Política de Confidencialidade, Segurança da Informação e LGPD

Objetivo

Contribuir para o aprimoramento da segurança informacional da MONEYBOX CONSULTORIA DE

INVESTIMENTOS E TECNOLOGIA LTDA (“MONEYBOX”), visando garantir a proteção, a manutenção da

privacidade, integridade, disponibilidade e confidencialidade das informações de sua propriedade e/ou

sob sua guarda. Além disso, estabelecer medidas a serem tomadas para identificar e prevenir

contingências que possam causar prejuízo para a consecução de suas atividades.

A quem se aplica?

diretores e funcionários que participem de forma direta das atividades diárias e negócios, representando a MONEYBOX (referidos como “Colaboradores”).

Responsabilidades

Os Colaboradores devem atender aos procedimentos estabelecidos nesta Política, informando

quaisquer irregularidades ao Diretor de Compliance e PLD, que deverá avaliá-las e submetê-las à análise

da Alta Administração, conforme ao caso.

O Diretor de Compliance e PLD deve garantir o atendimento a esta Política, sendo o responsável na

MONEYBOX por temas de segurança da informação, confidencialidade e LGPD.

Revisão e Atualização

Esta Política deverá ser revisada e atualizada a cada 2 (dois) anos, ou em prazo inferior, se assim

necessário por mudanças legais/regulatórias/autorregulatórias.

Política de Segurança da Informação

Os seguintes princípios norteiam a segurança da informação na MONEYBOX:

• Confidencialidade: o acesso à informação deve ser obtido somente por pessoas autorizadas, e

quando for de fato necessário;

• Disponibilidade: as pessoas autorizadas devem ter acesso à informação sempre que necessário; • Integridade: a informação deve ser mantida em seu estado original, visando a protegê‐la, na

guarda ou transmissão, contra alterações indevidas, intencionais ou acidentais.

As seguintes diretrizes devem ser seguidas por todos os Colaboradores da MONEYBOX:

• As informações confidenciais devem ser tratadas de forma ética e sigilosa, e de acordo com as

leis e normas internas vigentes, evitando‐se mau uso e exposição indevida;

• A informação deve ser utilizada apenas para os fins sob os quais foi coletada; • A concessão de acessos às informações confidenciais deve obedecer ao critério de menor privilégio, no qual os usuários têm acesso somente aos recursos de informação imprescindíveis para o pleno desempenho de suas atividades;

• A identificação de qualquer Colaborador deve ser única, pessoal e intransferível, qualificando‐

o como responsável pelas ações realizadas;

• Segregação de instalações, equipamentos e informações comuns, quando aplicável; • A senha é utilizada como assinatura eletrônica e deve ser mantida secreta, sendo proibido seu

compartilhamento.

Qualquer risco ou ocorrência de falha na confidencialidade e na segurança da informação deve ser reportado ao Diretor de Compliance e PLD.

São consideradas “Informações Confidenciais” aquelas não disponíveis ao público, que:

• Identifiquem dados pessoais ou patrimoniais (da MONEYBOX ou de clientes); • Sejam objeto de acordo de confidencialidade celebrado com terceiros; • Identifiquem ações estratégicas – dos negócios da MONEYBOX ou de seus clientes; • Todas as informações técnicas, jurídicas e financeiras, escritas ou arquivadas eletronicamente,

que digam respeito às atividades da MONEYBOX, e que sejam devidamente identificadas como

sendo confidenciais, ou que constituam sua propriedade intelectual ou industrial, e não estejam

disponíveis, de qualquer outra forma, ao público em geral;

• Sejam assim consideradas em razão de determinação legal, regulamentar e/ou autorregulatória; e que o Colaborador utiliza para autenticação de sua identidade (senhas de

acesso ou crachás), que são de uso pessoal e intransferível.

Não caracteriza descumprimento desta Política a divulgação de Informações Confidenciais: (i) mediante

prévia autorização do Diretor de Compliance e PLD, (ii) em atendimento a ordens do Poder Judiciário

ou autoridade regulatória, administrativa ou legislativa competente, bem como (iii) quando a divulgação

se justificar, por força da natureza do contexto da revelação da informação, a advogados, auditores e

contrapartes.

Em caso de dúvida, o Colaborador deverá consultar previamente o Diretor de Compliance e PLD acerca

da possibilidade de compartilhamento da Informação Confidencial.

