O QUE FAZEMOS COM AS SUAS INFORMAÇÕES

Fizemos o máximo para explicar de forma clara e simples quais dados pessoais precisaremos de você e o que vamos fazer com cada um deles. Por isso, separamos abaixo os pontos mais importantes, que também podem ser lidos de forma bem completa e detalhada no nosso Aviso de Privacidade.

Além disso, estamos sempre disponíveis para tirar qualquer dúvida que você tenha por meio do meio do site https://www.gregpay.com.br/; pelo telefone (31) 3889-3784, e pelo e-mail atendimento@gregpay.com.br. Para falar especificamente sobre seus dados pessoais, possuímos um canal específico: privacidade@gregpay.com.br.

Quem é o responsável pelo tratamento de dados?

A GREG é a controladora do tratamento dos seus dados pessoais, sendo responsável pelo tratamento que efetua. Ainda, algumas outras controladoras estão presentes para viabilizar a prestação dos serviços.

Registro de controladores singulares envolvidos no tratamento:

• B3 e CERC: registradora de recebíveis, responsáveis pelo processamento de gravames e pelos registros dos valores das vendas feitas por cartão de débito e crédito, sejam transações feitas pela maquininha ou de forma online.
• Banco Safra: banco de liquidação do cartão, responsável pela finalização da transação financeira, o que envolve a transferência dos ativos entre as partes.
• Banco BS2: banco de liquidação de pix e boleto, responsável pelo registro e finalização da transação financeira, o que envolve a transferência dos ativos entre as partes.
• Bandeiras – Visa, Master, Elo, Amex e Hiper: responsáveis pelos pagamentos realizados através de cartão de crédito. Neste caso, são as que a subadquirente ou a adquirente estão atuando em parceria.
• SafraPay: adquirente responsável pela conexão entre a bandeira do cartão; banco emissor do cartão; estabelecimento comercial; subadquirente a depender do caso; split de pagamento; e gateway de pagamento, a depender do caso, através da Maquininha.
• Qista: responsável pela formalização jurídica e liquidação do pagamento realizado através de FGTS.

Somos operadores do tratamento dos dados pessoais de terceiros inseridos em nossas soluções pelo Cliente e pelo Estabelecimento Prestador, ou seja, realizamos o tratamento de dados com base nas decisões desses que aqui figuram como controladores.

Além disso, também existem alguns operadores terceiros contratados pela GREG, que podem realizar o tratamento dos dados pessoais, como assessoria jurídica, parceiros tecnológicos, servidores, entre outros.

Como faremos a segurança de seus dados?

A GREG se compromete a manter os dados fornecidos em ambiente seguro, observados o porte do tratamento, por meio de medidas técnicas compatíveis com os padrões internacionais e pelo estímulo ao uso de boas práticas, o que inclui uma análise de riscos de segurança da informação e a implementação de Políticas de Segurança da Informação eficazes e difundidas.

Para garantir que suas informações sejam armazenadas em ambiente seguro, utilizamos os servidores do Google Cloud Platform (GCP), cujo acesso é restrito. Com isso, essa empresa passa a ter acesso aos seus dados somente para armazená-los assim que você os fornece na GREG. O uso deste servidor implica em uma transferência internacional dos seus dados pessoais para o país sede do servidor, qual seja Estados Unidos.

• Quais dados precisa nos informar para utilizar nossa solução?

Para realizar o cadastro e utilizar os nossos serviços, você deverá informar:

• Caso seja Cliente Pessoa Física: nome completo, número de documento de identificação pessoal, número de inscrição no CPF, endereço residencial, data de nascimento, número de telefone e e-mail, profissão, renda mensal e foto do documento de identificação pessoal.
• Caso seja Cliente Pessoa Jurídica: nome completo dos sócios, contrato social ou estatuto social, número de inscrição no CNPJ, endereço da sede da empresa, data de constituição da empresa, número de telefone e endereço de e-mail dos representantes legais, renda mensal, fotos do documento de identidade dos representantes legais (RG, CNH ou RNM).
• Caso seja Estabelecimento Prestador: nome completo dos sócios, número de inscrição no CNPJ, endereço da sede da empresa, data de constituição da empresa, número de telefone e endereço de e-mail dos representantes legais, renda mensal, fotos do documento de identidade dos representantes legais (RG, CNH ou RNM).
• Para quais finalidades utilizamos os seus dados pessoais?

