Política de Privacidade

1 Introdução

A CDC Sociedade de Crédito Direto S.A. (“CDC”, “nós” ou “nossa”) tem o compromisso de proteger a privacidade e os dados pessoais de todas as pessoas que interagem conosco — sejam clientes, parceiros, visitantes do site ou candidatos a vagas.

Esta Política de Privacidade explica, de forma transparente e acessível, como coletamos, utilizamos, compartilhamos, armazenamos e protegemos os seus dados pessoais quando você:

• Acessa nosso site (cdcbank.com.br) ou aplicativo;
• Contrata produtos e serviços (conta digital, empréstimo consignado, cartão de crédito, antecipação FGTS, entre outros);
• Interage com nossos canais de atendimento;
• Utiliza serviços de parceiros que operam por meio da nossa plataforma (Endofinance/BaaS).

Esta Política foi elaborada em conformidade com a Lei Geral de Proteção de Dados Pessoais — LGPD (Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014) e as regulamentações do Banco Central do Brasil aplicáveis às Sociedades de Crédito Direto.

Ao utilizar nossos serviços, você declara estar ciente desta Política. Caso discorde de qualquer ponto, entre em contato com o nosso Encarregado de Proteção de Dados (DPO) pelo e-mail lgpd@cdcbank.com.br.

2 Quem somos — O Controlador

A CDC é a Controladora dos dados pessoais coletados em seus canais próprios (site, app, atendimento). Em determinadas operações realizadas via plataforma Endofinance (BaaS), a CDC pode atuar como Operadora de dados em nome de parceiros, conforme detalhado na seção 16.

3 Dados que coletamos

Coletamos apenas os dados necessários para prestar nossos serviços, garantir a segurança das operações e cumprir obrigações legais. Os dados pessoais que tratamos incluem:

4 Como coletamos seus dados

4.1 Diretamente de você

• Cadastros, formulários e propostas preenchidos por você
• Interação com nosso site, aplicativo ou canais de atendimento
• Envio de documentos e selfies para verificação de identidade

4.2 Gerados pelo uso dos nossos serviços

• Dados transacionais gerados a partir das operações realizadas
• Dados de navegação coletados automaticamente (cookies e tecnologias similares)
• Registros de acesso (logs) conforme o Marco Civil da Internet

4.3 De fontes externas

• Bureaus de crédito (Serasa, SPC, Boa Vista)
• Sistema de Informações de Crédito do Banco Central (SCR)
• Órgãos públicos e bases de dados governamentais
• Parceiros comerciais e correspondentes bancários
• Outras instituições financeiras (portabilidade, transferências)

5 Para que usamos seus dados

6 Bases legais do tratamento

Todo tratamento de dados pessoais realizado pela CDC está fundamentado em uma ou mais bases legais previstas na LGPD (art. 7º):

7 Compartilhamento de dados

Compartilhamos seus dados pessoais apenas quando necessário e sempre com base legal adequada. Os principais destinatários são:

8 Armazenamento dos dados

Seus dados pessoais são armazenados em infraestrutura segura, com controles técnicos e organizacionais adequados, em conformidade com a Resolução CMN 4.893/2021 (política de segurança cibernética para instituições financeiras).

As principais medidas de armazenamento incluem:

• Criptografia em repouso e em trânsito (AES-256, TLS 1.2+)
• Ambientes certificados conforme padrões ISO 27001 e SOC 2
• Controle de acesso baseado em função (RBAC) com princípio do menor privilégio
• Backups criptografados com plano de recuperação de desastres
• Monitoramento contínuo 24/7 com alertas automáticos de incidentes

9 Prazo de retenção

Mantemos seus dados pessoais pelo tempo necessário para cumprir as finalidades para as quais foram coletados e as obrigações legais aplicáveis:

Após o término do prazo de retenção, os dados serão eliminados ou anonimizados de forma irreversível, salvo quando houver obrigação legal de conservação.

10 Segurança da informação

A CDC adota medidas técnicas e organizacionais robustas para proteger seus dados pessoais contra acesso não autorizado, perda, alteração ou destruição:

11 Incidentes de segurança

A CDC possui um Plano de Resposta a Incidentes de Segurança em conformidade com a LGPD e a Resolução CMN 4.893/2021. Em caso de incidente que possa acarretar risco ou dano relevante aos titulares:

12 Direitos do titular

A LGPD garante a você diversos direitos sobre seus dados pessoais. Você pode exercê-los a qualquer momento entrando em contato com o nosso DPO:

13 Decisões automatizadas

A CDC utiliza sistemas automatizados para auxiliar em determinadas decisões, incluindo:

• Análise e scoring de crédito: modelos estatísticos que avaliam o risco de crédito com base em dados cadastrais, financeiros e comportamentais para definição de limites e taxas.
• Prevenção a fraudes: algoritmos que monitoram transações em tempo real para detectar padrões atípicos e prevenir operações fraudulentas.
• Perfil de consumo (profiling): análise de comportamento de uso para personalização de ofertas e serviços.

