEITÁVEL 7.1. É proibido: - acessar dados sem autorização ou finalidade legítima; - compartilhar credenciais ou dados com pessoa não autorizada; - contornar limites, controles de segurança ou mecanismos de cobrança; - realizar engenharia reversa, testes invasivos, varredura ou exploração sem autorização escrita; - transmitir código malicioso, sobrecarregar a infraestrutura ou prejudicar outros clientes; - revender ou sublicenciar a plataforma fora do modelo expressamente contratado; - utilizar dados para fraude, discriminação ilícita, assédio ou violação de direitos; - tentar obter credenciais bancárias dos usuários finais fora das jornadas autorizadas; ou - violar lei, regulação, direito de terceiro ou a documentação técnica. 7.2. A Malvo poderá limitar tráfego abusivo ou bloquear uma operação específica para proteger a plataforma, os titulares ou terceiros, de forma proporcional ao risco identificado. 8. DADOS DO CLIENTE 8.1. “Dados do Cliente” são dados e conteúdos enviados, conectados, recebidos ou armazenados pela Malvo por conta do Cliente, incluindo dados de usuários finais. O Cliente e os respectivos titulares mantêm os direitos que possuam sobre esses dados. 8.2. O Cliente concede à Malvo licença limitada, não exclusiva e temporária para hospedar, copiar, transmitir, normalizar, enriquecer e tratar os Dados do Cliente somente para prestar, proteger e suportar os Serviços, cumprir instruções documentadas e atender obrigações legais. 8.3. A Malvo não vende Dados do Cliente nem os utiliza para publicidade comportamental. Dados pessoais do Cliente ou de usuários finais não serão usados para treinar modelos de inteligência artificial de uso geral ou compartilhado, salvo autorização contratual específica e base legal adequada. 8.4. A Malvo poderá produzir métricas agregadas e anonimizadas para segurança, capacidade e melhoria do produto, desde que não permitam identificar pessoa natural ou reconstruir dados de um Cliente. 9. ENRIQUECIMENTO E INTELIGÊNCIA ARTIFICIAL 9.1. Recursos de categorização, padronização e enriquecimento podem utilizar regras estatísticas, aprendizado de máquina ou inteligência artificial e estão sujeitos a erros, ambiguidades e mudanças de classificação. 9.2. Esses resultados possuem natureza auxiliar e não constituem recomendação financeira, decisão de crédito, parecer jurídico, contábil ou de investimento. O Cliente deve validar resultados relevantes antes de produzir efeitos jurídicos ou econômicos sobre uma pessoa. 9.3. Quando o Cliente utilizar resultados da Malvo em decisão exclusivamente automatizada que afete interesses do titular, caberá ao Cliente oferecer revisão e informações adequadas sobre critérios e procedimentos, com a cooperação da Malvo nos limites do DPA. 10. CONFIDENCIALIDADE E SIGILO 10.1. Cada parte protegerá informações técnicas, comerciais, financeiras, pessoais ou estratégicas da outra parte que sejam identificadas como confidenciais ou cuja natureza indique confidencialidade. 10.2. Informações confidenciais serão usadas somente para executar o contrato e poderão ser acessadas por colaboradores, contratados e subprocessadores que necessitem conhecê-las e estejam sujeitos a dever equivalente de sigilo. 10.3. Não são confidenciais informações comprovadamente públicas sem violação, já conhecidas de forma legítima, recebidas licitamente de terceiro ou desenvolvidas de modo independente. 10.4. Quando uma divulgação for exigida por lei ou autoridade competente, a parte receptora limitará a divulgação ao necessário e, se juridicamente permitido, avisará previamente a outra parte. 10.5. As partes respeitarão o sigilo bancário e demais deveres setoriais que incidam sobre os dados compartilhados, inclusive após o encerramento do contrato. 11. PROTEÇÃO DE DADOS E SEGURANÇA 11.1. As partes cumprirão a legislação de proteção de dados aplicável. O tratamento realizado pela Malvo em nome do Cliente é disciplinado pelo DPA. 11.2. A Malvo adotará medidas técnicas e administrativas compatíveis com a natureza dos dados, o estado da tecnologia e os riscos, conforme descrito no DPA e na Política de Segurança. 11.3. Nenhuma medida elimina integralmente riscos. O Cliente é responsável pela segurança de seus sistemas, integrações, dispositivos, usuários, credenciais e cópias de dados extraídas da plataforma. 12. TERCEIROS E SUBPROCESSADORES 12.1. A Malvo poderá utilizar fornecedores para infraestrutura, conectividade financeira, pagamentos, comunicação, suporte, segurança e observabilidade. A lista vigente, a finalidade, a localização e o mecanismo de transferência aplicável serão publicados na página de subprocessadores. 12.2. A Malvo exigirá proteção contratual compatível com a atividade realizada e permanecerá responsável perante o Cliente pelo cumprimento das obrigações assumidas no DPA por seus subprocessadores. 