Jurídico
Política de Privacidade
Publicada em 09/10/2026
1. Objetivo
Esta Política estabelece as regras de tratamento de dados pessoais pela Trace Finance Sociedade Prestadora de Serviços de Ativos Virtuais Ltda. (a “Companhia”), definindo as bases legais aplicáveis, o ciclo de vida dos dados, os direitos dos titulares, o regime de compartilhamento e de transferência internacional e o tratamento de incidentes.
Parte substancial do tratamento de dados pessoais realizado pela Companhia decorre de dever regulatório, e não de escolha de negócio: conhecer o cliente, monitorar operações, comunicar ao Coaf e reter registros por prazos mínimos são obrigações legais. Esse ponto de partida define a base legal de cada tratamento e, por consequência, o que a Companhia pode e não pode assegurar ao titular.
Fundamenta-se na Lei nº 13.709, de 14 de agosto de 2018, e no art. 43, XI, e no art. 48, parágrafo único, II, da Resolução BCB nº 520, de 10 de novembro de 2025.
2. Abrangência
Esta Política aplica-se a toda operação de tratamento de dados pessoais realizada pela Companhia ou em seu nome, por qualquer meio, relativa a clientes, usuários, representantes, beneficiários finais, contrapartes, candidatos, colaboradores, prestadores de serviços e demais partes relacionadas.
Aplica-se, ainda, aos dados pessoais tratados no âmbito da prestação de serviços de ativos virtuais, incluídos os identificadores de carteira quando associáveis a pessoa natural identificada ou identificável, na forma da Seção 8.4.
3. Termos e Definições
| Termo | Definição |
|---|---|
| Dado pessoal | Informação relacionada a pessoa natural identificada ou identificável. |
| Dado pessoal sensível | Dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a pessoa natural. |
| Controlador | Pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais, na forma do art. 5º, VI, da Lei nº 13.709/2018. |
| Operador | Pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do controlador. |
| Encarregado | Pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares e a autoridade nacional. |
| Titular | Pessoa natural a quem se referem os dados pessoais objeto de tratamento. |
| Incidente de segurança com dados pessoais | Evento que possa acarretar risco ou dano relevante aos titulares, na forma do art. 48 da Lei nº 13.709/2018. |
| Registro das operações de tratamento | Inventário mantido pela Companhia com a descrição das operações de tratamento realizadas, na forma do art. 37 da Lei nº 13.709/2018. |
| Canal LGPD | Canal de atendimento do Encarregado, divulgado publicamente, pelo qual os titulares apresentam requisições, dúvidas e reclamações. |
4. Encarregado pelo Tratamento de Dados Pessoais
A Encarregada pelo tratamento de dados pessoais da Companhia é Amanda Di Marchi Peçanha, Chief Compliance Officer.
A Encarregada aceita reclamações e comunicações dos titulares, presta esclarecimentos e adota providências, recebe comunicações da autoridade nacional e orienta as áreas da Companhia sobre práticas de proteção de dados. O contato é feito pelo Canal LGPD, na forma da Seção 9.2.
5. Princípios
As atividades de tratamento observam a boa-fé e os princípios da finalidade, da adequação, da necessidade, do livre acesso, da qualidade dos dados, da transparência, da segurança, da prevenção, da não discriminação e da responsabilização e prestação de contas, na forma do art. 6º da Lei nº 13.709/2018.
O princípio da necessidade é o de maior aplicação prática na Companhia. A existência de dever regulatório de coletar determinado dado não autoriza a coleta de dado adicional, nem a sua utilização para finalidade diversa daquela que fundamentou a coleta.
6. Posição da Companhia e Delimitação de Regimes
6.1. Controlador
O controlador dos dados pessoais tratados no âmbito desta Política é a Trace Finance Sociedade Prestadora de Serviços de Ativos Virtuais Ltda., pessoa jurídica única, identificada pelo CNPJ 53.462.069/0001-01.
6.2. Operador e subcontratação
Os prestadores que tratem dados pessoais em nome da Companhia atuam como operadores e submetem-se às instruções da Companhia, formalizadas em contrato que discipline finalidade, escopo, medidas de segurança, subcontratação, devolução ou eliminação ao término, comunicação de incidentes, direito de auditoria ou de obtenção de evidências e cooperação no atendimento a titulares e à autoridade nacional.
