Política de Privacidade

Esta Política aplica-se ao site, cadastro, painel, APIs, SDKs, widget, suporte e comunicações da Malvo. Ela alcança visitantes, representantes e colaboradores de Clientes e usuários finais cujos dados sejam legitimamente processados por meio da plataforma.

O papel de controlador ou operador é definido pelas decisões efetivamente tomadas em cada tratamento. O Cliente normalmente controla as finalidades de seu produto e o uso posterior dos dados recebidos. A Malvo controla tratamentos necessários para administrar sua relação contratual, prevenir fraude, proteger a infraestrutura, cumprir a lei e defender direitos.

Conta e contratação

• nome, e-mail, telefone, CPF, cargo e registros de representação;
• razão social, CNPJ, endereço, plano, consumo e dados de cobrança;
• usuários, permissões, aplicações e histórico de aceite contratual.

Dados financeiros processados para o Cliente

• identificação, instituição, consentimento e identificadores da conexão;
• contas, saldos, transações, cartões, faturas, crédito e investimentos;
• categorias, descrições normalizadas e outros resultados de enriquecimento.

Dados técnicos e de atendimento

• endereço IP, navegador, dispositivo, data, rota, resposta, eventos e registros de segurança;
• mensagens, anexos e informações fornecidas em chamados;
• cookies e métricas opcionais, conforme as preferências do visitante.

Os dados são fornecidos pelo titular, pelo Cliente, por instituições e provedores conectados, gerados pelo uso da plataforma ou obtidos de fontes permitidas pela legislação.

Execução contratual

Cadastro, autenticação, fornecimento do painel e das APIs, faturamento, suporte e comunicações necessárias à execução do contrato com o Cliente.

Obrigação legal, regulatória e exercício de direitos

Guarda de registros obrigatórios, atendimento a autoridades competentes, documentação de consentimentos e contratos, prevenção e resposta a litígios e cumprimento de deveres fiscais.

Legítimo interesse

Segurança, prevenção a fraude, diagnóstico, capacidade e melhoria do serviço, mediante análise de necessidade, expectativa, impacto e salvaguardas. O titular pode se opor quando houver descumprimento da LGPD.

Consentimento

Métricas não essenciais e publicidade somente são ativadas após escolha do visitante. O consentimento regulatório do Open Finance é obtido pela instituição participante responsável na respectiva jornada e não substitui bases legais necessárias às finalidades posteriores do Cliente.

Tratamento realizado por conta do Cliente

A Malvo processa dados financeiros segundo instruções documentadas e a base legal definida pelo Cliente. A execução do contrato Malvo–Cliente não é apresentada como base automática para o tratamento de um usuário final que não seja parte desse contrato.

Nas jornadas reguladas, a instituição receptora ou iniciadora identifica o cliente e obtém o consentimento conforme o produto. A Malvo disponibiliza componentes tecnológicos e integra provedores, mas não se apresenta como instituição participante quando não possuir essa condição.

A revogação encerra novos compartilhamentos regulados. O Cliente continua responsável por avaliar a eliminação ou conservação de dados já recebidos conforme sua finalidade, base legal e obrigação de retenção.

A Malvo pode utilizar modelos para categorizar, normalizar e enriquecer informações. Esses resultados podem conter erros e não constituem decisão financeira, de crédito ou de investimento.

Dados pessoais de Clientes e usuários finais não são usados para treinar modelos gerais ou compartilhados sem autorização contratual específica e base legal adequada. Quando uma decisão exclusivamente automatizada afetar interesses do titular, ele poderá solicitar revisão e informações sobre critérios e procedimentos ao controlador responsável.

Os dados podem ser compartilhados, limitados à necessidade, com:

• instituições participantes e provedores de conectividade selecionados para a conexão;
• infraestrutura, hospedagem, comunicação, suporte, segurança e observabilidade;
• provedores de pagamento para contratação e cobrança;
• consultores profissionais sujeitos a sigilo; e
• autoridades com competência e fundamento jurídico válidos.

A Malvo não vende dados pessoais. A lista atualizada de fornecedores, papéis, finalidades e localidades está disponível em Subprocessadores e terceiros.

Alguns fornecedores processam dados fora do Brasil. Cada transferência deve possuir finalidade específica, base legal e mecanismo válido, como decisão de adequação, cláusulas-padrão da ANPD ou outro mecanismo do art. 33 da LGPD.

A página de subprocessadores informa o destino e a salvaguarda aplicável. O titular poderá solicitar informações adicionais e, quando aplicável, cópia das cláusulas utilizadas, preservados segredos comerciais, pelo canal de privacidade.

• Dados do Cliente: prazo configurado e, após encerramento, janela de exportação de 30 dias;
• sistemas ativos: eliminação ou anonimização em até 30 dias após a janela aplicável;
• backups protegidos: sobrescritos pelo ciclo de retenção em até 90 dias;
• registros de acesso a aplicações: pelo menos seis meses, sob sigilo e segurança;
• registros de incidentes com dados pessoais: pelo menos cinco anos;
• contratos, cobrança e defesa de direitos: prazos legais e prescricionais aplicáveis;
• marketing e métricas opcionais: até revogação ou término da finalidade.

A eliminação poderá ser adiada quando houver obrigação legal, ordem válida, exercício de direitos ou necessidade de preservar evidência, com acesso restrito e sem uso incompatível.

Conforme a LGPD, o titular pode solicitar gratuitamente:

• confirmação e acesso, inclusive declaração completa no prazo legal;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• portabilidade, quando regulamentada e tecnicamente aplicável;
• informação sobre compartilhamentos e sobre a possibilidade de negar consentimento;
• revogação do consentimento e eliminação dos dados tratados com esse fundamento;
• oposição a tratamento irregular sem consentimento;
• revisão e explicação de decisão exclusivamente automatizada; e
• peticionamento perante a ANPD e órgãos de defesa do consumidor.

Para dados processados por conta do Cliente, o pedido deverá ser dirigido ao Cliente controlador. A Malvo encaminhará o pedido identificável e prestará a cooperação prevista no DPA.

A contratação e administração da plataforma são destinadas a adultos. A Malvo não autoriza o uso deliberado em produto dirigido a menores sem configuração específica, transparência apropriada, avaliação do melhor interesse e atendimento às obrigações do controlador.

Cookies estritamente necessários mantêm sessão, segurança e preferências e não podem ser desativados pela ferramenta. Analytics, publicidade e atendimento por chat são opcionais e só são carregados após escolha. A recusa não impede o uso das funções essenciais.

A Malvo adota medidas proporcionais ao risco, incluindo controle de acesso, proteção de credenciais, criptografia aplicável, segregação, registros, gestão de vulnerabilidades, backups e resposta a incidentes. Detalhes verificáveis estão na Política de Segurança.

Incidentes que possam causar risco ou dano relevante serão avaliados e comunicados pelo controlador à ANPD e aos titulares no prazo legal. Operadores notificarão o controlador conforme o DPA.

Encarregado pelo tratamento de dados pessoais: Jaquison da Silva Ferreira.

Privacidade e direitos: privacidade@malvo.io. Segurança e incidentes: seguranca@malvo.io.

ELEVATTE TECHNOLOGY LTDA — CNPJ nº 60.843.266/0001-28 — Rua País Leme, nº 215, conjunto 1713, Pinheiros, São Paulo/SP, CEP 05424-150.

Mudanças materiais serão comunicadas antes da vigência, salvo urgência legal ou de segurança. Quando a mudança depender de novo consentimento, ele será solicitado de forma específica; o uso continuado não substituirá consentimento exigido pela lei.