Política de Privacidade

Esta Política descreve como a Pagsim trata dados pessoais, com que finalidade, sob qual base legal, por quanto tempo e quais direitos assistem aos titulares. Foi elaborada em conformidade com a Lei nº 13.709/2018 (LGPD) e integra os Termos de Uso, em pagsim.com/terms.

1. DO CONTROLADOR E DO ENCARREGADO

1.1. Controlador: PAGSIM, CNPJ 16.987.439/0001-90, Alameda Rio Negro, 503, Conj. 2301, Andar 23 — Alphaville, Barueri/SP, CEP 06454-000.

1.2. Encarregado pelo tratamento de dados pessoais: dpo@pagsim.com.

1.3. As solicitações são respondidas em até 15 (quinze) dias, observado o art. 19, § 1º, da LGPD. Não há cobrança pelo atendimento nem exigência de justificativa.

2. DO ÂMBITO DE APLICAÇÃO

2.1. Esta Política aplica-se ao tratamento de dados pessoais realizado por meio da plataforma Pagsim, do site pagsim.com, das Faturas disponibilizadas a Contatos e da API.

2.2. O serviço é operado a partir do Brasil e submete-se à LGPD.

2.3. Aos Usuários e Contatos situados no Espaço Econômico Europeu e no Reino Unido aplicam-se adicionalmente os direitos previstos na legislação local de proteção de dados, na forma da Seção 15.

2.4. Os termos iniciados por letra maiúscula e não definidos aqui têm o significado atribuído nos Termos de Uso.

3. DOS PAPÉIS NO TRATAMENTO

3.1. A Pagsim atua como controladora quanto aos dados de cadastro, cobrança, segurança e uso da plataforma, relativos ao Usuário e aos integrantes de sua equipe enquanto titulares de conta.

3.2. A Pagsim atua como operadora quanto aos dados pessoais que o Usuário insere, importa ou obtém a respeito de terceiros — Contatos, clientes, fornecedores, pagadores, beneficiários e demais pessoas mencionadas em lançamentos, anexos, comentários, Faturas e cofre. Nessa relação o controlador é o Usuário, nos termos da Seção 13.

3.3. Os Provedores Conectados e os processadores de pagamento atuam como controladores independentes quanto aos dados que tratam no exercício de sua própria atividade, submetidos às políticas deles.

4. DOS DADOS TRATADOS

4.1. Fornecidos pelo Usuário

a) Cadastro: nome, e-mail e senha. A senha é armazenada com Argon2id e não é legível pela Pagsim. b) Preferências: idioma, tema, fuso horário e opções de recebimento de avisos. c) Lançamentos: descrições, valores, datas, categorias, carteiras e identificação de quem paga ou recebe. d) Anexos e comentários: arquivos e textos vinculados a lançamentos e Contatos. Os arquivos ficam fora de diretório público e são servidos por endereços assinados e temporários. e) Contatos: dados cadastrais de clientes e fornecedores, campos personalizados e dados para emissão de documentos fiscais. f) Cofre: informações sigilosas do Usuário, inclusive senhas e credenciais de sua titularidade ou sob sua legítima guarda, observadas as vedações da cláusula 4.5. g) Credenciais de envio de e-mail, quando o Usuário configura seu próprio servidor: endereço, porta, usuário e senha de conexão, armazenados de forma cifrada. h) Equipe: e-mail das pessoas convidadas e permissões atribuídas. i) Formulário de contato: nome, e-mail e mensagem. j) Dados fiscais, exigidos apenas na contratação de plano pago: CPF, CNPJ ou identificação fiscal estrangeira, nome ou razão social, endereço, país, e-mail e telefone. k) Indicação: o código do afiliado responsável, quando aplicável. Trata-se de código, não do nome ou do e-mail do afiliado.

4.2. Gerados pelo uso

a) Sessões: data de acesso e de último uso. b) Tentativas de autenticação: e-mail e IP, para contenção de ataques automatizados. c) Histórico do Espaço: autoria e data das alterações, incluindo o registro de quem solicitou a revelação de conteúdo do cofre. d) Registros de acesso à aplicação: IP, data, hora e agente de usuário. e) Registros de integração: chave utilizada, rotas acessadas, volume de requisições e resultado das entregas de webhook. f) Registros de acesso a Faturas: data, hora e IP dos acessos do Contato à página da Fatura, para segurança e comprovação de disponibilização.

