Política de Privacidade

O tratamento de dados pessoais descrito nesta política é realizado por BAMEX BENEFÍCIOS INSTITUIÇÃO DE PAGAMENTOS LTDA., inscrita no CNPJ sob o nº 28.008.410/0001-06, integrante do Grupo BAMEX e responsável pela marca CusCuz Benefícios.

A CusCuz Benefícios é uma marca da BAMEX BENEFÍCIOS INSTITUIÇÃO DE PAGAMENTOS LTDA., responsável pela emissão e gestão dos cartões de benefício.

Nesta política, os termos “nós”, “nosso” e “CusCuz Benefícios” designam a pessoa jurídica acima. Os conceitos de dado pessoal, titular, controlador, operador, tratamento e Encarregado seguem as definições do art. 5º da LGPD.

Esta política cobre o tratamento de dados pessoais realizado por nós neste site institucional e nos canais de contato que ele oferece — telefone, e-mail e formulários.

O tratamento é diferente nas plataformas de produto. No Portal RH e no aplicativo Meus Benefícios, os dados de colaboradores — identificação, vínculo empregatício, matrícula, dados do cartão de benefício, créditos por competência e transações — são fornecidos pela empresa empregadora que contratou o benefício. Nesse contexto, a empresa empregadora atua como controladora, por decidir sobre a concessão do benefício e sobre as finalidades do tratamento, e a CusCuz Benefícios atua como operadora, tratando os dados conforme as instruções contratuais recebidas e as obrigações regulatórias aplicáveis a instituições de pagamento.

Consequência prática: se você é colaborador e quer saber por que seu empregador concedeu, suspendeu ou cancelou um benefício, ou quer corrigir dados cadastrais de vínculo, o pedido deve ser dirigido primeiro ao RH da sua empresa. Ainda assim, se você nos procurar diretamente, encaminharemos a requisição ao controlador e informaremos você sobre esse encaminhamento — nunca deixaremos um pedido sem resposta.

Não pedimos mais dados do que precisamos e não exigimos cadastro para navegar. O que tratamos se organiza em três grupos.

• Dados de navegação — Endereço IP, data e hora do acesso, páginas visitadas, origem do acesso (site de referência ou campanha), tipo de dispositivo, sistema operacional, navegador, idioma e resolução de tela. São coletados por registros técnicos de servidor e, quando você consente, por cookies de medição de audiência. Os relatórios de audiência são analisados de forma agregada, não para identificar você individualmente.
• Dados de contato fornecidos por você — Nome, e-mail corporativo, telefone, empresa, cargo, número de colaboradores e o conteúdo da mensagem que você escreve nos formulários do site ou nos e-mails que nos envia. São dados que você digita voluntariamente para receber uma proposta comercial, tirar uma dúvida ou registrar uma manifestação.
• Registros de atendimento — Histórico das interações com o suporte, o comercial e a ouvidoria, incluindo protocolo, data, canal utilizado e o encaminhamento dado ao caso. Servem para dar continuidade ao atendimento e comprovar o que foi respondido.

Dados de colaboradores nas plataformas. Conforme a seção 2, os dados tratados no Portal RH e no aplicativo Meus Benefícios são fornecidos pela empresa empregadora, controladora desse tratamento. A CusCuz Benefícios os trata na condição de operadora, no limite das instruções recebidas e das obrigações legais e regulatórias que recaem sobre a emissão e a gestão de cartões de benefício.

Dados sensíveis e crianças. Este site não coleta dados pessoais sensíveis (art. 5º, II, da LGPD) e não é direcionado a menores de 18 anos. Pedimos que você não inclua em formulários informações sobre saúde, biometria, convicção religiosa, opinião política, filiação sindical, origem racial ou étnica ou vida sexual. Se identificarmos o envio espontâneo desse tipo de dado, ele será eliminado assim que tratarmos a solicitação a que se refere.

Todo tratamento tem uma finalidade determinada e uma base legal do art. 7º da LGPD. Não reutilizamos dados para finalidade incompatível com aquela que motivou a coleta.

