Política de Privacidade

O controlador dos dados é a DHLN Apoio Administrativo Ltda, CNPJ 66.928.465/0001-15, com sede em Rua Comendador Miguel Calfat, 128, Sala 91, Vila Nova Conceição, São Paulo/SP, CEP 04537-081 (“SigiloPay”), que opera este site.

Canal do encarregado pelo tratamento de dados pessoais (DPO): info@sigilopay.io.

A SigiloPay não tem cadastro de usuário: você não cria login nem senha. Os dados são tratados por operação, e só o que cada operação precisa.

Conferido no código do site, serviço por serviço:

• Troca: moedas, redes e valores; a carteira que recebe; o endereço de depósito e o número do pedido no parceiro. Não pedimos nome nem documento.
• Gift cards e recargas: produto e valor; o telefone (na recarga de celular) ou o número da conta ou assinante (quando o produto pede); o endereço de reembolso, que vai para o parceiro; e, no envio como presente, o e-mail e o nome de quem recebe, o seu nome e a mensagem. Guardamos também o código entregue, para mostrar na página do pedido.
• Compra e venda com parceiro regulado: os seus dados de identidade e de pagamento vão direto para o parceiro, no ambiente dele. Na compra, a carteira que você digita no nosso formulário é repassada ao parceiro e não fica guardada conosco. Guardamos só os dados da operação: a referência, o parceiro, o país, a forma de pagamento ou de recebimento, a criptomoeda, os valores, a situação e o código da operação no parceiro, além do hash da transação na blockchain, que é público. Quando o parceiro exige, o endereço IP da sua conexão vai para ele ao abrir a operação, para a prevenção a fraude dele.
• Pedidos antigos de compra e venda registrados diretamente pela SigiloPay, anteriores ao modelo com parceiros e hoje desligados: nome e CPF ou CNPJ de quem pagou ou recebeu, a carteira de destino e os dados de recebimento informados (chave Pix, conta bancária ou e-mail de PayPal ou Wise). Ficam guardados pelo prazo legal (seção 7).
• Suporte por e-mail: o seu endereço de e-mail e o que você escrever.
• Verificação de identidade própria, quando a SigiloPay pedir: a foto do documento e a selfie vão do seu navegador direto para o parceiro de verificação de identidade. A SigiloPay guarda só o resultado (aprovado, em análise ou recusado), sem as imagens.
• Dados técnicos: o endereço IP e dados da conexão, usados para segurança e para limitar abusos. No limite diário, o IP vira um código com chave secreta (hash) antes de ir para o banco de dados: o IP em si não fica gravado lá. A hospedagem também registra os acessos (IP, data, hora e página).
• Cookies: só os necessários, listados na Política de Cookies.

• Executar a operação que você pediu e mostrar a página do pedido: execução de contrato (LGPD, art. 7º, V; GDPR, art. 6(1)(b)).
• Cumprir obrigações legais, como a guarda de registros e a prevenção à lavagem de dinheiro: obrigação legal ou regulatória (LGPD, art. 7º, II). Para quem está na União Europeia, a base é o legítimo interesse em prevenir fraude e lavagem de dinheiro (GDPR, art. 6(1)(f)).
• Segurança, prevenção de fraude e limites diários: legítimo interesse, com o mínimo de dados (LGPD, art. 7º, IX; GDPR, art. 6(1)(f)).
• Defender direitos em processos e disputas: exercício regular de direitos (LGPD, art. 7º, VI, e art. 11, II, d; GDPR, art. 6(1)(f) e, para dados sensíveis, art. 9(2)(f)).
• Responder ao suporte: procedimentos ligados a um contrato pedido por você, ou legítimo interesse (LGPD, art. 7º, V e IX; GDPR, art. 6(1)(b) ou 6(1)(f)).
• Selfie da verificação própria, quando houver: prevenção à fraude e segurança do titular no processo de identificação (LGPD, art. 11, II, g). Para quem está no Espaço Econômico Europeu, a base é o consentimento explícito (GDPR, art. 9(2)(a)), dado quando você decide iniciar a verificação. Você pode retirar o consentimento pelo e-mail info@sigilopay.io; isso não afeta o que já foi feito.

O limite diário é aplicado de forma automática. Se uma recusa afetar você, peça revisão pelo e-mail info@sigilopay.io (LGPD, art. 20). Se você está no Espaço Econômico Europeu, pode também pedir que uma pessoa analise a decisão, dar a sua opinião e contestá-la (GDPR, art. 22).

Não vendemos seus dados e não os usamos para publicidade.

