Política de Proteção de Dados Pessoais

1. Disposições Gerais

1.1. A presente Política estabelece as diretrizes aplicáveis ao tratamento de dados pessoais realizado pela RAVAL FINTECH LTDA (“RAVAL”), no âmbito de suas atividades de tecnologia financeira e oferta de serviços digitais integrados a instituição liquidante devidamente credenciada.

1.2. A RAVAL observa integralmente a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), adotando medidas técnicas e administrativas aptas a assegurar proteção, confidencialidade e integridade das informações tratadas.

1.3. A integração operacional com instituição liquidante é formalizada por instrumentos contratuais específicos que delimitam responsabilidades e fluxos de tratamento de dados, sem prejuízo da apuração individualizada de responsabilidade conforme a atuação efetiva de cada parte.

2. Papéis no Tratamento de Dados

2.1. A RAVAL poderá atuar:

• I – como controladora dos dados tratados em sua plataforma tecnológica;
• II – como controladora conjunta, quando houver decisão compartilhada quanto às finalidades essenciais do tratamento;
• III – como operadora, quando atuar exclusivamente sob instruções de instituição parceira.

2.2. A responsabilidade será apurada conforme o papel efetivamente exercido na cadeia de tratamento, nos termos da LGPD e dos instrumentos contratuais aplicáveis.

3. Categorias de Dados Tratados

3.1 Dados Cadastrais

• Nome, CPF/CNPJ;
• Documento de identificação;
• Endereço, telefone e e-mail;
• Dados de representantes legais, sócios e beneficiários finais.

3.2 Dados Financeiros e Operacionais

• Histórico de transações;
• Dados bancários;
• Chaves PIX;
• Informações relativas a boletos, cobranças e pagamentos;
• Dados de cartão (armazenados preferencialmente em formato tokenizado);
• Registros de liquidação.

3.3 Dados Sensíveis – Biometria

• Biometria facial ou digital para autenticação;
• Dados utilizados para validação antifraude.

3.4 Dados Técnicos

• Logs de acesso;
• Identificadores de dispositivo;
• Endereço IP;
• Dados de geolocalização quando necessários à segurança.

4. Finalidades do Tratamento

Os dados são tratados para:

• I – abertura, manutenção e encerramento de conta digital;
• II – processamento de pagamentos, transferências e liquidações financeiras;
• III – emissão e gestão de boletos e cobranças;
• IV – execução de operações com cartão;
• V – prevenção à fraude e mitigação de riscos;
• VI – cumprimento de obrigações legais e regulatórias;
• VII – exercício regular de direitos em processo administrativo, judicial ou arbitral.

5. Bases Legais

O tratamento poderá fundamentar-se em:

• I – execução de contrato;
• II – cumprimento de obrigação legal ou regulatória;
• III – prevenção à fraude e segurança do titular;
• IV – exercício regular de direitos;
• V – legítimo interesse devidamente documentado;
• VI – consentimento específico, quando exigido.

O tratamento de biometria observará as hipóteses legais aplicáveis a dados sensíveis.

6. Tratamento de Biometria

6.1. A biometria é utilizada exclusivamente para autenticação e segurança.

6.2. São adotadas salvaguardas reforçadas, incluindo:

• I – armazenamento criptografado ou tokenizado;
• II – segregação lógica de bases;
• III – controle restrito e auditável de acesso;
• IV – trilhas de auditoria;
• V – retenção pelo prazo estritamente necessário.

6.3. A RAVAL poderá elaborar Relatório de Impacto à Proteção de Dados (RIPD) quando o tratamento envolve risco relevante aos titulares.

7. Compartilhamento de Dados

7.1. Os dados poderão ser compartilhados com:

• I – instituição liquidante responsável pela liquidação financeira;
• II – instituições participantes de arranjos de pagamento;
• III – emissores e bandeiras de cartão;
• IV – bureaus antifraude;
• V – autoridades administrativas e judiciais.

7.2. O compartilhamento observará critérios de necessidade, proporcionalidade e finalidade específica.

7.3. Os contratos firmados com parceiros estabelecem obrigações de confidencialidade, padrões mínimos de segurança, cooperação regulatória e responsabilidade por incidentes.

8. Segurança da Informação

8.1. Caso haja transferência internacional de dados, esta ocorrerá em conformidade com as hipóteses legais previstas na LGPD.

8.2. Serão adotadas garantias adequadas, incluindo cláusulas contratuais específicas ou outros mecanismos juridicamente válidos.

9. Prevenção à Fraude

9.1. A RAVAL adota controles compatíveis com ambiente financeiro digital, incluindo:

• I – criptografia em trânsito e em repouso;
• II – autenticação multifator;
• III – monitoramento transacional contínuo;
• IV – segregação de ambientes;
• V – testes periódicos de segurança;
• VI – gestão de acessos privilegiados.

9.2. Os controles são revisados periodicamente.

10. Direitos dos Titulares

A RAVAL poderá realizar monitoramento transacional e análise de padrões comportamentais exclusivamente para prevenir fraudes, proteger titulares e mitigar riscos operacionais, observados critérios de proporcionalidade e não discriminação.

11. Incidentes de Segurança

11.1. A RAVAL mantém o Plano de Resposta a Incidentes estruturado.

11.2. A avaliação de comunicação à Autoridade Nacional de Proteção de Dados e aos titulares considerará:

• I – natureza dos dados afetados;
• II – volume de registros;
• III – potencial dano financeiro;
• IV – risco à identidade ou integridade do titular.

11.3. Incidentes envolvendo liquidação financeira serão tratados de forma coordenada com a instituição parceira.

12. Retenção

12.1. Os dados serão mantidos pelo período necessário ao cumprimento contratual, regulatório e ao exercício regular de direitos.

12.2. Registros transacionais poderão ser mantidos pelo prazo mínimo necessário à conformidade regulatória aplicável ao sistema financeiro e à prevenção à fraude.

12.3. Dados biométricos serão eliminados quando cessada a finalidade de autenticação, ressalvadas hipóteses legais.

13. Governança

São assegurados os direitos previstos na LGPD, incluindo confirmação, acesso, correção, anonimização, portabilidade, informação sobre compartilhamentos e revogação de consentimento.

A eliminação poderá ser limitada quando necessária ao cumprimento de obrigação legal ou à preservação de direitos.

14. Disposições Finais

14.1. A RAVAL mantém:

• I – Encarregado pelo Tratamento de Dados;
• II – registro das operações de tratamento, nos termos do art. 37 da LGPD;
• III – inventário de dados atualizado;
• IV – matriz de riscos;
• V – política de segurança da informação;
• VI – procedimentos de revisão periódica.

14.2. O contato com o Encarregado poderá ser realizado pelo endereço eletrônico: antonio.santana@ravaldigital.com.br.

14.3. A Alta Administração supervisiona a implementação desta Política.

15. Disposições Finais

15.1. Esta Política entra em vigor na data de sua aprovação.

15.2. Poderá ser revisada em caso de alteração legislativa, regulatória ou operacional relevante.

Maceió, 16 de fevereiro de 2026.