1. Agente controlador e público destinatário
Figura como controladora, na acepção do art. 5º, VI, da LGPD, a COROA2024 Pagamentos
Digitais Maranhão Ltda., estabelecida na Av. dos Holandeses, 88, Sala 1210,
Calhau, São Luís - MA, 65071-380, Brasil, a quem competem as decisões sobre as operações
de tratamento aqui descritas.
A plataforma dirige-se exclusivamente a pessoas com 18 anos completos ou
mais. Não coletamos deliberadamente dados de crianças e adolescentes.
Verificada a existência de cadastro em nome de menor de idade, a conta é encerrada e os
dados correspondentes são eliminados, ressalvados os registros cuja guarda seja imposta
por lei. Responsáveis que identifiquem situação dessa natureza devem comunicar o
encarregado indicado na seção 12.
2. Categorias de dados tratados
2.1 Informações declaradas pelo titular
Compreendem nome civil, data de nascimento, número de inscrição no CPF, endereço
residencial, endereço eletrônico, número de telefone, chave PIX e demais elementos de
pagamento, credenciais de acesso e o conteúdo das mensagens encaminhadas aos canais de
atendimento. A recusa em fornecer dados indispensáveis pode inviabilizar a prestação do
serviço.
2.2 Informações obtidas na utilização
Reúnem endereço de rede, identificadores do aparelho, sistema operacional e versão do
aplicativo, registros de conexão e de acesso a funcionalidades, histórico de
movimentações financeiras, interações com campanhas e localização aproximada derivada do
endereço de rede, quando autorizada nas configurações do dispositivo.
2.3 Dados de natureza sensível
Para a conferência de identidade e o cumprimento de deveres regulatórios, pode haver
tratamento de imagem do documento oficial e de dado biométrico facial. Tais informações
recebem controles adicionais de acesso, permanecem restritas às equipes encarregadas da
verificação e são tratadas apenas enquanto necessário à finalidade que as originou.
4. Hipóteses legais autorizadoras
Cada operação descrita na seção anterior apoia-se em ao menos uma das hipóteses do art.
7º e, quanto aos dados sensíveis, do art. 11 da LGPD:
- Execução de contrato e procedimentos preliminares — sustenta a
criação da conta, a autenticação e a liquidação financeira;
- Cumprimento de obrigação legal ou regulatória — ampara a
conferência de identidade, a guarda de registros de conexão e o atendimento a
requisições oficiais;
- Legítimo interesse — fundamenta as medidas antifraude e o
aperfeiçoamento técnico, sempre precedido de avaliação do impacto sobre direitos e
liberdades do titular;
- Consentimento — exigido para comunicações promocionais, para
cookies não essenciais e para o tratamento de biometria, podendo ser revogado a
qualquer tempo;
- Exercício regular de direitos — legitima a conservação de elementos
úteis à defesa em processo judicial, administrativo ou arbitral;
- Prevenção à fraude e à segurança do titular — respalda o tratamento
de dados de identificação nos processos de autenticação.
5. Destinatários das informações
5.1 Operadores contratados
Atuam por conta e ordem da controladora os prestadores de infraestrutura em nuvem, os
intermediadores de pagamento, os fornecedores de solução antifraude e de conferência
documental, as ferramentas de análise estatística e os parceiros de atendimento. Todos
estão vinculados por instrumento contratual que impõe sigilo, restringe o uso à
finalidade determinada e exige padrão de segurança compatível com o descrito neste
aviso.
5.2 Autoridades e terceiros por dever legal
Informações podem ser fornecidas ao Poder Judiciário, a órgãos de fiscalização, a
instituições financeiras envolvidas na liquidação de operações e a demais destinatários
quando houver requisição válida ou dever legal de comunicação. Sempre que possível e
juridicamente admissível, o titular é cientificado da solicitação.
5.3 Vedação à comercialização
A controladora não vende, aluga nem cede dados pessoais a terceiros para
uso publicitário próprio destes, tampouco os disponibiliza a corretores de dados ou a
bases de perfilamento externas.
6. Prazos de guarda e descarte
A conservação observa o tempo estritamente necessário ao cumprimento das finalidades
declaradas e, quando aplicável, os prazos impostos pela legislação: registros de acesso
a aplicações são guardados na forma do Marco Civil da Internet; documentos de
identificação e registros de operações financeiras seguem a disciplina de prevenção à
lavagem de dinheiro; e informações úteis à defesa de direitos permanecem até o
transcurso dos prazos prescricionais correspondentes.
