Aviso de Privacidade

1. Abrangência deste Aviso

Este Aviso aplica-se ao site masterwallet.app, às páginas de cadastro e login, ao painel da carteira, às funcionalidades de pagamento, aos links públicos de cobrança e às comunicações operacionais relacionadas à plataforma.

Para os fins deste documento, “dados pessoais” são informações relacionadas a uma pessoa natural identificada ou identificável. O tratamento inclui coleta, consulta, utilização, armazenamento, compartilhamento, atualização e eliminação, conforme o contexto de cada funcionalidade.

2. Quais dados pessoais são tratados

A quantidade e o tipo de dados dependem da forma de acesso e das funcionalidades utilizadas. A Master Wallet pode tratar as seguintes categorias:

2.1. Dados de cadastro e identificação

• Nome completo e endereço de e-mail.
• Data de nascimento e informação de idade, utilizadas para verificar o requisito de acesso para maiores de 18 anos.
• CPF, utilizado para identificação cadastral, prevenção de duplicidade e validações relacionadas às operações.
• Número de telefone com DDD, utilizado como dado de contato e identificação cadastral.
• Senha de acesso, armazenada como resumo criptográfico derivado por algoritmo próprio para senhas; a senha original não é armazenada em texto legível.
• Data de criação e atualização da conta, confirmação de e-mail, conclusão do perfil e aceite dos Termos de Uso e deste Aviso.

2.2. Dados obtidos pelo login com Google

Quando a pessoa escolhe “Entrar com Google”, a autenticação utiliza os escopos de identidade, e-mail e perfil básico. A plataforma recebe o identificador único da conta Google, o nome e o endereço de e-mail, além da confirmação de que o e-mail foi verificado pelo Google. Esses dados são utilizados para autenticar a pessoa, criar ou vincular a conta da Master Wallet e manter a associação para acessos futuros.

O login Google não solicita acesso ao conteúdo do Gmail, aos arquivos do Google Drive, aos contatos, ao calendário ou a outros dados de serviços Google. A Master Wallet não utiliza os dados recebidos pelo login Google para publicidade, não os vende e não os utiliza para finalidades incompatíveis com a autenticação e a gestão da conta.

2.3. Dados de segurança e autenticação

• Identificadores de sessão e registros necessários para manter o usuário autenticado.
• Dados de configuração da autenticação em duas etapas, quando ativada, incluindo segredo autenticador protegido e códigos de recuperação armazenados somente em formato de resumo criptográfico.
• Registros de confirmação de e-mail, tentativas de autenticação, alterações de senha, encerramento de sessões e eventos relevantes para a segurança da conta.
• Informações técnicas de conexão e solicitação necessárias ao funcionamento, à limitação de tentativas abusivas e à proteção contra fraude e ataques.

2.4. Dados financeiros e de movimentação

• Valores, taxas, datas, horários, tipos e status de depósitos, cobranças e solicitações de saque.
• Identificadores internos e externos das transações, identificadores de conciliação e, quando fornecidos pelo prestador de pagamento, dados de confirmação Pix, como identificador End-to-End, nome do pagador ou recebedor e tarifas da operação.
• Chaves Pix informadas para saque, protegidas por criptografia no armazenamento da aplicação.
• Códigos Pix Copia e Cola e dados de QR Code necessários para apresentar e acompanhar uma cobrança.
• Histórico de movimentações, lançamentos de carteira, saldo disponível, valores reservados, valores retidos e registros de estorno ou conciliação.

2.5. Dados dos links de pagamento

Ao criar um link de pagamento, o recebedor pode informar título, descrição, valor fixo ou livre e campos adicionais para o pagador preencher. Esses dados são utilizados para exibir a cobrança e identificar a finalidade informada pelo recebedor.

Ao pagar um link público, o pagador informa nome completo e CPF. O pagador também pode preencher campos adicionais configurados pelo recebedor, que podem incluir texto ou e-mail. O nome do pagador é associado ao registro da transação. O CPF é validado pela plataforma e encaminhado ao prestador de pagamento somente quando isso for exigido pela integração ativa; o CPF informado no link não é acrescentado ao perfil cadastral do recebedor. Os campos adicionais enviados são associados aos registros da transação na plataforma para permitir a identificação e a conferência da cobrança pelo recebedor.

2.6. Dados de análise de ocorrências e MED

Quando um prestador de pagamento comunica uma contestação, infração ou ocorrência relacionada a uma transação, a plataforma pode receber e registrar o identificador da ocorrência, valor contestado, status, identificadores da transação, dados de conciliação, nome do pagador, detalhes da comunicação recebida e atualizações sobre retenção ou liberação de valores. Também são registrados os atos administrativos relacionados à análise, incluindo decisão, data, responsável administrativo e eventual observação.

