KAST Brazil Privacy Policy

Esta Política de Privacidade explica como o Grupo KAST (conforme definido nos Termos e Condições Gerais de Prestação de Serviços https://www.kast.xyz/legal/terms-and-conditions-of-service, doravante também referido como "KAST", “nós", “nos" ou “nosso”) coleta, utiliza, compartilha e protege os Dados Pessoais quando você utiliza nossos websites, aplicativos móveis, cartões, produtos de ativos digitais e produtos e serviços relacionados (os “Serviços”). Ela foi elaborada para atender aos requisitos globais aplicáveis de privacidade e proteção de dados, incluindo o Regulamento Geral sobre a Proteção de Dados da UE, o GDPR do Reino Unido e a Lei de Proteção de Dados do Reino Unido de 2018, a Lei Geral de Proteção de Dados Pessoais do Brasil (“LGPD”), as leis estaduais de privacidade do consumidor dos EUA, quando aplicáveis, e outras jurisdições nas quais operamos.

Leia esta Política com atenção. Os termos específicos de cada jurisdição estão estabelecidos nos Anexos e prevalecem sobre o corpo principal na medida de qualquer conflito para indivíduos na região relevante.

Sumário

1. Quem somos e quem controla seus dados
2. Escopo desta Política
3. Termos principais
4. Os dados pessoais que coletamos
5. Como coletamos dados pessoais
6. Finalidades do tratamento e bases legais
7. Com quem compartilhamos dados pessoais
8. Transferências internacionais de dados
9. Por quanto tempo mantemos os dados pessoais
10. Seus direitos
11. Tomada de decisão automatizada e criação de perfis
12. Marketing e comunicações
13. Cookies e tecnologias semelhantes
14. Como protegemos os dados pessoais
15. Crianças
16. Entre em contato conosco e alterações a esta Política

Anexo 1: EEE, Reino Unido e Suíça

Anexo 2: Estados Unidos

Anexo 3: Brasil

Anexo 4: Outros mercados

1. Quem somos e quem controla seus dados

A entidade do grupo KAST responsável pelos seus Dados Pessoais (o “controlador de dados") depende de onde você está localizado e de quais Serviços utiliza. Salvo disposição em contrário em um Anexo ou em um aviso separado fornecido a você, os controladores são KAST Tech, Troia Corp ou KAST Sociedade Prestadora de Serviços de Ativos Virtuais Ltda., se você for um cliente brasileiro.

Quando a KAST e uma instituição parceira determinam conjuntamente as finalidades e os meios do tratamento (por exemplo, uma emissora de cartões, um parceiro emissor ou um custodiante), cada parte atua como controlador independente de seu próprio tratamento, e o próprio aviso de privacidade do parceiro também se aplicará. Identificamos nossas categorias de parceiros na Seção 7.

Quando se aplica um aviso de privacidade financeira dos EUA, esse aviso prevalece com relação às informações pessoais não públicas abrangidas pelo GLBA e pelo Regulamento P. Se houver conflito entre esta Política de Privacidade geral e um aviso do GLBA / Regulamento P para um produto financeiro dos EUA abrangido, o aviso do GLBA / Regulamento P prevalecerá na medida do conflito.

Nossos dados de contato relacionados à proteção de dados, incluindo nosso Encarregado de Proteção de Dados e nossos representantes na UE e no Reino Unido, quando nomeados, estão estabelecidos na Seção 16 e, respectivamente, no Anexo 1.

2. Escopo desta Política

Esta Política se aplica aos dados pessoais que coletamos e tratamos sobre usuários e potenciais usuários dos Serviços, visitantes de nossos websites e aplicativos e outras pessoas que interajam conosco. Ela não se aplica a produtos, serviços ou websites de terceiros que não controlamos, mesmo quando você os acessa por meio dos Serviços. Esses terceiros operam sob seus próprios avisos de privacidade, de acordo com suas próprias obrigações de privacidade.

3. Termos principais

Esta Política utiliza os seguintes termos principais:

“Produto ou serviço financeiro” significa um produto ou serviço oferecido pela KAST ou por uma instituição financeira parceira que tenha natureza financeira, incluindo, quando aplicável, serviços financeiros de cartão, conta, pagamento, crédito, custódia, transferência, conversão ou relacionados.

“Informações pessoais não públicas” ou “NPI” tem o significado atribuído pela Lei Gramm-Leach-Bliley e pelo Regulamento P. Em geral, significa informações financeiras pessoalmente identificáveis sobre um consumidor que são fornecidas pelo consumidor, resultam de uma transação ou serviço realizado para o consumidor ou são obtidas de outra forma em conexão com o fornecimento de um produto ou serviço financeiro e que não estão disponíveis publicamente.

“Dados pessoais" significa qualquer informação relacionada a um indivíduo identificado ou identificável. Não há distinção material nesta Política entre “dados pessoais" e “informações pessoais".

“Tratamento" significa qualquer operação realizada sobre dados pessoais.

“Dados de categoria especial" significa dados que revelem características sensíveis e inclui dados biométricos usados para identificar exclusivamente um indivíduo.

