1. Objeto e Âmbito de Aplicação

Os presentes Termos LGPD ("Termos") estabelecem as condições específicas de tratamento de dados pessoais realizados pela GLOBALIX TECHNOLOGY S.A. ("GLOBALIX"), com sede em Montevidéu, Uruguai, em conformidade com a Lei Geral de Proteção de Dados do Brasil (Lei 13.709/2018 — LGPD) e a Lei de Proteção de Dados Pessoais do Uruguai (Ley N.° 18.331).

Estes Termos aplicam-se a todos os Usuários da plataforma GLOBALIX que sejam residentes ou domiciliados no Brasil, ou cujos dados pessoais sejam tratados em território brasileiro, complementando a Política de Privacidade geral da GLOBALIX.

2. Controlador e Encarregado (DPO)

Controlador: GLOBALIX TECHNOLOGY S.A., pessoa jurídica de direito privado uruguaio, com sede em Montevidéu, Departamento de Montevidéu, República Oriental do Uruguai.

O Encarregado de Proteção de Dados (DPO) pode ser contatado através dos canais de suporte disponibilizados na Plataforma para exercício de direitos previstos na LGPD.

3. Princípios do Tratamento

A GLOBALIX observa rigorosamente os princípios estabelecidos no artigo 6.° da LGPD:

4. Bases Legais para o Tratamento

O tratamento de dados pessoais pela GLOBALIX fundamenta-se nas seguintes bases legais previstas no artigo 7.° da LGPD:

5. Dados Sensíveis

A GLOBALIX trata dados pessoais sensíveis (biometria facial) exclusivamente mediante consentimento específico e destacado do titular (artigo 11, I, da LGPD), coletado por meio de checkbox obrigatório na tela de verificação KYC. O dado biométrico é processado para fins de matching facial e não é armazenado em formato bruto — apenas o score numérico de similaridade é retido.

6. Consentimento

O consentimento do Usuário é coletado de forma livre, informada, inequívoca e específica, por meio de checkboxes obrigatórios nas seguintes telas:

• Login: Aceite dos Termos de Uso, Política de Privacidade e Termos LGPD;
• Registro Pessoa Física: Aceite completo com declaração de auto-custódia;
• Registro Pessoa Jurídica: Aceite completo com declaração de auto-custódia;
• KYC (Verificação Pessoal): Consentimento específico para tratamento de dados para verificação de identidade e prevenção a fraudes;
• KYB (Verificação Empresarial): Consentimento específico para tratamento de dados corporativos.

Cada aceite é registrado no banco de dados com: data e hora (timestamp UTC), endereço IP do Usuário, identificação do dispositivo (user agent), versão dos termos aceitos e texto exato apresentado ao Usuário, constituindo prova robusta de consentimento para fins de auditoria e comprovação legal.

7. Direitos do Titular (Art. 18 LGPD)

O Usuário titular dos dados pessoais pode exercer os seguintes direitos previstos no artigo 18 da LGPD:

• I — Confirmação: Confirmar a existência de tratamento de dados pessoais;
• II — Acesso: Acessar seus dados pessoais tratados pela GLOBALIX;
• III — Correção: Solicitar correção de dados incompletos, inexatos ou desatualizados;
• IV — Anonimização, bloqueio ou eliminação: Solicitar anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• V — Portabilidade: Solicitar portabilidade dos dados a outro fornecedor de serviço;
• VI — Eliminação: Solicitar eliminação dos dados tratados com base em consentimento;
• VII — Informação: Ser informado sobre entidades com as quais os dados foram compartilhados;
• VIII — Informação sobre não consentimento: Ser informado sobre a possibilidade de não fornecer consentimento e suas consequências;
• IX — Revogação: Revogar o consentimento a qualquer momento, mediante manifestação expressa.

As solicitações devem ser realizadas através dos canais de suporte da Plataforma e serão atendidas no prazo de 15 dias úteis, conforme artigo 19 da LGPD. A GLOBALIX poderá manter dados quando houver obrigação legal de retenção (ex: dados de KYC por 5 anos para fins de AML).

8. Medidas de Segurança Técnicas

Em conformidade com o artigo 46 da LGPD, a GLOBALIX adota as seguintes medidas técnicas e administrativas para proteção dos dados pessoais:

• Criptografia em repouso: CPF criptografado com AES-256-GCM, chaves privadas protegidas por Key Vault com PBKDF2;
• Criptografia em trânsito: HTTPS obrigatório com HSTS (max-age 1 ano), TLS 1.2+;
• Hashing de senhas: bcrypt com 12 rounds de salt;
• Pseudonimização: CPF armazenado como hash HMAC-SHA256 para buscas, com apenas os 4 últimos dígitos em texto claro;
• Controle de acesso: RBAC (Role-Based Access Control) com separação admin/user, logs de auditoria restritos a administradores;
• Monitoramento: Audit trail encadeado com SHA-256, detecção de anomalias em tempo real;
• Testes: 257 testes automatizados cobrindo segurança, compliance e funcionalidades.

9. Transferência Internacional de Dados

Os dados pessoais podem ser transferidos para o Uruguai, onde a GLOBALIX mantém sua sede. O Uruguai é reconhecido pela Comissão Europeia como país com nível adequado de proteção de dados pessoais (Decisão 2012/484/UE), o que garante proteção equivalente à exigida pela LGPD (artigo 33, I).

Para transferências a outros países, a GLOBALIX adota cláusulas contratuais padrão e verifica que o destinatário oferece grau de proteção compatível com a LGPD.

10. Incidentes de Segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a GLOBALIX se compromete a: (a) comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em prazo razoável, conforme artigo 48 da LGPD; (b) descrever a natureza dos dados afetados; (c) informar as medidas técnicas e de segurança utilizadas; (d) indicar os riscos relacionados ao incidente; (e) descrever as medidas adotadas para reverter ou mitigar os efeitos do incidente.

11. Relatório de Impacto (RIPD)

A GLOBALIX mantém Relatório de Impacto à Proteção de Dados Pessoais (RIPD) atualizado, conforme artigo 38 da LGPD, contemplando: (a) descrição dos processos de tratamento que podem gerar riscos; (b) medidas de segurança e mecanismos de mitigação; (c) análise de proporcionalidade e necessidade do tratamento. O RIPD está disponível para consulta pela ANPD mediante solicitação.

12. Autoridade Supervisora

O Usuário titular dos dados pessoais tem o direito de apresentar reclamação perante a Autoridade Nacional de Proteção de Dados (ANPD) do Brasil, nos termos do artigo 55-J da LGPD, caso entenda que o tratamento de seus dados pessoais viola a legislação aplicável.

No Uruguai, a autoridade competente é a Unidad Reguladora y de Control de Datos Personales (URCDP), vinculada à Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento (AGESIC).

13. Vigência e Alterações

Estes Termos LGPD entram em vigor na data de sua publicação e permanecem válidos por prazo indeterminado. Alterações serão comunicadas ao Usuário com antecedência mínima de 15 dias e exigirão novo consentimento quando implicarem mudança substancial nas condições de tratamento.

14. Legislação Aplicável

Estes Termos são regidos pela Lei Geral de Proteção de Dados do Brasil (Lei 13.709/2018) no que se refere ao tratamento de dados de titulares brasileiros, e pela Ley N.° 18.331 do Uruguai no que se refere às operações de tratamento realizadas em território uruguaio. Eventuais conflitos serão dirimidos pelo foro da comarca do domicílio do titular dos dados no Brasil, ou pelos tribunais de Montevidéu, Uruguai, conforme aplicável.