Política de Privacidade, Termos de Uso e Canal Permanente do Titular

1. Política de Privacidade e Proteção de Dados Pessoais

A IRVIA Tecnologia da Informação S.A. ("IRVIA") desenvolve e opera plataformas corporativas de missão crítica — incluindo o IRVIA Decision (plataforma modular de automação de decisão de crédito, prevenção à fraude, onboarding digital e mesa de análise) e o IRVIA Kume (plataforma de gestão estratégica por OKRs).

Esta Política de Privacidade estabelece de forma clara, objetiva e transparente como os dados pessoais são tratados em nossas soluções tecnológicas, em estrito cumprimento à Lei Geral de Proteção de Dados Pessoais — LGPD (Lei nº 13.709/2018), ao Marco Civil da Internet (Lei nº 12.965/2014), às diretrizes da Autoridade Nacional de Proteção de Dados (ANPD) e às normas de governança e proteção de dados editadas pelos órgãos e entidades públicas controladoras de bases oficiais.

1.1. Papéis dos Agentes de Tratamento (Controladores, Operadores, Usuários e Anuentes)

Para garantir máxima transparência ao titular dos dados, a atuação da IRVIA estrutura-se conforme a natureza da relação contratual e regulatória:

• Controladores Públicos Originários: Em consultas ou validações realizadas junto a sistemas e subsistemas informatizados governamentais (tais como bases cadastrais oficiais, registros nacionais de habilitação de condutores e registros de veículos automotores), o respectivo órgão público federal exerce o papel de Controlador originário dos dados, contando com operadores tecnológicos governamentais e com Gerenciadoras de Consentimento e Ciência (GCC) devidamente credenciadas.
• IRVIA na Modalidade de Acesso Direto: Quando a IRVIA utiliza dados em seus próprios processos corporativos ou soluções mantendo relacionamento direto com o titular dos dados, atuando diretamente na coleta de consentimento ou ciência.
• IRVIA na Modalidade de Acesso Indireto (em favor de Clientes Anuentes): Quando a plataforma IRVIA Decision é utilizada por instituições clientes parceiras (bancos, fintechs, sociedades de crédito direto, cooperativas de crédito, administradoras de consórcio, seguradoras e locadoras — denominadas Anuentes), que mantêm o relacionamento comercial direto com o titular dos dados. Nessa modalidade, os casos de uso somente são executados mediante autorização prévia, expressa e específica de cada pessoa jurídica Anuente junto às plataformas oficiais de credenciamento.

1.2. Categorias de Dados Tratados, Finalidades Específicas e Bases Legais

O tratamento de dados no ecossistema da IRVIA observa rigorosamente o princípio da necessidade (Art. 6º, inciso III, da LGPD), limitando-se ao conjunto mínimo de parâmetros de entrada e saída indispensáveis para cumprir finalidades legítimas, específicas e informadas ao titular, sendo vedado o tratamento para finalidades genéricas:

2. Gestão do Consentimento, Ciência de Uso e Direitos do Titular

A IRVIA opera em total conformidade com os modelos governamentais de gestão de consentimento e de ciência de uso de dados, assegurando a interoperabilidade tecnológica com os operadores oficiais e com as Gerenciadoras de Consentimento e Ciência (GCC) credenciadas.

2.1. Requisitos de Fornecimento e Revogação de Consentimento

Nas hipóteses em que o tratamento de dados estiver amparado no consentimento do titular, este será colhido de forma livre, gratuita, informada e inequívoca — seja pelas plataformas oficiais dos operadores governamentais, seja pelas interfaces digitais da IRVIA ou de seus respectivos clientes Anuentes. Toda solicitação de consentimento apresenta obrigatoriamente ao titular:

1. Identificação do Usuário Autorizado: IRVIA Tecnologia da Informação S.A.;
2. Identificação do Anuente: Nome empresarial e CNPJ da instituição parceira/cliente responsável pela operação (quando em modalidade de acesso indireto);
3. Finalidade específica do tratamento: Descrição clara e objetiva do uso dos dados na operação pretendida;
4. Relação dos dados acessados: Discriminação transparente dos atributos consultados ou validados;
5. Duração do tratamento: Período de utilização e guarda legal para cumprimento da finalidade;
6. Informações de contato do Controlador Público e da IRVIA: Canais oficiais de atendimento ao cidadão;
7. Responsabilidades dos agentes de tratamento: Delimitação das obrigações legais de cada parte;
8. Direitos do Titular (Art. 18 da LGPD) e Consequências da Negativa: Explicação clara sobre as implicações caso o titular opte por não conceder o consentimento, bem como o direito de revogação gratuita a qualquer momento.

