1. Controlador e contato
O controlador dos dados pessoais tratados no aplicativo é Velox Group.
Para exercer direitos ou tirar dúvidas sobre privacidade, escreva para support@veloxgroup.app. Respondemos no prazo da Lei Geral de Proteção de Dados (Lei nº 13.709/2018, "LGPD").
2. O que nunca sai do seu aparelho
Os dados abaixo ficam guardados apenas no armazenamento seguro do seu aparelho, protegidos pelo sistema operacional, e não são transmitidos a nós nem a terceiros em nenhuma hipótese:
- a frase de recuperação;
- as chaves privadas derivadas dela;
- o seu PIN;
- os dados biométricos, que permanecem sob controle exclusivo do sistema operacional — o aplicativo apenas recebe a resposta de sucesso ou falha.
O aplicativo bloqueia a captura de tela e a exibição em gravações nas telas sensíveis: onde a frase de recuperação é mostrada, onde ela é digitada na importação, e na confirmação de envio.
Essa proteção depende do sistema operacional do aparelho. Na versão para navegador ela não existe, e o aplicativo avisa disso na própria tela antes de mostrar a frase.
3. Não existe conta
A VeloxWallet não pede cadastro. Não coletamos nome, e‑mail, telefone, CPF, documento nem qualquer dado de identificação pessoal para o uso da carteira.
Para que o aplicativo possa gravar as suas preferências e o espelho do seu saldo, é criado um identificador anônimo pelo Firebase Authentication, sem qualquer vínculo com a sua identidade. Esse identificador é do aparelho, não da pessoa.
4. O que é enviado, e para quê
Os dados a seguir são gravados em nossa base (Google Firestore), associados ao identificador anônimo:
- Endereços públicos de recebimento, derivados da sua carteira. Servem para consultar saldo e histórico sem precisar da sua chave privada. São públicos por natureza: qualquer pessoa que os conheça pode consultá-los na blockchain.
- Preferências do aplicativo: moeda de exibição, rede (principal ou de testes), redes e ativos ativos, se os saldos estão ocultos, tempo de bloqueio automático e se a biometria está ligada.
- Um retrato do último saldo consultado, para que a carteira abra mostrando valores enquanto a rede responde.
- Um cache do histórico de transações — identificador da transação, rede, moeda, sentido, valor, taxa, endereço da outra parte, bloco, data e situação —, que também está publicado na blockchain.
- Os endereços salvos: o nome, a rede, o endereço e a nota de cada contato que você salvar em Endereços, para que continuem disponíveis e para conferir o destino dos envios.
- Registro do aparelho: um identificador gerado pelo aplicativo, sistema operacional, versão do aplicativo, se há biometria disponível e sinais de integridade (aparelho com root ou jailbreak, modo desenvolvedor ligado, emulador). Servem para alertar sobre ambientes inseguros.
- Eventos de auditoria de segurança, como desbloqueio, falha de biometria, envio e troca efetuados, com data, aparelho e versão. Não incluem dados sensíveis.
- Se você autorizar notificações, o token de notificação do aparelho, usado só para avisar sobre movimentações da sua carteira.
O aplicativo verifica, antes de cada gravação, que nenhum campo sensível está sendo enviado. Frase de recuperação, chaves, PIN e material criptográfico são bloqueados por essa verificação.
5. Bases legais
Nos termos do art. 7º da LGPD, tratamos esses dados com fundamento em:
- execução de contrato (inciso V), para entregar as funções que você pediu ao instalar a carteira — mostrar saldo, histórico e permitir envios e trocas;
- legítimo interesse (inciso IX), para segurança do aplicativo, prevenção a fraude e diagnóstico de falhas, sempre com o mínimo de dados necessário;
- consentimento (inciso I), para o envio de notificações, que você pode recusar ou revogar nas configurações do aparelho.
6. Com quem os dados são compartilhados
Não vendemos, alugamos nem cedemos dados pessoais. O compartilhamento se limita ao necessário para o aplicativo funcionar:
- Google (Firebase): autenticação anônima, banco de dados, funções de servidor e notificações, na condição de operador.
- Provedores de infraestrutura de blockchain, consultados por meio do nosso servidor para obter saldo, histórico e transmitir transações. Recebem endereços públicos, nunca chaves.
- A rede TON (Toncenter), consultada diretamente pelo aplicativo, sem passar pelo nosso servidor. Recebe endereços públicos, nunca chaves.
- Serviços públicos de cada rede, consultados diretamente pelo aplicativo só quando o nosso servidor não responde, para mostrar saldo e histórico: TronGrid (TRON), Koios (Cardano), BlockCypher e Atomic Wallet (Dogecoin), os nós públicos da Avalanche e do Arbitrum, e o Routescan (Avalanche). Recebem o endereço público consultado, nunca chaves nem o identificador do aparelho.