“Controlador", “Operador", “Titular dos dados" e “Autoridade supervisora" têm, cada um, o significado atribuído a ele pelo GDPR ou por outras leis de proteção de dados relevantes, incluindo a LGPD.

4. Os dados pessoais que coletamos

Coletamos as seguintes categorias de dados pessoais:

• Dados de identificação: nome, data de nascimento, nacionalidade, gênero, fotografias e vídeos, números de documentos de identificação nacionais ou de passaporte, números de identificação fiscal e outras credenciais de identificação.
• Dados de contato: endereço de e-mail, número de telefone, endereço residencial e de cobrança e nome de usuário da conta.
• Dados de KYC e verificação: documentos de identidade emitidos pelo governo, comprovante de endereço, informações sobre origem dos fundos e origem do patrimônio e os resultados de verificações de identidade e sanções.
• Dados biométricos: quando você utiliza uma verificação de identidade que envolve uma leitura facial ou uma verificação de prova de vida, nós (ou nossos provedores de verificação) tratamos dados biométricos para confirmar sua identidade e detectar fraudes. Esses são dados de categoria especial e são tratados somente quando permitido por lei e, quando exigido, com seu consentimento explícito.
• Dados financeiros e de transações: saldos de contas, detalhes de aportes e saques, transações de pagamentos e cartões, detalhes de comerciantes e contrapartes, valores, moedas e registros de data e hora. Isso pode incluir informações pessoais não públicas para fins de privacidade financeira dos EUA, como números de conta, histórico de transações, saldos, atividade de pagamentos, atividade de cartões, fontes de financiamento, informações de reembolso, informações de solicitações e outras informações obtidas em conexão com o fornecimento de um produto ou serviço financeiro.
• Dados do cartão: número do cartão, validade e credenciais de pagamento tokenizadas. Nós mesmos não armazenamos dados completos de segurança do cartão quando eles são tratados por nossa emissora de cartões ou por processadores de pagamentos.
• Dados de blockchain e on-chain: endereços de carteiras, hashes de transações on-chain, valores e registros de data e hora das transações, assinaturas digitais, chaves públicas e análises relacionadas derivadas de blockchains públicas e/ou carteiras inteligentes on-chain e chaves de coassinatura vinculadas ao Earn Vault.
• Dados de análise de contrapartes e on-chain: informações sobre os endereços de carteiras e as transações de contrapartes com as quais você realiza transações, incluindo pessoas que não são usuários da KAST, e indicadores de risco que derivamos da análise da atividade em blockchains públicas para fins de triagem de fraudes, sanções e crimes financeiros.
• Dados do dispositivo e técnicos: endereço IP, identificadores de dispositivo (que podem incluir Android ID, iOS ID, IMEI, ID de publicidade e endereço MAC), detalhes de hardware e sistema operacional, tipo de navegador, versão do aplicativo e dados de falhas e diagnósticos.
• Dados de uso: informações sobre como você interage com os Serviços, incluindo páginas e recursos acessados, duração da sessão e fonte de referência.
• Dados de privacidade financeira dos EUA / NPI: para produtos e serviços financeiros dos EUA, informações que você fornece para obter um produto ou serviço financeiro, informações resultantes de transações ou atividades de atendimento, informações de agências de informações de crédito ou fontes de prevenção a fraudes, quando aplicável, e informações de bancos parceiros, bancos emissores, processadores, redes de pagamentos, custodiantes, comerciantes, prestadores de serviços e outros parceiros de serviços financeiros.
• Dados de comunicações: o conteúdo e os registros de suas comunicações conosco, incluindo tickets de suporte, chamadas, chats e e-mails, conforme permitido por lei.
• Dados de geolocalização: localização aproximada derivada do seu endereço IP ou, quando você consentir, localização mais precisa obtida do seu dispositivo.
• Dados de marketing: suas preferências quanto ao recebimento de marketing e suas interações com nossas comunicações.
• Dados fiscais: números de identificação fiscal e informações de residência fiscal coletados para cumprir obrigações de declaração fiscal, inclusive nos termos da Lei de Conformidade Fiscal de Contas Estrangeiras dos EUA (FATCA) e do Padrão Comum de Comunicação da OCDE (CRS).
• Dados de informações da conta: quando você nos instrui a recuperar informações sobre contas mantidas por você com terceiros (por exemplo, por meio de serviços de informações de contas ou de open banking), os detalhes da conta e das transações obtidos.

Alguns Serviços exigem determinados dados pessoais para operar. Se você optar por não os fornecer, talvez não possamos prestar o Serviço pertinente ou cumprir nossas obrigações legais, e talvez não possamos abrir ou manter sua conta.