4.3. Obtidos de terceiros

a) Do Provedor Conectado, mediante autorização do Usuário: identificação da conta conectada, informações das cobranças emitidas, situação de liquidação, valores recebidos, tarifas informadas e situação das Ordens de Pagamento. b) Do processador da assinatura: situação da cobrança e meio de pagamento utilizado, sem acesso ao número do cartão.

4.4. Dados que a Pagsim não coleta

a) CPF ou CNPJ para a simples utilização do serviço; são solicitados apenas na contratação de plano pago, por exigência fiscal. b) Número de cartão de pagamento, código de segurança ou dados de trilha, informados diretamente ao processador. c) Senhas de acesso às contas do Usuário em Provedores Conectados: as Conexões operam por credenciais técnicas e tokens fornecidos pelo próprio provedor. d) Identificadores de publicidade, pixels de redes sociais e cookies de terceiros para fins publicitários.

4.5. Dados cujo armazenamento é vedado

4.5.1. É vedado ao Usuário inserir na plataforma, inclusive no cofre, dados pessoais sensíveis na acepção do art. 5º, II, da LGPD, dados completos de cartão de pagamento e credenciais de terceiros cuja guarda ele não esteja autorizado a exercer, conforme a cláusula 17.6 dos Termos de Uso.

5. DAS FINALIDADES E DAS BASES LEGAIS

6. DAS FUNCIONALIDADES FINANCEIRAS CONECTADAS

6.1. A Conexão depende de autorização do Usuário, manifestada perante o próprio Provedor Conectado, com indicação das operações autorizadas e do prazo de validade.

6.2. No âmbito dessa autorização, a Pagsim recebe os dados descritos na cláusula 4.3, alínea "a", e os utiliza exclusivamente para exibir a informação ao Usuário, conciliar lançamentos e transmitir as instruções por ele confirmadas.

6.3. A Pagsim não movimenta, não custodia e não detém recursos financeiros. As operações são executadas e liquidadas pelo Provedor Conectado, na conta de titularidade do Usuário.

6.4. A autorização pode ser revogada a qualquer tempo, na plataforma ou junto ao provedor. A revogação interrompe o recebimento de novos dados e não alcança as informações de operações já realizadas.

6.5. Os dados de pagadores e beneficiários tratados nessas operações são de titularidade de terceiros e sujeitam-se à Seção 13.

7. DAS FATURAS E DO ACESSO POR TERCEIROS

7.1. A Fatura é uma página hospedada pela Pagsim, acessível por link e código de acesso, cujo conteúdo é definido integralmente pelo Usuário.

7.2. Os dados pessoais do Contato exibidos na Fatura são tratados pela Pagsim na condição de operadora, por conta e ordem do Usuário, a quem compete assegurar a base legal e informar o titular.

7.3. A Pagsim registra data, hora e IP dos acessos à página, para segurança e comprovação de disponibilização, e disponibiliza essa informação ao Usuário.

7.4. O Contato que desejar exercer direitos sobre seus dados deve dirigir-se ao Usuário responsável pela cobrança. A Pagsim, ao receber solicitação dessa natureza, a encaminha ao Usuário e presta o auxílio técnico cabível.

8. DO COFRE

8.1. O cofre armazena informações sigilosas do Usuário, inclusive senhas e credenciais, e existe para mantê-las apartadas do restante do cadastro.

8.2. O conteúdo é cifrado, não é exposto pela API e só é revelado por caminho único, que verifica o Espaço antes de decifrar e registra no histórico quem solicitou a revelação e quando.

8.3. A chave de cifragem é mantida pela Pagsim. A arquitetura não é de conhecimento zero: em situações excepcionais, o conteúdo é tecnicamente decifrável. Esta Política declara esse fato para que o Usuário decida com clareza o que armazenar.

