Conteúdo do documento
- 01Quem processa seus dados
- 02O princípio que rege o restante: não coletar
- 03Finalidades e bases legais
- 04Períodos de retenção e destinatários
- 05Processadores e parceiros
- 06Transferências fora da União Europeia
- 07Seus direitos e seus limites reais
- 08Como exercer seus direitos
- 09Decisões automatizadas
- 10Segurança de dados
- 11Cookies e rastreadores
- 12Menores
- 13Alterações a esta política
Quem processa seus dados
Uma plataforma de conversão não pode funcionar sem dados de identidade: as regras de combate à lavagem de dinheiro exigem isso desde o primeiro euro convertido. A pergunta honesta, portanto, não é 'vocês coletam dados', mas quais dados, por quê, por quanto tempo e quem mais os vê.
The controlling entity is being incorporated. Its legal name, legal form and registered address will be published on the legal notice page as soon as they are verifiable. In the meantime, the contact address below is the single entry point for any request about your data, and it is already live.
Nenhum encarregado de proteção de dados foi nomeado até o momento. Será nomeado? Sim: o processamento em larga escala de dados de identidade em um ambiente regulamentado torna a nomeação necessária. Até que seja efetivada, não fingimos o contrário, e as solicitações são tratadas através do endereço abaixo.
Ponto de contato para privacidade
Use este endereço para exercer seus direitos, perguntar sobre uma atividade de processamento ou contestar uma decisão automatizada. Você recebe uma resposta em no máximo 30 dias.
[email protected]O princípio que rege o restante: não coletar
Cada dado coletado é um dado a proteger, reter, excluir no momento certo e devolver mediante solicitação. O produto é construído para pedir o mínimo possível, o mais tarde possível.
- A cotação é pública: você obtém um valor líquido com o detalhamento das taxas, sem conta e sem endereço de e-mail.
- A verificação de identidade é solicitada no nível em que se torna obrigatória, não no cadastro.
- Nenhum rastreador de publicidade é instalado, e nenhum dado de navegação é vendido ou compartilhado para fins comerciais.
- Os dados bancários são criptografados e removidos dos logs de aplicação: eles nunca aparecem em texto claro em uma linha de log.
Finalidades e bases legais
Cada atividade de processamento baseia-se em uma base legal identificada. Isso é mais do que uma formalidade: a base determina quais direitos você possui. Dados processados sob uma obrigação legal não podem ser apagados mediante solicitação enquanto o período obrigatório estiver em vigor; dados processados sob nosso interesse legítimo podem ser objeto de objeção por motivos fundamentados.
| Purpose | Data involved | Legal basis |
|---|---|---|
| Compute a quote and display the fee breakdown | Chosen asset, amount, country and rail. No identifying data is required at this stage. | Legitimate interest — Article 6(1)(f) — Interest in showing a price before sign-up, which avoids collecting data from a visitor who will not go further. |
| Create and secure your account | Email address, phone number, password hash, second-factor keys, sign-in log and associated IP addresses. | Performance of the contract — Article 6(1)(b) — Without an authenticated account, no order can be tracked and no payout issued. |
| Verify your identity and meet due-diligence obligations | Names, date and place of birth, nationality, address, identity document image, liveness video capture, source-of-funds evidence, results of sanctions and politically exposed person screening. | Legal obligation — Article 6(1)(c) — Customer due-diligence obligations imposed on digital asset service providers. This data cannot be erased on request while the statutory period runs. |
| Execute the order and issue the payout | Assigned deposit address, transaction hashes, amounts, beneficiary details (IBAN, PIX key, mobile money number), status of each step. | Performance of the contract — Article 6(1)(b) — Beneficiary details are the material condition of payment: without them, the money has nowhere to go. |
| Monitor transactions and detect suspicious patterns | Order history, deposit address risk analytics, triggered alerts, analyst notes, reports filed. | Legal obligation — Article 6(1)(c) — Ongoing monitoring is a standalone obligation, separate from initial identity verification. |
| Answer your requests and handle your complaints | Message content, attachments, related order reference, exchange history. | Performance of the contract — Article 6(1)(b) — Handling a complaint is part of the service. The case is tracked to allow escalation. |
| Prevent fraud and technical abuse | IP address, device fingerprint, security events, rate limiting, failed authentication attempts. | Legitimate interest — Article 6(1)(f) — Interest in protecting customer accounts and funds from takeover and malicious automation. |
| Measure site audience | Page views, referrer, device type. No data is collected under this activity today: the category is declared but inactive. | Consent — Article 6(1)(a) — This processing will only start after explicit consent collected through the cookie panel, never before. |
Períodos de retenção e destinatários
Não mantemos nada 'por padrão'. Cada categoria tem um período, um gatilho de exclusão e uma purga automática no prazo.