2.2. Direitos Assegurados ao Titular dos Dados (Art. 18 e Art. 20 da LGPD)

O titular dos dados pessoais pode exercer gratuitamente, a qualquer tempo, perante a IRVIA e seus clientes Anuentes, todos os direitos previstos no Art. 18 da Lei nº 13.709/2018 (LGPD):

• Confirmação e Acesso (incisos I e II): Confirmar a existência de tratamento e obter acesso aos dados tratados e ao histórico de consultas realizadas;
• Correção (inciso III): Solicitar a retificação de dados incompletos, inexatos ou desatualizados;
• Anonimização, Bloqueio ou Eliminação (incisos IV e VI): Requerer a anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados mediante consentimento (observadas as hipóteses legais de guarda obrigatória do Art. 16 da LGPD);
• Portabilidade (inciso V): Solicitar a portabilidade dos dados a outro fornecedor, respeitados os segredos comercial e industrial;
• Informação sobre Compartilhamento (inciso VII): Obter relação clara das entidades públicas e privadas (Usuários e Anuentes) com as quais houve uso compartilhado de dados;
• Informação sobre o Não Consentimento e Revogação (incisos VIII e IX): Ser informado sobre a possibilidade de não fornecer consentimento e revogá-lo a qualquer momento de forma gratuita e facilitada;
• Revisão de Decisões Automatizadas (Art. 20 da LGPD): Solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, com suporte da Mesa de Decisão Humana da plataforma.

3. Encarregado pelo Tratamento de Dados (DPO) e Canal Permanente

Em cumprimento ao Art. 41 da LGPD (Lei nº 13.709/2018) e aos requisitos de transparência e governança de acesso a dados, a IRVIA mantém canal de comunicação permanente, gratuito e de livre acesso aos titulares de dados, aos órgãos públicos controladores e à Autoridade Nacional de Proteção de Dados (ANPD), inclusive para recebimento de reclamações, exercício de direitos, revogação de consentimento e comunicação de incidentes de segurança.

4. Termos de Uso da Plataforma e de Uso de Dados

Estes Termos de Uso regulam o acesso e a utilização das plataformas tecnológicas da IRVIA por clientes corporativos contratantes, parceiros integradores, usuários autorizados e anuentes.

4.1. Dever de Sigilo e Vedação de Cessão de Dados a Terceiros

• Vinculação Estrita à Finalidade: Os usuários e clientes Anuentes obrigam-se a utilizar os dados e resultados analíticos processados na plataforma única e exclusivamente para as finalidades legítimas e casos de uso previamente autorizados, sendo terminantemente proibido o uso secundário incompatível ou para finalidades genéricas.
• Proibição de Cessão ou Revenda: É expressamente vedado, a qualquer título, ceder, comercializar, compartilhar ou transferir a terceiros não autorizados o acesso aos dados consultados ou validados por meio das integrações da plataforma.
• Manutenção de Sigilo: Todos os representantes legais, responsáveis técnicos e operadores submetem-se ao dever de sigilo e confidencialidade sobre os dados pessoais e informações restritas a que tiverem acesso em razão do exercício de suas atribuições.

4.2. Propriedade Intelectual e Proteção contra Engenharia Reversa

Todos os direitos de propriedade intelectual relativos às plataformas IRVIA Decision e IRVIA Kume (incluindo o motor de decisão, editor visual de grafos, linguagem de fórmulas e regras, modelos estatísticos, copiloto Kora AI, APIs e documentações) pertencem exclusivamente à IRVIA, nos termos da Lei de Software (Lei nº 9.609/1998) e da Lei de Direitos Autorais (Lei nº 9.610/1998). É expressamente vedado:

• Descompilar, desmontar, desofuscar ou aplicar engenharia reversa sobre qualquer componente de frontend, backend ou API da plataforma;
• Utilizar agentes automatizados de extração, headless browsers ou scrapers com a finalidade de mapear árvores decisórias ou replicar o funcionamento da solução;
• Realizar sondagem sistemática de API (probing) mediante envio reiterado de variações incrementais de parâmetros para deduzir pontos de corte de regras ou modelos;
• Submeter comandos de injeção de prompt (prompt injection ou jailbreak) ao assistente cognitivo Kora AI.

5. Diretrizes de Segurança da Informação e Trilha de Auditoria

A IRVIA mantém um Programa de Segurança da Informação e Governança em Privacidade abrangendo toda a organização e todas as aplicações integradas a fontes externas:

• Controle de Acesso RBAC e Menor Privilégio: Segregação estrita por Centro de Custo, Perfil de Acesso e Usuário, prevenção contra acesso direto inseguro a objetos (anti-IDOR), senhas e chaves de API M2M protegidas por hash criptográfico forte (PBKDF2) e autenticação multifator (MFA) para acessos administrativos.
• Criptografia em Trânsito e em Repouso: Comunicações 100% criptografadas via HTTPS/TLS 1.2 e 1.3 com HSTS ativo, bancos de dados e repositórios de arquivos criptografados em repouso (AES-256) e uso de identidades gerenciadas em nuvem (Managed Identity).
• Trilha de Auditoria Imutável e Módulo de Auditoria Somente Leitura: Todas as execuções e consultas geram protocolo sequencial atômico e registro imutável de entrada, saída, usuário originador e carimbo de tempo UTC. A plataforma dispõe de módulo de perfil de acesso de auditoria estritamente somente leitura (Read-Only) para fins de supervisão e fiscalização por órgãos controladores autorizados.
• Desenvolvimento Seguro (DevSecOps) e Resposta a Incidentes: Pipelines de integração contínua com verificação automatizada de segredos, mais de 500 testes automatizados de regressão e segurança, proteção anti-sondagem (Rate Limiting e Anti-Probing) e Plano de Resposta a Incidentes com rotinas de backup criptografado e recuperação de desastres.