A seleção, a contratação e o monitoramento desses prestadores incluem a avaliação das suas medidas de segurança e observam, quando caracterizado serviço relevante, os requisitos de contratação de serviços de processamento, armazenamento de dados e computação em nuvem da Resolução BCB nº 85/2021.
6.3. Delimitação em relação ao regime de sigilo
A Resolução CMN nº 5.280, de 26 de fevereiro de 2026, considera as sociedades prestadoras de serviços de ativos virtuais instituições financeiras para os fins da Lei Complementar nº 105, de 10 de janeiro de 2001. A Companhia está, portanto, sujeita ao dever de sigilo das operações de seus clientes e usuários.
7. Bases Legais do Tratamento
7.1. Regra geral
Toda operação de tratamento é previamente associada a uma hipótese legal, registrada no inventário do art. 37. A associação é feita por finalidade, e não por sistema ou por área.
As hipóteses utilizadas com maior frequência pela Companhia são o cumprimento de obrigação legal ou regulatória pelo controlador, a execução de contrato ou de procedimentos preliminares a pedido do titular, o exercício regular de direitos e o legítimo interesse, nos termos do art. 7º da Lei nº 13.709/2018.
7.2. Vedação do consentimento como base para deveres regulatórios
Não se utiliza o consentimento como base legal para o tratamento decorrente de dever regulatório, notadamente a identificação e a qualificação de clientes e de beneficiários finais, o monitoramento e a seleção de operações, a comunicação ao Coaf, a verificação em listas restritivas e a retenção de registros por prazo mínimo.
O consentimento é revogável a qualquer momento. Colhê-lo onde a base correta é o cumprimento de obrigação legal criaria no titular a expectativa de interromper um tratamento que a Companhia está legalmente obrigada a manter.
O consentimento é reservado às finalidades genuinamente facultativas, como comunicações de marketing, hipótese em que é colhido de forma destacada, específica e informada, com registro da manifestação e mecanismo de revogação de acesso equivalente ao da coleta.
7.3. Dados pessoais sensíveis
O tratamento de dado pessoal sensível observa as hipóteses do art. 11 da Lei nº 13.709/2018.
O tratamento de dado biométrico empregado na identificação e na autenticação de cadastro em sistemas eletrônicos fundamenta-se na garantia da prevenção à fraude e à segurança do titular, e não em consentimento, sem prejuízo da informação clara ao titular sobre a sua utilização e sobre o prazo de retenção.
A utilização de dado biométrico para finalidade diversa da identificação e autenticação depende de nova avaliação de base legal e de avaliação prévia na forma da Seção 13.
7.4. Legítimo interesse
O tratamento fundado em legítimo interesse é precedido de avaliação documentada que registre a finalidade concreta, a necessidade do tratamento para alcançá-la, a ponderação em face dos direitos e liberdades do titular e as medidas de salvaguarda adotadas. A avaliação é mantida à disposição da autoridade nacional.
Não se utiliza o legítimo interesse como hipótese residual para tratamento cuja finalidade não tenha sido previamente definida.
7.5. Categorias de dados e finalidades em uso
As categorias de dados pessoais tratadas pela Companhia são as seguintes:
- Dados cadastrais: nome, e-mail, telefone, endereço, CPF, documento de identificação, data de nascimento e dados dos representantes e beneficiários finais.
- Dados financeiros: renda, patrimônio, origem de recursos e informações necessárias à qualificação do cliente e à avaliação de risco.
- Dados profissionais: experiência, empresa, cargo, escolaridade e idiomas, tratados para seleção de candidatos e qualificação de terceiros.
- Dados pessoais sensíveis: dado biométrico para identificação e autenticação e, quando informados pelo titular em processo seletivo ou por exigência legal, dados sobre deficiência e origem étnica, tratados na forma da Seção 7.3.
- Dados operacionais: documentos, registros de operações, identificadores de carteira de ativos virtuais (Seção 8.4), registros de acesso, de dispositivo e de autenticação.
- Dados de navegação: cookies e identificadores coletados no site e nos aplicativos da Companhia, tratados de forma agregada ou anonimizada para análise de uso, e, quando não essenciais, mediante informação e mecanismo de gerenciamento disponibilizado ao titular.