- Os serviços de cotação, para converter valores na moeda escolhida: a Binance; a OKX, só para as moedas cuja negociação a Binance suspendeu; e o Banco Central Europeu, cujo câmbio de referência converte os valores em GBP. Recebem só as moedas a cotar, nunca endereços nem dados da carteira.
- Os protocolos que cotam e montam as trocas — KyberSwap, Jupiter, Omniston, Minswap, SunSwap, THORChain e Maya Protocol —, consultados por meio do nosso servidor quando você pede uma troca. Recebem o endereço público da carteira, as moedas e o valor a trocar — nunca chaves nem o identificador do aparelho.
- A THORChain e a Maya Protocol, consultadas também diretamente pelo aplicativo em uma troca entre redes, para conferir o endereço de depósito e o contrato da troca antes de assinar; e, em uma troca que sai da Cardano, o explorador Koios, para confirmar que esse endereço tem histórico de cofre. Nessas consultas o aplicativo não envia nenhum dado da carteira.
Antes de um envio, o endereço de destino é consultado na nossa lista de endereços denunciados como golpe. A consulta não é gravada.
Quando você toca no link de um comprovante, o aplicativo abre um explorador de blockchain externo no seu navegador. A partir daí, valem as políticas desse site.
Podemos ainda compartilhar dados para cumprir ordem judicial ou obrigação legal. Registre-se que, sendo a carteira não custodial, não temos como entregar chaves ou fundos: eles não estão conosco.
7. O que não fazemos
- Não há anúncios no aplicativo.
- Não usamos ferramentas de análise de comportamento, perfilamento ou publicidade.
- Não há rastreamento entre aplicativos ou sites.
- Não acessamos a localização, os contatos ou o calendário do aparelho, as fotos nem o microfone.
- A câmera é usada apenas para ler códigos QR de endereços, com processamento no próprio aparelho. Nenhuma imagem é gravada ou enviada.
8. Dados na blockchain
Transações registradas em blockchain são públicas, permanentes e não estão sob nosso controle. Não é possível apagá-las, corrigi-las ou ocultá-las — nem por nós, nem por você, nem por ordem judicial.
Isso significa que os direitos de exclusão e correção previstos na LGPD se aplicam aos registros que estão em nossa base, e não ao que já foi publicado nas redes. É uma característica da tecnologia, não uma escolha nossa.
9. Por quanto tempo guardamos
- Perfil, preferências e endereços: enquanto a carteira estiver em uso, ou até você pedir a exclusão.
- Cache de histórico e retrato de saldo: substituídos a cada consulta; são cópia de dado público.
- Endereços salvos: até você apagar cada contato, ou até pedir a exclusão.
- Eventos de auditoria e registro de aparelho: mantidos por período limitado, por segurança e prevenção a fraude.
- Dados no seu aparelho: apagados quando você remove a carteira pelo aplicativo, desinstala o aplicativo, ou erra o PIN dez vezes.
10. Seus direitos
A LGPD assegura a você, entre outros, os direitos de confirmar a existência de tratamento, acessar os dados, corrigir dados incompletos ou desatualizados, solicitar anonimização, bloqueio ou eliminação de dados desnecessários, pedir portabilidade, obter informação sobre compartilhamento e revogar consentimento.
Para exercer qualquer deles, escreva para support@veloxgroup.app informando o identificador do aparelho, disponível em Sobre. Como não temos o seu nome, esse identificador é o que nos permite localizar os registros.
Você também pode apagar tudo sem falar conosco: remover a carteira pelo aplicativo apaga os dados do aparelho, e a desinstalação encerra o envio de qualquer informação.
11. Segurança
A frase de recuperação é criptografada no aparelho com chave derivada do seu PIN, e guardada no armazenamento seguro do sistema. O acesso exige PIN de seis dígitos, com bloqueio progressivo após tentativas erradas e apagamento após dez falhas. A comunicação com nossos servidores usa canal criptografado.
Nenhum sistema é infalível. A segurança da sua carteira depende também de você: mantenha o aparelho atualizado, não use aparelhos com root ou jailbreak, e guarde a frase de recuperação fora do aparelho.
12. Transferência internacional
Os serviços de nuvem, os provedores de blockchain, os serviços de cotação e os protocolos de troca que usamos operam em servidores fora do Brasil. Nesses casos, a transferência internacional ocorre nos termos do art. 33 da LGPD, para execução do contrato e mediante garantias contratuais dos fornecedores.
13. Crianças e adolescentes
O aplicativo não se destina a menores de 18 anos e não coletamos intencionalmente dados dessa faixa etária.
14. Alterações desta política
Esta política pode ser atualizada quando o aplicativo mudar ou a legislação exigir. A data da última atualização consta no topo, e mudanças relevantes serão comunicadas no aplicativo.