POLÍTICA DE PREVENÇÃO À LAVAGEM DE DINHEIRO E COMBATE AO FINANCIAMENTO DO TERRORISMO

03/06/2021

1. OBJETIVO

Estabelecer padrões de conduta e controles quanto à prevenção e combate à lavagem de dinheiro e ao financiamento do terrorismo, em linha com a legislação aplicável e as melhores práticas de mercado.

2. APLICAÇÃO E VIGÊNCIA

Aplica-se a todos os Colaboradores e Terceiros associados à Vixi Exchange, a partir de 03/06/2021. A presente Política será renovada anualmente.

3. DEFINIÇÕES

• Circular BCB 3.978: a Circular nº 3.978, de 23 de janeiro de 2020, do Banco Central do Brasil;

• Colaborador(es): todos os funcionários e empregados da Vixi Exchange, bem como todos que possuam cargo, função, posição, ou relação societária, empregatícia, comercial, profissional, contratual ou de confiança com a Vixi Exchange, assim como os estagiários e trainees;

• Diretoria: trata-se de grupo formado pelos membros da diretoria da Vixi Exchange. A Diretoria tem por função acompanhar os projetos da Companhia e seus respectivos resultados, bem como deliberar e direcionar os referidos projetos com base no melhor interesse da Companhia;

• Parceiro: pessoas físicas ou jurídicas que mantêm negócios com a Vixi Exchange;

• PLD/CFT: prevenção à lavagem de dinheiro e combate ao financiamento do terrorismo;

• Política: a presente Política de Prevenção à Lavagem de Dinheiro e Combate ao Financiamento do Terrorismo;

• Terceiro(s): fornecedores e prestadores de bens e serviços, representantes, agentes intermediários, procuradores, consultores técnicos, despachantes, colaboradores externos e/ou quaisquer outros terceiros que atuem em nome, benefício ou interesse da Vixi Exchange.

4. CONCEITOS PRELIMINARES

4.1. LAVAGEM DE DINHEIRO (LD)

4.1.1. A Diretoria da Vixi Exchange está altamente comprometida com o programa de Compliance e demonstra seu comprometimento com o combate à lavagem de dinheiro e ao financiamento do terrorismo incorporando o assunto em seus discursos, assim como tornando o tema “compliance” pauta de suas reuniões e direcionador para tomadas de decisões.

4.1.2. A presente Política visa a coibir quaisquer práticas de lavagem de dinheiro e de financiamento do terrorismo, em qualquer das etapas abaixo descritas:

• Colocação: a etapa em que o criminoso introduz o dinheiro obtido ilicitamente no sistema econômico mediante depósitos, compra de instrumentos negociáveis ou bens. Trata-se da remoção do dinheiro do local em que foi ilegalmente adquirido e sua inclusão, por exemplo, no mercado financeiro;

• Ocultação: o momento em que o criminoso realiza transações suspeitas caracterizadoras do crime de lavagem. Nesta fase, transações complexas se configuram para desassociar a fonte ilegal do dinheiro, dificultando o rastreamento da origem pelas autoridades. O objetivo é “quebrar” a cadeia de evidências ante o risco de investigações sobre a origem dos recursos;

• Integração: os ativos são incorporados formalmente ao sistema econômico e financeiro. A partir deste momento, o dinheiro recebe aparência lícita.

4.1.3. [Corretoras de criptoativos], como a Vixi Exchange, podem ser utilizadas inadvertidamente como intermediárias em algum processo de ocultação de recursos procedentes de atividades criminosas, sobretudo na segunda fase do processo de lavagem de dinheiro, na qual o objetivo é “quebrar” a cadeia de evidências sobre a origem do dinheiro (rastreabilidade).

4.2. FINANCIAMENTO AO TERRORISMO (FT)

4.2.1. Financiamento do terrorismo é o apoio financeiro, por qualquer meio, ao terrorismo ou àqueles que o incentivam, planejam ou cometem. Tem como objetivo fornecer fundos ou capital para atividades terroristas.

4.2.2. Essa arrecadação de fundos ou capital pode acontecer de diversas formas, tanto a partir de fontes legais (tais como contribuições associativas, doações ou lucros de atividades comerciais) ou a partir de fontes criminosas, como o tráfico de drogas, o contrabando de armas, a prostituição, bens e serviços tomados indevidamente, crime organizado, fraude, sequestro, extorsão etc.

4.2.3. A luta contra o financiamento do terrorismo está intimamente ligada ao combate à lavagem de dinheiro, já que as técnicas utilizadas para lavar o dinheiro são essencialmente as mesmas utilizadas para ocultar a origem e o destino do financiamento do terrorismo, para que, assim, as fontes continuem a enviar montantes sem a devida identificação.

5. RESPONSABILIDADES

5.1. É de reponsabilidade da Diretoria Executiva promover e disseminar a Política para a estrutura organizacional, clientes, Parceiros, sócios e prestadores de serviços da Vixi Exchange, assim como as boas práticas para monitoramento e identificação preventiva de eventuais ilícitos.

5.2. A Diretoria Executiva deverá adotar mecanismos de comunicação, informação e conscientização da importância da PLD/CFT dentro da organização, inclusive provendo a estrutura organizacional e todas as ferramentas tecnológicas para as diligências que decorrem desta Política.

5.3. Caberá à Diretoria Executiva instituir o Comitê de Compliance, composto por profissionais das áreas operacionais, legal e Compliance.

5.4. O Comitê de Compliance é responsável por monitorar as atividades destacadas na presente Política e nos procedimentos relacionados, assim como executar as diligências necessárias para monitoramento e identificação de riscos relacionados à PLD/CFT.

5.5. A área de Compliance é responsável pelo monitoramento das atividades operacionais e financeiras da Vixi Exchange. Para eventuais desvios e constatações, a área de Compliance deverá comunicar oportunamente o Comitê de Compliance, que dará as devidas tratativas.

5.6. Constatado desvios e/ou tentativas de práticas de lavagem de dinheiro e de estruturas de financiamento do terrorismo, será de responsabilidade da Diretoria Executiva, com o apoio da área de Compliance, comunicar, imediatamente, as autoridades competentes.

5.7. Todos os Colaboradores da Vixi Exchange são responsáveis por monitorar suas atividades de risco por meio dos instrumentos mitigatórios. Em casos de constatação de desvio e/ou tentativa de ações de lavagem de dinheiro e formação de estruturas de terrorismo, o Colaborador deverá comunicar imediatamente sua liderança e área de Compliance, que iniciará suas diligências.

6. CULTURA ORGANIZACIONAL

6.1. A Diretoria da Vixi Exchange está altamente comprometida com seu programa de compliance. A Diretoria demonstra seu comprometimento com PLD/CFT incorporando o assunto em seus discursos, bem como tornando o tema “compliance” pauta de suas reuniões.

6.2. Treinamentos de compliance que abordem temas como PLD/CFT, ética, prevenção à corrupção, prevenção à fraude, segurança da informação, dentre outros, serão ministrados, no mínimo, anualmente aos Colaboradores. Aos Terceiros, os treinamentos serão ministrados conforme demanda.

6.3. Os treinamentos acima mencionados servem para a promoção de cultura organizacional ética e de PLD/CFT da Vixi Exchange.

6.4. Todas as ações para engajamento do time Vixi Exchange são respaldadas pelo cumprimento do Código de Ética, a qual é submetido para conhecimento de todos os Colaboradores, Terceiros, líderes e Diretoria Executiva.

7. DIRETRIZES E CONTROLES-CHAVE

7.1. Com o objetivo de garantir que a Vixi Exchange não seja utilizada para práticas de lavagem de dinheiro e de financiamento do terrorismo, os Colaboradores deverão aplicar todos os 7 esforços possíveis para determinar a verdadeira identidade de todos os clientes/parceiros que solicitam os produtos e/ou serviços da Vixi Exchange.

7.2. Estão terminantemente proibidas as transações comerciais com terceiros que deixem de apresentar comprovação de identidade ou qualquer outro documento e/ou informações relevantes requeridas pela empresa para seu cadastramento.

