Política de Privacidade e Proteção de Dados

1.1 Apresentação, âmbito de aplicação e documentos correlatos

Esta Política de Privacidade e de Proteção de Dados Pessoais (“Política”) explica, de forma completa e transparente, como os seus dados pessoais são tratados quando você navega no site giros.app (“Plataforma”), simula ou solicita crédito por meio do Giros, contrata a operação de crédito e paga as suas parcelas. Ela foi redigida nos termos da Lei nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais (“LGPD”), da Lei nº 12.965/2014 – Marco Civil da Internet, da Lei Complementar nº 105/2001 – sigilo das operações de instituições financeiras, da Lei nº 12.414/2011 – Cadastro Positivo, com as alterações da Lei Complementar nº 166/2019, e da regulamentação editada pela Agência Nacional de Proteção de Dados (“ANPD”), pelo Conselho Monetário Nacional (“CMN”), pelo Banco Central do Brasil (“BCB”) e pela Comissão de Valores Mobiliários (“CVM”), conforme seja aplicável a cada agente da operação.

Esta Política aplica-se a todo o tratamento de dados pessoais realizado no âmbito do produto Giros – da navegação anônima na Plataforma à liquidação integral do crédito –, alcançando visitantes, proponentes, contratantes e usuários dos canais de atendimento e de denúncias. Ela deve ser lida em conjunto com os Termos de Uso, com a Política de Cookies e com os termos de consentimento específicos apresentados ao longo da jornada de contratação – termo de consentimento para leitura de documentos por inteligência artificial, termos de consentimento do Open Finance (dados e pagamento) e Termo de Autorização de Consulta e Compartilhamento de Informações do SCR –, que prevalecem sobre esta Política nos aspectos próprios de cada etapa.

O Giros é um produto de crédito destinado a motoristas de aplicativo e demais trabalhadores de plataformas digitais. Por envolver dados financeiros e decisão automatizada de crédito, o tratamento realizado é classificado como de alto risco, conforme o art. 4º, I, “b”, e II, “c”, da Resolução CD/ANPD nº 2/2022 – e, exatamente por isso, esta Política adota um padrão reforçado de transparência, em atenção aos princípios da boa-fé, da finalidade, da necessidade, da transparência, da segurança, da não discriminação e da responsabilização, nos termos do art. 6º da LGPD, e ao dever de informação adequada e clara, conforme o art. 6º, III, do Código de Defesa do Consumidor.

2.1 Identificação da controladora

A controladora dos dados pessoais tratados no âmbito da Plataforma – isto é, a pessoa jurídica a quem competem as decisões referentes ao tratamento, nos termos do art. 5º, VI, da LGPD – é a JUQUIRI ASSESSORIA E CONSULTORIA LTDA., sociedade empresária limitada, inscrita no CNPJ sob o nº 48.739.505/0001-07, com sede na Rua Iguape, nº 546, Marambaia, Vinhedo-SP, CEP 13287-032, que atua no mercado sob o nome fantasia “Brücken” e é titular da marca e da plataforma “Giros” (“Brücken”, “nós”).

A Brücken não é uma instituição financeira. Na operação de crédito do Giros, a Brücken atua como correspondente no País da instituição financeira credora, nos termos da Resolução CMN nº 4.935/2021, cabendo-lhe a captação e o encaminhamento de propostas, o relacionamento com o proponente e o suporte da jornada digital. O crédito é concedido pela instituição contratante identificada no item seguinte desta Seção Segunda e no bloco de identificação regulatória disponível na página inicial da Plataforma, que informa os produtos, os canais de atendimento e a ouvidoria da instituição credora, conforme o art. 14, III, da Resolução CMN nº 4.935/2021.

2.2 A operação Giros e a cadeia de agentes de tratamento

A operação de crédito do Giros é estruturada em camadas, e cada camada envolve um agente de tratamento com papel próprio, nos termos dos arts. 5º, VI e VII, 37 a 40 e 42 a 44 da LGPD. Em linguagem direta: quem decide sobre os seus dados em cada atividade responde por ela. A cadeia é a seguinte:

