Política de Cibersegurança

1. Introdução

Esta Política de Segurança da Informação e Cibernética (“Política”) estabelece os princípios, as diretrizes e os controles aplicáveis à segurança da informação e à segurança cibernética da GOMONEY SOCIEDADE PRESTADORA DE SERVIÇOS DE ATIVOS VIRTUAIS LTDA. (“GOMONEY”), inclusive o plano de ação e de resposta a incidentes e os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem, com o objetivo de prover a segurança necessária para realização de suas operações, ainda que em situações adversas.

As referências a “Manual” e a “Manual de Segurança” entendem-se feitas a esta Política. O sigilo das informações é disciplinado pela Política de Governança, Compliance e Controles Internos, e a gestão de continuidade de negócios, pela Política de Gestão Integrada de Riscos e de Capital.

O presente Manual foi elaborado e deve ser interpretado em consonância com os demais manuais e políticas da GOMONEY, e deve ser revisado e atualizado, no mínimo, anualmente pela área de Tecnologia, sob a responsabilidade do Diretor de Segurança Cibernética, com o apoio da área de Compliance, e aprovado pelos administradores da GOMONEY, a fim de incorporar medidas relacionadas a atividades e riscos novos ou anteriormente não abordados.

Estão sujeitos ao disposto no presente documento, todos os colaboradores da GOMONEY, independente do departamento e cargo em que trabalhem, sendo sua obrigação conhecer a versão mais recente na íntegra do documento.

2. Definições

Para o perfeito entendimento deste Manual, faz-se necessário definir o significado de alguns termos mencionados, são eles:

Ativos: todo e qualquer bem material pertencente ou geridos pela GOMONEY, que podem ser:

Ativos de informação: base de dados e arquivos, documentação de sistemas, manuais de usuários, material de treinamento, procedimentos de suporte ou operação, planos de continuidade, procedimentos de recuperação, informações armazenadas, etc.

Ativos de software: aplicativos, sistemas, ferramentas de desenvolvimento e utilitários.

Ativos físicos: equipamentos computacionais (computadores, processadores, monitores, laptops, modems, etc), equipamentos de comunicação (roteadores, PABX, telefones fixos, etc), mídias (fitas e discos magnéticos, discos ópticos, etc), outros equipamentos técnicos (no-breaks, aparelhos de ar-condicionado, etc), mobília, acomodações, etc.

Ativo virtual: representação digital de valor que pode ser negociada ou transferida por meios eletrônicos e utilizada para realização de pagamentos ou com propósito de investimento, nos termos da Lei nº 14.478/2022.

Backup: cópia exata de um programa, disco ou arquivo de dados feito para fins de arquivamento ou para salvaguardar informações.

Blockchain: sistema de registros coletivo, descentralizado/distribuído e imutável, utilizado, entre outros fins, para validar e registrar transações envolvendo ativos virtuais.

Carteira autocustodiada: carteira de ativos virtuais cujas chaves privadas são controladas pelo próprio titular, sem intervenção de prestador de serviços de ativos virtuais.

Chave privada: instrumento criptográfico que permite o controle e a movimentação de ativos virtuais associados a um endereço.

Confidencialidade: garantia de que o acesso à informação seja obtido somente por pessoas autorizadas.

Controle de Acesso: conjunto de restrições ao acesso às informações de um sistema exercido pela equipe de segurança da informação.

Criptografia: arte/ciência de utilizar matemática para tornar a informação segura, criando um grande nível de confiança no meio eletrônico.

Direito de Acesso: privilégio associado a um cargo, pessoa ou processo para ter acesso a um ativo.

Disponibilidade: garantia de que os usuários autorizados obtenham acesso à informação e aos ativos correspondentes sempre que necessário.

Incidente de Segurança: qualquer evento ou ocorrência que promova uma ou mais ações que comprometam ou que sejam uma ameaça à integridade, autenticidade, ou disponibilidade de qualquer ativo.

Incidente Relevante: incidente de segurança que, segundo os parâmetros do item 4.4, afete ou possa afetar de forma significativa a prestação dos serviços, os dados de clientes, os ativos virtuais ou os recursos financeiros sob responsabilidade da GOMONEY, ou a sua reputação.

