Política de Privacidade

1 Introdução e Identificação do Controlador

A presente POLÍTICA DE PRIVACIDADE ("Política") descreve como a SWAPO LTDA, pessoa jurídica de direito privado, inscrita no CNPJ/MF sob o nº 46.828.185/0001-28, com nome fantasia "Swapo Finance", com sede em Dover, Delaware — EUA ("SWAPO", "nós" ou "Controladora"), coleta, utiliza, armazena, compartilha e protege os dados pessoais dos usuários ("Titular" ou "USUÁRIO") que acessam ou utilizam a plataforma Swapo Finance, disponível em https://swapofinance.com e em eventuais aplicativos móveis.

A SWAPO atua como prestadora de serviços de ativos virtuais (PSAV), oferecendo intermediação de operações com criptoativos — em especial stablecoins como USDT (Tether) e USDC (Circle) —, serviços de câmbio, pagamentos em moeda fiduciária e infraestrutura tecnológica financeira (Banking as a Service — BaaS), nos modelos B2C e B2B, em conformidade com a Lei nº 14.478/2022 (Marco Legal dos Criptoativos) e as Resoluções BCB nº 519, 520 e 521/2025.

Esta Política foi elaborada em conformidade com as seguintes legislações e normas:

• Lei Geral de Proteção de Dados Pessoais (LGPD) — Lei nº 13.709/2018;
• Marco Civil da Internet — Lei nº 12.965/2014 e Decreto Regulamentador nº 8.771/2016;
• Código de Defesa do Consumidor (CDC) — Lei nº 8.078/1990;
• Marco Legal dos Criptoativos — Lei nº 14.478/2022;
• Resoluções do Banco Central do Brasil (BCB) — nº 519, 520 e 521/2025;
• Lei de Prevenção à Lavagem de Dinheiro — Lei nº 9.613/1998;
• Circular BCB nº 3.978/2020 — procedimentos PLD/FT e retenção de dados;
• Regulamento Geral de Proteção de Dados (GDPR) — Regulamento (UE) 2016/679, quando aplicável a titulares na União Europeia;
• Recomendações do GAFI/FATF — especialmente a Recomendação 16 (Travel Rule);
• Normas e diretrizes da Autoridade Nacional de Proteção de Dados (ANPD).

Caso o USUÁRIO não concorde com os termos desta Política, deverá cessar imediatamente o uso da Plataforma e não prosseguir com o cadastro.

2 Definições

Para fins desta Política, aplicam-se as seguintes definições, em consonância com a LGPD (art. 5º):

Dado Pessoal

Informação relacionada a pessoa natural identificada ou identificável, tais como nome, CPF, endereço, e-mail, IP, dados de geolocalização, entre outros (art. 5º, I, LGPD).

Dado Pessoal Sensível

Dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a pessoa natural (art. 5º, II, LGPD).

Titular dos Dados

Pessoa natural a quem se referem os dados pessoais que são objeto de tratamento. No contexto desta Política, trata-se do USUÁRIO cadastrado na Plataforma.

Controlador

Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais. Nesta Política, o Controlador é a SWAPO LTDA (art. 5º, VI, LGPD).

Operador

Pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do Controlador, como prestadores de serviços de KYC, processadores de pagamento e provedores de infraestrutura (art. 5º, VII, LGPD).

Encarregado (DPO)

Pessoa indicada pelo Controlador para atuar como canal de comunicação entre o Controlador, os Titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD) (art. 5º, VIII, LGPD).

Tratamento

Toda operação realizada com dados pessoais, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração (art. 5º, X, LGPD).

Consentimento

Manifestação livre, informada e inequívoca pela qual o Titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada (art. 5º, XII, LGPD).

ANPD

Autoridade Nacional de Proteção de Dados, órgão da administração pública federal responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional.

Cookies

Pequenos arquivos de texto armazenados no dispositivo do USUÁRIO pelo navegador, que registram informações sobre a navegação e permitem personalizar a experiência de uso.

Anonimização

Utilização de meios técnicos para que um dado perca a possibilidade de associação, direta ou indireta, a um indivíduo, de forma irreversível (art. 5º, XI, LGPD).

KYC (Know Your Customer)

Processo de verificação e identificação de clientes, exigido pela legislação de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT).

