Política de privacidade

1. Quem trata os seus dados

PayAlfa, opera a PayAlfa, uma intermediadora de pagamentos por Pix. A PayAlfa cria cobranças para empresas e pessoas que vendem (os lojistas), recebe o pagamento de quem compra (o pagador) por meio de instituições de pagamento parceiras e repassa o valor ao lojista.

Sobre os dados de cadastro, de acesso e das transações, a PayAlfa é a controladora: decide como e para que eles são usados, sempre dentro desta política e da Lei Geral de Proteção de Dados (Lei 13.709/2018, a LGPD). O lojista que recebe um pagamento também usa os dados do pagador para a própria venda; essa parte segue a política do lojista.

2. Quais dados coletamos

Do lojista e dos seus representantes

• Cadastro: nome, CPF, e-mail, celular, CNPJ, razão social, nome fantasia, segmento, site e faturamento informado.
• Verificação de identidade: foto do documento (frente e verso), selfie segurando o documento, comprovante de endereço e, para empresas, contrato social ou certificado do MEI e cartão CNPJ. A situação do CNPJ é conferida na base pública da Receita Federal.
• Movimentação: cobranças, pagamentos recebidos, saques, chaves Pix de destino, transferências internas, saques em USDT e endereços de carteira informados.
• Acesso e segurança: usuário, senha (guardada só em forma cifrada, sem como ser lida de volta), PIN de saque, segundo fator de login, endereço IP, data e hora de acesso, dados do navegador usados para reconhecer o aparelho e registros de uso da API e dos webhooks.
• Atendimento: mensagens trocadas com o suporte.

Do pagador

• Nome completo e CPF ou CNPJ informados na página de pagamento, exigidos para emitir a cobrança Pix.
• Valor, data e hora, descrição da cobrança, situação do pagamento e o identificador da transação no Pix (E2E).
• Endereço IP, usado para limitar tentativas seguidas e prevenir fraude.

De quem visita o site

Um cookie de sessão, necessário para manter o login aberto, e preferências guardadas no próprio navegador (por exemplo, o rascunho do cadastro, que nunca inclui a senha). Hoje o site não usa cookies de publicidade nem ferramentas de rastreamento de terceiros.

3. Para que usamos e com qual base legal

Parte da análise de risco é automática (por exemplo, quando uma operação foge do padrão da conta e fica retida para conferência). Você pode pedir a revisão de uma decisão tomada só de forma automática pelo canal da seção 8.

4. Com quem compartilhamos

• Instituições de pagamento e adquirentes parceiras, que geram o QR Code, liquidam o Pix e fazem os saques. Recebem os dados necessários para cada operação (nome, documento, valor e chave).
• Banco Central do Brasil e o sistema Pix, por meio das instituições participantes, como exige o arranjo.
• Autoridades, como a Unidade de Inteligência Financeira (Coaf), a Receita Federal, o Poder Judiciário, a polícia e o Ministério Público, quando a lei obriga ou mediante requisição formal.
• O lojista que recebeu o pagamento, que vê no painel e recebe por webhook o nome, o documento e os dados da transação do pagador.
• Prestadores de serviço que trabalham para a PayAlfa: hospedagem e servidores, envio de e-mail, notificações no celular e consulta de CNPJ em base pública. Eles só podem usar os dados para prestar o serviço contratado.

Não vendemos dados pessoais. Alguns prestadores, como o serviço de notificações no celular, podem guardar dados fora do Brasil; nesses casos a transferência segue o art. 33 da LGPD.

5. Por quanto tempo guardamos

• Cadastro, documentos e transações: enquanto a conta existir e, depois do encerramento ou da transação, por no mínimo 5 anos, prazo da Lei 9.613/1998 para registros de prevenção à lavagem de dinheiro.
• Dados do pagador: 5 anos a partir da transação, pelo mesmo motivo.
• Registros de acesso: no mínimo 6 meses, como pede o Marco Civil da Internet.
• Rascunho do cadastro: fica só no seu navegador e some quando a aba é fechada ou o cadastro termina.

Passados os prazos e sem outra obrigação que exija guardar, os dados são apagados ou anonimizados.

6. Como protegemos

• Senhas guardadas só em forma cifrada; saque só com PIN de 6 dígitos; segundo fator de login disponível para toda conta.
• Documentos de identificação em área privada do servidor, fora do alcance público da internet, vistos só pela equipe de análise.
• Conexão protegida (HTTPS) e avisos de pagamento para o sistema do lojista assinados com HMAC-SHA256.
• Acesso da equipe limitado a quem precisa, com registro de quem fez cada ajuste no painel administrativo.

Nenhum sistema é imune a falhas. Se houver um incidente de segurança com risco relevante para você, avisaremos você e a Autoridade Nacional de Proteção de Dados (ANPD), como pede a lei.

7. Seus direitos

Pela LGPD (art. 18), você pode pedir a qualquer momento:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, errados ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei;
• portabilidade a outro fornecedor, nos termos da regulamentação da ANPD;
• informação sobre com quem compartilhamos seus dados;
• revisão de decisões tomadas só de forma automática;
• revogação de um consentimento que você tenha dado.

Se você pagou uma compra e tem dúvida sobre o produto ou a entrega, fale com a empresa que vendeu. Para os dados tratados pela PayAlfa, use o canal abaixo. Você também pode reclamar à ANPD.

8. Encarregado e canal de privacidade

Pedidos sobre dados pessoais, inclusive o exercício dos direitos da seção 7, são atendidos pelo encarregado pelo tratamento de dados pessoais (DPO) pela Central de ajuda.

Para proteger você, podemos pedir uma confirmação de identidade antes de entregar ou alterar dados. A resposta vem em até 15 dias, prazo do art. 19 da LGPD para a declaração completa.

9. Mudanças nesta política

Quando esta política mudar, a data no topo é atualizada. Mudança relevante para lojistas é avisada também por e-mail ou no painel.