7.3. A Vixi Exchange conduz seus negócios em conformidade com os mais elevados padrões éticos, observando todas as leis e regulamentos aplicáveis às suas atividades e as melhores práticas de mercado, especialmente no que tange à PLD/CFT. Para tanto, os seguintes aspectos sempre são observados e executados:

• Matriz de responsabilidades dos integrantes de cada nível hierárquico;

• Avaliação interna dos riscos de ocorrência da prática dos crimes supracitados no que tange a clientes, Colaboradores e Terceiros;

• Definição dos critérios e atividades para seleção, treinamento e avaliação periódica dos Colaboradores, em linha com as diretrizes estabelecidas na presente Política;

• Avaliação interna dos riscos de ocorrência da prática dos crimes supracitados no que tange os próprios produtos e serviços oferecidos pela Vixi Exchange;

• Práticas para análise das operações e identificação de operações suspeitas;

• Confirmação de informações cadastrais e identificação de beneficiários finais;

• Procedimentos para a identificação de Pessoa Exposta Politicamente – PEP, bem como a diferenciação em sua análise, em conformidade com o artigo 19 da Circular BCB 3.978, a título de melhores práticas;

• Instruções para o início de relacionamento com instituições financeiras, representantes ou correspondentes no exterior, especialmente em países, territórios e dependências que não adotam procedimentos de registro e controle similares aos definidos nesta Política;

• Instruções de comunicação aos órgãos competentes quanto às informações requeridas nas regulamentações vigentes, em especial quanto a suspeitas relacionadas à lavagem de dinheiro e ao financiamento de atividades terroristas; e

• Pontos de atenção no cadastramento dos clientes e parceiros de negócios, detalhado de forma completa no ato do cadastro e aprovação de propostas.

7.4. Todos os procedimentos de PLD/CFT serão tratados de forma mais minuciosa em documento apartado formalizado.

8. PROCEDIMENTOS PARA CONHECER COLABORADORES (KYE)

8.1. Os controles de prevenção funcionam adequadamente apenas se todos os Colaboradores estiverem conscientes de sua importância e de como devem ser operacionalizados. Para tanto, é fundamental que todos conheçam as normas externas, normas internas e controles em operação relativos à PLD/CFT.

8.2. Os procedimentos “conheça-seu-funcionário” (Know Your Employee – KYE) são rotinas de trabalho, incluindo as respectivas ferramentas necessárias para sua execução, que visam propiciar à instituição um adequado conhecimento sobre seus Colaboradores, principalmente no que tange aos seguintes aspectos:

• Foco na identificação de fraudes e conivência com a prática de crimes;

• Alteração inusitada nos padrões de vida e comportamento;

• Atenção especial com Colaboradores envolvidos em processos mais vulneráveis; e

• Modificação inusitada do resultado operacional do Colaborador.

8.3. Para toda e qualquer contratação deverá ser seguido procedimento de análise e coleta de documentação pela área de RH. Para áreas/processos de maior vulnerabilidade, deverão ser efetuadas análises mais detalhadas do profissional, nos termos do Procedimento de Conheça seu Funcionário. As análises, bem como seus resultados, são de responsabilidade da área de Compliance e deverão ser mantidas sob confidencialidade.

9. PROCEDIMENTOS PARA CONHECER PRODUTOS E SERVIÇOS (KYPS)

9.1. Todos os produtos e serviços ofertados pela Vixi Exchange serão analisados segundo seu risco de utilização para lavagem de dinheiro e financiamento do terrorismo.

9.2. O risco do produto ou serviço será analisado conjuntamente com o risco do cliente e/ou parceiro que utilizá-lo.

9.3. O Procedimento de KYPS compreenderá a avaliação e a análise prévia de novos e produtos e serviços, bem como a utilização de novas tecnologias, tendo em vista o risco de lavagem de dinheiro e de financiamento do terrorismo. No âmbito dessa análise, a área de Compliance avaliará se a presente Política está adequada e suficiente para a oferta do novo produto ou serviço e/ou utilização da nova tecnologia pretendida.

10. PROCEDIMENTOS PARA CONHECER CLIENTES (KYC) E PARCEIROS DE NEGÓCIOS (KYP)

10.1. A Vixi Exchange estabelece como seus principais procedimentos de PLD/CFT o Procedimento de Know Your Customer – KYC (conheça seu cliente) e o Know Your Partner – KYP (conheça seu parceiro de negócios).

10.2. Por meio dos procedimentos específicos, a Vixi Exchange busca não só conhecer a verdadeira identidade de seus clientes e prospects, mas também traçar o perfil de risco de cada um, estabelecendo relacionamento mais próximo, de forma a entender as suas reais expectativas e necessidades para atendimento de demandas.

10.3. Este conceito de relacionamento permite identificar os reais propósitos dos clientes/parceiros para prevenir a atuação daqueles que procuram a empresa com objetivos inidôneos.

10.4. Todos os Colaboradores devem conhecer os principais conceitos do mercado e indicações dos organismos reguladores e autorreguladores relacionados à identificação, prevenção e combate à lavagem de dinheiro e ao financiamento do terrorismo. Abaixo recomendações de extrema relevância:

• Identificar o cliente/parceiro via documentos, dados e informações de origem fidedigna e independente;

• Identificar o beneficiário efetivo e tomar medidas para verificar a sua real identidade;

• Manter vigilância contínua sobre a relação de negócios e examinar atentamente as operações realizadas no decurso dessa relação, verificando se são condizentes com o conhecimento que a instituição possui do cliente/parceiro, seus negócios, perfil de risco e origem de fundos, caso aplicável;

• Examinar com particular atenção todas as operações complexas, com montantes significativos e todos os tipos não habituais de operações sem causa econômica ou lícita aparente; e

• Comunicar à área de Compliance todo e qualquer indício de informações falsas, operações divergentes à situação financeira, operações divergentes do perfil ou qualquer situação atípica que gere suspeita de irregularidade.

11. PESSOAS EXPOSTAS POLITICAMENTE – PEP

11.1. Consideram-se PEPs, no Brasil:

• Detentores de mandatos eletivos dos Poderes Executivo e Legislativo da União;

• Ocupantes de cargo, no Poder Executivo da União, de: (a) Ministro de Estado ou equiparado; (b) Natureza Especial ou equivalente; (c) presidente, vice-presidente e diretor, ou equivalentes, de entidades da administração pública indireta; e (d) Grupo Direção e Assessoramento Superiores (DAS), nível 6, ou equivalente;

• Membros do Conselho Nacional de Justiça, do Supremo Tribunal Federal, dos Tribunais Superiores, dos Tribunais Regionais Federais, dos Tribunais Regionais do Trabalho, dos Tribunais Regionais Eleitorais, do Conselho Superior da Justiça do Trabalho e do Conselho da Justiça Federal;

• Membros do Conselho Nacional do Ministério Público, o Procurador-Geral da República, o Vice-Procurador-Geral da República, o Procurador-Geral do Trabalho, o Procurador-Geral da Justiça Militar, os Subprocuradores-Gerais da República e os Procuradores-Gerais de Justiça dos Estados e do Distrito Federal;

• Membros do Tribunal de Contas da União, o Procurador-Geral e os Subprocuradores-Gerais do Ministério Público junto ao Tribunal de Contas da União;

• Presidentes e os tesoureiros nacionais, ou equivalentes, de partidos políticos;

• Governadores e Secretários de Estado e do Distrito Federal, os Deputados Estaduais e Distritais, os presidentes, ou equivalentes, de entidades da administração pública indireta estadual e distrital e os presidentes de Tribunais de Justiça, Tribunais Militares, Tribunais de Contas ou equivalentes dos Estados e do Distrito Federal; e

• Prefeitos, os Vereadores, os Secretários Municipais, os presidentes, ou equivalentes, de entidades da administração pública indireta municipal e os Presidentes de Tribunais de Contas ou equivalentes dos Municípios.

11.2. Consideram-se também PEPs, no exterior:

• Chefes de estado ou de governo;

• Políticos de escalões superiores;

• Ocupantes de cargos governamentais de escalões superiores;

• Oficiais-generais e membros de escalões superiores do Poder Judiciário;

• Executivos de escalões superiores de empresas públicas; e

• Dirigentes de partidos políticos.

