Política de Privacidade e Proteção de Dados

1. Objetivo e Âmbito de Aplicação

Esta Política de Privacidade e Proteção de Dados ("Política") estabelece as regras de tratamento de dados pessoais observadas pela Endurant Consultoria de Investimentos Ltda. (CNPJ nº 66.047.508/0001-53) ("Endurant" ou "Sociedade") no exercício de sua atividade de consultoria de valores mobiliários e nas interações com titulares por meio de seus canais digitais.

A Endurant atua como controladora dos dados pessoais tratados no âmbito desta Política, nos termos do art. 5º, VI, da LGPD.

A Política aplica-se a todos os dados pessoais coletados pela Endurant — de clientes, prospectos, colaboradores, fornecedores e terceiros — independentemente do canal ou meio utilizado, e deve ser interpretada em conjunto com o Código de Ética e Conduta, com os Termos de Uso da Plataforma e com as demais políticas internas da Sociedade.

2. Base Normativa

• Lei nº 13.709, de 14 de agosto de 2018 (LGPD): dispõe sobre a proteção de dados pessoais.
• Lei nº 12.965, de 23 de abril de 2014 (Marco Civil da Internet): arts. 10 a 15, sobre guarda e tratamento de registros de conexão e de acesso a aplicações.
• Resolução CD/ANPD nº 2, de 27 de janeiro de 2022: aplicação da LGPD a agentes de tratamento de pequeno porte.
• Resolução CD/ANPD nº 15, de 24 de abril de 2024: notificação de incidentes de segurança à ANPD.
• Resolução CD/ANPD nº 18, de 16 de julho de 2024: atuação do encarregado pelo tratamento de dados pessoais.
• Resolução CD/ANPD nº 19, de 23 de agosto de 2024: transferência internacional de dados pessoais e cláusulas-padrão contratuais.
• Resolução CVM nº 19, de 25 de fevereiro de 2021: art. 21, III, e parágrafo único, II (confidencialidade das informações de clientes), e art. 23 (guarda de documentos).
• Resolução CVM nº 50, de 31 de agosto de 2021: tratamento de dados de clientes no âmbito de PLD/FTP.

3. Definições

• Titular: pessoa natural a quem se referem os dados pessoais tratados.
• Dados Pessoais: informação relacionada a pessoa natural identificada ou identificável.
• Tratamento: toda operação realizada com dados pessoais.
• Controlador: pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais, papel exercido pela Endurant nos termos desta Política.
• Operador: pessoa natural ou jurídica que trata dados pessoais em nome da Endurant, sob suas instruções.
• Encarregado (DPO): pessoa designada como canal de comunicação entre a Endurant, os titulares e a ANPD.
• Plataforma: conjunto dos canais digitais por meio dos quais a Endurant presta os seus serviços.
• ANPD: Autoridade Nacional de Proteção de Dados.

4. Dados Coletados

A Endurant coleta e trata dados pessoais estritamente necessários à prestação dos seus serviços e ao cumprimento de obrigações legais e regulatórias, nas seguintes categorias:

• Cadastro e identificação: nome, CPF, data de nascimento, endereço, e-mail, telefone, documento de identidade e foto para verificação.
• Informações financeiras, patrimoniais e de perfil: dados patrimoniais, de renda, de horizonte de investimento, de comportamento e preferência do titular, bem como contexto de vida pessoal, trabalho e família, obtidos por declaração do próprio titular ou por compartilhamento via Open Finance, mediante consentimento específico, por meio de instituição autorizada pelo Banco Central do Brasil contratada pela Endurant.
• Interação com a Plataforma: conversas, aceites, recomendações e análises trocadas com o titular pelos canais da Plataforma, incluindo histórico de navegação e metadados técnicos de entrega.
• Dados técnicos: endereço IP, dispositivo, sistema operacional e logs de acesso.

A Endurant não coleta dados pessoais sensíveis (art. 5º, II, da LGPD). Caso o titular forneça espontaneamente dados dessa natureza, o tratamento é recusado e as informações são eliminadas.

A Endurant não direciona seus serviços a menores de 18 anos e não trata, de forma deliberada, dados pessoais de menores. A verificação da idade mínima é feita, no momento do cadastro, a partir da data de nascimento associada ao CPF do titular. Identificado o cadastro de menor, o tratamento é interrompido e os dados são eliminados.

5. Finalidades e Bases Legais

6. Compartilhamento com Terceiros

A Endurant compartilha dados pessoais apenas na medida necessária às finalidades desta Política, nas seguintes hipóteses:

• Operadores: prestadores contratados mediante cláusulas de proteção de dados (Data Processing Agreement) com obrigações de sigilo, uso restrito à finalidade contratada, vedação de uso dos dados para finalidades próprias e notificação de incidentes. As categorias em operação compreendem infraestrutura de computação em nuvem e armazenamento, modelos de linguagem para análise e geração de texto, instituição autorizada pelo Banco Central do Brasil para intermediar tecnicamente a coleta de dados no âmbito do Open Finance, autenticação federada para acesso administrativo interno e observabilidade de sistemas. A relação nominal atualizada dos Operadores, com jurisdição de processamento, é mantida em registro interno e disponibilizada ao titular mediante solicitação ao Encarregado.

