POLÍTICA DE PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS

---

1. DISPOSIÇÕES PRELIMINARES

A presente Política de Privacidade e Proteção de Dados Pessoais (doravante “Política”) estabelece, de maneira abrangente, precisa e corporativamente vinculante, as diretrizes e procedimentos aplicáveis ao tratamento de dados pessoais realizado pela Banerj Digital Serviços Financeiros LTDA (doravante “Banerj Digital” ou “Instituição”), em plena conformidade com a Lei Federal nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD), o Marco Civil da Internet (Lei nº 12.965/2014), as Resoluções CMN nº 4.893/2021 e BCB nº 85/2021, e demais normas aplicáveis ao setor financeiro nacional.

Este documento consolida o compromisso institucional inegociável da Banerj Digital com a proteção da privacidade, integridade e confidencialidade dos dados pessoais de todos os titulares com quem a instituição mantém ou venha a manter relacionamento — sejam clientes, usuários, colaboradores, parceiros ou visitantes de suas plataformas digitais.

A Banerj Digital atua como Controladora dos dados pessoais tratados no âmbito de suas atividades, sendo responsável pelas decisões referentes ao tratamento de dados, observadas as hipóteses em que atua como Operadora em favor de terceiros, situação devidamente identificada em cada contexto. A instituição empenha todos os recursos tecnológicos, organizacionais e jurídicos disponíveis para garantir que o tratamento de dados pessoais ocorra sempre dentro dos limites da legalidade, da necessidade e da transparência.

---

2. OBJETIVO DA POLÍTICA

Esta Política tem por objetivos principais estabelecer as regras e responsabilidades que regem o tratamento de dados pessoais pela Banerj Digital, assegurar a conformidade com a legislação de proteção de dados, e garantir que os direitos dos titulares sejam plenamente respeitados em todas as etapas do relacionamento com a instituição.

São objetivos específicos desta Política:

• Informar os titulares de dados pessoais de forma clara, precisa e acessível sobre quais dados são coletados, para quais finalidades, com quem são compartilhados e por quanto tempo são retidos;
• Estabelecer as bases legais que fundamentam cada operação de tratamento de dados realizada pela Banerj Digital, em estrita observância ao art. 7º e ao art. 11 da LGPD;
• Definir os controles técnicos e organizacionais implementados para proteção dos dados pessoais contra acessos não autorizados, vazamentos, perdas e outras formas de incidentes;
• Detalhar os direitos dos titulares de dados pessoais e os mecanismos disponibilizados pela Banerj Digital para seu exercício efetivo e tempestivo;
• Regulamentar o compartilhamento de dados com terceiros — reguladores, parceiros tecnológicos, birôs de crédito e demais operadores — dentro dos limites da legalidade e da proporcionalidade;
• Estabelecer os prazos de retenção de dados pessoais e os procedimentos de eliminação segura ao término da relação jurídica ou do prazo legal obrigatório;
• Definir as atribuições do Encarregado pelo Tratamento de Dados (DPO) e os canais de comunicação disponíveis para os titulares.

---

3. DEFINIÇÕES E TERMINOLOGIAS PADRONIZADAS

Para fins de interpretação e aplicação desta Política, os termos a seguir têm os significados que lhes são atribuídos pela LGPD e complementados pelas definições operacionais adotadas pela Banerj Digital:

• Dado Pessoal: Qualquer informação relacionada a pessoa natural identificada ou identificável, incluindo, mas não se limitando a, nome, CPF, endereço, número de telefone, dados financeiros e identificadores eletrônicos.
• Dado Pessoal Sensível: Dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
• Titular: Pessoa natural a quem se referem os dados pessoais que são objeto de tratamento pela Banerj Digital.
• Controlador: Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais. No âmbito desta Política, a Banerj Digital exerce o papel de Controladora.
• Operador: Pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do Controlador.
• Encarregado (DPO): Pessoa indicada pelo Controlador e pelo Operador para atuar como canal de comunicação entre o Controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).
• Tratamento: Toda operação realizada com dados pessoais, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração.
• Consentimento: Manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.
• Anonimização: Utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo.
• Pseudonimização: Tratamento por meio do qual um dado perde a possibilidade de associação direta a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo Controlador em ambiente controlado e seguro.
• ANPD: Autoridade Nacional de Proteção de Dados — órgão da administração pública federal responsável por zelar pela proteção dos dados pessoais e por fiscalizar o cumprimento da LGPD no Brasil.
• Incidente de Segurança: Acesso não autorizado ou situação acidental ou ilícita de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito de dados pessoais.
• Legítimo Interesse: Base legal que autoriza o tratamento de dados pessoais quando necessário para atender aos interesses legítimos do Controlador ou de terceiros, desde que não prevaleçam os direitos e liberdades fundamentais do titular.

---

4. PRINCÍPIOS APLICÁVEIS AO TRATAMENTO DE DADOS

O tratamento de dados pessoais realizado pela Banerj Digital observa rigorosamente os princípios estabelecidos no art. 6º da LGPD, que constituem o fundamento ético e jurídico de todas as operações de tratamento conduzidas pela instituição:

• Finalidade: O tratamento de dados é realizado para propósitos legítimos, específicos, explícitos e informados ao titular, sendo vedado o tratamento posterior de forma incompatível com essas finalidades declaradas;
• Adequação: O tratamento é compatível com as finalidades informadas ao titular, conforme o contexto do tratamento e as expectativas razoáveis do titular;
• Necessidade: O tratamento é limitado ao mínimo necessário para a realização de suas finalidades, abrangendo dados pertinentes, proporcionais e não excessivos em relação às finalidades declaradas;
• Livre Acesso: É garantida aos titulares consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
• Qualidade dos Dados: É assegurada a exatidão, clareza, relevância e atualização dos dados, adequados à finalidade e necessidade do tratamento;
• Transparência: São disponibilizadas aos titulares informações claras, precisas e facilmente acessíveis sobre o tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
• Segurança: São adotadas medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
• Prevenção: São adotadas medidas preventivas para evitar a ocorrência de danos em virtude do tratamento de dados pessoais;
• Não Discriminação: O tratamento de dados não é realizado para fins discriminatórios ilícitos ou abusivos;
• Responsabilização e Prestação de Contas: A Banerj Digital demonstra a adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais.

---

5. GOVERNANÇA E CULTURA DE PRIVACY BY DESIGN

A Banerj Digital adota o princípio de Privacy by Design como diretriz central de sua governança de dados, integrando a proteção da privacidade desde a concepção de qualquer novo produto, sistema, processo ou serviço que envolva o tratamento de dados pessoais, e não como requisito adicionado posteriormente.

5.1 Estrutura de Governança de Privacidade

• Comitê de Privacidade e Proteção de Dados: Órgão colegiado com representantes das áreas de Compliance, Jurídico, TI, Segurança da Informação, Riscos e Negócios, responsável pela supervisão estratégica do programa de privacidade e pela aprovação de novas operações de tratamento de alto risco;
• Encarregado pelo Tratamento de Dados (DPO): Profissional designado formalmente, com autonomia funcional e acesso direto à alta administração, responsável pela interface com a ANPD, com os titulares e pela supervisão do cumprimento da LGPD;
• Equipe de Privacidade: Analistas e especialistas de privacidade distribuídos nas áreas de negócio, responsáveis pela implementação operacional dos controles e pela realização de Avaliações de Impacto à Proteção de Dados (RIPD/DPIA).

5.2 Instrumentos de Governança

• Registro de Operações de Tratamento (ROT) atualizado e abrangente, mapeando todas as atividades de tratamento, bases legais, categorias de dados e fluxos de informação;
• Avaliação de Impacto à Proteção de Dados (RIPD) obrigatória para novos projetos que envolvam tratamento de dados sensíveis, em larga escala ou com tecnologias de monitoramento sistemático;
• Privacy by Default: as configurações padrão de todos os sistemas e produtos da Banerj Digital são sempre as mais protetoras da privacidade, cabendo ao titular optar por compartilhamentos adicionais;
• Revisão periódica dos contratos com operadores e parceiros para inclusão de cláusulas de proteção de dados conforme as exigências da LGPD.