• (a) CELCOIN SOCIEDADE DE CRÉDITO DIRETO S.A. (“Celcoin SCD”), inscrita no CNPJ sob o nº 48.632.754/0001-90, com sede em Barueri-SP – sociedade de crédito direto autorizada a funcionar pelo BCB, nos termos da Resolução CMN nº 5.050/2022. É a instituição credora da operação: emite a Cédula de Crédito Bancário (“CCB”) que documenta o seu empréstimo, nos termos dos arts. 26 e seguintes da Lei nº 10.931/2004 e é a instituição contratante do correspondente. Nas atividades que a lei e a regulamentação lhe impõem em nome próprio – concessão do crédito, identificação e cadastro de clientes, prevenção à lavagem de dinheiro e ao financiamento do terrorismo, conforme a Lei nº 9.613/1998, registro e consulta das operações no Sistema de Informações de Créditos do BCB (“SCR”) –, a Celcoin SCD atua como controladora autônoma dos dados pessoais correspondentes;
• (b) FAIR DRIVE FUNDO DE INVESTIMENTO EM DIREITOS CREDITÓRIOS DE RESPONSABILIDADE LIMITADA (“Fair Drive FIDC”) – fundo de investimento em direitos creditórios constituído nos termos da Resolução CVM nº 175/2022 e de seu Anexo Normativo II, administrado pela FIDD DISTRIBUIDORA DE TÍTULOS E VALORES MOBILIÁRIOS LTDA., inscrita no CNPJ sob o nº 37.678.915/0001-60, e gerido pela HORIZONTE CAPITAL GESTÃO DE INVESTIMENTOS LTDA., inscrita no CNPJ sob o nº 21.409.171/0001-49. O Fair Drive FIDC adquire os direitos creditórios decorrentes das CCBs, emitidas pela Celcoin SCD e, para tanto, recebe os dados dos devedores cedidos, promove a verificação de lastro e cumpre as obrigações regulamentares de envio de dados ao SCR e de consulta mediante autorização específica do devedor. Nesse eixo próprio, o fundo – representado por sua administradora – e seus prestadores de serviços essenciais atuam como controladores;
• (c) PLUGGY BRASIL INSTITUIÇÃO DE PAGAMENTO LTDA. (“Pluggy”), inscrita no CNPJ sob o nº 37.943.755/0001-30 – instituição participante do Open Finance que presta dois serviços distintos na jornada: (i) na etapa de análise, atua como instituição receptora de dados, provendo a infraestrutura de agregação pela qual você compartilha, mediante o consentimento específico, os seus dados bancários; e (ii) na etapa de pagamento, atua como iniciadora de transação de pagamento, sob regulação do BCB, para o agendamento do Pix Automático das parcelas. No tratamento realizado por conta e ordem da Brücken, a Pluggy é operadora; nos deveres regulatórios próprios de instituição participante do Open Finance, responde na forma da regulamentação do BCB. Por contrato, os dados pessoais tratados pela Pluggy são mantidos em território brasileiro;
• (d) bureau de crédito e provedores de dados cadastrais – a consulta de crédito a partir do seu CPF é realizada junto a gestores de bancos de dados e provedores de informações cadastrais e de crédito, atualmente a BIG DATA CORP, no regime da Lei nº 12.414/2011. Os gestores de bancos de dados de histórico de crédito exercem as atribuições que lhes são conferidas conforme o art. 4º da Lei nº 12.414/2011, na redação da Lei Complementar nº 166/2019, e respondem como agentes de tratamento no seu eixo próprio; e
• (e) provedores de infraestrutura e tecnologia – operadores que tratam dados em nome da Brücken, nos termos do art. 5º, VII, da LGPD, destacando-se: a Microsoft Azure, provedora da infraestrutura de nuvem que hospeda a Plataforma, com processamento na região brazilsouth (São Paulo, Brasil); o provedor de tecnologia de inteligência artificial responsável pela leitura automatizada dos relatórios de viagens e a plataforma de gestão de carteira e cobrança utilizada para o relacionamento pós-contratação. Todos os operadores estão vinculados a instruções escritas da controladora e a obrigações contratuais de proteção de dados, nos termos do art. 39 da LGPD.

A captação de proponentes pela Plataforma é hoje conduzida pela Brücken. Caso a titularidade da Plataforma venha a ser transferida a uma entidade constituída em conjunto com parceiros da operação, esta Política será reeditada com a nova identificação do controlador e você será informado, conforme a Seção Décima Nona.

3.1 Encarregado pelo tratamento de dados pessoais

A Brücken designa como Encarregado pelo Tratamento de Dados Pessoais (DPO), nos termos do art. 41 da LGPD e da Resolução CD/ANPD nº 18/2024, o Ricardo Mastropasqua. O Encarregado é o seu canal direto para qualquer assunto de privacidade e pode ser contatado pelo e-mail privacidade@giros.app ou pelo e-mail dpo@brucken.com.br, ambos monitorados pela mesma função de privacidade.

Ao Encarregado compete aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências, receber comunicações da ANPD, orientar o pessoal da controladora sobre as práticas de proteção de dados e executar as demais atribuições determinadas pela controladora ou estabelecidas em normas complementares, nos termos do art. 41, § 2º, da LGPD.