12.3. Serviços de instituições financeiras, participantes e outros controladores independentes são regidos também por seus próprios termos e políticas. A Malvo não controla atos desses terceiros, mas responderá por falhas próprias de integração ou seleção nos limites da lei e do contrato. 13. PROPRIEDADE INTELECTUAL 13.1. A Malvo e seus licenciadores mantêm todos os direitos sobre software, APIs, documentação, modelos, marcas, interfaces e materiais da plataforma. O contrato concede licença limitada, não exclusiva, intransferível e revogável para uso interno durante sua vigência. 13.2. O Cliente não removerá avisos de propriedade, copiará componentes fora das permissões documentadas nem criará produto derivado da plataforma. 13.3. Sugestões fornecidas voluntariamente poderão ser utilizadas pela Malvo sem restrição, desde que não revelem Dados do Cliente ou informação confidencial. 14. PLANOS, COBRANÇA E TRIBUTOS 14.1. Preços, franquias, métricas de consumo, vencimento e periodicidade são os informados no plano ou proposta vigente no momento da contratação. 14.2. Valores são expressos em reais, salvo indicação expressa, e poderão ser acrescidos dos tributos legalmente incidentes. Cada parte será responsável pelos tributos que a lei lhe atribuir. 14.3. A Malvo poderá corrigir preços anualmente pelo IPCA, ou índice que o substitua, mediante aviso. Mudanças de estrutura de preços ou métricas de consumo serão comunicadas com pelo menos 30 dias de antecedência e não produzirão efeito retroativo. 14.4. O Cliente contestará cobrança de boa-fé em até 30 dias do documento correspondente. A parcela incontroversa permanecerá devida. A Malvo corrigirá ou restituirá cobrança indevida confirmada conforme a lei. 14.5. O atraso poderá gerar atualização monetária, juros e multa previstos na proposta ou, na ausência, nos limites legais, após notificação ao Cliente. 15. DISPONIBILIDADE E SUPORTE 15.1. Os compromissos aplicáveis aos componentes controlados pela Malvo constam do SLA. Recursos gratuitos, sandbox, beta ou de avaliação podem ser alterados ou encerrados mediante aviso razoável e não possuem garantia de disponibilidade, salvo acordo escrito. 15.2. O Cliente reconhece que conexões financeiras dependem de instituições e provedores externos e implementará tratamento de erros, retentativas controladas e contingência compatíveis com a criticidade de seu produto. 16. SUSPENSÃO 16.1. A Malvo poderá suspender total ou parcialmente o acesso em caso de risco relevante à segurança, fraude, ordem de autoridade, uso ilícito, violação material, inadimplência não contestada ou descumprimento de prazo de conformidade. 16.2. Quando a urgência permitir, a Malvo notificará o Cliente e concederá prazo razoável para correção. Em risco grave, a suspensão poderá ser imediata, limitada ao necessário e acompanhada de comunicação tão logo seja seguro fazê-lo. 16.3. A Malvo cooperará para restabelecer o acesso após a correção. A suspensão não elimina obrigações de pagamento já constituídas nem impede exportação ou eliminação de dados quando tecnicamente segura e juridicamente permitida. 17. VIGÊNCIA, RESCISÃO E EFEITOS 17.1. O contrato vigorará enquanto houver conta ou plano ativo. O Cliente poderá rescindir a qualquer momento, observados período mínimo e aviso previstos em proposta específica. 17.2. Qualquer parte poderá rescindir por violação material não sanada em até 15 dias após notificação, salvo se a natureza da violação exigir correção imediata ou não admitir cura. 17.3. A Malvo poderá rescindir imediatamente em caso de fraude comprovada, uso ilícito, risco grave, insolvência ou determinação de autoridade competente. 17.4. Após o encerramento, o Cliente terá 30 dias para solicitar exportação dos dados disponíveis, salvo impedimento legal, risco de segurança ou período diferente acordado. A eliminação seguirá o DPA e as obrigações legais de conservação. 17.5. Permanecem vigentes as cláusulas que, por sua natureza, devam sobreviver, incluindo confidencialidade, propriedade intelectual, proteção de dados, pagamentos devidos, responsabilidade e solução de controvérsias. 18. GARANTIAS E RESPONSABILIDADES OPERACIONAIS 18.1. A Malvo garante que prestará os Serviços com diligência profissional, de acordo com a documentação e a legislação aplicável, e que adotará medidas razoáveis para corrigir falhas reproduzíveis sob seu controle. 18.2. A Malvo não garante que dados originados de terceiros sejam completos, atuais ou livres de erro, nem que o Serviço seja ininterrupto. Essa exclusão não abrange erro introduzido pela própria Malvo durante processamento, normalização ou entrega. 18.3. O Cliente é responsável pelo desenho de seu produto, interpretação dos dados, atendimento a usuários finais e decisões tomadas com apoio dos Serviços. 