---

6. ESCOPO DE ABRANGÊNCIA E APLICABILIDADE

Esta Política aplica-se a todas as atividades de tratamento de dados pessoais realizadas pela Banerj Digital, independentemente do canal, plataforma, sistema ou meio utilizado para coleta ou processamento das informações.

6.1 Titulares Abrangidos

• Clientes pessoas físicas: Titulares de contas correntes, contas de pagamento, produtos de crédito, investimentos e demais serviços contratados junto à Banerj Digital;
• Usuários não correntistas: Indivíduos que acessam os canais digitais da instituição para consulta, simulação ou contratação de produtos, mesmo sem vínculo contratual formalizado;
• Colaboradores e candidatos: Funcionários, estagiários e pessoas em processo seletivo cujos dados são tratados no âmbito da relação trabalhista ou pré-contratual;
• Parceiros e fornecedores pessoas físicas: Representantes, prepostos e contatos nominados de empresas parceiras e fornecedoras;
• Visitantes de plataformas digitais: Qualquer pessoa que acesse o site institucional, aplicativo móvel ou demais interfaces digitais da Banerj Digital, ainda que sem cadastro ou contratação.

6.2 Plataformas e Sistemas Abrangidos

Esta Política abrange o tratamento de dados pessoais realizado por todos os sistemas, aplicativos, portais, APIs, centrais de atendimento, agências, correspondentes bancários e quaisquer outros canais — físicos ou digitais — por meio dos quais a Banerj Digital coleta, processa ou compartilha dados pessoais.

---

7. CATEGORIAS DE DADOS PESSOAIS COLETADOS

A Banerj Digital coleta e trata diferentes categorias de dados pessoais em função das atividades e serviços prestados, sempre observando os princípios da necessidade e adequação. As categorias de dados tratados pela instituição são:

• Dados de Identificação e Cadastro: Informações que identificam o titular de forma direta — nome completo, CPF, RG, data de nascimento, naturalidade, filiação, estado civil e documentos oficiais;
• Dados de Contato: Endereço residencial ou comercial, número de telefone fixo e celular, endereço de e-mail e demais informações para comunicação com o titular;
• Dados Financeiros e Patrimoniais: Informações sobre renda, patrimônio, movimentações financeiras, histórico de crédito e demais dados relacionados à situação econômica do titular;
• Dados Biométricos: Reconhecimento facial, impressões digitais e outras características físicas utilizadas para autenticação e prevenção a fraudes;
• Dados de Dispositivos e Navegação: Informações sobre dispositivos utilizados para acesso, endereços IP, dados de geolocalização, identificadores de sessão e padrões de navegação;
• Dados de Transações: Histórico de operações financeiras, pagamentos realizados, transferências, compras e demais movimentações registradas nos sistemas da instituição;
• Dados Comportamentais: Padrões de uso dos canais digitais, preferências de produtos e serviços, interações com campanhas e comunicações da instituição.

---

8. COLETA DE ATRIBUTOS CADASTRAIS E BIOGRÁFICOS

A coleta de dados cadastrais e biográficos é necessária para identificar o titular com precisão, cumprir obrigações regulatórias de Know Your Customer (KYC), prevenir fraudes e habilitar a prestação dos serviços financeiros contratados.

8.1 Dados Cadastrais Coletados

• Nome civil completo e, quando aplicável, nome social;
• Número do Cadastro de Pessoas Físicas (CPF) — obrigatório para abertura de conta e operações financeiras;
• Documento de identidade (RG, CNH, passaporte ou equivalente), número, órgão emissor e data de emissão;
• Data de nascimento, sexo, naturalidade, nacionalidade e estado civil;
• Filiação (nome completo dos pais) para fins de identificação segura;
• Endereço residencial completo: logradouro, número, complemento, bairro, cidade, estado e CEP;
• Endereço comercial ou profissional, quando aplicável e relevante para o produto contratado;
• Profissão, cargo, empresa empregadora e renda mensal declarada para fins de análise de crédito e prevenção a lavagem de dinheiro (PLD/FTP);
• Pessoa Politicamente Exposta (PEP): informação sobre eventual enquadramento do titular ou de seus relacionados como PEP, conforme exigência regulatória.

8.2 Atualização Cadastral

O titular é responsável por manter seus dados cadastrais atualizados junto à Banerj Digital. A instituição poderá solicitar periodicamente a confirmação e atualização das informações cadastrais para garantia da qualidade dos dados e cumprimento das obrigações regulatórias de Due Diligence Contínua.

---

9. COLETA DE INFORMAÇÕES FINANCEIRAS E PATRIMONIAIS

O tratamento de dados financeiros e patrimoniais é inerente à natureza das atividades da Banerj Digital enquanto instituição financeira, sendo necessário para a prestação dos serviços contratados, para a análise de risco de crédito, para a conformidade com as regulamentações do BACEN e para a prevenção a crimes financeiros.

9.1 Informações Financeiras Coletadas

• Renda mensal bruta e líquida declarada pelo titular no momento do cadastro ou contratação de produtos de crédito;
• Comprovantes de renda e extratos bancários quando exigidos para análise de crédito ou conformidade regulatória;
• Histórico completo de transações financeiras realizadas por meio dos sistemas e produtos da Banerj Digital — transferências, pagamentos, resgates, aplicações e saques;
• Saldo de contas, investimentos e demais produtos financeiros mantidos pelo titular junto à instituição;
• Informações sobre dívidas, financiamentos, empréstimos e limites de crédito contratados;
• Dados sobre bens patrimoniais declarados — imóveis, veículos, participações societárias — quando exigidos para análise de crédito ou conformidade com PLD;
• Informações de contas em outras instituições financeiras quando fornecidas pelo titular em processos de portabilidade ou análise de crédito.

9.2 Finalidade do Tratamento de Dados Financeiros

Os dados financeiros e patrimoniais são utilizados exclusivamente para: análise e concessão de crédito, prevenção a fraudes e lavagem de dinheiro, cumprimento das obrigações regulatórias do BACEN (incluindo a Resolução CVM e normas de PLD/FTP), personalização de ofertas de produtos e serviços adequados ao perfil do titular, e gestão de risco da carteira da instituição.

---

10. COLETA DE DADOS DE DISPOSITIVOS E IDENTIFICADORES LÓGICOS

A Banerj Digital coleta automaticamente informações técnicas sobre os dispositivos e meios de acesso utilizados pelos titulares para interagir com suas plataformas digitais. Essa coleta é necessária para garantir a segurança das transações, autenticar o titular com precisão, detectar acessos fraudulentos e melhorar a experiência do usuário.

10.1 Dados de Dispositivos Coletados

• Identificador único do dispositivo (Device ID), número de série e IMEI em dispositivos móveis;
• Sistema operacional, versão e idioma configurado no dispositivo;
• Modelo e fabricante do dispositivo, resolução de tela e capacidade de armazenamento;
• Versão do aplicativo instalado e data da última atualização;
• Operadora de telefonia móvel e tipo de conexão de rede (Wi-Fi, 4G, 5G);
• Endereço MAC do adaptador de rede, quando tecnicamente acessível e autorizado;
• Dados de geolocalização aproximada ou precisa, conforme autorização concedida pelo titular nas configurações do dispositivo.

10.2 Finalidade da Coleta de Dados de Dispositivos

Os dados de dispositivos e identificadores lógicos são utilizados para: autenticação segura e prevenção a fraudes (detecção de dispositivos não reconhecidos), análise de comportamento para identificação de acessos anômalos, cumprimento das obrigações de registro estabelecidas pelo Marco Civil da Internet e personalização da experiência do usuário nas plataformas digitais.