4.1 Definições

Os termos empregados nesta Política têm o significado que lhes são atribuídos nos termos do art. 5º da LGPD. Para facilitar a leitura, destacam-se os principais, ao lado de termos próprios da operação:

• (a) “Dado Pessoal” – informação relacionada a pessoa natural identificada ou identificável, nos termos do art. 5º, I, da LGPD;
• (b) “Dado Pessoal Sensível” – dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural, nos termos do art. 5º, II, da LGPD;
• (c) “Titular” – pessoa natural a quem se referem os dados pessoais objeto de tratamento (“você”), nos termos do art. 5º, V, da LGPD;
• (d) “Tratamento” – toda a operação realizada com dados pessoais, como coleta, recepção, utilização, acesso, processamento, armazenamento, compartilhamento, eliminação e avaliação, nos termos do art. 5º, X, da LGPD;
• (e) “Controlador e Operador” – respectivamente, quem decide sobre o tratamento e quem trata os dados em nome do controlador, nos termos do art. 5º, VI e VII, da LGPD;
• (f) “Uso Compartilhado de Dados” – comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais entre agentes de tratamento, nos termos do art. 5º, XVI, da LGPD;
• (g) “Open Finance” – o Sistema Financeiro Aberto, regulado pela Resolução Conjunta CMN/BCB nº 1/2020 e pela regulamentação complementar do BCB, que permite o compartilhamento padronizado de dados e serviços entre instituições participantes, mediante o consentimento do cliente;
• (h) “Iniciação de Transação de Pagamento” – serviço, prestado por instituição autorizada pelo BCB, que possibilita a ordem de pagamento a partir da sua conta, sem que a iniciadora detenha em momento algum os fundos transferidos, conforme a Resolução Conjunta CMN/BCB nº 1/2020;
• (i) “Pix Automático” – modalidade de pagamento recorrente do arranjo Pix, do BCB, utilizada para o débito das parcelas semanais do crédito, cuja autorização é concedida por você no ambiente da instituição em que mantém a sua conta e pode ser cancelada a qualquer tempo, conforme a regulamentação do Pix editada pelo BCB por meio da Resolução BCB nº 402/2024;
• (j) “CCB” – Cédula de Crédito Bancário, título de crédito emitido em favor de instituição financeira, representando a promessa de pagamento em dinheiro, nos termos do art. 26 da Lei nº 10.931/2004, que documenta a sua operação de crédito;
• (k) “SCR” – Sistema de Informações de Créditos do BCB, base de dados sobre operações de crédito à qual as instituições financeiras enviam informações e que pode ser consultada mediante a sua autorização específica; você pode consultar as suas próprias informações no SCR pelo sistema Registrato, do BCB; e
• (l) “Incidente de Segurança” – evento adverso, confirmado ou suspeito, relacionado à violação da segurança de dados pessoais, conforme o Regulamento de Comunicação de Incidente de Segurança aprovado pela Resolução CD/ANPD nº 15/2024.

5.1 Dados pessoais tratados, etapa por etapa da jornada

A jornada de contratação do Giros é integralmente digital e compreende oito etapas. Para cada etapa, indicamos abaixo exatamente quais dados são coletados e de onde eles vêm. Fora da jornada, tratamos ainda dados de navegação e os dados que você nos envia pelos canais de atendimento e de denúncias.

• (a) Etapa 1 – Identificação: nome completo, CPF, e-mail e telefone celular, fornecidos por você no formulário público de nova proposta;
• (b) Etapa 2 – Validação: token de validação do e-mail informado e resultado da checagem da sua identidade contra bases públicas e de prevenção a fraudes;
• (c) Etapa 3 – Comprovação de renda: relatório de viagens ou de faturamento exportado da plataforma de trabalho (em PDF), enviado por você, do qual um agente de inteligência artificial extrai a renda mensal e anual. O relatório pode conter dados comportamentais de trabalho – corridas, períodos e padrões de atividade –, razão pela qual a extração é limitada às informações de renda estritamente necessárias à análise, com descarte do que exceder essa finalidade;
• (d) Etapa 4 – Open Finance (dados): dados cadastrais e transacionais das contas que você indicar – saldos, movimentações e histórico –, recebidos por meio da Pluggy mediante o seu consentimento específico, no escopo de dados definido, conforme a Circular BCB nº 4.015/2020 e limitados às categorias e à janela temporal necessárias à análise de crédito;
• (e) Etapas 5 a 7 – Análise e decisão: score de crédito, registros de adimplemento e inadimplemento e demais informações de crédito obtidas junto ao bureau a partir do seu CPF; informações do SCR, consultadas pela instituição credora mediante a sua autorização específica; e os dados gerados pelo próprio motor de crédito – classe de risco, resultado da análise e condições ofertadas ou motivo da negativa;
• (f) Etapa 8 – Contratação e pagamento: dados necessários à emissão da CCB pela Celcoin SCD, registro da sua assinatura e dos aceites da jornada, dados da conta de liquidação e o mandato de Pix Automático das parcelas, constituído mediante segundo consentimento específico, por meio da Pluggy;
• (g) Navegação na Plataforma: endereço IP, data e hora de acesso, identificadores de dispositivo e registros de acesso a aplicações, mantidos sob sigilo pelo prazo legal, nos termos do art. 15 da Lei nº 12.965/2014, além dos cookies descritos na Seção Décima Segunda; e
• (h) Canais de atendimento e de denúncias: dados de contato e conteúdo das mensagens que você nos enviar. O canal de denúncias admite relato anônimo; se você se identificar, seus dados serão tratados com confidencialidade reforçada e proteção contra retaliação.