Todos os seus dados são tratados com finalidades específicas e de acordo com a Lei Geral de Proteção de Dados Pessoais. Nós poderemos tratar essas informações para:

• Prestar o nosso serviço de split de pagamento;
• Dar suporte e realizar atendimento ao Cliente e aos Estabelecimentos Prestadores;
• Enviar contatos relacionados a vendas e marketing;
• Realizar checagem antifraude e em listas restritivas, principalmente para identificação de possíveis Pessoas Politicamente Expostas (PEP), bem como em lista OFAC.

Para entender melhor o que fazemos com as informações, disponibilizamos uma tabela no nosso Aviso de Privacidade.

Com quem compartilhamos seus dados pessoais?

Nós não iremos compartilhar seus dados com terceiros, salvo nos casos citados no Aviso de Privacidade, em caso de consentimento legal do titular dos dados pessoais e por força de ordem judicial ou determinação legal.

• Seus registros de acesso serão coletados?

Quando você entra em nossa solução, colhemos seus registros de acesso, ou seja, conjunto de informações referentes à data e hora de uso de uma determinada aplicação de internet a partir de um determinado endereço IP. Essas informações serão mantidas pela GREG, sob sigilo, em ambiente controlado e de segurança, pelo prazo mínimo de 06 (seis) meses, nos termos da Lei n. 12.965/2014, e artigo 7º, II, da Lei n. 13.709/18.

• Dados pessoais serão coletados de forma indireta?

Além dos registros de acesso, podemos também coletar algumas informações de forma indireta, conforme nossas Políticas de Cookies.

• Registros de comunicações serão armazenados?

Nós iremos armazenar também as conversas que você tiver conosco em nossos canais de comunicação, pois isso irá melhorar o seu atendimento e torná-lo mais eficiente. Sem esse histórico, provavelmente todas as vezes que você entrasse em contato teria que repetir o que já nos passou anteriormente.

• Quais são seus direitos?

Mesmo que você já tenha nos fornecido seus dados pessoais, você possui total direito de, a qualquer momento, solicitar ao controlador: confirmar a existência de tratamento dos seus dados; acessar os seus dados; corrigir os seus dados; tornar anônimo os dados; bloquear ou eliminar os dados desnecessários, excessivos ou tratados em desconformidade com a Lei; pedir a portabilidade dos dados a outro fornecedor; eliminar dados, exceto aqueles exigidos por lei; obter informação sobre quem a GREG realizou uso compartilhado de dados; obter informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa; e voltar atrás e revogar o seu consentimento.

• Qual é o conteúdo do Aviso de Privacidade?

O Aviso de Privacidade a seguir está dividida da seguinte forma para facilitar o seu acesso à informação:

1. Data de Disponibilização do Texto;
2. Explicação dos Termos Técnicos ou em Língua Estrangeira;
3. Agentes de Tratamento;
4. Segurança da Informação;
5. Coleta de Dados;
6. Tratamento de Dados Pessoais;
7. Cancelamento dos Serviços e Exclusão de Dados;
8. Direitos do Titular dos Dados Pessoais;
9. Mudanças no Aviso de Privacidade;
10. Canal de Comunicação sobre Privacidade;
11. Contato Sobre Assuntos Gerais.

AVISO DE PRIVACIDADE

Antes de acessar a solução GREG, é importante que você leia, entenda e aceite de forma livre, inequívoca e informada este Aviso de Privacidade.

Esta solução, cujo nome é GREG, é de propriedade e mantida por GREG INSTITUIÇÃO DE PAGAMENTO LTDA, pessoa jurídica de direito privado inscrita no CNPJ/ME sob o n.º 24.295.988/0001-21, com sede na Rua Conselheiro Lafaiete, n.º 2003 – Sala 03 – bairro Sagrado Família, Belo Horizonte/MG, CEP: 31.035-560.