5. Como coletamos dados pessoais

Coletamos dados pessoais:

• Diretamente de você, quando você se cadastra, conclui a verificação, faz aportes ou usa seu cartão, entra em contato conosco, responde a pesquisas ou de outra forma interage com os Serviços.
• Automaticamente, por meio de cookies e tecnologias semelhantes e por meio do seu uso dos Serviços, que geram dados do dispositivo, técnicos, de uso e de localização.
• De terceiros e parceiros, incluindo nossas emissoras de cartões, custodiantes, prestadores de serviços de entrada e saída de recursos e de pagamentos, provedores de verificação de identidade e KYC, provedores de análise de blockchain, fontes de sanções e listas de observação, registros públicos e blockchains públicas, agências de prevenção a fraudes e informações de crédito, provedores de análise, comerciantes, parceiros de indicação e nossas afiliadas.
• De provedores de informações de contas e de open banking, quando você nos instrui a recuperar informações sobre contas mantidas por você com terceiros.
• Para produtos e serviços financeiros dos EUA, também podemos coletar informações pessoais não públicas de solicitações, formulários, fluxos de verificação de identidade, atividades de transação, uso de cartões ou contas, redes de pagamentos, bancos emissores, bancos patrocinadores, processadores, agências de informações de crédito ao consumidor, bancos de dados de prevenção a fraudes, registros públicos, listas governamentais, comerciantes, contrapartes, custodiantes e outros parceiros de serviços financeiros.

6. Finalidades do tratamento e bases legais

Tratamos dados pessoais somente quando temos uma base legal para fazê-lo. A tabela abaixo apresenta nossas principais finalidades, as categorias de dados envolvidas e a base legal em que nos fundamentamos. Quando nos baseamos em interesses legítimos, realizamos uma avaliação de ponderação, e você pode nos solicitar informações adicionais.

Especificamente quando a LGPD se aplica, as bases legais nas quais nos fundamentamos são especificadas no Anexo 3.

Dados de categoria especial (biométricos). Quando tratamos dados biométricos para verificação de identidade, baseamo-nos em seu consentimento explícito ou em outra condição permitida pelo Artigo 9 do GDPR e pela legislação nacional aplicável. Você pode nos perguntar sobre métodos alternativos de verificação quando disponíveis.

7. Com quem compartilhamos dados pessoais

Não vendemos seus dados pessoais. Para fins das leis de privacidade financeira dos EUA, a KAST não divulga informações pessoais não públicas, exceto conforme permitido por lei, conforme descrito no aviso aplicável do GLBA / Regulamento P, ou com seu consentimento. Determinado compartilhamento pode ser necessário para processar transações, prestar serviços relacionados às contas, verificar identidade, prevenir fraudes, cumprir a lei, apoiar programas de bancos parceiros ou fornecer os produtos e serviços financeiros que você solicitar. Compartilhamos dados pessoais com as categorias de destinatários abaixo, em cada caso sujeitos a salvaguardas contratuais e de segurança apropriadas. Quando um destinatário atua como nosso operador, ele só poderá tratar dados de acordo com nossas instruções documentadas.

Compartilhamento de informações de privacidade financeira dos EUA. Para produtos e serviços financeiros dos EUA, a KAST e suas instituições financeiras parceiras podem compartilhar informações pessoais não públicas para finalidades comerciais cotidianas, como processar transações, manter contas, responder a ordens judiciais e investigações legais, comunicar informações às agências de crédito, quando aplicável, prevenir fraudes e prestar serviços relacionados às contas. Também podemos compartilhar informações com afiliadas e não afiliadas conforme permitido pelo GLBA e pelo Regulamento P, sujeito a quaisquer direitos de recusa descritos no aviso de privacidade financeira aplicável dos EUA. Compartilhamento regulatório e da regra de viagem. Como uma empresa financeira regulamentada, nós e nossos parceiros somos obrigados a compartilhar certas informações para cumprir as leis de prevenção à lavagem de dinheiro e de combate ao financiamento do terrorismo. Isso inclui compartilhar informações sobre o originador e o beneficiário relacionadas a transferências de ativos digitais com outros prestadores regulamentados, a fim de cumprir a “regra de viagem" recomendada pelo Grupo de Ação Financeira e implementada nas jurisdições aplicáveis.

Declaração fiscal e troca de informações. Quando exigido por lei, coletamos informações sobre sua residência fiscal e reportamos informações de contas e transações às autoridades fiscais, inclusive nos termos da Lei de Conformidade Fiscal de Contas Estrangeiras dos EUA (FATCA) e do Padrão Comum de Comunicação da OCDE (CRS). Isso pode envolver o subsequente intercâmbio dessas informações entre autoridades fiscais de diferentes países.

Prevenção a fraudes e triagem. Nós e nossos parceiros realizamos a triagem de clientes e transações em relação a sanções, listas de pessoas politicamente expostas e de mídia negativa, e compartilhamos informações com agências de prevenção a fraudes e de informações de crédito para prevenir e detectar fraudes e crimes financeiros e verificar identidade e capacidade de crédito. Os resultados dessas verificações podem afetar sua capacidade de abrir ou manter uma conta ou realizar uma transação.

Supervisão regulatória e manutenção de registros. Tratamos e conservamos dados pessoais para cumprir os requisitos de licenciamento, supervisão, auditoria e manutenção de registros dos reguladores financeiros e parceiros licenciados por meio dos quais os Serviços são prestados.