PEP (Pessoa Exposta Politicamente)

Agente público que desempenha ou desempenhou, nos últimos 5 (cinco) anos, cargo, emprego ou função pública relevante, bem como seus representantes, familiares e estreitos colaboradores, sujeitos a procedimentos de diligência reforçada.

3 Dados Pessoais que Coletamos

A SWAPO coleta dados pessoais de diversas fontes e categorias, conforme detalhado a seguir. A coleta é realizada observando os princípios da finalidade, adequação e necessidade (art. 6º, I, II e III, LGPD).

3.1. Dados Fornecidos pelo USUÁRIO

• Dados de identificação: nome completo, data de nascimento, nacionalidade, estado civil, CPF, RG, CNH, passaporte ou outro documento oficial de identificação;
• Dados de contato: endereço de e-mail, número de telefone celular, endereço residencial ou comercial completo;
• Dados financeiros: dados bancários (banco, agência, conta), chaves PIX, informações de renda e patrimônio, declarações fiscais quando solicitadas;
• Dados biométricos (dado sensível — art. 5º, II e art. 11, LGPD): reconhecimento facial, selfie de verificação, dados de liveness detection para validação do processo de KYC, em conformidade com a Resolução BCB nº 520/2025. O tratamento deste dado sensível fundamenta-se no cumprimento de obrigação legal/regulatória (art. 11, II, "g", LGPD);
• Dados de pessoa jurídica: razão social, CNPJ, data de constituição, contrato social, quadro societário, dados dos representantes legais e procuradores;
• Dados de PEPs (Pessoas Expostas Politicamente): declaração de condição de PEP, cargo público exercido, parentesco ou relacionamento próximo com PEP, conforme normas do COAF e Circular BCB nº 3.978/2020.

3.2. Dados Coletados Automaticamente

• Dados de navegação: endereço IP, tipo e versão do navegador, sistema operacional, idioma, páginas acessadas, tempo de permanência, URLs de referência;
• Dados de dispositivo (device fingerprint): identificador único de dispositivo (Device ID), modelo, fabricante, resolução de tela, fuso horário;
• Dados de geolocalização: localização aproximada inferida pelo endereço IP ou, quando autorizado, localização precisa via GPS do dispositivo;
• Registros de acesso (logs): data e hora de cada acesso, ações realizadas na Plataforma, registros de autenticação, conforme exigido pelo Marco Civil da Internet (Lei 12.965/2014, art. 15);
• Cookies e tecnologias similares: conforme detalhado na Seção 9 desta Política.

3.3. Dados de Transações

• Histórico de operações: todas as transações de compra, venda, depósito, saque e transferência realizadas na Plataforma;
• Saldos e movimentações: valores em moeda fiduciária e ativos virtuais mantidos na Conta SWAPO;
• Dados on-chain: endereços de carteiras, hashes de transação, dados públicos registrados em blockchains utilizadas;
• Dados de pagamento: informações sobre meios de pagamento utilizados (PIX, TED, transferência internacional).

3.4. Dados Obtidos de Fontes Externas

• Bureaus de crédito e informações: consulta a bases de dados de crédito, inadimplência e situação cadastral (base legal: proteção ao crédito, art. 7º, X, LGPD);
• Listas restritivas: verificação em listas de sanções nacionais e internacionais (COAF, OFAC, ONU, UE, Interpol, PEPs);
• Órgãos reguladores: informações obtidas junto ao BCB, Receita Federal e demais autoridades competentes;
• Parceiros de KYC/PLD: dados de verificação de identidade fornecidos por prestadores especializados contratados pela SWAPO;
• Dados da Travel Rule: informações de remetente e beneficiário recebidas de outras Prestadoras de Serviços de Ativos Virtuais (PSAVs) em transferências internacionais de criptoativos, conforme Recomendação 16 do GAFI/FATF e Resolução BCB nº 520/2025.

3.5. Dados de Comunicação

• Mensagens e tickets de suporte: conteúdo de comunicações via e-mail, chat de suporte e demais canais de atendimento;
• Registros de interação: histórico de atendimentos, reclamações e solicitações.