Integridade: salvaguarda da exatidão e completeza da informação e dos métodos de processamento.

Log: registro das transações ou atividades realizadas em sistema de computador.

Plataforma: conjunto de tecnologias, sistemas, banco de dados, interfaces, site, e demais soluções gerenciadas internamente pelo GOMONEY, por onde são realizadas as transações de compra, transferência e venda de ativos virtuais intermediadas pela GOMONEY;

Política de Segurança: conjunto de diretrizes destinadas a definir a proteção adequada dos ativos produzidos pelos sistemas de informação.

Proteção dos Ativos: processo pelo qual os ativos devem receber classificação quanto ao respectivo grau de sensibilidade. O meio de registro de um ativo de informação deve receber a mesma classificação de proteção dada ao ativo que o contém.

Segurança da informação: preservação da confidencialidade, integridade e disponibilidade da informação.

Senha Fraca ou Óbvia: senha que utiliza caracteres de fácil associação ao seu dono, que seja muito simples ou pequena, tais como: datas de aniversário, casamento, nascimento, o próprio nome do usuário, nome de seus familiares, sequências numéricas simples, palavras com significado, dentre outras.

Serviços Relevantes de Processamento, Armazenamento de Dados e Computação em Nuvem: serviços de tecnologia contratados de terceiros que afetem o desempenho das atividades da GOMONEY ou o exercício de direitos pelos clientes, nos termos da regulamentação.

Usuário: código/conta exclusivo que, juntamente com a respectiva senha, possibilita o modo de acesso à plataforma GOMONEY.

3. Política de Segurança da Informação

Esta Política tem como objetivos:

a) Permitir que a GOMONEY atenda à regulamentação, legislação e autorregulação aplicáveis;

b) Manter o nível de segurança da organização em um patamar definido como adequado pela GOMONEY;

c) Garantir que as diretrizes explicitadas nesta Política sejam praticadas, por meio da implementação de controles que visam garantir a confidencialidade, a integridade e a disponibilidade das informações.

Para atingir este objetivo, a GOMONEY estabelece a presente Política como um dos pilares de sua estratégia de segurança, que deve ser seguida e implementada para garantir que os dados compartilhados por meio de suas plataformas sejam protegidos.

A Política de Segurança da Informação tem como princípios assegurar a:

Identificação: garantir que qualquer indivíduo seja identificado unívoca e inequivocamente, independente da privacidade com que suas informações são tratadas;

Confidencialidade: garantir que as informações sejam acessadas apenas por aqueles expressamente autorizados;

Integridade: preservar a integridade das informações, salvaguardando-as contra ações não autorizadas e garantindo que todas as informações estejam exatas e completas durante a sua criação, uso, guarda e destruição;

Disponibilidade: garantir que os usuários, quando devidamente autorizados, tenham acesso às informações e instalações sempre que necessitarem.

Com a finalidade de assegurar que os princípios acima sejam observados, a GOMONEY desenvolve as seguintes atividades:

Classificação da informação: Controle de acesso às informações; Rastreamento e monitoramento das operações de 100%(cem por cento) de seus Usuários,

Avaliação de risco: Segurança física dos dispositivos onde é armazenada e por onde transita a informação.

Testes de segurança e de continuidade dos negócios.

Esta Política se aplica aos colaboradores e Ativos descritos abaixo:

Colaboradores: todas as pessoas que, de alguma forma, prestem serviços para a GOMONEY, sejam elas diretores, empregados, estagiários ou terceiros contratados. Todos devem dar cumprimento às regras definidas nesta Política de Segurança da Informação.

Ativos: todo equipamento, instalação, sistema e informações, bem como a quaisquer outros bens, tangíveis ou intangíveis, de propriedade ou geridos pela GOMONEY. Da mesma forma, se aplica a todas as plataformas de hardware e a todos os sistemas operacionais e aplicativos utilizados. Aplica-se também a qualquer meio onde a informação possa ser armazenada, incluindo mídias magnéticas, discos ópticos, “nuvens” de armazenamento, informações impressas em papel e material de marketing.

