LEGITIMUZ TECNOLOGIA LTDA.

CNPJ 52.178.446/0001-04

Política de Privacidade Geral

General Privacy Policy

Versão bilíngue: Português (BR) e Inglês

Bilingual version: Portuguese (BR) and English

Última atualização / Last updated: [24/04/2026 / 04/24/2026]

1. Identificação do Controlador

A presente Política de Privacidade (“Política”) é de responsabilidade da LEGITIMUZ TECNOLOGIA LTDA. (“LEGITIMUZ”), inscrita no CNPJ sob o nº 52.178.446/0001-04, com sede na Rua Florida, 1595, conj 21, Cidade Monções, São Paulo SP.

A LEGITIMUZ oferece soluções de verificação de identidade, validação documental, verificação etária e antifraude por meio dos produtos LegitFace, LegitID, LegitDoc, LegitCheck e ECA Digital, destinados a empresas (“Clientes”) que precisam validar a identidade ou a idade de seus usuários (“Titulares”).

Encarregado de Proteção de Dados (DPO): Thomas Hannickel, [email protected]

1. Controller Identification

This Privacy Policy (“Policy”) is issued by LEGITIMUZ TECNOLOGIA LTDA. (“LEGITIMUZ”), registered under CNPJ No. 52.178.446/0001-04, headquartered at Rua Florida, 1595, conj 21, Cidade Monções, São Paulo SP.

LEGITIMUZ provides identity verification, document validation, age verification, and anti-fraud solutions through its LegitFace, LegitID, LegitDoc, LegitCheck, and ECA Digital products, designed for companies (“Clients”) that need to verify the identity or age of their users (“Data Subjects”).

Data Protection Officer (DPO): Thomas Hannickel, [email protected]

2. Nossos Produtos

LegitFace - LegitID

Solução de reconhecimento facial biométrico com detecção de vivacidade (liveness detection). Realiza a captura de selfie ou vídeo do titular, compara a imagem com a foto do documento de identidade (face match) e verifica a presença real do usuário para prevenção de fraudes por spoofing, deepfakes e ataques de apresentação.

Dados tratados: fotografia facial, vídeo de prova de vida (liveness), template biométrico facial.

LegitDoc

Solução de captura e extração automática de dados de documentos de identidade (OCR). Processa imagens de documentos como RG, CNH, passaporte e outros documentos oficiais, extraindo dados textuais e elementos de segurança para validação.

Dados tratados: imagem do documento, nome, CPF, RG, data de nascimento, filiação, número do documento, data de emissão e validade.

LegitCheck

Solução de validação documental inteligente. Realiza a verificação cruzada dos dados extraídos dos documentos com bases de dados públicas e privadas, confirmando autenticidade, consistência e idoneidade das informações. Inclui verificações de CPF junto à Receita Federal, consultas a listas restritivas, PEP e sanções.

Dados tratados: CPF, nome, data de nascimento, resultados de consultas a bases públicas e privadas, indicadores de risco.

ECA Digital (Verificação Etária)

Solução de verificação etária destinada ao cumprimento da Lei nº 15.211/2025 (ECA Digital). Combina captura de documento de identidade (LegitDoc) e reconhecimento facial com prova de vida (LegitFace) para confirmar se o usuário possui 18 anos ou mais, sem expor dados desnecessários ao cliente plataformista. O resultado da verificação é um sinal binário (maior ou menor de 18 anos), não havendo transmissão de dados brutos ao cliente salvo quando expressamente contratado e justificado por obrigação legal. O tratamento é estritamente instrumental: os dados coletados para aferição de idade não são utilizados para publicidade, perfilamento, personalização de conteúdo ou compartilhamento com terceiros para fins alheios à verificação, nos termos do art. 14-A do ECA, com redação dada pela Lei nº 15.211/2025.

Dados tratados: imagem do documento de identidade, fotografia facial, vídeo de prova de vida (liveness), data de nascimento extraída do documento. Após a aferição, retém-se exclusivamente o resultado (faixa etária confirmada); os dados brutos são eliminados imediatamente, salvo obrigação legal específica.

Base legal: art. 7º, II (obrigação legal) e art. 11, II, “a” da LGPD (dado biométrico sensível), com fundamento na Lei nº 15.211/2025 e no art. 14-A do ECA.

2. Our Products

LegitFace - LegitID

Biometric facial recognition solution with liveness detection. Captures the data subject’s selfie or video, compares the image with the identity document photo (face match), and verifies the user’s real presence to prevent spoofing fraud, deepfakes, and presentation attacks.

Data processed: facial photograph, liveness video, facial biometric template.

