POLÍTICA DE PLD/FT E PREVENÇÃO À FRAUDE

Diretrizes corporativas de PLD-FT, prevenção à fraude e gestão baseada em risco.

1. Objetivo

A presente Política estabelece os princípios, diretrizes e responsabilidades adotados pela PayPay Hub no cumprimento das obrigações legais e regulatórias relacionadas à Prevenção à Lavagem de Dinheiro, ao Financiamento do Terrorismo, ao Financiamento da Proliferação de Armas de Destruição em Massa e à Ocultação de Bens, Direitos e Valores (PLD-FT/FTP), em conformidade com a Circular BCB nº 3.978/2020 e demais normas aplicáveis.

 O tratamento de dados pessoais para fins de PLD-FT fundamenta-se no Art. 7º, II (Obrigação Regulatória) e no Art. 11, II, ‘g’ (Prevenção à Fraude) da Lei nº 13.709/2018 (LGPD), dispensando o consentimento específico para as análises de segurança e reportes ao COAF.

Os objetivos específicos desta Política são:

• Estabelecer cultura organizacional orientada à integridade e à prevenção de crimes financeiros em todos os níveis da organização;
• Garantir o cumprimento das obrigações legais perante o BCB, o COAF e demais órgãos reguladores;
• Adotar Abordagem Baseada em Risco (ABR) para identificação, classificação e mitigação dos riscos de LD/FT/FTP;
• Proteger a reputação institucional e a integridade do Sistema de Pagamentos Brasileiro.

2. Âmbito de Aplicação

Esta Política aplica-se a todas as entidades do grupo PayPay Hub, seus colaboradores (empregados, prestadores de serviços, estagiários e temporários), parceiros de negócios, correspondentes, fornecedores e demais terceiros que interajam com a plataforma, independentemente do vínculo contratual.

A PayPay Hub opera em modelo white label, por meio de integração tecnológica com a Celcoin Instituição de Pagamento S.A., como correspondente bancário do Banco Arbi S/A (CNPJ 54.403.563/0001-50), nos termos da Resolução CMN nº 4.935/2021. Os canais cobertos por esta Política incluem: Pix, transferências, boletos e transações com cartões de crédito e débito.

3. Governança e Responsabilidades

3.1 Diretor Responsável

A PayPay Hub designa formalmente um Diretor Responsável de Compliance e PLD-FT/FTP, responsável pela implementação e cumprimento desta Política e dos controles internos de prevenção. Os padrões adotados seguem as diretrizes da Circular BCB nº 3.978/2020, aplicadas voluntariamente pela PayPay Hub no âmbito do seu arranjo operacional com o Banco Arbi S/A, instituição autorizada pelo Banco Central do Brasil.

3.2 Comitê de PLD-FT/FTP

A PayPay Hub mantém Comitê de PLD-FT/FTP com as seguintes características:

• Composição mínima: Diretor Responsável (presidente), Head de Compliance/PLD-FT, Head de Operações e representante do Time Jurídico; quando aplicável, representante de Tecnologia;
• Reuniões ordinárias: mínimo trimestral; extraordinárias sempre que houver caso crítico, alteração normativa relevante ou recomendação de auditoria;
• Competências: aprovar exceções de limite e aprovar alterações a esta Política;
• Registro obrigatório de atas com decisões, responsabilidades e prazos.

3.3 Área de Compliance / PLD-FT

A área de Compliance e PLD-FT opera com independência funcional, reportando-se diretamente ao Diretor Responsável e à alta administração. Suas atribuições incluem:

• Coordenar a implementação e manutenção dos controles internos de PLD-FT/FTP;
• Realizar o monitoramento contínuo de clientes, parceiros e transações;
• Elaborar e comunicar ao COAF as operações e situações suspeitas dentro dos prazos legais;
• Elaborar e submeter ao Comitê a avaliação periódica de riscos de PLD-FT/FTP;
• Conduzir o programa de treinamento e capacitação;
• Emitir parecer prévio sobre novos produtos, serviços e tecnologias;
• Promover a revisão periódica desta Política e dos procedimentos internos.

