POLÍTICA DE CONFORMIDADE E INTEGRIDADE

1. INTRODUÇÃO

A presente Política de Conformidade e Integridade estabelece os princípios, diretrizes, responsabilidades, processos e mecanismos adotados pela AuthPay Instituição de Pagamento Ltda. para assegurar que suas atividades sejam conduzidas em conformidade com a legislação vigente, com as normas e regulamentações emitidas pelo Banco Central do Brasil, pelo Conselho Monetário Nacional e pelo COAF, bem como com os normativos internos da instituição.

Esta Política tem como finalidade estruturar, formalizar e operacionalizar o Programa de Conformidade e Integridade da AuthPay, de forma compatível com o porte, a complexidade, a natureza das operações e o perfil de risco da instituição, assegurando a prevenção, identificação, avaliação, tratamento e monitoramento contínuo dos riscos de conformidade, legais, regulatórios, operacionais e reputacionais.

A Política de Conformidade e Integridade deve ser interpretada de forma integrada às demais políticas e normas internas da AuthPay, especialmente o Código de Conduta, a Política de Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo (PLD/FT), as normas de KYC, KYP, KYT, Gestão de Riscos e Controles Internos, compondo um sistema único e coerente de governança, riscos e conformidade.

2. OBJETIVO

Esta Política tem por finalidade estabelecer os princípios, diretrizes e responsabilidades relacionados à conformidade e integridade da AuthPay Instituição de Pagamento Ltda., assegurando que suas atividades sejam conduzidas em conformidade com a legislação vigente, com as normas emitidas pelo Banco Central do Brasil, com os normativos internos e com os valores éticos e corporativos da instituição.

A Política visa promover uma cultura organizacional baseada na ética, na transparência, na responsabilidade e na prevenção de condutas ilícitas, fortalecendo os mecanismos de governança, controle e mitigação de riscos de conformidade.

3. ABRANGÊNCIA

Esta Política aplica-se a todos os administradores, diretores, colaboradores, estagiários, prestadores de serviços, fornecedores, parceiros de negócio e quaisquer terceiros que atuem em nome, no interesse ou em benefício da AuthPay.

As disposições aqui previstas devem ser observadas em todas as atividades, processos, produtos, serviços, operações e relacionamentos institucionais da instituição, independentemente do nível hierárquico, da área de atuação ou da natureza do vínculo mantido.

4. BASE LEGAL NORMATIVA

Esta Política foi elaborada em conformidade com a legislação e regulamentação aplicáveis às atividades da AuthPay, incluindo, mas não se limitando a:

• Lei no 12.846/2013 (Lei Anticorrupção);

• Lei no 9.613/1998 (Lei de Prevenção à Lavagem de Dinheiro);

• Lei no 13.709/2018 (Lei Geral de Proteção de Dados – LGPD);

• Resolução CMN no 4.595/2017, que dispõe sobre a política de conformidade e a estrutura de controles internos;

• Resolução BCB no 96/2021, que trata da estrutura de gerenciamento de riscos e controles internos;

• Circular BCB no 3.978/2020, no que se refere à governança e aos papéis de conformidade no âmbito da PLD/FT;

• Demais normas, circulares, cartas circulares e comunicados emitidos pelo Banco Central do Brasil;

• Normativos internos da AuthPay, incluindo o Código de Conduta, Políticas e Normas correlatas.

A observância dessas normas é obrigatória e integra o Programa de Conformidade e Integridade da instituição.

5. DEFINIÇÕES E CONCEITOS

Para fins desta Política, considera-se:

Conformidade (Compliance):
Observância contínua da legislação, regulamentação aplicável, normas internas, códigos de conduta e padrões éticos adotados pela AuthPay.

Programa de Conformidade e Integridade:
Conjunto estruturado de políticas, normas, procedimentos, controles, treinamentos, monitoramentos e mecanismos de reporte destinados a prevenir, detectar e tratar riscos de conformidade e desvios de conduta.

