{ "documentType": "privacy-policy", "locale": "pt-BR", "title": "Política de Privacidade", "version": "1.1", "lastUpdated": "2026-08-15", "reviewedAt": "2026-04-02", "markdown": "**Versão 1.1 — Agosto de 2026**\n\nEncarregado de Dados (DPO): legal@carrot.eco\n\n## 1. Introdução e Âmbito de Aplicação\n\nA Carrot Fndn é uma fundação suíça constituída nos termos dos artigos 80 e seguintes do Código Civil Suíço, com sede em Zug, Suíça (Tax ID: UID# CHE-152.448.302), que desenvolve e opera a Rede Carrot — plataforma tecnológica que combina infraestrutura de nuvem (_cloud_) e _blockchain_ para rastreamento de ações de economia circular e emissão de Créditos Ambientais Tokenizados (TRC/TCC).\n\nEsta Política de Privacidade e Proteção de Dados (\"Política\") descreve como a Carrot Fndn coleta, trata, armazena, compartilha e protege dados pessoais, em conformidade com:\n\n- Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD);\n- Resolução CD/ANPD nº 15/2024 — procedimento de comunicação de incidentes de segurança à ANPD;\n- Lei nº 14.478/2022 — Marco Legal dos Criptoativos e regulamentação do Banco Central do Brasil aplicável a Prestadores de Serviços de Ativos Virtuais (PSAVs), no que couber;\n- Regulamento Geral sobre Proteção de Dados (GDPR — Regulamento UE 2016/679), no que aplicável a titulares residentes no Espaço Econômico Europeu;\n- Lei Federal Suíça de Proteção de Dados (revDSG — em vigor desde 1º de setembro de 2023), aplicável às operações da Fundação em razão de sua sede em Zug, Suíça.\n\nEsta Política aplica-se a todos os Usuários que acessam os sites e subdomínios operados pela Carrot Fndn sob o domínio carrot.eco, incluindo, sem limitação: www.carrot.eco, explore.carrot.eco, store.carrot.eco, docs.carrot.eco e my.carrot.eco, bem como quaisquer outros subdomínios que venham a ser criados, a Rede Carrot e seus contratos inteligentes, ou que interagem com a Fundação em qualquer capacidade.\n\n> **Nota sobre jurisdição**\n>\n> Para os fins da LGPD, a Carrot Fndn pode atuar como Controladora ou Operadora de dados pessoais, conforme o contexto da operação (detalhado na Seção 2). A lei aplicável ao relacionamento de uso da Plataforma no Brasil é a legislação brasileira; a lei suíça (revDSG) rege as operações da Fundação e a emissão e venda dos Créditos Ambientais Tokenizados.\n\n## 2. Papéis e Responsabilidades no Tratamento de Dados\n\nA definição dos papéis de cada parte no tratamento de dados é fundamental para a correta atribuição de responsabilidades nos termos do art. 5º, incs. VI e VII, da LGPD e do art. 4º do GDPR.\n\n### 2.1 Quando o Usuário é o Controlador\n\nPara os dados que o Usuário insere na Plataforma sobre suas próprias operações — incluindo dados de colaboradores, clientes, Geradores, Transportadores e Processadores —, o Usuário atua como Controlador, cabendo-lhe garantir a licitude do tratamento antes de compartilhá-los com a Plataforma. Cabe destacar que, na maioria dos casos, esses dados são enviados à Rede Carrot diretamente pelos _Network Integrators_, em nome do Usuário Controlador.\n\n### 2.2 Quando a Carrot é Operadora\n\nA Carrot Fndn atua como Operadora quando processa dados pessoais por conta e em nome do Usuário Controlador — por exemplo, ao validar dados inseridos pelos _Network Integrators_ para fins de emissão de créditos.\n\n### 2.3 Quando a Carrot é Controladora Independente\n\nA Carrot Fndn atua como Controladora independente nos tratamentos que realiza por conta própria, tais como:\n\n- KYC/KYB — identificação e verificação de Usuários, realizada diretamente ou por meio de provedores terceiros especializados;\n- Distribuição de Recompensas (_Rewards_) via contratos inteligentes;\n- Cumprimento de obrigações legais e regulatórias, incluindo as decorrentes da Lei nº 14.478/2022;\n- Prevenção a fraudes, lavagem de dinheiro (AML) e financiamento ao terrorismo (CFT);\n- Processo de homologação (_accreditation_) de participantes realizado diretamente pela Carrot Fndn.