MANUAL DE CADASTRO E CREDENCIAMENTO DE CLIENTES – “KNOW YOUR CUSTOMER – KYC” 1. Apresentação Respeitando a legislação vigente e as normas regulatórias, naquilo que lhe for aplicável e condizente com as suas atividades, a DISRUPTY TECNOLOGIA, doravante denominada DISRUPTY TECNOLOGIA, busca estabelecer um conjunto de regras e procedimentos internos com o objetivo de conhecer seus clientes, visando identificar o perfil de risco, capacidade financeira, natureza dos seus negócios, bem como compreender a motivação para contratação dos serviços ofertados pela DISRUPTY TECNOLOGIA, de sorte que se obriga a coletar e a tratar estes dados conforme a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709 de 14/08/2018). Nesse sentido, a DISRUPTY TECNOLOGIA não mantém vínculo com terceiros que apresentem indício de relacionamento com quaisquer atividades de natureza criminosa ou aqueles que tenham negócios, cuja natureza não permita a verificação mínima da legitimidade das atividades ou da procedência dos recursos movimentados ou, por final, recusam se a fornecer informações ou documentos solicitados por ela, por questões de segurança previstas em legislação e em normas antilavagem de dinheiro. Para fins de adequação às melhores práticas de identificação e qualificação dos seus clientes, a DISRUPTY TECNOLOGIA terá como parâmetro a Circular nº 3.978 de 2020 do Banco Central. 2. Procedimentos destinados para o cadastro e credenciamento dos nossos clientes – KYC A DISRUPTY TECNOLOGIA adota procedimentos que permitem a obtenção, a verificação e a validação da autenticidade de informações de identificação e qualificação do cliente, compatíveis com o perfil de risco e com a natureza da relação de negócio, inclusive, se necessário, mediante confrontação dessas informações com as disponíveis em bancos de dados de caráter público e privado, em obediência a legislação em vigor sobre a matéria. O presente manual de KYC (KNOW YOUR CLIENT) da DISRUPTY TECNOLOGIA é operado internamente pelo time de operações usando a plataforma da DISRUPTY TECNOLOGIA como fornecedora da solução e alguns sites oficiais para consultas mais abrangentes. Além do processo inicial de cadastro, realizamos monitoramento contínuo à cada 03 (três) meses para reavaliar cada cliente, mantendo as informações sempre atualizadas. Os procedimentos destinados ao cadastro e credenciamento de clientes devem ser compatíveis com: ● o perfil de risco do cliente, contemplando medidas reforçadas para clientes classificados em categorias de maior risco; ● a política de prevenção à lavagem de dinheiro e ao financiamento do terrorismo da DISRUPTY TECNOLOGIA; ● natureza da relação do negócio; Abaixo segue o fluxo completo de análise das fontes e recursos disponíveis para o cadastro dos nossos clientes durante todo processo de credenciamento, onde as informações obtidas e utilizadas serão armazenadas pelo prazo de 05 (cinco) anos, e deverão seguir as diretrizes de segurança e confidencialidade nos termos da Lei Geral de Proteção de Dados. Neste processo, coletamos e validamos as seguintes informações: – Identificação de Pessoa física: ● Nome completo; ● Nacionalidade; ● Local e data de nascimento; ● Documento de identificação; ● Número de CPF; ● Endereços; ● Endereço eletrônico ● Número de telefone; ● Valores de renda e patrimônio; – Identificação de Pessoa jurídica: ● CNPJ; ● firma ou denominação social (“nome” da pessoa jurídica); ● atividade principal; ● forma e data de constituição; ● atos constitutivos; ● endereços; ● número de telefone; ● faturamento médio mensal. – Validação de CPF na Receita Federal A confirmação de que o Cadastro de Pessoa Física (CPF) é válido e está ativo é uma verificação básica e fundamental para o KYC. Caso a Receita Federal identifique que o número de CPF consultado é inválido ou está associado a uma certidão de óbito, trata-se de uma