19. INDENIZAÇÃO ENTRE AS PARTES 19.1. O Cliente defenderá e indenizará a Malvo por reclamação de terceiro decorrente de finalidade ilícita definida pelo Cliente, instrução contrária à lei, ausência de base legal sob responsabilidade do Cliente ou uso dos Serviços em violação material deste contrato. 19.2. A Malvo defenderá e indenizará o Cliente por reclamação de terceiro de que a plataforma, quando utilizada conforme o contrato, viola direito de propriedade intelectual, podendo obter licença, substituir o componente ou encerrar o recurso afetado com restituição proporcional do período pago e não utilizado. 19.3. A parte indenizada notificará prontamente, permitirá o controle razoável da defesa e cooperará. Nenhum acordo poderá impor admissão, obrigação não financeira ou restrição relevante à parte indenizada sem seu consentimento. 20. LIMITAÇÃO DE RESPONSABILIDADE 20.1. Na máxima extensão permitida pela lei, nenhuma parte responderá por danos indiretos, consequenciais ou lucros cessantes que não fossem previsíveis na contratação. Essa exclusão não transforma em indireto o custo razoável e comprovado de resposta, restauração ou comunicação causado diretamente por violação imputável. 20.2. Para obrigações ordinárias, a responsabilidade total de cada parte fica limitada aos valores pagos ou devidos pelo Cliente nos 12 meses anteriores ao fato gerador. 20.3. Para violação de confidencialidade, proteção de dados ou segurança causada pela parte, o limite agregado será de duas vezes o valor referido no item 20.2. 20.4. Os limites não se aplicam a dolo, fraude, culpa grave, violação intencional de propriedade intelectual, obrigação de pagamento do Cliente, nem reduzem responsabilidade ou direito que não possa ser limitado pela legislação, inclusive perante titulares e autoridades. 21. CASO FORTUITO E FORÇA MAIOR 21.1. Nenhuma parte responderá por atraso causado por evento imprevisível ou inevitável fora de seu controle razoável, desde que comunique a outra parte, mitigue os efeitos e retome a execução assim que possível. 21.2. Falta de recursos financeiros, falha evitável de fornecedor sem contingência razoável e incidente causado por descumprimento de obrigação de segurança não serão automaticamente considerados força maior. 22. ALTERAÇÕES E REACEITE 22.1. A Malvo poderá atualizar os documentos para refletir mudanças legais, regulatórias, técnicas ou comerciais. Alterações materiais serão comunicadas com pelo menos 30 dias de antecedência, salvo urgência legal ou de segurança devidamente informada. 22.2. Mudanças materiais em finalidade, responsabilidade, preço, tratamento de dados ou risco exigirão aceite expresso de nova versão por representante autorizado. Durante o prazo informado, aplicações existentes continuarão operando; após 30 dias, novas conexões poderão ser bloqueadas e, após 45 dias, o acesso à produção poderá ser suspenso até o aceite. 22.3. O Cliente poderá rescindir antes da vigência de alteração material com a qual não concorde, sem multa de encerramento, permanecendo devidos os valores correspondentes ao uso anterior. 23. COMUNICAÇÕES 23.1. Comunicações operacionais poderão ser enviadas aos contatos cadastrados, pelo painel ou página de status. Notificações jurídicas serão enviadas ao representante e ao endereço eletrônico principal do Cliente. 23.2. O Cliente manterá seus contatos atualizados. Notificação eletrônica será considerada recebida no primeiro dia útil após o envio, salvo evidência de falha de entrega. 24. LEI APLICÁVEL E FORO 24.1. Aplica-se a legislação brasileira, incluindo Código Civil, Marco Civil da Internet, Lei Geral de Proteção de Dados e regulação setorial incidente. 24.2. Fica eleito o foro da comarca de São Paulo/SP, salvo competência legal obrigatória ou direito do consumidor aplicável. Antes de ação judicial, as partes buscarão solução de boa-fé por pelo menos 15 dias, sem prejuízo de medida urgente. 25. DISPOSIÇÕES GERAIS 25.1. As partes são independentes. O contrato não cria sociedade, representação, vínculo trabalhista ou exclusividade. 25.2. O Cliente não poderá ceder o contrato sem consentimento da Malvo, que não será injustificadamente negado. A Malvo poderá cedê-lo em reorganização societária ou transferência do negócio, preservadas as garantias contratuais e mediante aviso. 25.3. A invalidade de uma disposição não afetará as demais. A ausência de exercício de um direito não constitui renúncia. Tolerância não altera o contrato. 25.4. Estes documentos constituem o acordo integral sobre seu objeto e substituem entendimentos anteriores, sem afastar proposta ou contrato bilateral vigente. 26. CONTATO 26.1. Comunicações contratuais: contato@malvo.io. Privacidade: privacidade@malvo.io. Segurança e incidentes: seguranca@malvo.io. 26.2. ELEVATTE TECHNOLOGY LTDA — CNPJ nº 60.843.266/0001-28 — Rua País Leme, nº 215, conjunto 1713, Pinheiros, São Paulo/SP, CEP 05424-150.