LegitDoc

Automated document capture and data extraction solution (OCR). Processes images of identity documents such as national ID (RG), driver’s license (CNH), passport, and other official documents, extracting textual data and security features for validation.

Data processed: document image, name, CPF (Brazilian tax ID), RG (national ID number), date of birth, parentage, document number, issue and expiry dates.

LegitCheck

Intelligent document validation solution. Cross-references data extracted from documents against public and private databases to confirm authenticity, consistency, and integrity of information. Includes CPF verification with the Brazilian Federal Revenue Service, restricted lists, PEP, and sanctions screening.

Data processed: CPF, name, date of birth, public and private database query results, risk indicators.

ECA Digital (Age Verification)

Age verification solution designed to ensure compliance with Law No. 15,211/2025 (Digital ECA). Combines identity document capture (LegitDoc) and facial recognition with liveness detection (LegitFace) to confirm whether the user is 18 years of age or older, without exposing unnecessary data to the platform client. The verification result is a binary signal (over or under 18 years of age); raw data is not transmitted to the client unless expressly contracted and justified by a legal obligation. Processing is strictly instrumental: data collected for age assessment is not used for advertising, profiling, content personalization, or sharing with third parties for purposes unrelated to verification, pursuant to Art. 14-A of the Child and Adolescent Statute (ECA), as amended by Law No. 15,211/2025.

Data processed: identity document image, facial photograph, liveness video, date of birth extracted from the document. Upon completion of age assessment, only the result (confirmed age range) is retained; raw data is deleted immediately, unless a specific legal obligation requires otherwise.

Legal basis: Art. 7(II) (legal obligation) and Art. 11(II)(a) of the LGPD (sensitive biometric data), based on Law No. 15,211/2025 and Art. 14-A of the ECA.

3. Papéis da LEGITIMUZ no Tratamento de Dados

A LEGITIMUZ pode atuar em diferentes papéis no tratamento dos dados pessoais, conforme a finalidade específica de cada operação, nos termos do art. 5º, VI e VII, da Lei nº 13.709/2018 (LGPD).

Como operadora: na execução dos serviços de verificação de identidade, verificação documental e verificação etária por instrução do Cliente, a LEGITIMUZ atua como operadora de dados. O Cliente é o controlador, pois determina a finalidade e a necessidade da verificação. A base legal aplicável é definida pelo Cliente na relação com o Titular.

Como controladora independente: para determinadas finalidades próprias, a LEGITIMUZ atua como controladora dos dados pessoais, tomando decisões autônomas sobre o tratamento. Isso ocorre nas seguintes situações:

• Prevenção a fraudes no ecossistema de verificação de identidade, incluindo a manutenção de indicadores antifraude que protegem todos os usuários da plataforma, com fundamento no art. 11, II, “g”, da LGPD (prevenção à fraude e segurança do titular), observados os princípios da necessidade, proporcionalidade e minimização.
• Cumprimento de obrigações legais e regulatórias próprias da LEGITIMUZ, incluindo prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT), comunicações ao COAF e obrigações decorrentes da Lei nº 14.790/2023 e da Portaria SPA/MF nº 722/2024.
• Melhoria e desenvolvimento dos modelos de verificação, liveness e antifraude, com aplicação de técnicas de minimização e, quando possível, anonimização.
• Reutilização de documentos, imagens, dados biométricos, metadados e resultados de verificação já submetidos em interações anteriores, inclusive em novas tentativas de autenticação, revalidação, prevenção a fraudes, auditoria, investigação de incidentes, atualização de modelos e proteção do ecossistema, desde que tal reutilização seja necessária, proporcional e compatível com o contexto da relação, respeitados os prazos de retenção aplicáveis e os requisitos legais e regulatórios pertinentes.
• Fornecimento do mecanismo técnico de verificação etária por instrução do Cliente plataformista, sujeito obrigado pela Lei nº 15.211/2025 (ECA Digital). Nessa hipótese, a LEGITIMUZ atua como operadora de dados, sendo o Cliente o controlador responsável pela adequação à lei. Quando a LEGITIMUZ contratar diretamente com o titular para fins de verificação etária, sem intermediação de cliente, atua como controladora independente, com base legal no art. 7º, II, da LGPD (cumprimento de obrigação legal) e no art. 11, II, “a”, quando houver tratamento de dado biométrico. Em ambos os casos, o tratamento é estritamente instrumental: os dados coletados para aferição de idade não são utilizados para finalidades secundárias, inclusive publicidade, perfilamento, personalização de conteúdo ou compartilhamento com terceiros para fins alheios à verificação, nos termos do art. 14-A da Lei nº 8.069/1990, com redação dada pela Lei nº 15.211/2025.

