PONTE GLOBAL SOCIEDADE PRESTADORA DE SERVIÇOS DE ATIVOS VIRTUAIS LTDA.
Resumo Público da Política de Segurança
Última atualização em 13/10/2026
INTRODUÇÃO
Este documento é o resumo público da Política de Segurança (“Política”) da PONTE GLOBAL SOCIEDADE PRESTADORA DE SERVIÇOS DE ATIVOS VIRTUAIS LTDA., inscrita no CNPJ/ME
sob o nº 63.653.001/0001-55, com sede na Avenida Brigadeiro Luís Antônio, nº 300, 10º andar, conjunto 104, parte, Bela Vista, São Paulo/SP, CEP 01318-903 (“Ponte Global”, “Ponte” ou “nós”), e apresenta suas linhas gerais a Usuários, empresas parceiras, fornecedores e ao público em geral.
A Ponte Global presta serviços relacionados a ativos virtuais nos termos da Lei nº 14.478/2022 (“Marco Legal dos Criptoativos”), regulamentada pelo Decreto nº 11.563/2023, e encontra-se em processo de autorização junto ao Banco Central do Brasil (“BCB”) como Prestadora de Serviços de Ativos Virtuais (PSAV), na modalidade de corretora de ativos virtuais, nos termos das Resoluções BCB nº 519, 520 e 521/2025 e demais regulamentação aplicável. A Ponte Global adota a Política e divulga este resumo desde a fase de autorização, em linha com o art. 5º da Resolução BCB nº 85/2021, cujo escopo foi estendido às sociedades prestadoras de serviços de ativos virtuais pela Resolução BCB nº 552/2026, e com o art. 52, § 1º, inciso III, da Resolução BCB nº 520/2025.
Este resumo é classificado como público e pode ser reproduzido, desde que preservados a integridade de seu conteúdo e a indicação da fonte. Ele não substitui a Política integral, de uso interno, cujo acesso é restrito a colaboradores, prestadores de serviço e terceiros autorizados, bem como às autoridades competentes e a auditores. Por segurança, este resumo não descreve arquiteturas, ferramentas, fornecedores ou parâmetros técnicos específicos.
Os termos em letra maiúscula empregados neste resumo (“Plataforma”, “Usuário”, “Ativos Virtuais”, “Carteira Virtual” e “Rede Blockchain”) têm o significado a eles atribuído nos Termos e Condições.
COMPROMISSO E OBJETIVOS
A Ponte Global trata a segurança da informação e a segurança cibernética como condição para a confiança de seus Usuários, de suas empresas parceiras e dos reguladores. A Política tem por objetivo:
preservar a confidencialidade, a integridade, a disponibilidade, a autenticidade e o sigilo das informações da Ponte Global, de seus Usuários, de suas empresas parceiras e de seus fornecedores;
proteger os Ativos Virtuais e os recursos de clientes e usuários, em especial os instrumentos de controle desses ativos, inclusive as chaves privadas; adotar medidas técnicas e administrativas aptas a proteger as informações, incluindo dados pessoais, contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
manter vigilância contínua sobre eventos, ameaças e vulnerabilidades e assegurar resposta tempestiva a incidentes; e assegurar a continuidade dos serviços e a recuperação das posições de clientes e usuários diante de falhas, incidentes ou desastres.
ESCOPO
A Política aplica-se à plataforma tecnológica da Ponte Global, incluindo interfaces de programação e webhooks, integrações com empresas parceiras e com prestadores de serviços, ambientes de computação em nuvem, bancos de dados, repositórios de código-fonte, carteiras e infraestrutura de custódia de Ativos Virtuais, sistemas de monitoramento de transações, estações de trabalho e dispositivos móveis, bem como a todos os administradores, colaboradores, estagiários, prestadores de serviço, fornecedores e demais terceiros que acessem informações ou ativos da Ponte Global, em qualquer forma.
Os dados mantidos fora da Rede Blockchain (cadastrais, de KYC, transacionais internos e registros de acesso) estão integralmente sujeitos à Política. Os endereços públicos de Carteira Virtual e os identificadores de transações são públicos e imutáveis na Rede Blockchain, mas a associação entre o endereço e a identidade do Usuário, mantida nos sistemas internos da Ponte Global, recebe o grau máximo de proteção.