4 Finalidades e Bases Legais do Tratamento

Em conformidade com os arts. 7º e 11 da LGPD, a SWAPO trata dados pessoais com finalidades específicas e legítimas, fundamentando cada tratamento em base legal adequada. A tabela abaixo correlaciona as principais finalidades com suas respectivas bases legais:

4.1. Prestação de Serviços

Base legal: Execução de contrato (art. 7º, V, LGPD)

• Criar, manter e administrar a Conta SWAPO do USUÁRIO;
• Processar e executar operações de compra, venda, depósito, saque e transferência de ativos virtuais e moedas fiduciárias;
• Fornecer cotações, liquidar ordens e gerar comprovantes de transação;
• Prestar suporte ao cliente e responder a solicitações;
• Viabilizar os serviços de BaaS, API e White-Label para empresas parceiras.

4.2. Cumprimento de Obrigações Legais e Regulatórias

Base legal: Cumprimento de obrigação legal ou regulatória (art. 7º, II, LGPD)

• Executar procedimentos obrigatórios de KYC (Know Your Customer) e PLD/FT (Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo);
• Comunicar operações suspeitas ao COAF (Conselho de Controle de Atividades Financeiras), sem notificação prévia ao USUÁRIO (art. 11, Lei 9.613/1998);
• Cumprir a Travel Rule para transferências internacionais de ativos virtuais (Recomendação 16, GAFI/FATF e Resolução BCB nº 520/2025);
• Atender requisições de autoridades governamentais, judiciais ou regulatórias;
• Cumprir obrigações fiscais e tributárias, incluindo reporte à Receita Federal (IN RFB nº 1.888/2019);
• Manter registros de acesso pelo prazo legal mínimo de 6 meses (Marco Civil da Internet, art. 15);
• Reter dados de transações e PLD/FT pelo prazo mínimo de 10 (dez) anos (Circular BCB nº 3.978/2020, art. 67).

4.3. Segurança e Prevenção a Fraudes

Base legal: Legítimo interesse (art. 7º, IX, LGPD), exercido com base em teste de balanceamento (Legitimate Interest Assessment — LIA)

• Detectar, prevenir e investigar atividades fraudulentas, abusivas ou ilícitas;
• Monitorar transações para identificar comportamentos atípicos ou incompatíveis com o perfil do USUÁRIO;
• Verificar identidade e autenticidade dos USUÁRIOS nas operações;
• Proteger a integridade e segurança da Plataforma, dos sistemas e dos dados;
• Realizar auditorias internas e de compliance.

4.4. Melhoria e Personalização dos Serviços

Base legal: Legítimo interesse (art. 7º, IX, LGPD)

• Analisar o uso da Plataforma para aprimorar funcionalidades, desempenho e experiência do USUÁRIO;
• Desenvolver novos produtos e serviços baseados em análises agregadas e anonimizadas;
• Personalizar o conteúdo e as funcionalidades oferecidos ao USUÁRIO.

4.5. Comunicações e Marketing

Base legal: Execução de contrato (art. 7º, V) para comunicações transacionais; Consentimento (art. 7º, I) para marketing

• Enviar comunicações transacionais (confirmações de operação, alertas de segurança, avisos de manutenção) — sem necessidade de consentimento específico;
• Enviar comunicações de marketing e promocionais, apenas quando o USUÁRIO tiver consentido expressamente — o consentimento pode ser revogado a qualquer momento, sem prejuízo da licitude do tratamento anterior;
• Informar sobre atualizações nos Termos de Uso, na Política de Privacidade e em outros documentos contratuais.

4.6. Proteção ao Crédito e Exercício Regular de Direitos

Bases legais: Proteção ao crédito (art. 7º, X, LGPD) e Exercício regular de direitos (art. 7º, VI, LGPD)

• Consultas em bureaus de crédito e análise de risco (proteção ao crédito);
• Guarda de documentos e informações para defesa em processos judiciais, administrativos ou arbitrais (exercício regular de direitos).