3. LEGITIMUZ’s Roles in Data Processing

LEGITIMUZ may act in different roles regarding the processing of personal data, depending on the specific purpose of each operation, as defined under Articles 5(VI) and 5(VII) of Brazilian Law No. 13,709/2018 (LGPD).

As a processor: when performing identity verification, document validation, and age verification services under the Client’s instructions, LEGITIMUZ acts as a data processor. The Client is the controller, as it determines the purpose and need for verification. The applicable legal basis is defined by the Client in its relationship with the Data Subject.

As an independent controller: for certain proprietary purposes, LEGITIMUZ acts as an independent data controller, making autonomous decisions regarding data processing. This occurs in the following situations:

• Fraud prevention across the identity verification ecosystem, including maintaining anti-fraud indicators that protect all platform users.
• Compliance with LEGITIMUZ’s own legal and regulatory obligations, including anti-money laundering and counter-terrorism financing (AML/CTF), COAF reporting, and obligations under Law No. 14,790/2023 and SPA/MF Ordinance No. 722/2024.
• Improvement and development of verification, liveness, and anti-fraud models, applying minimization techniques and, where possible, anonymization.
• Reuse of documents, images, biometric data, metadata, and verification results previously submitted in earlier interactions, including for new authentication attempts, revalidation, fraud prevention, audit, incident investigation, model updates, and ecosystem protection, provided that such reuse is necessary, proportionate, and compatible with the context of the relationship, while observing applicable retention periods and relevant legal and regulatory requirements.
• Providing the technical age verification mechanism under the instruction of the Client platform operator, who is the entity subject to obligations under Law No. 15,211/2025 (Digital ECA). In this case, LEGITIMUZ acts as a data processor and the Client is the controller responsible for compliance with the law. When LEGITIMUZ contracts directly with the data subject for age verification purposes, without a client intermediary, it acts as an independent controller, with the legal basis under Art. 7(II) of the LGPD (compliance with legal obligation) and Art. 11(II)(a) where biometric data is processed. In both cases, processing is strictly instrumental: data collected for age assessment is not used for secondary purposes, including advertising, profiling, content personalization, or sharing with third parties for purposes unrelated to verification, pursuant to Art. 14-A of Law No. 8,069/1990, as amended by Law No. 15,211/2025.

4. Dados Pessoais Coletados por Produto

A LEGITIMUZ coleta o mínimo necessário de dados pessoais para a execução de cada serviço. A tabela abaixo detalha os dados tratados por produto, finalidade e base legal aplicável.

Dados biométricos: a fotografia facial e o vídeo de prova de vida (liveness) processados pelo LegitFace constituem dados biométricos, classificados como dados pessoais sensíveis nos termos do art. 5º, II, da LGPD. O tratamento desses dados observa as hipóteses do art. 11, II, da LGPD.

Verificação etária (ECA Digital): quando a verificação tem por finalidade específica aferir a idade do usuário para cumprimento da Lei nº 15.211/2025, os dados coletados para essa finalidade não serão utilizados para publicidade, perfilamento, personalização de conteúdo ou compartilhamento com terceiros para fins alheios à verificação, nos termos do art. 14-A do ECA, com redação dada pela Lei nº 15.211/2025. A LEGITIMUZ aplica o princípio da minimização: após concluída a aferição, retém apenas o resultado (confirmação de faixa etária: menor ou maior de 18 anos), eliminando os dados brutos utilizados no processo, salvo quando a retenção for exigida por obrigação legal específica e pelo prazo estritamente necessário ao cumprimento dessa obrigação.

4. Personal Data Collected per Product

LEGITIMUZ collects the minimum personal data necessary for the performance of each service. The table below details the data processed per product, purpose, and applicable legal basis.

Biometric data: facial photographs and liveness videos processed by LegitFace constitute biometric data, classified as sensitive personal data under Article 5(II) of the LGPD. Processing of such data is carried out under the provisions of Article 11(II) of the LGPD.

Age verification (Digital ECA): when verification is specifically aimed at assessing the user’s age for compliance with Law No. 15,211/2025, data collected for this purpose will not be used for advertising, profiling, content personalization, or sharing with third parties for purposes unrelated to verification, pursuant to Art. 14-A of the Child and Adolescent Statute (ECA), as amended by Law No. 15,211/2025. LEGITIMUZ applies the minimization principle: upon completion of age assessment, only the result is retained (age range confirmation: under or over 18 years of age), with deletion of raw data used in the process, unless retention is required by a specific legal obligation and for the period strictly necessary to fulfill that obligation.