\n\n### 2.4 Network Integrators e Validadores como Suboperadores\n\nOs _Network Integrators_ são aplicativos e plataformas de terceiros que se integram à Rede Carrot por meio de APIs para registrar eventos da cadeia de custódia de resíduos. Ao inserir dados pessoais de participantes da cadeia (Geradores, Transportadores, Processadores) na Plataforma, os _Network Integrators_ atuam como Suboperadores da Carrot Fndn, nos termos do art. 39 da LGPD.\n\nA admissão de _Network Integrators_ à Rede Carrot está condicionada à celebração de Acordo de Processamento de Dados (_Data Processing Agreement — DPA_) com a Carrot Fndn, que estabelecerá as obrigações de conformidade, os limites do tratamento e as medidas de segurança exigíveis. A Carrot Fndn manterá registro atualizado dos _Network Integrators_ homologados em www.carrot.eco.\n\nOs Validadores e Auditores são agentes autorizados que confirmam transações e certificam operações ao longo da cadeia de custódia. Quando o exercício de suas funções implica acesso a dados pessoais contidos em MassIDs ou registros de auditoria, esses agentes operam como Suboperadores limitados, com acesso restrito ao mínimo necessário para a validação ou certificação da operação correspondente, igualmente sujeitos a DPA.\n\n_Independentemente do papel exercido, uma parte não será responsabilizada por atos, omissões ou infrações à legislação de proteção de dados praticados pela outra parte, seus prepostos e/ou contratados (cf. art. 42, §3º, LGPD)._\n\n## 3. Tecnologia: Infraestrutura Cloud e Blockchain\n\nA Carrot Fndn adota arquitetura de dados que combina armazenamento em nuvem (_off-chain_) e em _blockchain_ (_on-chain_), com o objetivo de garantir simultaneamente rastreabilidade, auditabilidade e privacidade dos titulares.\n\n### 3.1 Dados Off-chain (Servidores em Nuvem)\n\nInformações pessoais sensíveis — nome, e-mail, documentos de identificação, dados KYC/KYB — são armazenadas em infraestrutura de nuvem segura, atualmente hospedada em servidores localizados nos Estados Unidos da América (provedores como AWS e _Google Cloud_), com criptografia em repouso (AES-256) e em trânsito (TLS 1.2+). Esses dados são passíveis de acesso, correção e exclusão pelo titular, conforme a Seção 7. Para o componente de login tradicional da Plataforma, existe mecanismo de recuperação de senha, diferentemente do acesso a carteiras digitais (tratado na Seção 8.3).\n\n### 3.2 Dados On-chain (Blockchain)\n\nRegistros de transações de economia circular, emissão de créditos (TRC/TCC) e hashes de validação são gravados de forma imutável na _blockchain_. Em atenção ao princípio da privacidade desde a concepção (_privacy by design_), a Carrot Fndn não grava dados pessoais identificáveis diretamente on-chain de forma pública: utiliza-se técnica de _hashing_ criptográfico para preservar a integridade das informações sem expor a identidade do titular.\n\n> **Procedimento de anonimização on-chain**\n>\n> Quando o titular exercer o direito de eliminação previsto no art. 18, IV, da LGPD em relação a dados gravados on-chain, a Carrot Fndn adotará o seguinte procedimento: (i) exclusão definitiva do dado pessoal identificador nos registros off-chain; (ii) invalidação do mapeamento entre o endereço de carteira pública (_wallet address_) e a identidade do titular no banco de dados da Fundação; (iii) emissão de certidão de anonimização ao titular no prazo de 30 (trinta) dias. O hash remanescente _on-chain_ manterá a integridade das transações ambientais sem permitir a reidentificação do titular.\n\n## 4. Coleta, Finalidade e Base Legal do Tratamento\n\nA Carrot Fndn coleta exclusivamente os dados necessários ao cumprimento das finalidades descritas nesta Política, em observância ao princípio da necessidade (art. 6º, inc. III, LGPD).