11.3. São também consideradas PEPs os dirigentes de escalões superiores de entidades de direito internacional público ou privado.

11.4. A condição de PEP deve ser aplicada pelos 5 (cinco) anos seguintes à data em que a pessoa deixou de se enquadrar nos cargos supracitados.

11.5. Considera-se familiar de PEP: os parentes, na linha reta ou colateral, até o segundo grau, o cônjuge, o companheiro, a companheira, o enteado e a enteada.

11.6. Considera-se estreito colaborador de PEP: (a) a pessoa natural conhecida por ter qualquer tipo de estreita relação com PEP, inclusive por (i) ter participação conjunta em pessoa jurídica de direito privado; (ii) figurar como mandatária, ainda que por instrumento particular da pessoa mencionada no item (i); (iii) ter participação conjunta em arranjos sem personalidade jurídica; e (b) pessoa natural que tem o controle de pessoas jurídicas ou de arranjos sem personalidade jurídica, conhecidos por terem sido criados para o benefício de PEP.

11.7. As operações ou propostas de operações que possuam PEP, seu representante, familiar ou estreito colaborador como parte envolvida serão sempre consideradas como merecedoras de especial atenção, nos termos da presente Política.

11.8. Toda documentação cadastral de clientes enquadrados como PEP, familiar ou estreito colaborador de PEP deve ser encaminhada à área de Compliance, sendo que, nesses casos, a realização do Third-Party Due Diligence (TDD), detalhada no item 13 desta Política, é obrigatória.

11.9. Ao efetuar operações para PEPs, familiares ou estreitos colaboradores de PEPs, ou em seus nomes, os Colaboradores deverão estar atentos a qualquer indício, mesmo que potencial, de lavagem de dinheiro ou de financiamento de atividades terroristas, conforme exemplos abaixo:

• Solicitação de associar alguma forma de sigilo com uma transação, como, por exemplo, registrar a transação em nome de outra pessoa ou de uma empresa cujo favorecido não tenha sua identidade revelada;

• Direcionamento de transações por meio de várias jurisdições e/ou instituições financeiras, sem propósito evidente, exceto o de ocultar a natureza, fonte, detenção ou controle dos fundos;

• Rápido aumento ou redução dos recursos ou valor dos ativos na conta de uma PEP, familiar ou estreito colaborador de PEP, que não seja atribuível a flutuações no valor de mercado dos instrumentos de investimento detidos na conta;

• Uso frequente ou excessivo de transferências de fundos ou transferências eletrônicas para a conta de uma PEP, familiar ou estreito colaborador de PEP ou originando-se dela;

• Depósitos ou retiradas de alto valor que não sejam condizentes e proporcionais ao tipo de conta e patrimônio legítimo ou atividades do cliente;

• Existência de um modelo segundo o qual, depois que um depósito ou transferência eletrônica é recebido pela conta, os fundos são rapidamente transferidos no mesmo valor para outra instituição financeira, especialmente se a transferência for efetuada para uma conta em instituição financeira offshore ou em "jurisdição sigilosa"; e

• Consulta pela PEP a respeito de exceções aos requisitos de manutenção de registros ou apresentação de relatório ou outras normas que exigem a comunicação de transações suspeitas.

12. PESSOAS DE MÍDIA

12.1. São consideradas “Pessoas de Mídia” aquelas que estejam em voga na mídia, como artistas, esportistas, jornalistas, incluindo membros de suas ‘’famílias imediatas’’ (pais, irmãos, cônjuge, filhos e parentes por afinidade) e ‘’associados próximos’’ (pessoa ampla e publicamente conhecida por manter relacionamento extraordinariamente próximo com a Pessoa de Mídia, incluindo uma pessoa que está em condições de realizar transações financeiras, em âmbito nacional e internacional, em nome desta última) e sociedades, empresas, ou outras pessoas jurídicas que tenham sido formadas por uma Pessoa de Mídia ou em seu benefício.

12.2. Quando um Colaborador identificar a existência real ou potencial de negócios com Pessoa de Mídia, deve comunicar o fato imediatamente à área de Compliance para análise. No caso de comprovação, devem ser adotados os mesmos procedimentos para PEPs, conforme disposto acima, com exceção da autodeclaração.

13. THIRD-PARTY DUE DILIGENCE

13.1. O Third-Party Due Diligence é uma pesquisa mais detalhada de diversas informações relacionadas aos clientes e parceiros que demandem atenção diferenciada por nível de risco, volumes de operações, segmento de atuação, endereço residencial ou comercial, rede de relacionamentos, características de operações, comunicação por Colaboradores, órgãos reguladores ou pessoal externo, suspeitas de transações irregulares, informações na mídia ou qualquer outro motivo que justifique tal pesquisa.

13.2. Trata-se de um procedimento específico, com pesquisas criteriosas, checagem “in-loco” de endereços, inclusive sobre o país de origem e se consta em alguma lista específica de entidades na prevenção e combate à lavagem de dinheiro e ao financiamento de terrorismo (ex.: COAF, GAFI, ONU, Transparência Internacional, FBI, INTERPOL e órgãos policiais nacionais).

13.3. Toda e qualquer comunicação aos órgãos reguladores competentes deve ser efetuada exclusivamente pela área de Compliance e precedida do Third-Party Due Diligence do envolvido.

14. TRATAMENTO DE INDÍCIOS DE LD E FT

14.1. A área de Compliance é responsável pelas rotinas de monitoramento para identificação de indícios de lavagem de dinheiro e financiamento ao terrorismo. As rotinas visam identificar operações com reincidência de contrapartes, transferências injustificadas, operações com incompatibilidade patrimonial, entre outras.

14.2. Para o gerenciamento das ocorrências e tratamento dos indícios de lavagem de dinheiro e controle de operações com vistas a coibir práticas abusivas, a Vixi Exchange utiliza serviços de pesquisas e cruzamento de dados manuais/informatizados, em linha com boas práticas e junto a fornecedores reconhecidos no mercado. Como parte da análise, também são realizadas buscas em ferramentas que verificam o envolvimento do cliente com notícias negativas, comportamento em mídias sociais ou listas de sanções públicas.

14.3. O sistema de prevenção à lavagem de dinheiro coleta diariamente informações cadastrais, operacionais e de movimentação financeira. Casos de incompatibilidade com as regras definidas no sistema gerarão alertas, identificando quais filtros foram acionados para análise.

14.4. Uma vez gerada a ocorrência, cabe à área de Compliance analisar o cliente/parceiro e suas operações para confirmar ou não os indícios de lavagem de dinheiro e financiamento ao terrorismo.

14.5. As análises consistem em verificação da documentação cadastral, evolução da situação financeira/patrimonial, resultado das operações (principalmente transações repetitivas), alto índice de operações entre as mesmas partes, incluindo aquelas com mesmo comitente, compatibilidade entre as operações, situação financeira, ocupação profissional e idade.

14.6. São providências que podem ser tomadas: exigência de atualização cadastral, pedido de esclarecimentos, arquivamento da ocorrência ou comunicado imediato aos órgãos competentes sobre a atipicidade identificada.

14.7. Nenhum parceiro ou cliente da Vixi Exchange deve manter negócio com qualquer pessoa, entidade, governo ou região apontados nas listas restritivas da OFAC, Conselho de Segurança da ONU ou Interpol, dentre outras.

14.8. Os Colaboradores da Vixi Exchange poderão, a qualquer tempo, entrar em contato através do canal compliance@vixiexchange.com.br para obter esclarecimentos relativos aos procedimentos e controles de PLD/CFT aplicáveis.

14.9. Todos os dados e informações coletados nos termos da presente Política serão mantidos pela Vixi Exchange pelo prazo de 5 (cinco) anos.

