Política de Privacidade
Como coletamos, usamos, armazenamos e protegemos seus dados pessoais
Última atualização: 1 de maio de 2026
1. Dados que coletamos
A Aurum Legacy coleta apenas os dados estritamente necessários para a prestação dos serviços contratados, em conformidade com os princípios de finalidade, adequação e necessidade estabelecidos pela LGPD (Lei 13.709/2018) e pelo GDPR. Abaixo, detalhamos cada categoria de dados pessoais tratados.
1.1 Dados cadastrais
- Nome completo e nome social
- CPF e/ou CNPJ
- Endereço de e-mail
- Número de telefone (celular e/ou fixo)
- Endereço residencial ou comercial completo
- Data de nascimento
- Nacionalidade e estado civil
1.2 Dados de verificação de identidade (KYC)
Para cumprimento de obrigações regulatórias (BACEN, COAF, CVM) e prevenção à lavagem de dinheiro, coletamos:
- Documento de identidade com foto (RG, CNH ou passaporte)
- Selfie para validação facial (prova de vida)
- Comprovante de residência atualizado (últimos 90 dias)
- Declaração de Imposto de Renda (quando aplicável)
- Comprovante de renda ou faturamento
- Informações sobre PEP (Pessoa Exposta Politicamente)
1.3 Dados financeiros
- Dados bancários (banco, agência, conta corrente)
- Histórico de transações realizadas na plataforma
- Endereços de carteiras de criptoativos (wallets)
- Dados de pagamento e recebimento via Pix
- Registros de operações OTC (Over-the-Counter)
- Dados de importação de veículos (valores, impostos, taxas)
1.4 Dados coletados automaticamente
- Endereço IP e geolocalização aproximada
- Tipo e versão do navegador (User-Agent)
- Sistema operacional e tipo de dispositivo
- Páginas visitadas, tempo de permanência e fluxo de navegação
- Logs de acesso com data e hora (conforme Marco Civil da Internet)
- Identificadores de dispositivo (device fingerprint)
- Dados de performance e erros de aplicação
1.5 Cookies e tecnologias similares
- Cookies essenciais (sessão, autenticação, CSRF, 2FA)
- Cookies de análise (métricas de uso agregadas e anonimizadas)
- Cookies de preferência (idioma, tema, configurações do usuário)
Para informações detalhadas, consulte nossa Política de Cookies.
1.6 Dados de terceiros
Podemos receber dados de fontes externas para fins de verificação e conformidade regulatória:
- Provedores de KYC e verificação de identidade (validação documental e biométrica)
- Bureaus de crédito e informações cadastrais (Serasa, SPC, Boa Vista)
- Bases de dados de sanções, PEP e listas restritivas (OFAC, ONU, UE)
- Registradores de imóveis e órgãos de trânsito (para operações de importação)
2. Como usamos seus dados
Cada tratamento de dados pessoais realizado pela Aurum Legacy está fundamentado em uma base legal específica, conforme exigido pela LGPD e pelo GDPR.
| Finalidade | Base Legal (LGPD) | Base Legal (GDPR) |
|---|---|---|
| Criação e gestão de conta | Art. 7º, V — Execução de contrato | Art. 6(1)(b) — Execução de contrato |
| Verificação de identidade (KYC) | Art. 7º, II — Obrigação legal/regulatória | Art. 6(1)(c) — Obrigação legal |
| Processamento de transações financeiras | Art. 7º, V — Execução de contrato | Art. 6(1)(b) — Execução de contrato |
| Prevenção à lavagem de dinheiro (PLD/FTP) | Art. 7º, II — Obrigação legal/regulatória | Art. 6(1)(c) — Obrigação legal |
| Comunicações operacionais do serviço | Art. 7º, V — Execução de contrato | Art. 6(1)(b) — Execução de contrato |
| Melhoria dos serviços e análise de uso | Art. 7º, IX — Interesse legítimo | Art. 6(1)(f) — Interesse legítimo |
| Marketing e comunicações promocionais | Art. 7º, I — Consentimento | Art. 6(1)(a) — Consentimento |
| Cumprimento de obrigações tributárias | Art. 7º, II — Obrigação legal/regulatória | Art. 6(1)(c) — Obrigação legal |
| Atendimento a ordens judiciais e requisições de autoridades | Art. 7º, II — Obrigação legal/regulatória | Art. 6(1)(c) — Obrigação legal |
2.1 O que NÃO fazemos com seus dados
- Nunca vendemos seus dados pessoais a terceiros, sob nenhuma circunstância
- Nunca utilizamos dados coletados no processo de KYC para fins de marketing
- Nunca compartilhamos seus dados com redes de publicidade ou plataformas de anúncios
- Nunca tomamos decisões automatizadas que afetem seus direitos sem revisão humana
- Nunca realizamos perfilamento (profiling) para concessão ou negação de crédito sem transparência
3. Compartilhamento de dados
A Aurum Legacy pode compartilhar seus dados pessoais com terceiros nas seguintes hipóteses, sempre observando o princípio da necessidade e mediante salvaguardas adequadas.
