Central de Confiança / Conformidade
Conformidade
Quem faz o quê na cadeia de pagamento, quais normas se aplicam a cada parte e como a LastroPay cumpre as que são dela.
Papéis na cadeia de pagamento
| Parte | Papel | Responde por |
|---|---|---|
| LastroPay | Plataforma de pagamentos: checkout, API, regras de risco, prevenção a fraudes, gestão da conta do lojista e suporte | Segurança da plataforma, LGPD como controladora, verificação e monitoria de lojistas, PLD/FT no seu escopo |
| Instituição de pagamento parceira | Mantém as contas de pagamento dos lojistas e liquida Pix e cartão | Autorização do Banco Central, guarda dos recursos, obrigações regulatórias de instituição de pagamento |
| Adquirente e processador de cartão | Captura, autoriza e liquida transações de cartão | Ambiente PCI DSS Nível 1, tokenização, relação com as bandeiras |
| Bandeiras e emissores | Regras de cartão e autorização final | Programas de monitoria de chargeback e fraude |
PCI DSS
Os dados de cartão são capturados no navegador e enviados direto ao ambiente certificado do processador. A LastroPay não armazena, processa nem transmite o número completo do cartão nem o código de segurança. Esse desenho reduz o escopo PCI da LastroPay ao da página de pagamento e da integração.
Nenhum PAN ou CVV no ambiente da LastroPay.
Script e estilo autorizados por hash e alerta de violação, conforme os requisitos 6.4.3 e 11.6.1 do PCI DSS 4.0.
SAQ correspondente ao modelo de integração, com o Atestado de Conformidade (AOC) dos processadores parceiros.
LGPD
Tratamos dados pessoais com base em execução de contrato, cumprimento de obrigação legal ou regulatória, exercício regular de direitos (defesa de contestações) e legítimo interesse para prevenção a fraudes. O detalhamento por dado, finalidade e prazo está na Política de Privacidade.
| Tema | Como fazemos |
|---|---|
| Encarregado (DPO) | [Nome do encarregado] · privacidade@lastropay.net.br |
| Direitos do titular | Acesso, correção, portabilidade, eliminação e revisão de decisões automatizadas, com resposta em até 15 dias |
| Minimização | CPF e IP do comprador guardados só como hash para consulta. O dado original, quando necessário para a defesa de contestações, fica cifrado. |
| Retenção | Dados de transação por 5 anos (Lei 9.613/1998); expurgo controlado e registrado ao fim do prazo |
| Dados no Brasil | Banco de dados da operação e réplica analítica na região de São Paulo; transferências internacionais só com subprocessadores listados e cláusulas contratuais |
| Inteligência artificial | Triagem de documentos só com serviço contratado que não usa os dados para treinar modelos |
Prevenção à lavagem de dinheiro e ao financiamento do terrorismo
Nosso programa segue a Lei 9.613/1998 e a Circular BCB 3.978/2020, aplicadas em conjunto com a instituição de pagamento parceira. A política completa é pública: Política de PLD/FT.
- Avaliação interna de risco por tipo de negócio, volume e canal.
- Identificação e qualificação de lojistas, sócios e beneficiários finais, inclusive pessoas expostas politicamente.
- Checagem de listas restritivas, inclusive as sanções do Conselho de Segurança da ONU.
- Monitoria de transações com regras de fracionamento, autocompra e volume fora do perfil.
- Análise e comunicação de operações suspeitas ao COAF, conforme a regulamentação.
- Lista pública de produtos e atividades proibidos.
Verificação de lojistas
Análise do negócio pelo compliance da LastroPay e verificação de identidade pela instituição parceira antes de qualquer venda.
Arquivos conferidos pelo tipo real, não pela extensão, e guardados em armazenamento privado.
Score de risco diário por lojista, com revisão de limites, reservas e permissões.
Ética e canal de denúncia
Denúncias de golpe, produto proibido, fraude ou conduta inadequada podem ser feitas de forma anônima em denuncia@lastropay.net.br. Não há retaliação a quem denuncia de boa-fé. Casos são tratados pelo compliance, com registro e resposta.