Política de Privacidade e Tratamento de Dados Pessoais

Asura Technologies Ltda., inscrita no CNPJ sob o nº 66.968.122/0001-84, com sede no endereço Avenida Marquês de São Vicente, 405, conjunto 1804, Várzea da Barra Funda, São Paulo/SP, CEP 01139-001, responde pelo tratamento de dados pessoais descrito nesta Política. A sociedade presta esse serviço sob o nome comercial Vryen, e é assim referida ao longo do texto.

A Vryen atua como subadquirente, prestando serviços de tecnologia e de facilitação de pagamentos. A Vryen não é instituição financeira nem instituição de pagamento autorizada a funcionar pelo Banco Central do Brasil. A liquidação financeira e a custódia de recursos são realizadas por instituições autorizadas pelo Banco Central do Brasil, contratadas pela Vryen como parceiras.

Esse enquadramento importa para a privacidade: parte dos dados tratados pela Vryen é transmitida às instituições autorizadas parceiras, que respondem por seus próprios tratamentos perante o titular e perante o Banco Central do Brasil.

Dúvidas sobre esta Política e pedidos de titular são recebidos em privacidade@vryen.com. Assuntos operacionais do contrato são recebidos em suporte@vryen.com.

Esta Política alcança três grupos de titulares, com extensões diferentes:

• o Estabelecimento pessoa jurídica, quanto aos dados pessoais de seus sócios, administradores, representantes legais, procuradores e prepostos indicados no credenciamento ou no uso do painel;
• o Estabelecimento pessoa natural que contrata em nome próprio, quanto aos dados cadastrais e financeiros exigidos para a habilitação;
• o usuário pagador, quanto aos dados gerados na iniciação e na liquidação de cobranças Pix apresentadas pelo Estabelecimento.

Esta Política não rege o tratamento que o Estabelecimento realiza em seu próprio site, aplicativo, sistema de gestão ou canal de atendimento. O usuário pagador que queira saber como seus dados são usados para fins de venda, entrega, cobrança ou marketing deve consultar a política do Estabelecimento com quem contratou.

A Vryen também trata dados de candidatos a credenciamento cujo pedido é recusado. Nesse caso, aplicam-se as seções sobre prevenção a fraude e sobre retenção.

• Estabelecimento: a pessoa jurídica ou o empresário individual que celebra contrato com a Vryen e integra a plataforma ao próprio site, aplicativo ou sistema para receber pagamentos. O Estabelecimento é o cliente contratual.
• Usuário pagador: a pessoa natural ou jurídica que efetua o pagamento de uma cobrança Pix apresentada pelo Estabelecimento. O usuário pagador não é cliente contratual da Vryen.
• Painel: a interface autenticada em que o Estabelecimento acompanha transações, saldos, pedidos de saque, notificações e documentos.
• Instituição autorizada parceira: instituição financeira ou instituição de pagamento autorizada pelo Banco Central do Brasil, contratada pela Vryen para a liquidação e a custódia dos recursos.
• MED: o Mecanismo Especial de Devolução do Pix, disciplinado pela Resolução BCB nº 403/2024 e pelo Guia de implementação do MED do Banco Central do Brasil.
• Dados de identificação eletrônica: endereço IP, identificadores de dispositivo, características do navegador, data e hora de acesso e demais registros de conexão e de acesso a aplicações de internet.
• Titular: a pessoa natural a quem se referem os dados pessoais tratados, nos termos do art. 5º, V, da LGPD.

A Vryen é controladora dos dados cadastrais do Estabelecimento e de seus representantes, dos dados de acesso ao painel e dos dados usados na análise de risco do credenciamento. Nesses tratamentos, a Vryen decide as finalidades e os meios.

Quanto aos dados do usuário pagador coletados na cobrança Pix, a Vryen atua, em regra, como operadora, tratando os dados por conta e sob instrução do Estabelecimento, que é o controlador da relação de consumo subjacente.

A Vryen passa a ser controladora dos mesmos dados quando o tratamento decorre de dever próprio e não de instrução do Estabelecimento, nas seguintes hipóteses: cumprimento de obrigações de prevenção à lavagem de dinheiro e ao financiamento do terrorismo; atendimento a requisição de autoridade; prevenção a fraude e a abuso na própria plataforma; e apuração de contestação no âmbito do MED.

Quando a Vryen atua como operadora, o pedido de exercício de direitos pode ser dirigido ao Estabelecimento ou à Vryen. Recebido diretamente, o pedido é encaminhado ao Estabelecimento e o titular é informado do encaminhamento.

