Política de Privacidade
A plataforma Dracma KYC (“Plataforma”) é mantida por DRACMA TECNOLOGIA LTDA, inscrita no CNPJ sob o nº 19.943.630/0001-28, com endereço fiscal na Rua Rio Grande do Norte, nº 1560, Savassi, Belo Horizonte/MG, CEP 30130-138, doravante “Dracma”. Contato do Encarregado de Dados: dpo@dracma.ai. Site: dracma.ai.
1.Quem somos, a quem se aplica e definições
1.1. Esta Política explica como a DRACMA TECNOLOGIA LTDA (CNPJ 19.943.630/0001-28), responsável pela Dracma KYC, trata dados pessoais, conforme a LGPD, o Marco Civil da Internet (Lei nº 12.965/2014) e o Código de Defesa do Consumidor (Lei nº 8.078/1990). Versão 1.0, vigente a partir da data de publicação e revista a cada 12 (doze) meses.
1.2. A quem se aplica:
| Quem | Exemplos | Papel da Dracma |
|---|---|---|
| Visitantes do site | Quem navega no site ou preenche um formulário de contato | Controladora |
| Representantes e Usuários Autorizados dos Clientes | Quem acessa o painel, recebe faturas ou fala com o suporte | Controladora |
| Titulares consultados ou verificados | Clientes finais, sócios e representantes que passam por onboarding, KYC ou autenticação em um Cliente | Operadora (o Cliente é o controlador) |
1.3. Definições.
- Dado pessoal: informação sobre pessoa natural identificada ou identificável.
- Dado pessoal sensível: dado sobre origem racial ou étnica, religião, opinião política, filiação sindical ou a organização religiosa, filosófica ou política, saúde, vida sexual, dado genético ou biométrico.
- Biometria facial: imagem da face e o modelo matemático gerado a partir dela (modelo facial), usados para prova de vida, comparação e autenticação.
- Prova de vida: verificação de que há uma pessoa real e presente diante da câmera, e não foto, vídeo, máscara ou imagem gerada.
- Controlador: quem decide sobre o tratamento. Operador: quem trata dados em nome do controlador.
- Suboperador: terceiro contratado pela Dracma para tratar dados em nome do Cliente.
- Anonimização: processo pelo qual o dado perde a possibilidade de associação a uma pessoa.
- ANPD: Autoridade Nacional de Proteção de Dados.
1.4. Quando esta Política não se aplica. Dados exclusivamente de pessoas jurídicas, como CNPJ, razão social, faturamento e certidões da empresa, e dados de veículos sem vínculo com uma pessoa não são dados pessoais. Já os dados de sócios, administradores e representantes pessoas físicas, mesmo quando obtidos em uma consulta de PJ, são dados pessoais e seguem esta Política.
2.Papéis de controlador e operador
2.1. Quando a Dracma é operadora. Nas consultas e verificações feitas a pedido de um Cliente, quem decide por que e como os dados do Titular são tratados é o Cliente. A Dracma trata esses dados só para executar o serviço pedido, conforme as instruções do Cliente. Ela não os usa para finalidade própria, não os vende e não os usa para atender outros Clientes.
2.2. Por isso, o Titular que quiser saber por que foi consultado ou exercer seus direitos sobre esses dados deve procurar primeiro a empresa com quem se relaciona (o Cliente). Se o Titular procurar a Dracma, ela indicará o Cliente responsável ou repassará o pedido a ele.
2.3. Quando a Dracma é controladora. A Dracma é controladora dos dados de visitantes do site, de representantes e Usuários Autorizados dos Clientes e dos registros técnicos de acesso e segurança da Plataforma.
2.4. Fornecedores de dados. As bases consultadas por meio da Plataforma pertencem a Fornecedores que as mantêm como controladores independentes. Cada um responde pela origem lícita e pela atualização de suas bases, conforme suas próprias políticas. A Dracma exige contratualmente desses Fornecedores o cumprimento da LGPD.
3.Dados tratados, finalidades e bases legais
A Dracma trata apenas os dados necessários para cada finalidade abaixo e não os usa para finalidade diferente sem nova base legal e aviso ao Titular.