5 Compartilhamento de Dados com Terceiros

A SWAPO poderá compartilhar dados pessoais do USUÁRIO com terceiros nas seguintes hipóteses, sempre observando os princípios da LGPD e garantindo nível adequado de proteção:

5.1. Parceiros Operacionais

• Instituições bancárias e financeiras: para execução de operações de depósito, saque e transferência em moeda fiduciária, incluindo contas bolsão mantidas pela SWAPO;
• Exchanges de criptoativos: para liquidação de ordens de compra e venda de ativos virtuais;
• Processadores de pagamento: para viabilizar operações via PIX, TED e demais métodos de pagamento em múltiplos países;
• Prestadores de serviços de KYC/PLD: para verificação de identidade, análise documental e checagem biométrica;
• Provedores de infraestrutura tecnológica: serviços de hospedagem em nuvem (cloud), CDN, armazenamento, comunicação e segurança cibernética;
• Provedores de analytics: ferramentas de análise de uso da Plataforma (Google Analytics, Google Tag Manager, Hotjar, Microsoft Clarity, Mixpanel), conforme detalhado na Seção 9.

5.2. Autoridades e Órgãos Reguladores

• Conselho de Controle de Atividades Financeiras (COAF): comunicação de operações suspeitas (art. 11, Lei 9.613/1998);
• Banco Central do Brasil (BCB): cumprimento de obrigações regulatórias de PSAV (Resoluções nº 519, 520 e 521/2025);
• Receita Federal do Brasil: obrigações fiscais e tributárias (IN RFB nº 1.888/2019);
• Poder Judiciário e Ministério Público: atendimento a ordens judiciais e requisições legais;
• Autoridade Nacional de Proteção de Dados (ANPD): comunicação de incidentes de segurança e atendimento a requisições;
• Demais autoridades competentes: quando exigido por lei ou regulamentação aplicável.

5.3. Outras PSAVs (Travel Rule)

Em transferências de ativos virtuais que ultrapassem os limites estabelecidos pelo GAFI/FATF e pela regulamentação do BCB, a SWAPO compartilhará informações do remetente e do beneficiário com a PSAV de destino, e receberá dados equivalentes da PSAV de origem, conforme a Travel Rule (Recomendação 16, GAFI/FATF e Resolução BCB nº 520/2025). Os dados recebidos via Travel Rule serão tratados com o mesmo nível de proteção aplicado aos dados coletados diretamente pela SWAPO.

5.4. Operações Societárias

Em caso de fusão, aquisição, reorganização societária, cisão ou venda de ativos da SWAPO, os dados pessoais poderão ser transferidos ao sucessor ou adquirente, mediante notificação prévia aos USUÁRIOS. Os dados continuarão protegidos nos termos desta Política.

5.5. Consentimento do Titular

Em hipóteses não previstas nesta Política, o compartilhamento de dados pessoais dependerá do consentimento prévio, específico e informado do Titular.

5.6. Obrigações dos Operadores

Todos os terceiros que atuam como Operadores de dados pessoais em nome da SWAPO estão obrigados contratualmente a:

• Tratar os dados pessoais exclusivamente conforme as instruções da SWAPO;
• Implementar medidas técnicas e administrativas de segurança compatíveis com o nível de risco;
• Manter sigilo e confidencialidade sobre os dados tratados;
• Notificar a SWAPO imediatamente sobre qualquer incidente de segurança;
• Devolver ou eliminar os dados ao término da relação contratual.

6 Transferência Internacional de Dados

Em razão da natureza global dos serviços prestados pela SWAPO — com operações no Brasil, Estados Unidos, México, Argentina e Colômbia —, os dados pessoais do USUÁRIO poderão ser transferidos para servidores e parceiros localizados fora do Brasil.

6.1. Garantias para Transferência

A transferência internacional de dados pessoais observará rigorosamente o Capítulo V da LGPD (arts. 33 a 36) e será realizada apenas quando atendida ao menos uma das seguintes condições:

• O país ou organismo internacional proporcione grau de proteção de dados adequado ao previsto na LGPD;
• Sejam firmadas cláusulas contratuais específicas (Standard Contractual Clauses — SCCs) que assegurem cumprimento dos princípios e direitos previstos na LGPD;
• A transferência seja necessária para a execução de contrato entre o Titular e o Controlador (art. 33, II, LGPD);
• A transferência seja necessária para o cumprimento de obrigação legal ou regulatória pelo Controlador (art. 33, III, LGPD);
• A transferência decorra de cooperação jurídica internacional entre órgãos públicos;
• O Titular tenha fornecido consentimento específico e em destaque para a transferência (art. 33, VIII, LGPD).