Antes de efetuar ações que envolvam acesso, uso, alteração, armazenamento, transmissão, destruição ou qualquer outra atividade envolvendo Ativos da empresa, o usuário deve consultar esta Política para certificar-se de que a atividade é permitida. Toda e qualquer atividade que não seja claramente permitida é proibida. Em caso de dúvida o usuário deve consultar a área de Compliance e o responsável pela Tecnologia para assegurar-se que a atividade seja permitida.

Cabe ao responsável pela Tecnologia e a área de Compliance avaliar os riscos das atividades não previstas nas diretrizes de segurança da empresa.

PRIVACIDADE

Todos os Ativos pertencem à GOMONEY e, portanto, a GOMONEY tem direito de acesso a qualquer informação salva em formato eletrônico em seus equipamentos de rede ou ‘’nuvem’’, que se encontrem fisicamente no mobiliário da empresa, como, por exemplo, em mesas, estantes, gaveteiros, armários, etc. Dessa forma, ainda que o colaborador possa se utilizar da estrutura de tecnologia da empresa para algum uso particular não conflitante, tais informações podem ser acessadas pela GOMONEY mesmo sem o prévio consentimento do respectivo colaborador, observada a Lei nº 13.709/2018 (LGPD).

DEVERES E RESPONSABILIDADES

São deveres de todos os colaboradores no âmbito desta Política:

Preservar a integridade e guardar sigilo das informações de que fazem uso, bem como zelar e proteger os respectivos recursos de processamento de informações; Cumprir a presente Política, sob pena de incorrer nas sanções disciplinares e legais cabíveis;

Utilizar os Sistemas de Informações e os recursos relacionados somente para os fins previstos pela área de Tecnologia;

Cumprir as regras específicas de proteção estabelecidas aos Ativos de informação; Manter o caráter sigiloso da senha de acesso aos recursos e sistemas;

Não compartilhar, sob qualquer forma, informações confidenciais com outros que não tenham a devida autorização de acesso;

Responder por todo e qualquer acesso aos recursos da empresa, bem como pelos efeitos decorrentes de acesso efetivado através de seu código de identificação, ou outro atributo para esse fim utilizado;

Solicitar acesso a informações restritas somente quando houver real necessidade de acessar o recurso;

Respeitar a proibição de não usar, inspecionar, copiar ou armazenar programas de computador ou qualquer outro material, sob pena de violação da legislação de propriedade intelectual pertinente;

Comunicar a área de Compliance o conhecimento de qualquer irregularidade ou desvio verificado no âmbito da presente Política.

RESPONSABILIDADE DOS GESTORES DE ÁREAS

Gerenciar o cumprimento desta Política, por parte de seus funcionários e prestadores de serviço;

Proteger os ativos de informação e de processamento da GOMONEY;

Assegurar que 100% (cem por cento) de seus Usuários sejam identificados e rastreados.

3.3.1. RESPONSABILIDADES DA ÁREA DE TECNOLOGIA

Estabelecer as regras de proteção dos ativos da GOMONEY;

Revisar frequentemente as regras de proteção estabelecidas;

Restringir e controlar o acesso e privilégios de usuários remotos e externos;

Auxiliar a área de Compliance a elaborar e a manter atualizado o Plano de Contingência e Continuidade dos Negócios;

Executar as regras de proteção estabelecidas por esta Política;

Detectar, identificar, registrar e comunicar à chefia violações ou tentativas de acesso não autorizadas;

Excluir ou desabilitar os perfis inativos;

Garantir o cumprimento do procedimento de Backup para os servidores e ativos;

Executar a Política de Segurança Cibernética e o Plano de Ação e de Resposta a Incidentes (Capítulos 4 e 5).

3.3.2. RESPONSABILIDADES DA ÁREA DE COMPLIANCE

Assessorar a GOMONEY na elaboração e verificação da legalidade de eventuais regulamentos, termos, políticas e controles utilizados para proteger os Ativos de informação;

Liderar o processo de apuração das responsabilidades e causas quando da ocorrência de incidentes ou violações de segurança da informação aos regulamentos internos e externos da GOMONEY, ainda que auxiliado pela área de Tecnologia;

Assegurar que as atividades da GOMONEY sejam desenvolvidas com base nos princípios estabelecidos em seus manuais/políticas internos e em consonância com a regulamentação, legislação e autorregulação aplicáveis;

Monitorar os perfis dos Usuários de forma que 100% (cem por cento) de seus Usuários possam ser identificados e rastreados.