O presente documento visa prestar informações sobre a coleta, utilização e armazenamento (“tratamento”) dos dados fornecidos pelos Clientes e Estabelecimentos Prestadores e está em conformidade com a Lei n. 12.965/2014 (Marco Civil da Internet) e com a Lei n. 13.709/18 (Lei Geral de Proteção de Dados).

1. DATA DE DISPONIBILIZAÇÃO DO TEXTO

1.1. O presente documento foi redigido e disponibilizado em 01/04/2024.

2. EXPLICAÇÃO DOS TERMOS TÉCNICOS OU EM LÍNGUA ESTRANGEIRA

2.1. Abaixo estão dispostos os significados das nomenclaturas técnicas e termos na língua inglesa:

• Agenda Financeira: é o sistema de controle que considera a movimentação de débitos e créditos do Cliente derivada das transações realizadas em um período ou pertinente a um produto e/ou serviço que foram contratados.
• API: Interface de Programação de Aplicações é um conjunto de mecanismos que permitem que dois componentes de software se comuniquem usando um conjunto de definições e protocolos.
• Arranjo de pagamento: conjunto de regras e procedimentos que regulamentam a prestação de determinado serviço de pagamento ao público.
• Bank as a Service: serviço de fornecimento de produtos bancários a terceiros não bancários por meio de APIs.
• Chargeback: processo de contestação de uma compra. Acontece quando um pedido feito no online por cartão de crédito ou débito é cancelado. O processo envolve a solicitação de cancelamento de uma transação por parte do portador do cartão junto ao banco.
• Cliente: pessoas físicas e/ou jurídicas que contratam e utilizam os serviços da GREG. Neste caso, pode ser chamado também de “Estabelecimento Principal”.
• Consumidor final: cliente do Estabelecimento Prestador. Pode ser chamado também de Consumidor do Produto e/ou Serviço final ou Portador.
• Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.
• Criptografia: conjunto de princípios e técnicas para cifrar a escrita, torná-la ininteligível para os que não tenham acesso às convenções combinadas.
• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
• Domicílio Bancário: informações relacionadas a banco, agência e conta corrente ou poupança de titularidade do Cliente, as quais estão cadastradas com o intuito de que esse receba seus créditos e débitos decorrentes de transação.
• Encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).
• Estabelecimento Prestador: também utiliza o sistema, mas neste caso é um prestador de serviço do Estabelecimento Principal.
• Instituidor de Arranjo de Pagamentos: pessoa jurídica responsável pela instituição das regras dos seus arranjos de pagamento e que são responsáveis por regulamentar e fiscalizar a emissão dos meios de pagamento, o credenciamento de clientes, além do uso de padrões operacionais e de segurança das transações. No caso da GREG, pode ser chamado também de “Bandeira”.
• IP (ou Internet Protocol): Identificação única para cada computador conectado a uma rede.
• Login: é o processo que permite o acesso a um sistema informático, controlado por meio de identificação e autenticação do Cliente pelas credenciais fornecidas por esse mesmo internauta.
• Maquininha: é o hardware de captura e refere-se ao dispositivo físico utilizado para capturar e processar transações de pagamento com cartão de crédito e débito, sendo operados por adquirentes e subadquirentes.
• MED (Mecanismo Especial de Devolução): recurso relacionado ao sistema de pagamentos instantâneos PIX, criado pelo Banco Central do Brasil, que permite a devolução rápida e segura de valores transferidos de forma indevida. O intuito é resolver casos de fraudes ou erros operacionais e garantir que as pessoas possam recuperar seus fundos de maneira eficiente.
• Meios de Pagamento: solução, que pode ser física ou eletrônica, com funções de pagamento, que inclui cartões, PIX, FGTS e boleto, e que venha a ser aceita e/ou gerada no sistema GREG para uso pessoal e intransferível dos portadores.
• Online: termo da língua inglesa cujo significado literal é “em linha”. É habitualmente usado para designar que um determinado Cliente da internet ou de outra rede de computadores está conectado à rede.
• Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador.
• PCI (Payment Card Industry) Council: instituição responsável pelo programa de gerenciamento de riscos patrocinado pelos instituidores do Arranjo de Pagamento de alcance geral e vinculação aos clientes, emissores e adquirentes ou subadquirentes, desenvolvido com o objetivo de estipular um padrão mínimo para proteção de informações sensíveis do portador e das transações. É uma entidade autônoma, formada por um conselho de empresas, como os Instituidores do Arranjo de Pagamento Visa, MasterCard, Amex, JCB e Discovery, e tem como função determinar os padrões e regras de segurança da informação para a indústria de meios de pagamento.
• PIX: modo de transferência monetária instantâneo e de pagamento eletrônico instantâneo em real brasileiro, oferecido pelo Banco Central do Brasil.
• Portador: pessoa física que utiliza o cartão, seja de crédito ou débito, e é responsável por todas as transações realizadas com este meio de pagamento.
• QR Code: código de resposta rápida que, ao ser lido, permite que o Cliente acesse informações de modo instantâneo.
• Recebíveis: direitos creditórios presentes ou futuros relacionados a obrigações de pagamento de instituições credenciadoras e sub credenciadoras aos Clientes finais recebedores que estão constituídos no arranjo de pagamento baseado em conta pós paga e de depósito à vista integrantes do Sistema de Pagamento Brasileiro (SPB).
• Registradora: instituição autorizada pelo Banco Central do Brasil (BACEN) a realizar a atividade de registro de recebíveis.
• Software de captura: utilizado em hardwares de captura de transações de pagamento para processar pagamentos realizados com cartão de crédito e débito. Este software é responsável por gerenciar as comunicações entre o terminal, o subadquirente e/ou adquirente e as demais redes de pagamento, garantindo que as transações sejam realizadas de forma segura, rápida e precisa.
• Split de Pagamento: solução que permite que os valores de pagamento sejam divididos de forma automática para todas as pessoas que estejam envolvidas na operação.
• Tratamento de dados: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.