15. ANÁLISE E COMUNICAÇÃO DE OPERAÇÕES AUTOMÁTICAS E SUSPEITAS

15.1. As comunicações automáticas são aquelas que não passam por análise de juízo de valor pela Vixi Exchange e são comunicadas diretamente ao COAF. São elas:

• Operações de depósito ou aporte em espécie ou saque em espécie de valor igual ou superior a R.000,00 (cinquenta mil reais);

• Operações relativas a pagamentos, recebimentos e transferências de recursos, por meio de qualquer instrumento, contra pagamento em espécie, de valor igual ou superior a R.000,00 (cinquenta mil reais); e

• Solicitação de provisionamento de saques em espécie de valor igual ou superior a R.000,00 (cinquenta mil reais).

15.2. Operações e situações suspeitas referem-se a qualquer operação ou situação que apresente indícios de utilização da instituição para a prática dos crimes de lavagem de dinheiro e de financiamento do terrorismo. Consideram-se operações suspeitas:

• As operações realizadas e os produtos e serviços contratados que, considerando as partes envolvidas, os valores, as formas de realização, os instrumentos utilizados ou a falta de fundamento econômico ou legal, possam configurar a existência de indícios de lavagem de dinheiro ou de financiamento do terrorismo, inclusive:

• • As operações realizadas ou os serviços prestados que, por sua habitualidade, valor ou forma, configurem artifício que objetive burlar os procedimentos de identificação, qualificação, registro, monitoramento e seleção;

  • As operações de depósito ou aporte em espécie, saque em espécie, ou pedido de provisionamento para saque que apresentem indícios de ocultação ou dissimulação da natureza, da origem, da localização, da disposição, da movimentação ou da propriedade de bens, direitos e valores;

  • As operações realizadas e os produtos e serviços contratados que, considerando as partes e os valores envolvidos, apresentem incompatibilidade com a capacidade financeira do cliente, incluindo a renda, no caso de pessoa natural, ou o faturamento, no caso de pessoa jurídica, e o patrimônio;

  • As operações com PEPs de nacionalidade brasileira e com representantes, familiares ou estreitos colaboradores de PEPs;

  • As operações com PEPs estrangeiras;

  • Os clientes e as operações em relação aos quais não seja possível identificar o beneficiário final;

  • As operações oriundas ou destinadas a países ou territórios com deficiências estratégicas na implantação das recomendações do Grupo de Ação Financeira (Gafi);

• As situações em que não seja possível manter atualizadas as informações cadastrais de seus clientes; e

• As operações e situações que possam indicar suspeitas de financiamento do terrorismo.

15.3 Todas as operações que passam pela plataforma da Vixi Exchange são monitoradas. As operações suspeitas, definidas em procedimento próprio, geram análise especial. As operações suspeitas são analisadas e reportadas num dossiê que concluirá sobre a necessidade da comunicação de referida operação suspeita ao COAF.

15.4. O período para execução dos procedimentos de análise de operações suspeitas não excederá o prazo de 45 (quarenta e cinco) dias, contados a partir da data da seleção da operação ou situação.

16. PERFIL DE INVESTIMENTO E GRAU DE SUSCETIBILIDADE

16.1. Com o intuito de conhecer a verdadeira identidade, perfil e aspirações de seus clientes, a Vixi Exchange aplica categorização de risco que contempla informações de: Perfil de Investimento (conservador, moderado ou agressivo) e Suscetibilidade (alta ou baixa).

16.2. O Perfil de Investimento é obtido por meio de um questionário que o cliente responde de acordo com seu entendimento e realidade como investidor. O resultado desse estudo é a definição do Perfil de Investimento, que norteará, dentre outras ações, a oferta de produtos e a categorização de riscos, conforme segue:

• Conservador: Objetivo principal é a segurança, com a preservação do capital e baixa tolerância a riscos. O cliente conservador tem a segurança como ponto decisivo para as suas aplicações, aceitando até uma rentabilidade menor. Destina os seus recursos em títulos de Renda Fixa (Fundos de Investimentos e Tesouro Direto);

• Moderado: Objetivo principal é obter retorno acima dos padrões de renda fixa disponíveis no mercado com exposição minimizada dos riscos de renda variável. É o investidor que possui boa parte do patrimônio em renda fixa, mas também quer participar da rentabilidade da renda variável. A segurança tem papel importante, assim como um retorno acima da média do mercado e, normalmente, mantém posições em médio e longo prazos. Tende a participar de Fundos (Multimercados, de Ações e Imobiliários), Letras de Créditos (LCI e LCA), Clubes de Investimentos, Empréstimos de Ações (BTC) como doador, e mercado à vista de ações, inclusive com operações de day-trades; e

• Agressivo: Tem como objetivo correr maior risco visando máxima rentabilidade para os seus investimentos. Busca a boa rentabilidade ofertada pela renda variável, reservando parcela mínima do seu patrimônio para as aplicações mais seguras. O investidor agressivo procura estar sempre atualizado para aproveitar eventuais oportunidades de investimento e com perspectiva de retorno em curto prazo. Possui como característica operar em todos os mercados administrados por bolsas de valores e aplicar em produtos que apresentam exposição à variação cambial e inflação.

16.3. O Grau de Suscetibilidade de cada cliente é definido com base em suas informações cadastrais, ratificadas conforme análise. Para a categorização da suscetibilidade são verificados três tipos de informações: (i) Segmento de Atuação, (ii) Origem do Cliente e (iii) Característica Profissional.

16.4. Identificado cliente em qualquer condição definida como de maior suscetibilidade, a documentação cadastral deverá ser encaminhada à área de Compliance antes do início de suas operações com a Vixi Exchange. A metodologia definida quanto à suscetibilidade dos clientes estabelece os seguintes critérios:

• Segmento de Atuação: Instituições financeiras e factorings (inclusive pessoas físicas com cargos de maior relevância), casas de câmbio, corretoras e distribuidoras, empresas de turismo, jogos, igreja, entretenimento, partidos políticos, transporte aéreo e seguros;

• Origem do Cliente: Devem ser considerados o país de origem e o endereço residencial atual. São considerados de alta suscetibilidade: paraísos fiscais, países não cooperantes, países com histórico recente de guerras, guerrilhas ou narcotráfico; e

• Característica Profissional: PEPs, familiares e estreitos colaboradores de PEPs, outras personalidades políticas e personalidades da mídia.

16.4.1. Para os fins da presente cláusula, serão considerados “Paraísos Fiscais” os países com tributação favorecida ou que oponham sigilo relativo à composição societária de pessoas jurídicas (listagem RFB). Por sua vez, são “Países Não-Cooperantes” aqueles países que não atuam ou não cooperam no combate às práticas de lavagem de dinheiro e de financiamento do terrorismo por terem legislação permissiva, ou mesmo pela falta de instrumentos jurídicos para fiscalização e regulamentação dos setores econômicos vulneráveis à lavagem de dinheiro e ao financiamento de atividades terroristas (listagem COAF).

17. AVALIAÇÃO DE EFETIVIDADE

17.1. A efetividade da presente Política será avaliada anualmente pela área de compliance e será consubstanciada em relatório específico.

17.2. A Vixi Exchange elaborará plano de ação destinado a solucionar eventuais deficiências da presente Política e dos procedimentos de PLD/CFT por meio da avaliação de efetividade.

17.3. O acompanhamento da implementação do plano de ação será documentado por meio de relatório de acompanhamento, a ser elaborado pela área de compliance.

17.4. Os relatórios de efetividade, os planos de ação e os relatórios de acompanhamento serão encaminhados até 30 de junho de cada ano à Diretoria da Vixi Exchange.

17.8 Os sistemas de informação da Vixi Exchange serão submetidos a testes periódicos para verificação de sua adequação às diretrizes da presente Política.

18. APROVAÇÃO

A presente Política foi aprovada pela Diretoria da Vixi Exchange.

POLÍTICA DE SEGURANÇA DA INFORMAÇÃO E CIBERNÉTICA

03/06/2021

1. OBJETIVO

A presente Política de Segurança da Informação e Cibernética (“Política”) tem como objetivo criar uma referência interna para a implantação de um ambiente tecnológico e informacional seguro, facilitando o controle da informação e processos relacionados, inclusive no tocante a atividades de contratação de serviços de processamento e armazenamento de dados e de computação em nuvem, em linha com princípios de segurança da informação, com a regulamentação aplicável e com as melhores práticas de mercado.