\n\n### 4.1 Categorias de Dados Coletados\n\n| Categoria | Exemplos | Finalidade |\n| ------------------------------------- | --------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------ |\n| **Dados de Cadastro (KYC/KYB)** | Nome, CPF/CNPJ, e-mail, documento de identidade, endereço, representação legal | Verificação de identidade, conformidade regulatória e cumprimento da Lei 14.478/2022 |\n| **Dados Web3** | Endereço de carteira pública (_wallet address_) | Processamento de Recompensas e registro de ativos ambientais |\n| **Dados de Operação** | Origem, massa e tipo de resíduo; MassID; ProductID; MTR | Emissão e validação de Créditos Ambientais Tokenizados |\n| **Dados de Navegação e Rastreamento** | Endereço IP, data/hora de acesso, logs de sessão, cookies funcionais e analíticos | Segurança da Rede, prevenção a fraudes e funcionamento da Plataforma (ver Seção 5) |\n| **Dados Financeiros** | Conta para recebimento, histórico de Recompensas, operações com criptoativos | Distribuição de Recompensas, cumprimento de obrigações fiscais e AML/CFT |\n\n#### 4.1.1 Uso de dados de cadastro para reconhecimento público (Seção 7A do T&C)\n\nO nome, logotipo e website da organização Participante, que fazem parte dos dados coletados no processo de cadastro (KYC/KYB), poderão também ser utilizados para fins de reconhecimento público de impacto ambiental, nos termos da Seção 7A dos [Termos e Condições](/docs/legal/terms-and-conditions) Globais (_Impact Recognition Program_).\n\nEssa utilização é condicionada à autorização concedida pelo Usuário ao aceitar os Termos e Condições, podendo ser revogada a qualquer momento mediante notificação escrita a legal@carrot.eco, sem prejuízo das divulgações realizadas anteriormente.\n\n### 4.2 Base Legal do Tratamento\n\nO tratamento de dados pessoais pela Carrot Fndn está fundamentado nas seguintes hipóteses legais do art. 7º da LGPD:\n\n- **Execução de contrato** (art. 7º, inc. V): tratamento necessário à prestação dos serviços contratados pelo Usuário;\n- **Cumprimento de obrigação legal ou regulatória** (art. 7º, inc. II): KYC/KYB, obrigações fiscais, reportes regulatórios e cumprimento da Lei nº 14.478/2022, Resolução BCB nº 1/2020 e obrigações AML/CFT;\n- **Legítimo interesse** (art. 7º, inc. IX): utilizado especificamente para (i) prevenção a fraudes e segurança da Rede; (ii) detecção de anomalias e ataques; (iii) melhoria técnica dos serviços; e (iv) reconhecimento público de impacto ambiental dos Participantes, incluindo a divulgação de nome, logotipo e website da organização em canais institucionais da Carrot Fndn, nos termos da Seção 7A dos [Termos e Condições](/docs/legal/terms-and-conditions) (_Impact Recognition Program_). O uso desta base está condicionado ao teste de proporcionalidade e documentado em Relatório de Impacto à Proteção de Dados (RIPD) mantido internamente;\n- **Consentimento** (art. 7º, inc. I): para cookies não essenciais e finalidades de marketing, coletado de forma específica, destacada e inequívoca no momento do primeiro acesso.\n\n### 4.3 Dados que Não Coletamos\n\nA Carrot Fndn não coleta, em nenhuma circunstância: chaves privadas de carteira (private keys), frases de recuperação (seed phrases) ou quaisquer credenciais que permitam acesso direto aos ativos digitais do Usuário.\n\n### 4.4 Uso da Plataforma por Menores\n\nOs serviços da Carrot Fndn são destinados exclusivamente a pessoas físicas maiores de 18 (dezoito) anos e a pessoas jurídicas representadas por seus representantes legais, nos termos do art. 14 da LGPD e do art. 8º do GDPR. Ao utilizar a Rede Carrot, o Usuário declara ter capacidade civil plena. Caso o Usuário seja pessoa jurídica, o representante legal declara ter poderes para aceitar esta Política em nome da entidade.\n\nCaso a Carrot Fndn identifique que dados de menor de idade foram inadvertidamente coletados sem o consentimento verificável dos pais ou responsáveis legais, tais dados serão imediatamente eliminados. Usuários que tomarem conhecimento de tal situação devem comunicar o DPO pelo endereço legal@carrot.eco.\n\n### 4.5 Decisões Automatizadas\n\nA Rede Carrot utiliza contratos inteligentes (_smart contracts_) para processar automaticamente decisões com efeitos sobre o Usuário, incluindo:\n\n- (i) cálculo e distribuição de Recompensas com base na cadeia de custódia de resíduos registrada nos MassIDs;\n- (ii) validação ou rejeição de MassIDs para fins de emissão de Créditos Ambientais Tokenizados;\n- (iii) suspensão temporária de participantes identificados como potencialmente irregulares pelos Auditores da Rede.