Política de privacidade

1. SOBRE ESTA POLÍTICA

A EXTRATTA INSTITUIÇÃO DE PAGAMENTO LTDA (CNPJ 36.000.836/0001-33), com sede na Rua Getúlio Vargas, 400, 6º andar, sala 601, Centro, Concórdia/SC, CEP 89700-017 (“EXTRATTA”), respeita a sua privacidade e é a controladora dos dados pessoais tratados no âmbito desta Política.

Esta Política explica, de forma transparente, quais dados pessoais tratamos, para quais finalidades, com quem os compartilhamos, por quanto tempo os mantemos, como os protegemos e quais são os seus direitos. Ela se aplica a clientes e usuários finais, motoristas, transportadores, embarcadores, fornecedores, parceiros e visitantes de nossos canais.

Em algumas operações, a EXTRATTA trata dados pessoais como Operadora, em nome de clientes pessoa jurídica que são os controladores dos dados de seus próprios usuários. Nesses casos, o tratamento segue as instruções e a base legal definidas por esses clientes.

2. LEGISLAÇÃO APLICÁVEL

Como instituição de pagamento, a EXTRATTA observa, entre outras normas, a Lei Geral de Proteção de Dados – LGPD (Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014), a legislação de arranjos e instituições de pagamento (Lei nº 12.865/2013) e a regulação do Pix (Resolução BCB nº 1/2020 e normas complementares), o sigilo das operações (Lei Complementar nº 105/2001) e as normas de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (Lei nº 9.613/1998 e regulação do Banco Central).

3. DEFINIÇÕES

Para facilitar a leitura, alguns termos utilizados nesta Política significam:

Termo	O que significa
Dado pessoal	Informação relacionada a uma pessoa natural identificada ou identificável.
Dado pessoal sensível	Dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, ou dado genético ou biométrico vinculado a uma pessoa.
Titular	A pessoa natural a quem os dados se referem — você.
Tratamento	Qualquer operação com dados pessoais, como coleta, uso, armazenamento, compartilhamento e eliminação.
Controlador / Operador	Controlador decide sobre o tratamento; Operador trata os dados em nome do Controlador.
Pix, SPI e DICT	Arranjo de pagamentos instantâneos; sistema que liquida as transações; e diretório que registra as chaves Pix.
Participante indireto	Instituição que oferece Pix por meio de um participante direto responsável pela liquidação.

4. DADOS QUE TRATAMOS E PRA QUÊ

Coletamos apenas os dados necessários às finalidades informadas, respeitando os princípios da finalidade, adequação e necessidade. As principais categorias e finalidades são:

Categoria	Exemplos	Finalidade	Base legal típica
Identificação e cadastro	Nome, CPF/CNPJ, data de nascimento, documentos	Cadastro, habilitação e verificação de identidade (KYC)	Execução de contrato; obrigação legal/regulatória
Contato	E-mail, telefone, endereço	Relacionamento e comunicações operacionais	Execução de contrato; legítimo interesse
Financeiros e transacionais	Dados de conta, valores, chaves Pix, identificadores de transação	Execução e liquidação de pagamentos e Pix	Execução de contrato; obrigação regulatória
Operação de frete	Placas, dados de veículo, CIOT, dados de viagem/geolocalização quando aplicável	Gestão e pagamento de frete, vale-pedágio e CIOT	Execução de contrato; obrigação legal
Prevenção à fraude e PLD/FT	Dados de dispositivo, marcações de fraude, histórico transacional	Segurança, prevenção à fraude e a crimes financeiros	Obrigação legal/regulatória; legítimo interesse
Dados sensíveis	Dados biométricos, quando usados em identificação/atendimento	Autenticação e segurança, quando aplicável	Prevenção à fraude

5. BASES LEGAIS DO TRATAMENTO

Tratamos seus dados com fundamento nas hipóteses previstas na LGPD, aplicando a cada situação a base adequada, notadamente: execução de contrato; cumprimento de obrigação legal e regulatória; legítimo interesse (em especial para segurança e prevenção à fraude); proteção do crédito; exercício regular de direitos; e consentimento, quando aplicável.

