Política de Privacidade

01Quem somos e qual é o nosso papel

Cardexa é o nome comercial dos produtos da HTX Systems Soluções em Tecnologia LTDA, inscrita no CNPJ sob o nº 22.408.205/0001-43, com sede na Rua Barão do Rio Branco, 639, Centro, Três Rios/RJ.

A Cardexa fornece software para empresas que emitem e administram cartões: a plataforma Cardexa, que cuida de emissão, crédito, faturamento, cobrança e contabilidade, e o Cardexa Captura, aplicativo que origina propostas de cartão no ponto de venda.

A Cardexa é controladora apenas em duas frentes, bem delimitadas:

• os dados de quem entra em contato conosco por este site, por e-mail ou pelo time comercial;
• os dados de cadastro, acesso e trilha de auditoria dos usuários dos nossos clientes — operadores de loja, analistas e administradores que usam o app e o portal — na medida necessária para dar conta de quem fez o quê dentro do sistema.

02A quem esta política se aplica

Esta política vale para todos os produtos Cardexa e cobre três grupos de pessoas:

• Proponentes e portadores de cartão — quem pede um cartão numa loja atendida pelo Cardexa Captura ou já é titular de um cartão administrado na plataforma Cardexa.
• Usuários operacionais — promotores, operadores de loja, analistas de crédito e equipes de cobrança e retaguarda que usam nossos sistemas.
• Visitantes e contatos comerciais — quem navega neste site ou fala com a gente.

A administradora que contrata a Cardexa mantém a própria política de privacidade, que é a que rege a relação dela com o titular do cartão. Onde as duas convivem, a política da administradora é a que descreve as decisões sobre os dados; esta descreve como a Cardexa as executa.

03Quais dados são tratados

3.1 Neste site

O formulário de contato coleta nome, e-mail, empresa, telefone e a mensagem que você escreve. Empresa e telefone são opcionais. Esses dados chegam por e-mail ao nosso time comercial e não alimentam nenhuma outra base.

O site não usa ferramentas de análise, publicidade ou rastreamento de terceiros. Veja a seção 11.

3.2 Na originação da proposta (Cardexa Captura)

Durante o atendimento na loja, o aplicativo trata:

• Dados de identificação — nome, CPF, data de nascimento, filiação, documento de identidade (RG ou CNH) e os dados extraídos automaticamente da imagem do documento.
• Imagem do documento e selfie, incluindo dados biométricos faciais usados para prova de vida e comparação com a foto do documento.
• Dados de contato e endereço — telefone, e-mail, endereço residencial e comprovante de residência.
• Dados socioeconômicos — profissão, renda declarada e demais campos que a administradora configurar no formulário.
• Resultado de consultas a bases oficiais e a bureaus de crédito e listas restritivas.
• Decisão de crédito — aprovação, reprovação ou envio a revisão, o limite sugerido e o motivo registrado.
• Contrato e evidências da assinatura — a versão exata dos termos apresentada ao titular, a assinatura, data e hora, loja, operador responsável, geolocalização do atendimento e identificadores do dispositivo.
• Sinais antifraude — características do aparelho usado e indicadores de adulteração ou de CPF e dispositivo já associados a fraude.
• Dados de dependentes e de portadores de cartões adicionais, quando o programa da administradora os oferece.

3.3 Na plataforma Cardexa

Depois que o cartão é emitido, a plataforma trata os dados da vida do contrato: dados cadastrais do portador, dados do cartão e das contas, transações, faturas, pagamentos, limites, acordos, histórico de cobrança e eventuais registros de inadimplência e negativação, além dos lançamentos contábeis correspondentes.

No cartão convênio, a empresa conveniada acessa apenas o necessário para gerir os limites e o desconto em folha dos próprios funcionários.

3.4 Dos usuários operacionais

De quem opera o sistema tratamos nome, CPF ou matrícula, e-mail corporativo, loja e perfil de acesso, além da trilha de auditoria: cada ação relevante fica registrada com autor, data e hora.