USO DOS RECURSOS DE INFORMÁTICA

3.4.1. USO DO E-MAIL

O uso do e-mail na GOMONEY está baseado nas premissas de civilidade, eficiência e rapidez, sempre objetivando aumentar a produtividade nos trabalhos diários. Com isso em vista, seguem as regras que devem ser observadas por todos os colaboradores quando da utilização desta ferramenta:

O usuário é o único responsável pelo conteúdo das transmissões feitas através do e-mail a partir de sua senha ou conta;

As mensagens de e-mail são confidenciais, somente podendo ser acessadas pelo remetente e seu(s) destinatário(s). É proibida a leitura de mensagens de outros usuários, mesmo que estejam abertas na tela;

Não devem ser abertos arquivos ou executados programas anexados aos e-mails sem antes verificá-los com um antivírus;

Devem estar desligadas as opções que permitam abrir ou executar automaticamente arquivos ou programas anexados às mensagens;

Não deve ser utilizado e-mail, plataformas e redes sociais da GOMONEY, para fins ilegais;

Não devem ser transmitidos quaisquer materiais ilegais ou de qualquer forma censuráveis através deste serviço;

Não devem ser transmitidos quaisquer materiais que violem direitos de terceiros, incluindo, mas sem limitação, direitos de propriedade intelectual;

Não devem ser transmitidos quaisquer materiais que violem leis ou regulamentos locais, estaduais, nacionais ou internacionais aplicáveis;

O colaborador não pode obter ou tentar obter acesso não-autorizado às plataformas da GOMONEY, sistemas ou redes de computadores conectados ao serviço;

Não é permitido enviar músicas, vídeos ou quaisquer outros arquivos que possam comprometer o bom funcionamento da infraestrutura local ou que violem as leis de direitos autorais.

BACKUP E RESTAURAÇÃO DE SISTEMAS

O backup dos servidores é executado pela equipe de Tecnologia da Informação responsável pelo mesmo, com periodicidade mínima diária, cópias criptografadas, ao menos uma cópia lógica ou geograficamente isolada do ambiente de produção e testes de restauração ao menos semestrais, com resultados registrados.

NOTIFICAÇÕES DE INCIDENTES DE SEGURANÇA

Qualquer suspeita de ocorrência de incidente de segurança deve ser informada imediatamente à área de Tecnologia. Nenhum colaborador deve investigar por conta própria ou tomar ações para se defender de eventual ataque, a não ser que seja instruído desta forma pela área de Tecnologia.

A área de Tecnologia está capacitada para conter as exposições, analisar os impactos à GOMONEY e conduzir investigações, coletando evidências para possíveis ações jurídicas, na forma do Plano de Ação e de Resposta a Incidentes (Capítulo 5).

4. Segurança cibernética

4.1. OBJETIVOS E PRINCÍPIOS

A segurança cibernética da GOMONEY tem por objetivo assegurar a confidencialidade, a integridade e a disponibilidade dos dados e dos sistemas de informação utilizados, bem como a segurança, a resiliência e o funcionamento adequado do ambiente computacional, compatíveis com o porte, o perfil de risco e o modelo de negócio da GOMONEY, a natureza de suas operações e a complexidade de seus produtos e serviços, e a sensibilidade dos dados e das informações sob sua responsabilidade.