Dados de blockchain e de contrapartes. Como as transações ocorrem em blockchains públicas, necessariamente tratamos informações sobre contrapartes e seus endereços de carteira, incluindo pessoas que não são usuários da KAST, e analisamos a atividade em blockchains públicas para avaliar riscos e detectar fraudes, exposição a sanções e crimes financeiros.

8. Transferências internacionais de dados

A KAST opera globalmente, e seus dados pessoais podem ser transferidos, armazenados e tratados em países fora do país em que você está localizado, incluindo países que podem não oferecer um nível equivalente de proteção de dados. Os principais países para os quais transferimos dados pessoais incluem Singapura (onde estão sediados nossos provedores de infraestrutura em nuvem), Austrália (local secundário de armazenamento de dados) e outros países que sejam necessários para a prestação dos Serviços.

Quando transferimos dados pessoais para fora do Espaço Econômico Europeu, do Reino Unido ou da Suíça, implementamos salvaguardas adequadas, que podem incluir:

• transferências para países que se beneficiam de uma decisão de adequação da Comissão Europeia ou, para o Reino Unido, de regulamentos de adequação;
• as Cláusulas Contratuais-Padrão da Comissão Europeia, o Acordo Internacional de Transferência de Dados do Reino Unido ou seu Adendo e o adendo suíço, conforme aplicável; e
• uma derrogação nos termos do Artigo 49 do GDPR quando aplicável, por exemplo, quando a transferência for necessária para a execução do nosso contrato com você.

Quando transferimos dados pessoais para fora do Brasil, implementamos salvaguardas adequadas, que podem incluir:

• transferências para países que se beneficiam de uma decisão de adequação da Autoridade Nacional de Proteção de Dados do Brasil (“ANPD”);
• as Cláusulas Contratuais-Padrão da ANPD; e
• outros mecanismos de transferência internacional previstos na LGPD e no regulamento de transferência internacional.

Quando exigido, realizamos uma avaliação dos riscos da transferência e aplicamos medidas suplementares. Você pode solicitar uma cópia da salvaguarda pertinente usando os dados de contato da Seção 16.

9. Por quanto tempo mantemos os dados pessoais

Conservamos dados pessoais somente pelo tempo necessário para as finalidades para as quais foram coletados, inclusive para cumprir obrigações legais, regulatórias, fiscais, contábeis e de declaração de informações e para estabelecer, exercer ou defender reivindicações legais. Como uma empresa financeira regulamentada, estamos sujeitos a períodos obrigatórios de manutenção de registros, em particular nos termos da legislação de prevenção à lavagem de dinheiro. Nossos critérios gerais de retenção são:

Quando os dados pessoais não forem mais necessários, nós os excluímos ou anonimizamos de forma irreversível.

10. Seus direitos

Se você for um titular brasileiro, consulte o Anexo 3 para obter uma lista completa dos seus direitos relacionados aos seus dados pessoais tratados por nós.

Sujeito à legislação aplicável e a determinadas condições e exceções, você tem os seguintes direitos em relação aos seus dados pessoais:

• Acesso: obter confirmação de que tratamos seus dados e uma cópia deles, juntamente com informações sobre o tratamento.
• Retificação: ter dados inexatos ou incompletos corrigidos ou complementados.
• Eliminação: ter seus dados excluídos quando não houver razão legal prevalecente para que os mantenhamos.
• Restrição: restringir nosso tratamento em determinadas circunstâncias.
• Oposição: opor-se ao tratamento baseado em interesses legítimos e opor-se, a qualquer momento, ao tratamento para marketing direto.
• Portabilidade: receber determinados dados em formato estruturado, comumente utilizado e legível por máquina e transmiti-los a outro controlador quando tecnicamente viável.
• Retirar o consentimento: retirar o consentimento a qualquer momento quando nos basearmos nele, sem afetar o tratamento realizado antes da retirada.
• Decisões automatizadas: não ser submetido a uma decisão baseada exclusivamente em tratamento automatizado que produza efeitos jurídicos ou efeitos igualmente significativos, exceto conforme permitido por lei (consulte a Seção 11).
• Reclamação: apresentar uma reclamação a uma autoridade supervisora (consulte o Anexo 1).

Para exercer seus direitos, entre em contato conosco usando os dados da Seção 16. Talvez precisemos verificar sua identidade antes de responder. Responderemos dentro do prazo exigido pela legislação aplicável (geralmente um mês nos termos do GDPR, prorrogável para solicitações complexas). Podemos recusar uma solicitação, total ou parcialmente, quando a lei permitir, por exemplo, quando o atendimento impediria que cumpríssemos uma obrigação de prevenção à lavagem de dinheiro ou outra obrigação legal, e explicaremos nossos motivos. Você pode autorizar um representante a agir em seu nome mediante apresentação de autorização escrita adequada e verificação de identidade.