\n\nNos termos do art. 20 da LGPD, o Usuário tem direito de solicitar revisão humana de qualquer decisão automatizada que lhe afete significativamente, incluindo suspensões e bloqueios de Recompensas. A solicitação deve ser encaminhada ao DPO (legal@carrot.eco), com descrição da decisão contestada, e será respondida em até 15 dias úteis, podendo ser prorrogado por mais 15 dias corridos.\n\n## 5. Cookies e Tecnologias de Rastreamento\n\nA Carrot Fndn utiliza _cookies_ e tecnologias similares em seus sites para garantir o funcionamento adequado da Plataforma, analisar o desempenho e aprimorar a experiência do Usuário.\n\n### 5.1 Categorias de Cookies\n\n| Categoria | Finalidade | Ferramentas / Destino | Base Legal |\n| ------------------------ | ----------------------------------------------------------- | --------------------------------------------------------------------------------- | ------------------------------------------------------------- |\n| Estritamente necessários | Autenticação de sessão, segurança e preferências essenciais | Infraestrutura própria Carrot (sem transferência) | Execução de contrato (art. 7º, V, LGPD) |\n| Analíticos/Desempenho | Análise de tráfego e comportamento de navegação | Google Analytics 4 (GA4) — EUA via SCCs; Vercel Analytics — infraestrutura Vercel | Legítimo interesse (art. 7º, IX, LGPD) / Consentimento (GDPR) |\n| Funcionais | Personalização de idioma, região e preferências do Usuário | Infraestrutura própria Carrot | Legítimo interesse (art. 7º, IX, LGPD) |\n\n### 5.2 Gestão de Consentimento e Opt-out\n\nNo primeiro acesso a qualquer site operado pela Carrot Fndn, o Usuário será apresentado a um banner de consentimento de _cookies_, permitindo aceitar, recusar ou personalizar cada categoria não essencial. O consentimento é registrado com _timestamp_ e pode ser revogado a qualquer tempo na página de [Política de Privacidade](/docs/legal/privacy-policy). A recusa de _cookies_ não essenciais não impede o uso da Plataforma.\n\nPara _opt-out_ específico das ferramentas de análise:\n\n- Google Analytics 4: instalar o complemento de desativação disponível em tools.google.com/dlpage/gaoptout;\n- Vercel Analytics: desabilitar nas configurações de privacidade do navegador ou utilizar extensões de bloqueio compatíveis.\n\n> **Transferência GA4 → EUA**\n>\n> O Google Analytics 4 transfere dados para servidores nos EUA. A Carrot Fndn adota as Cláusulas Contratuais Padrão (SCCs) da Comissão Europeia como salvaguarda. Para titulares brasileiros, a transferência é realizada com base no art. 33, VIII, da LGPD (consentimento específico) e no contrato de processamento de dados com o Google.\n\n## 6. Compartilhamento, Sub-processadores e Transferência Internacional\n\nOs dados pessoais poderão ser compartilhados com terceiros nas seguintes hipóteses e condições:\n\n- **Parceiros tecnológicos e sub-processadores:** exclusivamente para viabilizar a operação da Plataforma, sob DPA com obrigações de confidencialidade e conformidade;\n- **Auditores independentes homologados:** para fins de certificação e verificação ambiental, nos limites estritamente necessários;\n- **Autoridades regulatórias, judiciais e supervisoras de ativos virtuais:** quando exigido por lei, ordem judicial ou regulação aplicável, incluindo o Banco Central do Brasil e o COAF, nos termos da Lei nº 14.478/2022, para cumprimento de obrigações de prevenção à lavagem de dinheiro (AML) e ao financiamento do terrorismo (CFT).\n\n### 6.1 Principais Sub-processadores\n\n| Sub-processador | Serviço | Localização dos dados | Salvaguarda |\n| ------------------------- | ------------------------------------------- | --------------------- | ----------- |\n| Amazon Web Services (AWS) | Infraestrutura de nuvem e armazenamento | EUA | SCCs |\n| Google LLC (GCP / GA4) | Infraestrutura de nuvem e análise de dados | EUA | SCCs |\n| Vercel Inc. | Hospedagem de sites e análise de desempenho | EUA | SCCs |\n\nAlterações relevantes serão comunicadas com antecedência mínima de 30 (trinta) dias.