Gerenciamento de Riscos e Compliance

A Política busca proteger a integridade da operação, a continuidade dos serviços, os dados pessoais e a transparência das relações comerciais. Aplica-se aos administradores, colaboradores e prestadores que atuem nos processos da ANJO CHECKOUT, além de orientar as exigências aplicáveis a vendedores e parceiros.

Os controles devem ser proporcionais à natureza, ao volume e à complexidade dos serviços e aos riscos identificados. Cada área é responsável por cumprir os controles relacionados às suas atividades e comunicar falhas.

A ANJO CHECKOUT disponibiliza tecnologia de checkout, gestão de vendas e integração com meios de pagamento. As etapas de autorização, processamento, liquidação, reembolso e outras funções financeiras dependem do modelo contratado e dos parceiros responsáveis por cada serviço.

Os contratos e as informações apresentadas ao vendedor devem identificar as responsabilidades da ANJO CHECKOUT e dos parceiros. Integrações com novos processadores ou modelos de operação devem ser precedidas de avaliação jurídica, técnica, de segurança e de riscos.

Informações de saldo ou recebíveis exibidas em um painel representam a situação das operações conforme os dados disponíveis e as condições contratuais. Essa exibição, isoladamente, não caracteriza abertura de conta de pagamento, custódia de recursos ou emissão de moeda eletrônica pela ANJO CHECKOUT. Serviços com essas características dependem de estrutura e enquadramento próprios.

Normas do Banco Central ou do Coaf devem ser observadas quando aplicáveis à atividade efetivamente exercida, e os requisitos dos parceiros devem ser cumpridos na extensão contratada. Esta Política não constitui declaração de autorização regulatória ou certificação da plataforma.

Risco operacional é a possibilidade de falhas de pessoas, processos, sistemas ou eventos externos prejudicarem a operação. Risco de compliance é o risco de descumprimento de leis, contratos e regras aplicáveis. Risco de segurança e privacidade envolve comprometimento de dados, sistemas ou direitos dos titulares.

Risco de liquidação e repasse envolve atrasos, divergências ou falhas no recebimento e na disponibilização de valores pelo fluxo contratado. Risco de liquidez corporativa envolve a capacidade da ANJO CHECKOUT de cumprir suas próprias obrigações. Risco de terceiros decorre da dependência de fornecedores e parceiros.

Incidente é um evento que comprometa ou possa comprometer a operação, a integridade, a segurança ou a conformidade. Matriz de riscos é o registro dos eventos avaliados, de sua probabilidade e impacto, dos controles, dos responsáveis e das medidas de tratamento.

A administração deve aprovar as políticas, definir a tolerância a riscos, disponibilizar recursos proporcionais à operação, designar responsáveis por Compliance e Riscos e acompanhar ocorrências relevantes. Essas funções podem ser desempenhadas por pessoas designadas ou serviços contratados, sem presumir a existência de departamentos ou cargos específicos.

As áreas operacionais devem executar controles e registrar ocorrências. A função de Compliance e Riscos deve orientar procedimentos, acompanhar a aderência, avaliar exceções e reportar os riscos à administração. Revisões independentes devem ser realizadas conforme a criticidade e a estrutura da operação, com independência em relação à atividade examinada.

Aprovações de cadastro, alterações de dados de recebimento, concessões de acesso e medidas que afetem recursos devem ter segregação de funções ou revisão compensatória. Nenhuma pessoa deve aprovar exceção em benefício próprio ou quando houver conflito de interesses.

Os riscos devem ser avaliados na contratação de parceiros, lançamento de produtos, alteração de integrações, mudanças relevantes de infraestrutura e investigação de incidentes. A análise deve considerar probabilidade, impacto financeiro, operacional, legal e reputacional, além de consequências para os titulares de dados e compradores.

A matriz de riscos deve registrar o risco inicial, os controles existentes, o risco remanescente, o responsável, o prazo e as evidências de tratamento. As respostas possíveis incluem evitar a atividade, reduzir a exposição, compartilhar responsabilidades por meios legítimos ou aceitar o risco mediante decisão documentada.