Risco de Conformidade:
Possibilidade de ocorrência de perdas, sanções, penalidades, danos reputacionais ou outras consequências adversas decorrentes do descumprimento de normas legais, regulatórias ou internas.

Área de Compliance:
Função responsável por coordenar, implementar, monitorar e reportar as atividades relacionadas ao Programa de Conformidade e Integridade, com independência funcional e acesso à Alta Administração.

Canal de Denúncias:
Mecanismo formal disponibilizado pela AuthPay para o recebimento de comunicações, denúncias ou relatos de irregularidades, assegurada a confidencialidade das informações, a proteção contra retaliação e o tratamento adequado das ocorrências.

Ouvidoria:
Função responsável por receber, registrar, analisar, tratar e responder às manifestações dos usuários, clientes e demais partes interessadas, incluindo reclamações, sugestões, elogios

e denúncias, atuando de forma independente, imparcial e com observância aos prazos, procedimentos e requisitos estabelecidos pela regulamentação aplicável, bem como reportando informações relevantes à Alta Administração e às áreas competentes.

6. FUNDAMENTOS E PRINCÍPIOS DE CONFORMIDADE E INTEGRIDADE

A Política de Conformidade e Integridade da AuthPay é fundamentada em princípios que orientam a atuação institucional, o desenho dos processos internos, a tomada de decisão pelos administradores e colaboradores, bem como o relacionamento com clientes, parceiros, fornecedores e demais terceiros.

Os fundamentos e princípios descritos neste capítulo devem ser observados de forma transversal em todas as atividades, produtos, serviços e operações da instituição, servindo como base para a estruturação do Programa de Conformidade e Integridade e para a definição de controles internos, procedimentos e mecanismos de monitoramento.

6.1 Legalidade e Conformidade Regulatória

A AuthPay atua em estrita observância à legislação vigente, às normas e regulamentações emitidas pelos órgãos competentes, em especial pelo Banco Central do Brasil, bem como aos normativos internos da instituição.

Este princípio orienta:

• A estruturação dos processos e controles internos;

• A criação, revisão e atualização de políticas, normas e procedimentos;

• A atuação preventiva da Área de Compliance na interpretação e aplicação das normas;

• A adequação contínua da operação às mudanças regulatórias.

O cumprimento das obrigações legais e regulatórias é obrigatório e constitui requisito essencial para a continuidade das atividades da instituição.

6.2 Integridade e Conduta Ética

A AuthPay pauta sua atuação pela integridade, ética, honestidade e transparência, não sendo toleradas condutas ilícitas, fraudulentas, abusivas ou incompatíveis com seus valores institucionais.

Este princípio implica:

• Rejeição a práticas de corrupção, fraude, lavagem de dinheiro, financiamento do terrorismo e outros ilícitos;

• Atuação responsável e ética em todas as relações internas e externas;

• Adoção de padrões de conduta compatíveis com o Código de Conduta e demais normativos internos;

• Tratamento adequado de conflitos de interesses, reais ou potenciais.

A conduta ética é exigida de todos os administradores, colaboradores e terceiros que atuem em nome ou no interesse da AuthPay.

6.3 Responsabilidade Institucional e Segregação de Funções

A conformidade é entendida como responsabilidade compartilhada por todos os níveis da organização, não se limitando à atuação da Área de Compliance.

Cada área e colaborador é responsável por:

• Conhecer e cumprir as normas aplicáveis às suas atividades;

• Atuar de forma diligente e responsável no exercício de suas funções;

• Comunicar tempestivamente situações que possam representar riscos de conformidade.

A AuthPay adota o princípio da segregação de funções como mecanismo essencial de controle interno, visando evitar conflitos de interesses, falhas operacionais e riscos de fraude.

6.4 Prevenção, Diligência e Atuação Proativa

A AuthPay prioriza a atuação preventiva na gestão dos riscos de conformidade, adotando controles, processos de diligência e mecanismos de monitoramento contínuo.