| Quem | Dados | Finalidade | Base legal (LGPD) |
|---|---|---|---|
| Visitantes do site | Nome, e-mail, telefone, empresa e mensagem enviados em formulário; IP, navegador e páginas visitadas | Responder contatos, enviar propostas e newsletter (com descadastro em cada envio), medir o uso do site | Procedimentos preliminares a contrato (art. 7º, V); legítimo interesse (art. 7º, IX); consentimento para cookies não essenciais (art. 7º, I) |
| Representantes e Usuários Autorizados | Nome, CPF, cargo, e-mail, telefone, credenciais, registros de acesso e de ações no painel | Criar e gerir acessos, faturar, dar suporte, prevenir fraude e uso indevido | Execução de contrato (art. 7º, V); obrigação legal (art. 7º, II), inclusive guarda de registros de acesso (Marco Civil da Internet, art. 15); legítimo interesse (art. 7º, IX) |
| Titulares consultados (em nome do Cliente) | CPF ou CNPJ informado; dados cadastrais, de contato, profissionais, financeiros, de crédito, processos, sanções, PEP e mídia, conforme o serviço contratado | Identificação, onboarding, KYC, prevenção a fraudes e à lavagem de dinheiro, análise de crédito | Definida pelo Cliente controlador, por exemplo: obrigação legal ou regulatória (art. 7º, II), proteção do crédito (art. 7º, X), exercício regular de direitos (art. 7º, VI) |
| Titulares verificados por biometria (em nome do Cliente) | Imagem da face, modelo facial, resultado da prova de vida e da comparação, imagem do documento e dados lidos dele | Confirmar identidade e presença real do Titular, autenticar acessos e transações, prevenir fraude | Definida pelo Cliente controlador, entre as do art. 11, como prevenção à fraude e segurança do titular (art. 11, II, g) ou consentimento específico (art. 11, I) |
Candidatos a vagas na Dracma têm o currículo e os dados de contato tratados só pela equipe de recrutamento, para o processo seletivo (procedimentos preliminares a contrato, art. 7º, V), e podem pedir a remoção a qualquer tempo pelo canal da seção 7.5.
Chaves de consulta enviadas pelos Clientes. O CPF, o CNPJ e as imagens enviados por um Cliente servem só para obter o Resultado daquela consulta. A Dracma não os usa para formar ou enriquecer bases próprias e não os repassa a terceiros, salvo ao Fornecedor estritamente necessário para responder à consulta.
A Dracma pode gerar estatísticas de uso a partir de dados anonimizados, para melhorar a Plataforma e faturar. Dados anonimizados não permitem identificar ninguém.
4.Dados biométricos
A biometria facial é dado pessoal sensível e recebe proteção reforçada na Dracma.
- Captura: a face é capturada pela câmera do dispositivo do Titular, no aplicativo ou site do Cliente. O Titular é informado antes da captura.
- Uso: a biometria serve só para prova de vida, comparação com documento ou com base vinculada ao CPF, e autenticação no próprio Cliente. Ela não é usada para publicidade, para perfil comportamental nem para treinar modelos de terceiros.
- Segregação: a biometria de cada Cliente fica separada. A face cadastrada em um Cliente não é usada para identificar ou autenticar a pessoa em outro Cliente.
- Armazenamento: os modelos faciais são guardados criptografados, com acesso restrito. O Fornecedor da tecnologia de prova de vida não recebe automaticamente dados biométricos.
- Prazo: a biometria é guardada enquanto durar a relação do Titular com o Cliente, ou pelo prazo definido pelo Cliente. Faces sem uso por 12 (doze) meses são desativadas e eliminadas, salvo instrução diferente do Cliente ou obrigação legal.
- Exclusão: o Cliente pode excluir a biometria de um Titular a qualquer tempo. A exclusão é propagada para as cópias de segurança no ciclo seguinte de renovação.
- Resultado ao Titular: o Titular vê apenas se a verificação foi aprovada ou reprovada. Os detalhes técnicos são reservados ao Cliente, para evitar que fraudadores aprendam a burlar a verificação.
5.Fontes, compartilhamento e transferência internacional
5.1. Fontes. Os Resultados vêm de: (i) fontes públicas, como Receita Federal, tribunais, diários oficiais e cadastros públicos de sanções, empresas punidas, Ibama e PEP; (ii) bases privadas de Fornecedores licenciados; e (iii) listas internacionais de sanções, como a OFAC (EUA) e a do Reino Unido. A Dracma não usa dados extraídos de redes sociais.
5.2. Com quem os dados são compartilhados:
- com o Cliente que pediu a consulta ou a verificação;
- com Fornecedores de dados, que recebem o CPF ou CNPJ consultado só para devolver o Resultado e são proibidos por contrato de usar a consulta para enriquecer suas bases;
- com o provedor de nuvem Amazon Web Services (AWS), único suboperador da Dracma, sob contrato de confidencialidade e proteção de dados;
- com autoridades, quando houver obrigação legal ou ordem judicial;
- em operações societárias, como fusão, aquisição ou incorporação, com quem conduzir a análise ou suceder a Dracma, mantidas as garantias desta Política e os contratos com os Clientes.
5.3. A Dracma não vende dados pessoais.
5.4. Transferência internacional. Os dados da Plataforma, inclusive a biometria, ficam em servidores da Amazon Web Services (AWS) na região de São Paulo, no Brasil. A tecnologia de prova de vida é licenciada por empresa dos Estados Unidos, mas roda nos servidores da Dracma no Brasil: dados biométricos não são enviados a esse Fornecedor, que recebe apenas registros de uso anonimizados. Quando houver transferência para outro país, ela segue os arts. 33 a 36 da LGPD e o Regulamento de Transferência Internacional da ANPD, com cláusulas-padrão contratuais ou outro mecanismo válido.
5.5. Hoje a Dracma tem um único suboperador, a AWS, na região de São Paulo, e não realiza transferência internacional de dados pessoais. Novos suboperadores serão informados aos Clientes antes de começarem a tratar dados. Para Clientes regulados pelo Banco Central, a localização dos dados segue o que o Contrato definir.