5.2 Dados que não coletamos

A jornada do Giros não coleta dados pessoais sensíveis, assim qualificados nos termos do art. 5º, II, da LGPD. Como o histórico transacional do Open Finance pode, por inferência, revelar informações dessa natureza – por exemplo, pagamentos a entidades religiosas, sindicais ou de saúde –, a Brücken adota medidas de filtragem e minimização na ingestão desses dados e veda a utilização de tais inferências no motor de crédito, em atenção aos princípios da necessidade e da não discriminação, nos termos do art. 6º, III e IX, da LGPD.

6.1 Finalidades e bases legais

Cada tratamento realizado no Giros apoia-se em uma hipótese legal autorizativa, conforme o art. 7º da LGPD. A correspondência entre finalidades e bases legais é a seguinte:

• (a) procedimentos preliminares e execução do contrato, nos termos do art. 7º, V, da LGPD – cadastro e identificação (etapa 1), validação de e-mail (etapa 2), recepção do relatório de renda (etapa 3), formalização da CCB, gestão do contrato, atendimento, cobrança e liquidação das parcelas (etapa 8);
• (b) consentimento, nos termos do art. 7º, I, da LGPD – leitura do seu relatório de viagens por agente de inteligência artificial (etapa 3), compartilhamento de dados via Open Finance (etapa 4) e constituição do mandato de Pix Automático (etapa 8), sempre por termos específicos, granulares e destacados, apresentados no momento próprio da jornada. O consentimento pode ser revogado a qualquer momento, por procedimento gratuito e facilitado, nos termos do art. 8º, § 5º, da LGPD;
• (c) proteção do crédito, nos termos do art. 7º, X, da LGPD – consulta ao bureau de crédito e tratamento das informações de adimplemento e inadimplemento no regime da Lei nº 12.414/2011, inclusive para a formação do score utilizado na análise;
• (d) legítimo interesse, nos termos do art. 7º, IX, da LGPD – prevenção a fraudes na jornada, segurança da informação, aperfeiçoamento do produto e do modelo de análise e comunicações operacionais compatíveis com as suas expectativas legítimas. Para cada hipótese de legítimo interesse, a Brücken mantém teste de balanceamento documentado (LIA) e assegura a você o direito de oposição, nos termos do art. 18, § 2º, da LGPD;
• (e) cumprimento de obrigação legal ou regulatória, nos termos do art. 7º, II, da LGPD – guarda de registros de acesso, conforme o art. 15 da Lei nº 12.965/2014, atendimento a requisições de autoridades competentes e suporte às obrigações regulatórias das instituições da cadeia, entre elas as rotinas de prevenção à lavagem de dinheiro da instituição credora, conforme a Lei nº 9.613/1998, e o envio de dados ao SCR;
• (f) exercício regular de direitos, nos termos do art. 7º, VI, da LGPD – defesa da Brücken em processos judiciais, administrativos e arbitrais, inclusive quanto aos registros de consentimento e das decisões da jornada; e
• (g) comunicações de marketing – apenas com o seu consentimento ou, quando você já for cliente, com fundamento em legítimo interesse para ofertas compatíveis com a relação existente, sempre com opção de descadastro imediato em todas as mensagens e pelo link “Solicitar exclusão” da Plataforma.

7.1 Decisão automatizada de crédito e direito à revisão

A análise do seu pedido de crédito no Giros é integralmente automatizada: a decisão de aprovação ou negativa e a definição das condições – valor, prazo e taxa – são tomadas unicamente com base em tratamento automatizado de dados pessoais destinado a definir o seu perfil de crédito. Essa é, literalmente, a hipótese disciplinada nos termos do art. 20, caput, da LGPD, e você tem, por isso, o direito de solicitar a revisão de qualquer decisão automatizada que afete os seus interesses.