14 Cookies e tecnologias de rastreamento

Nosso site e aplicativo utilizam cookies e tecnologias semelhantes para melhorar sua experiência, garantir a segurança e analisar o uso dos serviços.

Você pode gerenciar suas preferências de cookies a qualquer momento através do banner de consentimento ou das configurações do seu navegador. A desativação de cookies não essenciais pode afetar algumas funcionalidades do site.

15 Menores de idade

Os produtos e serviços da CDC são destinados exclusivamente a pessoas maiores de 18 anos. Não coletamos intencionalmente dados pessoais de crianças ou adolescentes.

Caso identifiquemos que dados de menores de idade foram coletados inadvertidamente, tomaremos as medidas necessárias para eliminá-los imediatamente, salvo quando houver obrigação legal de manutenção.

Se você é pai, mãe ou responsável legal e acredita que dados de um menor sob sua responsabilidade foram coletados pela CDC, entre em contato com nosso DPO pelo e-mail lgpd@cdcbank.com.br.

16 BaaS / Endofinance

A CDC opera a plataforma Endofinance, uma solução de Banking as a Service (BaaS) que permite a parceiros oferecerem produtos financeiros regulados utilizando a infraestrutura da CDC.

Neste contexto, os papéis de tratamento de dados podem variar:

• CDC como Controladora: Quando os dados são tratados para operações regulatórias próprias da CDC (KYC, PLD/FT, SCR, relatórios ao BACEN).
• CDC como Operadora: Quando os dados são tratados em nome do parceiro, seguindo suas instruções e finalidades, conforme contrato específico.
• Controladoria conjunta: Em situações específicas onde CDC e parceiro determinam conjuntamente as finalidades e meios do tratamento.

Em todos os casos, a CDC exige de seus parceiros BaaS o cumprimento integral da LGPD e mantém contratos com cláusulas específicas de proteção de dados, incluindo medidas de segurança, limitação de finalidade e obrigações de confidencialidade.

17 Correspondentes bancários

A CDC atua por meio de correspondentes bancários (Corbans), conforme autorizado pela Resolução CMN 3.954/2011. Os correspondentes podem coletar dados pessoais em nome da CDC para intermediação na contratação de produtos.

Os correspondentes bancários estão sujeitos a:

• Contratos com cláusulas específicas de proteção de dados e confidencialidade
• Obrigação de tratar dados exclusivamente para as finalidades autorizadas pela CDC
• Treinamento sobre LGPD e boas práticas de privacidade
• Auditorias periódicas de conformidade realizadas pela CDC
• Proibição de compartilhar dados com terceiros sem autorização expressa da CDC

18 Transferência internacional de dados

Em determinadas situações, seus dados pessoais podem ser transferidos para outros países, por exemplo, quando utilizamos serviços de computação em nuvem ou processadoras de pagamento com infraestrutura internacional.

Toda transferência internacional de dados é realizada em conformidade com o art. 33 da LGPD e inclui as seguintes salvaguardas:

• Transferência para países ou organismos internacionais que proporcionem grau de proteção adequado
• Cláusulas contratuais padrão (SCCs) que garantem a proteção dos dados
• Consentimento específico e informado do titular, quando aplicável
• Cumprimento de obrigação legal ou regulatória
• Medidas técnicas complementares de segurança (criptografia, pseudonimização)

19 Alterações nesta política

A CDC pode atualizar esta Política de Privacidade periodicamente para refletir mudanças em nossas práticas de tratamento de dados, novos requisitos legais ou regulatórios, ou melhorias em nossos processos de privacidade.

Quando houver alterações relevantes, você será notificado por meio de:

• Aviso destaque no site e/ou aplicativo
• E-mail para os clientes ativos
• Notificação push no aplicativo

Recomendamos que você revise esta página periodicamente. A data da última atualização é sempre indicada no topo do documento.

20 Fale com o DPO

Se você tiver dúvidas sobre esta Política, quiser exercer seus direitos como titular de dados ou precisar reportar qualquer questão relacionada à privacidade, entre em contato:

Para demais assuntos, você também pode entrar em contato pelo e-mail contato@cdcbank.com.br.

21 Legislação aplicável

Esta Política de Privacidade é regida pelas seguintes normas:

• Lei Geral de Proteção de Dados Pessoais — LGPD (Lei nº 13.709/2018)
• Marco Civil da Internet (Lei nº 12.965/2014)
• Código de Defesa do Consumidor (Lei nº 8.078/1990)
• Lei de Lavagem de Dinheiro (Lei nº 9.613/1998)
• Resolução CMN 4.893/2021 — Política de segurança cibernética
• Resolução CMN 4.656/2018 — Sociedades de Crédito Direto
• Resolução CMN 3.954/2011 — Correspondentes bancários
• Regulamentações da ANPD — Autoridade Nacional de Proteção de Dados
• Normas do Banco Central do Brasil aplicáveis às SCDs

Para questões não resolvidas amigavelmente, fica eleito o foro da Comarca de Belo Horizonte/MG, com exclusão de qualquer outro, por mais privilegiado que seja.