Política de Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo

A Zorinpay, inscrita no CNPJ sob o nº 66.611.272/0001-36, adota uma abordagem baseada em risco para prevenir a utilização de seus produtos, serviços, canais, contas, integrações e relações comerciais para fins de lavagem de dinheiro, financiamento do terrorismo ou outras práticas ilícitas. Esta política estabelece princípios, responsabilidades, controles e procedimentos mínimos a serem observados pela empresa e por terceiros que atuem em seu nome.

Nota de enquadramento: esta política foi estruturada considerando a legislação brasileira e, quando aplicável ao enquadramento regulatório da empresa, as normas do Banco Central do Brasil e do Conselho de Controle de Atividades Financeiras (COAF). A Zorinpay atua como intermediadora e processadora de meios eletrônicos de pagamento. A existência desta política não constitui, por si só, declaração de autorização ou supervisão específica da empresa pelo Banco Central do Brasil.

1. Objetivo e Finalidade

São objetivos desta política:

• Prevenir a utilização da Zorinpay para ocultação ou dissimulação da origem, localização, disposição, movimentação ou propriedade de recursos de origem ilícita;
• Reduzir a exposição da empresa a riscos de lavagem de dinheiro (LD) e financiamento do terrorismo (FT);
• Estabelecer critérios de identificação, qualificação, classificação e monitoramento de clientes, parceiros, beneficiários e operações;
• Definir mecanismos de escalonamento, análise, bloqueio, recusa ou encerramento de relacionamentos quando identificados riscos incompatíveis com o apetite de risco da empresa;
• Promover cultura de integridade, conformidade, segurança e cooperação com autoridades competentes, respeitados o sigilo e a legislação aplicável.

2. Abrangência

Esta política aplica-se, na medida de sua pertinência, a:

• Clientes pessoas físicas e jurídicas, inclusive seus representantes, procuradores, sócios e beneficiários finais;
• Lojistas, estabelecimentos, usuários, parceiros comerciais, prestadores de serviço e demais terceiros que mantenham relação relevante com a empresa;
• Produtos, serviços, APIs, chaves de integração, checkout público, aplicativo, canais de atendimento, movimentações financeiras e demais operações processadas ou disponibilizadas pela Zorinpay;
• Administradores, empregados, colaboradores e prestadores que participem de processos de cadastro, análise, monitoramento, pagamentos, saques, atendimento, tecnologia ou gestão de riscos.

3. Base Legal e Regulatória

A política observa, conforme aplicabilidade ao modelo de negócio e ao enquadramento jurídico-regulatório da empresa, especialmente:

• Lei nº 9.613/1998, que dispõe sobre os crimes de lavagem ou ocultação de bens, direitos e valores e sobre a prevenção da utilização do sistema financeiro para ilícitos;
• Lei nº 13.260/2016, que disciplina o terrorismo e seu financiamento;
• Lei nº 13.810/2019, relativa ao cumprimento de sanções impostas pelo Conselho de Segurança das Nações Unidas e à indisponibilidade de ativos, quando aplicável;
• Lei nº 13.709/2018 (LGPD), no tratamento e proteção de dados pessoais;
• Normas, circulares, resoluções e instruções do Banco Central do Brasil aplicáveis à atividade da empresa, inclusive as regras de PLD/FT/FPADM pertinentes a instituições autorizadas, quando incidentes;
• Orientações, resoluções e demais atos do COAF aplicáveis às pessoas obrigadas, quando incidentes sobre a atividade desenvolvida.

A administração deverá acompanhar alterações legislativas e regulatórias e promover a atualização desta política e dos procedimentos internos sempre que necessário.

4. Princípios de PLD/FT

• Abordagem baseada em risco: recursos de controle devem ser proporcionais aos riscos identificados;
• Conheça seu cliente: informações cadastrais, societárias e de atividade devem ser obtidas e validadas de acordo com o nível de risco;
• Rastreabilidade: operações e decisões relevantes devem manter registros suficientes para reconstrução dos fatos;
• Segregação de funções: quando compatível com o porte da empresa, atividades críticas de cadastro, monitoramento, análise e aprovação devem possuir controles independentes;
• Confidencialidade: informações sobre alertas, análises e comunicações às autoridades devem ser protegidas e compartilhadas apenas com pessoas autorizadas;
• Tolerância zero a ilícitos: atividades incompatíveis com a legislação, com os Termos de Uso da plataforma ou com o apetite de risco poderão ser recusadas, suspensas ou encerradas.