4.2. PROCEDIMENTOS E CONTROLES

Para reduzir a vulnerabilidade da GOMONEY a incidentes e atender aos objetivos de segurança cibernética, são adotados, no mínimo, os seguintes procedimentos e controles:

a) gerenciamento de identidades e controle de acessos lógicos e físicos, com autenticação multifator para acessos administrativos, remotos e a sistemas críticos, concessão por alçadas segundo o princípio do menor privilégio, revisão periódica de acessos e desativação preventiva e imediata de acessos em caso de desligamento, afastamento ou suspeita de comprometimento;

b) criptografia de dados em trânsito e em repouso;

c) prevenção e detecção de intrusão, segmentação de rede e proteção contra softwares maliciosos;

d) prevenção de vazamento de informações;

e) registro (logs) e rastreabilidade das ações em sistemas críticos, com guarda protegida contra alteração;

f) cópias de segurança dos dados e das informações, na forma do item de Backup e Restauração de Sistemas;

g) desenvolvimento seguro, com revisão de código e controles para evitar vulnerabilidades na liberação de novas versões dos sistemas e aplicativos disponibilizados aos clientes;

h) testes e varreduras para detecção de vulnerabilidades, testes de intrusão ao menos anuais e revisão independente de desempenho e segurança dos sistemas e programas, inclusive contratos inteligentes utilizados nas operações; e

i) monitoramento contínuo de segurança do ambiente computacional e avaliação de riscos para detectar, prevenir e responder tempestivamente a ameaças e incidentes.

Os procedimentos e controles acima aplicam-se, inclusive, ao desenvolvimento de sistemas de informação seguros e à adoção de novas tecnologias, e seu cumprimento é exigido dos prestadores de serviços que manuseiem dados ou informações sensíveis ou que sejam relevantes para a condução das atividades da GOMONEY.

4.3. AMBIENTE DE ATIVOS VIRTUAIS E CARTEIRAS OPERACIONAIS

A GOMONEY não mantém a guarda de ativos virtuais nem de chaves privadas de clientes. As carteiras de titularidade da GOMONEY, utilizadas na liquidação das operações com provedores de liquidez e na transferência de ativos virtuais aos clientes, observam: procedimentos documentados de geração, armazenamento e gerenciamento das chaves privadas; uso de módulos de segurança (HSM) ou de esquemas de múltiplas assinaturas (multisig) ou computação multipartidária (MPC), com segmentos de chave mantidos em locais distintos; alçadas de aprovação compatíveis com o valor das transferências; listas de endereços autorizados (whitelisting); saldos em carteiras conectadas (hot wallets) limitados à necessidade operacional; e procedimentos de mitigação em caso de comprometimento.

São adotadas medidas preventivas para mitigar incidentes cibernéticos que possam comprometer as atividades da GOMONEY, em particular nas operações que envolvam protocolos de finanças descentralizadas, cuja utilização depende de avaliação prévia de risco e aprovação do Diretor de Segurança Cibernética.

4.4. CLASSIFICAÇÃO DE DADOS E RELEVÂNCIA DE INCIDENTES

Os dados e as informações são classificados segundo sua relevância e sensibilidade em públicos, internos, confidenciais e restritos, sendo restritos os dados pessoais de clientes, os dados de autenticação e os instrumentos de controle de carteiras. A relevância dos incidentes é avaliada segundo parâmetros objetivos: impacto na prestação dos serviços e sua duração; número de clientes afetados; comprometimento de dados pessoais ou de dados restritos; perda ou risco de perda de ativos virtuais ou de recursos financeiros; e impacto reputacional ou regulatório.

4.5. CULTURA, CAPACITAÇÃO E INFORMAÇÃO A CLIENTES

A GOMONEY promove a cultura de segurança cibernética por meio de programa de capacitação ao menos anual para todos os colaboradores, de avaliações periódicas (inclusive simulações de phishing) e de conteúdos informativos a clientes e prestadores de serviços sobre precauções no uso de produtos e serviços, golpes e fraudes com ativos virtuais. A GOMONEY participa de iniciativas de compartilhamento de informações sobre incidentes relevantes com as demais instituições autorizadas pelo Banco Central do Brasil.

4.6. GOVERNANÇA

A GOMONEY designa diretor responsável por esta Política e pela execução do Plano de Ação e de Resposta a Incidentes (“Diretor de Segurança Cibernética”), cuja designação é informada ao Banco Central do Brasil. Esta Política e o Plano são aprovados pelos administradores, revisados no mínimo anualmente e documentados à disposição do Banco Central do Brasil. A GOMONEY divulga ao público, em seu site, resumo contendo as linhas gerais desta Política.

