POLÍTICA DE PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS (LGPD)

BROKERS CORPORATE OFFICE

Versão: 1.0 Data de Vigência: 30 de outubro de 2025 Responsável: Wilson Fernando Maciel - CEO e DPO Última Revisão: 30 de outubro de 2025

1. OBJETIVO E ABRANGÊNCIA

Esta Política de Privacidade e Proteção de Dados Pessoais estabelece as diretrizes e procedimentos para tratamento de dados pessoais, em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 - LGPD).

Aplicabilidade: Esta política aplica-se a todos os tratamentos de dados pessoais realizados pela Wilson Maciel - Assessoria de Investimentos, suas subsidiárias (incluindo Saron Investments), colaboradores, prestadores de serviços e parceiros.

2. DEFINIÇÕES IMPORTANTES

2.1 Dados Pessoais

Qualquer informação relacionada a pessoa natural identificada ou identificável.

Exemplos: Nome, CPF, RG, endereço, telefone, e-mail, data de nascimento, renda, profissão.

2.2 Dados Pessoais Sensíveis

Dados sobre origem racial/étnica, convicções religiosas, opiniões políticas, filiação sindical, saúde, vida sexual, dados genéticos ou biométricos.

Tratamento especial: Requer consentimento específico e destacado.

2.3 Titular de Dados

Pessoa natural a quem se referem os dados pessoais.

2.4 Tratamento de Dados

Toda operação com dados pessoais: coleta, armazenamento, processamento, compartilhamento, eliminação, etc.

2.5 Controlador

A Wilson Maciel - Assessoria de Investimentos é o controlador dos dados, decidindo sobre o tratamento.

2.6 Operador

Terceiros que realizam tratamento de dados em nome da Brokers, conforme instruções.

2.7 Encarregado de Dados (DPO)

Pessoa responsável por atuar como canal de comunicação entre a empresa, titulares e ANPD.

DPO: Wilson Fernando Maciel (Interino) E-mail: dpo@brokersco.com.br Telefone: +55 (35) XXXX-XXXX

3. PRINCÍPIOS DO TRATAMENTO DE DADOS

3.1 Finalidade

Tratamento para propósitos legítimos, específicos, explícitos e informados ao titular.

3.2 Adequação

Compatibilidade entre tratamento e finalidades informadas.

3.3 Necessidade

Limitação ao mínimo necessário para atingir finalidades.

3.4 Livre Acesso

Garantia de consulta facilitada e gratuita sobre forma e duração do tratamento.

3.5 Qualidade dos Dados

Exatidão, clareza, relevância e atualização dos dados.

3.6 Transparência

Informações claras, precisas e facilmente acessíveis sobre tratamento.

3.7 Segurança

Medidas técnicas e administrativas para proteção contra acessos não autorizados.

3.8 Prevenção

Adoção de medidas para prevenir danos.

3.9 Não Discriminação

Impossibilidade de tratamento para fins discriminatórios, ilícitos ou abusivos.

3.10 Responsabilização e Prestação de Contas

Demonstração de cumprimento e eficácia das medidas de proteção.

4. BASES LEGAIS PARA TRATAMENTO

4.1 Consentimento

Manifestação livre, informada e inequívoca do titular.

Aplicação: Marketing, comunicações promocionais, compartilhamento com parceiros.

4.2 Cumprimento de Obrigação Legal

Tratamento necessário para cumprir lei ou regulamento.

Aplicação: Obrigações fiscais, trabalhistas, regulatórias (COAF, Banco Central).

4.3 Execução de Contrato

Tratamento necessário para execução de contrato do qual o titular é parte.

Aplicação: Prestação de serviços jurídicos, financeiros, abertura de conta Saron Investments.

4.4 Exercício Regular de Direitos

Tratamento em processo judicial, administrativo ou arbitral.

Aplicação: Defesa em ações judiciais, procedimentos arbitrais.

4.5 Legítimo Interesse

Tratamento para finalidades legítimas do controlador ou terceiro.

Aplicação: Prevenção à fraude, segurança, melhoria de serviços (mediante LIA - Legítimo Interesse Assessment).

4.6 Proteção da Vida

Tratamento necessário para proteção da vida ou incolumidade física.

4.7 Tutela da Saúde

Procedimento realizado por profissionais de saúde.

4.8 Proteção do Crédito

Tratamento para proteção do crédito conforme legislação.

Aplicação: Análise de crédito, consulta a bureaus (Serasa, SPC).