- Imagens: registros do sistema de monitoramento das instalações, tratados para segurança patrimonial e integridade física.
As finalidades em uso e a base legal correspondente constam da tabela a seguir.
| Finalidade | Base legal | Observação |
|---|---|---|
| Identificação e qualificação de clientes, representantes e beneficiários finais (conheça seu cliente) | Cumprimento de obrigação legal ou regulatória (art. 7º, II) | Circular BCB nº 3.978/2020 e Resolução BCB nº 520/2025; não se usa consentimento (Seção 7.2) |
| Execução dos serviços contratados, inclusive abertura de conta, operações com ativos virtuais e câmbio | Execução de contrato ou de procedimentos preliminares (art. 7º, V) | Inclui o compartilhamento com parceiros que executam o serviço (Seção 12) |
| Monitoramento e seleção de operações, comunicação ao Coaf, verificação em listas restritivas, atendimento a ordens judiciais e obrigações tributárias | Cumprimento de obrigação legal ou regulatória (art. 7º, II) | Lei nº 9.613/1998 e Circular BCB nº 3.978/2020 |
| Prevenção à fraude e segurança do titular, inclusive autenticação biométrica | Garantia da prevenção à fraude e à segurança do titular (art. 11, II, g) e legítimo interesse (art. 7º, IX) | Biometria na forma da Seção 7.3 |
| Comunicações de serviço e pesquisas de satisfação | Legítimo interesse (art. 7º, IX) | Avaliação documentada na forma da Seção 7.4; opção de descadastramento |
| Comunicações de marketing e campanhas | Consentimento (art. 7º, I) | Colhido de forma destacada; revogação pelo mesmo meio (Seção 7.2) |
| Análise de uso do site e dos aplicativos | Legítimo interesse (art. 7º, IX), com dados agregados ou anonimizados | Cookies não essenciais mediante informação e gerenciamento pelo titular |
| Segurança patrimonial e integridade física nas instalações (monitoramento por imagem e credenciais de acesso) | Legítimo interesse (art. 7º, IX) | Aviso ostensivo nas instalações; retenção limitada |
| Exercício regular de direitos em processo judicial, administrativo ou arbitral | Exercício regular de direitos (art. 7º, VI) | Inclui a preparação de defesa |
| Gestão do negócio, relatórios estratégicos e desenvolvimento de produtos | Legítimo interesse (art. 7º, IX) | Preferencialmente com dados agregados ou anonimizados |
| Seleção de candidatos (trabalhe conosco) e qualificação de colaboradores e fornecedores (conheça seu colaborador e seu fornecedor) | Procedimentos preliminares a pedido do titular (art. 7º, V), cumprimento de obrigação legal ou regulatória (art. 7º, II) e legítimo interesse (art. 7º, IX) | Inclui a verificação de antecedentes e a diligência de fornecedores |
| Atendimento a contatos e requisições de titulares (fale conosco e Canal LGPD) | Execução de procedimentos a pedido do titular (art. 7º, V) e cumprimento de obrigação legal (art. 7º, II) | Prazos da Seção 9.2 |
Os dispositivos indicados referem-se à Lei nº 13.709/2018.
8. Ciclo de Vida dos Dados
8.1. Coleta e minimização
A coleta limita-se ao mínimo necessário à finalidade declarada.
8.2. Registro das operações de tratamento
A Companhia mantém registro das operações de tratamento de dados pessoais que realiza, contendo, para cada operação, a finalidade, as categorias de titulares e de dados, a base legal, os destinatários e as hipóteses de compartilhamento, os prazos de retenção e as medidas de segurança aplicáveis, bem como as transferências internacionais e o seu fundamento.
8.3. Retenção e eliminação
Os dados pessoais são eliminados após o término do tratamento, ressalvadas as hipóteses de conservação previstas em lei, entre elas o cumprimento de obrigação legal ou regulatória pelo controlador.
Os prazos mínimos de retenção decorrentes da regulamentação de prevenção à lavagem de dinheiro e da regulamentação de ativos virtuais prevalecem sobre pedido de eliminação formulado pelo titular, hipótese em que a Companhia informa o fundamento e o prazo remanescente.