Só com quem é necessário para a operação acontecer, e só o necessário.

Parceiros terceiros que executam as operações, cada um com os dados da operação que executa:

• Troca entre criptomoedas
• Gift cards e recargas pagos com cripto
• Compra e venda de cripto com moeda local, com o parceiro regulado escolhido por você

Cada parceiro é controlador independente dos dados que recebe: faz a própria verificação de identidade (KYC) e a própria prevenção à lavagem de dinheiro, pelas políticas de privacidade dele.

Algumas trocas antigas foram executadas por outro parceiro de troca, que recebeu os dados dessas trocas.

Você pode perguntar ao suporte, pelo e-mail info@sigilopay.io, quais parceiros receberam os seus dados (LGPD, art. 18, VII).

Fornecedores que tratam dados em nosso nome (operadores):

• Provedor de hospedagem: hospedagem do site e caixa de e-mail do suporte.
• Banco de dados gerenciado: em servidores na região de São Paulo (Brasil).
• Provedor de e-mail: caixa da equipe, que recebe cópia das mensagens enviadas ao suporte.
• Parceiro de verificação de identidade: verificação de identidade própria, quando a SigiloPay pedir.

Recebem só dados técnicos, sem dados pessoais: fontes públicas de cotações de mercado e de câmbio de referência (da compra e venda) e o serviço interno de avisos da equipe.

As imagens de moedas e de produtos são carregadas direto dos servidores dos parceiros. Como em qualquer site, esses servidores recebem os dados técnicos do acesso, como o endereço IP.

Autoridades, quando houver obrigação legal ou ordem de autoridade competente.

Alguns parceiros e fornecedores ficam fora do Brasil e podem tratar dados no exterior. A transferência é feita para executar a operação que você pediu, cumprir a lei ou prestar o serviço, nas hipóteses do art. 33 da LGPD. Para quem está no Espaço Econômico Europeu, a transferência para um país sem decisão de adequação da Comissão Europeia se apoia na necessidade para executar o contrato que você pediu (GDPR, art. 49(1)(b)) e, com os fornecedores que as oferecem, nas cláusulas-padrão contratuais (GDPR, art. 46(2)(c)).

• Pedidos e registros de prevenção à lavagem de dinheiro: 5 anos depois da operação, como exige a lei.
• Trilha de auditoria: os registros são encadeados por hash, e qualquer edição fica evidente. Ficam guardados pelos mesmos 5 anos e não podem ser apagados a pedido antes disso.
• Registros de acesso ao site (IP, data e hora): o Marco Civil da Internet (Lei 12.965/2014, art. 15) manda guardá-los por 6 meses, em sigilo e em ambiente seguro.
• Mensagens de suporte: pelo tempo do atendimento e pelos prazos legais que se aplicarem ao assunto.
• Cookies: pelo prazo de cada um, informado na Política de Cookies.

Passados os prazos, os dados devem ser apagados ou anonimizados, salvo outra obrigação legal.

Pela LGPD (art. 18), você pode: confirmar se tratamos seus dados; acessá-los; corrigir dados incompletos ou errados; pedir anonimização, bloqueio ou eliminação do que for desnecessário ou excessivo; pedir a portabilidade; saber com quem compartilhamos; e revogar o consentimento, quando ele for a base. Se você está no Espaço Econômico Europeu, tem também os direitos da GDPR, inclusive o de se opor ao tratamento e o de limitá-lo.

Como pedir: escreva para info@sigilopay.io com o número do pedido ou o link da página dele, para localizarmos os dados. Podemos pedir uma confirmação de que o pedido é seu. Respondemos em até 15 dias; nos pedidos pela GDPR, em até um mês.

Dados que a lei manda guardar ficam guardados até o fim do prazo (seção 7). Dados que estão com um parceiro devem ser pedidos a ele; a SigiloPay ajuda você a achar o canal certo.

Você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) e, no Espaço Econômico Europeu, à autoridade de proteção de dados do seu país.

Todo o tráfego do site é cifrado (HTTPS com HSTS). As chaves de acesso aos parceiros ficam fora do código. O banco de dados tem acesso restrito e é cifrado em repouso pelo fornecedor. A área administrativa exige senha guardada só como hash e um segundo fator (código de aplicativo autenticador). Há limite de tentativas nos pontos sensíveis. Nenhum sistema é imune: em incidente de segurança relevante, avisaremos os titulares afetados e a ANPD, como manda a lei.

O site não é destinado a menores de 18 anos.

Esta política pode mudar. A data no topo indica a versão em vigor.

Dúvidas sobre este documento: escreva para info@sigilopay.io.