Limites relacionados aos dados de blockchain. Certas informações, incluindo endereços de carteiras e detalhes de transações, são registradas em blockchains públicas que são descentralizadas e imutáveis e sobre as quais não temos controle. Como essas informações não podem ser alteradas ou removidas depois de registradas, seus direitos de eliminação e retificação não se estendem aos dados mantidos em uma blockchain pública. Quando você exercer esses direitos, nós os aplicaremos aos dados pessoais que mantemos em nossos próprios sistemas.

11. Tomada de decisão automatizada e criação de perfis

Utilizamos ferramentas automatizadas, incluindo pontuação de risco e triagem, para verificar identidade, detectar e prevenir fraudes e crimes financeiros, monitorar transações e realizar triagem em relação a sanções e listas de observação. Em casos limitados, esses processos podem envolver decisões automatizadas que produzem efeitos jurídicos ou efeitos igualmente significativos, como recusar a abertura de uma conta, bloquear uma transação ou suspender o acesso quando exigido para conformidade legal ou prevenção a fraudes.

Quando tomamos essas decisões, fazemos isso porque é necessário para celebrar ou executar nosso contrato com você, é exigido para cumprir uma obrigação legal ou baseia-se em seu consentimento explícito, em cada caso conforme permitido pelo Artigo 22 do GDPR ou pela legislação aplicável pertinente. Você pode solicitar revisão humana de uma decisão qualificável, manifestar seu ponto de vista e contestar a decisão, exceto quando a lei nos impedir de divulgar detalhes por razões de prevenção a crimes. Para solicitar revisão humana de uma decisão que tenha afetado você (como recusa de conta, bloqueio de transação ou suspensão de acesso), entre em contato conosco usando os dados da Seção 16, informando a natureza da decisão e o resultado que busca. As categorias de decisões automatizadas qualificadas para revisão humana nos termos do Artigo 22 do GDPR ou da legislação aplicável pertinente incluem: recusa em abrir ou manter uma conta; suspensão do acesso à conta; bloqueio de uma transação com base em pontuação de risco ou triagem de sanções; e falhas na verificação automatizada de identidade. Uma contestação bem-sucedida pode resultar na reversão da decisão, em um resultado modificado ou em uma revisão manual completa.

12. Marketing e comunicações

Podemos enviar a você comunicações de serviço necessárias para prestar os Serviços, como alertas de segurança e notificações de transações. Quando exigido por lei, enviamos comunicações de marketing somente com seu consentimento, e você pode deixar de recebê-las a qualquer momento usando o link de cancelamento de inscrição ou entrando em contato conosco. Deixar de receber marketing não interrompe as comunicações de serviço.

13. Cookies e tecnologias semelhantes

Utilizamos cookies, kits de desenvolvimento de software, arquivos de registro, sinalizadores da web e tecnologias semelhantes para operar, proteger e analisar os Serviços, lembrar suas preferências e, quando você consentir, para análises e publicidade. Instalamos cookies não essenciais somente com seu consentimento, que você pode gerenciar por meio do nosso banner de cookies e das configurações do seu navegador, e respeitamos sinais reconhecidos de recusa quando exigido. No entanto, restringir ou interromper cookies pode significar que você não conseguirá acessar ou utilizar alguns de nossos Serviços ou recursos.

14. Como protegemos os dados pessoais

Mantemos salvaguardas técnicas, administrativas e físicas destinadas a proteger os dados pessoais contra perda, uso indevido, acesso não autorizado, divulgação, alteração e destruição, incluindo criptografia de dados em trânsito e em repouso, controles de acesso e obrigações de confidencialidade impostas ao nosso pessoal e aos nossos provedores. Nenhum método de transmissão ou armazenamento é completamente seguro, e não podemos garantir segurança absoluta. Se tomarmos conhecimento de uma violação de dados pessoais que exija notificação, notificaremos a autoridade supervisora pertinente e as pessoas afetadas conforme exigido por lei.

15. Crianças

Nossos Serviços não são direcionados a, e não pretendemos nem solicitamos conscientemente, dados pessoais de crianças menores de 16 anos. Se um indivíduo tiver menos de 16 anos, não deverá utilizar nossos Serviços nem nos fornecer quaisquer dados pessoais diretamente ou por outros meios. Se uma criança menor de 16 anos nos tiver fornecido dados pessoais, recomendamos que seu pai, sua mãe ou responsável entre em contato conosco para solicitar a remoção dos dados pessoais de nossos sistemas. Se soubermos que quaisquer dados pessoais que coletamos foram fornecidos por uma criança menor de 16 anos, excluiremos prontamente esses dados pessoais.

16. Entre em contato conosco e alterações a esta Política

Se você tiver dúvidas sobre esta Política ou desejar exercer seus direitos, entre em contato conosco por:

• E-mail (privacidade): privacy@kast.xyz
• Encarregado de Proteção de Dados: dpo@kast.xyz
• Endereço postal: KAST Tech, Boulevard de Coelacanthe, Mutsamudu, Anjouan, Union of Comoros

Podemos atualizar esta Política periodicamente para refletir alterações em nossas práticas ou na lei. Publicaremos a Política atualizada em nosso website e, quando as alterações forem materiais, forneceremos aviso adicional. A data de “Última atualização" indica quando ela foi revisada pela última vez. Todas as alterações entrarão em vigor na data de publicação, salvo disposição em contrário.