3.5 Dados sensíveis

A biometria facial coletada na originação é dado pessoal sensível (art. 5º, II, da LGPD) e recebe tratamento correspondente: finalidade restrita à verificação de identidade e à prevenção à fraude, acesso limitado e nenhum uso para publicidade, perfilamento comercial ou treinamento de modelos próprios. A Cardexa não trata dados de saúde, origem racial, convicção religiosa, opinião política ou vida sexual.

04Finalidades e bases legais

Cada tratamento tem uma finalidade definida e uma base legal que o sustenta. Nas linhas em que a Cardexa atua como operadora, a base legal é a adotada pela administradora controladora; a tabela registra a que fundamenta o tratamento tal como ele é executado nos nossos sistemas.

Quando o tratamento se apoia no legítimo interesse, ele se limita ao necessário para a finalidade declarada e leva em conta as expectativas legítimas do titular. O titular pode se opor a esses tratamentos pelo canal da seção 10.

05Decisão automatizada de crédito

A proposta de cartão é avaliada por um motor de decisão que aplica automaticamente a política de crédito da administradora e responde em segundos: aprovada, reprovada ou enviada a revisão. O sistema registra o motivo de cada resposta.

A decisão de crédito não usa dados sensíveis. A biometria serve apenas para confirmar que a pessoa é quem diz ser e que está presente no ato — não entra na avaliação de risco de crédito.

06Com quem os dados são compartilhados

Os dados não são vendidos, alugados nem cedidos para fins publicitários. O compartilhamento acontece apenas com:

• A administradora ou o emissor do cartão — controladora dos dados, para quem a proposta aprovada e os registros da operação são entregues.
• Bases oficiais do governo, para confirmação de dados cadastrais e comparação da foto do documento.
• Bureaus de crédito e serviços de listas restritivas, entre eles o SPC Brasil, além de outros que a administradora escolher acrescentar ao fluxo.
• Autoridade certificadora da ICP-Brasil, para o selo e a assinatura digital do contrato.
• Provedores de infraestrutura e comunicação — a Microsoft Azure hospeda os sistemas; o Azure Communication Services envia os e-mails deste site; provedores de e-mail, SMS e WhatsApp entregam o contrato ao titular pelo canal que a administradora escolher.
• Autoridades públicas, quando houver requisição legal ou ordem judicial, e no limite do que for requisitado.

Todos os provedores atuam como suboperadores, sob contrato que os obriga às mesmas finalidades e aos mesmos deveres de segurança. A relação completa e atualizada de suboperadores está disponível mediante pedido ao encarregado, no endereço da seção 14.

07Transferência internacional

Os sistemas Cardexa rodam em nuvem Microsoft Azure. Funções acessórias de um provedor global — suporte, monitoramento ou redundância — podem envolver acesso a partir de outro país.

Quando isso acontece, a transferência se dá nos termos do art. 33 da LGPD, com garantias contratuais de proteção equivalentes às desta política e às exigências da lei brasileira, incluindo cláusulas contratuais específicas com o provedor.

08Por quanto tempo os dados ficam

Como operadora, a Cardexa não define por conta própria os prazos de guarda dos dados de proponentes e portadores. Eles são definidos pela administradora controladora, no contrato de prestação de serviços, e a Cardexa os executa.

Na prática, isso significa que os dados permanecem nos nossos sistemas enquanto durar a prestação do serviço à administradora, e são eliminados ou devolvidos mediante instrução dela ou ao término do contrato, ressalvadas as hipóteses em que a lei obriga a guarda — como os prazos de prescrição aplicáveis a contratos de crédito e as obrigações contábeis, fiscais e regulatórias.

Para os dados em que a Cardexa é controladora, os prazos são estes:

Encerrado o prazo aplicável, os dados são eliminados ou anonimizados de forma irreversível.