tentativa de fraude de identidade. Fazemos validação usando a (ferramenta contratada). Resultado negativo: o indivíduo é impossibilitado de abrir uma nova conta. – Validação de CNPJ, Administradores e atividade principal na Receita Federal Assim como para as pessoas físicas, a Receita Federal é a consulta mais básica e essencial para verificar se as informações sobre a DISRUPTY TECNOLOGIA estão corretas e se o CNPJ se encontra válido. Fazemos validação usando a ferramenta contratada. – Verificar o QSA — Quadro de Sócios e Administradores Identificar quem são os indivíduos caracterizados como sócios e administradores de uma DISRUPTY TECNOLOGIA. – Validar os administradores da DISRUPTY TECNOLOGIA no KYC para pessoa física Os indivíduos identificados pela Receita Federal como administradores da DISRUPTY TECNOLOGIA são analisados pelas mesmas consultas de KYC de um cliente pessoa física para garantir que não há restrições contra eles e que não estão associados a situações financeiras ilícitas. – Validar dados cadastrais (nacionalidade, filiação etc.) E ́ fundamental solicitar o envio ou apresentação do RG e/ou da CNH para que seja possível validar os dados cadastrais do indivíduo. Dessa forma, é possível ter mais dados para assegurar a identidade da pessoa. Fazemos validação usando a ferramenta contratada. Resultado negativo: o indivíduo é impossibilitado de abrir uma nova conta. – Verificar a lista de Pessoas Politicamente Expostas – PEP De acordo com o artigo 27 da Resolução 3.978 do Banco Central e das disposições da Resolução COAF nº 40/2021, é necessário fazer a consulta na lista de Pessoas Politicamente Expostas (PEPs). Para tanto devem ser consultadas bases de dados oficiais disponibilizadas pelo Poder Público, a exemplo da relação de pessoas expostas politicamente mantida pela Controladoria Geral da União – CGU no Portal da Transparência, disponibilizada também pelo Sistema de Controle de Atividades Financeiras – Siscoaf. Fazemos validação usando a ferramenta contratada. – Verificar se o indivíduo se encontra em uma Lista Restritiva As Listas Restritivas apontam indivíduos associados a atividades ilícitas. As mais relevantes em âmbito nacional que fazemos as validações e consultas são: ● Cadastro Nacional de DISRUPTY TECNOLOGIAs Inidôneas e Suspensas (CEIS); ● Cadastro de Entidades Privadas Sem Fins Lucrativos Impedidas (Cepim); ● Cadastro de Expulsões da Administração Federal (CEAF); ● Cadastro Nacional de DISRUPTY TECNOLOGIAs Punidas (Cnep); ● Quadro Geral de Inabilitados do Banco Central; ● Lista do Tribunal de Contas da União (TCU); ● Cadastro de Sanções Penais e Administrativas Derivadas de Lesões ao Meio Ambiente; ● Lista de Trabalho Análogo à Escravidão (Lista da Transparência sobre Trabalho Análogo à Escravidão). – DISRUPTY TECNOLOGIAs multinacionais e/ou que têm clientes estrangeiros também são consultados nas listas restritivas internacionais, são elas: ● Lista da ONU (contém informações sobre membros da Al-Qaeda); ● Lista da OFAC — Office of Foreign Assets Control de Specially Designated Nationals and Blocked Persons List (registra pessoas e DISRUPTY TECNOLOGIAs bloqueadas por motivos que são mantidos em sigilo); ● European Union Consolidated List (relação consolidada de pessoas, grupos e entidades sujeitas a sanções financeiras da União Europeia); ● Lista do Conselho de Segurança das Nações Unidas — CSNU (consolida as informações das listas do próprio CSNU com outras listas restritivas internacionais); ● Interpol (registro de pessoas foragidas da Justiça em diversos países); – Verificar score de crédito nos Órgão de Proteção ao Crédito ● O score de crédito é uma validação utilizada em todo o país para identificar o nível de risco que um indivíduo representa para uma instituição financeira. Desta maneira usamos a ferramenta contratada para realizar a verificação; – Verificar fontes de