2.7. Preferências e comunicações

A plataforma pode armazenar preferências de apresentação, como tema claro ou escuro, avisos exibidos ao usuário e o registro de avisos dispensados. Também são tratados endereço de e-mail e informações necessárias ao envio de mensagens de confirmação de cadastro e comunicações operacionais.

3. Como os dados são coletados

• Diretamente do titular: quando preenche cadastro, completa o perfil, altera configurações, ativa a autenticação em duas etapas, solicita um saque ou utiliza um link de pagamento.
• Do Google: quando escolhe a autenticação Google, conforme os escopos de identidade, e-mail e perfil básico descritos neste Aviso.
• Dos prestadores de pagamento: por respostas de cobranças e saques, consultas de status, notificações eletrônicas (webhooks), dados de conciliação e comunicações de ocorrências.
• Automaticamente: por meio de registros técnicos necessários ao funcionamento das sessões, à segurança, à prevenção de abuso e à manutenção da plataforma.

4. Para que os dados são utilizados

5. Bases legais do tratamento

O tratamento é realizado de acordo com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — LGPD), observada a finalidade de cada operação. Conforme o caso concreto, as bases legais podem incluir:

• Execução de contrato e procedimentos preliminares: abertura e manutenção da conta, autenticação, disponibilização da carteira e execução das funcionalidades solicitadas.
• Cumprimento de obrigação legal ou regulatória: conservação de registros e atendimento a exigências legais aplicáveis às operações e aos prestadores envolvidos.
• Exercício regular de direitos: manutenção de evidências e registros necessários à defesa em processos administrativos, judiciais ou arbitrais.
• Legítimo interesse: segurança da plataforma, prevenção de fraude, proteção das contas, prevenção de abuso e melhoria da confiabilidade do serviço, respeitados os direitos e as expectativas legítimas dos titulares.
• Consentimento: quando uma funcionalidade ou tratamento específico exigir essa base legal, o consentimento será solicitado de forma própria e poderá ser revogado nos termos da LGPD.

6. Compartilhamento de dados

A Master Wallet não comercializa dados pessoais. O compartilhamento ocorre somente quando necessário às finalidades descritas neste Aviso, para viabilizar funcionalidades solicitadas, proteger a plataforma ou cumprir obrigações legais. As categorias de destinatários podem incluir:

• Google: para autenticação, confirmação de identidade da conta Google e fornecimento dos dados básicos de perfil autorizados pelo usuário.
• Prestadores de processamento de pagamentos: para criar cobranças Pix, processar saques, verificar pagamentos, receber notificações, conciliar transações e tratar ocorrências ou contestações. Os dados enviados variam conforme a operação e a integração ativa e podem incluir valor, identificadores da transação, chave Pix para saques e dados de identificação do pagador, como nome ou CPF, quando exigidos pelo prestador.
• Prestadores de hospedagem, infraestrutura e banco de dados: para disponibilizar o site, armazenar informações da conta, sessões, transações e registros operacionais.
• Prestadores de envio de e-mail: para transmitir mensagens de confirmação de endereço eletrônico e comunicações operacionais.
• Autoridades públicas, órgãos reguladores e terceiros legitimados: quando o compartilhamento for exigido por lei, ordem válida ou necessário ao exercício regular de direitos.

Os prestadores recebem apenas as informações necessárias à atividade que executam, de acordo com a operação. Cada prestador pode realizar tratamento próprio conforme seus termos e avisos de privacidade. O titular deve consultar também as informações fornecidas por esses terceiros quando interagir diretamente com seus serviços.

7. Transferência internacional de dados

Alguns prestadores de tecnologia, autenticação, comunicação ou infraestrutura podem armazenar ou processar dados em servidores localizados fora do Brasil. Quando houver transferência internacional, ela deverá ocorrer de acordo com os requisitos da LGPD e da regulamentação aplicável, com adoção das salvaguardas necessárias à proteção dos dados pessoais.

8. Armazenamento, retenção e eliminação

Os dados são mantidos pelo período necessário para cumprir as finalidades informadas, manter a conta e o histórico das operações, atender obrigações legais ou regulatórias, resolver disputas e exercer direitos. O prazo concreto varia conforme a categoria de dado e a obrigação aplicável.

• Tokens de confirmação de e-mail são de uso único e expiram após 30 minutos.
• O cookie de sessão possui duração de até 24 horas, renovada enquanto a sessão permanece ativa conforme as regras de segurança da plataforma. O usuário também pode encerrar a sessão ao sair da conta.
• Registros financeiros, transacionais, de auditoria e de ocorrências podem ser conservados pelo prazo exigido para conciliação, prevenção a fraude, cumprimento de obrigações e defesa de direitos.
• Quando a conservação deixa de ser necessária e não existe fundamento legal para mantê-los, os dados são eliminados ou anonimizados, observadas as limitações técnicas e legais aplicáveis.