5. Compartilhamento de Dados

O compartilhamento de dados pessoais ocorre no estrito limite necessário, observando as seguintes hipóteses:

• Parceiros e fornecedores: para viabilizar a prestação dos serviços, incluindo hospedagem de dados, infraestrutura em nuvem e comunicações eletrônicas.
• Clientes da LEGITIMUZ: o resultado da verificação (aprovado/reprovado) é compartilhado com o Cliente que solicitou o serviço. Dados biométricos brutos não são compartilhados com o Cliente, salvo quando expressamente previsto em contrato.
• Instituições financeiras e parceiras: para análises de risco, conformidade regulatória ou prevenção à fraude.
• Autoridades e órgãos legais: para cumprimento de obrigações jurídicas, ordens judiciais ou requisições de autoridades competentes, incluindo ANPD, COAF e SPA/MF.

Sempre que possível, os dados compartilhados são anonimizados ou limitados ao mínimo indispensável.

5. Data Sharing

Personal data sharing is carried out within the strictly necessary limits, under the following circumstances:

• Partners and vendors: to enable service delivery, including data hosting, cloud infrastructure, and electronic communications.
• LEGITIMUZ Clients: verification results (approved/rejected) are shared with the Client that requested the service. Raw biometric data is not shared with the Client unless expressly provided for in the contract.
• Financial and partner institutions: for risk analysis, regulatory compliance, or fraud prevention.
• Authorities and legal bodies: to comply with legal obligations, court orders, or requests from competent authorities, including ANPD, COAF, and SPA/MF.

Whenever possible, shared data is anonymized or limited to the minimum required.

6. Segurança dos Dados

A LEGITIMUZ adota medidas técnicas, administrativas e organizacionais de segurança, incluindo:

• Controle de acesso com autenticação e gestão de credenciais.
• Registro e monitoramento de logs de acesso.
• Backups periódicos e plano de continuidade de negócios.
• Criptografia de dados em trânsito (TLS) e em repouso (AES-256).
• Acesso restrito a pessoas autorizadas, sob dever de sigilo absoluto.
• Certificação ISO 27001, que atesta a conformidade do sistema de gestão de segurança da informação.
• Programa de gestão de incidentes de segurança com notificação à ANPD em até 72 horas, quando aplicável, nos termos da Resolução CD/ANPD nº 15/2024.

6. Data Security

LEGITIMUZ adopts technical, administrative, and organizational security measures, including:

• Access control with authentication and credential management.
• Access log recording and monitoring.
• Periodic backups and business continuity plan.
• Data encryption in transit (TLS) and at rest (AES-256).
• Access restricted to authorized personnel, under absolute confidentiality obligations.
• ISO 27001 certification, attesting to the conformity of the information security management system.
• Security incident management program with ANPD notification within 72 hours, when applicable, pursuant to ANPD Resolution No. 15/2024.

7. Transferência Internacional de Dados

Os dados pessoais podem ser transferidos para servidores localizados no exterior ou para Clientes internacionais da LEGITIMUZ. Essas transferências são realizadas em conformidade com o art. 33 da LGPD, mediante a adoção de pelo menos uma das seguintes salvaguardas:

• Transferência para países ou organismos internacionais que proporcionem grau de proteção adequado, conforme avaliação da ANPD.
• Cláusulas contratuais padrão aprovadas pela ANPD.
• Transferência necessária para a execução do contrato ou para o cumprimento de obrigação legal.

7. International Data Transfer

Personal data may be transferred to servers located abroad or to LEGITIMUZ’s international Clients. Such transfers are carried out in compliance with Article 33 of the LGPD, through the adoption of at least one of the following safeguards:

• Transfer to countries or international organizations that provide an adequate level of protection, as assessed by the ANPD.
• Standard contractual clauses approved by the ANPD.
• Transfer necessary for the performance of the contract or to comply with a legal obligation.

8. Direitos do Titular

Nos termos dos arts. 17 a 22 da LGPD, o Titular pode exercer os seguintes direitos:

• Confirmação e acesso: confirmar se há tratamento e obter cópia dos dados.
• Retificação: corrigir dados incorretos ou desatualizados.
• Explicação: obter informações sobre finalidade, forma e duração do tratamento, bem como sobre compartilhamento.
• Cancelamento: solicitar exclusão, anonimização ou bloqueio dos dados, observadas as hipóteses de retenção legítima.
• Oposição: contestar determinado tratamento ou revogar consentimento, quando aplicável.
• Portabilidade: solicitar o envio dos dados a outro controlador, nos termos da regulamentação da ANPD.
• Revisão de decisões automatizadas: a LEGITIMUZ utiliza meios automatizados no processamento de verificação de identidade, liveness e detecção de fraudes (LegitFace, LegitID LegitDoc, LegitCheck). A decisão final sobre aceitar ou rejeitar o resultado da verificação é do Cliente. O Titular pode solicitar informações sobre os critérios utilizados no processamento automatizado.