---

11. COLETA DE REGISTROS DE ACESSO, IPs E LOGS DE SISTEMA

Em cumprimento ao Marco Civil da Internet (Lei nº 12.965/2014) e às determinações do Banco Central do Brasil, a Banerj Digital realiza o registro sistemático e obrigatório de todos os eventos de acesso às suas plataformas digitais, mantendo logs detalhados pelo prazo legalmente exigido.

11.1 Dados de Acesso e Logs Registrados

• Endereço IP de origem de cada acesso, incluindo IPv4 e IPv6;
• Data e hora exatas de cada acesso, autenticação, transação e encerramento de sessão, com fuso horário registrado (UTC-3 — Horário de Brasília);
• Identificador único da sessão e token de autenticação (armazenado em formato hash, nunca em texto claro);
• Ações realizadas pelo usuário durante cada sessão: consultas, operações financeiras, alterações cadastrais e demais interações com o sistema;
• Tentativas de login malsucedidas, incluindo origem, horário e número de tentativas consecutivas;
• Dispositivo, sistema operacional e navegador utilizados no acesso, coletados pelo user-agent;
• Logs de erros, exceções e eventos de segurança gerados pelos sistemas durante as sessões do titular.

11.2 Retenção de Logs

Os registros de acesso são armazenados pelo prazo mínimo de 6 meses, conforme o Marco Civil da Internet, e de 5 anos para registros de operações financeiras, conforme determinação do BACEN. Os logs são protegidos contra alteração por mecanismos de imutabilidade e são disponibilizados exclusivamente mediante ordem judicial ou solicitação de autoridade competente.

---

12. COLETA E TRATAMENTO DE DADOS BIOMÉTRICOS FORENSES

A Banerj Digital utiliza tecnologias de autenticação biométrica para verificação de identidade e prevenção a fraudes, tratando esses dados como dados pessoais sensíveis e aplicando controles de proteção mais rigorosos em todas as etapas do tratamento, conforme exigido pelo art. 11 da LGPD.

12.1 Tipos de Dados Biométricos Tratados

• Reconhecimento Facial: Análise da geometria facial por meio de selfie capturada durante o processo de abertura de conta digital (onboarding) e em operações de alto risco, como alteração de senha e transações de alto valor;
• Prova de Vida (Liveness Detection): Verificação dinâmica e em tempo real de que a imagem capturada pertence a uma pessoa real e presente, prevenindo o uso de fotos estáticas ou deepfakes;
• Impressão Digital: Autenticação por biometria digital no aplicativo móvel, conforme suporte do dispositivo do titular e autorização expressa;
• Voz: Eventualmente utilizada em centrais de atendimento para verificação de identidade, com consentimento explícito do titular.

12.2 Controles Especiais para Dados Biométricos

• Dados biométricos são armazenados exclusivamente em formato de vetor matemático (template biométrico), nunca como imagem original ou vídeo bruto, após o processamento inicial;
• O armazenamento é realizado em ambiente segregado, com criptografia AES-256, acesso restrito e auditado;
• A base legal para tratamento de dados biométricos é o consentimento específico e destacado do titular, obtido de forma granular e separada das demais autorizações;
• O titular pode revogar o consentimento para uso de biometria a qualquer momento, com a adoção de método alternativo de autenticação.

---

13. TRATAMENTO DE DADOS PESSOAIS SENSÍVEIS E RESTRIÇÕES LÓGICAS

O tratamento de dados pessoais sensíveis pela Banerj Digital ocorre de forma excepcional, restrita e fundamentada em bases legais específicas, observando os requisitos mais exigentes estabelecidos pelo art. 11 da LGPD e aplicando controles técnicos e organizacionais reforçados.

13.1 Dados Sensíveis Eventualmente Tratados

• Dados de Saúde: Eventualmente tratados no contexto de seguros de vida ou previdência privada, exclusivamente com base no consentimento específico do titular ou para execução de contrato de seguro;
• Dados Biométricos: Conforme detalhado na Seção 12, tratados para autenticação segura e prevenção a fraudes;
• Origem Racial ou Étnica: Não coletados pela Banerj Digital de forma direta. Em hipóteses excepcionais de obrigação legal — como relatórios de diversidade exigidos por reguladores — o tratamento ocorre de forma agregada e anonimizada;
• Convicção Religiosa ou Política: Não coletados pela Banerj Digital em nenhuma circunstância.

13.2 Restrições Aplicáveis

• Dados sensíveis são tratados exclusivamente pelas equipes com necessidade estrita de acesso, com controle granular de permissões;
• O acesso a dados sensíveis exige autenticação reforçada (MFA) e gera registro de auditoria completo e imutável;
• É vedado o uso de dados sensíveis para fins de perfilamento, pontuação de crédito, segmentação de marketing ou qualquer finalidade distinta da que motivou sua coleta original;
• Avaliação de Impacto à Proteção de Dados (RIPD) é obrigatória antes de qualquer nova operação de tratamento envolvendo dados sensíveis.

---

14. DADOS DE MENORES, CRIANÇAS E ADOLESCENTES

A Banerj Digital adota postura de proteção reforçada em relação a dados pessoais de crianças (até 12 anos incompletos) e adolescentes (entre 12 e 18 anos incompletos), reconhecendo a vulnerabilidade específica desses titulares e as exigências mais rígidas da LGPD para esse contexto.

14.1 Política de Tratamento de Dados de Menores

• Os serviços e plataformas digitais da Banerj Digital voltados ao público em geral não são destinados a crianças menores de 12 anos, e a instituição não coleta intencionalmente dados de crianças;
• Para adolescentes entre 12 e 18 anos, o tratamento de dados pessoais exige o consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal, conforme art. 14 da LGPD;
• Produtos financeiros específicos para menores — como contas-poupança infantis ou custódia de investimentos — são acompanhados de processo de abertura que exige a participação e assinatura do representante legal;
• Caso a Banerj Digital identifique que coletou inadvertidamente dados de criança sem o devido consentimento parental, os dados serão eliminados imediatamente.

14.2 Melhores Interesses do Menor

Todo e qualquer tratamento de dados de menores é realizado tendo como parâmetro primário o melhor interesse da criança ou do adolescente, observando o princípio da proteção integral consagrado no Estatuto da Criança e do Adolescente (ECA — Lei nº 8.069/1990) e na LGPD.

---

15. FINALIDADES LEGÍTIMAS DO PROCESSAMENTO DE DADOS

A Banerj Digital trata dados pessoais para finalidades específicas, explícitas e legítimas, informadas ao titular no momento da coleta ou antes do início de qualquer nova operação de tratamento. As principais finalidades são:

• Abertura e manutenção de conta: Identificação do titular, verificação de identidade (KYC), criação de cadastro e gestão do relacionamento durante toda a vida do produto;
• Prestação de serviços financeiros: Execução de pagamentos, transferências, Pix, TED, DOC, débitos automáticos, concessão de crédito e demais operações contratadas;
• Prevenção a fraudes e lavagem de dinheiro: Análise comportamental, detecção de padrões suspeitos, monitoramento de transações e cumprimento das obrigações de PLD/FTP;
• Conformidade regulatória: Atendimento às exigências do BACEN, CVM, COAF, Receita Federal e demais órgãos reguladores do sistema financeiro;
• Comunicação com o titular: Envio de extratos, notificações de transações, alertas de segurança e comunicações de relacionamento pelos canais autorizados pelo titular;
• Personalização e melhoria de produtos: Análise de uso dos canais digitais para aprimoramento da experiência e oferta de produtos adequados ao perfil do titular;
• Cobrança e recuperação de crédito: Gestão de débitos em atraso, negociação de dívidas e acionamento de mecanismos de recuperação creditícia;
• Cumprimento de ordens judiciais: Fornecimento de informações quando determinado por autoridade judicial ou administrativa competente.

---

16. MECANISMOS DE COLETA PASSIVA E ATIVA DE INFORMAÇÕES

A Banerj Digital coleta dados pessoais por meio de diferentes mecanismos, que podem ser classificados como ativos — quando o titular fornece diretamente as informações — ou passivos — quando os dados são coletados automaticamente durante a interação com as plataformas.