• Transferência internacional: o armazenamento e o processamento em nuvem ocorrem principalmente em servidores localizados fora do Brasil. As transferências observam os arts. 33 a 36 da LGPD e as cláusulas-padrão contratuais previstas na Resolução CD/ANPD nº 19, de 23 de agosto de 2024, ou demais salvaguardas admitidas pela regulamentação.
• Autoridades: CVM, COAF, ANPD, Banco Central do Brasil e autoridades judiciais ou administrativas, quando exigido por lei, regulamento ou ordem legítima.

A Endurant não vende, não aluga, não cede onerosamente nem disponibiliza dados pessoais a terceiros para que estes os utilizem em finalidades próprias de marketing ou comerciais. Essa vedação não alcança o compartilhamento com Operadores contratados pela Endurant para apoiá-la em suas próprias atividades, inclusive de planejamento comercial, análise estratégica e desenvolvimento de produtos, hipótese em que o tratamento ocorre sob instrução da Endurant, mediante cláusulas de proteção de dados e nos limites desta Política.

7. Retenção e Eliminação

• Os registros de acesso e demais dados técnicos (endereço IP, dispositivo, sistema operacional, data e hora de acesso) são retidos pelo prazo mínimo de 6 (seis) meses, nos termos do art. 15 da Lei nº 12.965/2014, e por prazo adicional razoável para finalidades de segurança e resposta a incidentes.
• Os dados de cadastro, suitability, recomendações, transcrições de interações com o titular e logs de aceite eletrônico são mantidos enquanto vigente a relação com o titular e, após o seu encerramento, pelo prazo mínimo de 5 (cinco) anos, nos termos das Res. CVM nº 19/2021 (art. 23), nº 30/2021 (art. 14) e nº 50/2021 (art. 26).
• Os dados recebidos via Open Finance são tratados enquanto vigente o consentimento do titular. Revogado o consentimento ou expirado o seu prazo, o compartilhamento é interrompido e os dados já recebidos são retidos apenas pelos prazos regulatórios aplicáveis aos documentos da consultoria, sendo eliminados ou anonimizados ao término desses prazos.
• Os demais dados pessoais são tratados enquanto vigente a relação com o titular, salvo quando obrigação legal ou regulatória impuser retenção superior.
• Transcorrido o prazo de retenção aplicável, os dados são eliminados ou anonimizados.

8. Segurança

A Endurant adota medidas técnicas e administrativas proporcionais ao seu porte e ao risco envolvido, nos termos do art. 46 da LGPD, entre as quais:

• Criptografia dos dados em trânsito e em repouso, com chaves gerenciadas em serviço dedicado;
• Controle de acesso baseado no princípio do mínimo privilégio;
• Autenticação de titulares por mecanismos sem senha reutilizável, com uso de código único enviado por canal seguro ou fator equivalente;
• Autenticação federada com controles adicionais para o acesso administrativo interno, restrito ao domínio corporativo da Endurant;
• Logs de auditoria das operações relevantes realizadas sobre dados pessoais;
• Cláusulas contratuais de proteção de dados com todos os Operadores;
• Backups periódicos e plano de resposta a incidentes.

9. Direitos dos Titulares

Nos termos do art. 18 da LGPD, o titular pode solicitar a qualquer tempo: (i) confirmação de existência de tratamento e acesso aos seus dados; (ii) correção de dados incompletos, inexatos ou desatualizados; (iii) anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD; (iv) portabilidade; (v) eliminação de dados tratados com base em consentimento; (vi) informação sobre entidades públicas e privadas com as quais a Endurant tenha compartilhado seus dados; (vii) informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa; (viii) revogação de consentimento; e (ix) oposição a tratamentos com base em hipótese de dispensa do consentimento.

Nos termos do art. 20 da LGPD, o titular tem, adicionalmente, direito à revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.

As solicitações são recebidas pelo canal do Encarregado — dpo@endurant.com.br. A Endurant confirma o recebimento em até 5 (cinco) dias úteis. Os pedidos de confirmação da existência de tratamento e de acesso aos dados são respondidos no prazo de até 15 (quinze) dias corridos, nos termos do art. 19, caput, II, da LGPD. Os demais pedidos são atendidos, como regra, em até 15 (quinze) dias corridos, prorrogáveis motivadamente, observados os §§ 4º e 5º do art. 18 da LGPD e a regulamentação da ANPD aplicável, com indicação ao titular de eventuais hipóteses legais de retenção que impeçam a exclusão imediata.

Em relação aos dados compartilhados via Open Finance, o titular pode revogar o consentimento a qualquer tempo, pelas funcionalidades disponíveis na Plataforma, diretamente na instituição financeira detentora dos dados ou pelo canal do Encarregado. A revogação produz efeitos imediatos sobre o compartilhamento em curso e pode limitar ou impedir funcionalidades da Plataforma que dependam desses dados, incluindo a produção de novas análises. Ficam ressalvados os tratamentos anteriormente realizados e as obrigações de retenção previstas no item 7 desta Política.