Controles e Obrigações

Identificação, Classificação e Controle da Informação

O Colaborador que recebe ou prepara uma informação pode, se eventualmente necessário, classificá-la

como “Confidencial”. Para tal conclusão, devem ser considerados as questões de natureza legal e

regulatória, de estratégia negocial, os riscos do compartilhamento, as necessidades de restrição de

acesso e os impactos no caso de utilização indevida das informações.

Caso haja informação de natureza “Confidencial”, o acesso a mesma deve ser restrito e controlado.

Sempre que necessário, contratos de confidencialidade da informação devem ser assinados com

terceiros, sob supervisão do Diretor de Compliance e PLD, e, se quando necessário, da assessoria jurídica

da MONEYBOX.

A informação deve receber proteção adequada. Em caso de dúvida, o Colaborador deverá consultar o Diretor de Compliance e PLD.

O descarte de Informação Confidencial armazenada em meio físico deve ser efetuado utilizando

preferencialmente máquina fragmentadora/trituradora de papéis ou incineradora.

Gestão de Acessos

Os serviços de rede, internet e correio eletrônico disponíveis na MONEYBOX são de sua propriedade

exclusiva, sendo permitido o uso moderado para fins particulares, mediante autorização prévia do

Diretor de Compliance e PLD.

A MONEYBOX poderá, a qualquer momento, mediante prévia aprovação do Diretor de Compliance e PLD,

e sem obrigação de cientificação prévia:

• inspecionar conteúdo e registrar o tipo de uso dos e-mails feitos pelos usuários; • disponibilizar esses recursos a terceiros, caso entenda necessário; • solicitar aos usuários justificativas pelo uso efetuado. O Diretor de Compliance e PLD pode definir bloqueio a sites caso necessário. O monitoramento pode ser

feito sem necessidade de prévia ciência dos Colaboradores.

Os equipamentos, ferramentas e sistemas concedidos aos Colaboradores devem ser configurados com

os controles necessários para cumprir os requerimentos de segurança aplicáveis à MONEYBOX.

Apenas os Colaboradores devidamente autorizados terão acesso às dependências e sistemas a que

estiverem liberados, bem como aos arquivos, diretórios e/ou pastas na rede da MONEYBOX, mediante segregação física e lógica.

Gestão de Riscos, Tratamento de Incidentes de Segurança da Informação e

Backups

Os riscos e incidentes de segurança da informação devem ser reportados ao Diretor de Compliance e

PLD, que adotará as medidas cabíveis.

No caso de vazamento de informação, ou acesso indevido a informação, o Diretor de Compliance e PLD

deverá ser imediatamente comunicado, para a tomada das medidas cabíveis.

Política de Proteção de Dados Pessoais (LGPD)

A MONEYBOX, no exercício de suas atividades, tem e/ou pode vir a ter acesso a dados pessoais,

conforme definidos na Lei n.º 13.709, de 14 de agosto de 2018 (“LGPD”).

O tratamento de tais dados é feito nos estritos limites e finalidades da lei e da regulação aplicável

(especialmente, sem limitação, as normas da CVM relativas a cadastro e identificação de clientes e

operações), dado que o acesso de que aqui se trata é condição obrigatória para o desempenho das

atividades da MONEYBOX junto ao público investidor: assim, seu acesso e tratamento se dá em

conformidade com estrutura, escala e ao volume de operações da MONEYBOX, bem como à

sensibilidade dos dados tratados.

Os dados pessoais, desta forma, são coletados e armazenados apenas e tão-somente para estrito

cumprimento da legislação e regulação aplicável às atividades da MONEYBOX, sendo absolutamente

vedada a sua destinação diversa pela MONEYBOX e/ou quaisquer de seus Colaboradores: o seu eventual

uso compartilhado com reguladores e autoridades poderá ser realizado somente nos estritos termos e

limites das normas vigentes aplicáveis à MONEYBOX, e para estrito cumprimento destas.

O tratamento e armazenamento dos dados pessoais recebidos durará pelo tempo em que perdurar o

relacionamento entre a MONEYBOX e o(s) titular(es) dos dados pessoais, sempre respeitando

simultaneamente o prazo determinado pelas normas vigentes a elas aplicáveis.