\n\n### 6.2 Transferência Internacional de Dados\n\nA Carrot Fndn opera com infraestrutura de nuvem hospedada nos Estados Unidos da América e com sede institucional na Suíça, o que implica transferências internacionais de dados pessoais. A Suíça possui reconhecimento de adequação pela Comissão Europeia para fins do GDPR. Para fins da LGPD brasileira, a ANPD ainda não publicou lista oficial de países com nível adequado de proteção; enquanto tal decisão não é formalizada, as transferências internacionais são realizadas com fundamento em:\n\n- **Cláusulas Contratuais Padrão (SCCs):** adotadas com todos os sub-processadores internacionais, nos termos do art. 33, II, da LGPD, como salvaguarda principal para transferências Brasil → EUA e Brasil → Suíça;\n- **Consentimento específico do titular:** (art. 33, VIII, LGPD), quando aplicável e coletado de forma destacada.\n\n> **Nota sobre adequação ANPD**\n>\n> A afirmação de adequação da Suíça é válida apenas no contexto do GDPR (Comissão Europeia). Para a LGPD, enquanto a ANPD não publicar lista oficial, a salvaguarda vigente são as SCCs. Esta Política será atualizada quando houver decisão formal da ANPD.\n\n## 7. Direitos dos Titulares\n\nNos termos do art. 18 da LGPD, o titular de dados pessoais tem os seguintes direitos, exercíveis mediante solicitação ao DPO no endereço legal@carrot.eco:\n\n### 7.1 Direitos sob a LGPD\n\n| Direito | Como exercê-lo na Plataforma Carrot |\n| ------------------------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |\n| **Confirmação e Acesso (art. 18, I-II)** | Solicitação via legal@carrot.eco; resposta em até 15 dias. |\n| **Correção (art. 18, III)** | Atualização cadastral diretamente na interface da Plataforma ou via DPO. |\n| **Anonimização, Bloqueio ou Eliminação (art. 18, IV)** | Dados _off-chain_: exclusão definitiva. Dados on-chain: anonimização técnica com emissão de certidão em 30 dias (ver Seção 3.2). |\n| **Portabilidade (art. 18, V)** | Fornecimento em formato estruturado e interoperável, mediante solicitação. |\n| **Informação sobre compartilhamento (art. 18, VII)** | Esta Política descreve as categorias de destinatários; detalhamentos adicionais disponíveis via DPO. |\n| **Revogação do consentimento (art. 18, IX)** | A qualquer tempo, para finalidades baseadas em consentimento, sem prejuízo dos tratamentos realizados anteriormente. |\n| **Revisão de decisão automatizada (art. 20)** | Solicitação de revisão humana de decisões do _smart contract_ com impacto financeiro (cálculo de Recompensa, suspensão de MassID). Envio a legal@carrot.eco com descrição da decisão contestada. |\n\n> **Direitos de terceiros cujos dados chegam via Integrador**\n>\n> Participantes da cadeia (ex.: transportadoras cujos dados são inseridos pelos Network Integrators) são titulares de dados pessoais e conservam todos os direitos do art. 18 da LGPD, mesmo sem relação contratual direta com a Carrot Fndn. Ao receber solicitação de eliminação de tais dados, a Carrot Fndn avaliará se há conflito com obrigações de auditoria ambiental ou prazo de retenção legal. Em caso de conflito, poderá invocar as exceções do art. 18, §3º, da LGPD (cumprimento de obrigação legal ou exercício regular de direitos), comunicando o resultado ao titular no prazo de 15 dias.\n\n### 7.2 Direitos Adicionais sob o GDPR (titulares no EEE)\n\nPara titulares residentes no Espaço Econômico Europeu, aplicam-se adicionalmente:\n\n- **Direito de oposição (art. 21 GDPR):** o titular pode se opor ao tratamento baseado em legítimo interesse, a qualquer momento;\n- **Restrição do tratamento (art. 18 GDPR):** em determinadas circunstâncias, o titular pode solicitar que o tratamento de seus dados seja restrito;\n- **Reclamação à autoridade supervisora:** o titular pode apresentar reclamação à autoridade de proteção de dados do Estado-Membro da UE de sua residência habitual ou onde ocorreu a suposta infração.