O titular pode ainda opor-se, a qualquer tempo, ao tratamento de seus dados com base em legítimo interesse para fins de aprimoramento da qualidade, segurança e precisão dos produtos e ferramentas da Endurant, nos termos do art. 18, §2º, da LGPD. A oposição é exercida exclusivamente pelo canal do Encarregado — dpo@endurant.com.br — e produz efeitos a partir do seu recebimento, sem prejuízo dos tratamentos já realizados e dos dados já anonimizados, que permanecem fora do escopo da LGPD na forma do art. 12.

10. Encarregado (DPO)

O Encarregado pelo Tratamento de Dados Pessoais da Endurant é Martim José, que ocupa o cargo de Diretor de Controles Internos, Compliance e PLD/FTP e acumula a função de Encarregado. A acumulação é decisão transitória, adotada em razão do porte atual da Endurant, sob medidas de mitigação de eventual conflito de interesses, e será reavaliada com a evolução da Sociedade em escala e complexidade. Os requisitos, atribuições e o regime de responsabilização do Encarregado observam a Res. CD/ANPD nº 18/2024.

Canal de contato público: dpo@endurant.com.br.

11. Incidentes de Segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, avaliado com base nos critérios do art. 5º da Res. CD/ANPD nº 15/2024, a Endurant observa o seguinte procedimento, alinhado à mesma Resolução:

1. Contenção e avaliação: assim que identificado o incidente, o Encarregado adota medidas imediatas de contenção e avalia a natureza, os dados envolvidos e o potencial de risco.
2. Notificação à ANPD: quando cabível, a comunicação é realizada por meio do formulário próprio no prazo de 3 (três) dias úteis contados do conhecimento do incidente, nos termos do art. 6º, caput, da Res. CD/ANPD nº 15/2024, prazo dobrado para 6 (seis) dias úteis enquanto a Endurant se enquadrar como agente de tratamento de pequeno porte, conforme o art. 6º, §6º, da mesma Resolução.
3. Comunicação aos titulares: titulares afetados são informados por e-mail, em linguagem clara, sobre os dados envolvidos, as consequências e as medidas adotadas, nos termos do art. 48 da LGPD e dos arts. 7º e 8º da Res. CD/ANPD nº 15/2024.
4. Registro: o incidente e as medidas adotadas são documentados e mantidos pelo prazo mínimo de 5 (cinco) anos.

12. Cookies e Rastreadores

A Plataforma da Endurant utiliza as seguintes categorias de cookies e tecnologias equivalentes:

• Essenciais: necessários ao funcionamento e à segurança do serviço, incluindo manutenção de sessão autenticada e prevenção de fraudes. Não dependem de consentimento e não podem ser desativados.
• Analíticos: coletam dados sobre a utilização da Plataforma para fins de melhoria de produto e análise de desempenho. Dependem de consentimento prévio, específico e revogável do titular.
• De marketing: utilizados para medir o alcance das campanhas de comunicação da Endurant e para adequar o conteúdo apresentado ao titular. Dependem de consentimento prévio, específico e revogável do titular.

O consentimento para as categorias não essenciais é coletado no primeiro acesso, por meio de painel que descreve a finalidade de cada categoria e permite o aceite granular. O titular pode revisar e alterar as suas preferências a qualquer tempo, no painel de gestão de cookies disponibilizado na Plataforma. A recusa das categorias não essenciais não impede o acesso aos serviços contratados. A relação nominal atualizada das ferramentas de análise e marketing utilizadas, com jurisdição de processamento, é mantida em registro interno e disponibilizada ao titular mediante solicitação ao Encarregado.

13. Tratamento Automatizado e Uso de Inteligência Artificial

A Endurant utiliza sistemas automatizados, incluindo modelos de linguagem oferecidos por operadores contratados, em apoio à prestação dos seus serviços. Os operadores de inteligência artificial obrigam-se contratualmente a tratar os dados exclusivamente para essa finalidade e a não utilizá-los para treinar seus próprios modelos. A Endurant não treina modelos proprietários de inteligência artificial com dados de titulares. Sempre que possível, os dados utilizados para aprimoramento de produtos são anonimizados nos termos do art. 12 da LGPD. Quando a anonimização irreversível não for tecnicamente viável, os dados são pseudonimizados e tratados com base no legítimo interesse, com direito de oposição do titular previsto no item 9 desta Política.

Ferramentas de inteligência artificial estão sujeitas a limitações inerentes, incluindo erros, imprecisões e vieses. Nos termos do art. 20 da LGPD, o titular pode solicitar revisão humana de decisões baseadas exclusivamente em tratamento automatizado pelo canal do Encarregado — dpo@endurant.com.br.

14. Vigência e Atualização

Esta Política está em vigor e é publicada em endurant.com.br/privacidade, em versão sempre vigente e acessível.

A Política é revisada ao menos anualmente ou sempre que houver alteração regulatória, tecnológica ou de modelo de negócios que o justifique. Alterações substantivas são comunicadas aos titulares com antecedência mínima de 30 (trinta) dias, por e-mail ou notificação na Plataforma.