Anexo 1: EEE, Reino Unido e Suíça

Este Anexo fornece informações complementares para pessoas no Espaço Econômico Europeu, no Reino Unido e na Suíça (em conjunto, “EEE+") e faz parte desta Política. Em caso de conflito com o corpo principal, este Anexo prevalece para pessoas no EEE+.

Bases legais

Baseamo-nos no consentimento, na execução de um contrato, no cumprimento de uma obrigação legal e em interesses legítimos e, para Dados de Categoria Especial, nas condições do Artigo 9 do GDPR.

Regulamentação de criptoativos. Para serviços de criptoativos prestados a pessoas no EEE, nós e nossos parceiros também estamos sujeitos ao Regulamento da UE sobre Mercados de Criptoativos (MiCA) e ao Regulamento sobre as informações que acompanham as transferências de fundos e determinados criptoativos (Regulamento de Transferência de Fundos), que nos obrigam a coletar e compartilhar determinadas informações sobre os originadores e beneficiários de transferências de criptoativos.

Transferências internacionais

Quando transferimos Dados Pessoais para fora do EEE+, baseamo-nos em uma decisão de adequação, nas Cláusulas Contratuais-Padrão, no Acordo Internacional de Transferência de Dados do Reino Unido ou seu Adendo, no adendo suíço ou em uma derrogação aplicável, conforme descrito na Seção 8.

Seu direito de reclamar

Você pode apresentar uma reclamação à autoridade supervisora local. No EEE, o European Data Protection Board mantém uma lista de autoridades. No Reino Unido, a autoridade é o Information Commissioner's Office (ico.org.uk). Na Suíça, é o Federal Data Protection and Information Commissioner.

Anexo 2: Estados Unidos

Este Anexo apresenta divulgações complementares exigidas pelas leis federais e estaduais de privacidade aplicáveis dos Estados Unidos, incluindo a Lei Gramm-Leach-Bliley (GLBA), as leis estaduais de privacidade do consumidor (como a Lei de Privacidade do Consumidor da Califórnia, conforme alterada pela Lei de Direitos de Privacidade da Califórnia, "CCPA/CPRA”) e a Lei de Proteção da Privacidade Infantil na Internet (COPPA). Aplica-se exclusivamente a residentes dos EUA e complementa a Política de Privacidade principal.

Escopo e leis aplicáveis (GLBA versus legislação estadual)

Dependendo de como você interage com a KAST e dos Serviços específicos que utiliza, suas informações pessoais podem ser regidas por diferentes estruturas de privacidade dos EUA:

• GLBA (Dados financeiros): Informações pessoais não públicas (NPI) coletadas em conexão com produtos ou serviços financeiros (como contas de cartões, transferências de ativos digitais ou produtos de crédito) são regidas principalmente pela Lei Gramm-Leach-Bliley federal e seus regulamentos de implementação (Regulamento P). As práticas de coleta e compartilhamento desses dados estão detalhadas em nosso Aviso de Privacidade do GLBA independente fornecido durante o cadastro.
• Leis Estaduais de Privacidade / CCPA (Dados não abrangidos pelo GLBA): Informações pessoais coletadas fora do escopo do GLBA (por exemplo, dados de navegação no website, interações de marketing ou dados gerais de contato corporativo) estão sujeitas às leis estaduais abrangentes de privacidade aplicáveis, incluindo a CCPA/CPRA.

Categorias de informações pessoais coletadas e divulgadas

Nos 12 meses anteriores, coletamos e divulgamos para fins comerciais as seguintes categorias legais de informações pessoais:

• Identificadores: nome completo, endereço de e-mail, número de telefone, endereço residencial, PIN da conta, endereço IP, números de identificação/passaporte, data de nascimento, foto/selfie e perfil da empresa.
• Informações comerciais e financeiras: detalhes da carteira (número da conta, chaves privadas, transações de depósito/saque, operações de negociação) e dados financeiros necessários para serviços de emissão e custódia de cartões.
• Atividade de internet/rede e geolocalização: páginas visitadas, localização do país, data/hora das solicitações, tipo de navegador da web/sistema operacional, interações com o(s) Site(s) e identificadores de dispositivo (Android ID, iOS ID, IMEI, ID de publicidade, endereço MAC).
• Contatos do dispositivo: números de telefone dos contatos do dispositivo (tratados exclusivamente para identificar usuários KAST cadastrados para pagamentos ao utilizar o recurso de localizar amigos).

Coletamos esses dados diretamente de você, automaticamente por meio do seu dispositivo/cookies e de parceiros terceiros (como provedores de verificação de KYC/AML, serviços de CRM/comunicação e parceiros emissores/custodiantes) para verificar a identidade, processar transações, manter a funcionalidade do aplicativo, prevenir fraudes e cumprir requisitos legais/regulatórios.