Este princípio orienta:

• A identificação antecipada de riscos regulatórios e normativos;

• A avaliação prévia de novos produtos, serviços, processos e parcerias;

• A realização de diligências em terceiros, fornecedores e parceiros de negócio;

• A implementação de controles compatíveis com o perfil de risco da instituição.

A atuação proativa visa reduzir a probabilidade de ocorrência de falhas de conformidade e seus impactos potenciais.

6.5 Transparência, Registro e Prestação de Contas

A AuthPay mantém registros íntegros, completos, precisos e rastreáveis de suas atividades, assegurando a transparência dos processos e a adequada prestação de contas à Alta Administração e às autoridades competentes, quando aplicável.

Este princípio compreende:

• Documentação adequada das decisões, análises e controles;

• Manutenção de evidências das atividades de conformidade;

• Comunicação clara e tempestiva de informações relevantes;

• Disponibilização de informações para auditorias, fiscalizações e demandas regulatórias.

6.6 Melhoria Contínua do Programa de Conformidade

O Programa de Conformidade e Integridade da AuthPay é continuamente avaliado e aprimorado, considerando:

• A evolução da legislação e regulamentação aplicável;

• Mudanças no perfil de risco da instituição;

• Resultados de monitoramentos, testes de conformidade e indicadores;

• Apontamentos de auditorias internas, externas e fiscalizações;

• Lições aprendidas a partir de ocorrências e incidentes.

A melhoria contínua visa assegurar que os controles e processos permaneçam adequados, efetivos e proporcionais à complexidade da operação.

7. ESTRUTURA DE GOVERNANCA, PAPÉIS E RESPONSABILIDADES

A AuthPay adota estrutura de governança de conformidade compatível com o seu porte, complexidade operacional e perfil de risco, assegurando a clara definição de papéis, responsabilidades, fluxos de reporte e segregação de funções no âmbito do Programa de Conformidade e Integridade.

A estrutura de governança tem como objetivo garantir a efetiva supervisão das atividades de conformidade, a independência da função de Compliance, a adequada tomada de decisão pela Alta Administração e a tempestiva identificação, tratamento e reporte de riscos e desvios de conformidade.

7.1 Alta Administração / Diretoria Executiva

A Diretoria Executiva é responsável pela supervisão global do Programa de Conformidade e Integridade da AuthPay, competindo-lhe:

• Aprovar esta Política de Conformidade e Integridade, bem como suas revisões e atualizações;

• Assegurar que o Programa de Conformidade e Integridade seja compatível com a natureza, a complexidade das operações e o perfil de risco da instituição;

• Garantir a disponibilização de recursos humanos, tecnológicos e financeiros adequados à atuação efetiva e independente da Área de Compliance;

• Receber, analisar e deliberar sobre reportes periódicos e extraordinários elaborados pela Área de Compliance;

• Avaliar riscos relevantes de conformidade, falhas de controle e ocorrências significativas;

• Deliberar sobre a adoção de medidas corretivas, estruturais ou disciplinares, quando aplicável;

• Promover e reforçar a cultura de integridade, ética e conformidade em toda a organização.

Os reportes à Diretoria devem ocorrer de forma periódica e sempre que identificadas situações relevantes que possam impactar a conformidade, a reputação ou a continuidade das atividades da instituição.

7.2 Área de Compliance

A Área de Compliance atua de forma independente, contínua e estruturada, com acesso direto à Alta Administração, sendo responsável pela coordenação do Programa de Conformidade e Integridade.

Compete à Área de Compliance:

• Implementar, manter e revisar o Programa de Conformidade e Integridade, assegurando sua aderência às normas legais, regulatórias e internas;

• Identificar, avaliar e monitorar riscos de conformidade associados às atividades, produtos, serviços, processos e relacionamentos da AuthPay;

• Apoiar as áreas de negócio e de suporte na interpretação e aplicação da legislação, regulamentação e normativos internos;

• Emitir orientações, comunicados, pareceres técnicos e recomendações formais;

• Avaliar previamente, quando aplicável, novos produtos, serviços, processos, parcerias e alterações relevantes sob a ótica de conformidade;

• Monitorar a efetividade dos controles internos relacionados à conformidade;

• Conduzir apurações internas e investigações relacionadas a indícios de desvios de conduta ou descumprimento normativo;

• Registrar, documentar e manter evidências das atividades de compliance realizadas;

• Elaborar reportes periódicos e extraordinários à Diretoria Executiva;

• Acompanhar e cobrar a implementação de planos de ação definidos para mitigação de riscos e correção de falhas.