As diretrizes da presente Política também visam proteger, de acordo com a LGPD, os dados pessoais tratados pela Vixi Exchange de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

2. APLICAÇÃO E VIGÊNCIA

Aplica-se aos Colaboradores e Terceiros da Vixi Exchange, a partir de 03/06/2021.

3. DEFINIÇÕES

• Colaborador(es): todos os funcionários e empregados da Vixi Exchange, bem como todos que possuam cargo, função, posição, ou relação societária, empregatícia, comercial, profissional, contratual ou de confiança com a Vixi Exchange, assim como os estagiários e trainees;

• Diretoria: trata-se de grupo formado pelos membros da diretoria da Vixi Exchange. A Diretoria tem por função acompanhar os projetos da Companhia e seus respectivos resultados, bem como deliberar e direcionar os referidos projetos com base no melhor interesse da Companhia;

• Lei de Sigilo Bancário: a Lei Complementar nº 105, de 10 de janeiro de 2001;

• LGPD: a Lei nº 13.709, de 14 de agosto de 2018, conhecida como a Lei Geral de Proteção de Dados;

• Política: a presente Política de Segurança da Informação e Cibernética;

• Terceiro(s): fornecedores e prestadores de bens e serviços, representantes, agentes intermediários, procuradores, consultores técnicos, despachantes, colaboradores externos e/ou quaisquer outros terceiros que atuem em nome, benefício ou interesse da Vixi Exchange.

4. CONSIDERAÇÕES

4.1. RESPONSABILIDADES

4.1.1. Os Diretores e a área de Segurança da Informação da Vixi Exchange são responsáveis por garantir que o todos os Colaboradores, em suas respectivas áreas de negócios, estejam cientes de suas obrigações relativas à segurança da informação.

4.1.2. A segurança da informação visa a geração de valor aos stakeholders, bem como o fortalecimento da governança corporativa e do ambiente de controles internos.

4.1.3. A estrutura de segurança da informação da Vixi Exchange contempla os modelos definidos internamente, com técnicas de acompanhamento de riscos voltados à segurança da informação e pessoal especializado subordinado hierarquicamente aos departamentos ligados aos componentes corporativos de risco.

4.2. SEGURANÇA DA INFORMAÇÃO

4.2.1. A informação é um dos mais valorizados patrimônios no ambiente de negócios. Além da posse de uma informação estruturada e de qualidade ser um de seus objetivos estratégicos, a informação é um ativo fornecido pelos nossos clientes e parceiros que deve ser tratado com o mais alto nível técnico, de sigilo e de confidencialidade, observando a legislação vigente.

4.2.2. São exemplos de informações confidenciais:

• Informações de clientes que devem ser protegidas por obrigatoriedade legal, incluindo dados cadastrais (número de inscrição no Cadastro Nacional de Pessoas Físicas do Ministério da Economia - CPF, RG, endereço etc.), dados transacionais, situação financeira e movimentação de recursos;

• Informações sobre produtos e serviços que revelem vantagens competitivas da Vixi Exchange frente ao mercado;

• Todo o material estratégico da Vixi Exchange (material impresso, armazenado em sistemas, em mensagens eletrônicas ou mesmo na forma de conhecimento de negócio da pessoa);

• Quaisquer informações da Vixi Exchange que não devam ser divulgadas ao meio externo antes da publicação pelas áreas competentes;

• Todos os tipos de senhas a sistemas, redes, estações e outras informações utilizadas na autenticação, lembrando que são dados pessoais e intransferíveis.

4.2.3. Um fluxo de informação de qualidade é capaz de decidir o sucesso de um empreendimento, de um projeto e de uma avaliação. Entretanto, esse poder, somado à crescente facilidade de acesso, faz desse "ativo" um alvo de constantes ameaças internas e externas.

4.2.4. Quando não gerenciados adequadamente, esses riscos e ameaças podem causar consideráveis danos à Vixi Exchange, parceiros e clientes, prejudicando seu crescimento e vantagem competitiva.

4.2.5. Todos os Colaboradores da Vixi Exchange devem zelar pelas informações sob sua responsabilidade, atentando-se para os seguintes aspectos principais:

• Integridade: garantia de que a informação seja mantida em seu estado original, visando protegê-la, na guarda ou transmissão, contra alterações indevidas, intencionais ou acidentais;

• Confidencialidade e Sigilo: garantia de que o acesso à informação seja obtido somente por pessoas autorizadas, nos termos da LGPD e da Lei de Sigilo Bancário; e

• Disponibilidade: garantia de que os usuários autorizados obtenham acesso à informação e aos ativos correspondentes sempre que necessário.

4.3. TRATAMENTO DAS INFORMAÇÕES

4.3.1. Categorizamos os tipos de informação a depender do seu uso, como:

• Informação Pública: pode ser acessada por Colaboradores, clientes, Terceiros e pelo público em geral.

• Informação Interna: somente pode ser acessada por Colaboradores. Possuem um grau de sensibilidade que pode comprometer a imagem da organização e/ou impacto negativo nos objetivos e resultados. O acesso não é restringido por controles internos.

• Informação Confidencial: pode ser acessada apenas por funcionários da organização que detenham autorização especial. A divulgação não autorizada pode causar impacto ao negócio, clientes, parceiros e/ou à reputação da Vixi Exchange. Acesso permitido apenas quando uma necessidade de trabalho tiver sido identificada e tal acesso for aprovado expressamente.

4.3.2. De forma geral, cabe a todos os Colaboradores e Terceiros associados à Vixi Exchange:

• Cumprir fielmente a presente Política;

• Proteger informações contra acessos indevidos, modificação, destruição ou divulgação não autorizados;

• Assegurar que os recursos tecnológicos, as informações e sistemas à sua disposição sejam utilizados apenas para as finalidades determinadas e aprovadas;

• Cumprir as leis e as normas que regulamentam a propriedade intelectual, bem como a LGPD e a Lei de Sigilo Bancário; e

• Não compartilhar informações confidenciais ou sigilosas de qualquer tipo.

4.4. INFORMAÇÕES NÃO ESTRUTURADAS – CONVERSAS EM LOCAIS PÚBLICOS

4.4.1. Os seguintes cuidados devem ser observados quanto ao tratamento de informações não estruturadas (voz e armazenadas fora de sistemas informatizados):

• Não se deve discutir ou comentar assuntos confidenciais da Vixi Exchange em locais públicos ou por meio de mensagens de texto particulares;

• A informação difundida oralmente também deve ser objeto de cautela, tanto no âmbito das dependências internas quanto externas;

• Sempre que os Colaboradores estiverem em locais públicos, faz-se necessária a adoção de práticas capazes de assegurar o sigilo das informações (ex.: não menção de nomes de clientes, parceiros e prospects);

• Outra cautela a ser tomada é a discrição e impessoalidade na referência a empresas e pessoas, bem como a não menção a questões sensíveis;

• De modo geral, objetivos, comentários, estratégias, orçamentos etc. devem ser discutidos em ambiente privado, tais como reuniões internas e/ou salas de chat privadas; e

• É vedada a obtenção de informações de forma ilícita (i.e., em descumprimento com as normas e regulamentações aplicáveis), com qualquer finalidade.

4.5. USO DOS RECURSOS DE TECNOLOGIA DA INFORMAÇÃO

4.5.1. O usuário autorizado é totalmente responsável pela correta posse e utilização de suas senhas e autorizações de acesso a sistemas, assim como pelas ações decorrentes da utilização.

4.5.2. O acesso e uso de todos os sistemas de informação, diretórios de rede, bancos de dados e demais recursos devem ser restritos a pessoas explicitamente autorizadas e de acordo com a necessidade para suas funções, observando-se a regra de “mínimo acesso necessário”.

4.5.3. Periodicamente, os acessos concedidos devem ser revisados pelo Gestor de Segurança da Informação da Vixi Exchange.

