Política de Privacidade
Quais dados pessoais a Velfy trata, com que finalidade e base legal, com quem compartilha, por quanto tempo guarda e como você exerce seus direitos.
1. Quem trata seus dados
A VELFY PAGAMENTOS LTDA, CNPJ 60.120.940/0001-46, com sede em Quadra CRS 516, Bloco B, CH 963, nº 69 — Asa Sul, Brasília/DF, CEP 70381-525 ("Velfy"), é responsável pelo tratamento de dados pessoais descrito nesta política.
Ela se aplica ao site velfy.com.br, ao painel em app.velfy.com.br, à API em api.velfy.com e às páginas de checkout hospedadas em pay.velfy.com.
2. Quando somos controladora e quando somos operadora
Essa distinção muda quem responde pelo quê, então vale explicá-la.
A Velfy é controladora quando decide sobre o tratamento por conta própria: no cadastro e na diligência de seus clientes (lojistas), na prevenção à fraude e à lavagem de dinheiro, no cumprimento de obrigações legais e na operação do seu site e painel.
A Velfy é operadora quando trata dados de pagadores por conta e ordem do lojista, para executar uma cobrança que ele criou. Nesse caso, é o lojista quem determina a finalidade da venda e responde perante o titular pela relação de consumo.
Se você comprou de uma loja e chegou aqui: a Velfy processou o pagamento a pedido do vendedor. Para pedidos sobre a compra em si — produto, entrega, cancelamento — fale com a loja. Para pedidos sobre os dados que a Velfy tratou no pagamento, use o canal do item 14.
3. Dados que tratamos
3.1. Do cliente (lojista)
- identificação da empresa: razão social, CNPJ, endereço, atividade econômica;
- identificação de sócios, administradores, representantes e beneficiários finais: nome, CPF, data de nascimento, documento com foto e, quando aplicável, imagem para verificação biométrica;
- dados de contato: e-mail, telefone;
- dados bancários para liquidação e saque;
- dados de acesso ao painel e registros de uso das chaves de API.
3.2. Do pagador (cliente do lojista)
- nome, e-mail, telefone e documento (CPF ou CNPJ);
- dados da transação: valor, método, parcelas, itens e referência do pedido;
- dados do meio de pagamento, conforme o item 5;
- endereço IP, quando exigido para a análise de transação com cartão;
- identificador de ponta a ponta (
end2end) das operações Pix.
3.3. Coletados automaticamente
- registros de acesso a aplicação: data, hora e IP, conservados na forma do Marco Civil da Internet;
- dados de dispositivo e navegador nas páginas de checkout, para prevenção a fraude;
- cookies e tecnologias similares, conforme o item 11.
4. Para que usamos e com que base legal
- Processar pagamentos e repassar valores — execução de contrato (art. 7º, V) e, para o pagador, procedimentos preliminares e execução de contrato a pedido do titular.
- Identificar e qualificar clientes (KYC) — cumprimento de obrigação legal e regulatória (art. 7º, II).
- Prevenir fraude e garantir a segurança do titular — legítimo interesse (art. 7º, IX) e, quanto a dados sensíveis eventualmente tratados, a hipótese de prevenção à fraude e à segurança do titular (art. 11, II, "g").
- Monitorar operações e comunicar autoridades — cumprimento de obrigação legal (art. 7º, II).
- Atender requisições judiciais e administrativas — exercício regular de direitos (art. 7º, VI).
- Prestar suporte e comunicar sobre a conta — execução de contrato (art. 7º, V).
- Melhorar o produto e medir uso do site — legítimo interesse (art. 7º, IX), com dados agregados sempre que possível.
- Enviar comunicações de marketing — consentimento (art. 7º, I), revogável a qualquer momento.
Quando a base legal é o legítimo interesse, a Velfy avalia previamente se a finalidade é legítima, se o tratamento é necessário e se as expectativas e os direitos do titular estão preservados.