\n\nCaso a Carrot Fndn venha a operar de forma sistemática com dados de titulares europeus em escala relevante, avaliará a necessidade de nomear representante na UE nos termos do art. 27 do GDPR. Para exercer estes direitos: legal@carrot.eco.\n\n### 7.3 Direitos sob o revDSG (titulares na Suíça)\n\nPara titulares residentes na Suíça, aplicam-se os direitos previstos no revDSG, incluindo: acesso, correção, eliminação, portabilidade e oposição. Reclamações podem ser apresentadas ao FDPIC (Federal Data Protection and Information Commissioner — www.edoeb.admin.ch). Canal de exercício: legal@carrot.eco.\n\nA Carrot Fndn responderá às solicitações no prazo de 15 (quinze) dias, prorrogável por igual período quando justificado, nos termos do art. 18, §5º, da LGPD, e em prazo razoável conforme o GDPR e o revDSG.\n\n## 8. Segurança da Informação\n\nA Carrot Fndn adota medidas técnicas e administrativas adequadas para proteger os dados pessoais contra acessos não autorizados, destruição, perda, alteração, comunicação ou qualquer outra forma de tratamento inadequado, em cumprimento ao art. 46 da LGPD e ao art. 32 do GDPR.\n\n### 8.1 Medidas Técnicas\n\n- Criptografia em trânsito: protocolo TLS 1.2 ou superior para toda comunicação entre cliente e servidor;\n- Criptografia em repouso: padrão AES-256 para dados armazenados em infraestrutura de nuvem;\n- Hashing criptográfico on-chain: garante integridade matemática dos registros sem expor dados pessoais identificáveis;\n- Controle de acesso por identidade (IAM): apenas usuários e sistemas autorizados podem acessar dados pessoais;\n- Monitoramento contínuo: detecção de anomalias e tentativas de acesso não autorizado.\n\n### 8.2 Medidas Administrativas\n\n- Programa de governança de privacidade e proteção de dados, com revisões periódicas;\n- Treinamento e conscientização de colaboradores e prestadores de serviço;\n- Plano de resposta a incidentes de segurança, com procedimento de notificação documentado;\n- Data Processing Agreements (DPAs) com todos os sub-processadores e Suboperadores.\n\n### 8.3 Custódia de Ativos Digitais\n\nA Carrot Fndn não armazena, não gerencia e não possui acesso às chaves privadas (private keys) ou frases de recuperação (seed phrases) das carteiras digitais dos Usuários. A custódia dos ativos digitais é de exclusividade do Usuário, e a perda ou extravio de tais credenciais é de sua responsabilidade exclusiva, sem possibilidade de recuperação por parte da Plataforma.\n\nNota: o mecanismo descrito acima aplica-se exclusivamente ao componente de carteiras digitais Web3 da Plataforma. Para o acesso por login tradicional (e-mail e senha), a Carrot Fndn disponibiliza mecanismo padrão de recuperação de senha.\n\n### 8.4 Comunicação de Incidentes de Segurança\n\nEm caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Carrot Fndn adotará os seguintes procedimentos:\n\n| Lei aplicável | Autoridade | Prazo de notificação | Base normativa |\n| -------------- | --------------------------------------- | ------------------------------------------------ | -------------------------------------- |\n| LGPD (Brasil) | ANPD | 72 horas após ciência | Art. 48 LGPD + Res. CD/ANPD nº 15/2024 |\n| GDPR (UE/EEE) | Autoridade supervisora do Estado-Membro | 72 horas após ciência | Art. 33 GDPR |\n| revDSG (Suíça) | FDPIC | O mais rápido possível (sem prazo fixo em horas) | Art. 24 revDSG |\n\nA notificação aos titulares afetados será realizada por e-mail cadastrado na Plataforma. Quando o volume de afetados impossibilitar a notificação individual, será publicado aviso em destaque em www.carrot.eco e no painel de acesso autenticado da Plataforma pelo prazo mínimo de 30 (trinta) dias.\n\nA notificação conterá: (i) natureza dos dados afetados; (ii) informações sobre os titulares envolvidos; (iii) medidas técnicas adotadas; e (iv) riscos relacionados e ações para mitigar seus efeitos.