16.1 Coleta Ativa

• Formulários de cadastro e contratação preenchidos pelo titular nas plataformas digitais ou em agências físicas;
• Documentos enviados pelo titular para fins de verificação de identidade, comprovação de renda ou análise de crédito;
• Informações fornecidas pelo titular em atendimentos por telefone, chat, e-mail ou presencialmente;
• Dados fornecidos em pesquisas de satisfação, formulários de ouvidoria e solicitações de exercício de direitos;
• Informações compartilhadas pelo titular por meio de integrações com outros serviços (Open Finance, portabilidade de dados).

16.2 Coleta Passiva

• Dados de acesso e navegação registrados automaticamente pelos sistemas conforme descrito nas Seções 10 e 11;
• Cookies, web beacons, pixels de rastreamento e tecnologias similares conforme descrito na Seção 35;
• Geolocalização do dispositivo, quando autorizada pelo titular nas configurações do sistema operacional;
• Dados de comportamento de uso do aplicativo — telas acessadas, tempo de permanência, fluxos de navegação — para fins de análise de usabilidade e detecção de anomalias;
• Informações recebidas de terceiros — birôs de crédito, parceiros financeiros e registros públicos — quando relevantes para as finalidades declaradas.

---

17. BASES LEGAIS E HIPÓTESES AUTORIZATIVAS DE TRATAMENTO

Todo tratamento de dados pessoais realizado pela Banerj Digital é fundamentado em ao menos uma das bases legais previstas no art. 7º da LGPD (para dados comuns) ou no art. 11 da LGPD (para dados sensíveis). A Banerj Digital identifica e documenta a base legal aplicável a cada operação de tratamento em seu Registro de Operações de Tratamento (ROT), assegurando transparência e responsabilização.

As principais bases legais utilizadas pela Banerj Digital são:

• Cumprimento de Obrigação Legal ou Regulatória (art. 7º, II): tratamentos exigidos pelo BACEN, Receita Federal, COAF, CVM e demais órgãos reguladores;
• Execução de Contrato (art. 7º, V): tratamentos necessários à prestação dos serviços financeiros contratados pelo titular;
• Legítimo Interesse do Controlador (art. 7º, IX): tratamentos para prevenção a fraudes, segurança da informação e melhoria de serviços, observados os limites da LGPD;
• Proteção do Crédito (art. 7º, X): compartilhamento de dados com sistemas de proteção ao crédito nos limites da legislação;
• Consentimento (art. 7º, I): tratamentos que não se enquadram nas demais bases legais, como comunicações de marketing e uso de biometria opcional;
• Exercício Regular de Direitos (art. 7º, VI): tratamentos para defesa em processos judiciais, administrativos ou arbitrais.

---

18. DO ENQUADRAMENTO EM CUMPRIMENTO DE OBRIGAÇÃO LEGAL

A Banerj Digital, na qualidade de instituição financeira autorizada e supervisionada pelo Banco Central do Brasil, está sujeita a extenso conjunto de obrigações legais e regulatórias que exigem o tratamento de dados pessoais independentemente da vontade do titular. O cumprimento dessas obrigações é condição indispensável para o funcionamento legal da instituição.

18.1 Principais Obrigações Legais que Fundamentam o Tratamento

• Regulamentação PLD/FTP: Lei nº 9.613/1998 e Resolução BCB nº 44/2021 — exigem identificação, cadastro e monitoramento contínuo de clientes para prevenção à lavagem de dinheiro e ao financiamento ao terrorismo;
• Know Your Customer (KYC): Resolução CMN nº 4.753/2019 — determina a coleta, verificação e atualização de dados cadastrais dos clientes para gestão de risco;
• Sigilo Bancário e Comunicações ao COAF: Lei Complementar nº 105/2001 — obriga a comunicação de operações suspeitas ao Conselho de Controle de Atividades Financeiras;
• Obrigações Fiscais: Legislação tributária federal — exige a retenção e o envio de informações financeiras à Receita Federal do Brasil (e-Financeira, Dirf, entre outros);
• Registro de Operações Financeiras: Normas do BACEN que exigem o registro detalhado e a retenção por prazos mínimos de todas as operações financeiras realizadas.

Para os tratamentos fundamentados no cumprimento de obrigação legal ou regulatória, o consentimento do titular não é necessário e sua revogação não afeta a legalidade do tratamento, conforme art. 7º, §4º da LGPD.

---

19. DA APLICAÇÃO DA BASE LEGAL DE EXECUÇÃO DE CONTRATOS

A base legal de execução de contrato ou de procedimentos preliminares relacionados a contrato (art. 7º, V, da LGPD) fundamenta os tratamentos de dados pessoais que são estritamente necessários para a prestação dos serviços financeiros contratados pelo titular junto à Banerj Digital.

19.1 Tratamentos Fundamentados na Execução Contratual

• Coleta e verificação de dados cadastrais para abertura de conta corrente, conta de pagamento ou conta de investimento;
• Processamento de transações financeiras — Pix, TED, DOC, pagamentos de boletos, débitos automáticos e transferências — que só podem ser executadas com identificação precisa do titular;
• Análise de crédito e processamento de propostas de empréstimos, financiamentos e cartões de crédito solicitados pelo titular;
• Gestão de garantias, avais e outros instrumentos de mitigação de risco inerentes aos contratos de crédito;
• Envio de extratos, comprovantes de transações e notificações contratuais obrigatórias;
• Atendimento de solicitações do titular relacionadas ao cumprimento dos serviços contratados, como contestação de transações e solicitação de segunda via de documentos.

O tratamento de dados pessoais com fundamento na execução contratual está limitado aos dados estritamente necessários para a prestação do serviço específico, sendo vedado o uso desses dados para finalidades incompatíveis com o contrato.

---

20. DA JUSTIFICATIVA POR LEGÍTIMO INTERESSE DO CONTROLADOR

A Banerj Digital utiliza a base legal do legítimo interesse (art. 7º, IX, da LGPD) de forma criteriosa e documentada, realizando, para cada operação de tratamento enquadrada nessa base, um teste de balanceamento (Legitimate Interest Assessment — LIA) que avalia se os interesses da instituição prevalecem sobre os direitos e expectativas razoáveis do titular.

20.1 Tratamentos Baseados em Legítimo Interesse

• Prevenção a Fraudes: Análise de padrões comportamentais e transacionais para identificação de atividades suspeitas, protegendo tanto a instituição quanto o próprio titular contra fraudes;
• Segurança da Informação: Monitoramento de acessos, detecção de anomalias e resposta a incidentes de segurança que protegem os dados e recursos financeiros do titular;
• Melhoria de Serviços: Análise agregada e anonimizada do uso das plataformas para aprimoramento da experiência, usabilidade e eficiência dos sistemas;
• Gestão de Riscos Operacionais: Monitoramento de indicadores de risco da carteira de clientes para gestão prudencial da instituição;
• Comunicações de Relacionamento: Envio de informações sobre alterações em produtos, serviços ou condições contratuais relevantes para o titular.

O titular tem o direito de se opor a tratamentos baseados em legítimo interesse, mediante solicitação ao DPO, cabendo à Banerj Digital demonstrar que existem motivos legítimos e prevalecentes que justifiquem a continuidade do tratamento, ou cessar o tratamento quando a oposição for procedente.

---

21. DA UTILIZAÇÃO PARA A PROTEÇÃO DO CRÉDITO E REDUÇÃO DE RISCOS

A base legal de proteção ao crédito (art. 7º, X, da LGPD) autoriza a Banerj Digital a tratar e compartilhar dados pessoais de inadimplentes com sistemas de proteção ao crédito, birôs e serviços de análise de risco, nos estritos termos da Lei nº 12.414/2011 (Lei do Cadastro Positivo) e demais legislações aplicáveis.