Transparência sobre a lógica da decisão: o motor de crédito avalia, em conjunto e sem se limitar a um único fator: (i) a renda extraída dos seus relatórios de viagens; (ii) os dados transacionais compartilhados por você via Open Finance; (iii) o score, o histórico de crédito e os registros de adimplemento e inadimplemento obtidos junto ao bureau; (iv) as informações do SCR consultadas mediante a sua autorização; e (v) a consistência cadastral apurada nas validações da jornada. Em caso de negativa, a Plataforma devolve o motivo principal da decisão. O detalhamento dos critérios e dos procedimentos utilizados será fornecido sempre que você solicitar, observados os segredos comercial e industrial, nos termos do art. 20, § 1º, da LGPD – e, mesmo quando o segredo limitar o detalhamento, a ANPD poderá realizar auditoria para verificação de aspectos discriminatórios, conforme o art. 20, § 2º, da LGPD.

A consulta a sistemas de score de crédito independe do seu consentimento prévio, conforme a Súmula 550 do Superior Tribunal de Justiça – mas você tem sempre direito aos esclarecimentos sobre as fontes consultadas e as informações valoradas, bem como, aos direitos de cadastrado descritos na Seção Décima Primeira.

Para pedir a revisão de uma decisão, escreva ao Encarregado pelos canais da Seção Terceira, indicando a proposta e as razões do pedido. O fluxo interno de revisão é estruturado, registrado e submetido a avaliação qualificada, com resposta fundamentada. O modelo de análise é, ainda, submetido a testes periódicos de equidade (fairness testing) e a uma lista de bloqueio de variáveis vedadas, para impedir o uso de dados sensíveis ou de aproximações indiretas deles (proxies), em atenção ao princípio da não discriminação, nos termos do art. 6º, IX, da LGPD.

8.1 Com quem compartilhamos os seus dados

O Giros é uma operação em cadeia e o compartilhamento dos seus dados segue estritamente o desenho descrito na Seção Segunda – cada destinatário recebe apenas os dados necessários à sua função, com salvaguardas contratuais de proteção de dados, nos termos dos arts. 39, 42 a 44 da LGPD. Os destinatários são:

• (a) Celcoin SCD – instituição credora: recebe os dados da proposta e do proponente para decisão de emissão da CCB, executa as suas rotinas próprias de identificação de clientes e de prevenção à lavagem de dinheiro, conforme a Lei nº 9.613/1998, registra a operação no SCR e a consulta mediante a sua autorização específica, na forma da Seção Nona;
• (b) Fair Drive FIDC, sua administradora FIDD DTVM e sua gestora Horizonte Capital – cessão dos direitos creditórios: com a aquisição dos créditos pelo fundo, os dados do devedor cedido – identificação, dados da CCB e histórico de pagamento – são transferidos ao cessionário para gestão da carteira, verificação de lastro, cobrança e cumprimento das obrigações regulamentares do fundo, inclusive o envio de dados individualizados ao SCR e a consulta mediante autorização específica do devedor, passível de comprovação, conforme o Regulamento do fundo;
• (c) Pluggy – Open Finance: viabiliza, como instituição receptora de dados, o recebimento dos seus dados bancários mediante consentimento e, como iniciadora de transação de pagamento, o agendamento do Pix Automático das parcelas, na forma da Seção Décima;
• (d) bureau de crédito e provedores de dados (atualmente, Big Data Corp) – consulta de crédito a partir do CPF e checagem cadastral e antifraude, no regime da Lei nº 12.414/2011 e da Seção Décima Primeira;
• (e) prestadores de tecnologia – hospedagem em nuvem (Microsoft Azure, região brazilsouth), provedor do agente de inteligência artificial da etapa de comprovação de renda e plataforma de gestão de carteira e cobrança, todos na condição de operadores, sob instrução e contrato;
• (f) autoridades públicas – BCB, ANPD, CVM, órgãos de persecução e Poder Judiciário, quando houver obrigação legal, requisição válida ou ordem judicial, sempre nos termos do art. 7º, II, da LGPD e do regime de sigilo da Lei Complementar nº 105/2001; e
• (g) assessores profissionais e auditores – advogados, contadores e auditores sujeitos a dever de confidencialidade, no interesse legítimo da operação e para o exercício regular de direitos.

8.2 O que nunca fazemos

A Brücken não vende, não aluga e não comercializa dados pessoais, não compartilha os seus dados com terceiros para publicidade de terceiros e não utiliza os dados da operação para finalidades incompatíveis com as descritas nesta Política. Qualquer novo compartilhamento relevante será precedido da atualização desta Política e, quando exigido, de nova base legal específica.