6.2. Jurisdições de Destino

Os principais destinos de transferência internacional incluem:

• Estados Unidos: serviços de cloud computing, processamento de pagamentos, exchanges parceiras e provedores de analytics;
• União Europeia: provedores de infraestrutura com conformidade ao GDPR;
• Países da América Latina (México, Argentina, Colômbia): execução de operações de câmbio e pagamentos locais.

A SWAPO implementa Avaliação de Impacto de Transferência Internacional (Transfer Impact Assessment — TIA) para garantir que os dados transferidos recebam proteção equivalente à prevista na legislação brasileira.

7 Retenção e Eliminação de Dados

Os dados pessoais serão retidos apenas pelo período necessário ao cumprimento das finalidades para as quais foram coletados, observados os seguintes prazos mínimos de retenção legalmente estabelecidos:

7.1. Prazos Legais de Retenção

• Dados de transações e PLD/FT: mínimo de 10 (dez) anos após o encerramento da relação ou da última operação, conforme art. 67 da Circular BCB nº 3.978/2020 e art. 10, §1º, da Lei 9.613/1998;
• Registros de acesso (logs): mínimo de 6 (seis) meses, conforme art. 15, §1º, do Marco Civil da Internet (Lei 12.965/2014);
• Documentos fiscais e contábeis: mínimo de 5 (cinco) anos, conforme legislação tributária;
• Dados relativos ao CDC: prescrição de 5 (cinco) anos para ações de reparação (art. 27, CDC);
• Dados para defesa em processos judiciais: pelo prazo prescricional aplicável (geralmente 3 a 10 anos, conforme a natureza do litígio);
• Dados de KYC e verificação documental: mínimo de 10 (dez) anos, conforme Circular BCB nº 3.978/2020;
• Dados de Travel Rule: mínimo de 10 (dez) anos, conforme obrigações regulatórias de PLD/FT.

7.2. Encerramento de Conta

Quando o USUÁRIO solicitar o encerramento de sua Conta SWAPO (conforme Seção 14.2 dos Termos de Uso), os dados pessoais serão tratados da seguinte forma:

• Dados sujeitos a retenção legal obrigatória permanecerão armazenados pelo prazo aplicável, com acesso restrito;
• Dados não sujeitos a retenção obrigatória serão eliminados ou anonimizados no prazo de até 30 (trinta) dias após o encerramento;
• Dados de marketing serão imediatamente removidos das listas de comunicação;
• Cookies e dados de navegação serão eliminados conforme os prazos de expiração dos cookies.

7.3. Término do Tratamento

O tratamento de dados pessoais será encerrado nas seguintes hipóteses (art. 15, LGPD):

• Verificação de que a finalidade foi alcançada ou que os dados deixaram de ser necessários;
• Fim do período de tratamento, observados os prazos legais mínimos acima;
• Revogação do consentimento pelo Titular, quando esta for a base legal aplicável;
• Determinação da ANPD.

7.4. Descarte Seguro

Após o término do período de retenção, os dados pessoais serão eliminados de forma segura e irreversível ou anonimizados, de modo que não possam mais ser associados ao Titular. A anonimização é irreversível e os dados resultantes deixam de ser considerados dados pessoais para fins da LGPD (art. 12).

8 Seus Direitos como Titular

Em conformidade com o art. 18 da LGPD, o USUÁRIO, como Titular de dados pessoais, poderá exercer os seguintes direitos a qualquer momento, mediante solicitação pelos canais indicados na Seção 15:

1. Confirmação da existência de tratamento: obter a confirmação de que seus dados pessoais são tratados pela SWAPO;
2. Acesso aos dados: acessar os dados pessoais que a SWAPO possua sobre o Titular;
3. Correção: solicitar a correção de dados pessoais incompletos, inexatos ou desatualizados;
4. Anonimização, bloqueio ou eliminação: solicitar a anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
5. Portabilidade: solicitar a portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, observados o sigilo comercial e industrial;
6. Eliminação de dados tratados com consentimento: solicitar a eliminação dos dados pessoais tratados com base no consentimento, exceto nas hipóteses do art. 16 da LGPD;
7. Informação sobre compartilhamento: obter informação sobre as entidades públicas e privadas com as quais a SWAPO compartilhou seus dados;
8. Informação sobre a possibilidade de não consentir: ser informado sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
9. Revogação do consentimento: revogar o consentimento previamente fornecido, a qualquer momento, mediante manifestação expressa, gratuitamente e de forma facilitada;
10. Revisão de decisões automatizadas: solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem os interesses do Titular (art. 20, LGPD);
11. Oposição: opor-se ao tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento ao disposto na LGPD;
12. Petição à ANPD: apresentar petição à Autoridade Nacional de Proteção de Dados em relação aos seus dados, em caso de insatisfação com o atendimento pela SWAPO (art. 18, §1º, LGPD).