2.2. Tipos de Partes que utilizam o serviço:

• Cliente: pessoas físicas e/ou jurídicas que contratam e utilizam os serviços da GREG. Neste caso, pode ser chamado também de “Estabelecimento Principal”.
• Estabelecimento Prestador: também utiliza o sistema, mas neste caso é um prestador de serviço do Estabelecimento Principal/Cliente.

3. AGENTES DE TRATAMENTO

3.1. A GREG é a controladora do tratamento dos seus dados pessoais, sendo responsável pelo tratamento que efetua. Ainda, algumas outras controladoras estão presentes para viabilizar a prestação dos serviços.

3.2. Registro de controladores singulares envolvidos no tratamento:

• B3 e CERC: registradora de recebíveis, responsáveis pelo processamento de gravames e pelos registros dos valores das vendas feitas por cartão de débito e crédito, sejam transações feitas pela maquininha ou de forma online.
• Banco Safra: banco de liquidação do cartão, responsável pela finalização da transação financeira, o que envolve a transferência dos ativos entre as partes.
• Banco BS2: banco de liquidação de pix e boleto, responsável pelo registro e finalização da transação financeira, o que envolve a transferência dos ativos entre as partes.
• Bandeiras – Visa, Master, Elo, Amex e Hiper: responsáveis pelos pagamentos realizados através de cartão de crédito. Neste caso, são as que a subadquirente ou a adquirente estão atuando em parceria.
• SafraPay: adquirente responsável pela conexão entre a bandeira do cartão; banco emissor do cartão; estabelecimento comercial; subadquirente a depender do caso; split de pagamento; e gateway de pagamento, a depender do caso, através da Maquininha.
• Qista: responsável pela formalização jurídica e liquidação do pagamento realizado através de FGTS.

3.2.1. A partir do momento que essas Instituições obtiverem essas informações se tornarão responsáveis pela sua segurança, tratamento e compartilhamento adequado, não podendo fazer o tratamento em desconformidade com a legislação vigente, sob pena de responder por todas as punições, em especial as de natureza cível, criminal e as aplicadas pela Autoridade Nacional de Proteção de Dados.