3.4 Responsabilidades dos Colaboradores

Todos os colaboradores têm obrigação de conhecer, observar e reportar qualquer indício de descumprimento desta Política pelos canais oficiais, sem risco de retaliação.

3.5 Auditoria Interna

A Auditoria Interna avalia anualmente a conformidade da Política com as normas vigentes, a eficácia dos controles internos de PLD-FT/FTP e a adequação dos procedimentos às melhores práticas, reportando seus achados ao Comitê de PLD e à Diretoria.

4. Abordagem Baseada em Risco (ABR)

4.1 Abordagem Baseada em Risco

A PayPay Hub adota ABR para a gestão de PLD-FT/FTP. Os riscos são avaliados considerando:

• Perfil e natureza dos clientes (PF e PJ), incluindo exposição política (PEP) e sanções;
• Atividade econômica (CNAE) e setor de atuação;
• Volume, frequência, complexidade e origem/destino das operações;
• Localização geográfica (regiões sensíveis, faixa de fronteira, jurisdições de alto risco);
• Canais de distribuição, modalidades de acesso e novas tecnologias;
• Histórico transacional, processos judiciais e histórico de KYC.

5. Programas de Diligência (KYX)

A PayPay Hub adota processos estruturados de diligência para toda a sua cadeia de valor:

5.1 Conheça seu Cliente — KYC

Processo de identificação, verificação e qualificação dos clientes PF e PJ, incluindo a identificação do Beneficiário Final (UBO — Ultimate Beneficial Owner), definido como a pessoa natural que, direta ou indiretamente, detém mais de 25% do capital social ou exerce controle ou influência significativa sobre a entidade. Para estruturas complexas (holdings, fundos, offshore), a cadeia de controle é percorrida até a identificação da pessoa física final. O KYC abrange:

• Validação de dados cadastrais e documentos oficiais (RG, CNH, CNPJ);
• Verificação em listas restritivas nacionais e internacionais (ONU, OFAC, UE, GOV.UK, Interpol, FBI, COAF, CNJ, MTE, TCU, CGU, entre outras);
• Identificação de PEP, sanções ativas e histórico judicial;
• Verificação biométrica (prova de vida e correspondência facial — Liveness + Face Match);
• Análise de capacidade financeira e compatibilidade de renda/faturamento declarado;
• Geolocalização de risco (endereço e IP).

5.2 Conheça seu Funcionário — KYE

Processo de verificação da integridade e idoneidade dos colaboradores, contemplando:

• Diligência prévia na admissão: verificação em listas restritivas, histórico profissional e antecedentes;
• Capacitação em PLD-FT/FTP na adoção e de forma periódica ao longo do vínculo;
• Monitoramento periódico de aderência às políticas internas e identificação de comportamentos atípicos.

5.3 Conheça seu Parceiro — KYP

Processo de due diligence aplicado a parceiros de negócios, correspondentes e integradores de tecnologia, assegurando que toda a cadeia de distribuição e operação da PayPay Hub seja composta por entidades com padrão equivalente de integridade e controles de PLD-FT/FTP. A diligência é realizada antes do início da relação contratual e reavaliada periodicamente.

5.4 Conheça seu Fornecedor — KYS

Processo de due diligence aplicado a fornecedores e prestadores de serviços que tenham acesso a dados de clientes, infraestrutura crítica ou processos sensíveis de PLD-FT/FTP. Contempla:

• Verificação de idoneidade e ausência de sanções;
• Avaliação dos controles de segurança e conformidade do fornecedor;
• Inclusão de cláusulas contratuais de conformidade com PLD-FT/FTP;
• Revisão periódica conforme nível de criticidade do fornecimento.