4.7. RELATÓRIO ANUAL

O Diretor de Segurança Cibernética elabora relatório anual, com data-base de 31 de dezembro, sobre a implementação do Plano de Ação e de Resposta a Incidentes, contendo, no mínimo: a efetividade da implementação das ações; o resumo dos resultados obtidos na implementação das rotinas, dos procedimentos, dos controles e das tecnologias de prevenção e resposta a incidentes; os incidentes relevantes ocorridos no período; e os resultados dos testes de continuidade de negócios e dos testes de intrusão e de vulnerabilidade. O relatório é apresentado aos administradores até 31 de março do ano seguinte e mantido à disposição do Banco Central do Brasil.

5. Plano de ação e de resposta a incidentes

5.1. AÇÕES DE ADEQUAÇÃO

O Plano de Ação contempla as ações a serem desenvolvidas para adequar as estruturas organizacional e operacional da GOMONEY aos princípios e às diretrizes desta Política, com responsável e prazo definidos em cronograma anexo aprovado pelo Diretor de Segurança Cibernética, contemplando, no mínimo: implantação de autenticação multifator e de revisão de acessos; implantação de monitoramento contínuo e de centro de operações de segurança, próprio ou contratado; primeiro teste de intrusão independente; formalização dos contratos de serviços relevantes na forma do Capítulo 6; e primeiro teste do Plano de Continuidade dos Negócios.

5.2. ROTINAS DE RESPOSTA

A resposta a incidentes observa as seguintes etapas, registradas em ferramenta própria:

a) detecção e registro: todo evento suspeito é registrado e triado pela área de Tecnologia;

b) classificação: aplicação dos parâmetros de relevância do item 4.4;

c) contenção: isolamento de sistemas, revogação de credenciais, suspensão preventiva de transferências de ativos virtuais e de saques e acionamento dos prestadores envolvidos;

d) erradicação e recuperação: eliminação da causa, restauração a partir de cópias íntegras e retorno controlado à operação, na forma do Plano de Continuidade dos Negócios;

e) comunicação: nos termos do item 5.3; e

f) lições aprendidas: análise da causa e do impacto, controle dos efeitos e ações corretivas, inclusive quanto a incidentes ocorridos em prestadores de serviços.

5.3. COMUNICAÇÕES

Ocorrido incidente relevante, a GOMONEY comunica: (i) ao Banco Central do Brasil, tempestivamente, os incidentes relevantes e as interrupções de serviços relevantes que configurem situação de crise, bem como as providências para o reinício das atividades, nos termos da Resolução BCB nº 85/2021; (ii) aos clientes afetados, pelos canais de atendimento, inclusive atendimento humano; (iii) à Autoridade Nacional de Proteção de Dados e aos titulares, quando envolver dados pessoais com risco ou dano relevante, nos termos da Lei nº 13.709/2018 e da regulamentação da ANPD; e (iv) às autoridades policiais e ao COAF, quando houver indício de crime.

A GOMONEY mantém permanentemente atualizados, perante o Banco Central do Brasil, contatos de emergência para atendimento de suas demandas.

5.4. ÁREA RESPONSÁVEL

A área de Tecnologia, sob a coordenação do Diretor de Segurança Cibernética, é a responsável pelo registro e pelo controle dos efeitos de incidentes relevantes, e os registros são mantidos pelo prazo mínimo de cinco anos.

6. Contratação de processamento, armazenamento e nuvem

6.1. ENQUADRAMENTO

Os serviços de tecnologia relacionados à prestação de serviços de ativos virtuais são serviços relevantes, e sua contratação observa este Capítulo e a regulamentação aplicável. A contratação é decidida com base nos critérios desta Política e na política de gerenciamento de riscos, e a GOMONEY designa diretor responsável pela contratação de serviços relevantes, cuja designação é informada ao Banco Central do Brasil.