3.1 Operadores e prestadores de serviço
- Provedores de verificação de identidade e KYC (processamento sob instrução da Aurum Legacy)
- Google Cloud Platform (GCP) — infraestrutura de nuvem, armazenamento e processamento de dados
- Provedores de serviços de pagamento (PSPs) — processamento de transações Pix e bancárias
- Provedores de envio de e-mail transacional e comunicações (SendGrid)
- Ferramentas de monitoramento e segurança de aplicação (Sentry)
Todos os operadores estão vinculados por contratos que exigem confidencialidade, segurança e tratamento conforme nossas instruções.
3.2 Autoridades e órgãos reguladores
- Banco Central do Brasil (BACEN) — regulação financeira e cambial
- Conselho de Controle de Atividades Financeiras (COAF) — comunicações de operações suspeitas
- Receita Federal do Brasil — obrigações tributárias e fiscais
- Poder Judiciário — cumprimento de ordens judiciais
- Autoridade Nacional de Proteção de Dados (ANPD) — atendimento a requisições e fiscalizações
3.3 Parceiros de negócio
- Instituições bancárias parceiras — para liquidação de operações financeiras
- Exchanges e corretoras de criptoativos — para execução de ordens OTC
- Despachantes e agentes de importação — para operações de importação de veículos
3.4 Transferências internacionais de dados
Alguns de nossos prestadores de serviço podem estar localizados fora do Brasil. Nesses casos, garantimos proteção adequada mediante:
- Cláusulas Contratuais Padrão (SCCs) aprovadas pela Comissão Europeia e pela ANPD
- Verificação de decisão de adequação do país destinatário
- Consentimento específico e informado do titular, quando aplicável
- Adoção de medidas técnicas complementares (criptografia em trânsito e em repouso)
4. Retenção de dados
Armazenamos seus dados pessoais pelo tempo necessário ao cumprimento das finalidades para as quais foram coletados, respeitando os prazos legais e regulatórios aplicáveis.