5.1. Dados cadastrais

Razão social, nome fantasia, CNPJ, endereço, atividade econômica, faturamento declarado, quadro societário e dados de contato. Dos sócios, administradores, representantes legais e prepostos: nome, CPF, data de nascimento, número e imagem de documento de identificação, endereço, telefone e endereço eletrônico.

5.2. Dados transacionais

Valor, data, hora, identificador da transação, chave Pix e dados da conta de destino do saque, situação de liquidação, devoluções, contestações e informações de conciliação. Podem constar do campo livre da cobrança os dados que o Estabelecimento decidir enviar, sob sua responsabilidade.

5.3. Dados de identificação eletrônica

Registros de conexão e de acesso ao painel e às interfaces de integração, endereço IP, identificadores de dispositivo, sistema operacional, navegador, geolocalização aproximada derivada do IP e histórico de autenticações.

5.4. Dados de comunicação

Mensagens trocadas com o atendimento, protocolos, anexos enviados em pedidos e reclamações, e o histórico das notificações emitidas no painel.

5.5. Dados de prevenção a fraude

Indicadores de risco, resultados de consulta a bureaus, apontamentos de restrição, registros de comportamento de uso e classificações produzidas pelas regras antifraude. Documentos de identificação apresentados na verificação podem conter dado pessoal sensível, tratado exclusivamente para identificação e autenticação de cadastro.

A Vryen não solicita, ao Estabelecimento nem ao usuário pagador, senha de conta bancária, código de acesso a aplicativo de banco ou credencial de acesso a canal de instituição financeira.

Os dados chegam por cinco vias:

1. informação prestada pelo próprio Estabelecimento no credenciamento, na atualização cadastral e no uso do painel;
2. informação transmitida pelo Estabelecimento ao criar a cobrança, inclusive dados do usuário pagador;
3. dados gerados pela própria operação, como registros de acesso, logs de integração e resultados de análise de risco;
4. dados recebidos das instituições autorizadas parceiras na liquidação, na devolução e na apuração de contestação;
5. dados obtidos de bureaus de crédito, provedores de informação cadastral e fontes públicas, como registros de órgãos de administração tributária, cadastros de sanções e listas restritivas exigidas pela regulação de prevenção à lavagem de dinheiro.

O Estabelecimento responde pela licitude dos dados de terceiros que transmite à Vryen e pela informação, ao usuário pagador, de que os dados serão tratados por prestador de serviço de pagamento.

Cada tratamento tem finalidade determinada e base legal própria. A tabela abaixo relaciona uma à outra:

O relatório de impacto e o teste de legítimo interesse relativos aos tratamentos fundados no art. 7º, IX, são apresentados à ANPD quando requisitados e, no que couber, ao titular que solicitar pelo canal do encarregado.

A revogação do consentimento previsto na última linha interrompe o envio das comunicações institucionais e não afeta os demais tratamentos, que têm base legal distinta e são necessários à prestação do serviço.

A Vryen não vende dados pessoais e não os cede para uso comercial de terceiros. O compartilhamento ocorre nas hipóteses abaixo e no limite necessário a cada uma:

• instituições autorizadas parceiras, para a liquidação da transação, a custódia dos recursos, a execução do saque e o processamento de devolução;
• Banco Central do Brasil e demais órgãos reguladores, no exercício de competência prevista em lei ou em norma infralegal;
• Conselho de Controle de Atividades Financeiras e autoridades policiais, fiscais e judiciais, mediante requisição fundamentada ou comunicação obrigatória de operação, nos termos da Lei nº 9.613/1998;
• bureaus de crédito e provedores de informação cadastral, para confirmação de dados e formação de indicadores de risco;
• provedores de infraestrutura em nuvem, de monitoramento e de comunicação, contratados como operadores e submetidos a obrigação contratual de confidencialidade e de uso restrito à instrução recebida;
• advogados, auditores e peritos, quando necessário à defesa de direito em processo;
• adquirente ou sucessor, em operação societária, hipótese em que a finalidade original do tratamento é mantida.

A Vryen compartilha com o Estabelecimento os dados do usuário pagador necessários à identificação do pagamento e ao cumprimento do contrato celebrado entre eles. A Vryen não repassa ao Estabelecimento os indicadores internos de risco que embasam decisão antifraude, salvo o resultado da análise e as transações atingidas.