4.5.4. Todos os Colaboradores devem adotar as seguintes práticas básicas:

• Manter atualizados nos servidores e redes compartilhadas os produtos dos trabalhos desenvolvidos no curso das atividades;

• Não manter cópias de seus arquivos em computador local;

• Utilizar senhas complexas que contenham caracteres compostos de letras, números e símbolos, evitando o uso de nomes, sobrenomes, números de documentos, telefones, datas que possam ser relacionadas com o usuário, alterando tais senhas periodicamente;

• Utilizar criptografia sempre que enviar ou receber dados contendo informações confidenciais/estratégicas, observada a necessidade de autorização desse compartilhamento;

• No uso de internet, certificar a procedência de qualquer website e a utilização de conexões seguras (criptografadas) ao realizar transações;

• Verificar a integridade de websites cujos acessos sejam necessários ao exercício da atividade;

• Digitar no navegador o endereço desejado e não utilizar links desconhecidos como recurso para acessar um outro endereço de destino;

• Não abrir arquivos ou executar programas anexados a e-mails, sem antes verificá-los com um antivírus; e

• Não utilizar o formato executável em arquivos compactados.

4.5.5. São expressamente proibidas pela presente Política as seguintes atividades:

• Introduzir códigos nos sistemas de TI, utilizar, facilitar ou permitir entradas de terceiros por quaisquer meios;

• Revelar códigos de identificação, autenticação e autorização de uso pessoal (ex.: conta, senhas, chaves privadas etc.) ou permitir o uso por terceiros de recursos autorizados por intermédio desses códigos;

• Divulgar ou comercializar produtos, itens ou serviços a partir de qualquer recurso dos sistemas de TI;

• Tentar interferir sem autorização expressa em um serviço ou transação;

• Alterar registro de evento dos sistemas;

• Modificar protocolos de comunicação de dados;

• Obter acesso não autorizado, ou acessar indevidamente dados, sistemas ou redes, incluindo qualquer tentativa de investigar, examinar ou testar vulnerabilidades;

• Monitorar ou interceptar o tráfego de dados nos sistemas de TI;

• Violar medida de segurança ou autenticação, sem autorização de função competente;

• Fornecer informações a terceiros sobre usuários ou serviços disponibilizados nos sistemas de TI, exceto os de natureza pública ou mediante autorização expressa;

• Armazenar ou usar jogos em recursos pertencentes ao ambiente da Vixi Exchange; e

• Utilizar aplicativos não homologados e/ou com licença inativa ou não autorizada.

4.5.6. As solicitações de acesso devem seguir as seguintes premissas:

• As solicitações de novas identificações de usuários e alterações de privilégios devem ser feitas por escrito e aprovadas pela área de Segurança da Informação, sendo mapeadas as suas necessidades conforme o escopo de trabalho de cada Colaborador;

• Em caso de alterações, os usuários devem fundamentar a necessidade das mudanças em seus privilégios e a relação de tais alterações com as atividades exercidas;

• Privilégios devem ser imediatamente revogados quando da finalização de projetos específicos, caso o profissional atuante esteja trabalhando como Colaborador ou parceiro. O mesmo deverá ser observado no desligamento ou fim da relação contratual, sendo o Colaborador desligado ou o parceiro inteiramente responsável pelas atividades e atos perpetrados durante a sua permanência;

• Os privilégios para todos os usuários dos serviços da rede deverão ser revisitados a cada 12 (doze) meses pela área de Segurança da Informação ou em periodicidade menor, caso haja necessidade.

4.5.7. Os Colaboradores devem observar as seguintes diretrizes no que tange às senhas de acesso:

• As senhas de acesso são os controles de segurança para os sistemas do ambiente de TI da Vixi Exchange e são pessoais, sigilosas e intransferíveis;

• Em caso de suspeita de exposição indevida, o fato deve ser comunicado imediatamente à área de Segurança da Informação e todas as senhas devem ser alteradas;

• Os usuários devem possuir orientação sobre a manutenção sigilosa das suas senhas de acesso e as responsabilidades envolvidas com seu mau uso;

• Em caso de comprometimento comprovado da segurança do ambiente de TI por algum evento não previsto, todas as senhas de acesso deverão ser modificadas;

• Da mesma forma, todas as alterações recentes de usuários e privilégios do sistema devem ser revisadas para detectar eventuais modificações não autorizadas de dados; e

• Todos os usuários precisam ser identificados antes de estarem aptos a realizar qualquer atividade em ambiente de TI.

4.5.8. Quanto ao uso de equipamentos e recursos de comunicação:

• Equipamentos corporativos, assim como os softwares da Vixi Exchange, devem ser disponibilizados e homologados pela área de Segurança da Informação;

• Equipamentos particulares, como computadores ou qualquer dispositivo portátil que possa armazenar e/ou processar dados, não devem ser usados para armazenar ou processar informações relacionadas com o negócio, nem devem ser conectados às redes se não estiverem previamente autorizados;

• Os computadores com informações sensíveis e/ou classificadas deverão, obrigatoriamente, ser desligados ou bloqueados na ausência do Colaborador;

• Quando os equipamentos ou contas de Colaborador não estiverem em uso deverão ser imediatamente bloqueados ou desligados;

• É vedado o acesso não autorizado às caixas postais de terceiros e eventuais tentativas de acesso devem ser registradas em log;

• É vedado o envio de informações críticas para pessoas ou organizações não autorizadas, observando-se, quando aplicável, orientações para informações classificadas;

• É vedado o envio de material obsceno, ilegal ou não ético, propaganda, mensagem de entretenimento ou mensagens de qualquer natureza relacionadas com nacionalidade, raça, orientação sexual, religiosa, convicção política ou qualquer outro assunto que não tenha relação com o escopo de trabalho;

• Deve ser evitado o envio de mensagens simultâneas a todos os usuários da rede;

• Aplicativos de comunicação devem ser utilizados sempre baseados no bom senso e de acordo com os preceitos legais;

• Produtos resultantes do trabalho de usuários autorizados (coleta de dados e documentos, sistema, metodologia, resultados, dentre outros) são propriedade da Vixi Exchange. Em caso de extinção ou rescisão de contrato, esses usuários devem devolver todas as informações confidenciais geradas e manuseadas em decorrência da prestação dos serviços, ou emitir declaração de destruição;

• Todos os ativos de informação devem ser devidamente guardados, especialmente documentos em papel ou mídias removíveis. Documentos não devem ser abandonados após a sua impressão ou cópia; e

• Seguindo a melhor orientação legal, a Vixi Exchange reserva-se ao direito de monitorar equipamentos, correio eletrônico e ferramentas de comunicação corporativas sempre que necessário, independentemente de comunicação e/ou autorização prévia do Colaborador.

4.6. PROCESSAMENTO, ARMAZENAMENTO E COMPUTAÇÃO EM NUVEM

4.6.1. A Vixi Exchange deve manter em sua operação as premissas definidas por esta Política, assim como os controles para assegurar a confidencialidade, a integridade e disponibilidade dos dados e dos sistemas suporte em conformidade com a estrutura de negócios, perfil de risco e natureza das atividades da Vixi Exchange.

4.6.2. Aplicativos de comunicação devem ser utilizados sempre baseados no bom senso e de acordo com os preceitos legais.

4.6.3. Na contratação de Terceiros para atividades de processamento, armazenamento de dados e de computação em nuvem, a área de Segurança da Informação será responsável por conduzir um processo de Due Diligence do potencial parceiro contratado, a fim de averiguar (i) sua capacidade técnica e operacional, (ii) a segurança e integridade de seus sistemas, e (iii) a possibilidade de cumprimento integral das disposições da presente Política.

4.7. TRATAMENTO DE EVENTOS DE SEGURANÇA DA INFORMAÇÃO

4.7.1. A responsabilidade da comunicação de eventos de segurança da informação para as áreas competentes é atribuída a todos Colaboradores da Vixi Exchange.

4.7.2. Toda a comunicação de eventos que impactem negativamente as premissas da segurança de informação deverão ser comunicadas oportunamente à área Segurança da Informação.

4.7.3. Cabe à área de Segurança da Informação a coleta dos dados e evidências dos eventos que impactam negativamente a segurança da informação da Vixi Exchange.

4.7.4. Todas as evidências coletadas devem ser devidamente arquivadas e direcionadas à área de Compliance da Vixi Exchange por meio magnético e/ou em diretório com restrição de acessos.