Exaurido o período aplicável, os dados são eliminados de forma segura ou submetidos a
anonimização irreversível, hipótese em que podem subsistir apenas como estatística
agregada, sem possibilidade de reidentificação do titular.
7. Prerrogativas do titular
O art. 18 da LGPD assegura ao titular, mediante requerimento dirigido ao encarregado, as
seguintes faculdades:
- Obter confirmação da existência de tratamento e acessar os dados mantidos a seu
respeito;
- Requerer a correção de informações incompletas, inexatas ou desatualizadas;
- Pleitear a anonimização, o bloqueio ou a eliminação de dados excessivos,
desnecessários ou tratados em desconformidade com a lei;
- Solicitar a portabilidade a outro fornecedor, observada a regulamentação da
autoridade nacional e resguardados os segredos comercial e industrial;
- Requerer a eliminação dos dados tratados com base em consentimento, ressalvadas as
hipóteses de conservação previstas no art. 16;
- Ser informado sobre as entidades públicas e privadas com as quais houve uso
compartilhado;
- Ser esclarecido quanto à possibilidade de negar consentimento e às consequências
dessa recusa;
- Revogar o consentimento a qualquer tempo, por manifestação expressa e gratuita;
- Opor-se a tratamento fundado em legítimo interesse e peticionar perante a Autoridade
Nacional de Proteção de Dados.
As solicitações são respondidas nos prazos legais. Poderá ser exigida comprovação da
identidade do requerente, medida destinada a impedir que terceiros obtenham acesso
indevido a informações da conta.
8. Cookies e identificadores no dispositivo
8.1 Espécies utilizadas
Empregamos cookies estritamente necessários, responsáveis pela sessão autenticada e por
controles de segurança; cookies de desempenho, que produzem métricas agregadas sobre
navegação e falhas; cookies de preferência, que guardam ajustes escolhidos pelo titular;
e, quando houver consentimento, cookies de publicidade voltados à mensuração de
campanhas. A gestão pode ser feita nas configurações do navegador ou no painel de
preferências disponibilizado; a desativação dos cookies necessários compromete o
funcionamento de partes da plataforma.
8.2 Armazenamento no aparelho
O aplicativo recorre a áreas de armazenamento local e a identificadores de instalação
para preservar a sessão, reter preferências, manter cache técnico e reconhecer
dispositivos habituais durante a autenticação. A remoção desses registros pode ser
obtida com a limpeza dos dados do aplicativo ou com sua desinstalação.
9. Medidas de proteção adotadas
São aplicadas providências técnicas e administrativas proporcionais ao risco das
operações, entre as quais a cifragem do tráfego por TLS, a segregação de ambientes, o
controle de acesso baseado em necessidade funcional, o registro de auditoria das
consultas a dados sensíveis, a avaliação periódica de vulnerabilidades e o compromisso
formal de confidencialidade assumido por colaboradores e prestadores.
Ainda que rigorosos, tais controles não afastam integralmente o risco inerente a qualquer
sistema conectado. Recomenda-se ao titular o uso de senha exclusiva, a ativação da
verificação em duas etapas e a não divulgação de códigos de uso único a terceiros,
inclusive a pessoas que se apresentem como integrantes do atendimento. Incidentes de
segurança com risco relevante são comunicados ao titular e à autoridade nacional na
forma do art. 48 da LGPD.
10. Processamento fora do território nacional
Parte da infraestrutura tecnológica e alguns fornecedores especializados operam em
servidores localizados no exterior, o que implica transferência internacional de dados.
Nessas situações, a controladora adota os mecanismos previstos no art. 33 da LGPD, tais
como a celebração de cláusulas contratuais padrão, a contratação de operadores sediados
em países com grau adequado de proteção reconhecido pela autoridade nacional ou a
obtenção de consentimento específico, quando esta for a via cabível. As garantias
contratuais asseguram ao titular a mesma proteção conferida pela legislação brasileira.
11. Atualizações deste aviso
Este documento é revisado sempre que houver alteração legislativa, orientação da
autoridade nacional ou mudança nas operações de tratamento. A redação vigente permanece
publicada nesta página, identificada pelo número de revisão e pela data de início de
vigência. Modificações de impacto significativo — como a inclusão de nova finalidade ou
de nova categoria de destinatário — são comunicadas previamente por mensagem eletrônica
ou aviso no aplicativo, e, nos casos em que o tratamento se apoie em consentimento, nova
manifestação será colhida antes da implementação.