5. DADOS COLETADOS

5.1 Clientes Pessoa Física

Dados Cadastrais:

• Nome completo, CPF, RG

• Data de nascimento, nacionalidade

• Endereço residencial e comercial

• Telefone, e-mail

• Foto e documento com foto (selfie)

Dados Financeiros:

• Renda mensal, patrimônio

• Fonte de renda, profissão

• Extratos bancários (quando necessário)

• Histórico de crédito

Dados de Navegação:

• Endereço IP, cookies

• Páginas visitadas, tempo de permanência

• Dispositivo utilizado

5.2 Clientes Pessoa Jurídica

Dados da Empresa:

• Razão social, CNPJ

• Endereço da sede

• Atividade econômica, faturamento

• Estrutura societária

Dados dos Representantes:

• Nome, CPF, RG

• Cargo, poderes de representação

• Dados de contato

Dados dos Sócios/Beneficiários Finais:

• Identificação completa

• Participação societária

• Fonte de recursos

5.3 Colaboradores

Dados Pessoais:

• Identificação civil

• Endereço, contatos de emergência

• Dados bancários para pagamento

Dados Sensíveis (quando aplicável):

• Atestados médicos

• Dependentes para plano de saúde

5.4 Prestadores de Serviços

Dados de Identificação:

• Nome/Razão social

• CPF/CNPJ

• Dados bancários para pagamento

• Qualificações e certificações

6. FINALIDADES DO TRATAMENTO

6.1 Execução de Contratos

• Prestação de serviços jurídicos e financeiros

• Abertura e manutenção de conta Saron Investments

• Processamento de transações

• Emissão de documentos e relatórios

6.2 Cumprimento de Obrigações Legais

• Declarações fiscais e tributárias

• Comunicações ao COAF (PLD-FT)

• Atendimento a requisições judiciais

• Registro contábil e fiscal

6.3 Legítimo Interesse

• Prevenção à fraude e segurança

• Análise de risco de crédito

• Melhoria de produtos e serviços

• Defesa em processos judiciais

• Auditoria e compliance

6.4 Consentimento

• Envio de newsletters e comunicações marketing

• Compartilhamento com parceiros comerciais

• Uso de cookies não essenciais

• Pesquisas de satisfação

7. COMPARTILHAMENTO DE DADOS

7.1 Parceiros e Prestadores de Serviços

Categorias de Terceiros:

• Celcoin: Processamento de pagamentos, KYC

• Bureaus de Crédito: Serasa, Boa Vista, SPC

• Provedores de Nuvem: AWS, Google Cloud, Azure

• Ferramentas de Marketing: E-mail marketing, CRM

• Contadores e Auditores: Cumprimento de obrigações fiscais

Garantias:

• Contratos com cláusulas de proteção de dados

• Due diligence de segurança

• Acesso limitado ao necessário

• Proibição de uso para outros fins

7.2 Autoridades Públicas

Compartilhamento obrigatório com:

• COAF (Conselho de Controle de Atividades Financeiras)

• Banco Central do Brasil

• Receita Federal do Brasil

• Polícia Federal e Ministério Público (mediante ordem judicial)

• ANPD (Autoridade Nacional de Proteção de Dados)

7.3 Transferência Internacional

Política:

• Transferências apenas para países com nível adequado de proteção

• Cláusulas contratuais padrão da UE

• Consentimento específico quando necessário

• Transparência sobre jurisdições envolvidas

8. DIREITOS DOS TITULARES

8.1 Direito de Confirmação e Acesso

• Confirmar se há tratamento de seus dados

• Acessar seus dados pessoais

8.2 Direito de Correção

• Corrigir dados incompletos, inexatos ou desatualizados

8.3 Direito de Anonimização, Bloqueio ou Eliminação

• Solicitar anonimização de dados desnecessários

• Bloquear ou eliminar dados tratados incorretamente

8.4 Direito de Portabilidade

• Receber dados em formato estruturado e interoperável

• Transferir dados a outro fornecedor de serviço

8.5 Direito de Eliminação

• Solicitar eliminação de dados tratados com consentimento

• Exceções: Dados necessários para cumprimento de obrigação legal

8.6 Direito de Informação

• Obter informações sobre compartilhamento com terceiros

• Conhecer possibilidade de não consentir

8.7 Direito de Revogação do Consentimento

• Revogar consentimento a qualquer momento

8.8 Direito de Oposição

• Opor-se ao tratamento baseado em legítimo interesse

9. EXERCÍCIO DE DIREITOS

9.1 Como Exercer

Canais de Atendimento:

• E-mail: dpo@brokersco.com.br

• Formulário Web: www.brokersco.com.br/privacidade/solicitacao

• Telefone: +55 (35) XXXX-XXXX

• Correio: Rua Raul Soares, 76 - Centro, Lavras/MG, CEP 37200-188

9.2 Prazo de Atendimento

• Resposta inicial: até 5 dias úteis

• Atendimento completo: até 15 dias (prorrogável por mais 15)

• Gratuito: Primeira solicitação sempre gratuita

• Forma gratuita: Atendimento prioritário por meio eletrônico

9.3 Documentação Necessária

• Documento de identidade com foto

• Comprovante de endereço (quando aplicável)

• Descrição clara da solicitação

9.4 Negativa de Atendimento

A solicitação pode ser negada quando:

• Houver obrigação legal de manter os dados

• Necessário para exercício regular de direitos

• Dados anonimizados utilizados para estudos

• Ordem judicial

Justificativa: Sempre fundamentada e por escrito.

10. CONSENTIMENTO

10.1 Coleta de Consentimento

Forma:

• Clara, específica e destacada

• Finalidades explicadas em linguagem simples

• Separado de outros termos e condições

• Registro de data, hora e meio de coleta

Exemplo de Texto:

> "Autorizo a Wilson Maciel - Assessoria de Investimentos a utilizar meus dados pessoais (nome, CPF, telefone, e-mail) para envio de comunicações sobre produtos e serviços financeiros. Estou ciente de que posso revogar este consentimento a qualquer momento."

10.2 Revogação do Consentimento

Processo:

• Tão fácil quanto foi fornecê-lo

• Link direto em e-mails de marketing

• Atendimento através do DPO

• Efeito imediato após confirmação

Consequências:

• Cessação do tratamento para aquela finalidade

• Manutenção de dados para outras bases legais (obrigação legal, contrato)

11. COOKIES E TECNOLOGIAS DE RASTREAMENTO

11.1 Tipos de Cookies

Cookies Essenciais (Não requerem consentimento):

• Autenticação e segurança

• Funcionalidades básicas do site

Cookies Analíticos (Requerem consentimento):

• Google Analytics

• Análise de comportamento de navegação

Cookies de Marketing (Requerem consentimento):

• Publicidade direcionada

• Redes sociais (Facebook Pixel, LinkedIn Insight)

11.2 Gestão de Cookies

Banner de Cookies:

• Informação clara sobre uso

• Opções de aceitar/rejeitar

• Link para configurações detalhadas

Painel de Preferências:

• Gerenciar categorias de cookies

• Aceitar/rejeitar individualmente

• Revisar escolhas a qualquer momento

12. SEGURANÇA DOS DADOS

12.1 Medidas Técnicas

Controles Implementados:

• Criptografia em trânsito (TLS 1.3) e repouso (AES-256)

• Autenticação multifator (MFA)

• Firewall e sistemas de detecção de intrusão

• Backup criptografado diário

• Segregação de ambientes (produção/desenvolvimento)

12.2 Medidas Organizacionais

Controles Administrativos:

• Acesso baseado no princípio do menor privilégio

• Termos de confidencialidade assinados

• Treinamento anual em LGPD

• Política de mesa limpa e tela limpa

• Descarte seguro de documentos

12.3 Testes e Auditorias

• Pentest anual

• Auditoria de segurança semestral

• Testes de resposta a incidentes

• Revisão de logs de acesso

13. RETENÇÃO DE DADOS

13.1 Prazos de Retenção

Dados de Clientes Ativos:

• Enquanto houver relação contratual ativa

• Revisão anual de necessidade de manutenção

Dados de Clientes Inativos:

• Obrigação legal: 5 anos (PLD-FT, fiscal)

• Defesa de direitos: até prescrição da ação (geralmente 5-10 anos)

• Legítimo interesse: até 6 meses após inatividade

Dados de Colaboradores:

• Durante vínculo empregatício

• Pós-desligamento: conforme legislação trabalhista (mínimo 5 anos)

Dados de Marketing:

• Até revogação do consentimento

• Revisão de engajamento a cada 2 anos

13.2 Eliminação de Dados

Métodos:

• Exclusão definitiva de bancos de dados

• Sobrescrita múltipla em mídias físicas

• Destruição física de hardware quando necessário

• Certificação de eliminação

Documentação:

• Registro de data e responsável pela eliminação

• Inventário de dados eliminados

• Retenção por 5 anos

14. INCIDENTES DE SEGURANÇA E VAZAMENTO DE DADOS

14.1 Plano de Resposta a Incidentes

Fases:

1. Detecção e Análise: Identificar natureza e extensão

2. Contenção: Isolar sistemas afetados

3. Erradicação: Remover causa do incidente

4. Recuperação: Restaurar operações

5. Pós-Incidente: Lições aprendidas

14.2 Comunicação de Incidentes

ANPD (Autoridade Nacional):

• Notificação em até 72 horas (quando houver risco)

• Descrição do incidente, dados afetados, medidas tomadas

Titulares Afetados:

• Comunicação quando houver risco ou dano relevante

• Linguagem clara e acessível

• Orientações sobre medidas de proteção

Mídia/Público:

• Comunicação quando necessário para proteção coletiva

• Transparência sobre medidas corretivas

14.3 Registro de Incidentes

• Documentação completa de todos os incidentes

• Análise de causas raiz

• Plano de ação para prevenção

• Retenção por 5 anos

15. PRIVACIDADE DESDE A CONCEPÇÃO (PRIVACY BY DESIGN)

15.1 Princípios

Proativo, não reativo:

• Medidas preventivas, não corretivas

Privacidade como configuração padrão:

• Máxima proteção sem necessidade de ação do usuário

Privacidade incorporada ao design:

• Proteção em todas as fases do desenvolvimento

Funcionalidade total:

• Segurança sem comprometer usabilidade

Segurança de ponta a ponta:

• Proteção do início ao fim do ciclo de vida

Visibilidade e transparência:

• Práticas abertas e verificáveis

Respeito pela privacidade do usuário:

• Interesses do titular em primeiro lugar

15.2 Avaliação de Impacto (DPIA)

Quando realizar:

• Novos produtos ou serviços

• Tratamento de dados sensíveis em larga escala

• Monitoramento sistemático de áreas públicas

• Decisões automatizadas com impacto significativo

• Transferências internacionais de dados

Conteúdo:

• Descrição do tratamento e finalidades

• Avaliação de necessidade e proporcionalidade

• Riscos para direitos e liberdades

• Medidas de mitigação

16. MENORES DE IDADE

16.1 Proteção de Crianças e Adolescentes

Regra Geral:

• Consentimento dos pais/responsáveis para menores de 18 anos

• Coleta mínima de dados

• Proibição de compartilhamento para marketing

Exceções (não requer consentimento):

• Contato com pais/responsáveis (uma única vez)

• Proteção da criança ou adolescente

16.2 Melhores Práticas

• Linguagem clara e adequada à idade

• Ferramentas de controle parental

• Revisão periódica de necessidade

• Eliminação ao atingir maioridade (quando não houver outra base legal)

17. DECISÕES AUTOMATIZADAS E PROFILING

17.1 Transparência

Obrigação de informar:

• Quando decisões são tomadas exclusivamente por algoritmos

• Critérios utilizados

• Impacto na vida do titular

Exemplos:

• Análise de crédito automatizada

• Precificação diferenciada

• Segmentação de marketing

17.2 Direito de Revisão

Titular pode solicitar:

• Revisão humana da decisão

• Explicação sobre critérios utilizados

• Contestação e correção

Prazo: Atendimento em até 15 dias

18. TRATAMENTO DE DADOS SENSÍVEIS

18.1 Controles Especiais

Dados Sensíveis incluem:

• Origem racial ou étnica

• Convicção religiosa

• Opinião política

• Filiação sindical

• Dados de saúde

• Vida sexual

• Dados genéticos ou biométricos

Requisitos:

• Consentimento específico e destacado

• Criptografia reforçada

• Acesso ultra restrito

• Auditoria contínua

18.2 Bases Legais Específicas

• Cumprimento de obrigação legal

• Exercício de direitos (trabalhista, previdenciário)

• Proteção da vida

• Tutela da saúde

• Consentimento

Proibição: Uso para práticas discriminatórias

19. REGISTRO DE ATIVIDADES DE TRATAMENTO (ROPA)

19.1 Documentação Obrigatória

Informações Registradas:

• Finalidades do tratamento

• Categorias de dados e titulares

• Bases legais utilizadas

• Compartilhamento com terceiros

• Transferências internacionais

• Prazos de retenção

• Medidas de segurança

19.2 Atualização

• Revisão trimestral

• Atualização imediata após mudanças relevantes

• Disponível para ANPD mediante requisição

20. RESPONSABILIDADES

20.1 Encarregado de Dados (DPO)

Atribuições:

• Aceitar reclamações e comunicações de titulares

• Prestar esclarecimentos

• Orientar funcionários sobre boas práticas

• Interagir com a ANPD

• Realizar treinamentos

Autoridade:

• Reporte direto à Alta Administração

• Independência para decisões

20.2 Áreas de Negócio

Responsabilidades:

• Cumprir esta política

• Coletar apenas dados necessários

• Informar DPO sobre novos tratamentos

• Reportar incidentes imediatamente

• Participar de treinamentos

20.3 TI e Segurança

Responsabilidades:

• Implementar controles técnicos

• Realizar backups e testes

• Monitorar acessos e logs

• Responder a incidentes

21. TREINAMENTO E CONSCIENTIZAÇÃO

21.1 Programa de Capacitação

Treinamento Inicial (Onboarding):

• Carga horária: 2 horas

• Conteúdo: LGPD, direitos dos titulares, boas práticas

Treinamento Anual:

• Reciclagem obrigatória

• Casos práticos e atualizações

• Avaliação de conhecimento

Treinamento Específico:

• DPO: 40 horas anuais

• TI/Segurança: 16 horas anuais

• Áreas que tratam dados sensíveis: 8 horas anuais

21.2 Materiais de Apoio

• Guia rápido de LGPD

• FAQs sobre direitos dos titulares

• Procedimentos para resposta a solicitações

• Checklist de privacidade

22. CONFORMIDADE E AUDITORIA

22.1 Auditoria Interna

• Semestral: revisão de processos e conformidade

• Testes de exercício de direitos

• Análise de incidentes

22.2 Auditoria Externa

• Anual: certificação de conformidade LGPD

• Relatório para Alta Administração

• Plano de ação para não conformidades

22.3 Certificações

• ISO 27001 (Segurança da Informação) - em implementação

• ISO 27701 (Privacidade) - planejado

23. SANÇÕES E PENALIDADES

23.1 ANPD (Autoridade Nacional)

Penalidades previstas na LGPD:

• Advertência com prazo para regularização

• Multa simples: até 2% do faturamento (limite R$ 50 milhões por infração)

• Multa diária

• Publicização da infração

• Bloqueio ou eliminação de dados

• Suspensão parcial ou total do banco de dados

23.2 Titulares

Direitos:

• Indenização por danos materiais e morais

• Ação individual ou coletiva

24. ATUALIZAÇÕES E ALTERAÇÕES

24.1 Notificação de Mudanças

Comunicação:

• E-mail para clientes ativos

• Aviso destacado no site por 30 dias

• Versão anterior disponível para consulta

24.2 Histórico de Versões

• Data de cada alteração

• Resumo das mudanças

• Razão da atualização

• Retenção de todas as versões

25. LEGISLAÇÃO APLICÁVEL

25.1 Normas Nacionais

• Lei nº 13.709/2018 (LGPD)

• Constituição Federal/1988

• Código Civil Brasileiro

• Marco Civil da Internet (Lei 12.965/2014)

• Código de Defesa do Consumidor

25.2 Normas Internacionais (Referência)

• GDPR (General Data Protection Regulation - União Europeia)

• CCPA (California Consumer Privacy Act - EUA)

• Recomendações OECD

26. CONTATOS E CANAIS DE ATENDIMENTO

26.1 Encarregado de Dados (DPO)

Wilson Fernando Maciel

E-mail: dpo@brokersco.com.br

Telefone: +55 (35) XXXX-XXXX

WhatsApp: +55 (35) XXXX-XXXX

26.2 Formulário Online

Site: www.brokersco.com.br/privacidade/solicitacao

26.3 Correspondência

Endereço:

Wilson Maciel - Assessoria de Investimentos

A/C: Encarregado de Dados (DPO)

Rua Raul Soares, 76 - Centro

Lavras/MG - CEP 37200-188

26.4 ANPD

Site: www.gov.br/anpd E-mail: comunicacao@anpd.gov.br

27. DECLARAÇÃO DE COMPROMISSO

A Wilson Maciel - Assessoria de Investimentos compromete-se a:

• Respeitar a privacidade e proteger os dados pessoais de todos os titulares

• Tratar dados de forma transparente, segura e em conformidade com a LGPD

• Implementar medidas técnicas e organizacionais adequadas

• Manter esta política atualizada e acessível

• Capacitar continuamente colaboradores

• Cooperar com a ANPD e atender prontamente aos titulares

A privacidade é um direito fundamental e um valor essencial para nossa organização.

Aprovado por:

Wilson Fernando Maciel

CEO e Encarregado de Dados (DPO)