Protestos e Serviço Central de Proteção ao Crédito — SCPC ● Consultas adicionais são realizadas para identificar se a pessoa tem dívidas em aberto. – Verificar a existência de processos relacionados à lavagem de dinheiro e falência nos Tribunais Estaduais e Federais Se o indivíduo estiver associado a tais situações, ele não é possibilitado de abrir uma conta. – Verificar a existência de mandados de prisão em aberto Uma pessoa com mandado de prisão em aberto não deveria estar em liberdade e, portanto, sua DISRUPTY TECNOLOGIA não pode fornecer serviços financeiros a ele. Resultado negativo: é impossibilitado de abrir uma nova conta. – Consultar Mídias Negativas A consulta de Mídias Negativas permite identificar a maneira com que um possível cliente, parceiro de negócios ou fornecedor aparece na imprensa. Com soluções automatizadas baseadas em inteligência artificial, descobrimos casos de envolvimento com corrupção, lavagem de dinheiro ou outras situações que possam ir de encontro aos valores da DISRUPTY TECNOLOGIA, como agressões ao meio ambiente. – Visitas periódicas aos clientes Visando o monitoramento e a validação do funcionamento e do exercício regular das atividades dos seus clientes, a DISRUPTY TECNOLOGIA realiza visitas periódicas aos estabelecimentos comerciais, a cada 3 (três) meses. 3. Classificação dos Clientes Após a realização dos procedimentos destinados ao cadastro e credenciamento, acima descritos, os Clientes serão classificados com base em elementos objetivos e subjetivos, que serão validados pelo responsável de Compliance, que poderá, ainda, requerer o auxílio dos demais colaboradores para a classificação necessária. Os Clientes poderão ser classificados em três níveis de acordo com o risco, sendo eles: Baixo, Médio e Alto. A classificação, leva em conta características, como: ● Cliente que ofereça resistência ao fornecimento de informações necessárias para o início de relacionamento ou para a atualização cadastral. ● Clientes que possuam histórico de inadimplência em operações de fornecimento de crédito. ● Clientes que forneçam informações falsas no momento do cadastro. ● Clientes identificados PEP (Pessoas Politicamente Exposta). 3.1 Monitoramento para clientes classificados como alto risco Após a classificação dos Clientes, a DISRUPTY TECNOLOGIA mantém constante processo de monitoramento com vistas a Prevenção à Lavagem de Dinheiro e Financiamento do Terrorismo, de acordo com o grau de risco, contemplando medidas reforçadas para aqueles classificados em categorias de maior risco. Para os clientes classificados como de alto risco, é realizada o procedimento de obtenção, verificação e validação da autenticidade de informações de identificação e qualificação do cliente a cada 30 (trinta) dias, visando assim, identificar alterações relevantes nas informações coletadas, bem como se houve inclusão do referido cliente nas listas restritivas ou alguma notícia desabonadora que possa relacioná-lo em casos de envolvimento com corrupção, lavagem de dinheiro ou outras situações que possam ir de encontro aos valores da DISRUPTY TECNOLOGIA. 4. Medidas screeaning de sanções internacionais O processo que a DISRUPTY TECNOLOGIA adota no momento que identifica a existência de clientes constantes nas listas restritivas e o subsequente reporte ao credenciador, garantindo a conformidade legal e a integridade das suas operações. 4.1 Verificação e Confirmação da Identificação na Lista Restritiva O processo tem início quando um cliente é identificado nas listas restritivas, que contêm registros de pessoas ou DISRUPTY TECNOLOGIAs envolvidas em atividades suspeitas ou ilegais. A identificação pode ocorrer por meio de nossa equipe de compliance ou de sistemas automatizados que realizam o monitoramento contínuo à cada 03 (três) meses para reavaliar cada cliente, e a cada 30 (trinta) dias para os clientes classificados como de alto risco, mantendo as informações sempre atualizadas em nossas bases de dados. 