8.1. Como Exercer seus Direitos

O USUÁRIO poderá exercer seus direitos por meio dos seguintes canais:

• E-mail: [email protected], com o assunto "Exercício de Direitos — LGPD";
• Plataforma: área de configurações da conta, quando disponível.

8.2. Prazo de Atendimento

As solicitações dos Titulares serão atendidas no prazo de até 15 (quinze) dias úteis, contados da data do recebimento da requisição, prorrogável por igual período mediante justificativa fundamentada, em conformidade com a LGPD e as determinações da ANPD.

8.3. Verificação de Identidade

Para garantir a segurança dos dados pessoais, a SWAPO poderá solicitar a verificação de identidade do Titular antes de atender a solicitações de acesso, portabilidade ou eliminação de dados, a fim de evitar o acesso não autorizado por terceiros.

9 Cookies e Tecnologias de Rastreamento

A SWAPO utiliza cookies e tecnologias similares (web beacons, pixels, local storage) para garantir o funcionamento adequado da Plataforma, personalizar a experiência do USUÁRIO e realizar análises de uso.

9.1. Tipos de Cookies Utilizados

9.2. Ferramentas de Terceiros

A SWAPO utiliza as seguintes ferramentas de terceiros que podem instalar cookies ou tecnologias similares no dispositivo do USUÁRIO:

• Google Analytics e Google Tag Manager: análise de tráfego e comportamento de uso da Plataforma (Google LLC, EUA);
• Hotjar: mapas de calor e gravações de sessão para análise de usabilidade (Hotjar Ltd, Malta/UE);
• Microsoft Clarity: análise de comportamento de navegação e mapas de calor (Microsoft Corporation, EUA);
• Meta Pixel (Facebook): mensuração de eficácia de campanhas publicitárias e remarketing (Meta Platforms Inc., EUA);
• Mixpanel: análise de produto e métricas de engajamento (Mixpanel Inc., EUA).

Os dados coletados por essas ferramentas podem ser transferidos e processados em servidores fora do Brasil, conforme detalhado na Seção 6 (Transferência Internacional de Dados).

9.3. Gerenciamento de Cookies

O USUÁRIO pode gerenciar suas preferências de cookies a qualquer momento por meio das configurações do navegador ou, quando disponível, pelo painel de preferências de cookies da Plataforma. A desabilitação de cookies essenciais poderá comprometer o funcionamento adequado da Plataforma.

Instruções para gerenciar cookies nos principais navegadores:

• Google Chrome: Configurações → Privacidade e Segurança → Cookies;
• Mozilla Firefox: Configurações → Privacidade e Segurança → Cookies e Dados do site;
• Safari: Preferências → Privacidade → Gerenciar Dados do Site;
• Microsoft Edge: Configurações → Privacidade, pesquisa e serviços → Cookies.

10 Segurança da Informação

A SWAPO adota medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, em conformidade com o art. 46 da LGPD.

10.1. Medidas Técnicas

• Criptografia: todos os dados pessoais são armazenados e transmitidos utilizando criptografia de padrão industrial (AES-256 em repouso e TLS 1.3 em trânsito);
• Hashing de senhas: senhas são armazenadas em formato hash irreversível com salt (bcrypt/argon2);
• Controle de acesso: princípio do menor privilégio (least privilege) — apenas colaboradores estritamente autorizados têm acesso aos dados pessoais, com autenticação multifator (MFA);
• Segregação de ambientes: ambientes de produção, homologação e desenvolvimento são segregados;
• Monitoramento e detecção: sistemas de detecção de intrusão (IDS/IPS), monitoramento contínuo de logs e alertas de segurança em tempo real;
• Firewalls e WAF: proteção de perímetro de rede e aplicação com firewalls e Web Application Firewalls;
• Backups criptografados: backups regulares com criptografia, armazenados em localidades geograficamente distintas;
• Testes de segurança: varreduras regulares de vulnerabilidades (vulnerability scans) e testes de penetração (pentests) conduzidos por equipes especializadas.