| Purpose | Retention | Recipients | Transfer outside the EU |
|---|---|---|---|
| Compute a quote and display the fee breakdown | The quote is kept for 30 days in technical form to reconstruct a pricing dispute, then deleted. | Nobody outside the engineering team. | No |
| Create and secure your account | For the life of the account, then 12 months after closure to handle a late dispute. Sign-in logs are kept for 12 months. | Our hosting provider, our transactional email operator and our SMS operator. | No |
| Verify your identity and meet due-diligence obligations | Five years from the end of the business relationship, as required by anti-money-laundering rules. After that period, automatic deletion. | The identity verification provider, sanctions list vendors, and, upon formal request, the competent authorities. | Yes |
| Execute the order and issue the payout | Ten years, the accounting record retention period. Bank details are encrypted and stripped from application logs. | The payment institution executing the transfer on the chosen rail, and it alone. | Yes |
| Monitor transactions and detect suspicious patterns | Five years from the transaction or the closure of the alert. A suspicious activity report is never disclosed to you: the law forbids it. | The competent financial intelligence unit, strictly within the framework provided by law. | No |
| Answer your requests and handle your complaints | Three years after case closure, or five years where the complaint touches compliance. | Our support tool, hosted in the European Union. | No |
| Prevent fraud and technical abuse | Twelve months for security logs, six months for rate-limiting counters. | Our hosting provider and our network protection vendor. | No |
| Measure site audience | Thirteen months maximum from the collection of consent, with no automatic extension. | None to date, the category being inactive. | No |
Processadores e parceiros
Contamos com processadores para hospedagem, e-mail transacional e entrega de SMS, verificação de identidade, análise de risco de endereço de depósito e execução de pagamentos. Cada um age sob instruções documentadas, em contrato em conformidade com o Artigo 28 do GDPR.
A lista nomeada desses processadores não é publicada enquanto os contratos não estiverem assinados. Preferimos uma categoria precisa a um nome de fornecedor exibido para parecer estabelecido: publicar o nome de um parceiro com quem nada foi contratado seria uma declaração falsa, e é exatamente isso que este site se recusa a fazer.
A lista será publicada aqui, nome por nome, função por função, com o local do processamento, assim que o serviço entrar no ar. Qualquer adição posterior acionará uma atualização de versão deste documento.
Transferências fora da União Europeia
Duas atividades envolvem estruturalmente uma transferência para fora da União: verificação de identidade, cujos fornecedores geralmente operam do Reino Unido ou dos Estados Unidos, e execução de pagamentos em trilhos locais fora da Europa — PIX no Brasil, M-Pesa no Quênia, NIP na Nigéria. Enviar dinheiro para o Quênia significa passar o nome e o número do beneficiário a uma instituição queniana: essa é a condição material do pagamento.
O que enquadra essas transferências
- Uma decisão de adequação da Comissão Europeia, quando existir para o país em questão.
- Não sendo esse o caso, as cláusulas contratuais padrão da Comissão, juntamente com uma avaliação de impacto da transferência que leve em conta a legislação de acesso do governo local.
- Medidas técnicas adicionais: minimização dos campos transmitidos, criptografia em trânsito e em repouso, segregação por corredor.
- Sem transferência por conveniência: se um propósito pode ser atendido dentro da União, ele o é.
Você pode solicitar uma cópia das salvaguardas aplicáveis a uma transferência específica. Fornecemos então o mecanismo utilizado e o país de destino, sem as cláusulas comerciais do contrato.
Seus direitos e seus limites reais
Uma política de privacidade que lista sete direitos sem dizer qual deles esbarra em qual parede não ajuda ninguém. Aqui estão os direitos e, para cada um, o limite que realmente se aplica em nosso contexto.