5. Dados de cartão
Os dados de cartão são tokenizados no navegador do próprio pagador, que se comunica diretamente com a Velfy usando a chave pública do lojista. O número completo do cartão e o código de segurança não transitam nem são armazenados nos servidores do lojista.
A Velfy retém apenas o necessário para operar, contestar e conciliar a transação: nome do portador, primeiros e últimos dígitos, bandeira e validade. O token gerado tem prazo curto de validade.
6. Com quem compartilhamos
A Velfy não vende dados pessoais. O compartilhamento ocorre apenas nas hipóteses abaixo, e sempre limitado ao necessário:
- Instituições financeiras, de pagamento e adquirentes que autorizam, liquidam e compensam as operações;
- Com o lojista, quando você é o pagador: os dados da sua transação são devolvidos a ele por API e por webhook, para que ele reconheça e libere o seu pedido;
- Bureaus e provedores de antifraude e de verificação cadastral e documental;
- Provedores de infraestrutura em nuvem, comunicação e suporte, na condição de operadores e sob contrato;
- Autoridades competentes, incluindo BACEN, COAF, Receita Federal, ANPD e Poder Judiciário, no cumprimento de obrigação legal ou de requisição formal;
- Assessores jurídicos e auditores, sob dever de sigilo;
- Em reorganização societária, hipótese em que esta política permanece aplicável aos dados transferidos.
7. Transferência internacional
Parte da infraestrutura e dos serviços de apoio pode estar hospedada fora do Brasil. Nesses casos, a Velfy adota as salvaguardas exigidas pelo capítulo V da LGPD, incluindo cláusulas contratuais específicas com os provedores.
8. Por quanto tempo guardamos
- Dados cadastrais e de diligência: no mínimo 5 anos após o encerramento do relacionamento, por exigência da legislação de prevenção à lavagem de dinheiro;
- Registros de transação: pelos prazos legais e regulatórios aplicáveis, também considerando os prazos de contestação, chargeback e prescrição;
- Registros de acesso a aplicação: pelo prazo do Marco Civil da Internet;
- Dados tratados com base em consentimento: até a revogação, salvo outra base legal que justifique a conservação.
Encerrado o prazo, os dados são eliminados ou anonimizados.
9. Segurança
A Velfy adota medidas técnicas e administrativas para proteger os dados, entre elas criptografia em trânsito e em repouso, autenticação das chamadas de API, segregação de ambientes, controle de acesso por perfil, registro de acessos e monitoramento contínuo.
Nenhum sistema é infalível. Em caso de incidente de segurança com risco relevante aos titulares, a Velfy comunica a ANPD e os titulares afetados, nos termos do art. 48 da LGPD.
10. Seus direitos
Como titular, você pode solicitar, nos termos do art. 18 da LGPD:
- confirmação da existência de tratamento e acesso aos dados;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
- portabilidade a outro fornecedor;
- eliminação dos dados tratados com base em consentimento;
- informação sobre com quem compartilhamos seus dados;
- informação sobre a possibilidade de não consentir e as consequências;
- revogação do consentimento;
- revisão de decisões tomadas exclusivamente de forma automatizada.
Os pedidos são atendidos no prazo legal, após verificação de identidade. Alguns dados não podem ser eliminados enquanto houver obrigação legal de guarda — nesse caso, explicamos o motivo e o prazo.
12. Crianças e adolescentes
Os serviços da Velfy destinam-se a pessoas maiores de 18 anos. A Velfy não coleta intencionalmente dados de crianças e adolescentes e, ao identificar coleta indevida, elimina os dados.
13. Alterações
Esta política pode ser atualizada. Alterações relevantes são comunicadas por e-mail ou no painel, com antecedência razoável. A data de atualização no topo desta página indica sempre a versão vigente.
14. Encarregado pelo tratamento de dados
Para exercer seus direitos ou esclarecer dúvidas sobre esta política, fale com o nosso encarregado (DPO):
- E-mail: contato@velfy.com.br
- Endereço: Quadra CRS 516, Bloco B, CH 963, nº 69 — Asa Sul, Brasília/DF, CEP 70381-525
Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).