5.5 Conheça seu Negócio — KYB

• Processo de identificação, verificação e qualificação de clientes pessoas jurídicas (merchants) que operam na plataforma PayPay Hub, aplicado no onboarding e reavaliado continuamente no pós-aprovação. O KYB abrange:
• Verificação do status cadastral do CNPJ perante a Receita Federal do Brasil (RFB), com exigência de situação ativa;
• Análise da natureza jurídica e data de constituição da empresa;
• Identificação e verificação de todos os sócios ativos no Quadro de Sócios e Administradores (QSA), incluindo a identificação do Beneficiário Final (UBO), definido como a pessoa natural que, direta ou indiretamente, detém mais de 25% do capital social ou exerce controle ou influência significativa sobre a entidade;
• Verificação dos sócios e administradores em listas restritivas nacionais e internacionais (ONU, OFAC, UE, GOV.UK, Interpol, FBI, COAF, CNJ, MTE, TCU, CGU, entre outras);
• Triagem da atividade econômica (CNAE) para identificação de atividades bloqueadas ou sujeitas a Diligência Reforçada (EDD);
• Análise de capacidade financeira e compatibilidade entre o faturamento declarado e o perfil financeiro estimado dos sócios administradores via bureau;
• Verificação biométrica do sócio administrador (prova de vida e correspondência facial — Liveness + Face Match);
• Geolocalização de risco com base no endereço cadastral e IP de acesso;
• Verificação do histórico judicial dos sócios e administradores, com reprovação automática nos casos previstos nos normativos internos.

A classificação de risco resultante do KYB determina os limites operacionais iniciais e a intensidade do monitoramento pós-aprovação, sendo reavaliada continuamente com base em eventos cadastrais, transacionais e de bureau.

6. Pessoas Expostas Politicamente (PEP)

São consideradas PEP aquelas que exercem ou exerceram, nos últimos 5 (cinco) anos, cargos, empregos ou funções públicas relevantes no Brasil ou no exterior, conforme a Resolução COAF nº 40/2021.

O monitoramento intensificado de PEP aplica-se:

• Ao próprio PEP identificado (relação direta — cargo próprio);
• A familiares de primeiro grau e estreitos colaboradores (relação indireta);
• Por período mínimo de 5 (cinco) anos após o encerramento do cargo público;
• Incluindo controle direto ou indireto de pessoa jurídica cliente.

Clientes identificados como PEP são automaticamente escalados para perfil de risco Alto, submetidos a EDD e a monitoramento contínuo de transações pós-aprovação.

7. Monitoramento de Operações

A PayPay Hub mantém sistema de monitoramento contínuo das operações realizadas em sua plataforma, com geração automática de alertas baseada em regras parametrizáveis e análise comportamental. O monitoramento contempla:

• Operações com valores atípicos ou incompatíveis com o perfil do cliente;
• Padrões de fracionamento ou estruturação de operações;
• Beneficiários com sanções ativas, PEP ou histórico de KYC rejeitado;
• Uso de dispositivos múltiplos, reutilização de dados cadastrais ou IPs suspeitos;
• Transações oriundas ou destinadas a ISPBs classificados como sensíveis;
• Incompatibilidade entre renda declarada e renda estimada via bureau;
• Operações envolvendo regiões de alto risco (faixa de fronteira de 150km, regiões penais).

Todos os alertas gerados são registrados com trilha auditável e tratados por analistas de Compliance dentro de prazos definidos.

8. Comunicação ao COAF e Sigilo

8.1 Comunicação de Operações Suspeitas

A PayPay Hub, na qualidade de correspondente bancário, reporta operações e situações suspeitas à Celcoin Instituição de Pagamento S.A. e/ou ao Banco Arbi S/A, que avaliam e, quando aplicável, encaminham a comunicação formal ao COAF nos prazos regulamentares.