\n\n### 8.5 Limites de Responsabilidade por Incidentes de Segurança\n\nNão obstante as medidas de segurança descritas nas Seções 8.1 e 8.2, os Usuários reconhecem que nenhum sistema tecnológico oferece segurança absoluta.\n\nA Carrot Fndn não será responsável por incidentes de segurança decorrentes exclusivamente de: (i) vulnerabilidades zero-day ainda não identificadas pela comunidade de segurança no momento do incidente; (ii) ataques de nível estatal ou a infraestruturas críticas que estejam além do controle razoável da Fundação; ou (iii) falhas em sistemas, redes ou infraestruturas de terceiros sobre os quais a Fundação não possui controle operacional direto.\n\nA Carrot Fndn permanece responsável por incidentes decorrentes de falhas em suas próprias medidas de segurança implementadas, sujeita às disposições de responsabilidade previstas nos [Termos e Condições](/docs/legal/terms-and-conditions) Globais (Seção 15).\n\n## 9. Retenção e Eliminação de Dados\n\nOs dados pessoais são conservados pelo período necessário ao cumprimento das finalidades que fundamentaram sua coleta, observados os prazos legais de guarda obrigatória. Após o encerramento da relação contratual e o término dos prazos aplicáveis, os dados off-chain serão eliminados ou anonimizados de forma segura.\n\n| Categoria de dado | Prazo de retenção | Fundamento |\n| ------------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------------------ | ------------------------------------------------------------------- |\n| Dados contratuais e fiscais | Mínimo 5 anos | Art. 206, §5º, CC; legislação tributária federal |\n| Dados de KYC/KYB | 5 anos após encerramento do relacionamento; até 10 anos se houver investigação regulatória ou judicial | Res. BCB nº 1/2020; Lei nº 14.478/2022 (AML/CFT) |\n| MTR e dados de operação | Mínimo 5 anos | Res. CONAMA nº 313/2002; Lei nº 12.305/2010 (PNRS) |\n| Logs de acesso e navegação | 6 meses | Art. 15, Marco Civil da Internet (Lei nº 12.965/2014) |\n| Registros de auditoria ambiental (off-chain) | Conforme metodologias aplicáveis | Verra, Gold Standard e demais certificadoras internacionais |\n| Registros on-chain (hashes) | Indefinido (imutabilidade técnica) | Anonimização técnica aplicada — desvinculação de identidade |\n| Dados de cookies analíticos | Até 13 meses (padrão GA4) | Consentimento / legítimo interesse |\n| Dados de reconhecimento público — Impact Recognition Program (Seção 7A do T&C) | Até 15 dias úteis após solicitação de opt-out | Seção 7A dos Termos e Condições — prazo de processamento de opt-out |\n\n## 10. Armazenamento e Processamento Global\n\nEm razão da natureza descentralizada da Rede Carrot e dos requisitos de resiliência da infraestrutura, dados são processados e armazenados primariamente em servidores localizados nos Estados Unidos da América, além da sede institucional na Suíça. A Carrot Fndn assegura que todas as transferências internacionais observam os mecanismos previstos nos arts. 33 a 36 da LGPD, com adoção de Cláusulas Contratuais Padrão (SCCs) como salvaguarda principal, garantindo nível de proteção equivalente ao exigido pela legislação brasileira.\n\n## 11. Encarregado de Dados (DPO)\n\nEm cumprimento ao art. 41 da LGPD e à Resolução CD/ANPD nº 2/2022, a Carrot Fndn designou Encarregado de Proteção de Dados (Data Protection Officer — DPO), responsável por:\n\n- Receber comunicações dos titulares, da ANPD, do FDPIC e das autoridades supervisoras GDPR competentes;\n- Orientar colaboradores e contratados sobre práticas de proteção de dados;\n- Atuar como canal de comunicação entre a Fundação, os titulares e as autoridades supervisoras.