4.2 Congelamento de Transações Uma vez identificado um cliente constante em lista restritiva, a primeira medida é suspender imediatamente todas as transações com o cliente identificado. Desta forma, cessando a continuidade de quaisquer atividades potencialmente ilegais e garantindo o cumprimento das sanções. 4.3 Comunicação com o Cliente Após, a suspensão das transações, nossa equipe de compliance entra em contato com o cliente informando-o sobre a situação e os motivos que levaram à identificação na lista restritiva. Nesta comunicação, solicitamos que o cliente forneça informações adicionais para que possamos entender melhor a situação. Prazo para resposta: Concedemos ao cliente um prazo de 10 (dez) dias para responder à notificação e apresentar quaisquer informações que possam ajudar a esclarecer sua inclusão na lista restritiva. 4.4 Análise e Decisão Após receber a resposta do cliente ou o prazo expirar sem resposta, nossa equipe de compliance conduz uma análise detalhada da situação. Os passos envolvidos nessa análise incluem: Verificação das informações fornecidas: Caso o cliente tenha respondido à notificação, nossa equipe verifica as informações fornecidas para avaliar a legitimidade das alegações e investigar possíveis erros de identificação. Decisão de exclusão ou manutenção do relacionamento: Com base na análise realizada, nossa equipe de compliance toma a decisão de excluir o cliente das nossas operações ou manter o relacionamento, aplicando medidas adicionais de monitoramento e controle, caso seja considerado seguro e permitido pela legislação vigente. 4.5 Encerramento do Relacionamento e Reporte ao Credenciador Caso a decisão seja de excluir o cliente das nossas operações, os seguintes passos são tomados: Comunicação de encerramento: Notificamos formalmente o cliente sobre o encerramento do relacionamento, apresentando os motivos da decisão. Reporte ao credenciador: Como intermediários, é nossa responsabilidade informar ao credenciador sobre o encerramento do relacionamento com o cliente identificado nas listas restritivas. O relatório deve conter detalhes relevantes, incluindo os motivos para o encerramento e as evidências que justifiquem a inclusão do cliente na lista. 4.6 Cumprimento de Regulamentações Durante todo o processo de exclusão e reporte, a DISRUPTY TECNOLOGIA seguirá as regulamentações aplicáveis, incluindo as leis de proteção ao consumidor e leis de privacidade de dados. 5. Lei Geral de Proteção de Dados A DISRUPTY TECNOLOGIA encontra-se em conformidade com a LGPD de forma facilitada e adequada dos tratamentos de dados e processos de negócios, conforme se observa pela nossa Política de Privacidade e Proteção de Dados Pessoais. Com a Lei Geral de Proteção de Dados em vigor (LGPD – lei 13.709), é fundamental que nossa DISRUPTY TECNOLOGIA esteja preparada a provar a qualquer momento a diligência com a lei. Estamos atentas as possíveis vulnerabilidades relacionadas aos dados pessoais, formalizando processos e mitigando riscos como: ● supervisionar, administrar e auditar o cumprimento da LGPD pela DISRUPTY TECNOLOGIA; ● orientar e fiscalizar os funcionários da DISRUPTY TECNOLOGIA quanto ao cumprimento da lei e quanto às melhores práticas para isso; ● ser o mediador entre os titulares dos dados e a DISRUPTY TECNOLOGIA, recebendo reclamações, solicitações, prestando esclarecimentos e adotando as providências. 6. Atualização e Vigência A atualização do presente Manual ocorrerá sempre que alterações legislativas ou regulatórias relevantes ocorrerem, o cenário do negócio da DISRUPTY TECNOLOGIA se modificar; ou se em decorrência da revisão da análise de risco for assim necessário. O presente Manual tem prazo de vigência indeterminado, podendo ser substituído apenas por uma versão atualizada.