21.1 Tratamentos para Proteção ao Crédito

• Consulta a bancos de dados de crédito (Serasa, SPC, Quod, Boa Vista) para análise do histórico e do score de crédito do titular antes da concessão de produtos de crédito;
• Registro de inadimplências no Cadastro de Devedores, com notificação prévia ao titular, observando os direitos e prazos estabelecidos pelo Código de Defesa do Consumidor;
• Participação no Cadastro Positivo com o compartilhamento de informações de adimplemento do titular, para fins de melhoria de score e acesso a melhores condições de crédito;
• Consulta ao Sistema de Informações de Crédito do Banco Central (SCR) para análise do comprometimento de renda e endividamento total do titular no sistema financeiro nacional.

O titular tem o direito de contestar informações incorretas em cadastros de proteção ao crédito, conforme procedimentos estabelecidos pela Seção 33 desta Política e pela legislação consumerista aplicável.

---

22. DO EXERCÍCIO REGULAR DE DIREITOS EM AMBIENTES JUDICIAIS

A base legal do exercício regular de direitos (art. 7º, VI, da LGPD) autoriza a Banerj Digital a tratar dados pessoais quando necessário para a constituição, o exercício ou a defesa de direitos em processos judiciais, administrativos ou arbitrais, preservando a documentação pertinente pelo tempo necessário à conclusão do processo.

22.1 Situações de Aplicação

• Preservação e fornecimento de registros de transações, contratos e comunicações em resposta a ordens judiciais, inquéritos policiais ou investigações de autoridades competentes;
• Utilização de dados históricos para defesa da Banerj Digital em ações judiciais de clientes, reclamações em órgãos de defesa do consumidor (PROCON, BACEN) e processos arbitrais;
• Manutenção de documentação contratual e transacional pelo prazo de prescrição aplicável — geralmente 5 anos para ações pessoais ou 10 anos para ações de enriquecimento ilícito — mesmo após o encerramento da relação contratual;
• Atendimento de requisições formais de autoridades regulatórias (BACEN, CVM, CADE, Ministério Público, Polícia Federal) com respaldo em decisão ou determinação oficial.

---

23. COMPARTILHAMENTO DE INFORMAÇÕES COM ÓRGÃOS REGULADORES E BACEN

A Banerj Digital compartilha dados pessoais com órgãos reguladores e de supervisão do sistema financeiro em cumprimento a obrigações legais e regulatórias expressas, sem necessidade de consentimento do titular, nos termos do art. 7º, II da LGPD.

23.1 Principais Destinatários Regulatórios

• Banco Central do Brasil (BACEN): Dados cadastrais, informações de crédito (SCR), relatórios de operações suspeitas (PLD), dados sobre incidentes de segurança cibernética e demais informações exigidas pelas Resoluções CMN e BCB;
• Receita Federal do Brasil: Dados financeiros para cumprimento de obrigações acessórias (e-Financeira, Declaração de Operações Imobiliárias, retenção de tributos);
• COAF (Conselho de Controle de Atividades Financeiras): Comunicação automática de operações em espécie acima dos limiares legais e de operações suspeitas de lavagem de dinheiro;
• Autoridade Nacional de Proteção de Dados (ANPD): Notificação de incidentes de segurança e fornecimento de informações em fiscalizações e processos administrativos;
• Poder Judiciário e Ministério Público: Informações fornecidas em cumprimento a ordens judiciais, mandados de busca e apreensão e requisições formais fundamentadas em lei.

Todos os compartilhamentos com órgãos reguladores são registrados no sistema de gestão de dados da Banerj Digital, com identificação da autoridade solicitante, do fundamento legal, da data e do escopo das informações compartilhadas.

---

24. COMPARTILHAMENTO DE DADOS COM PROVEDORES DE TECNOLOGIA E NUVEM

Para a operação de suas plataformas digitais e sistemas tecnológicos, a Banerj Digital utiliza serviços de provedores de tecnologia que atuam como Operadores em nome da instituição, processando dados pessoais exclusivamente conforme as instruções documentadas da Banerj Digital.

24.1 Categorias de Provedores Tecnológicos

• Provedores de infraestrutura em nuvem (IaaS/PaaS) para hospedagem de sistemas, bancos de dados e serviços de computação;
• Plataformas de autenticação biométrica e verificação de identidade (onboarding digital);
• Provedores de serviços de comunicação — e-mail transacional, SMS, notificações push — para envio de alertas e extratos aos titulares;
• Plataformas de análise de dados e inteligência artificial para prevenção a fraudes e análise de risco;
• Provedores de processamento de pagamentos e liquidação financeira;
• Empresas de auditoria externa, consultorias e assessores jurídicos com acesso a dados no contexto de suas atividades.

24.2 Controles sobre Operadores

• Todos os contratos com operadores incluem Acordo de Processamento de Dados (DPA) com cláusulas específicas de proteção à privacidade, obrigação de manutenção de medidas de segurança adequadas e vedação de subcontratação sem aprovação prévia;
• A Banerj Digital realiza due diligence de privacidade e segurança antes da contratação de novos operadores e revisa anualmente os existentes;
• Operadores não são autorizados a utilizar os dados pessoais para quaisquer finalidades próprias, sendo seu uso restrito ao escopo do serviço contratado.

---

25. COMPARTILHAMENTO DE DADOS COM BIRÔS DE CRÉDITO E FRAUDE

A Banerj Digital mantém relacionamento com birôs de crédito e plataformas de prevenção a fraudes para gestão responsável do risco de crédito e proteção dos ativos financeiros dos clientes e da instituição, observando estritamente os limites da legislação aplicável.

25.1 Compartilhamentos com Birôs de Crédito

• Serasa Experian, SPC Brasil, Quod e Boa Vista SCPC: Consulta ao score de crédito e histórico de adimplemento para análise pré-concessão de crédito; registro de inadimplências confirmadas com notificação prévia ao titular;
• Sistema SCR do BACEN: Envio mensal de informações sobre operações de crédito ativas, conforme Resolução BCB nº 64/2021, para composição do histórico de crédito centralizado do sistema financeiro;
• Cadastro Positivo: Compartilhamento de dados de adimplemento para composição do score positivo do titular, com direito de exclusão a qualquer momento.

25.2 Compartilhamentos com Plataformas Antifraude

• Plataformas especializadas em detecção de fraude de identidade, como ClearSale, Konduto e equivalentes, recebem dados de transações e comportamento para análise de risco em tempo real;
• Participação em redes setoriais de compartilhamento de indicadores de fraude com outras instituições financeiras, no âmbito de iniciativas da FEBRABAN e do BACEN, com dados anonimizados ou pseudonimizados;
• Todos os compartilhamentos com plataformas antifraude são realizados por meio de APIs seguras com criptografia em trânsito e contratos de confidencialidade.

---

26. TRANSFERÊNCIA INTERNACIONAL DE DADOS E DIRETRIZES DE REDUNDÂNCIA

A Banerj Digital pode realizar transferências internacionais de dados pessoais em situações específicas relacionadas à utilização de provedores de tecnologia globais ou ao processamento de transações internacionais, sempre observando os requisitos estabelecidos pelo Capítulo V da LGPD e pelas resoluções da ANPD.

26.1 Hipóteses de Transferência Internacional

• Utilização de infraestrutura de nuvem de provedores com data centers localizados fora do Brasil, com replicação de dados para fins de redundância e continuidade de negócios;
• Processamento de transações internacionais (compras no exterior com cartão, remessas internacionais) que exijam comunicação com redes de pagamento globais (Visa, Mastercard, SWIFT);
• Utilização de plataformas globais de prevenção a fraudes que processam dados em servidores internacionais.

26.2 Garantias para Transferências Internacionais

• As transferências internacionais de dados são realizadas exclusivamente para países com nível adequado de proteção de dados reconhecido pela ANPD, ou mediante a adoção de Cláusulas Contratuais Padrão (Standard Contractual Clauses) aprovadas pela ANPD;
• Todos os contratos com provedores internacionais incluem obrigações equivalentes às exigidas pela LGPD para o tratamento de dados de titulares brasileiros;
• A Banerj Digital prioriza, sempre que tecnicamente viável e economicamente razoável, o armazenamento de dados pessoais de clientes em servidores localizados no território nacional.