09Como protegemos os dados

As medidas de segurança acompanham a sensibilidade do que é tratado:

• Acesso restrito e temporário às imagens — documento, selfie e assinatura ficam guardados com acesso limitado a quem precisa e pelo tempo necessário.
• Dados do cartão protegidos — o número completo não fica exposto nas telas, e visualizações são auditadas.
• Segregação por operação — os dados de cada cliente ficam separados dos demais.
• Trilha de auditoria — cada ação relevante registra autor, conteúdo e horário.
• Dupla aprovação para ações de risco.
• Contrato selado — o PDF final é fechado de modo que qualquer alteração posterior fique aparente.
• Tráfego cifrado em toda a comunicação com os sistemas.

Nenhuma medida elimina o risco por completo. Se ocorrer incidente de segurança capaz de gerar risco ou dano relevante ao titular, a Cardexa comunica a administradora controladora sem demora, com as informações necessárias para que ela avalie e cumpra o dever de comunicação à ANPD e aos titulares previsto no art. 48 da LGPD. Nos tratamentos em que a Cardexa é controladora, essa comunicação é feita por ela diretamente.

10Direitos do titular

A LGPD garante ao titular, no art. 18, o direito de obter confirmação da existência de tratamento, acessar os dados, corrigir dados incompletos ou desatualizados, pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade, solicitar portabilidade, ser informado sobre o compartilhamento, saber o que acontece se negar consentimento e revogá-lo quando for o caso. Soma-se a isso o direito à revisão de decisões automatizadas, do art. 20.

Como exercer

Se você é proponente ou portador de cartão, o controlador dos seus dados é a administradora do cartão. Procure o canal de atendimento dela — é ela quem tem a relação contratual com você e quem decide sobre os seus dados. A Cardexa, como operadora, apoia a administradora para que o pedido seja atendido dentro do prazo legal, e não pode atender diretamente pedidos sobre dados que não controla.

Se você nos procurou por este site, é usuário operacional dos nossos sistemas, ou não sabe a quem se dirigir, escreva para o nosso encarregado, no endereço da seção 14. Se o pedido for sobre dados que não controlamos, dizemos isso a você e indicamos o caminho — não deixamos o pedido sem resposta.

O titular também pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD) a qualquer momento.

11Cookies

Este site não usa cookies de análise, de publicidade ou de rastreamento, e não carrega scripts de terceiros. A política de segurança de conteúdo do site restringe as requisições à própria origem — não há pixel de rede social, medidor de audiência nem gerenciador de tags.

Podem existir cookies estritamente técnicos, criados pelo provedor de infraestrutura para segurança e balanceamento de tráfego. Eles não identificam você nem acompanham sua navegação por outros sites, e são necessários para o site funcionar.

O aplicativo e o portal usam armazenamento local apenas para manter a sessão autenticada e preferências de uso, nunca para publicidade.

12Crianças e adolescentes

Os produtos Cardexa não se destinam a menores de 18 anos e não oferecem cartão a quem não tenha capacidade civil para contratar.

Dados de menores podem aparecer apenas como dependentes declarados pelo titular ou como portadores de cartões adicionais, quando o programa da administradora prevê essa possibilidade. Nesses casos o tratamento é feito no melhor interesse do menor, limitado ao necessário para a contratação, e sob a responsabilidade do titular principal ou do responsável legal, na forma do art. 14 da LGPD.

13Alterações desta política

Esta política pode ser atualizada quando mudarem os produtos, os fornecedores envolvidos ou as exigências legais. A versão vigente é sempre a publicada nesta página, com número de versão e data no topo.

Mudanças relevantes são comunicadas às administradoras contratantes pelos canais do contrato, para que elas informem os titulares.

14Encarregado e contato

O encarregado pelo tratamento de dados pessoais (art. 41 da LGPD) é o canal de comunicação entre a Cardexa, os titulares e a ANPD.