• Manter o site no ar e seguro — Entregar as páginas, equilibrar carga, prevenir fraude e abuso e manter registros de acesso a aplicações internet. Bases legais: cumprimento de obrigação legal (art. 7º, II, combinado com o art. 15 do Marco Civil da Internet) e legítimo interesse (art. 7º, IX) na segurança do próprio serviço.
• Responder ao que você pediu — Retornar contato comercial, esclarecer dúvidas, direcionar chamados de suporte e registrar manifestações de ouvidoria. Bases legais: procedimentos preliminares relacionados a contrato a pedido do titular (art. 7º, V) e legítimo interesse (art. 7º, IX) no atendimento.
• Medir a audiência do site — Entender quais conteúdos são procurados, onde as pessoas desistem e o que corrigir. Executado apenas com cookies não essenciais. Base legal: consentimento (art. 7º, I), recolhido pelo banner de cookies e revogável a qualquer momento.
• Comunicação de marketing — Enviar conteúdos e campanhas sobre benefícios corporativos, quando você pede. Base legal: consentimento (art. 7º, I). Todo envio traz mecanismo de descadastro, e o descadastro é processado sem exigir justificativa.
• Cumprir obrigações legais e regulatórias — Atender determinações de autoridades, requisições judiciais e deveres aplicáveis à atividade de instituição de pagamento, inclusive prevenção à lavagem de dinheiro e ao financiamento do terrorismo. Base legal: cumprimento de obrigação legal ou regulatória (art. 7º, II).
• Exercer direitos em processo — Defender nossos interesses em processo judicial, administrativo ou arbitral. Base legal: art. 7º, VI, da LGPD.

Quando usamos legítimo interesse, avaliamos previamente se a finalidade é legítima, se o tratamento é necessário para alcançá-la e se suas expectativas e direitos foram preservados. Você pode nos pedir informações sobre essa avaliação pelo canal do Encarregado.

Não vendemos dados pessoais e não os cedemos para terceiros usarem em finalidade própria de marketing. Compartilhamos apenas o necessário, com as seguintes categorias de destinatários:

• Emissora e arranjo de pagamento do cartão — Instituições e parceiros envolvidos na emissão, no processamento e na liquidação das transações do cartão de benefício, incluindo a bandeira. O compartilhamento se limita ao indispensável para autorizar, liquidar e conciliar transações e para tratar contestações.
• Provedores de infraestrutura e tecnologia — Hospedagem em nuvem, rede de distribuição de conteúdo, envio de e-mail transacional, monitoramento, telemetria e ferramentas de medição de audiência. Atuam como operadores, sob contrato que impõe finalidade limitada, confidencialidade e medidas de segurança.
• Empresa contratante do benefício — Quando você é colaborador, informações necessárias à gestão do benefício retornam à empresa empregadora, na condição de controladora do vínculo — por exemplo, status de cartão e conciliação de créditos por competência.
• Autoridades públicas e reguladores — Banco Central do Brasil, autoridades fiscais, órgãos de defesa do consumidor, Autoridade Nacional de Proteção de Dados e o Poder Judiciário, quando houver requisição formal ou dever legal. Avaliamos a legitimidade de cada pedido antes de atendê-lo e registramos o atendimento.
• Assessores e auditores — Advogados, auditores independentes e consultores, sob dever de sigilo, quando necessário à defesa de direitos ou ao cumprimento de exigências de auditoria e conformidade.

Em operação societária — fusão, aquisição ou reorganização — dados podem ser transferidos à sucessora, que fica vinculada às finalidades e às condições desta política. Nesse caso, os titulares serão informados.

Parte da nossa infraestrutura e algumas ferramentas de medição e comunicação são operadas por fornecedores que podem processar dados fora do Brasil. Nesses casos, a transferência internacional observa o Capítulo V da LGPD (arts. 33 a 36) e se apoia em cláusulas contratuais específicas de proteção de dados, em garantias equivalentes às exigidas pela lei brasileira ou nas demais hipóteses legais aplicáveis.

Exigimos dos fornecedores compromisso contratual de confidencialidade, restrição de finalidade, medidas técnicas de segurança e cooperação no atendimento a requisições de titulares e de autoridades. Você pode solicitar, pelo canal do Encarregado, informação sobre as categorias de destinatários internacionais envolvidos no tratamento dos seus dados.

Guardamos dados pelo tempo necessário à finalidade que motivou a coleta e, depois disso, apenas quando houver dever legal, regulatório ou necessidade de defesa de direitos.

• Registros de acesso a aplicações de internet — No mínimo 6 meses, conforme o art. 15 do Marco Civil da Internet, podendo ser preservados por prazo maior mediante requisição de autoridade.
• Dados de contato comercial e de atendimento — Até 5 anos após a última interação, prazo alinhado ao Código de Defesa do Consumidor e à prescrição de pretensões cíveis, salvo se você pedir a eliminação antes e não houver outra base legal que exija a guarda.
• Registro do consentimento de cookies — Enquanto a escolha estiver vigente, mantida no seu próprio navegador, e pelo tempo necessário para comprovar o consentimento obtido, como exige o art. 8º, § 2º, da LGPD.
• Documentos e registros de natureza regulatória e fiscal — Pelos prazos exigidos pela regulação aplicável a instituições de pagamento e pela legislação fiscal, que podem alcançar 10 anos.