6.2. PROCEDIMENTOS PRÉVIOS

Antes da contratação, a GOMONEY verifica e documenta a capacidade do potencial prestador de assegurar: o cumprimento da legislação e da regulamentação; o acesso da GOMONEY aos dados e às informações processados ou armazenados; a confidencialidade, a integridade, a disponibilidade e a recuperação dos dados; a aderência a certificações exigidas pela GOMONEY; o acesso a relatórios de auditoria especializada independente; o provimento de informações e recursos de gestão para monitoramento dos serviços; a segregação, física ou lógica, dos dados dos clientes da GOMONEY; e a qualidade dos controles de acesso. A avaliação considera a criticidade do serviço e a sensibilidade dos dados, e a GOMONEY mantém recursos e competências para a adequada gestão dos serviços contratados.

6.3. COMUNICAÇÃO AO BANCO CENTRAL DO BRASIL

A contratação de serviços relevantes de processamento, armazenamento de dados e computação em nuvem é comunicada ao Banco Central do Brasil em até dez dias após a contratação, com a denominação do prestador, os serviços contratados e, se for o caso, os países e as regiões em que os serviços poderão ser prestados e os dados armazenados, processados e gerenciados. As alterações contratuais que modifiquem essas informações são comunicadas no mesmo prazo.

6.4. SERVIÇOS PRESTADOS NO EXTERIOR

A contratação de serviços prestados no exterior pressupõe a existência de convênio para troca de informações entre o Banco Central do Brasil e as autoridades supervisoras dos países em que os serviços poderão ser prestados, a definição prévia desses países e regiões, a inexistência de restrição legal ao acesso da GOMONEY e do Banco Central do Brasil aos dados, e a previsão de alternativas para a continuidade dos negócios. Inexistindo convênio, a GOMONEY solicita autorização ao Banco Central do Brasil com antecedência mínima de 60 (sessenta) dias da contratação ou da alteração contratual.

6.5. CLÁUSULAS CONTRATUAIS OBRIGATÓRIAS

Os contratos preveem, no mínimo: a indicação dos países e das regiões de prestação dos serviços e de armazenamento dos dados; as medidas de segurança para transmissão e armazenamento; a segregação dos dados e os controles de acesso durante a vigência; a transferência dos dados ao novo prestador ou à GOMONEY e a sua exclusão pelo prestador substituído, na extinção do contrato; o acesso da GOMONEY a informações, certificações e relatórios de auditoria; a obrigação de notificar a subcontratação de serviços relevantes; a permissão de acesso do Banco Central do Brasil aos contratos, à documentação, aos dados armazenados e aos respectivos códigos de acesso; a adoção de medidas determinadas pelo Banco Central do Brasil; o dever de manter a GOMONEY informada sobre limitações que afetem a prestação dos serviços; e, na hipótese de regime de resolução, o acesso irrestrito do responsável pelo regime e a notificação prévia, com antecedência mínima de 30 (trinta) dias, da intenção de interromper os serviços. Os contratos preveem ainda o fornecimento de informações e o acesso do Banco Central do Brasil às dependências do prestador, e vedam a cobrança de tarifas dos clientes da GOMONEY pelo prestador.

6.6. RESPONSABILIDADE E MONITORAMENTO

A GOMONEY permanece responsável pela confiabilidade, integridade, disponibilidade, segurança e sigilo dos serviços contratados e pelo cumprimento da regulamentação, monitora os níveis de serviço e os incidentes dos prestadores e mantém plano de recuperação compatível com este Manual.

7. Referências normativas

Lei Complementar nº 105/2001; Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais); Lei nº 14.478/2022; Resolução BCB nº 85/2021; e Resolução BCB nº 520/2025.

8. Considerações finais

O desconhecimento em relação a qualquer das obrigações e compromissos decorrentes deste documento não justifica desvios, portanto, em caso de dúvidas ou necessidade de esclarecimentos adicionais sobre seu conteúdo, favor consultar a área de Compliance.

Este documento é de uso interno, porém, em alguns casos pode ser disponibilizado a terceiros mediante prévio consentimento da área de Compliance, sendo certo que o respectivo envio deve ser realizado exclusivamente em meio físico ou em formato “.pdf”, (documento protegido), contendo os devidos disclaimers de confidencialidade, ressalvados o acesso do Banco Central do Brasil e a divulgação do resumo de que trata o item 4.6.

Aprovada pelos administradores da GOMONEY em [•]. Vigência a partir da data de aprovação.