\n\n**Contato do DPO:** legal@carrot.eco\n\n_A identidade nominativa do DPO será divulgada em conformidade com a Resolução CD/ANPD nº 2/2022. Para fins de contato, o canal legal@carrot.eco é o endereço oficial designado para todas as comunicações relacionadas à proteção de dados._\n\n## 12. Alterações desta Política\n\nEsta Política poderá ser atualizada periodicamente para refletir mudanças legais, tecnológicas ou operacionais. As alterações são classificadas em dois tipos:\n\n### 12.1 Alterações Materiais\n\nConsideram-se materiais as alterações que impliquem: (i) nova finalidade de tratamento; (ii) nova categoria de dados coletados; (iii) novo compartilhamento com terceiros; ou (iv) mudança da base legal aplicável. Tais alterações serão comunicadas com antecedência mínima de 30 (trinta) dias por e-mail, exigindo manifestação expressa do Usuário (opt-in) para continuar utilizando a Plataforma.\n\n### 12.2 Alterações Não Materiais\n\nAlterações de redação, clarificações ou correções que não alterem o escopo do tratamento serão comunicadas com antecedência mínima de 15 (quinze) dias por e-mail. A continuidade do uso da Plataforma após a entrada em vigor das alterações implica aceitação tácita.\n\nA versão vigente desta Política estará sempre disponível em [docs.carrot.eco/legal/privacy-policy](/docs/legal/privacy-policy).\n\n## 13. Histórico de Versões\n\n| Versão | Data | Responsável | Principais alterações |\n| ------ | ----------- | -------------------------- | ---------------------------------------------- |\n| 1.0 | Março/2026 | Jurídico e Tec Carrot Fndn | Versão Inicial |\n| 1.1 | Agosto/2026 | Jurídico e Tec Carrot Fndn | Remoção da frase final sobre o Contrato de Uso |\n\n## 14. Glossário\n\n| Termo | Definição |\n| ---------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------- |\n| **TRC** | Tokenized Recycling Credit — crédito de reciclagem tokenizado representando 1 tonelada de material reciclado verificado. |\n| **TCC** | Tokenized Carbon Credit — crédito de carbono tokenizado representando reduções de emissões. |\n| **MassID** | Ativo digital único que representa um lote de resíduos físicos, rastreando sua proveniência e cadeia de custódia na blockchain. |\n| **ProductID** | Identificador digital de produto usado para rastrear composição de materiais pós-consumo e reciclabilidade. |\n| **dMRV** | Monitoramento, Relato e Verificação digital — processo digital para monitorar, relatar e verificar ganho ambiental. |\n| **MTR** | Manifesto de Transporte de Resíduos — documento regulatório brasileiro (Res. CONAMA nº 313/2002). |\n| **Network Integrator** | Plataforma de terceiro integrada à API Carrot para registrar eventos da cadeia de custódia; atua como Suboperador nos termos do art. 39 da LGPD. |\n| **KYC/KYB** | Know Your Customer / Know Your Business — processo de verificação de identidade de pessoas físicas e jurídicas. |\n| **DPO** | Data Protection Officer (Encarregado de Dados) — responsável pela proteção de dados na Carrot Fndn. Contato: legal@carrot.eco. |\n| **SCCs** | Standard Contractual Clauses — Cláusulas Contratuais Padrão aprovadas para transferências internacionais de dados pessoais. |\n| **FDPIC** | Federal Data Protection and Information Commissioner — autoridade supervisora de proteção de dados da Suíça (www.edoeb.admin.ch). |\n| **revDSG** | Lei Federal Suíça de Proteção de Dados revisada, em vigor desde 1º de setembro de 2023. |\n| **RIPD** | Relatório de Impacto à Proteção de Dados — documento interno que documenta tratamentos baseados em legítimo interesse. |\n| **DPA** | Data Processing Agreement — Acordo de Processamento de Dados celebrado entre a Carrot Fndn e sub-processadores e Suboperadores. |\n| **PSAV** | Prestador de Serviços de Ativos Virtuais — categoria regulatória criada pela Lei nº 14.478/2022, sujeita à supervisão do Banco Central do Brasil. |\n| **AML/CFT** | Anti-Money Laundering / Counter-Financing of Terrorism — prevenção à lavagem de dinheiro e ao financiamento do terrorismo. |\n\n---\n\nDúvidas jurídicas: legal@carrot.eco · Suporte operacional: operations@carrot.eco", "contentHash": "ebe032054170019950081f9b4bc70a5d711d7dead3bb5eb783c65b82dcdfca47", "provenance": { "repository": "Carrot onboarding application", "revision": "109971f268d2d592c84574b2ae12967adf1b4b1f", "path": "apps/onboarding/src/lib/legal-terms/incorporated/privacy-policy.pt-BR.ts", "extractionMethod": "evaluated-typescript-export", "evidenceKind": "repository-artifact" } }