LINHAS GERAIS DOS CONTROLES
Sem detalhar arquiteturas, ferramentas ou fornecedores, a Política estabelece, entre outros, os seguintes controles:
Classificação da informação: a informação é classificada em quatro níveis (pública, interna, confidencial e restrita), segundo sua sensibilidade, e os controles de acesso, criptografia, retenção e descarte seguem a classificação atribuída, adotando-se a mais restritiva em caso de dúvida, com proteção máxima para dados de identificação e de KYC dos Usuários, dados biométricos, a associação entre endereço de Carteira Virtual e identidade do Usuário, saldos e registros de operações, informações protegidas por sigilo legal, credenciais e chaves;
Identidades e acessos: o acesso é concedido segundo a necessidade da função, com autenticação por múltiplos fatores para ambientes de produção, sistemas administrativos e informações sensíveis, credenciais individuais, alçadas de aprovação e segregação de funções entre quem solicita, quem aprova e quem executa operações sensíveis, desativação preventiva de acessos diante de situações suspeitas, revisão periódica de permissões, revogação imediata no desligamento e segregação entre os ambientes de produção, homologação e desenvolvimento;
Guarda dos Ativos Virtuais: os Ativos Virtuais de clientes e usuários são segregados do patrimônio da Ponte Global e mantidos em carteiras distintas das utilizadas pela Ponte Global em suas operações próprias, por mecanismos documentados e passíveis de comprovação, e a maior parte deles é mantida em armazenamento a frio (offline), conforme os Termos e Condições, com limites e alçadas de aprovação para sua movimentação e procedimentos específicos para a geração, a guarda, o acesso, a recuperação e a mitigação de comprometimento das chaves privadas, incluindo a migração de ativos para novas carteiras;
Criptografia: as informações são protegidas em trânsito e em repouso, conforme sua classificação, com gestão de certificados e de chaves de aplicação;
Vulnerabilidades e testes: varreduras e análises periódicas, testes de intrusão com periodicidade mínima anual, realizados de forma independente, revisão por analistas independentes e testes de robustez e de segurança dos sistemas, inclusive contratos inteligentes, aplicação tempestiva de correções de segurança e correção priorizada das vulnerabilidades identificadas;
Desenvolvimento seguro e integrações: práticas de segurança desde a concepção dos sistemas, testes antes da liberação, aprovação formal de mudanças e proteção das interfaces e das credenciais utilizadas nas integrações com empresas parceiras e prestadores de serviços, sendo as credenciais de API emitidas de forma individualizada por empresa parceira, com escopo mínimo, rotação periódica e revogação imediata em caso de suspeita de comprometimento, além da autenticação das notificações enviadas por webhook e da segregação lógica dos dados de cada empresa parceira, de modo a impedir o acesso cruzado;
Redes, dispositivos e instalações: segmentação de redes, proteção contra software malicioso, configuração segura, proteção dos dispositivos usados em atividades corporativas, controle de acesso físico e descarte seguro de equipamentos e mídias;
Registros e monitoramento: registros de auditoria protegidos contra modificação ou eliminação não autorizada, que permitem a rastreabilidade ponta a ponta das transações e são retidos pelos prazos legais e regulatórios, monitoramento contínuo para a detecção de ameaças e eventos atípicos, ações de inteligência de ameaças proporcionais ao porte e ao perfil de risco e revisão periódica dos relatórios de eventos;
Continuidade e recuperação: cópias de segurança periódicas com testes de restauração, planos de continuidade de negócios e de recuperação de desastres que abrangem a indisponibilidade de fornecedores, testados, no mínimo, anualmente, mecanismo de redundância dos dados dos clientes e usuários e dos instrumentos de controle dos Ativos Virtuais, procedimentos para a recuperação das posições de clientes e usuários e definição dos casos e procedimentos para a transferência dos Ativos Virtuais a outras prestadoras de serviços de ativos virtuais ou aos próprios clientes e usuários em caso de interrupção ou descontinuidade dos serviços;
Gestão de incidentes: plano de ação e de resposta a incidentes, com registro, classificação por severidade e relevância, contenção, recuperação e comunicação às partes afetadas, às empresas parceiras e às autoridades competentes, nos termos da regulamentação e dos contratos aplicáveis, assistência aos Usuários por canal que inclua atendimento humano, compartilhamento de informações sobre incidentes relevantes com outras instituições autorizadas pelo BCB, respeitados o sigilo e as regras de concorrência, e análise das lições aprendidas ao final de cada incidente;
Fornecedores e serviços em nuvem: inventário atualizado de fornecedores, avaliação prévia e recorrente de fornecedores relevantes, exigências contratuais de segurança, acesso das autoridades competentes a dados e documentos e plano de contingência para a indisponibilidade ou a descontinuidade de prestadores, permanecendo a Ponte Global responsável pela segurança e pelo sigilo das transações realizadas por meio de terceiros contratados;
Serviços de pagamento: a abertura e a manutenção de contas de pagamento, a custódia de recursos em moeda nacional e o processamento de transações Pix são prestados por instituição autorizada a funcionar pelo BCB, conforme os Termos e Condições, e não pela Ponte Global em nome próprio, com plano de contingência para a indisponibilidade dessa instituição e conciliação periódica das operações; e
Proteção de dados pessoais: medidas de segurança desde a concepção dos sistemas e por padrão, mapeamento do ciclo de vida dos dados pessoais, relatório de impacto à proteção de dados pessoais, eliminação segura ao término dos prazos de retenção e observância dos mecanismos legais nas transferências internacionais de dados, em complemento à Política de Privacidade e Proteção de Dados Pessoais.