| Categoria de dados | Prazo de retenção | Fundamento |
|---|---|---|
| Dados cadastrais | 5 anos após encerramento da conta | Art. 12, CDC; Art. 206, §5º, CC |
| Dados de KYC e verificação | 5 anos após encerramento da conta | Circular BACEN 3.978/2020; Lei 9.613/1998 |
| Registros de transações financeiras | 10 anos | Lei 9.613/1998, art. 10; Circular BACEN 3.978/2020 |
| Logs de acesso | 6 meses | Marco Civil da Internet (Lei 12.965/2014, art. 15) |
| Dados de marketing e preferências | Até revogação do consentimento | LGPD, art. 8º, §5º |
4.1 Após o término do prazo de retenção
Ao término do prazo aplicável, os dados pessoais serão tratados conforme uma das seguintes medidas:
- Anonimização irreversível — tornando impossível a identificação do titular, permitindo o uso para fins estatísticos e de melhoria de serviços
- Eliminação segura — exclusão definitiva de todas as bases de dados, backups e sistemas de armazenamento, utilizando métodos de destruição conformes com o NIST SP 800-88
5. Seus direitos
Nos termos da LGPD (art. 18) e do GDPR (arts. 15 a 22), você, como titular de dados pessoais, possui os seguintes direitos:
5.1 Direitos garantidos
- Confirmação e acesso — saber se tratamos seus dados e obter cópia dos dados pessoais que mantemos sobre você
- Correção — solicitar a retificação de dados pessoais incompletos, inexatos ou desatualizados
- Anonimização, bloqueio ou eliminação — de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD
- Portabilidade — receber seus dados pessoais em formato estruturado, de uso comum e leitura automatizada, para transferência a outro fornecedor
- Revogação do consentimento — retirar o consentimento a qualquer momento, sem afetar a licitude do tratamento realizado anteriormente
- Oposição — opor-se ao tratamento de dados pessoais realizado com base em interesse legítimo, caso entenda que há violação à LGPD
- Informação sobre compartilhamento — saber com quais entidades públicas e privadas seus dados foram compartilhados
- Revisão de decisões automatizadas — solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais
5.2 Como exercer seus direitos
Você pode exercer qualquer dos direitos acima através dos seguintes canais:
- Painel de privacidade — diretamente no dashboard da sua conta, na seção "Privacidade e Dados"
- E-mail — envie sua solicitação para privacidade@aurumlegacy.com.br ou dpo@aurumlegacy.com.br
- Formulário — disponível na página do Centro de Privacidade (LGPD)
Após o recebimento da sua solicitação, responderemos dentro dos seguintes prazos:
- LGPD — até 15 (quinze) dias corridos, conforme art. 18, §5º, da Lei 13.709/2018
- GDPR — até 30 (trinta) dias corridos, conforme art. 12(3) do Regulamento (UE) 2016/679, prorrogável por mais 60 dias em casos de complexidade
Para sua segurança, poderemos solicitar a verificação da sua identidade antes de atender à requisição.
6. Segurança
A Aurum Legacy adota medidas técnicas e organizacionais robustas para proteger seus dados pessoais contra acesso não autorizado, perda, alteração, destruição ou qualquer forma de tratamento inadequado, em conformidade com a ISO 27701 e o NIST Privacy Framework.
6.1 Medidas técnicas
- Criptografia em trânsito com TLS 1.3 em todas as comunicações
- Criptografia em repouso com AES-256 para dados sensíveis
- Controle de acesso baseado em função (RBAC) com princípio do menor privilégio
- Autenticação multifator (MFA) obrigatória para acesso administrativo e recomendada para usuários
- Sistema de gerenciamento de informações e eventos de segurança (SIEM) com monitoramento 24/7
- Testes de penetração (pentests) periódicos realizados por empresas independentes
- Programa de gerenciamento de vulnerabilidades com scanning contínuo
- Segregação de ambientes (produção, homologação, desenvolvimento)
- Backups criptografados com teste periódico de restauração
6.2 Medidas organizacionais
- Política de segurança da informação documentada e revisada periodicamente
- Programa de treinamento e conscientização em proteção de dados para todos os colaboradores
- Plano de resposta a incidentes de segurança com simulações periódicas
- Relatório de Impacto à Proteção de Dados Pessoais (DPIA/RIPD) para tratamentos de alto risco
- Acordos de confidencialidade (NDAs) com todos os colaboradores e prestadores de serviço
- Revisão periódica de acessos e permissões (access review)
- Processo de desenvolvimento seguro (Secure SDLC)
8. Menores de idade
Os serviços da Aurum Legacy são destinados exclusivamente a pessoas com 18 (dezoito) anos de idade ou mais. Não coletamos intencionalmente dados pessoais de menores de 18 anos.
Caso identifiquemos que dados de um menor foram coletados inadvertidamente, tomaremos as seguintes medidas imediatas:
- Encerramento da conta associada ao menor
- Eliminação completa e segura de todos os dados pessoais coletados
- Notificação ao responsável legal, quando possível
- Registro do incidente para fins de auditoria e melhoria dos controles de verificação etária
Se você é responsável legal e acredita que um menor sob sua tutela forneceu dados à Aurum Legacy, entre em contato imediatamente pelo e-mail dpo@aurumlegacy.com.br.