Recebida requisição de autoridade, a Vryen confere a competência do órgão e a delimitação do pedido antes de responder e comunica o Estabelecimento, salvo quando a lei ou a ordem impuser sigilo.

Parte da infraestrutura de processamento e de armazenamento pode estar situada fora do território nacional. Nessa hipótese, a Vryen realiza a transferência internacional com fundamento no art. 33 da LGPD, por uma destas vias: adequação do país reconhecida pela ANPD; cláusulas contratuais padrão ou cláusulas específicas firmadas com o operador; ou necessidade para a execução do contrato com o titular.

Independentemente da localização do servidor, o operador contratado fica obrigado a tratar os dados apenas conforme a instrução da Vryen e a devolvê-los ou eliminá-los ao término do contrato.

O titular pode solicitar, em privacidade@vryen.com, a indicação da hipótese de transferência aplicável ao seu caso e a categoria de dados transferida.

O dado é conservado enquanto durar a finalidade que o justificou e, depois disso, apenas quando houver dever legal de guarda ou utilidade probatória. Os prazos abaixo têm fundamento normativo expresso:

• registros de acesso a aplicações de internet: 6 (seis) meses, por força do art. 15 da Lei nº 12.965/2014, prazo que pode ser estendido por ordem judicial;
• registros de identificação e de operações sujeitos à prevenção à lavagem de dinheiro: no mínimo 5 (cinco) anos contados da conclusão da transação ou do encerramento da relação, nos termos do art. 10, III, da Lei nº 9.613/1998 e da Circular BCB nº 3.978/2020, prazo prorrogável por determinação de autoridade competente;
• dados necessários à defesa em demanda de consumo: até o transcurso do prazo prescricional de 5 (cinco) anos previsto no art. 27 da Lei nº 8.078/1990;
• dados fiscais e contábeis: pelo prazo decadencial e prescricional aplicável ao tributo correspondente.

Nas hipóteses sem prazo fixado em norma, a Vryen define o período de guarda pelo tempo necessário à finalidade e o revisa periodicamente. Encerrado o prazo, o dado é eliminado ou anonimizado; o dado anonimizado pode ser usado em estatística e em ajuste de modelos de risco, sem possibilidade de reversão à pessoa identificada.

O encerramento do contrato não provoca a eliminação imediata dos dados sujeitos a guarda obrigatória. O pedido de eliminação apresentado antes do fim desses prazos é atendido apenas quanto aos dados não alcançados por dever legal, e o titular é informado do que foi mantido e por qual fundamento.

A Vryen adota medidas técnicas e administrativas de proteção contra acesso não autorizado, perda e alteração indevida, conforme o art. 46 da LGPD. As medidas em vigor, o controle de acesso interno e o procedimento de resposta a incidente estão descritos no documento de segurança da informação publicado em https://vryen.com/legal.

O Estabelecimento responde pela guarda das credenciais de acesso ao painel e das chaves de integração, pela definição dos perfis de seus prepostos e pela revogação do acesso de quem deixar a função. O acesso realizado com credencial válida presume-se feito pelo Estabelecimento até a comunicação de comprometimento.

Suspeita de vazamento, de uso indevido de credencial ou de vulnerabilidade deve ser comunicada a seguranca@vryen.com.

O art. 18 da LGPD assegura ao titular, mediante requisição:

• confirmação da existência de tratamento;
• acesso aos dados;
• correção de dado incompleto, inexato ou desatualizado;
• anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado em desconformidade com a LGPD;
• portabilidade a outro fornecedor, observada a regulamentação da ANPD e preservado o segredo comercial;
• eliminação de dado tratado com base em consentimento, ressalvadas as hipóteses do art. 16;
• informação sobre as entidades públicas e privadas com as quais houve compartilhamento;
• informação sobre a possibilidade de não fornecer consentimento e as consequências da recusa;
• revogação do consentimento.

1. O titular envia o pedido para privacidade@vryen.com, indicando o direito exercido e os dados que permitam localizá-lo no cadastro.
2. A Vryen confirma o recebimento e pode solicitar informação adicional para comprovar a identidade do requerente, quando houver dúvida fundada.
3. A confirmação de existência de tratamento e o acesso aos dados são respondidos em formato simplificado de imediato ou por declaração completa em até 15 (quinze) dias contados da requisição, nos termos do art. 19 da LGPD.
4. Os demais pedidos são respondidos no menor prazo possível, com informação sobre o andamento quando a apuração depender de terceiro.
5. O pedido negado recebe resposta com a justificativa, e o titular é informado de que pode peticionar à ANPD.

