Tratamento de Documentos Pessoais e Empresariais (LGPD) O Oz Marketplace é uma plataforma digital de intermediação de negócios operada por Oz Earth Participações S.A., sociedade anônima fechada inscrita no CNPJ sob o nº 29.775.965/0001-38, com sede na Rua Sader Macul, nº 96, Itaim Bibi, São Paulo/SP, CEP 04.542-090 (a “Oz”, o “Grupo Oz” ou a “Plataforma”), acessível em [www.ozmarketplace.com.br]. Esta Política define as regras de coleta, as bases legais, os controles de acesso, os prazos de retenção, o descarte e as medidas de segurança aplicáveis aos documentos pessoais e empresariais exigidos para a verificação de identidade e o cadastro (Know Your Customer, ou KYC) de compradores, sellers/produtores e seus representantes no Oz Marketplace. Este documento observa a Lei nº 13.709/2018 (LGPD), a regulamentação da ANPD e as normas de prevenção à fraude, à lavagem de dinheiro e ao financiamento do terrorismo, e complementa a Política de Privacidade.
1.1. O processo de verificação tem por finalidade confirmar a identidade e a capacidade dos usuários, prevenir fraudes, o uso indevido da Plataforma, a lavagem de dinheiro e o financiamento do terrorismo, assegurar a rastreabilidade das operações e cumprir obrigações legais e regulatórias. 1.2. A verificação é condição para a habilitação de sellers/produtores e poderá ser exigida de compradores em situações específicas, notadamente diante de indícios de risco, de contestação de transações ou de exigência legal.
2.1. De pessoas naturais: documento oficial de identidade com foto, CPF, comprovante de endereço, dados de contato, dados bancários e, quando aplicável, prova de vida (selfie) e demais elementos de autenticação. 2.2. De pessoas jurídicas: contrato ou estatuto social e alterações, cartão CNPJ, comprovante de endereço da sede, atos de eleição ou designação de administradores, procurações, documentos de identificação dos representantes legais, dados bancários e comprovantes de regularidade fiscal. 2.3. Quando exigido pela natureza da atividade ou pela categoria de produto: alvarás, licenças sanitárias e ambientais, registros e notificações junto à ANVISA e ao MAPA e certificados de conformidade ou de certificação. 2.4. Poderão ser coletados, ainda, dados de qualificação de sócios e de beneficiários finais, na medida necessária ao cumprimento das obrigações de prevenção à lavagem de dinheiro.
3.1. Determinados documentos podem conter dados pessoais sensíveis, assim definidos pelo art. 5º, II, da LGPD, tais como dados biométricos decorrentes de imagem facial utilizada para prova de vida e comparação com o documento de identidade. 3.2. O tratamento de dados biométricos limita-se estritamente à autenticação e à prevenção à fraude, não sendo utilizado para finalidades diversas, e observa medidas reforçadas de segurança, incluindo criptografia e controles de acesso mais restritivos. 3.3. Sempre que o tratamento de dados sensíveis depender de consentimento, este será colhido de forma específica e destacada, com informação clara sobre a finalidade, nos termos do art. 11, I, da LGPD.
4.1. O tratamento fundamenta-se: (i) no cumprimento de obrigação legal ou regulatória pelo controlador (art. 7º, II, e art. 11, II, alínea 'a', da LGPD); (ii) na execução de contrato e de procedimentos preliminares (art. 7º, V); (iii) na prevenção à fraude e à garantia da segurança do titular nos processos de identificação e autenticação (art. 11, II, alínea 'g', e art. 11, § 3º); (iv) no exercício regular de direitos (art. 7º, VI, e art. 11, II, alínea 'd'); e (v) no legítimo interesse, quando aplicável e resguardados os direitos do titular (art. 7º, IX, e art. 10).