---

27. PRAZOS DE ARMAZENAMENTO, RETENÇÃO REGULATÓRIA E ARQUIVAMENTO

A Banerj Digital retém os dados pessoais dos titulares pelo tempo necessário para cumprir as finalidades para as quais foram coletados e as obrigações legais e regulatórias aplicáveis, eliminando-os de forma segura ao término do prazo pertinente.

27.1 Prazos de Retenção por Categoria

• Dados cadastrais e documentos de identificação: Durante toda a vigência da relação contratual e por 10 anos após seu encerramento, conforme exigência do BACEN e prazo prescricional para ações de enriquecimento ilícito;
• Registros de transações financeiras: 5 anos a partir da data da operação, nos termos da Resolução BACEN e da legislação de PLD;
• Dados de crédito e análise de risco: 5 anos após o encerramento do contrato de crédito ou quitação da dívida;
• Registros de acesso e logs do Marco Civil: 6 meses mínimos, podendo ser estendidos por até 1 ano em caso de solicitação judicial;
• Dados de comunicação e marketing: Enquanto vigente o consentimento e até 2 anos após sua revogação para fins de comprovação de conformidade;
• Dados biométricos: Pelo período de vigência do produto que motivou sua coleta, sendo eliminados imediatamente após o encerramento da relação ou revogação do consentimento;
• Dados de menores: Revisados e eliminados assim que a finalidade que os justificou for alcançada, sem qualquer retenção além do estritamente necessário.

---

28. PROCESSOS DE ELIMINAÇÃO, EXPURGAMENTO E ANONIMIZAÇÃO DE DADOS

Ao término dos prazos de retenção ou mediante solicitação legítima do titular, a Banerj Digital procede à eliminação segura dos dados pessoais, ou à sua anonimização quando a eliminação imediata não for tecnicamente viável sem comprometimento da integridade dos sistemas.

28.1 Métodos de Eliminação Segura

• Eliminação lógica segura: Exclusão definitiva dos registros dos bancos de dados de produção, com sobrescrita dos blocos de armazenamento quando tecnicamente possível;
• Anonimização: Aplicação de técnicas como generalização, supressão, adição de ruído e agregação, de modo que os dados não possam ser associados, direta ou indiretamente, ao titular, mesmo por meio de cruzamento com outras bases;
• Pseudonimização com eliminação da chave: Eliminação irreversível da tabela de correspondência que permite a reidentificação, tornando os dados funcionalmente equivalentes a dados anônimos;
• Destruição física de mídias: Para mídias físicas com dados sensíveis que não possam ser sobrescritas por limitações técnicas, mediante processo certificado de destruição com emissão de laudo.

28.2 Retenção Pós-Eliminação para Fins de Auditoria

Após a eliminação dos dados pessoais, a Banerj Digital mantém registros de auditoria (logs de eliminação) que confirmam que a eliminação foi realizada, sem conter os dados eliminados em si. Esses registros são mantidos pelo prazo necessário à demonstração de conformidade com a LGPD em eventuais fiscalizações da ANPD.

---

29. ESTRUTURA DE SEGURANÇA DA INFORMAÇÃO E BLINDAGEM PERIMETRAL

A Banerj Digital implementa um programa abrangente de segurança da informação, fundamentado em múltiplas camadas de controle técnico e organizacional, para proteger os dados pessoais dos titulares contra acessos não autorizados, incidentes de segurança e demais ameaças cibernéticas.

29.1 Controles Técnicos de Segurança

• Firewalls de próxima geração (NGFW) com inspeção profunda de pacotes em todos os perímetros de rede, segmentando ambientes de produção, desenvolvimento e corporativo;
• Web Application Firewall (WAF) posicionado à frente de todas as aplicações expostas à internet, com proteção contra OWASP Top 10 e ataques direcionados ao setor financeiro;
• Sistemas de Detecção e Prevenção de Intrusão (IDS/IPS) com monitoramento contínuo do tráfego de rede e atualizações diárias de assinaturas;
• Solução de EDR (Endpoint Detection and Response) em todos os endpoints corporativos, com capacidade de isolamento automático de hosts comprometidos;
• Plataforma SIEM (Security Information and Event Management) com correlação centralizada de eventos de segurança e monitoramento 24×7 pelo SOC;
• Controle de Acesso baseado em Identidade com MFA obrigatório para todos os acessos a sistemas que processam dados pessoais.

29.2 Controles Organizacionais

• Programa de gestão de vulnerabilidades com varreduras automáticas e pentests periódicos;
• Treinamentos de segurança e privacidade obrigatórios para todos os colaboradores que acessam dados pessoais;
• Programa de gestão de riscos de terceiros com due diligence de segurança para todos os operadores;
• Política de mesa limpa e tela limpa em todos os ambientes de trabalho com acesso a dados pessoais.

---

30. PROTOCOLOS DE CRIPTOGRAFIA EM TRÂNSITO E EM REPOUSO

A criptografia é controle mandatório e fundamental na arquitetura de proteção de dados da Banerj Digital, aplicada a todos os dados pessoais tanto durante a transmissão pela rede quanto no armazenamento permanente ou temporário nos sistemas da instituição.

30.1 Criptografia em Trânsito

• Toda a comunicação entre os sistemas da Banerj Digital e os dispositivos dos titulares ocorre exclusivamente por meio de HTTPS com TLS 1.2 ou superior, com preferência por TLS 1.3;
• Certificados digitais emitidos por Autoridade Certificadora confiável, com monitoramento de validade e renovação automática antes do vencimento;
• Implementação obrigatória de HSTS (HTTP Strict Transport Security) em todos os domínios da instituição, prevenindo ataques de downgrade;
• APIs internas e de integração com parceiros utilizam mTLS (mutual TLS) ou certificados de cliente para autenticação mútua nas comunicações.

30.2 Criptografia em Repouso

• Todos os bancos de dados que armazenam dados pessoais são criptografados com AES-256-GCM, com chaves gerenciadas em HSM certificado FIPS 140-2 Nível 3;
• Dados classificados como Estritamente Confidenciais — incluindo dados biométricos, senhas e tokens — são criptografados em nível de campo (column-level encryption) com chaves gerenciadas separadamente dos dados;
• Mídias de armazenamento (discos, fitas de backup) são criptografadas integralmente e, ao serem descartadas, passam por processo de sanitização certificada antes da destruição física.

---

31. GERENCIAMENTO DE IDENTIDADES, CREDENCIAIS E POLÍTICAS DE SENHAS

O gerenciamento seguro de identidades e credenciais é fundamental para a proteção dos dados pessoais dos titulares, garantindo que apenas pessoas devidamente autorizadas e autenticadas possam acessar informações sob custódia da Banerj Digital.

31.1 Gerenciamento de Identidades de Clientes

• Cada titular possui credenciais únicas e intransferíveis para acesso aos canais digitais da Banerj Digital, vedado o compartilhamento entre usuários;
• O processo de criação de credenciais exige verificação de identidade (KYC) com validação documental e biométrica, assegurando que apenas o legítimo titular possa criar e gerenciar seu acesso;
• Autenticação Multifator (MFA) obrigatória para acesso ao internet banking, aplicativo móvel e para confirmação de operações de alto valor;
• Detecção automática de sessões suspeitas — acessos de dispositivos não reconhecidos, localização incomum, horários atípicos — com bloqueio preventivo e notificação ao titular.

31.2 Políticas de Senhas para Clientes

• Senhas de acesso devem ter comprimento mínimo de 8 caracteres para clientes, com recomendação de uso de frases de acesso longas;
• Verificação automática de senhas contra listas de senhas comprometidas no momento da criação;
• Bloqueio temporário da conta após 5 tentativas consecutivas de login malsucedidas, com desbloqueio por canal alternativo autenticado;
• Notificação ao titular por e-mail e SMS em caso de alteração de senha, adição de novo dispositivo ou qualquer mudança nas credenciais de acesso.