6.Retenção, direitos do Titular e decisões automatizadas
6.1. Por quanto tempo guardamos:
| Dado | Prazo |
|---|---|
| Registros de acesso ao painel e à API | 6 (seis) meses, no mínimo (Marco Civil da Internet, art. 15) |
| Registros de consultas (quem consultou, o quê e quando) | Pelo prazo do Contrato e até 5 (cinco) anos após o fim, para auditoria, faturamento e defesa em processos |
| Resultados de consultas | Conforme instrução do Cliente; sem instrução, 3 (três) meses |
| Biometria facial | Ver seção 4 |
| Dados de representantes e Usuários Autorizados | Enquanto durar a relação e até 5 (cinco) anos após, para cumprir obrigações legais e fiscais |
| Dados de contato do site | Até 2 (dois) anos sem novo contato |
Terminado o prazo, os dados são eliminados ou anonimizados, salvo obrigação legal de guarda.
6.2. Direitos do Titular (LGPD, art. 18): confirmar se há tratamento; acessar os dados; corrigir dados incompletos, inexatos ou desatualizados; pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; pedir a portabilidade; pedir a eliminação de dados tratados com base em consentimento; saber com quem os dados foram compartilhados; ser informado sobre a possibilidade de não consentir; revogar o consentimento.
6.3. Para proteger o próprio Titular, a Dracma confirma a identidade de quem faz o pedido antes de entregar qualquer dado. O prazo de resposta é de até 15 (quinze) dias. Nos dados tratados em nome de um Cliente, aplica-se a seção 2.2.
6.3.1. Como pedir, na prática:
- Contato comercial que não virou Cliente: pedido de remoção ao Encarregado; os dados são apagados dos sistemas da Dracma.
- Representante ou Usuário Autorizado de Cliente: o acesso é desativado pelo próprio Cliente ou a pedido. Dados de faturamento e registros de acesso ficam guardados pelos prazos da seção 6.1.
- Newsletter: link de descadastro em cada e-mail.
- Titular consultado ou verificado por um Cliente: pedido ao Cliente com quem se relaciona (seção 2.2). Para corrigir dado vindo de fonte pública, o Titular também deve procurar o órgão que mantém a fonte, ou o dado poderá voltar a aparecer nas próximas consultas.
Alguns pedidos podem ser recusados ou limitados por obrigação legal ou para proteger segredo comercial. Nesse caso, a Dracma informa o motivo.
6.4. Decisões automatizadas. A Plataforma entrega Resultados que ajudam o Cliente a decidir. A decisão final é do Cliente. O Titular afetado por decisão tomada só com base em tratamento automatizado pode pedir ao Cliente sua revisão e informações sobre os critérios usados (LGPD, art. 20). A Dracma fornece ao Cliente as informações técnicas necessárias para responder, preservados os segredos comercial e industrial.
7.Segurança, incidentes, cookies, menores, contato e atualizações
7.1. Segurança. A Dracma adota, entre outras medidas: criptografia dos dados em trânsito e armazenados; controle de acesso por perfil e pelo mínimo necessário; autenticação reforçada para acessos administrativos; registro e monitoramento de acessos; segregação dos dados por Cliente; cópias de segurança; treinamento e termo de confidencialidade para quem acessa dados. Nenhum sistema é totalmente imune a ataques, por isso essas medidas são revistas de forma contínua.
7.2. Incidentes. Em incidente de segurança que possa causar risco ou dano relevante aos Titulares, a Dracma avisa os Clientes afetados sem demora injustificada. Quando for controladora, ou quando o Cliente assim instruir, comunica também a ANPD e os Titulares, nos prazos do Regulamento de Comunicação de Incidente de Segurança da ANPD.
7.3. Cookies. O site usa cookies essenciais ao funcionamento e, com consentimento do visitante, cookies de medição de audiência. O visitante pode recusar ou apagar os cookies não essenciais no aviso do site ou nas configurações do navegador.
7.4. Crianças e adolescentes. O site e o painel são destinados a maiores de 18 (dezoito) anos. Quando um Cliente verificar a identidade de menor de idade, cabe a ele observar o art. 14 da LGPD e o melhor interesse da criança ou do adolescente, inclusive o consentimento de um dos pais ou responsável quando exigido.
7.5. Encarregado de Dados (DPO). Pedidos, dúvidas e reclamações sobre dados pessoais podem ser enviados a Tércio Fonseca, Encarregado de Dados da Dracma, pelo e-mail dpo@dracma.ai. Encarregado substituto: Fabrício Massula Dutra. O Titular também pode reclamar à ANPD. Suspeitas de incidente ou vulnerabilidade de segurança, inclusive por pesquisadores externos, podem ser reportadas a sec@dracma.ai.
7.6. Atualizações. Esta Política pode ser atualizada por mudanças nos Serviços, na lei ou na regulação. Mudanças relevantes são avisadas no site e, para Clientes, por e-mail. A data da última atualização fica no topo deste documento.