5. Governança e Responsabilidades

A governança de PLD/FT será exercida de forma proporcional ao porte, à complexidade e ao risco da empresa.

5.1 Administração

• Aprovar esta política e assegurar recursos compatíveis para sua execução;
• Definir e revisar o apetite de risco de PLD/FT;
• Receber informações gerenciais sobre alertas relevantes, exposições, deficiências e medidas corretivas.

5.2 Responsável por PLD/FT e Compliance

• Coordenar a implementação e a atualização dos controles;
• Acompanhar indicadores e casos de maior risco;
• Assegurar que análises de operações suspeitas sejam documentadas;
• Promover treinamentos e testes de efetividade dos controles;
• Avaliar, quando cabível, a necessidade de comunicação a autoridades competentes.

5.3 Demais Áreas e Colaboradores

• Cumprir procedimentos de identificação, validação e monitoramento;
• Comunicar imediatamente sinais de irregularidade aos canais internos definidos;
• Preservar evidências, documentos e informações relacionadas às análises;
• Não alertar o cliente ou terceiro sobre eventual comunicação de operação suspeita quando isso for vedado pela legislação.

6. Abordagem Baseada em Risco

A Zorinpay deverá identificar e classificar riscos considerando, no mínimo:

• Perfil e comportamento do cliente, incluindo atividade econômica, capacidade financeira declarada e finalidade de uso dos serviços;
• Tipo de produto, serviço, fluxo financeiro e canal utilizado, inclusive integrações por API e checkout;
• Volume, frequência, origem e destino das transações;
• Localização geográfica e exposição a jurisdições de maior risco;
• Estrutura societária, beneficiário final e eventual utilização de representantes;
• Vínculos com pessoas expostas politicamente (PEP), sanções, listas restritivas ou outros fatores de risco;
• Inconsistências entre o perfil cadastral e o comportamento transacional observado.

Os níveis de risco poderão ser classificados, por exemplo, como baixo, médio, alto ou crítico, com medidas de diligência e monitoramento proporcionais a cada nível.

7. Conheça Seu Cliente — KYC/KYB

Antes ou durante a habilitação, conforme o produto e o risco, a empresa poderá coletar, validar e manter:

• Nome completo ou razão social, CPF/CNPJ, data de nascimento ou de constituição e dados de contato;
• Documentos de identificação e comprovantes necessários à validação cadastral;
• Atividade econômica, finalidade de uso da conta ou do serviço e informações de capacidade financeira, quando pertinentes;
• Para pessoas jurídicas: quadro societário, administradores, representantes e beneficiários finais;
• Dados bancários e chaves PIX, para validar titularidade e compatibilidade com o cadastro;
• Informações adicionais quando houver alerta, inconsistência ou necessidade de diligência reforçada.

A empresa poderá solicitar documentação complementar, realizar validações automatizadas ou manuais e restringir o acesso a funcionalidades até a conclusão das verificações necessárias.

O detalhamento do processo de cadastro, das etapas de verificação e do KYC recorrente está descrito na Política de KYC da Zorinpay, disponível em zorinpay.com/politica-de-kyc, que integra e complementa esta política.

8. Beneficiário Final, PEP e Sanções

• A Zorinpay buscará identificar o beneficiário final de pessoas jurídicas e estruturas que apresentem complexidade relevante;
• Relacionamentos com Pessoas Expostas Politicamente (PEP) serão submetidos a procedimentos compatíveis com o risco e com a legislação aplicável;
• A empresa poderá realizar consultas a listas públicas, bases de sanções e fontes de informação confiáveis para fins de prevenção a ilícitos;
• Quando houver correspondência positiva ou dúvida relevante, a operação ou o relacionamento poderá ser submetido a análise reforçada antes de sua continuidade;
• Medidas de indisponibilidade de ativos ou outras providências legalmente exigidas serão observadas quando aplicáveis.

9. Monitoramento de Operações

O monitoramento poderá utilizar regras, indicadores, análise comportamental e mecanismos automatizados ou manuais. Entre os sinais de alerta, incluem-se:

• Movimentação incompatível com o perfil cadastral, com a atividade econômica declarada ou com a capacidade financeira informada;
• Recebimentos fracionados ou estruturados para evitar controles, limites ou análises;
• Rápida circulação de recursos sem finalidade econômica aparente, como saque imediato e integral do saldo recebido;
• Indícios de utilização da conta como conta de passagem, sem atividade comercial correspondente;
• Uso de múltiplas contas, dispositivos, endereços IP, chaves PIX, pessoas ou empresas com vínculos suspeitos;
• Volume transacionado incompatível com o ramo de atividade ou com o MCC informado no cadastro;
• Alteração de titularidade da chave PIX ou dos dados de saque seguida de pico incomum de movimentação;
• Transações com contrapartes, regiões ou atividades de risco elevado sem justificativa adequada;
• Tentativas repetidas de cadastro, alteração de dados, saque ou transferência após alertas de segurança;
• Divergências entre titularidade, origem dos recursos, beneficiário e finalidade informada;
• Incidência atípica de contestações, chargebacks ou solicitações de MED PIX contra o estabelecimento;
• Padrões associados a fraude, engenharia social, interposição de terceiros ou outras condutas incompatíveis.

Um alerta não significa, isoladamente, que tenha ocorrido crime. Cada caso deverá ser analisado considerando contexto, evidências disponíveis, histórico e justificativas apresentadas.

10. Diligência Reforçada

Clientes, operações ou situações classificadas como de maior risco poderão estar sujeitos a controles adicionais, tais como:

• Solicitação de documentos e informações adicionais sobre a origem e o destino dos recursos;
• Validação ampliada da atividade econômica e do beneficiário final;
• Análise de vínculos, contrapartes e histórico transacional;
• Aprovação por nível hierárquico superior, quando aplicável;
• Redução de limites, retenção de saldo, bloqueio preventivo, recusa de operação ou encerramento do relacionamento, conforme o caso.

11. Análise e Tratamento de Operações Suspeitas

Alertas relevantes serão registrados e submetidos a análise compatível com seu risco. A análise deverá, sempre que possível, documentar:

• Identificação do cliente e das contrapartes relacionadas;
• Descrição das operações e do comportamento que originou o alerta;
• Documentos e evidências analisados;
• Justificativas apresentadas pelo cliente, quando solicitadas;
• Conclusão da análise e fundamento para encerramento, monitoramento reforçado, restrição ou escalonamento.

Quando houver indícios suficientes e existir obrigação legal ou regulatória de comunicação, a empresa adotará os procedimentos necessários para comunicação às autoridades competentes, inclusive ao COAF quando aplicável, observando os prazos, critérios e requisitos estabelecidos na regulamentação.

A comunicação, quando devida, será tratada sob sigilo. É vedado dar ciência ao cliente ou a terceiros sobre a existência de comunicação de operação suspeita, nos termos da legislação aplicável.

12. Recusa, Bloqueio e Encerramento

A Zorinpay poderá, conforme contrato, legislação e análise de risco:

• Recusar cadastro, operação ou produto quando não for possível concluir adequadamente a identificação ou a análise de risco;
• Solicitar informações e documentos adicionais;
• Restringir temporariamente funcionalidades, saques ou movimentações quando houver necessidade de análise ou determinação legal;
• Reter valores pelo prazo previsto nos Termos de Uso e na legislação aplicável, para apuração;
• Encerrar relacionamentos quando identificada utilização incompatível com a legislação, com os Termos de Uso da plataforma ou com o apetite de risco da empresa;
• Preservar registros e evidências relacionados às medidas tomadas.

Medidas de bloqueio, retenção ou restrição deverão ser proporcionais, documentadas e submetidas aos responsáveis competentes, sem prejuízo do cumprimento de determinações judiciais ou administrativas.

13. Atividades e Condutas Proibidas

É vedada a utilização dos serviços para, entre outras hipóteses:

• Lavagem ou ocultação de bens, direitos e valores;
• Financiamento do terrorismo ou apoio material a atividades terroristas;
• Fraudes, estelionato, uso de identidade de terceiros ou falsidade documental;
• Operações destinadas a ocultar origem, propriedade, destino ou beneficiário de recursos;
• Utilização de contas, chaves de API ou credenciais em nome de terceiros sem autorização legítima;
• Atividades proibidas por lei, por regulamentação, por sanções aplicáveis ou pelos Termos de Uso da Zorinpay.

14. Registros e Retenção de Informações

A empresa manterá registros cadastrais, transacionais, análises, decisões e evidências necessárias ao cumprimento de suas obrigações legais, regulatórias, contratuais e de prevenção a ilícitos, pelo período exigido pela legislação aplicável.

• Os registros deverão ser íntegros, rastreáveis e acessíveis às pessoas autorizadas;
• Documentos e evidências de investigações internas deverão ser preservados contra alteração ou destruição indevida;
• O acesso será limitado conforme necessidade, função e princípios de segurança da informação e proteção de dados.