---

32. CATÁLOGO DE DIREITOS FUNDAMENTAIS DOS TITULARES (LGPD)

A LGPD garante aos titulares de dados pessoais um conjunto de direitos fundamentais que a Banerj Digital está comprometida a respeitar e facilitar o exercício. Os titulares podem exercer esses direitos a qualquer momento, de forma gratuita, pelos canais descritos na Seção 33.

32.1 Direitos dos Titulares

• Direito de Confirmação e Acesso (art. 18, I e II): O titular pode confirmar se seus dados são tratados pela Banerj Digital e obter cópia completa e legível das informações pessoais mantidas pela instituição, em formato acessível;
• Direito de Correção (art. 18, III): O titular pode solicitar a correção de dados incompletos, inexatos ou desatualizados, sendo a atualização realizada no prazo de até 15 dias úteis;
• Direito de Anonimização, Bloqueio ou Eliminação (art. 18, IV): O titular pode solicitar a anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• Direito de Portabilidade (art. 18, V): O titular pode solicitar a portabilidade de seus dados a outro fornecedor de serviço ou produto, observada a regulamentação da ANPD e do BACEN (Open Finance);
• Direito de Eliminação (art. 18, VI): O titular pode solicitar a eliminação dos dados tratados com base no consentimento, salvo nas hipóteses legais de retenção obrigatória;
• Direito de Informação sobre Compartilhamento (art. 18, VII): O titular tem direito a receber informações sobre as entidades públicas e privadas com as quais a Banerj Digital compartilhou seus dados;
• Direito de Revogação do Consentimento (art. 18, IX): O titular pode revogar o consentimento a qualquer momento, mediante manifestação expressa, sendo o tratamento cessado para as finalidades exclusivamente baseadas nessa base legal;
• Direito de Oposição (art. 18, §2º): O titular pode se opor ao tratamento baseado em legítimo interesse, cumprimento de obrigação legal ou proteção ao crédito, caso entenda que o tratamento não cumpre os requisitos da LGPD.

---

33. PROCEDIMENTOS E CANAIS DE ATENDIMENTO PARA EXERCÍCIO DE DIREITOS

A Banerj Digital disponibiliza canais acessíveis, gratuitos e eficientes para que os titulares possam exercer seus direitos previstos na LGPD, garantindo resposta dentro dos prazos estabelecidos pela legislação.

33.1 Canais de Atendimento

• Portal de Privacidade Digital: Disponível na área logada do internet banking e aplicativo móvel, permite o exercício de direitos de forma automatizada para as solicitações mais comuns — acesso, correção e revogação de consentimento;
• E-mail do DPO: Canal dedicado para solicitações mais complexas, com retorno em até 15 dias úteis conforme a LGPD;
• Central de Atendimento: Disponível nos horários de funcionamento para esclarecimentos e abertura de solicitações que serão processadas pelas equipes de privacidade;
• Agências Físicas: Para titulares que prefiram o atendimento presencial, com encaminhamento da solicitação ao DPO.

33.2 Prazos de Atendimento

• Confirmação de recebimento da solicitação: em até 48 horas úteis;
• Resposta definitiva a solicitações de acesso, correção e informação: em até 15 dias úteis conforme art. 18, §3º da LGPD;
• Em casos de complexidade técnica ou jurídica que impeçam a resposta no prazo, o titular é informado com justificativa e prazo estimado para conclusão;
• Negativas de atendimento são fundamentadas com base legal e informam ao titular o direito de apresentar reclamação à ANPD.

---

34. PROTOCOLOS DE VALIDAÇÃO DE IDENTIDADE CONTRA ENGENHARIA SOCIAL

A Banerj Digital adota protocolos rigorosos de verificação de identidade em todos os canais de atendimento, prevenindo que terceiros mal-intencionados obtenham acesso a dados pessoais ou realizem operações em nome do titular mediante técnicas de engenharia social.

34.1 Protocolos por Canal de Atendimento

• Aplicativo e Internet Banking: Autenticação por credenciais + MFA antes de qualquer acesso a dados ou operação. Nenhuma alteração de dados sensíveis é permitida sem reautenticação;
• Central de Atendimento Telefônico: Verificação de identidade por protocolo de perguntas de segurança dinâmicas (nunca fixas) e validação de código enviado ao celular cadastrado. Nenhuma senha ou dado financeiro completo é solicitado por telefone em nenhuma circunstância;
• Agências Físicas: Verificação de documento de identidade original com foto e, para operações de alto valor ou alterações cadastrais, verificação biométrica facial;
• Portal de Privacidade: Acesso restrito à área logada com autenticação completa, exigindo reautenticação para solicitações sensíveis como portabilidade ou eliminação de dados.

34.2 Comunicações Legítimas da Banerj Digital

A Banerj Digital nunca solicita por telefone, e-mail ou mensagem de texto as senhas completas, tokens de autenticação, código de segurança do cartão (CVV) ou qualquer credencial de acesso dos titulares. Qualquer solicitação dessa natureza deve ser imediatamente reportada ao SAC como tentativa de fraude.

---

35. USO DE COOKIES, TAGS DE RASTREAMENTO E TECNOLOGIAS EQUIVALENTES

A Banerj Digital utiliza cookies e tecnologias similares em seus portais e aplicações digitais para garantir o funcionamento adequado das plataformas, melhorar a experiência do usuário e, com o consentimento do titular, para análise de comportamento e personalização de conteúdo.

35.1 Categorias de Cookies Utilizados

• Cookies Estritamente Necessários: Indispensáveis para o funcionamento da plataforma, autenticação segura, gerenciamento de sessão e prevenção a fraudes. Não requerem consentimento e não podem ser desativados;
• Cookies de Desempenho e Análise: Coletam informações sobre como o titular utiliza a plataforma — páginas acessadas, tempo de sessão, erros encontrados — para melhoria da usabilidade. Requerem consentimento;
• Cookies de Personalização: Armazenam preferências do titular — idioma, configurações de acessibilidade — para personalizar a experiência. Requerem consentimento;
• Cookies de Marketing: Utilizados para exibir conteúdo e ofertas relevantes ao perfil do titular. Requerem consentimento explícito e podem ser revogados a qualquer momento.

35.2 Gestão de Consentimento de Cookies

No primeiro acesso ao portal, é exibido aviso de cookies com opções granulares de aceite ou recusa por categoria. O titular pode gerenciar e revogar suas preferências de cookies a qualquer momento pelo Centro de Preferências de Privacidade disponível em todos os portais da Banerj Digital. A recusa de cookies não essenciais não prejudica o acesso às funcionalidades bancárias principais.

---

36. MONITORAMENTO AUTOMATIZADO, PERFILAMENTO E INTELIGÊNCIA ARTIFICIAL

A Banerj Digital utiliza sistemas de análise automatizada, perfilamento e inteligência artificial para melhorar seus produtos, personalizar serviços e prevenir fraudes, observando os limites estabelecidos pela LGPD e pelo direito do titular de não ser sujeito a decisões tomadas unicamente com base em tratamento automatizado.

36.1 Finalidades do Tratamento Automatizado

• Prevenção a Fraudes: Análise em tempo real de padrões transacionais e comportamentais para detecção e bloqueio de operações suspeitas, protegendo o titular e a instituição;
• Análise de Crédito: Modelos de score de crédito baseados em histórico financeiro, comportamento de pagamento e dados cadastrais para avaliação de risco e definição de limites;
• Personalização de Ofertas: Segmentação de perfis para oferta de produtos e serviços financeiros alinhados ao momento e às necessidades do titular;
• Detecção de Lavagem de Dinheiro: Monitoramento automatizado de padrões de transações para identificação de comportamentos consistentes com operações de PLD.

36.2 Direitos do Titular sobre Decisões Automatizadas

• O titular tem o direito de solicitar revisão humana de qualquer decisão tomada exclusivamente com base em tratamento automatizado que afete seus interesses, como negativa de crédito ou bloqueio de conta;
• A Banerj Digital fornece explicação clara sobre os critérios e lógica utilizados nas decisões automatizadas quando solicitado pelo titular, observados os limites de segredo de negócio e de sistemas de prevenção a fraudes;
• Decisões automatizadas de alto impacto — como aprovação de crédito acima de limiares significativos — são sempre revisadas ou validadas por analistas humanos antes de sua efetivação.