9.1 Sigilo financeiro, SCR e autorização específica

Os dados das suas operações financeiras são protegidos pelo dever de sigilo imposto às instituições financeiras, nos termos do art. 1º da Lei Complementar nº 105/2001. Na operação Giros, o compartilhamento de informações protegidas por sigilo ocorre exclusivamente nas hipóteses legais – em especial a revelação de informações sigilosas com o consentimento expresso dos interessados, nos termos do art. 1º, § 3º, V, da Lei Complementar nº 105/2001, a troca de informações entre instituições financeiras para fins cadastrais, inclusive por centrais de risco, nos termos do art. 1º, § 3º, I, da mesma Lei Complementar nº 105/2001 e o fornecimento de dados a gestores de bancos de dados para formação de histórico de crédito, nos termos do art. 1º, § 3º, VII, da Lei Complementar nº 105/2001, incluído pela Lei Complementar nº 166/2019.

Por isso, a jornada de contratação inclui um Termo de Autorização específico, apresentado antes da formalização da CCB, pelo qual você autoriza, de forma expressa, destacada e comprovável: (i) a consulta das suas informações no SCR pela instituição credora e pelo fundo cessionário; e (ii) o compartilhamento dessas informações entre os agentes da cadeia, na medida necessária à operação. O aceite é registrado com data, hora e identificação, e o comprovante fica disponível para você. Você pode consultar as informações registradas em seu nome no SCR, a qualquer tempo, pelo sistema Registrato, do BCB, e solicitar à instituição registradora a correção de eventuais inconsistências.

10.1 Open Finance – compartilhamento de dados e iniciação de pagamento

O Giros utiliza o Open Finance em duas etapas distintas, com dois consentimentos distintos – e é importante que você saiba exatamente o que autoriza em cada uma:

• (a) etapa de dados (etapa 4): você consente que a instituição em que mantém a sua conta compartilhe, por meio da Pluggy, na condição de instituição receptora de dados, os seus dados cadastrais e transacionais, no escopo definido conforme a Circular BCB nº 4.015/2020, exclusivamente para a análise de crédito da sua proposta. O acesso é somente de leitura: nesta etapa, ninguém movimenta a sua conta; e
• (b) etapa de pagamento (etapa 8): você consente com a iniciação do pagamento recorrente das parcelas, por meio da Pluggy, na condição de iniciadora de transação de pagamento, mediante Pix Automático. A autorização da recorrência é concedida por você no ambiente da instituição detentora da sua conta e pode ser cancelada a qualquer tempo nesse mesmo ambiente, conforme a regulamentação do Pix editada pelo BCB.

Os consentimentos do Open Finance observam os requisitos exigidos nos termos do art. 10 da Resolução Conjunta CMN/BCB nº 1/2020: são solicitados em linguagem clara, objetiva e adequada; referem-se a finalidades determinadas; têm prazo de validade compatível com essas finalidades; discriminam a instituição transmissora e os dados compartilhados; e identificam você. É vedada a obtenção de consentimento por contrato de adesão, por formulário com aceite previamente preenchido ou de forma presumida, nos termos do art. 10, § 3º, da Resolução Conjunta CMN/BCB nº 1/2020. Você pode revogar o consentimento a qualquer tempo, pelo mesmo canal em que o concedeu, sem custo. A jornada de consentimento observa o Manual de Experiência do Cliente no Open Finance, na versão divulgada conforme a Instrução Normativa BCB nº 637/2025, e a interoperabilidade do ecossistema é disciplinada conforme a Resolução Conjunta nº 5/2022 e os requisitos técnicos estabelecidos conforme a Resolução BCB nº 32/2020.

11.1 Bureau de crédito e Cadastro Positivo

A análise do Giros inclui consulta a gestores de bancos de dados de histórico de crédito, no regime da Lei nº 12.414/2011, com a redação da Lei Complementar nº 166/2019. Nesse regime, são seus direitos de cadastrado, nos termos do art. 5º da Lei nº 12.414/2011: obter o cancelamento ou a reabertura do cadastro, quando solicitado; acessar gratuitamente, independentemente de justificativa, as informações existentes sobre você, inclusive o seu histórico e a sua nota ou pontuação de crédito; solicitar a impugnação de informação erroneamente anotada e ter a correção ou o cancelamento em todos os bancos de dados que compartilharam a informação; e conhecer os principais elementos e critérios considerados para a análise de risco, resguardado o segredo empresarial. Esses direitos são exercíveis diretamente perante o gestor do banco de dados e, no que couber, pelos canais da Seção Terceira.