Não são admitidas exceções que autorizem ilícitos, falsificação documental, vendas simuladas, corrupção ou descumprimento de ordens de autoridades. Exceções comerciais ou operacionais permitidas devem ter justificativa, prazo e aprovação proporcional ao risco.

A habilitação de vendedores e funcionalidades deve observar a verificação de identidade, representação, atividade comercial e destino dos recebimentos, conforme o risco, o serviço e os requisitos do parceiro de pagamentos. A análise pode abranger documentos, titularidade de conta, beneficiários finais, presença comercial, produtos, histórico de reclamações e informações de entrega ou acesso.

Quando exigida, a prova de vida ou verificação biométrica deve ocorrer pelo fluxo seguro indicado pela ANJO CHECKOUT ou pelo parceiro responsável. Os dados coletados devem limitar-se ao necessário, com informação adequada sobre o tratamento. Documentação insuficiente ou inconsistente pode impedir a habilitação até sua regularização.

Não é permitido usar a plataforma para atividades ilícitas, produtos cuja comercialização seja proibida, violação de propriedade intelectual, fraudes, cobranças não autorizadas ou ocultação do verdadeiro vendedor. Atividades reguladas ou restritas pelos parceiros dependem de documentação e aprovação compatíveis com o serviço.

Mudanças de atividade, controle societário, representação, titularidade de recebimento ou padrão operacional podem exigir nova análise. A aprovação cadastral não dispensa o cumprimento contínuo das regras nem garante aprovação de todas as transações.

Os procedimentos devem contemplar rastreabilidade de pedidos e transações, proteção de credenciais, validação de notificações e integrações, tratamento de duplicidades, acompanhamento de erros e conciliação entre pedidos, pagamentos, reembolsos e repasses, conforme os dados e responsabilidades disponíveis.

Os sinais de risco devem considerar comportamento transacional, coerência com a atividade declarada, contestações, reembolsos, reclamações e evidências de entrega ou acesso. Alertas devem ser analisados antes de conclusões definitivas, pois uma ocorrência atípica não comprova fraude por si só.

Alterações em produção devem passar por testes, autorização e possibilidade de recuperação. Acesso administrativo, ações sensíveis e mudanças em dados de recebimento devem ser registrados. Indicadores e critérios internos de detecção devem ter acesso restrito para preservar sua eficácia.

Prazos de disponibilização, taxas, parcelamento, reservas, antecipações e repasses devem seguir o contrato, o meio de pagamento e as condições do parceiro responsável. A ANJO CHECKOUT não deve apresentar valores pendentes como livremente disponíveis nem prometer prazo universal de liquidação.

Quando houver painel de recebíveis, a apresentação deve distinguir valores disponíveis, pendentes e, quando existentes, reservados ou sujeitos a ajustes, informando o critério de totalização. Divergências devem ser investigadas com registros e contato com o parceiro.

Bloqueios, reservas, compensações ou suspensões de repasse somente podem ocorrer com fundamento legal, regulatório ou contratual, de forma proporcional e com comunicação adequada, ressalvadas restrições legais de informação. A Política, isoladamente, não autoriza apropriação de valores ou retenção indefinida.

Recursos de terceiros não podem ser usados para financiar despesas próprias quando sua gestão integrar o fluxo da operação. A responsabilidade pela segregação e salvaguarda deve ser identificada no modelo contratado. A gestão do caixa corporativo deve considerar obrigações, concentração em parceiros e cenários de interrupção ou atraso.

Os controles devem incluir acesso por necessidade, autenticação apropriada, gestão de credenciais, proteção das comunicações, atualização de sistemas, cópias de segurança e rastreabilidade de ações sensíveis. Ambientes de desenvolvimento, teste e produção devem ser separados ou protegidos por controles equivalentes.

O tratamento de dados pessoais deve observar finalidade, necessidade, segurança, transparência e base legal adequada. As responsabilidades como controlador ou operador devem ser identificadas em cada operação, conforme as decisões efetivamente tomadas, e refletidas nos contratos e na Política de Privacidade.

Nos fluxos que envolvam cartões, devem ser adotadas soluções que minimizem a exposição de dados e respeitem os requisitos de segurança aplicáveis, incluindo exigências PCI DSS quando incidentes. A existência desta Política não equivale a certificação PCI DSS. Códigos de segurança de cartão não devem ser armazenados após a autorização.