- Right of access
- Obtain confirmation that we process your data, receive a copy of it and the information on purposes, recipients and retention periods.
- Right to rectification
- Have inaccurate data corrected or incomplete data completed. An already verified identity is not corrected by mere declaration: the fix goes through a new document verification.
- Right to erasure
- Request deletion of your data when its retention is no longer justified. Anti-money-laundering and accounting records cannot be erased before the end of their statutory period. We then give you the exact date on which deletion will happen.
- Right to restriction
- Request that a processing activity be frozen while a dispute is resolved.
- Right to portability
- Receive the data you provided in a structured, machine-readable format, or have it transmitted directly to another controller.
- Right to object
- Object to processing based on our legitimate interest, on grounds relating to your particular situation. Objection does not apply to processing imposed by law, notably anti-money-laundering diligence.
- Automated decision-making
- Obtain human intervention, express your point of view and contest a decision taken without human involvement. An automated compliance refusal can always be re-examined by an analyst on request.
- Withdrawal of consent
- Withdraw consent at any time, without affecting the lawfulness of processing already carried out.
Como exercer seus direitos
- Escreva para o endereço de contato de privacidade a partir do endereço de e-mail vinculado à sua conta, ou a partir da sua área de conta.
- Verificamos sua identidade. Quando houver dúvida razoável, solicitamos um elemento de verificação adicional — nunca uma cópia nova de um documento de identidade se já tivermos um válido.
- Respondemos em até ${RIGHTS_RESPONSE_DAYS} dias. Quando o pedido for complexo ou múltiplo, esse prazo pode ser prorrogado por ${RIGHTS_EXTENSION_MONTHS} meses, e informamos você com o motivo antes do prazo inicial.
- A resposta é gratuita. Um pedido manifestamente infundado ou repetitivo pode levar a uma recusa fundamentada, nunca a uma cobrança silenciosa.
Se nossa resposta não o satisfizer, você pode apresentar uma reclamação à autoridade de supervisão do seu país de residência. Essa via está aberta incondicionalmente e sem precisar nos informar primeiro.
Exercer um direito
Indique o direito que você invoca e, se possível, a referência do pedido relacionado. Isso evita uma ida e volta de qualificação e encurta o tratamento.
[email protected]Decisões automatizadas
Três verificações são automatizadas e podem ter um efeito direto sobre você: a correspondência do seu nome com listas de sanções, a verificação de identidade baseada em documentos e a análise de risco do endereço de depósito. Uma correspondência ou uma falha pode suspender um pedido sem envolvimento humano prévio.
Você sempre pode solicitar uma revisão humana. Um analista então reabre o arquivo, você pode apresentar seu caso, e a decisão inicial pode ser revertida. A única situação em que o motivo detalhado não pode ser compartilhado com você é uma suspeita reportada: a lei então nos proíbe de discuti-la.
Segurança de dados
Criptografia em trânsito e em repouso, segregação de ambientes, acesso com privilégios mínimos, registro de cada acesso a um arquivo de verificação, segundo fator obrigatório para acesso interno. As medidas técnicas são descritas em detalhes na página dedicada.
Em caso de violação de dados pessoais que possa criar risco aos seus direitos, notificamos a autoridade de supervisão dentro de 72 horas e informamos você diretamente quando o risco for alto. Também publicamos uma nota pós-incidente, mesmo quando a notificação individual não é exigida.
Menores
O serviço não se destina a menores e a verificação de identidade verifica a data de nascimento. Se descobrirmos que uma conta foi aberta por um menor, ela é encerrada e os dados associados são excluídos, sujeitos aos registros que a regulamentação exige que mantenhamos.
Alterações a esta política
Qualquer alteração substancial — uma nova finalidade, um novo destinatário, uma nova transferência para fora da União — recebe um novo número de versão, uma entrada no histórico no rodapé desta página e um aviso direto se você tiver uma conta. Não alteramos uma finalidade silenciosamente.
Histórico de versões
| Versão | Última atualização | Nature of the change |
|---|---|---|
| 1.0.0 | 2 September 2026 | Primeira publicação do documento. |
Âncoras estáveis: cada seção carrega um identificador que não mudará. Você pode citar uma cláusula por seu link direto.