8.4. As credenciais do servidor de e-mail configurado pelo Usuário recebem proteção equivalente e são utilizadas exclusivamente para o envio das mensagens do respectivo Espaço.

9. DA API E DOS WEBHOOKS

9.1. A integração é ativada pelo Usuário e opera nos limites das permissões associadas à chave.

9.2. Os dados transmitidos por API e webhooks são enviados aos sistemas indicados pelo Usuário, que passa a responder por sua guarda, uso e segurança a partir do recebimento.

9.3. O conteúdo do cofre e o texto dos comentários não são expostos pela API.

9.4. Os registros descritos na cláusula 4.2, alínea "e", são mantidos para segurança, apuração de incidentes e controle de limites.

10. DOS COOKIES

10.1. São utilizados os seguintes cookies, nenhum com finalidade publicitária:

a) ps_sess — mantém a sessão autenticada. b) ps_lang e ps_theme — idioma e tema selecionados. c) ps_cookie_ok — registra a ciência do aviso de cookies. d) ps_ref — criado apenas em acesso por link de afiliado; armazena por 45 dias o código do indicante, para apuração de comissão. É cookie de atribuição, não de publicidade. e) cookie da página de Fatura — registra que o código de acesso já foi validado naquele dispositivo, para que o Contato não precise digitá-lo a cada consulta.

10.2. Não são utilizados cookies de rastreamento publicitário nem há compartilhamento de navegação com redes de anúncio.

11. DO COMPARTILHAMENTO

11.1. Os dados são compartilhados apenas com os agentes necessários à prestação do serviço:

a) Hospedagem e armazenamento de arquivos; b) Envio de mensagens transacionais; c) Processamento da assinatura; d) Provedores Conectados, quando o Usuário habilita as funcionalidades da Seção 6, com os dados necessários à emissão da cobrança ou à transmissão da ordem; e) Sistemas do próprio Usuário, por meio da API, dos webhooks e do servidor de e-mail que ele configurar; f) Autoridades, mediante ordem judicial ou obrigação legal, com comunicação prévia ao titular sempre que a legislação permitir.

11.2. Não há venda, locação ou permuta de dados pessoais, sem qualquer exceção comercial.

12. DO LOCAL DE TRATAMENTO E DA TRANSFERÊNCIA INTERNACIONAL

12.1. Os dados são atualmente armazenados e tratados em infraestrutura localizada no Brasil.

12.2. Para o Usuário domiciliado fora do Brasil, o tratamento realizado em território brasileiro constitui transferência internacional sob a perspectiva de sua legislação local, amparada na execução do contrato celebrado a pedido do próprio titular.

13. QUANDO O CONTROLADOR É O USUÁRIO

13.1. Quando o Usuário registra "Aluguel — João da Silva", emite Fatura em nome de um cliente ou cadastra um fornecedor, os dados dessas pessoas são tratados por decisão dele. Nessa relação, o Usuário é o controlador e a Pagsim é a operadora.

13.2. Compete ao Usuário, como controlador:

a) dispor de base legal adequada; b) prestar aos titulares as informações exigidas pela legislação; c) atender às solicitações de exercício de direitos que lhe forem dirigidas; d) abster-se de inserir dados sensíveis ou excessivos, nos termos da cláusula 4.5.

13.3. Compete à Pagsim, como operadora:

a) tratar os dados apenas conforme as instruções decorrentes da utilização do serviço e desta Política; b) manter as medidas de segurança da Seção 14; c) auxiliar o Usuário no atendimento a solicitações de titulares; d) comunicar ao Usuário incidente de segurança que envolva esses dados; e) eliminar ou devolver os dados ao término do tratamento, observados os prazos legais de guarda.

13.4. A Pagsim subcontrata os operadores da Seção 11, aos quais impõe obrigações de proteção compatíveis com esta Política.

14. DA SEGURANÇA

14.1. São adotadas, entre outras, as seguintes medidas:

a) tráfego cifrado por HTTPS em todo o serviço; b) senhas armazenadas com Argon2id, sem retenção de senha legível; c) verificação em duas etapas por e-mail, obrigatória para as funcionalidades financeiras conectadas; d) cifragem em repouso do conteúdo do cofre e das credenciais de envio, com revelação auditada; e) anexos fora de diretório público, servidos por endereços assinados e temporários; f) limitação de tentativas de autenticação e de requisições, contra ataques automatizados; g) segregação por Espaço, com restrição de cada consulta ao Espaço e à permissão de quem a realiza; h) assinatura criptográfica das entregas de webhook.