Encerrado o prazo e não havendo hipótese de conservação do art. 16 da LGPD, os dados são eliminados ou anonimizados de forma irreversível.

Adotamos medidas técnicas e administrativas para proteger dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, conforme os arts. 46 a 49 da LGPD.

• Transporte e armazenamento — Tráfego cifrado por TLS em todas as páginas e criptografia dos dados sensíveis à operação em repouso.
• Controle de acesso — Acesso concedido pelo princípio do menor privilégio, com autenticação individual, segundo fator quando aplicável e revisão periódica de permissões.
• Trilha de auditoria — Registro das operações relevantes realizadas nas plataformas, permitindo reconstituir quem fez o quê e quando.
• Gestão de fornecedores — Avaliação prévia de operadores e contratos com cláusulas de proteção de dados, confidencialidade e obrigação de notificação de incidentes.
• Resposta a incidentes — Plano interno de resposta. Em incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicamos a Autoridade Nacional de Proteção de Dados e os titulares afetados, nos termos do art. 48 da LGPD.

Nenhum sistema é integralmente imune a falhas. Você também tem um papel: proteja suas credenciais, desconfie de mensagens que peçam senha ou código de verificação e comunique-nos qualquer suspeita pelo canal de suporte.

O art. 18 da LGPD garante a você, a qualquer momento e mediante requisição, os seguintes direitos:

• Confirmação da existência de tratamento — Saber se tratamos ou não dados pessoais a seu respeito.
• Acesso aos dados — Obter os dados pessoais que temos sobre você e informações sobre o tratamento.
• Correção — Corrigir dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação — Pedir esse tratamento para dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
• Portabilidade — Solicitar a portabilidade a outro fornecedor de serviço ou produto, mediante requisição expressa, observados os segredos comercial e industrial e a regulamentação da ANPD.
• Eliminação dos dados tratados com consentimento — Pedir a eliminação, ressalvadas as hipóteses de conservação do art. 16 da LGPD.
• Informação sobre compartilhamento — Saber com quais entidades públicas e privadas compartilhamos seus dados.
• Informação sobre a possibilidade de não consentir — Ser informado sobre a possibilidade de não fornecer consentimento e sobre as consequências dessa negativa.
• Revogação do consentimento — Revogar o consentimento a qualquer momento, por procedimento gratuito e facilitado, preservada a validade do tratamento realizado antes da revogação.
• Oposição — Opor-se a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento da lei.
• Revisão de decisões automatizadas — Solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, nos termos do art. 20 da LGPD.
• Petição à autoridade — Peticionar em relação aos seus dados contra o controlador perante a ANPD.

Envie sua requisição para dpo@bamex.com.br, canal do Encarregado. O atendimento é gratuito. Para agilizar, informe seu nome completo, o e-mail usado no contato conosco, qual direito você quer exercer e, se for o caso, a empresa empregadora relacionada ao benefício.

Antes de responder, confirmamos sua identidade — é assim que evitamos entregar dados a quem não é o titular. Podemos pedir informações adicionais para essa verificação, usadas exclusivamente para esse fim. Requisições de confirmação de tratamento e de acesso são respondidas em até 15 dias, conforme o art. 19, § 2º, da LGPD; os demais pedidos são respondidos em prazo razoável, com retorno sobre o andamento.

Se a requisição envolver dados de colaborador tratados nas plataformas, encaminhamos o pedido à empresa empregadora, que é a controladora nesse contexto, e informamos você sobre o encaminhamento. O rito completo, incluindo o que fazer se a resposta não for satisfatória, está em LGPD e Encarregado.

Usamos cookies estritamente necessários para manter o site funcionando e cookies não essenciais apenas depois do seu consentimento. Nada de medição de audiência ou marketing é carregado antes de você decidir: essas categorias nascem desligadas.

As categorias, as finalidades, as durações típicas e o botão para rever a sua escolha estão na Política de Cookies.

Esta política pode ser alterada para refletir mudanças nos nossos serviços, na legislação ou na regulamentação. A data de última atualização no topo da página sempre indica a versão vigente.

Quando a alteração for relevante — por exemplo, nova finalidade, nova categoria de destinatário ou mudança de base legal — daremos destaque à mudança no site e, se o tratamento depender de consentimento, pediremos uma nova manifestação. Alterações na política de cookies fazem o banner de consentimento reaparecer, para que você decida novamente.

Dúvidas sobre esta política, sobre o tratamento dos seus dados ou sobre o exercício dos seus direitos podem ser dirigidas aos canais abaixo.

Controladora: BAMEX BENEFÍCIOS INSTITUIÇÃO DE PAGAMENTOS LTDA., CNPJ 28.008.410/0001-06.