Nas atividades de pagamento e no Pix, o tratamento baseia-se, em regra, em obrigação legal e regulatória, execução de contrato e legítimo interesse. Quando o consentimento for a base do tratamento, ele é solicitado de forma específica e destacada, e pode ser revogado a qualquer momento.

6. TRATAMENTO DE DADOS NO ÂMBITO DO PIX

A EXTRATTA oferece pagamentos instantâneos (Pix) como participante indireto do arranjo: possui acesso indireto ao DICT e participação indireta no SPI, tendo a Celcoin como participante direto responsável pela liquidação das transações. No escopo atual, as contas transacionais são ofertadas a pessoas jurídicas, e a iniciação ocorre por chave Pix e por inserção manual de dados bancários (agência e conta); não são oferecidos QR Codes dinâmicos, iniciação de Pix pelo site, API Pix a terceiros ou participação no Open Finance.

Para viabilizar as transações, tratamos dados cadastrais e de conta, chaves Pix e seus vínculos, dados transacionais (valor, data e hora, identificadores da operação e da contraparte), CPF/CNPJ e dados de dispositivo e de prevenção à fraude. O funcionamento do Pix exige o compartilhamento desses dados com a Celcoin (participante liquidante), com o Banco Central do Brasil (por meio do SPI, do DICT e da RSFN) e, quando necessário à efetivação da transação, com os demais participantes do arranjo. O registro e a consulta de chaves Pix ocorrem no DICT.

Como parte dos mecanismos regulatórios de segurança, participamos do Mecanismo Especial de Devolução (MED) e dos processos de notificação de infração e de marcação de fraude no DICT. Essas marcações podem ficar vinculadas a um CPF/CNPJ pelos prazos definidos na regulação do Pix e afetar a realização de transações e o registro de chaves pelo usuário marcado. Todo esse tratamento observa o sigilo previsto na Lei Complementar nº 105/2001 e as normas de prevenção à lavagem de dinheiro, com base na execução do contrato, no cumprimento de obrigação legal e regulatória e no legítimo interesse de segurança.

7. COM QUEM COMPARTILHAMOS OS SEUS DADOS

Compartilhamos dados pessoais apenas na medida do necessário e sob salvaguardas contratuais, com as seguintes categorias de terceiros:

• a Celcoin, como participante liquidante do Pix, e o Banco Central do Brasil (SPI, DICT e RSFN);
• provedores de computação em nuvem e de infraestrutura de tecnologia;
• prestadores de serviços de atendimento, comunicação e sistemas de gestão;
• prestadores de verificação de identidade (KYC), prevenção à fraude e a crimes financeiros;
• autoridades públicas e órgãos reguladores, quando exigido por lei, regulação ou ordem judicial.

Exigimos de nossos operadores compromissos contratuais de proteção de dados, que definem responsabilidades e regras de tratamento e vedam usos incompatíveis com esta Política. Não vendemos seus dados pessoais.

8. TRANSFERÊNCIA INTERNACIONAL DE DADOS

Alguns de nossos fornecedores podem processar dados em infraestrutura localizada no exterior. Quando isso ocorre, a transferência é realizada em conformidade com a LGPD, mediante garantias adequadas, como cláusulas contratuais específicas ou outros mecanismos previstos em lei e na regulação da ANPD.

9. COOKIES

O site institucional da EXTRATTA não utiliza cookies nem outras tecnologias de rastreamento para coleta de dados de navegação. Caso isso mude no futuro, esta Política será atualizada e você será informado por meio de aviso específico no próprio site, com as opções de gerenciamento cabíveis.