Os prazos mínimos aplicáveis incluem dez anos para os registros de identificação de clientes e de operações, inclusive de transações com ativos virtuais, contados do encerramento da relação ou da conclusão da operação, conforme o art. 67 da Circular BCB nº 3.978/2020, prazo que absorve o mínimo de cinco anos do art. 45, II, da Resolução BCB nº 520/2025.
Os dados tratados para comunicações de marketing são mantidos até a revogação do consentimento ou o pedido de descadastramento. Os dados de candidatos não contratados e os registros de imagem das instalações são mantidos pelo prazo necessário à finalidade e eliminados em seguida. Os demais dados são mantidos durante a relação com o titular e, após o seu término, pelo prazo legal ou prescricional aplicável.
8.4. Dados em sistemas de registro distribuído
O identificador de carteira de ativos virtuais é dado pessoal quando associável, pela Companhia ou por terceiro, a pessoa natural identificada ou identificável. A associação entre identificador e titular é mantida nos sistemas internos da Companhia e submete-se integralmente a esta Política.
O registro de transação em sistema baseado em tecnologia de registros distribuídos não é controlado pela Companhia e, em regra, não é passível de retificação nem de eliminação. Essa limitação é informada ao titular previamente à realização da operação, e o exercício dos direitos de correção e de eliminação alcança os dados mantidos nos sistemas internos da Companhia, não o registro na rede.
A limitação não dispensa a Companhia de minimizar a exposição de dados pessoais em qualquer informação que venha a ser inscrita em rede pública.
8.5. Cookies
O site e os aplicativos da Companhia utilizam cookies essenciais, necessários ao seu funcionamento e à sua segurança, e cookies de análise de uso, tratados de forma agregada ou anonimizada. Os cookies não essenciais podem ser gerenciados pelo titular nas configurações do navegador e, quando disponível, no painel de preferências de cookies do site. A desativação de determinados cookies pode tornar indisponíveis algumas funcionalidades.
9. Direitos dos Titulares
9.1. Direitos assegurados
O titular pode obter da Companhia, mediante requisição, a confirmação da existência de tratamento, o acesso aos dados, a correção de dados incompletos, inexatos ou desatualizados, a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei, a portabilidade, a informação sobre o compartilhamento, a informação sobre a possibilidade de não fornecer consentimento e as suas consequências, a revogação do consentimento e a oposição ao tratamento realizado com dispensa de consentimento, em caso de descumprimento da lei, nos termos do art. 18 da Lei nº 13.709/2018.
O titular pode, ainda, peticionar em relação aos seus dados perante a autoridade nacional, na forma do art. 18, § 1º, da Lei nº 13.709/2018.
9.2. Canal e prazo
As requisições são recebidas pelo Canal LGPD, canal do Encarregado divulgado no site da Companhia e nos aplicativos por ela disponibilizados, pelo endereço de e-mail dpo@trace.finance.
A confirmação da existência de tratamento e o acesso aos dados são providenciados, em formato simplificado, imediatamente, ou, por meio de declaração clara e completa, em até quinze dias contados da requisição, na forma do art. 19 da Lei nº 13.709/2018. As demais requisições são atendidas no mesmo prazo, prorrogável mediante justificativa comunicada ao titular.
9.3. Limites
O atendimento observa os limites decorrentes do dever de sigilo, das obrigações de prevenção à lavagem de dinheiro e ao financiamento do terrorismo e dos prazos mínimos de retenção.
9.4. Decisões automatizadas
O titular pode solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem os seus interesses, inclusive as destinadas a definir o seu perfil, e obter informações claras e adequadas sobre os critérios e os procedimentos utilizados, observados os segredos comercial e industrial, na forma do art. 20 da Lei nº 13.709/2018.
9.5. Publicação
Esta Política é publicada no site e nos aplicativos da Companhia e substitui as políticas de privacidade anteriormente publicadas, que ficam revogadas na data da sua publicação.
10. Transferência Internacional
A transferência internacional de dados pessoais somente é realizada nas hipóteses admitidas pelo art. 33 da Lei nº 13.709/2018 e pela Resolução CD/ANPD nº 19/2024, inclusive mediante cláusulas-padrão contratuais aprovadas pela autoridade nacional.
11. Segurança e Incidentes
As medidas técnicas e administrativas de segurança aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão integram o programa de segurança da informação e de segurança cibernética da Companhia.