9. Encarregado de Proteção de Dados (DPO)
A Aurum Legacy designou um Encarregado de Proteção de Dados Pessoais (DPO), conforme exigido pelo art. 41 da LGPD, responsável por:
- Aceitar reclamações e comunicações dos titulares de dados e da ANPD, prestar esclarecimentos e adotar providências
- Orientar os funcionários, contratados e parceiros da Aurum Legacy sobre as práticas de proteção de dados
- Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares
- Conduzir e supervisionar o Relatório de Impacto à Proteção de Dados Pessoais (RIPD/DPIA)
- Monitorar a conformidade das operações de tratamento de dados com a LGPD e o GDPR
Dados de contato do DPO
- E-mail: dpo@aurumlegacy.com.br
- Localização: São Paulo/SP, Brasil
- Horário de atendimento: segunda a sexta-feira, das 9h às 18h (horário de Brasília)
10. Incidentes de segurança
Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares de dados, a Aurum Legacy adotará as seguintes providências:
10.1 Comunicação à ANPD
Comunicaremos à Autoridade Nacional de Proteção de Dados (ANPD) em até 72 (setenta e duas) horas após a ciência do incidente, conforme orientação da ANPD e alinhamento com o prazo previsto no art. 33 do GDPR, contendo:
- Descrição da natureza dos dados pessoais afetados
- Informações sobre os titulares envolvidos
- Indicação das medidas técnicas e de segurança utilizadas para proteção dos dados
- Riscos relacionados ao incidente
- Medidas adotadas para reverter ou mitigar os efeitos do incidente
10.2 Notificação aos titulares afetados
Os titulares de dados potencialmente afetados serão notificados de forma clara e tempestiva, por e-mail e/ou notificação na plataforma, informando:
- A natureza do incidente e os dados potencialmente comprometidos
- As medidas de contenção e remediação adotadas pela Aurum Legacy
- Recomendações de segurança para que o titular proteja seus dados (como troca de senhas)
- Os canais de contato para esclarecimentos adicionais
10.3 Medidas corretivas
Além da comunicação, implementaremos medidas corretivas imediatas, incluindo:
- Contenção e isolamento do incidente
- Investigação forense para identificação da causa raiz
- Remediação das vulnerabilidades identificadas
- Revisão e aprimoramento dos controles de segurança
- Documentação completa do incidente para fins regulatórios e de auditoria
11. Alterações nesta política
A Aurum Legacy poderá atualizar esta Política de Privacidade periodicamente para refletir mudanças em nossos serviços, práticas de tratamento de dados ou exigências legais e regulatórias.
Quando alterações substanciais forem realizadas:
- Notificaremos você com pelo menos 30 (trinta) dias de antecedência, por e-mail e/ou notificação destacada na plataforma
- A data de "Última atualização" no topo desta página será atualizada
- Quando exigido por lei, solicitaremos novo consentimento para os tratamentos afetados
- Versões anteriores desta política serão mantidas em arquivo e disponibilizadas mediante solicitação
O uso continuado dos serviços da Aurum Legacy após a entrada em vigor das alterações constitui aceitação da política atualizada. Caso não concorde com as modificações, você poderá encerrar sua conta e solicitar a eliminação dos seus dados.
12. Legislação aplicável e foro
Esta Política de Privacidade é regida pelas leis da República Federativa do Brasil, em especial:
- Lei Geral de Proteção de Dados Pessoais — LGPD (Lei nº 13.709/2018)
- Marco Civil da Internet (Lei nº 12.965/2014)
- Código de Defesa do Consumidor — CDC (Lei nº 8.078/1990)
- Lei de Prevenção à Lavagem de Dinheiro (Lei nº 9.613/1998)
- Regulamento Geral sobre a Proteção de Dados — GDPR (Regulamento UE 2016/679), quando aplicável
Fica eleito o foro da Comarca de São Paulo, Estado de São Paulo, como competente para dirimir quaisquer controvérsias decorrentes desta Política de Privacidade, com renúncia expressa a qualquer outro, por mais privilegiado que seja.