10.2. Medidas Administrativas

• Política interna de segurança da informação e proteção de dados pessoais;
• Termos de confidencialidade (NDAs) obrigatórios para todos os colaboradores e prestadores de serviços;
• Treinamentos periódicos sobre proteção de dados e segurança da informação;
• Processo formal de gestão de incidentes de segurança;
• Avaliação de impacto à proteção de dados pessoais (RIPD/DPIA) para operações de alto risco;
• Auditoria periódica de conformidade com a LGPD e demais normas aplicáveis.

11 Incidentes de Segurança

Em cumprimento ao art. 48 da LGPD, a SWAPO adota o seguinte procedimento em caso de incidente de segurança que possa acarretar risco ou dano relevante aos Titulares:

11.1. Comunicação à ANPD

A SWAPO comunicará à Autoridade Nacional de Proteção de Dados (ANPD), em prazo razoável e conforme regulamentação específica, a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos Titulares. A comunicação incluirá:

• Descrição da natureza dos dados pessoais afetados;
• Informações sobre os Titulares envolvidos;
• Indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados;
• Os riscos relacionados ao incidente e as medidas que foram ou serão adotadas para reverter ou mitigar os efeitos do prejuízo;
• Os motivos da demora, caso a comunicação não tenha sido imediata.

11.2. Comunicação ao Titular

A SWAPO comunicará ao USUÁRIO afetado a ocorrência do incidente, com orientações sobre medidas que o Titular pode adotar para se proteger (como alteração de senhas, ativação de 2FA, monitoramento de contas), em conformidade com a determinação da ANPD.

11.3. Registro e Documentação

A SWAPO manterá registro documentado de todos os incidentes de segurança, incluindo os que não forem comunicados à ANPD, com descrição detalhada dos fatos, efeitos, medidas corretivas adotadas e lições aprendidas, conforme boas práticas de gestão de incidentes (ISO 27001/27035).

12 Dados de Menores

Os serviços da SWAPO são destinados exclusivamente a pessoas maiores de 18 (dezoito) anos com capacidade civil plena, conforme requisitos de elegibilidade estabelecidos na Seção 3.1 dos Termos de Uso. A SWAPO não coleta intencionalmente dados pessoais de crianças (menores de 12 anos) ou adolescentes (entre 12 e 17 anos), conforme definido pelo Estatuto da Criança e do Adolescente (Lei 8.069/1990).

O tratamento de dados pessoais de crianças e adolescentes, quando eventualmente necessário, deverá ser realizado no melhor interesse do menor e com o consentimento específico e em destaque de pelo menos um dos pais ou responsável legal (art. 14, §1º, LGPD).

Caso a SWAPO identifique que coletou inadvertidamente dados pessoais de menores de 18 anos, tais dados serão imediatamente eliminados, observado o dever de comunicação previsto no art. 14, §5º, da LGPD.

Se o USUÁRIO, responsável legal ou qualquer pessoa identificar que um menor de 18 anos forneceu dados à SWAPO, deverá notificar imediatamente pelos canais de contato indicados na Seção 15 desta Política.

13 Tratamento de Dados no Contexto BaaS

A SWAPO oferece infraestrutura de Banking as a Service (BaaS) e soluções White-Label para empresas parceiras. Nesse contexto, os papéis de tratamento de dados pessoais são definidos da seguinte forma:

13.1. Quando a SWAPO é Controladora

A SWAPO atua como Controladora de dados pessoais quando:

• Presta serviços diretamente ao USUÁRIO final (modelo B2C);
• Executa procedimentos de KYC e PLD/FT por obrigação regulatória própria;
• Determina as finalidades e os meios de tratamento dos dados coletados na Plataforma;
• Monitora transações para prevenção a fraudes e compliance regulatório.

13.2. Quando a SWAPO é Operadora

A SWAPO poderá atuar como Operadora de dados pessoais quando:

• Processa dados pessoais de usuários finais em nome e por conta de empresas parceiras que utilizam a infraestrutura BaaS;
• Executa operações técnicas sob instrução da empresa parceira (Controladora).