12.1 Cookies e medição de audiência

A Plataforma utiliza apenas dois cookies: um cookie de sessão, estritamente necessário ao funcionamento do site, e um cookie de medição de audiência (analytics), opcional, ativado somente se você consentir no banner apresentado no primeiro acesso e revogável a qualquer momento na própria página de cookies. Não utilizamos cookies de publicidade nem rastreamento entre sites. O detalhamento – identificação, finalidade e prazo de cada cookie – está na Política de Cookies da Plataforma, que integra esta Política. O desenho segue as orientações do guia da ANPD sobre cookies e proteção de dados pessoais e apoia-se, quanto às bases legais, no consentimento e no legítimo interesse, nos termos do art. 7º, I e IX, da LGPD.

13.1 Por quanto tempo guardamos os seus dados

Os dados pessoais são conservados pelo tempo necessário ao cumprimento das finalidades desta Política e o término do tratamento observa as hipóteses previstas nos termos do art. 15 da LGPD, com eliminação ou anonimização conforme o art. 16 da LGPD. Em síntese, por categoria:

• (a) propostas não convertidas em contrato – os dados da sua proposta são mantidos por até 12 (doze) meses após a última interação, para viabilizar a retomada da jornada, a prevenção a fraudes e o atendimento de obrigações legais, e em seguida são eliminados ou anonimizados;
• (b) dados contratuais e da CCB – mantidos durante a vigência da operação e, após o encerramento, pelos prazos prescricionais aplicáveis e pelos prazos regulatórios de guarda impostos às instituições autorizadas da cadeia;
• (c) registros de acesso a aplicações – mantidos sob sigilo por 6 (seis) meses, nos termos do art. 15 da Lei nº 12.965/2014, salvo prorrogação por requisição cautelar de autoridade competente;
• (d) dados do Open Finance – tratados enquanto vigente o consentimento; com a revogação ou o fim da finalidade, são eliminados ou anonimizados, ressalvada a guarda exigida por obrigação legal ou regulatória ou para o exercício regular de direitos, nos termos do art. 16 da LGPD; e
• (e) registros de consentimentos, autorizações e decisões automatizadas – mantidos pelo prazo necessário à comprovação do cumprimento das obrigações legais da Brücken e da cadeia, inclusive para fins de auditoria da decisão automatizada, conforme o art. 20, § 2º, da LGPD.

14.1 Transferências internacionais de dados

A regra da operação Giros é o processamento em território brasileiro: a Plataforma é hospedada na região brazilsouth (São Paulo) da Microsoft Azure e a Pluggy mantém, por obrigação contratual, os dados pessoais em território nacional. A exceção potencial é a etapa de leitura automatizada dos relatórios de renda por agente de inteligência artificial, cujo processamento poderá ocorrer fora do Brasil.

Toda transferência internacional de dados pessoais, quando existente, é realizada nos termos dos arts. 33 a 36 da LGPD e do Regulamento de Transferências Internacionais aprovado pela Resolução CD/ANPD nº 19/2024 – preferencialmente mediante a incorporação, sem alteração de conteúdo, das cláusulas-padrão contratuais aprovadas pela ANPD, cujo período de adequação se encerrou em 23 de agosto de 2025. A relação atualizada de países de destino e dos mecanismos de adequação adotados pode ser solicitada ao Encarregado pelos canais da Seção Terceira.

15.1 Segurança da informação e governança

A Brücken adota medidas técnicas e administrativas aptas a proteger os seus dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, nos termos dos arts. 46 a 49 da LGPD. O programa contempla, entre outras providências: criptografia em trânsito e em repouso; controle de acesso por perfis com privilégio mínimo e autenticação multifator; segregação de ambientes; registro e trilha de auditoria dos acessos; testes periódicos de vulnerabilidade; e gestão de riscos de fornecedores, com deveres contratuais de segurança e de notificação em toda a cadeia de operadores.

A operação é suportada por um Programa de Governança em Privacidade, nos termos do art. 50, § 2º, I, da LGPD, que inclui o registro das operações de tratamento, conforme o art. 37 da LGPD, e Relatório de Impacto à Proteção de Dados Pessoais do motor de crédito, nos termos dos arts. 5º, XVII, e 38 da LGPD, revisado periodicamente e mantido à disposição da ANPD.