10. POR QUANTO TEMPO MANTEMOS SEUS DADOS

Mantemos seus dados pessoais apenas pelo tempo necessário às finalidades informadas e ao cumprimento das obrigações legais e regulatórias. Os dados relacionados a pagamentos, ao Pix e à prevenção à lavagem de dinheiro observam os prazos mínimos de guarda da regulação do Banco Central e da legislação aplicável — em regra, no mínimo 5 (cinco) anos —, e os registros de auditoria do Pix são mantidos pelos prazos previstos na regulação (de 2 a 10 anos, conforme o tipo de registro). Encerrados os prazos, os dados são eliminados ou anonimizados, ressalvadas as hipóteses de guarda obrigatória.

11. COMO PROTEGEMOS SEUS DADOS

Adotamos medidas técnicas e administrativas para proteger seus dados contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração ou vazamento, incluindo controle de acesso, criptografia, monitoramento e cópias de segurança, orientadas por boas práticas de mercado e pela nossa Política de Segurança Cibernética.

Caso ocorra um incidente de segurança que possa acarretar risco ou dano relevante aos seus dados, comunicaremos você e a Autoridade Nacional de Proteção de Dados (ANPD), nos termos da LGPD.

12. SEUS DIREITOS

Nos termos do artigo 18 da LGPD, você pode, a qualquer momento, solicitar:

• a confirmação de que tratamos seus dados e o acesso a eles;
• a correção de dados incompletos, inexatos ou desatualizados;
• a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• a portabilidade dos dados a outro fornecedor;
• a eliminação dos dados tratados com base no consentimento;
• a informação sobre com quem compartilhamos seus dados;
• a informação sobre a possibilidade de não consentir e as consequências da recusa;
• a revogação do consentimento;
• a revisão de decisões tomadas unicamente de forma automatizada.

Alguns direitos podem ser limitados por obrigações legais e regulatórias de guarda: dados sujeitos aos prazos de PLD/FT, do Banco Central e da regulação do Pix não podem ser eliminados enquanto durar a obrigação. Você também pode apresentar reclamação à ANPD.

13. COMO EXERCER SEUS DIREITOS E FALAR COM O ENCARREGADO

Nosso Encarregado pelo Tratamento de Dados (DPO) é o Sr. Leonir Fernando Vargas, por meio da Núcleo Compliance Ltda. Para exercer seus direitos ou esclarecer dúvidas sobre privacidade, utilize preferencialmente o nosso canal de atendimento ao titular, disponível em https://extratta.com.br/contato-lgpd. Caso não seja possível utilizar esse canal, você também pode nos escrever para privacidade@extratta.com.br.

Podemos solicitar a confirmação da sua identidade para proteger seus dados contra acessos indevidos. Solicitações simples são respondidas o mais breve possível; as que exigem declaração completa são atendidas em até 15 (quinze) dias.

14. DADOS DE CRIANÇAS E ADOLESCENTES

Nossos serviços não são direcionados a crianças e adolescentes. Caso, excepcionalmente, seja necessário tratar dados de menores, faremos isso no melhor interesse do titular e conforme o artigo 14 da LGPD, incluindo, quando aplicável, o consentimento específico de ao menos um dos pais ou responsável.
o ser que haja deliberação por parte dele para outro membro do CSP ou em caso de ausência temporária dele.

15. ATUALIZAÇÕES DESTA POLÍTICA

Esta Política pode ser atualizada para refletir mudanças legais, regulatórias ou operacionais. A data da última atualização consta no topo do documento, e o histórico de revisões é registrado abaixo.

Revisão	Data	Histórico
00	14/09/2021	Rascunho.
01	30/09/2021	Publicação.
02	22/04/2022	Revisão completa do documento.
03	13/02/2023	Sem alterações na análise crítica anual.
04	15/12/2023	Inclusão de cláusula sobre o papel do Encarregado de Dados.
05	25/09/2026	Revisão geral com foco em transparência: inclusão do tratamento de dados no âmbito do Pix (participante indireto via Celcoin), das bases legais, do compartilhamento, da transferência internacional, de cookies, da retenção e dos direitos dos titulares; atualização do arcabouço legal.