• A PayPay Hub documenta e encaminha os casos suspeitos ao parceiro BaaS (Celcoin/Arbi) com os elementos de suporte necessários para a análise;
• O parceiro BaaS, como instituição autorizada pelo BCB, realiza a avaliação final e, quando aplicável, efetua a comunicação ao COAF via SISCOAF nos prazos regulamentares;
• A PayPay Hub mantém registro completo e auditável de todos os casos encaminhados.

9. Prevenção à Fraude

A PayPay Hub adota controles estruturados de prevenção à fraude, integrados ao programa de PLD-FT/FTP, cobrindo o onboarding de clientes e o monitoramento contínuo das transações, incluindo operações com cartão de crédito e débito.

9.1 Princípios Gerais

Os controles de prevenção à fraude da PayPay Hub são baseados nos seguintes princípios:

• Verificação de identidade e autenticidade de todos os clientes antes da aprovação, com uso de tecnologias de biometria e consulta a bases externas;
• Monitoramento contínuo e automático das transações, incluindo operações com cartão de crédito e débito, Pix e boletos;
• Gestão ativa de chargebacks e disputas, com ação preventiva sobre clientes com padrões atípicos;
• Integração entre os times de Compliance, PLD-FT e Antifraude para tratamento unificado de casos.

9.2 Canais e Operações Cobertos

O programa abrange todos os canais e instrumentos de pagamento operados pela PayPay Hub: Pix, transferências, boletos, cartões de crédito e débito. As regras, critérios e procedimentos específicos de cada controle são classificados como confidenciais e documentados em normativos internos de acesso restrito.

9.3 Gestão de Chargeback

A PayPay Hub adota uma política de tolerância zero para contestações de venda (chargeback). A identificação de qualquer chargeback vinculado ao cliente é tratada como um indício crítico de falha de segurança ou má-fé, resultando no banimento automático do merchant, com encerramento imediato da conta e bloqueio definitivo para novos pagamentos ou saques. Tais eventos ensejam obrigatoriamente o registro do CPF/CNPJ e dos dispositivos vinculados em blacklist permanente, além do reporte imediato da ocorrência aos parceiros BaaS (Celcoin/Arbi) por suspeita de fraude. O fluxo de contestação de disputas junto às bandeiras de cartão será conduzido exclusivamente para fins de recuperação de saldo, não garantindo a reativação da conta banida

9.4 Sigilo Operacional

Os controles técnicos e operacionais de prevenção à fraude não são divulgados publicamente, de forma a preservar sua eficácia e não expor a plataforma a tentativas de circunvenção. A documentação detalhada é mantida em normativos internos classificados como confidenciais, de acesso restrito ao time de Compliance, PLD-FT, Tecnologia e Parceiros BaaS autorizados.

9.5 Fraudes com Boletos

A PayPay Hub mantém controles específicos para prevenção de fraudes com boletos, incluindo verificação de autenticidade antes do pagamento e identificação de indícios de falsificação.

10. Avaliação de Novos Produtos, Serviços e Tecnologias

Antes do lançamento de qualquer novo produto, serviço, canal de distribuição ou tecnologia, a PayPay Hub realiza análise prévia de risco de PLD-FT/FTP, adotando como referência as diretrizes do art. 11 da Circular BCB nº 3.978/2020, aplicadas no âmbito do seu arranjo operacional com o Banco Arbi S/A.

A análise prévia:

• É conduzida pela área de Compliance / PLD-FT em conjunto com Tecnologia, Jurídico e a área de negócio responsável;
• Identifica e avalia os riscos específicos do novo produto/serviço, incluindo perfil de cliente-alvo, volume esperado, canais de distribuição e vulnerabilidades conhecidas;
• Propõe medidas de mitigação e controles complementares antes do lançamento;
• Resulta em parecer formal registrado e aprovado pelo Diretor Responsável;
• Lançamentos sem parecer aprovado são vedados.