5.1. A coleta observa os princípios da finalidade, da adequação e da necessidade, limitando-se aos documentos e às informações estritamente pertinentes à verificação pretendida. 5.2. Não serão exigidos documentos ou informações desnecessários à finalidade declarada. Havendo dados excedentes em documento apresentado, serão adotadas, sempre que tecnicamente viável, medidas de ocultação ou de tratamento restrito das informações não pertinentes. 5.3. O usuário é responsável pela veracidade e pela atualidade dos documentos apresentados, respondendo pela apresentação de documentos falsos, adulterados ou de terceiros.
6.1. A Plataforma poderá validar os dados e documentos apresentados junto a bases públicas, bureaus de crédito, prestadores de serviços antifraude e demais fontes legítimas, na medida necessária à verificação e à análise de risco. 6.2. Tais prestadores atuam como operadores ou, quando definirem autonomamente finalidades, como controladores, obrigando-se contratualmente à observância da legislação de proteção de dados e a padrões adequados de segurança e confidencialidade.
7.1. O acesso aos documentos é restrito aos colaboradores e prestadores estritamente necessários à execução do processo de verificação, mediante perfis de acesso segregados, autenticação individual, princípio do menor privilégio e registro de atividades (logs) auditáveis. 7.2. Todos os que tiverem acesso aos documentos estão sujeitos a dever contratual de sigilo, que subsiste ao término do vínculo, e a treinamento periódico em proteção de dados e segurança da informação. 7.3. É vedada a utilização dos documentos para finalidades diversas das previstas nesta Política, bem como a sua extração, cópia ou compartilhamento não autorizados.
8.1. Os documentos e as informações de verificação poderão ser compartilhados com instituições e gateways de pagamento, prestadores antifraude, empresas do Grupo Oz e autoridades públicas competentes, exclusivamente quando necessário ao cumprimento das finalidades desta Política ou de obrigação legal. 8.2. Eventuais transferências internacionais observarão o Capítulo V da LGPD e a Resolução CD/ANPD nº 19/2024, mediante mecanismos adequados, tais como decisão de adequação ou cláusulas-padrão contratuais aprovadas pela ANPD.
9.1. Os documentos são armazenados em ambiente controlado, com criptografia em trânsito e, sempre que tecnicamente viável, em repouso, com controles de acesso, monitoramento, rotinas de backup e testes periódicos de recuperação. 9.2. São adotadas medidas de prevenção e de detecção de acessos não autorizados, bem como avaliações periódicas de vulnerabilidades e de eficácia dos controles.
10.1. Os documentos serão retidos pelo prazo de 5 (cinco) anos após o encerramento da relação, ou por prazo superior quando exigido por lei, por regulamentação ou para o exercício regular de direitos em processo judicial, administrativo ou arbitral. 10.2. Esgotados os prazos e a necessidade, os documentos serão eliminados de forma segura ou anonimizados, mediante procedimento de eliminação lógica e física, com registro da operação para fins de prestação de contas. 10.3. A Plataforma manterá inventário das categorias de documentos, das finalidades, das bases legais e dos prazos de retenção, sob responsabilidade do Encarregado.
11.1. Na hipótese de incidente de segurança envolvendo os documentos tratados nos termos desta Política, serão adotadas as providências do Plano de Resposta a Incidentes de Dados, incluindo a avaliação de risco e, quando configurado risco ou dano relevante, a comunicação à ANPD e aos titulares no prazo de 3 (três) dias úteis, na forma da Resolução CD/ANPD nº 15/2024.
12.1. O titular poderá exercer os direitos do art. 18 da LGPD quanto aos documentos e dados tratados, inclusive a confirmação, o acesso e a correção, pelo canal do Encarregado [dpo@oz.inc], observadas as hipóteses legais de conservação obrigatória, que serão informadas ao titular quando impedirem o atendimento integral do pedido. Esta Política complementa a Política de Privacidade e é de observância obrigatória por todas as áreas e prestadores envolvidos no processo de verificação. Dúvidas: [dpo@oz.inc].