15. Proteção de Dados e Confidencialidade

O tratamento de dados pessoais realizado no âmbito desta política deverá observar a Lei nº 13.709/2018 (LGPD), bem como os princípios de necessidade, adequação, segurança, prevenção e responsabilização.

• Dados serão utilizados somente para finalidades legítimas e compatíveis com as atividades da empresa;
• Informações sobre alertas, investigações e comunicações a autoridades serão tratadas como confidenciais;
• Compartilhamentos com instituições parceiras, prestadores ou autoridades ocorrerão quando houver fundamento legal, contratual ou regulatório;
• A empresa adotará medidas técnicas e administrativas adequadas à proteção das informações sob sua responsabilidade;
• As hipóteses de tratamento, os direitos do titular e os canais de exercício estão detalhados na Política de Privacidade, disponível em zorinpay.com/politica-de-privacidade.

16. Treinamento e Conscientização

A Zorinpay promoverá, de acordo com seu porte e exposição a risco:

• Treinamento inicial para profissionais que atuem em áreas críticas;
• Reciclagens periódicas e comunicações sobre alterações relevantes;
• Orientações sobre identificação de sinais de alerta, tratamento de informações e escalonamento;
• Registros de participação e, quando pertinente, avaliações de conhecimento.

17. Terceiros e Parceiros

Parceiros, prestadores e fornecedores que possam expor a empresa a riscos de PLD/FT serão avaliados de acordo com sua relevância e risco, incluindo provedores de infraestrutura de pagamento, instituições liquidantes e prestadores de serviços de verificação cadastral. Quando necessário, contratos poderão conter obrigações de cooperação, segurança, confidencialidade, fornecimento de informações e cumprimento da legislação aplicável.

A terceirização de determinada atividade não elimina a responsabilidade da Zorinpay de manter controles proporcionais aos riscos que permaneçam sob sua gestão.

18. Indicadores e Testes de Efetividade

A administração poderá acompanhar, entre outros, os seguintes indicadores:

• Quantidade de cadastros analisados, aprovados, recusados e submetidos a diligência reforçada;
• Quantidade e natureza dos alertas transacionais;
• Tempo médio de tratamento dos alertas;
• Quantidade de relacionamentos restringidos ou encerrados por risco;
• Incidentes, falhas de controle e respectivos planos de ação;
• Treinamentos realizados e cobertura dos colaboradores envolvidos.

Os controles deverão ser periodicamente revisados e, quando possível, testados quanto à efetividade. Deficiências identificadas deverão gerar plano de correção com responsável e prazo compatíveis com a criticidade.

19. Canal Interno e Não Retaliação

Colaboradores e prestadores deverão comunicar, de boa-fé, suspeitas de fraude, lavagem de dinheiro, financiamento do terrorismo, falsidade cadastral ou descumprimento desta política aos canais internos disponibilizados pela empresa, inclusive pelo e-mail [email protected].

A empresa deverá buscar preservar a confidencialidade das comunicações e não tolerará retaliação contra pessoa que relate uma suspeita de forma legítima e de boa-fé, ressalvadas situações de má-fé ou uso indevido dos canais.

20. Revisão, Aprovação e Vigência

Esta política entra em vigor em 06 de julho de 2026 e permanecerá vigente até sua substituição ou revogação. Sua revisão deverá ocorrer, no mínimo, anualmente ou sempre que houver alteração relevante no modelo de negócio, nos produtos, no perfil de risco, na legislação ou na regulamentação aplicável.

A administração da ZORINPAY LTDA é responsável por sua aprovação e por assegurar que os procedimentos internos necessários à sua implementação sejam mantidos atualizados.

Anexo I — Matriz Exemplificativa de Fatores de Risco

A matriz abaixo serve como referência para a construção e a revisão do processo interno de classificação de risco. Os critérios e pesos poderão ser ajustados conforme a realidade operacional.

Referências Normativas Principais

Lei nº 9.613/1998; Lei nº 13.260/2016; Lei nº 13.810/2019; Lei nº 13.709/2018; Circular BCB nº 3.978/2020 e alterações, quando aplicável; Carta Circular BCB nº 4.001/2020, quando aplicável; Resolução BCB nº 44/2020, quando aplicável; e demais atos do Banco Central do Brasil e do COAF pertinentes ao enquadramento da empresa e às atividades efetivamente exercidas.

Documento institucional. Esta política deve ser lida em conjunto com os Termos de Uso, a Política de Privacidade, a Política de KYC e os demais procedimentos internos da ZORINPAY LTDA.