A Área de Compliance deve atuar com autonomia técnica, independência funcional e sem interferência indevida das áreas operacionais.

7.3 Áreas de Negócio e Áreas de Suporte

As áreas de negócio e de suporte são responsáveis pela execução das atividades operacionais em conformidade com a legislação, regulamentação e normativos internos, competindo-lhes:

• Conhecer e cumprir as normas aplicáveis às suas atividades;

• Implementar e operar os controles definidos no âmbito do Programa de Conformidade e Integridade;

• Atuar de forma preventiva na identificação de riscos e falhas de conformidade;

• Comunicar tempestivamente à Área de Compliance situações que possam representar riscos, irregularidades ou descumprimento normativo;

• Cooperar com processos de monitoramento, apuração, auditoria e fiscalização.

A responsabilidade pela conformidade é compartilhada entre as áreas, não se restringindo à função de Compliance.

7.4 Colaboradores

Todos os colaboradores da AuthPay devem:

• Cumprir integralmente esta Política e os demais normativos internos;

• Atuar de forma ética, diligente e responsável no exercício de suas funções;

• Participar dos treinamentos obrigatórios de conformidade e integridade;

• Comunicar prontamente à Área de Compliance quaisquer indícios de irregularidades, falhas de controle, conflitos de interesses ou condutas incompatíveis com os valores da instituição;

• Cooperar com investigações internas, auditorias e fiscalizações.

O desconhecimento das normas internas não exime o colaborador de responsabilidade.

7.5 Terceiros, Fornecedores e Parceiros de Negócio

Os terceiros que mantenham relacionamento com a AuthPay estão sujeitos às diretrizes de conformidade e integridade da instituição, competindo-lhes:

• Atuar em conformidade com esta Política e com os padrões éticos exigidos pela AuthPay;

• Submeter-se a processos de diligência, avaliação e monitoramento, quando aplicável;

• Cooperar com solicitações de informações relacionadas à conformidade;

• Cumprir as obrigações contratuais, legais e regulatórias aplicáveis.

O descumprimento das diretrizes de conformidade por terceiros poderá resultar na adoção de medidas corretivas, contratuais ou rescisórias, conforme o caso.

7.6 Ouvidoria

A Ouvidoria atua como instância independente para o recebimento, análise, tratamento e resposta às manifestações dos usuários, clientes e demais partes interessadas, incluindo reclamações, sugestões, elogios e denúncias.

Compete à Ouvidoria:

• Receber e registrar as manifestações recebidas por meio dos canais oficiais;

• Analisar e encaminhar as demandas às áreas responsáveis;

• Acompanhar os prazos e a qualidade das respostas;

• Reportar à Alta Administração informações relevantes, temas recorrentes e indícios de falhas sistêmicas;

• Interagir com a Área de Compliance sempre que as manifestações indicarem riscos de conformidade, descumprimento normativo ou necessidade de aprimoramento de controles.

8. GESTÃO DE RISCOS DE CONFORMIDADE

A AuthPay adota processo estruturado, contínuo e proporcional ao seu porte, complexidade operacional e perfil de risco para a gestão dos riscos de conformidade, com o objetivo de prevenir, identificar, avaliar, tratar e monitorar riscos decorrentes do descumprimento de obrigações legais, regulatórias e normativas, bem como de condutas incompatíveis com os princípios de integridade da instituição.

A gestão dos riscos de conformidade integra o sistema de controles internos da AuthPay e é conduzida pela Área de Compliance, com a participação das áreas de negócio e de suporte, sob supervisão da Alta Administração.