Nesses casos, a empresa parceira é a Controladora dos dados de seus próprios clientes e deve manter política de privacidade própria. A SWAPO tratará os dados exclusivamente conforme as instruções da empresa parceira, nos limites do contrato de BaaS e da legislação aplicável.

13.3. Controladores Conjuntos

Em determinados cenários, a SWAPO e a empresa parceira poderão atuar como Controladores Conjuntos (art. 42, §1º, II, LGPD), quando ambas participam das decisões sobre finalidades e meios de tratamento. Nesses casos, as responsabilidades são definidas contratualmente entre as partes.

13.4. Dados de Operações Internacionais

Para operações internacionais de pagamento FIAT processadas pela SWAPO em nome de empresas parceiras, os dados pessoais do remetente e beneficiário serão tratados em conformidade com as obrigações de PLD/FT e a Travel Rule, independentemente do papel da SWAPO (Controladora ou Operadora).

14 Alterações nesta Política

14.1. Direito de Alteração

A SWAPO reserva-se o direito de alterar, revisar ou atualizar esta Política de Privacidade a qualquer tempo, para refletir mudanças nos serviços, na legislação aplicável, nas práticas de mercado ou nos procedimentos internos de tratamento de dados.

14.2. Notificação de Alterações

Alterações materiais nesta Política serão comunicadas aos USUÁRIOS com antecedência mínima de 15 (quinze) dias corridos antes da entrada em vigor, por meio de:

• Aviso destacado na Plataforma;
• Notificação por e-mail para o endereço cadastrado;
• Notificação push, quando disponível;
• Publicação de resumo das alterações no início deste documento.

14.3. Versionamento

Cada versão desta Política será identificada por número de versão e data de entrada em vigor, indicados no topo deste documento. Versões anteriores poderão ser consultadas mediante solicitação à SWAPO.

14.4. Aceite das Alterações

A continuidade no uso da Plataforma após a entrada em vigor das alterações constitui aceitação da Política atualizada. O USUÁRIO que discordar das alterações deverá cessar o uso dos serviços e solicitar o encerramento de sua conta antes da data de vigência da nova versão, conforme Seção 14.2 dos Termos de Uso.

15 Canal de Contato e Encarregado (DPO)

Para exercer seus direitos como Titular de dados pessoais, esclarecer dúvidas sobre esta Política ou comunicar qualquer questão relacionada à privacidade e proteção de dados, o USUÁRIO poderá entrar em contato com o Encarregado de Dados (DPO) da SWAPO pelos seguintes canais:

O USUÁRIO poderá, ainda, apresentar petição à Autoridade Nacional de Proteção de Dados (ANPD) em caso de insatisfação com o atendimento prestado pela SWAPO, conforme art. 18, §1º, da LGPD. A ANPD pode ser contatada pelo site www.gov.br/anpd.

16 Disposições Finais

16.1. Lei Aplicável

Esta Política é regida pelas leis da República Federativa do Brasil, em especial a LGPD (Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014), o Marco Legal dos Criptoativos (Lei nº 14.478/2022) e as Resoluções BCB nº 519, 520 e 521/2025.

16.2. Independência das Cláusulas

Se qualquer disposição desta Política for considerada inválida ou inexequível por autoridade competente, tal invalidade não afetará as demais disposições, que permanecerão em pleno vigor.

16.3. Prevalência

Em caso de conflito entre esta Política e os Termos de Uso, prevalecerá esta Política no que se refere ao tratamento de dados pessoais. Em matéria de prestação de serviços e responsabilidades, prevalecerão os Termos de Uso.

16.4. Acordo Integral sobre Dados Pessoais

Esta Política, juntamente com os Termos de Uso e eventuais termos adicionais específicos, constitui o acordo integral entre as partes no que se refere ao tratamento de dados pessoais, substituindo quaisquer acordos anteriores sobre o tema.

16.5. Sobrevivência

As disposições desta Política que, por sua natureza, devam sobreviver ao término da relação entre o USUÁRIO e a SWAPO — incluindo retenção de dados para cumprimento de obrigação legal, exercício regular de direitos e direitos do titular — permanecerão em vigor após o encerramento da conta.