11. Sanções Internacionais e Listas Restritivas

A PayPay Hub verifica seus clientes e parceiros nas seguintes bases de sanções e listas restritivas, no onboarding e de forma contínua via monitoramento de bureau:

Indisponibilidade de Ativos (Lei nº 13.810/2019): Em estrito cumprimento à Lei nº 13.810/2019 e à Resolução BCB nº 44/2021, a PayPay Hub realizará a indisponibilidade imediata de ativos de pessoas, empresas ou entidades sancionadas pelo Conselho de Segurança das Nações Unidas (CSNU). Este bloqueio será executado de forma direta e sem necessidade de prévia autorização judicial, visando impedir a movimentação de recursos ligados ao terrorismo e sua proliferação. A medida será comunicada imediatamente ao Ministério da Justiça e Segurança Pública, ao COAF e aos parceiros BaaS (Celcoin/Arbi).

12. Proibições Expressas

São expressamente proibidas na plataforma PayPay Hub:

• Movimentações em dinheiro em espécie ou por meio de cheques de viagem;
• Operações com contas anônimas ou vinculadas a titulares fictícios;
• Realização ou recebimento de pagamentos fora dos canais eletrônicos regulamentados;
• Estruturação ou fracionamento de operações visando contornar controles regulatórios;
• Ocultação, dissimulação ou omissão de informações cadastrais relevantes;
• Operações envolvendo entidades ou pessoas listadas em sanções ativas;
• Dar ciência ao cliente investigado sobre comunicação ou investigação de PLD-FT/FTP;
• Relações com Bancos de Fachada (Shell Banks) — instituições sem presença física e não integradas a grupo financeiro regulamentado.

13. Treinamento e Cultura de Integridade

A PayPay Hub mantém programa de capacitação em PLD-FT/FTP para todos os colaboradores, atualizado conforme mudanças regulatórias e evolução do cenário de riscos:

O programa abrange: identificação de operações e comportamentos suspeitos, procedimentos de reporte e sigilo, conhecimento da legislação aplicável e atualização sobre novas tipologias de crimes financeiros. A capacitação é promovida com frequência mínima anual e sempre que houver alterações regulatórias relevantes.

14. Manutenção de Registros

A PayPay Hub mantém registros completos de todas as operações realizadas em sua plataforma, incluindo identificação das partes, valores, datas, canais e informações de KYC, pelo prazo mínimo de 10 (dez) anos, em conformidade com a Circular BCB nº 3.978/2020.

As informações são organizadas de forma a permitir sua rápida recuperação para fins de auditorias internas, externas e demandas regulatórias.

15. Penalidades e Consequências

O descumprimento desta Política, por colaboradores ou terceiros, poderá ensejar:

• Medidas disciplinares internas, incluindo desligamento;
• Rescisão contratual, no caso de parceiros, fornecedores e terceiros;
• Comunicação às autoridades competentes (COAF, BCB, autoridades policiais e judiciais);
• Responsabilização civil e criminal nos termos da legislação vigente.

16. Base Legal e Referências Normativas

17. Disposições Gerais

17.1 Esta Política será revisada anualmente ou sempre que houver alteração normativa relevante, por determinação da Diretoria ou por necessidade identificada pela área de Compliance. Todas as revisões serão submetidas ao Comitê de PLD e aprovadas pela Diretoria.

17.2 Esta Política será divulgada a todos os colaboradores, parceiros e terceiros, sendo disponibilizada no site institucional da PayPay Hub e na intranet corporativa.

17.3 Os registros desta Política e de suas versões anteriores serão mantidos por no mínimo 5 (cinco) anos após a substituição por versão subsequente.

17.4 Dúvidas, suspeitas de descumprimento e violações devem ser reportadas ao endereço [email protected] ou pelo telefone (48) 3199-1606. A PayPay Hub garante sigilo e proíbe qualquer retaliação contra o comunicante de boa-fé.

17.5 A PayPay Hub não mantém relações comerciais ou operacionais com Bancos de Fachada (Shell Banks) nem com instituições situadas em jurisdições que não aplicam os padrões do GAFI de prevenção a LD/FT/FTP.