O incidente de segurança que possa acarretar risco ou dano relevante aos titulares é comunicado à autoridade nacional e ao titular no prazo de três dias úteis, contados do conhecimento, pela Companhia, de que o incidente afetou dados pessoais, na forma do art. 48 da Lei nº 13.709/2018 e da Resolução CD/ANPD nº 15, de 24 de abril de 2024, com a descrição da natureza dos dados afetados, as informações sobre os titulares envolvidos, as medidas técnicas e de segurança utilizadas, os riscos relacionados, os motivos da demora quando a comunicação não for imediata e as medidas adotadas para reverter ou mitigar os efeitos.
O incidente que envolva dados pessoais é tratado pelo processo de resposta a incidentes da Companhia. A comunicação exigida por esta Seção não afasta as demais comunicações devidas ao Banco Central do Brasil e às autoridades competentes.
A Companhia não responde por dados pessoais a que não tenha acesso ou controle, nem pelo uso de credenciais de acesso decorrente de conduta do titular ou de pessoa por ele autorizada, sem prejuízo das medidas de segurança desta Seção.
12. Compartilhamento
O compartilhamento de dados pessoais com terceiros observa o dever de sigilo quando os dados se refiram a operações de clientes e usuários. O compartilhamento com sociedades do mesmo grupo econômico depende de finalidade e base legal próprias. O fornecimento de informações a autoridades observa fluxo formal, com registro da requisição, do fundamento e da resposta.
Os cenários de compartilhamento identificados são: (a) parceiros que executam os serviços contratados, inclusive instituições situadas no exterior quando o produto contratado envolve conta em outra jurisdição, hipótese em que o fluxo é registrado como transferência internacional na forma da Seção 10 e o titular é informado de que a legislação aplicável no destino pode ser diversa da brasileira; (b) prestadores especializados em serviços administrativos, financeiros, jurídicos, de segurança, de tecnologia e de pesquisa, na condição de operadores (Seção 6.2); (c) auditores independentes; (d) prestadores de serviços de pagamento e instituições bancárias, para liquidação e controle de pagamentos; (e) órgãos reguladores, autoridades e tribunais, mediante requisição fundamentada; e (f) terceiros indicados pelo titular, mediante consentimento.
Os terceiros que recebem dados pessoais obrigam-se contratualmente a tratá-los apenas para a finalidade do compartilhamento, com medidas de segurança compatíveis com as desta Política, e a cooperar no atendimento aos titulares e à autoridade nacional.
13. Avaliação Prévia e Privacidade desde a Concepção
Novos produtos, serviços e sistemas que impliquem tratamento de dados pessoais são avaliados previamente quanto à proteção de dados, com a elaboração de relatório de impacto à proteção de dados pessoais quando exigido.
14. Registros
A Companhia mantém os registros exigidos pela legislação de proteção de dados à disposição da autoridade nacional e do Banco Central do Brasil, conforme a competência de cada um, pelos prazos indicados na Seção 8.3.
15. Revisão
Esta Política é revista anualmente, e de forma extraordinária diante de alteração normativa, de novo produto ou serviço que implique tratamento não previsto, de incidente com dados pessoais, de manifestação da autoridade nacional, ou de apontamento de auditoria ou da supervisão.
16. Normas de Referência
- Lei nº 13.709, de 14 de agosto de 2018.
- Lei Complementar nº 105, de 10 de janeiro de 2001, e Resolução CMN nº 5.280, de 26 de fevereiro de 2026.
- Resolução BCB nº 520, de 10 de novembro de 2025, em especial os arts. 43, XI, 45, II, e 48, parágrafo único, II.
- Lei nº 9.613, de 3 de março de 1998, e Circular BCB nº 3.978, de 23 de janeiro de 2020.
- Lei nº 14.478, de 21 de dezembro de 2022.
- Resolução BCB nº 85, de 8 de abril de 2021, aplicável às sociedades prestadoras de serviços de ativos virtuais pela Resolução BCB nº 552, de 3 de março de 2026.
- Resolução CD/ANPD nº 15, de 24 de abril de 2024 (comunicação de incidente de segurança com dados pessoais).
- Resolução CD/ANPD nº 19, de 23 de agosto de 2024 (transferência internacional de dados).
17. Vigência
Esta Política entra em vigor na data de sua publicação e permanece vigente até a sua revisão ou revogação expressa.