POLÍTICA DE PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS DA MAINUM

Versão: 1.2.0 (Vigente a partir de 28 de setembro de 2026)

Registro Institucional: Doc. Nº POL-PRIV-2026/08-01

Plataforma: Mainum

Canal de Privacidade: atendimento autenticado disponibilizado na plataforma

1. APRESENTAÇÃO E ESCOPO

A Mainum reafirma seu compromisso com a privacidade, transparência e segurança no tratamento de dados pessoais, em estrita conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 - “LGPD”), com o Marco Civil da Internet (Lei nº 12.965/2014) e com a regulamentação editada pela Autoridade Nacional de Proteção de Dados (“ANPD”).

Esta Política aplica-se a:

1. Pessoas físicas cadastradas como Merchants ou operadoras da plataforma;
2. Representantes legais, sócios, administradores e beneficiários finais (Ultimate Beneficial Owners - UBO) de pessoas jurídicas credenciadas;
3. Desenvolvedores e usuários autorizados do painel de controle e APIs;
4. Pagadores finais cujos dados são processados para fins estritos de liquidação de cobranças Pix originadas pelos Merchants;
5. Usuários que contatam nossos canais de suporte, ouvidoria e privacidade.

2. PAPÉIS DE ATUAÇÃO SOB A LGPD (CONTROLADOR VS. OPERADOR)

Na prestação de seus serviços tecnológicos e financeiros, a Mainum atua sob dupla qualificação jurídica:

┌────────────────────────────────────────────────────────────────────────┐
│                   QUALIFICAÇÃO JURÍDICA SOB A LGPD                     │
├───────────────────────────────────┬────────────────────────────────────┤
│       MAINUM COMO CONTROLADORA    │        MAINUM COMO OPERADORA       │
├───────────────────────────────────┼────────────────────────────────────┤
│ • Dados cadastrais do Merchant    │ • Dados do Pagador Final (cliente  │
│ • Documentos de KYC/KYB dos sócios│   do Merchant) enviados via API    │
│ • Fotos do documento e do rosto   │ • Execução estrita das instruções  │
│ • Logs de acesso, senhas e MFA    │   de emissão do Pix                │
│ • Base Legal: Art. 7º, II, V e    │ • Controlador: O Merchant Lojista  │
│   Art. 11, II, "g" da LGPD        │ • Base Legal do Merchant: Art. 7, V│
└───────────────────────────────────┴────────────────────────────────────┘

3. MATRIZ DE TRATAMENTO DE DADOS PESSOAIS

4. VERIFICAÇÃO DE IDENTIDADE E DADOS BIOMÉTRICOS

4.1. Como funciona: a verificação de identidade é feita na página da Didit, empresa contratada pela Mainum como operadora. O titular fotografa o documento oficial e faz uma selfie. A Didit lê os dados do documento, confere se há uma pessoa real diante da câmera (prova de vida) e compara o rosto com a foto do documento por meio de tecnologia automatizada. Esse tratamento envolve dado biométrico, que é dado pessoal sensível (art. 5º, II, da LGPD).

4.2. O que a Mainum recebe: apenas o resultado de cada conferência (aprovada, recusada ou em análise), as notas atribuídas, o tipo de documento, o número do documento mascarado e a data. As imagens e o modelo do rosto ficam na Didit e não são copiados para os sistemas da Mainum.

4.3. Decisão automatizada e revisão humana: a conta pode ser aprovada automaticamente quando todas as conferências da Didit forem aprovadas, o CPF e o nome do documento forem iguais aos do cadastro, o titular for maior de idade, o documento estiver válido e não houver declaração de pessoa exposta politicamente. Em qualquer outro caso, a análise é feita por uma pessoa da equipe Mainum. O titular pode pedir a revisão de uma decisão tomada unicamente com base em tratamento automatizado (art. 20 da LGPD) pelo canal de privacidade.

4.4. Fundamento legal: o tratamento se fundamenta na prevenção à fraude e segurança do titular nos processos de identificação e autenticação de cadastro em sistemas eletrônicos (art. 11, II, "g", da LGPD) e no cumprimento de obrigação legal e regulatória de PLD/FT (art. 7º, II, da LGPD).

4.5. Por determinação regulatória e para prevenir fraudes, o tratamento para verificação de identidade não depende de consentimento e não pode ser revogado para apagar registros de operações já realizadas.

4.6. Verificações feitas antes da Didit: contas que enviaram documento e vídeo pelo processo anterior da Mainum continuam com esses arquivos guardados em armazenamento privado cifrado, pelos prazos da seção 7 (10 anos para contas aprovadas e 180 dias para cadastros rejeitados), e foram analisadas por revisão humana.

5. TRANSFERÊNCIA INTERNACIONAL DE DADOS

5.1. A Mainum armazena e processa prioritariamente seus dados em território nacional. Caso utilize provedores de infraestrutura de nuvem, banco de dados ou mensageria com servidores situados no exterior, a transferência internacional observará rigorosamente os artigos 33 a 36 da LGPD e as normas regulamentares da ANPD, garantindo níveis adequados de proteção de dados mediante Cláusulas Padrão Contratuais (Standard Contractual Clauses) e criptografia de ponta a ponta.