Pedido do usuário pagador relativo a dado tratado por conta do Estabelecimento é encaminhado ao Estabelecimento, a quem cabe a decisão. A Vryen informa o titular sobre o encaminhamento.

A Vryen mantém encarregado pelo tratamento de dados pessoais, indicado nos termos do art. 41 da Lei nº 13.709/2018. O canal de contato com o encarregado é privacidade@vryen.com, e a resposta é assinada com a identificação de quem responde.

O encarregado recebe as reclamações e as comunicações dos titulares, presta esclarecimentos, atua como interlocutor da ANPD e orienta as áreas internas sobre as práticas de proteção de dados.

Reclamação sobre atendimento, e não sobre dados pessoais, deve ser dirigida a suporte@vryen.com, na forma do Decreto nº 11.034/2022. Comunicação sobre conduta contrária à Lei nº 12.846/2013 deve ser dirigida a compliance@vryen.com.

A Vryen usa processamento automatizado para classificar o risco de transações e de pedidos de credenciamento. As regras combinam histórico transacional, indicadores de identificação eletrônica, resultado de consulta a bureaus e listas restritivas exigidas pela regulação de prevenção à lavagem de dinheiro.

A classificação automatizada pode produzir estes efeitos: recusa do pedido de credenciamento; recusa de processamento de uma transação; retenção cautelar de valores até a apuração; e suspensão do saque enquanto durar a análise.

O art. 20 da LGPD assegura a revisão da decisão tomada unicamente com base em tratamento automatizado. O Estabelecimento ou o titular atingido solicita a revisão em privacidade@vryen.com ou pelo painel, com a indicação da decisão contestada. A revisão é conduzida por pessoa natural, que confirma, ajusta ou reverte a decisão e informa o resultado ao requerente.

A Vryen informa os critérios gerais que orientam a decisão. A Vryen não detalha parâmetros e limiares cuja divulgação comprometa o segredo comercial ou a própria eficácia do controle antifraude, conforme o art. 20, § 1º, da LGPD.

O site institucional e o painel usam cookies e identificadores equivalentes para manter a sessão autenticada, registrar preferências e medir o uso das páginas. As categorias empregadas, a finalidade de cada uma e a forma de recusar as que não são necessárias constam da política de cookies publicada em https://vryen.com/legal.

A recusa dos cookies necessários impede a autenticação no painel, porque a sessão depende deles.

Os serviços da Vryen são destinados a pessoas jurídicas e a pessoas naturais com capacidade civil plena. A Vryen não credencia menor de 18 anos e não direciona comunicação a criança ou a adolescente.

O Estabelecimento não deve transmitir à Vryen dados de criança ou de adolescente sem observar o art. 14 da LGPD, inclusive o consentimento específico de ao menos um dos pais ou do responsável legal quando exigido.

Identificado tratamento de dado de criança sem o amparo do art. 14, a Vryen interrompe o tratamento, elimina o dado que não estiver sujeito a guarda obrigatória e comunica o Estabelecimento responsável pela transmissão.

Verificado incidente que possa acarretar risco ou dano relevante ao titular, a Vryen comunica a ANPD e o titular afetado, nos termos do art. 48 da LGPD.

A comunicação à ANPD é feita em até 3 (três) dias úteis contados do conhecimento do incidente, conforme a Resolução CD/ANPD nº 15/2024, e contém a descrição dos dados atingidos, os titulares envolvidos, as medidas técnicas de proteção aplicadas, os riscos identificados e as providências adotadas para reverter ou mitigar o efeito.

Quando o incidente atingir dados tratados por conta do Estabelecimento, a Vryen comunica o Estabelecimento no mesmo prazo, para que ele cumpra os deveres que lhe cabem como controlador. A Vryen presta as informações necessárias à comunicação do Estabelecimento aos seus titulares.

A Vryen pode alterar esta Política para refletir mudança de norma, de fornecedor ou de funcionalidade do serviço. A versão vigente fica publicada em https://vryen.com/legal, com a data da última atualização no topo.

Alteração que amplie a finalidade do tratamento ou inclua nova categoria de compartilhamento é comunicada ao Estabelecimento pelo painel e pelo endereço eletrônico cadastrado, antes de produzir efeito.

Se a nova finalidade depender de consentimento, a Vryen solicita o consentimento específico e não trata o dado para aquela finalidade enquanto não o obtiver.