As informações de contato e responsáveis da MONEYBOX a esse respeito encontram-se em seu website,

cabendo ao Diretor de Compliance e PLD supervisionar Colaboradores e zelar pelo tratamento de tais

dados, sempre resguardados os direitos do titular contemplados no art. 18 da LGPD, quais sejam:

✓ confirmação, para o titular dos dados pessoais, da existência do tratamento destes; ✓ acesso aos seus dados em poder da MONEYBOX;

✓ correção de dados incompletos, inexatos ou desatualizados;

✓ anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados

em desconformidade com o disposto na LGPD;

✓ portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição

expressa, de acordo com a regulamentação da autoridade nacional, observados os

segredos comercial e industrial;

✓ eliminação dos dados pessoais tratados com o consentimento do titular (exceto, nos

termos do art. 16 da LGPD, nas hipóteses de (a) cumprimento de obrigação legal ou

regulatória pela MONEYBOX, (b) transferência a terceiro, desde que respeitados os

requisitos de tratamento de dados dispostos na LGPD, ou (c) uso exclusivo da

MONEYBOX, vedado seu acesso por terceiro, e desde que anonimizados os dados);

✓ informação das entidades públicas e privadas com as quais o controlador realizou uso

compartilhado de dados;

✓ informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa; ✓ revogação do consentimento.

Nas hipóteses em que o consentimento para o tratamento de dados pessoais for necessário, se houver

mudanças da finalidade para o tratamento de dados pessoais não compatíveis com o consentimento

original, a MONEYBOX deverá informar previamente o titular sobre as mudanças de finalidade, podendo

o titular revogar o consentimento, caso discorde das alterações.

O término do tratamento de dados pessoais ocorrerá nas seguintes hipóteses:

✓ verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser

necessários ou pertinentes ao alcance da finalidade específica almejada;

✓ fim do período de tratamento;

✓ comunicação do titular, inclusive no exercício de seu direito de revogação do

consentimento; ou

✓ determinação da autoridade nacional, quando houver violação ao disposto na LGPD.

Política de Segregação de Atividades

O bom uso de instalações, equipamentos e informações comuns é obrigatório para todos os funcionários.

As áreas de negócios possuem controle de acesso para garantir segurança e segregação física da

área responsável pela consultoria de valores mobiliários, e, de demais áreas (ou empresas do

grupo) que exerçam - ou que venham a exercer - negócios ou atividades que possam ser

considerados conflituosos.

Em atendimento ao Art. 21 da Resoluç o CVM n° 19, caso a MONEYBOX venha um dia a exercer

outras atividades, ela o fará adotando procedimentos relativos: (i) segregaç o das atividades,

com o objetivo de demonstrar a total separaç o entre a rea respons vel pela atividade de

consultoria e as das demais atividades exercidas; (ii) confidencialidade, definindo as regras de

sigilo e conduta adotadas, com detalhamento das exigências cab veis, no m nimo, para os seus

s cios, administradores, Colaboradores e empregados.

Nos casos aplicáveis, a segregação física, funcional e virtual pode ser monitorada pela área de

Compliance mediante a verificação periódica da lista de pessoas com acesso às áreas segregadas,

diretórios etc.

Todas as boas práticas aplicáveis a Segurança de Informação devem ser observadas, garantindo a

confidencialidade de informação de clientes, da instituição, de parceiros de negócios, fornecedores,

Colaboradores, etc.

Como regra geral, os Colaboradores detentores de Informações Confidenciais, em função de seu cargo

ou função, devem estabelecer barreiras de acesso a dados e informações pelos demais Colaboradores

cujo acesso seja dispensável.

Essas barreiras servem para atender diversos propósitos, incluindo a conformidade com leis e

regulamentos que governam o tratamento e a utilização de certos tipos de informações, evitar situações

que possam suscitar um potencial conflito de interesses e coibir má utilização de dados e/ou

informações.

Esta norma é parte integrante das normas que guiam as relações entre a MONEYBOX e seus

Colaboradores, os quais, ao assinar o termo específico do Código de Ética e Conduta Profissional da

MONEYBOX CONSULTORIA DE INVESTIMENTOS E TECNOLOGIA LTDA, concordam absolutamente com

as suas diretrizes nela fixadas. A desobediência a qualquer uma das normas aqui expostas é tida como

infração contratual, sujeita o seu autor às sanções cabíveis.