Para exercer qualquer direito: [email protected]. Prazo de resposta: 15 (quinze) dias, nos termos do art. 19 da LGPD.

8. Data Subject Rights

Under Articles 17 to 22 of the LGPD, the Data Subject may exercise the following rights:

• Confirmation and access: confirm whether processing is taking place and obtain a copy of the data.
• Rectification: correct inaccurate or outdated data.
• Explanation: obtain information on the purpose, form, and duration of processing, as well as data sharing.
• Deletion: request erasure, anonymization, or blocking of data, subject to legitimate retention requirements.
• Objection: challenge specific processing or withdraw consent, where applicable.
• Portability: request that data be transferred to another controller, as regulated by the ANPD.
• Review of automated decisions: LEGITIMUZ uses automated means to process identity verification, liveness, and fraud detection (LegitFace, LegitDoc, LegitCheck). The final decision to accept or reject the verification result lies with the Client. The Data Subject may request information about the criteria used in automated processing.

To exercise any right: [email protected]. Response deadline: 15 (fifteen) days, pursuant to Article 19 of the LGPD.

9. Prazo de Armazenamento

Os dados pessoais são mantidos pelo tempo necessário para as finalidades descritas nesta Política. Os prazos de retenção variam conforme a categoria de dado e a finalidade:

• Dados de verificação por instrução do Cliente: mantidos conforme as instruções e o prazo contratual definidos pelo Cliente controlador.
• Dados biométricos (LegitFace, LegitID): eliminados após a conclusão da verificação, salvo quando a retenção for necessária para cumprimento de obrigação legal ou para prevenção a fraudes, hipótese em que são mantidos pelo prazo máximo ou até o cumprimento da obrigação legal aplicável.
• Dados de verificação etária (ECA Digital): tratados com base nos princípios da minimização e da finalidade específica. Após a conclusão da aferição, a LEGITIMUZ retém exclusivamente o resultado da verificação (confirmação de faixa etária: menor ou maior de 18 anos), eliminando imediatamente os dados brutos utilizados no processo, incluindo imagens, documentos e dados biométricos temporários. A retenção dos dados brutos somente ocorre quando houver obrigação legal específica que a exija e pelo prazo estritamente necessário ao cumprimento dessa obrigação, vedada a utilização para qualquer finalidade secundária.
• Dados para cumprimento de PLD/FT: mantidos pelos prazos exigidos pela legislação aplicável, que podem se estender por até 10 (dez) anos após o encerramento da relação.
• Dados documentais (LegitDoc e LegitCheck): mantidos pelo prazo contratual ou pelo prazo necessário ao cumprimento de obrigações legais, o que for maior.

9. Data Retention

Personal data is retained for the time necessary to fulfill the purposes described in this Policy. Retention periods vary according to data category and purpose:

• Client-instructed verification data: retained according to the instructions and contractual term defined by the Client controller.
• Biometric data (LegitFace): deleted upon completion of verification, unless retention is necessary for compliance with legal obligations or fraud prevention, in which case data is retained for a maximum period or until the applicable legal obligation is fulfilled.
• Age verification data (Digital ECA): processed based on the minimization principle. When the purpose permits, only the verification result is retained, with deletion of data used in the assessment process.
• AML/CTF compliance data: retained for the periods required by applicable legislation, which may extend up to 10 (ten) years after termination of the relationship.
• Document data (LegitDoc and LegitCheck): retained for the contractual term or for the period necessary to comply with legal obligations, whichever is longer.

10. Alterações nesta Política

A LEGITIMUZ poderá modificar esta Política sempre que houver mudanças nos tratamentos de dados ou na legislação aplicável. A data da última atualização estará sempre indicada no início do documento. Recomendamos a consulta periódica.

10. Changes to this Policy

LEGITIMUZ may modify this Policy whenever there are changes to data processing activities or applicable legislation. The date of the last update will always be indicated at the beginning of the document. Periodic review is recommended.

11. Contato / Contact

Encarregado de Proteção de Dados (DPO) / Data Protection Officer:

Thomas Hannickel

E-mail: [email protected]

Nota sobre idioma / Language note: Em caso de divergência entre as versões em português e inglês, prevalece a versão em português. / In case of discrepancy between the Portuguese and English versions, the Portuguese version shall prevail.