3.2. Somos operadores do tratamento dos dados pessoais de terceiros inseridos em nossas soluções pelo Cliente e pelo Estabelecimento Prestador, ou seja, realizamos o tratamento de dados com base nas decisões desses que aqui figuram como controladores.

3.3. Além disso, também existem alguns operadores terceiros contratados pela GREG, que podem realizar o tratamento dos dados pessoais, como assessoria jurídica, parceiros tecnológicos, servidores, entre outros.

3.4. Nossas contratações sempre prezam pelo tratamento seguro das informações do Cliente e do Estabelecimento Prestador. Por isso, a partir do momento que essas empresas tiverem acesso a esses dados, se tornarão responsáveis pela segurança, tratamento e compartilhamento adequado dessas informações, não podendo divulgá-las para outras finalidades, em desconformidade com a legislação vigente ou com este Aviso de Privacidade, sob pena de responderem por todas as punições, em especial as de natureza cível, criminal e as aplicadas pela Autoridade Nacional de Proteção de Dados.

4. SEGURANÇA DA INFORMAÇÃO

4.1. A GREG se preocupa muito com a segurança de seus dados pessoais. Por isso, compromete-se a manter as informações fornecidos em ambiente seguro, observados o porte do tratamento, por meio de medidas técnicas compatíveis com os padrões internacionais e pelo estímulo ao uso de boas práticas, o que inclui uma análise de riscos de segurança da informação e a implementação de Políticas de Segurança da Informação eficazes e difundidas.

4.2. Todos os registros de acesso, conjunto de informações referentes à data e hora de uso de uma determinada aplicação de internet a partir de um determinado endereço IP, serão mantidos pela GREG, sob sigilo, em ambiente controlado e de segurança, pelo prazo mínimo de 06 (seis) meses, nos termos da Lei n. 12.965/2014, e artigo 7º, II, da Lei n. 13.709/18.

4.3. A GREG tem o compromisso de preservar a estabilidade, segurança e funcionalidade da solução, por meio de medidas técnicas compatíveis com os padrões internacionais e pelo estímulo ao uso de boas práticas. Todavia, nenhum serviço disponível na internet possui total garantia contra invasões ilegais. Em casos em que terceiros não autorizados invadam o sistema de forma ilícita, a GREG diligenciará da melhor forma para encontrar o responsável pela atuação ilícita, mas não se responsabiliza pelos danos por eles causados.

5. COLETA DE DADOS

5.1. Para o cadastro e utilização dos serviços da GREG serão requeridas as seguintes informações:

5.1.1. Para Cliente Pessoa Física: nome completo, número de documento de identificação pessoal, número de inscrição no CPF, endereço residencial, data de nascimento, número de telefone e e-mail, profissão, renda mensal e foto do documento de identificação pessoal.

5.1.2. Para Cliente Pessoa Jurídica: nome completo dos sócios, contrato social ou estatuto social, número de inscrição no CNPJ, endereço da sede da empresa, data de constituição da empresa, número de telefone e endereço de e-mail dos representantes legais, renda mensal, fotos do documento de identidade dos representantes legais (RG, CNH ou RNM).

5.1.3. Para Estabelecimento Prestador: nome completo dos sócios, número de inscrição no CNPJ, endereço da sede da empresa, data de constituição da empresa, número de telefone e endereço de e-mail dos representantes legais, renda mensal, fotos do documento de identidade dos representantes legais (RG, CNH ou RNM).

5.2. Histórico de contato: a GREG armazena informações a respeito de todas as interações já realizadas com os Clientes e Estabelecimento Prestador, como e-mails, e mensagens, pelo prazo de até 05 (cinco) anos, pois isso irá melhorar o seu atendimento e torná-lo mais eficiente. Sem esse histórico, provavelmente todas as vezes que o Cliente e/ou Estabelecimento Prestador entrasse em contato teria que repetir o que já nos passou anteriormente.

6. TRATAMENTO DE DADOS PESSOAIS

6.1. Ao aceitar o presente aviso de privacidade, o Cliente e o Estabelecimento Prestador compreendem que a coleta e tratamento dos dados pessoais abaixo são necessários para a execução do contrato com a GREG, conforme informações apresentadas a seguir.