4.7.5. A área de Segurança da Informação deve aplicar a análise com base na causa-raiz do evento, assim como documentar em relatório internos as características do evento.

4.7.6. Não será permitida a realização da análise por parte dos agentes envolvidos ou por quem identificou o evento.

4.7.7. Deverá ser destacado nos relatórios internos o plano de ação para mitigar os eventos identificados pela entidade, assim como as datas para a implementação das melhorias por parte das áreas envolvidas.

4.7.8. Cabe à área da Segurança da Informação realizar o monitoramento da implantação dos planos de ação e à área de Compliance certificar sua eficácia.

4.7.9. Todas as análises de eventos deverão ser suportadas por classificação de acordo com o impacto esperado, conforme a seguir:

• Alto (Impacto Grave): Evento que afeta sistemas relevantes ou informações críticas, com potencial para gerar impacto negativo sobre a receita ou clientes ou que comprometa a continuidade dos negócios da Vixi Exchange;

• Médio (Impacto Significativo): Evento que afeta sistemas ou informações não críticas, sem impacto negativo à receita ou clientes, decorrente de erros não intencionais ou fragilidade nos processos; e

• Baixo (Impacto Mínimo): Possível evento, sistemas não críticos, investigações de incidentes ou de Colaboradores, investigações de longo prazo envolvendo pesquisa extensa e/ou trabalho forense detalhado.

4.7.10. São classificados como eventos negativos ou adversos:

• Qualquer evento adverso confirmado ou sob suspeita, relacionado à segurança dos sistemas de computação ou das redes de computadores, bem como estruturas físicas e lógicas associadas, que comprometa a confidencialidade, a integridade e a disponibilidade do ambiente da organização;

• Indisponibilidade do ambiente tecnológico por ataques maliciosos;

• Incidentes de segurança ou situações de acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito;

• Tentativas internas ou externas de ganhar acesso não autorizado a sistemas, a dados ou até mesmo comprometer o ambiente de TI;

• Violação da política de segurança;

• Uso ou acesso não autorizado a um sistema;

• Modificações em um sistema, sem o conhecimento ou consentimento prévio do gestor responsável; e

• Compartilhamento de senhas.

4.8. VIOLAÇÕES À POLÍTICA

4.8.1. Violações de segurança devem ser informadas à área de Segurança da Informação.

4.8.2. Toda violação ou desvio será devidamente investigado para a determinação das medidas necessárias, visando a correção da falha ou reestruturação de processos.

4.8.3. Abaixo algumas violações que podem resultar em sanções administrativas, cíveis e criminais:

• Uso ilegal de software;

• Introdução de vírus ou programa malicioso (intencional ou não);

• Tentativas de acesso não autorizados a dados e sistemas;

• Compartilhamento de informações confidenciais/sensíveis do negócio; e

• Divulgação de informações de clientes, parceiros ou operações contratadas.

4.8.4. A não-conformidade com as diretrizes desta Política e a violação de normas derivadas sujeita os infratores às penas de responsabilidade civil e criminal nos termos previstos em lei, sem prejuízo da imediata rescisão do contrato de prestação de serviços do colaborador envolvido.

4.8.5. É de responsabilidade do usuário conhecer e cumprir a legislação, em especial a obrigação de sigilo prevista no artigo 5º, XII, da Constituição Federal, a Lei n. 12.737/2012 (tipificação criminal de delitos informáticos), as disposições do Marco Civil da Internet (Lei n. 12.965/2014), a LGPD e a Lei de Sigilo Bancário.

POLÍTICA DE COMPLIANCE

03/06/2021

1. OBJETIVO

Definir a estrutura e controles para gerenciamento de riscos de conformidade, papéis e atribuições relacionadas ao Compliance e áreas relacionadas, em aderência às normas internas e externas aplicáveis.

2. APLICAÇÃO E VIGÊNCIA

Aplica-se aos Colaboradores e Terceiros da Vixi Exchange, a partir de 03/06/2021.

3. DEFINIÇÕES

• Código de Ética e Conduta: trata-se do Código de Ética e Conduta, com valores, princípios e padrões de conduta que devem nortear as relações de todos os administradores, Colaboradores e Terceiros que atuem em nome e/ou benefício da Vixi Exchange;

• Colaborador(es): todos os funcionários e empregados da Vixi Exchange, bem como todos que possuam cargo, função, posição, ou relação societária, empregatícia, comercial, profissional, contratual ou de confiança com a Vixi Exchange, assim como os estagiários e trainees;

• Conformidade: cumprir, executar, satisfazer, realizar o que lhe foi imposto e fazer cumprir regulamentos internos e externos impostos às atividades da Vixi Exchange;

• Diretoria: trata-se de grupo formado pelos membros da diretoria da Vixi Exchange. A Diretoria tem por função acompanhar os projetos da Companhia e seus respectivos resultados, bem como deliberar e direcionar os referidos projetos com base no melhor interesse da companhia;

• Política: a presente Política de Compliance;

• Risco de Conformidade: corresponde à possibilidade de ocorrência de sanções, perdas financeiras ou danos de reputação/imagem da Vixi Exchange, em razão do descumprimento ou tratamento inadequado de normas externas (leis, regulamentos, recomendações e orientações de entidades reguladoras e autorreguladoras, nacionais ou estrangeiras) e/ou do Código de Ética e demais políticas internas que norteiam os negócios da Vixi Exchange; e

• Terceiro(s): fornecedores e prestadores de bens e serviços, representantes, agentes intermediários, procuradores, consultores técnicos, despachantes, colaboradores externos e/ou quaisquer outros terceiros que atuem em nome, benefício ou interesse da Vixi Exchange.

4. DISPOSIÇÕES GERAIS

4.1. As disposições desta Política aplicam-se aos Colaboradores, Terceiros e clientes da Vixi Exchange.

4.2. Compete aos Colaboradores o dever de avaliar e tratar os Riscos de Conformidade aos quais a Vixi Exchange possa estar exposta. As entidades subsidiárias da Vixi Exchange, controladas e coligadas, poderão editar normas adicionais à presente Política, destinadas a disciplinar o tema dentro de sua alçada de atuação.

4.3. O Risco de Conformidade deve ser evitado por meio do atendimento às leis e regulamentos internos e externos, sendo, acima de tudo, uma obrigação individual de cada Colaborador zelar pelo estrito cumprimento das normas aplicáveis.

4.4. A área de Compliance deve assegurar, em conjunto com as demais áreas, a adequação, o fortalecimento e o funcionamento do programa de controles internos, procurando mitigar os riscos, bem como disseminar a cultura de controles objetivando assegurar o cumprimento das leis e regulamentos existentes.

4.5. A área de Compliance deverá prever um canal de denúncias, a fim de que Colaboradores e Terceiros possam reportar atitudes que estejam aquém do padrão de conduta previsto por normativos e legislações internos e externos aplicáveis. A Vixi Exchange não tolerará qualquer forma de retaliação ou discriminação a Colaboradores e Terceiros que realizem relatos e denúncias sobre violações de normas internas e externas de boa-fé.

4.6. A área de Compliance deverá prever um canal de comunicações, a fim de dirimir dúvidas eventuais relacionadas à esta Política.

4.7. A Vixi Exchange deverá instaurar área para realização de auditorias internas, a qual auxiliará na apuração das denúncias recebidas, executará auditoria operacional nos procedimentos da área e corroborará para apontamentos de riscos residuais para a área de Compliance.

5. DIRETRIZES

5.1. De acordo com o Código de Ética, todos os atos praticados devem manter irrestrita e plena sujeição aos pilares éticos da honestidade, dignidade, lealdade, respeito, clareza de propósitos e boa-fé.

5.2. É dever de todos os Colaboradores zelar pelo efetivo cumprimento dos valores defendidos pela Vixi Exchange, das normas internas e externas (legislação e regulamentações aplicáveis).

5.3. O Compliance da Vixi Exchange será responsável pela supervisão do Risco de Conformidade em cooperação e sinergia com as demais áreas de fiscalização e controle.

5.4. Caso o Compliance da Vixi Exchange identifique eventuais violações ao Código de Ética ou a demais normas internas e externas da Vixi Exchange por Colaboradores ou Terceiros, poderão ser aplicáveis medidas disciplinares em conformidade com a gravidade do ato cometido.