GOVERNANÇA
A Política é aprovada pela administração da Ponte Global e revisada, no mínimo, anualmente, e sempre que houver mudança regulatória, de negócio ou de arquitetura, inclusive em razão da conclusão do processo de autorização perante o BCB, ou incidente relevante que a justifique.
A Política prevê a designação, entre os diretores ou administradores responsáveis perante o BCB, daquele que responde pela política de segurança cibernética e pela execução do plano de ação e de resposta a incidentes, de pessoa ou área responsável pela operação do programa de segurança da informação e de Encarregado pelo Tratamento de Dados Pessoais, e a apresentação à administração de relatório anual sobre a implementação do plano de ação e de resposta a incidentes.
A Ponte Global realiza verificações periódicas de conformidade com a Política e com a regulamentação aplicável, e as empresas parceiras podem avaliar a conformidade da Ponte Global com os controles da Política nos termos dos respectivos contratos.
A violação da Política, inclusive a alteração intencional de controles técnicos e o acesso indevido aos instrumentos de controle dos Ativos Virtuais, constitui falta grave, sujeita a medidas disciplinares, sem prejuízo das responsabilidades civis e criminais cabíveis.
TREINAMENTO E CONSCIENTIZAÇÃO
A Política prevê treinamentos regulares de conscientização em segurança da informação e proteção de dados para colaboradores e terceiros com acesso, incluindo a prevenção a phishing, engenharia social, SIM swap e fraude, com treinamento específico para quem tem acesso aos instrumentos de controle dos Ativos Virtuais, além de triagem e verificação de referências proporcionais à criticidade do cargo, termo de confidencialidade e regras de uso aceitável dos ativos corporativos. A Política é comunicada a colaboradores e terceiros afetados, em linguagem clara e com nível de detalhamento compatível com suas funções.
PRECAUÇÕES RECOMENDADAS A USUÁRIOS
Para utilizar a Plataforma com segurança, a Ponte Global recomenda a seus Usuários e empresas parceiras:
usar senhas fortes e exclusivas e ativar a autenticação de dois fatores (2FA);
manter dispositivos, sistemas e aplicativos atualizados, com antivírus atualizado, e evitar o acesso por redes públicas ou dispositivos de terceiros;
desconfiar de mensagens e ligações não solicitadas que peçam credenciais, chaves privadas, códigos de verificação, transferências ou a instalação de aplicativos;
nunca compartilhar senhas, códigos de autenticação, chaves privadas ou frases-semente (seed phrases) com ninguém, nem com quem se apresente como representante da Ponte Global;
conferir com atenção o endereço de destino e a rede blockchain antes de qualquer transferência, pois as transações confirmadas são irreversíveis;
acessar a Plataforma apenas pelos canais oficiais da Ponte Global; e
comunicar imediatamente à Ponte Global qualquer suspeita de acesso indevido, fraude ou vazamento envolvendo sua conta ou suas informações, pelo canal indicado na Cláusula 7.
A Ponte Global não solicita senha, códigos de autenticação de dois fatores, links de confirmação, dados bancários ou dados de Carteira Virtual por e-mail, telefone, SMS ou aplicativos de mensagem. Toda comunicação oficial ocorre exclusivamente pelos canais indicados nos Termos e Condições.
Os Ativos Virtuais não contam com a cobertura do Fundo Garantidor de Créditos (FGC). A Ponte Global disponibiliza conteúdos informativos sobre boas práticas, riscos das operações com Ativos Virtuais e o funcionamento dos processos de guarda e custódia, conforme os Termos e Condições.
CANAL PARA REPORTE DE INCIDENTES, FRAUDES, VULNERABILIDADES E VIOLAÇÕES
Suspeitas de incidentes de segurança, de fraudes eletrônicas que envolvam, citem ou tentem se passar pela Ponte Global, de vulnerabilidades nos produtos, sistemas ou canais da Ponte Global e de violações à Política, inclusive uso indevido de informações, podem ser comunicadas pelo e-mail martin@manteca.dev. As comunicações são tratadas com confidencialidade, e a Ponte Global presta retorno sobre as providências adotadas.
NORMAS DE REFERÊNCIA
A Política observa, entre outras referências aplicáveis, a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais), a Lei nº 12.965/2014 (Marco Civil da Internet), a Lei nº 14.478/2022 (Marco Legal dos Criptoativos), a Lei Complementar nº 105/2001, a Lei nº 9.613/1998, as Resoluções BCB nº 519, 520 e 521/2025, a Resolução BCB nº 85/2021, que dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem, na redação vigente, a Resolução BCB nº 552/2026, a Resolução CMN nº 5.280/2026 e a Resolução Conjunta CMN/BCB nº 16/2025, além da regulamentação da Autoridade Nacional de Proteção de Dados aplicável a incidentes de segurança e a transferências internacionais de dados.
APROVAÇÃO, REVISÃO E VIGÊNCIA
Este resumo é elaborado a partir da Política integral, sem exposição de detalhes sensíveis, é aprovado pela administração da Ponte Global e é atualizado sempre que a Política sofrer alteração relevante e, no mínimo, anualmente.