9. Segurança e proteção dos dados

A Master Wallet adota medidas técnicas e organizacionais compatíveis com a natureza dos dados e os riscos do serviço. Entre as medidas implementadas na aplicação estão:

• Proteção de senhas por derivação criptográfica específica para senhas, em vez de armazenamento em texto legível.
• Criptografia de dados pessoais armazenados, como CPF, telefone, chave Pix e segredo da autenticação em duas etapas.
• Uso de resumo HMAC para verificar a unicidade do CPF sem utilizar o documento em texto puro como índice.
• Conexões criptografadas (TLS/HTTPS) e conexão protegida ao banco de dados.
• Cookies de sessão com atributos HttpOnly e SameSite, além de uso de Secure em ambiente HTTPS.
• Limitação de tentativas em rotas sensíveis, controle de acesso por função e proteção das operações administrativas.
• Autenticação em duas etapas opcional, com códigos de recuperação armazenados em formato protegido.
• Registros de auditoria de ações administrativas e validação de notificações recebidas dos prestadores de pagamento.

Nenhum sistema conectado à internet é completamente livre de riscos. O usuário também deve manter seus dispositivos protegidos, utilizar senha exclusiva, não compartilhar códigos de autenticação e comunicar prontamente qualquer acesso ou movimentação que não reconheça.

10. Cookies e tecnologias de sessão

A plataforma utiliza o cookie técnico mw_session para manter a sessão autenticada e permitir o funcionamento seguro da conta. Esse cookie é marcado como HttpOnly, utiliza SameSite e, em conexões HTTPS, o atributo Secure. Ele não é utilizado para armazenar senha ou CPF. A plataforma também pode utilizar armazenamento técnico necessário às preferências e ao funcionamento da interface.

11. Análises, contestações e retenção de valores

Pagamentos podem ser objeto de contestação ou ocorrência comunicada pelo prestador de pagamento ou pelo sistema financeiro. Nesses casos, informações relacionadas à transação podem ser utilizadas para identificar a operação, acompanhar a análise, registrar o valor envolvido e atualizar seu status.

Quando uma ocorrência MED exige retenção de valores, a plataforma pode bloquear o montante correspondente na carteira e manter o registro da ocorrência até receber informação de liberação ou até que a análise administrativa aplicável seja concluída. Se o saldo disponível não for suficiente para cobrir o valor contestado, o saldo da carteira poderá refletir o valor descoberto conforme as regras operacionais da plataforma. O usuário poderá consultar as informações de movimentação e o status disponibilizados no painel.

As atualizações recebidas dos prestadores podem ser processadas automaticamente para conciliação. Decisões administrativas de liberação ou manutenção da retenção são registradas com data e histórico de auditoria. O tratamento desses dados é necessário à segurança, à gestão de risco e à execução das operações.

12. Direitos do titular

Nos termos da LGPD, o titular pode solicitar, observados os requisitos legais:

• Confirmação da existência de tratamento e acesso aos dados pessoais.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
• Portabilidade dos dados, observada a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD) e os segredos comercial e industrial.
• Informação sobre entidades públicas e privadas com as quais houve compartilhamento.
• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa, quando o tratamento se basear em consentimento.
• Revogação do consentimento, quando essa for a base legal utilizada, respeitados os tratamentos anteriores realizados de forma legítima.
• Revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, quando aplicável.

Para proteger a conta e evitar que dados sejam entregues a terceiros, a plataforma poderá solicitar informações razoáveis para confirmar a identidade de quem apresenta o pedido. Alguns dados poderão ser mantidos mesmo após solicitação de exclusão quando houver obrigação legal, necessidade de prevenção a fraude, conciliação de operação pendente ou exercício regular de direitos.

Solicitações relacionadas à privacidade podem ser encaminhadas pelos canais oficiais de atendimento da Master Wallet. O pedido deve indicar, sempre que possível, o e-mail cadastrado, o direito que deseja exercer e informações suficientes para localizar a conta. Não envie senha, códigos de autenticação ou chaves privadas no pedido.

13. Dados de menores de idade

O cadastro e a utilização das funcionalidades financeiras da Master Wallet são destinados a pessoas com 18 anos ou mais. A plataforma solicita data de nascimento para verificar esse requisito e não permite a conclusão do cadastro quando a idade mínima não é atendida.

14. Responsabilidades do usuário

O usuário deve fornecer informações verdadeiras e atualizadas, utilizar a plataforma para finalidades legítimas, manter suas credenciais em segurança e informar a Master Wallet sobre suspeita de acesso indevido ou erro em movimentações. Ao compartilhar um link de pagamento, o recebedor deve informar corretamente a finalidade da cobrança e utilizar os dados recebidos somente para fins legítimos relacionados à operação.

15. Alterações deste Aviso

Este Aviso pode ser atualizado para refletir mudanças na plataforma, nas funcionalidades, nos prestadores utilizados ou na legislação aplicável. A versão vigente ficará disponível nesta página, com a data da última atualização. Alterações relevantes poderão ser comunicadas pelos meios disponíveis na plataforma.