Como tratamos os seus dados.

O controlador dos dados pessoais tratados neste site é a Forward Factory, inscrita no CNPJ 62.987.097/0001-25. As decisões sobre o tratamento de dados descritas nesta política são de responsabilidade do controlador.

O Encarregado pelo Tratamento de Dados (DPO) pode ser contatado pelo e-mail contato@forwardfactory.xyz, canal pelo qual o titular exerce seus direitos e esclarece dúvidas sobre privacidade.

Coletamos apenas os dados necessários para responder a um contato comercial e operar o site:

• Dados que você informa no formulário de contato: nome, e-mail, empresa, tipo de ativo, volume estimado (opcional) e a mensagem.
• Dados técnicos da submissão: agente de usuário (user-agent) do navegador, registrado junto ao lead para segurança e diagnóstico.
• Dados de navegação via cookies e tecnologias semelhantes, somente quando você consente com as categorias de analytics e/ou marketing (ver seção de cookies).

Não coletamos dados sensíveis e não solicitamos documentos pessoais por meio do site. Procedimentos de KYC/AML, quando aplicáveis a uma operação estruturada, ocorrem fora do site, sob processo próprio.

O terminal /mercado permite criar uma conta de acesso. A conta não habilita investimento nem movimenta valores — o mercado opera em modo demonstrativo. Para essa funcionalidade, tratamos:

• Dados de cadastro: nome de exibição e e-mail, confirmado por link de verificação enviado à sua caixa.
• Credencial de acesso: a senha é armazenada exclusivamente como hash criptográfico (Argon2id) — não temos acesso à senha em claro.
• Registros de segurança: endereço IP e agente de usuário (user-agent) dos eventos de autenticação (login, tentativas falhas, redefinição de senha), em trilha de auditoria destinada à prevenção de fraude e à proteção da própria conta.

Base legal: execução de procedimentos a pedido do titular para cadastro e autenticação (art. 7º, V) e legítimo interesse para os registros de segurança e prevenção a fraude (art. 7º, IX). Os e-mails transacionais da conta (verificação e redefinição de senha) são enviados pelo operador Resend.

Os cookies de sessão da conta são estritamente necessários (categoria sempre ativa): httpOnly, restritos a esta origem e com expiração automática; não rastreiam a sua navegação. Você pode solicitar a exclusão da conta a qualquer momento pelo e-mail contato@forwardfactory.xyz.

RASCUNHO — pendente de revisão jurídica/DPO. Para cumprir obrigações de verificação de identidade e de prevenção à lavagem de dinheiro (Lei 9.613/1998 e Resolução CVM 50/2021), quando você inicia a verificação de identidade no terminal /mercado tratamos:

• Documento de identidade (RG ou CNH — frente e verso) e os dados nele constantes: nome, CPF e data de nascimento.
• Selfie, tratada como dado biométrico, para confirmar que a pessoa que envia o documento é a sua titular (prova de vida/identidade).
• Resultado das consultas de prevenção à lavagem de dinheiro (PLD/AML): verificação do seu nome/CPF em listas públicas de pessoas politicamente expostas (PEP), em listas de sanções (nacionais e internacionais) e em mídia negativa, com o registro do resultado e da evidência da consulta.

Base legal: cumprimento de obrigação legal/regulatória (LGPD art. 7º, II) e, para o dado biométrico, tratamento necessário ao cumprimento de obrigação legal pelo controlador (art. 11, II, "a"). Não nos baseamos em consentimento, pois a verificação e a triagem de prevenção são obrigações regulatórias.

As checagens de PEP, sanções e mídia negativa são conduzidas pela nossa equipe de compliance e destinam-se exclusivamente ao dever de prevenção à lavagem de dinheiro e ao financiamento do terrorismo; não são usadas para publicidade nem para decisões automatizadas.

Retenção: os dados e documentos de verificação e os registros da triagem de prevenção são guardados por, no mínimo, 5 anos após o término da relação, conforme a Resolução CVM 50; depois são descartados. Segurança: o CPF é armazenado cifrado; os documentos e as evidências ficam em storage privado, acessíveis apenas por links temporários a revisores autorizados; as imagens são re-processadas para remover metadados (EXIF/GPS).