A seleção deve avaliar capacidade técnica, integridade, disponibilidade, segurança, proteção de dados e condições de suporte e encerramento. Serviços críticos devem ter responsabilidades e procedimentos de comunicação de incidentes previstos em contrato, quando cabível.

Devem ser avaliados riscos de concentração, dependência, subcontratação, transferência internacional de dados e continuidade. O acompanhamento pode incluir evidências de controles e avaliações periódicas proporcionais ao risco. Integrações alternativas somente devem ser utilizadas quando tecnicamente compatíveis, contratualmente permitidas e previamente avaliadas.

A ANJO CHECKOUT deve manter procedimentos proporcionais de continuidade e recuperação para serviços críticos, com responsáveis, prioridades, canais de comunicação, cópias de segurança e testes de recuperação. Os objetivos de recuperação devem ser definidos internamente segundo a criticidade e as dependências.

A resposta a incidentes deve abranger identificação, contenção, preservação de evidências, avaliação de impacto, recuperação, comunicação e correção da causa. Falhas em parceiros devem ser acompanhadas e informadas aos afetados conforme a responsabilidade e as informações disponíveis.

Incidentes com dados pessoais devem ser avaliados conforme a LGPD e a regulamentação da ANPD. Comunicações à ANPD e aos titulares devem ocorrer quando exigidas e nos prazos aplicáveis; quando atuar como operador, a ANJO CHECKOUT deve informar o controlador sem demora injustificada. Nenhuma declaração genérica de estabilidade substitui os níveis de serviço efetivamente contratados.

O acompanhamento deve considerar disponibilidade, falhas de integração, divergências de conciliação, reclamações, contestações, acessos indevidos e pendências cadastrais. A frequência deve ser compatível com o risco, com encaminhamento imediato de incidentes críticos.

Falhas devem gerar plano de ação com responsável, prazo e evidência de conclusão. Os colaboradores devem receber orientação na entrada e atualização periódica, ao menos anual para funções expostas a riscos relevantes. Revisões e testes devem verificar a execução e a eficácia dos controles, sem presumir que sua simples documentação seja suficiente.

Conforme os fatos e os contratos, podem ser solicitados documentos, reforçados controles, limitadas funcionalidades ou suspensas e encerradas relações para conter riscos. As decisões devem ser motivadas, registradas e proporcionais, preservando os direitos de compradores, vendedores e demais envolvidos.

O interessado pode apresentar esclarecimentos e pedir revisão pelo e-mail sac@anjocheckout.com.br. A revisão não implica divulgação de dados de terceiros, segredos dos mecanismos antifraude ou informações cujo sigilo seja imposto por lei.

Avaliações de risco, aprovações, exceções, incidentes e medidas corretivas devem ser documentados, protegidos contra alteração indevida e conservados conforme as obrigações legais e contratuais e a tabela de retenção aplicável. Ao fim do prazo necessário, os dados devem ser eliminados ou anonimizados quando cabível.

Demandas e relatos relacionados a esta Política podem ser enviados a sac@anjocheckout.com.br, com o assunto Riscos e Compliance. Telefone: (31) 99807-7554. O tratamento dos relatos deve observar confidencialidade, acesso restrito e vedação à retaliação de boa-fé.

A administração deve aprovar esta Política e revisá-la ao menos anualmente e diante de mudanças relevantes. A vigência começa com a publicação da versão aprovada em https://anjocheckout.com.br/.

Lei nº 13.709/2018, Lei nº 12.965/2014, Lei nº 8.078/1990, Lei nº 12.846/2013 e legislação aplicável à atividade. Regras de arranjos, adquirentes e outros parceiros devem ser consideradas conforme o contrato. Normas do Banco Central, inclusive as relacionadas à Lei nº 12.865/2013, somente incidem conforme o enquadramento efetivo da atividade.

Esta Política complementa o Código de Ética e Conduta, a Política de Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo, a Política de Privacidade e os Termos de Uso. Não substitui esses documentos nem altera obrigações legais ou contratuais por simples publicação.