6. PRINCÍPIOS

6.1. PRINCÍPIO 1 – Independência e reporte direto à Alta Administração

6.1.1. O Compliance da Vixi Exchange, no desempenho de suas atribuições, possui as prerrogativas de livre acesso às informações e contato direto com todos os Colaboradores, independentemente de cargo ou posição hierárquica.

6.1.2. Dentro da estrutura de governança corporativa da Vixi Exchange, o Compliance deve reportar suas atividades periodicamente à Alta Administração. Adicionalmente, deve comunicar sistemática e tempestivamente ao Conselho de Administração as situações que podem impactar o Risco de Conformidade da Vixi Exchange.

6.1.3. Mantendo os princípios de independência e objetividade, o Compliance da Vixi Exchange deve atuar em sinergia com as funções de Auditoria Interna, Controles Internos e Gestão de Riscos.

6.2. PRINCÍPIO 2 – Responsabilidades pelo Programa de Compliance

6.2.1. O Compliance da Vixi Exchange é responsável por gerir e monitorar o Programa de Compliance, composto por políticas, procedimentos, treinamentos e atividades para fortalecer a conformidade e integridade dos negócios, no que diz respeito ao cumprimento de questões legais e regulamentares.

6.2.2. O Compliance será responsável pelos controles internos com o objetivo de prevenir, detectar e dissuadir violações das leis e regulamentos aplicáveis.

6.2.3. O Programa de Compliance deve ser direcionado por uma abordagem baseada em risco, com intuito de garantir foco nos aspectos de maior relevância e criticidade.

6.2.4. O Compliance da Vixi Exchange deve oferecer permanente suporte e consultoria às áreas gestoras, administrativas e de negócio, com vistas a identificar, avaliar e tratar o Risco de Conformidade , respeitada a adequada independência inerente a suas atividades.

6.2.5. A gestão do Risco de Conformidade deve incluir ações de teste de aderência das atividades desenvolvidas, com reporte periódico de seus resultados para a Alta Administração.

6.2.6. O sumário das atividades relacionadas à gestão do Risco de Conformidade (Compliance), contendo suas principais conclusões, recomendações e providências tomadas pela Vixi Exchange, constará em relatório anual submetido ao Conselho de Administração.

7. ESTRUTURAS INTERNAS DE FISCALIZAÇÃO E CONTROLE

7.1. As estruturas internas de fiscalização e controle da Vixi Exchange estão formalizadas em políticas específicas e compreendem três diferentes linhas de defesa. A gestão do Risco de Conformidade , desenvolvida dentro da estratégia de Gestão de Riscos, igualmente se baseia na atuação independente e integrada das seguintes estruturas:

PRIMEIRA LINHA DE DEFESA – ÁREAS ADMINISTRATIVAS E DE NEGÓCIOS

7.2. A primeira linha de defesa é composta por controles operacionais das próprias áreas administrativas e de negócio.

7.3. Os Colaboradores e gestores da Vixi Exchange são responsáveis por mapear e gerir os Riscos de Conformidade atrelados às suas atividades, implantando controles preventivos e detectivos em seus processos de trabalho.

SEGUNDA LINHA DE DEFESA – GESTÃO DE RISCOS, CONTROLES E COMPLIANCE

7.4. Na segunda linha de defesa, insere-se a atividade de gestão integrada de riscos, em suas diferentes vertentes, além das unidades de controles internos.

7.5. As áreas de gestão de riscos e controles internos auxiliam os gestores na identificação dos riscos e no desenvolvimento de controles para a mitigação de suas consequências.

7.6. Nessa linha de defesa, situa-se também o Compliance, responsável por centralizar as iniciativas de gestão do Risco de Conformidade, aplicando os princípios e diretrizes emanados pela Alta Administração por meio de políticas, processos e procedimentos para a identificação, tratamento e mitigação dos Riscos de Conformidade, na forma estabelecida nesta Política.

TERCEIRA LINHA DE DEFESA – AUDITORIA INTERNA

7.7. A terceira linha de defesa abrange a Auditoria Interna da Vixi Exchange, responsável por empreender avaliações independentes quanto à eficácia e eficiência das áreas administrativas e de negócio e do gerenciamento de riscos.

8. GERENCIAMENTO DO RISCO DE CONFORMIDADE

8.1. A Alta Administração é responsável por estabelecer as diretrizes da atividade de Compliance, bem como assegurar a efetividade e adequada gestão dessa Política, provendo os meios necessários, materiais e humanos, para garantir que as atribuições de Compliance sejam exercidas adequadamente.

8.2. As atividades do Compliance serão comunicadas de forma regular, no mínimo trimestralmente, para o Comitê de Gestão de Riscos Operacionais e Compliance.

8.3. Por sua vez, a apreciação de eventuais irregularidades ou falhas identificadas, bem como de outras situações que possam vir a impactar o Risco de Conformidade da Vixi Exchange, serão reportadas, sistemática e tempestivamente, aos Comitês de Governança em funcionamento, conforme o caso.

9. ATRIBUIÇÕES DAS ÁREAS DE COMPLIANCE

Constituem atribuições das áreas de Compliance da Vixi Exchange, na identificação, monitoramento e avaliação de Riscos de Conformidade:

• Gerenciar a aplicação dos princípios estabelecidos nesta Política e documentos relacionados;

• Acompanhar as tendências e alterações do ambiente regulatório, prestando informações e assessorando as áreas administrativas e de negócio em relação aos Riscos de Conformidade;

• Coordenar o desenvolvimento de políticas e procedimentos internos, bem como acompanhar eventuais planos de adequação das estruturas da Vixi Exchange às evoluções do ambiente regulatório, centralizando o processo de tratamento e controle de leis e normas advindas de entidades reguladoras, autorreguladoras e de classe;

• Testar e avaliar, em conjunto com as demais estruturas de fiscalização e controle, a aderência da Vixi Exchange ao arcabouço legal, à regulamentação infralegal, às recomendações dos órgãos de supervisão e ao código de ética e políticas internas correlacionadas;

• Acompanhar a solução dos pontos levantados no relatório de descumprimento de dispositivos legais e regulamentares elaborado pelo auditor independente, em conjunto com as demais estruturas de fiscalização e controle, conforme regulamentação específica;

• Disseminar e aplicar as diretrizes, códigos e políticas internas relacionados à ética, conduta e integridade, valendo-se de mecanismos que assegurem o alcance a todos os Colaboradores e Terceiros;

• Promover o permanente aculturamento interno em relação aos temas de ética, conduta, integridade e demais assuntos relativos à conformidade, empreendendo ações de capacitação, orientação e treinamento de colaboradores, parceiros e prestadores de serviços terceirizados relevantes;

• Desenvolver e aplicar ações com vistas ao tratamento e mitigação, naquilo que couber, de riscos legais e de imagem/reputação em operações, produtos e serviços, bem como em contratações de fornecedores e parceiros;

• Implementar e gerenciar o programa de integridade, voltado à prevenção e combate a fraudes, desvios e outras práticas ilícitas, com especial enfoque em temas anticorrupção no trato com órgãos e entidades do Poder Público;

• Elaborar relatório periódico, no mínimo anualmente, a ser submetido ao Conselho de Administração, contendo o sumário dos resultados das atividades de Compliance, suas principais conclusões, recomendações e providências adotadas; e

• Prestar suporte e relatar sistemática e tempestivamente as situações envolvendo o Risco de Conformidade ao Conselho de Administração ou a outros órgãos da Alta Administração, conforme o caso.

10. ADESÃO

10.1. É dever de todos os Colaboradores e Terceiros da Vixi Exchange, em todas as unidades e países de atuação, assinar termo de adesão a esta política, a fim de atestar seu conhecimento e concordância.

10.2. É dever da Vixi Exchange a coleta e armazenamento do aceite do termo de adesão a esta Política, no momento de admissão de Colaboradores e do início do relacionamento com Terceiros.

10.3. As disposições desta Política deverão viger pelo prazo de um ano, quando deverá ser realizada a sua revisão.