Compartilhamento: os dados não são compartilhados com terceiros, salvo exigência de autoridade competente — incluindo, quando aplicável, comunicação ao Conselho de Controle de Atividades Financeiras (COAF). Seus direitos de titular (art. 18) seguem os da seção geral, ressalvada a retenção mínima exigida por lei.

Tratamos os dados do formulário para responder ao seu contato e avaliar uma eventual relação comercial, com base legal no legítimo interesse para o relacionamento B2B (LGPD art. 7º, IX) e na execução de procedimentos preliminares a seu pedido (art. 7º, V).

Cookies de analytics e marketing são tratados exclusivamente com fundamento no seu consentimento (art. 7º, I), recolhido de forma livre, informada e inequívoca pelo banner de cookies, e revogável a qualquer momento.

Não vendemos dados pessoais. Compartilhamos dados apenas com operadores que processam informações em nosso nome, na medida necessária para a operação do site:

• Vercel: hospedagem e entrega do site.
• Resend: envio do e-mail de notificação do lead à nossa caixa institucional e dos e-mails transacionais de conta do mercado (verificação de e-mail e redefinição de senha).
• Supabase: armazenamento do lead, quando esse destino está habilitado.
• Plausible: métricas de audiência sem cookies e sem dado pessoal (carrega sempre, por ser privacy-first).
• Cloudflare Turnstile: verificação anti-bot do formulário (desafio sem cookies de rastreamento).
• Google (Analytics), Meta e LinkedIn: somente se você consentir com cookies de analytics/marketing; recebem dados de navegação para medição e publicidade.

Classificamos os cookies em três categorias. Os necessários mantêm o site funcional e a sua própria escolha de consentimento, e estão sempre ativos. Os de analytics medem o uso do site e os de marketing apoiam publicidade e remarketing; ambos só carregam após o seu aceite explícito.

Antes do consentimento, nenhum cookie de analytics ou marketing é instalado. Você pode aceitar, recusar ou ajustar as categorias a qualquer momento, e a revogação é tão simples quanto a concessão.

Alguns operadores (Vercel, Resend, Cloudflare, Google, Meta e LinkedIn) processam dados em servidores fora do Brasil. Nesses casos, a transferência internacional observa as hipóteses e salvaguardas da LGPD (arts. 33 a 36), incluindo cláusulas contratuais e padrões de proteção adotados por esses provedores.

Mantemos os dados de lead pelo período necessário ao relacionamento comercial e, na ausência de interação, por até 24 meses, após o que são eliminados ou anonimizados. Obrigações legais ou regulatórias podem exigir guarda por prazo distinto; nesses casos, o dado é retido apenas para esse fim.

Dados da conta do mercado são mantidos enquanto a conta existir. Após a exclusão da conta, os registros de auditoria de segurança (IP, eventos de autenticação) são retidos por até 12 meses para fins de prevenção a fraude e cumprimento de obrigações, e então eliminados.

Nos termos do art. 18 da LGPD, você pode, a qualquer momento, solicitar:

• confirmação da existência de tratamento e acesso aos seus dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• portabilidade dos dados a outro fornecedor, mediante requisição;
• informação sobre as entidades com as quais compartilhamos dados;
• revogação do consentimento e oposição a tratamento feito com base nele.

Para exercer qualquer desses direitos, escreva para contato@forwardfactory.xyz. Responderemos no prazo legal. Você também pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD).

Adotamos medidas técnicas e organizacionais compatíveis com a natureza dos dados: tráfego sob HTTPS/HSTS, cabeçalhos de segurança, validação e verificação anti-bot no formulário, e acesso restrito aos sistemas de armazenamento. Nenhum método é infalível, mas trabalhamos para mitigar riscos de acesso não autorizado, perda ou alteração indevida.

Podemos atualizar esta política para refletir mudanças legais, técnicas ou de negócio. A data da última revisão consta no topo desta página. Mudanças relevantes serão sinalizadas no próprio site.