5.2. A Didit, operadora da verificação de identidade, processa e armazena esses dados na União Europeia, em infraestrutura da Amazon Web Services, com criptografia em trânsito e em repouso. A transferência internacional observa os artigos 33 a 36 da LGPD e é protegida por cláusulas contratuais padrão de proteção de dados.

6. MEDIDAS TÉCNICAS E ADMINISTRATIVAS DE SEGURANÇA

A Mainum adota padrões de segurança da informação de nível financeiro, incluindo:

• Criptografia de dados em trânsito (TLS 1.3) e em repouso (AES-256 / KMS) para documentos, identidades e chaves Pix;
• Armazenamento de senhas exclusivamente em formato hash irreversível (Argon2id);
• Autenticação multifator obrigatória (TOTP MFA) para operadores e ações financeiras críticas;
• Isolamento de dados multi-tenant com chaves de segregação lógicas no banco de dados;
• Sanitização estrita de arquivos de imagem (recodificação JPEG/PNG e eliminação de metadados EXIF);
• Trilha de auditoria imutável e livro-caixa de partidas dobradas (ledger append-only);
• Redação de dados sensíveis em logs técnicos operacionais (log redaction).

7. RETENÇÃO E PROCEDIMENTO DE DESCARTE SEGURO

7.1. Prazos de Conservação:

• Dossiê Cadastral de KYC/KYB e Transações: Conservado por 10 (dez) anos contados do encerramento da relação contratual (Circular BCB nº 3.978/2020 e Resolução COAF nº 36/2021);
• Arquivos Brutos de Tentativas de Cadastro Rejeitadas: Expurgo automatizado no prazo de 180 (cento e oitenta) dias, mantendo-se apenas hashes identificadores para prevenção de fraudes;
• Provas e Defesas no Mecanismo Especial de Devolução (MED): Conservadas por 5 (cinco) anos após a conclusão do caso;
• Imagens e biometria da verificação de identidade (Didit): conservadas pela Didit por 5 (cinco) anos e depois excluídas, inclusive o modelo do rosto. O resultado mínimo da verificação fica com a Mainum pelo prazo do dossiê cadastral;
• Logs de Acesso a Aplicações de Internet: Conservados por 6 (seis) meses (art. 15 da Lei nº 12.965/2014).

7.2. Procedimento de Descarte: O descarte de arquivos e mídias privadas ocorre mediante execução de rotinas automáticas de expurgo em armazenamento privado com confirmação criptográfica, remoção de referências de banco de dados e sobrescrita lógica.

8. DIREITOS DOS TITULARES DE DADOS E CANAL DE ATENDIMENTO

8.1. Nos termos do artigo 18 da LGPD, o titular de dados pessoais possui o direito de obter da Mainum:

• Confirmação da existência de tratamento e acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• Portabilidade dos dados cadastrais a outro fornecedor de serviços;
• Informações sobre as entidades públicas e privadas com as quais a Mainum compartilhou dados;
• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa.

8.2. Canal de Privacidade: Para exercer seus direitos ou esclarecer dúvidas sobre esta Política, o titular deve utilizar o canal autenticado de atendimento disponibilizado na plataforma. A solicitação será encaminhada ao responsável pelo tratamento de dados e registrada para acompanhamento.

8.3. Requisições de Consumidores Finais (Pagadores Pix): Como a Mainum atua na qualidade de Operadora quanto aos dados de pagamento recebidos por instrução dos Merchants, o titular pagador deverá exercer seus direitos primariamente perante o Merchant (Controlador). As solicitações encaminhadas à Mainum serão direcionadas ao respectivo Merchant em até 48 (quarenta e oito) horas.

9. GESTÃO E COMUNICAÇÃO DE INCIDENTES DE SEGURANÇA

9.1. Na hipótese de ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares de dados pessoais, a Mainum adotará as seguintes providências nos termos da Resolução CD/ANPD nº 15/2024:

• Comunicação à ANPD e aos Titulares (nos casos em que atua como Controladora): Notificação em até 3 (três) dias úteis, contados da confirmação da gravidade do evento;
• Comunicação ao Merchant Controlador (nos casos em que atua como Operadora): Notificação formal ao Merchant em até 24 (vinte e quatro) horas úteis, fornecendo relatório técnico circunstanciado para que o Controlador cumpra seus deveres perante a ANPD;
• Comunicação à Provedora de Pagamentos (MisticPay): Notificação imediata em até 24 horas corridas em caso de comprometimento de chaves, webhooks ou credenciais de integração financeira.

10. ATUALIZAÇÕES DA POLÍTICA DE PRIVACIDADE

10.1. Esta Política poderá ser alterada a qualquer tempo em decorrência de inovações legislativas, regulamentares ou operacionais. Qualquer alteração substancial será divulgada com destaque no painel de controle e comunicada aos usuários cadastrados.

MAINUM Encarregado de Proteção de Dados (DPO) e Diretoria Jurídica