---

37. GESTÃO, RESPOSTA E MITIGAÇÃO DE INCIDENTES DE SEGURANÇA CIBERNÉTICA

A Banerj Digital mantém um processo estruturado e testado de gestão e resposta a incidentes de segurança que envolvam dados pessoais, garantindo a contenção eficaz, a notificação oportuna às autoridades e aos titulares afetados e o aprendizado organizacional contínuo.

37.1 Processo de Gestão de Incidentes de Privacidade

• Detecção e Triagem: Identificação do incidente pelo SOC ou por qualquer colaborador, com abertura imediata de chamado no sistema de gestão de incidentes e notificação ao DPO e ao CISO;
• Avaliação de Impacto: Análise do escopo do incidente — quais dados foram afetados, de quantos titulares, com que nível de sensibilidade e qual o potencial de dano aos titulares;
• Contenção: Isolamento dos sistemas comprometidos, revogação de acessos indevidos e bloqueio dos vetores de ataque identificados;
• Notificação à ANPD: Comunicação dentro de 72 horas da confirmação do incidente que apresente risco relevante ou alto aos titulares, conforme art. 48 da LGPD;
• Comunicação aos Titulares: Notificação individual aos titulares afetados quando o incidente apresentar risco elevado, em linguagem clara e acessível, descrevendo o que ocorreu e as medidas adotadas;
• Recuperação e Lições Aprendidas: Restauração dos sistemas, documentação completa do incidente e implementação de melhorias preventivas para evitar recorrência.

37.2 Notificação ao BACEN

Em caso de incidentes relevantes que afetem sistemas críticos, a Banerj Digital notifica o Banco Central do Brasil dentro dos prazos estabelecidos pela Resolução BCB nº 85/2021, com informações sobre a natureza do incidente, o impacto nos serviços e as medidas de contenção adotadas.

---

38. ATRIBUIÇÕES DO ENCARREGADO PELO TRATAMENTO DE DADOS (DPO)

A Banerj Digital designou formalmente um Encarregado pelo Tratamento de Dados (DPO — Data Protection Officer), conforme exigência do art. 41 da LGPD, dotando-o de autonomia funcional, recursos adequados e acesso direto à alta administração para o pleno exercício de suas atribuições.

38.1 Responsabilidades do DPO

• Atuar como canal principal de comunicação entre a Banerj Digital, os titulares de dados e a Autoridade Nacional de Proteção de Dados (ANPD);
• Receber, processar e coordenar as respostas às solicitações de exercício de direitos dos titulares, garantindo cumprimento dos prazos legais;
• Orientar os colaboradores e operadores da instituição sobre as práticas corretas de tratamento de dados pessoais e os requisitos da LGPD;
• Supervisionar a implementação e a efetividade das políticas, procedimentos e controles de privacidade;
• Coordenar as Avaliações de Impacto à Proteção de Dados (RIPD) para novas atividades de tratamento de alto risco;
• Manter e atualizar o Registro de Operações de Tratamento (ROT) com mapeamento completo de todas as atividades de tratamento da instituição;
• Reportar ao Comitê de Privacidade e à Diretoria sobre o estado de conformidade com a LGPD e sobre os incidentes de privacidade ocorridos;
• Representar a Banerj Digital perante a ANPD em processos administrativos e fiscalizações.

38.2 Autonomia e Independência do DPO

O DPO da Banerj Digital não recebe instruções sobre o exercício de suas atribuições de conformidade, podendo reportar diretamente ao Conselho de Administração sem necessidade de autorização da Diretoria Executiva. O DPO tem acesso irrestrito a todos os sistemas, contratos e informações necessárias ao exercício de suas funções.

---

39. MEDIDAS DISCIPLINARES E PENALIDADES ADMINISTRATIVAS

O descumprimento das disposições desta Política por colaboradores, operadores ou parceiros da Banerj Digital sujeita o infrator às medidas disciplinares e consequências legais proporcionais à gravidade da infração, ao dolo ou culpa e ao impacto sobre os titulares e sobre a conformidade da instituição.

39.1 Penalidades Internas

• Infrações Leves: Descumprimento pontual de procedimentos de privacidade sem impacto mensurável — advertência formal e treinamento remediativo obrigatório;
• Infrações Moderadas: Acesso não autorizado a dados pessoais de titulares, compartilhamento indevido de informações com terceiros não autorizados, descumprimento dos prazos de atendimento a titulares — advertência escrita, suspensão temporária de acessos e avaliação disciplinar pelo RH;
• Infrações Graves: Exfiltração de dados pessoais, sabotagem de controles de privacidade, violação intencional do sigilo de dados de clientes — demissão por justa causa, responsabilização civil e notificação às autoridades competentes;
• Infrações Gravíssimas: Comercialização de dados pessoais, cumplicidade em ataques que resultem em vazamento massivo de dados — rescisão imediata, ação judicial cível e criminal, e comunicação à ANPD e ao Ministério Público.

39.2 Penalidades Administrativas da ANPD

O descumprimento da LGPD pela Banerj Digital pode ensejar a aplicação das sanções administrativas previstas no art. 52 da LGPD pela ANPD, incluindo advertência, multa de até 2% do faturamento da pessoa jurídica no Brasil (limitada a R$ 50 milhões por infração), publicização da infração, bloqueio ou eliminação de dados e suspensão parcial ou total do funcionamento dos bancos de dados relacionados à infração. A Banerj Digital empenha-se proativamente para evitar quaisquer infrações que possam resultar nessas sanções.

---

40. ATUALIZAÇÕES DA POLÍTICA E DISPOSIÇÕES FINAIS

A presente Política de Privacidade e Proteção de Dados Pessoais representa o estado atual das práticas de privacidade da Banerj Digital e será atualizada periodicamente para refletir mudanças na legislação, na regulamentação, nas práticas da instituição ou nas tecnologias utilizadas.

40.1 Ciclo de Revisão e Atualização

• Revisão Ordinária Anual: Conduzida pelo DPO com participação do Comitê de Privacidade, avaliando a adequação de todas as disposições ao cenário regulatório, às novas atividades de tratamento e às recomendações da ANPD;
• Revisão Extraordinária: Obrigatória sempre que publicada nova regulamentação relevante da ANPD ou do BACEN, após incidente de segurança significativo, em caso de lançamento de novo produto ou serviço com impacto relevante na privacidade, ou diante de decisões judiciais ou administrativas que alterem a interpretação da LGPD aplicável à Banerj Digital.

40.2 Comunicação de Alterações

• Alterações materiais — que modifiquem substancialmente as finalidades do tratamento, os dados coletados, os destinatários do compartilhamento ou os direitos dos titulares — serão comunicadas aos titulares com pelo menos 30 dias de antecedência antes de sua vigência, por e-mail e por notificação destacada no aplicativo e no portal;
• Alterações formais — de redação, clareza ou complementação sem alteração de conteúdo substantivo — entram em vigor imediatamente após a publicação, com data de atualização registrada no rodapé do documento;
• A versão vigente desta Política é sempre disponibilizada no site institucional e no aplicativo móvel da Banerj Digital, com acesso público, gratuito e sem necessidade de cadastro.

40.3 Contato e Legislação Aplicável

Esta Política é regida pela legislação brasileira, em especial pela Lei nº 13.709/2018 (LGPD), pelo Código de Defesa do Consumidor e pelas normas do Banco Central do Brasil. Eventuais controvérsias serão submetidas ao foro da comarca do domicílio do titular, salvo quando diversamente estabelecido em contrato específico.

Para qualquer dúvida, solicitação ou reclamação relacionada ao tratamento de dados pessoais, o titular pode contatar o DPO da Banerj Digital pelos canais indicados nesta Política e disponíveis no portal institucional.