16.1 Incidentes de segurança

Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante a você, a Brücken comunicará o fato à ANPD e aos titulares afetados no prazo de 3 (três) dias úteis contado do conhecimento de que o incidente afetou dados pessoais, nos termos do art. 48 da LGPD e dos arts. 6º e 9º do Regulamento aprovado pela Resolução CD/ANPD nº 15/2024, com as informações mínimas exigidas conforme o art. 48, § 1º, da LGPD – natureza dos dados afetados, titulares envolvidos, medidas de proteção adotadas, riscos e providências de mitigação – e complementação fundamentada em até 20 (vinte) dias úteis, quando necessária. Os contratos da cadeia impõem aos operadores a notificação de incidentes à Brücken em até 24 (vinte e quatro) horas, para que os prazos regulatórios sejam integralmente cumpridos.

17.1 Seus direitos e como exercê-los

Você pode exercer, a qualquer momento e gratuitamente, mediante requisição aos canais da Seção Terceira ou pelo link “Solicitar exclusão” disponível na Plataforma, os direitos assegurados nos termos do art. 18 da LGPD:

• (a) confirmação da existência de tratamento e acesso aos seus dados, nos termos do art. 18, I e II, da LGPD;
• (b) correção de dados incompletos, inexatos ou desatualizados, nos termos do art. 18, III, da LGPD – inclusive da renda extraída dos seus relatórios, se você identificar divergência;
• (c) anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD, nos termos do art. 18, IV, da LGPD;
• (d) portabilidade dos dados a outro fornecedor de serviço ou produto, observada a regulamentação aplicável e os segredos comercial e industrial, nos termos do art. 18, V, da LGPD;
• (e) eliminação dos dados tratados com base no seu consentimento, nos termos do art. 18, VI, da LGPD, ressalvadas as hipóteses de conservação admitidas conforme o art. 16 da LGPD;
• (f) informação sobre as entidades públicas e privadas com as quais houve uso compartilhado de dados, nos termos do art. 18, VII, da LGPD – a cadeia nominada está na Seção Oitava e será detalhada caso a caso mediante requisição;
• (g) informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa, nos termos do art. 18, VIII, da LGPD – no Giros, a negativa dos consentimentos das etapas 3, 4 e 8 impede a análise automatizada ou o débito automático, conforme o caso, e a Plataforma indicará as alternativas disponíveis;
• (h) revogação do consentimento a qualquer momento, nos termos do art. 18, IX, e do art. 8º, § 5º, da LGPD;
• (i) oposição a tratamento fundado em hipótese de dispensa de consentimento, em caso de descumprimento da LGPD, nos termos do art. 18, § 2º, da LGPD;
• (j) revisão da decisão automatizada de crédito, na forma da Seção Sétima, nos termos do art. 20 da LGPD; e
• (k) petição em relação aos seus dados perante a ANPD, nos termos do art. 18, § 1º, da LGPD.

As requisições de confirmação de tratamento e de acesso são respondidas em formato simplificado imediatamente ou por declaração clara e completa em até 15 (quinze) dias, nos termos do art. 19 da LGPD. Para as demais, a Brücken responderá em prazo razoável, informando, quando não puder atender de imediato, as razões de fato ou de direito, conforme o art. 18, § 4º, da LGPD. Poderemos solicitar comprovação da sua identidade, para a sua própria proteção.

18.1 Crianças e adolescentes

O Giros é destinado exclusivamente a pessoas maiores de 18 (dezoito) anos, com CPF válido e a Plataforma não direciona produtos, serviços ou comunicações a crianças e adolescentes. A idade é validada na jornada de contratação. Caso identifiquemos cadastro de menor de 18 anos, os dados serão eliminados. Aplica-se, no que couber, o regime protetivo previsto nos termos do art. 14 da LGPD; por não ser o produto direcionado a esse público, não incidem as obrigações próprias dos serviços dirigidos a crianças e adolescentes, conforme a Lei nº 15.211/2025.

19.1 Atualizações desta Política

Esta Política pode ser atualizada para refletir mudanças legislativas, regulatórias ou da própria operação – inclusive a eventual transferência da titularidade da Plataforma a entidade conjunta, hipótese em que a identificação do controlador será atualizada e comunicada. Alterações relevantes serão informadas com destaque na Plataforma e, quando você já for cliente, pelos canais de contato informados, sempre com indicação da data de vigência e manutenção do histórico de versões. A data da versão vigente consta do cabeçalho desta Política.

20.1 Legislação aplicável e disposições finais

Esta Política é regida pelas leis da República Federativa do Brasil e interpretada em conformidade com a LGPD e, nas relações de consumo, com o Código de Defesa do Consumidor, cujas normas cogentes prevalecem em seu benefício. Nada nesta Política limita direitos que a legislação lhe assegure. Em caso de dúvida, fale com o Encarregado pelos canais da Seção Terceira – teremos prazer em explicar qualquer ponto em linguagem simples.