14.2. Nenhum sistema é absolutamente inviolável. Ocorrido incidente que possa acarretar risco ou dano relevante, a Pagsim comunicará os titulares afetados e a ANPD, nos termos do art. 48 da LGPD, bem como as autoridades estrangeiras competentes quando exigido.

15. DOS DIREITOS DO TITULAR

15.1. Nos termos do art. 18 da LGPD, o titular pode requerer, a qualquer tempo: confirmação da existência de tratamento e acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; portabilidade; eliminação dos dados tratados com base no consentimento; informação sobre as entidades com as quais houve compartilhamento; informação sobre a possibilidade de não fornecer consentimento e suas consequências; e revogação do consentimento.

15.2. Ao titular situado no Espaço Econômico Europeu ou no Reino Unido são assegurados, adicionalmente, os direitos de acesso, retificação, apagamento, limitação do tratamento, portabilidade e oposição, bem como o direito de apresentar reclamação à autoridade de controle de seu país.

15.3. As solicitações devem ser dirigidas ao Encarregado, em dpo@pagsim.com.

15.4. A funcionalidade de exportação disponível na plataforma atende de imediato aos pedidos de acesso e portabilidade quanto aos dados do Espaço.

15.5. O titular que não considerar satisfatória a resposta pode reclamar à Autoridade Nacional de Proteção de Dados, em gov.br/anpd.

16. DAS DECISÕES AUTOMATIZADAS

16.1. A Pagsim não toma decisões automatizadas que afetem os interesses do Usuário. A recusa, a retenção para análise ou o bloqueio de operação por indício de fraude decorrem sempre de análise humana.

16.2. Existem controles automáticos de natureza estritamente técnica e de segurança — limitação de tentativas de autenticação, limitação do volume de requisições à API e desativação de webhook após falhas consecutivas de entrega. Eles protegem a estabilidade do serviço e não constituem decisão sobre a pessoa.

17. DOS PRAZOS DE RETENÇÃO

17.1. Conta, lançamentos, anexos, Contatos e cofre: enquanto a conta existir, observado o prazo de guarda de histórico do plano contratado, informado na página de preços.

17.2. Exclusão solicitada pelo Usuário: imediata e definitiva, ressalvado o que a legislação obrigue a conservar.

17.3. Contas sem assinatura ativa e sem acesso por 12 meses: excluídas mediante aviso prévio de 30 dias por e-mail, acompanhado de link de exportação.

17.4. Registros de acesso à aplicação: 6 (seis) meses, nos termos do art. 15 do Marco Civil da Internet.

17.5. Documentos e dados fiscais: 5 (cinco) anos, prazo em que podem ser exigidos pela legislação tributária.

17.6. Registros de integração e de acesso a Faturas: enquanto a conta existir.

17.7. Registro de indicação de afiliado: enquanto a conta existir, por sustentar a comissão recorrente.

17.8. Espaço com assinatura vencida: os lançamentos não são eliminados por inadimplência. O Espaço segue aceitando lançamentos por 5 dias, passa a somente leitura por 15 dias e retorna ao plano gratuito com as recorrências canceladas.

18. DOS MENORES

18.1. O serviço não é destinado a menores de 18 anos e não há coleta intencional de dados de crianças e adolescentes. Constatada a ocorrência, o Encarregado deve ser comunicado para a devida eliminação.

19. DAS ALTERAÇÕES DESTA POLÍTICA

19.1. As alterações relevantes serão comunicadas por e-mail e dentro do sistema com antecedência mínima de 30 (trinta) dias, mantendo-se as versões anteriores acessíveis.

20. DO CONTATO

20.1. Dúvidas, solicitações e reclamações relativas a esta Política devem ser dirigidas ao Encarregado, em dpo@pagsim.com, ou pelo formulário em pagsim.com/contact.