“Não vender nem compartilhar", cookies e Do Not Track

• Nenhuma venda ou compartilhamento: A KAST não vende informações pessoais do usuário por contraprestação monetária ou de valor, nem compartilhamos informações pessoais com terceiros para publicidade comportamental entre contextos ou marketing direcionado.
• Cookies e análises: Utilizamos cookies de diversas maneiras para tornar sua experiência em nossos websites e Serviços mais agradável (mantendo você conectado, registrando preferências, analisando o desempenho e gerenciando o design do site). Informações anonimizadas ou agregadas podem ser compartilhadas ou utilizadas para apoiar nossas operações comerciais.
• O que é Do Not Track (DNT)? DNT é um conceito promovido por agências reguladoras para a indústria da internet para permitir que usuários controlem o rastreamento on-line em websites por meio das configurações do navegador. Observe que os sistemas da KAST atualmente não respondem nem respeitam sinais de "Do Not Track" (DNT) ou cabeçalhos automatizados do navegador. Além disso, cookies instalados por terceiros podem continuar rastreando suas atividades on-line após você sair de nossos Serviços, e esses terceiros podem não respeitar solicitações de DNT. Portanto, esta Política de Privacidade não abrange as práticas de cookies de terceiros.

Seus direitos nos termos das leis estaduais de privacidade dos EUA (incluindo CCPA/CPRA)

Sujeito às exceções legais (incluindo isenções do GLBA e retenção obrigatória de AML), os residentes dos EUA podem ter os seguintes direitos:

• Direito de acesso / conhecimento (DAR): solicitar detalhes sobre as categorias e elementos específicos de informações pessoais coletadas, fontes, finalidades comerciais e terceiros com os quais foram compartilhadas.
• Direito de excluir / eliminação: solicitar a eliminação das informações pessoais mantidas pela KAST, sujeito às exceções legais de retenção.
• Direito de corrigir (DCR): solicitar a correção de informações pessoais inexatas mantidas em nossos sistemas.
• Direito à não discriminação: você não receberá tratamento discriminatório por exercer quaisquer de seus direitos de privacidade.

Envio de solicitações e prazos: para exercer seus direitos ou solicitar a retirada do consentimento, envie uma solicitação por escrito para legal@kast.xyz. Buscamos responder a solicitações verificáveis de consumidores dentro de 40 dias corridos. Se recusarmos agir sobre sua solicitação (por exemplo, devido a obrigações legais de retenção ou impossibilidade de verificar sua identidade), você poderá recorrer de nossa decisão respondendo à nossa determinação escrita.

Proteções de crianças e menores (COPPA e legislação estadual)

Nossos Serviços são estritamente direcionados a adultos e não se destinam a pessoas menores de 18 anos:

• Conformidade com a COPPA: de acordo com a COPPA, não coletamos nem mantemos conscientemente informações pessoais de crianças menores de 13 anos.
• Menores de 18 anos: qualquer pessoa com menos de 18 anos deve obter permissão de seus pais ou responsáveis legais antes de acessar nossos Serviços. Não tratamos, vendemos nem compartilhamos conscientemente Dados Pessoais pertencentes a menores de 18 anos sem o consentimento dos pais ou responsáveis. Se soubermos que Dados Pessoais de um menor foram coletados sem o consentimento legal apropriado, tomaremos medidas imediatas para remover os dados e desativar a conta.

Anexo 3: Brasil

Este Anexo fornece informações complementares para pessoas no Brasil e faz parte desta Política. Em caso de conflito com o corpo principal, este Anexo prevalece para pessoas no Brasil.

Controlador

O principal controlador responsável pelo tratamento de dados pessoais para prestar os Serviços é KAST Sociedade Prestadora de Serviços de Ativos Virtuais Ltda.

Bases legais

Dados de categoria especial (biométricos). Quando tratamos dados biométricos para verificação de identidade, baseamo-nos em seu consentimento explícito ou em outra condição permitida pela LGPD. Você pode nos perguntar sobre métodos alternativos de verificação quando disponíveis.

Seus direitos

Nos termos da LGPD, você tem direito a:

• Obter confirmação sobre se tratamos seus dados pessoais. Em resposta a uma solicitação desse tipo, informaremos se tratamos ou não seus dados pessoais.
• Acessar seus dados pessoais. Se desejar, você poderá receber um relatório que apresente os dados pessoais a seu respeito que tratamos.
• Corrigir dados pessoais incompletos, inexatos ou desatualizados. Se você acreditar que seus dados pessoais estão incorretos, poderá solicitar sua correção, indicando o que precisa ser alterado e por quê. Podemos solicitar documentação comprobatória para realizar a correção.
• Solicitar a anonimização, o bloqueio ou a eliminação de dados pessoais desnecessários, excessivos ou tratados em violação à LGPD. Se você acreditar que estamos tratando seus dados pessoais de forma desnecessária, excessiva ou não conforme, poderá solicitar que esses dados sejam anonimizados, bloqueados ou eliminados.
• Solicitar a portabilidade de seus dados pessoais para outro prestador de serviço ou fornecedor de produto, sujeita à proteção de nossos segredos comercial e industrial e após regulamentação pela ANPD. Como titular dos dados, você poderá solicitar que seus dados pessoais sejam transferidos para outro prestador de serviço ou fornecedor de produto, de acordo com os regulamentos da ANPD, desde que os segredos comercial e industrial sejam respeitados.
• Solicitar a eliminação de dados pessoais tratados com base em seu consentimento, exceto nos casos em que a retenção seja permitida ou exigida por lei. Se seus dados pessoais forem tratados com base no consentimento, você poderá solicitar sua eliminação. No entanto, a LGPD permite a retenção de dados pessoais para fins de cumprimento de obrigações legais ou regulatórias; pesquisa por órgão de pesquisa, quando possível com anonimização; transferência a terceiros; e uso exclusivo pelo controlador, desde que os dados sejam anonimizados.
• Obter informações sobre as entidades com as quais compartilhamos seus dados pessoais. Você pode solicitar que informemos as entidades com as quais seus dados pessoais são compartilhados, mas observe que a Seção 7 desta Política já fornece uma lista abrangente dos terceiros com os quais podemos compartilhar dados pessoais.
• Obter informações sobre a possibilidade de recusar o consentimento e as respectivas consequências. Quando o consentimento é utilizado como base legal para o tratamento de dados pessoais, você tem o direito de ser informado sobre a possibilidade de recusar o consentimento e as consequências dessa recusa.
• Retirar seu consentimento para o tratamento de seus dados pessoais. Se seus dados pessoais forem tratados com base no consentimento, você poderá retirar esse consentimento. Nesses casos, qualquer tratamento realizado exclusivamente com base no consentimento será interrompido.
• Opor-se ao tratamento que viole a LGPD. Se você acreditar que estamos tratando seus dados pessoais em violação à LGPD, poderá opor-se a esse tratamento. A solicitação será cuidadosamente analisada e, se aceita, o tratamento não conforme será interrompido.
• Solicitar a revisão de decisões tomadas exclusivamente com base no tratamento automatizado de seus dados pessoais. Se decisões forem tomadas exclusivamente com base no tratamento automatizado, você poderá solicitar sua revisão.
• Apresentar uma petição relacionada aos seus dados à ANPD. Se considerar necessário, poderá apresentar uma petição à ANPD relacionada aos seus dados pessoais.

Para exercer seus direitos, entre em contato conosco usando os dados da Seção 16. Talvez precisemos verificar sua identidade antes de responder. Responderemos dentro do prazo exigido pela LGPD e pela regulamentação relacionada. Podemos recusar uma solicitação, total ou parcialmente, quando a lei permitir, por exemplo, quando o atendimento impediria que cumpríssemos uma obrigação de prevenção à lavagem de dinheiro ou outra obrigação legal, e explicaremos nossos motivos. Você pode autorizar um representante a agir em seu nome mediante apresentação de autorização escrita adequada e verificação de identidade.

Limites relacionados aos dados de blockchain. Certas informações, incluindo endereços de carteiras e detalhes de transações, são registradas em blockchains públicas que são descentralizadas e imutáveis e sobre as quais não temos controle. Como essas informações não podem ser alteradas ou removidas depois de registradas, seus direitos de eliminação e retificação não se estendem aos dados mantidos em uma blockchain pública. Quando você exercer esses direitos, nós os aplicaremos aos dados pessoais que mantemos em nossos próprios sistemas.

Anexo 4: Outros mercados

A KAST oferece os Serviços em mais de 170 países, sujeita à elegibilidade e à análise de cadastro, e não oferece os Serviços em países que designa como restritos. Com base na presença atual da KAST, os mercados abaixo são tratados neste Anexo. Em caso de conflito com o corpo principal, o aviso complementar de sua jurisdição prevalecerá. Avisos adicionais sobre a legislação local serão emitidos para outros mercados conforme necessário.

América Latina

A KAST é utilizada ativamente em toda a América Latina, incluindo Argentina e Panamá. Argentina: a Lei nº 25,326 sobre a Proteção de Dados Pessoais aplica-se, e você pode entrar em contato com a Agency for Access to Public Information (AAIP).

Ásia-Pacífico

Quando os Serviços estiverem disponíveis na região da Ásia-Pacífico, as leis locais de proteção de dados poderão conceder direitos adicionais a você, e avisos complementares serão aplicáveis. Atualmente, os Serviços não são oferecidos em determinados mercados, que podem incluir Japão, Singapura e Hong Kong.

Oriente Médio e África

Quando os Serviços estiverem disponíveis no Oriente Médio ou na África, as leis locais de proteção de dados (por exemplo, nos Emirados Árabes Unidos) poderão conceder direitos adicionais a você, e avisos complementares serão aplicáveis. Determinados países nessas regiões são restritos e não são atendidos.

Jurisdições de origem e de regência

A KAST Tech está constituída na União das Comores, e os Termos e Condições de Prestação de Serviços da KAST são regidos pelas leis de Seychelles. Isso não reduz as proteções disponíveis a você nos termos da lei obrigatória de proteção de dados de seu próprio país de residência, quando essa lei se aplicar.