8.1 Identificação dos Riscos de Conformidade

A identificação dos riscos de conformidade ocorre de forma contínua e sistemática, considerando, entre outros, os seguintes gatilhos:

• Alterações na legislação, regulamentação ou orientações emitidas pelos órgãos reguladores;

• Implementação ou alteração de produtos, serviços, processos, canais ou modelos de negócio;

• Resultados de Análises de Impacto Regulatório (AIR) realizadas previamente à implementação de mudanças relevantes;

• Alterações significativas na estrutura organizacional ou nos processos internos;

• Apontamentos decorrentes de monitoramentos internos, testes de conformidade, auditorias, fiscalizações, denúncias e manifestações da Ouvidoria;

• Avaliações periódicas de risco realizadas pela Área de Compliance.

Os riscos identificados devem ser formalmente registrados, com descrição clara de sua origem, natureza e área impactada.

8.2 Avaliação e Classificação dos Riscos

Os riscos de conformidade identificados são avaliados pela Área de Compliance quanto à:

• Probabilidade de ocorrência, considerando histórico, ambiente de controle, maturidade dos processos e controles existentes;

• Impacto potencial, considerando efeitos legais, regulatórios, financeiros, operacionais e reputacionais.

Com base nessa avaliação, os riscos são classificados de acordo com critérios previamente definidos, permitindo a priorização das ações de mitigação, monitoramento e reporte. A metodologia de avaliação e classificação de riscos deve ser documentada, aplicada de forma consistente e revisada periodicamente.

8.3 Tratamento e Mitigação dos Riscos

Para os riscos de conformidade classificados como relevantes, a AuthPay define e implementa medidas de tratamento e mitigação, que podem incluir, entre outras:

• Criação, revisão ou atualização de políticas, normas e procedimentos internos;

• Implementação, aprimoramento ou automação de controles operacionais e sistêmicos;

• Ajustes em processos, fluxos operacionais ou responsabilidades;

• Realização de treinamentos específicos e ações de conscientização;

• Definição e execução de planos de ação com responsáveis e prazos definidos;

• Reforço do monitoramento ou realização de testes adicionais de conformidade.

As medidas adotadas devem ser registradas e acompanhadas quanto à sua implementação e efetividade.

8.4 Monitoramento Contínuo dos Riscos e Controles

A Área de Compliance realiza o monitoramento contínuo dos riscos de conformidade e da efetividade dos controles implementados, considerando a criticidade dos riscos e o perfil de risco da instituição.

O monitoramento ocorre por meio de, entre outros:

• Revisões periódicas de processos e controles;

• Testes de conformidade e verificações amostrais;

• Análise de indicadores, alertas e informações gerenciais;

• Acompanhamento de ocorrências, denúncias e manifestações da Ouvidoria;

• Avaliação do cumprimento e da eficácia dos planos de ação.

Os resultados do monitoramento devem ser registrados e utilizados para subsidiar decisões e melhorias no Programa de Conformidade e Integridade.

8.5 Integração com a Análise de Impacto Regulatório (AIR)

A AuthPay realiza Análise de Impacto Regulatório (AIR) previamente à implementação de novos produtos, serviços, processos ou alterações relevantes, com o objetivo de identificar impactos legais, regulatórios e riscos de conformidade associados.

Os riscos de conformidade identificados no âmbito da AIR devem:

• Ser formalmente registrados pela Área de Compliance;

• Ser incorporados ao processo contínuo de gestão de riscos de conformidade;

• Ter controles e medidas mitigadoras definidos previamente à implementação;

• Ser monitorados após a entrada em produção, considerando riscos residuais e eventuais ajustes necessários.

A AIR constitui, portanto, insumo obrigatório para o processo de gestão de riscos de conformidade, não substituindo, mas complementando o monitoramento contínuo.

8.6 Reporte e Comunicação à Alta Administração

Os riscos de conformidade relevantes, as falhas significativas de controle e as ocorrências críticas devem ser reportados tempestivamente à Alta Administração.

Os reportes periódicos elaborados pela Área de Compliance devem conter, no mínimo:

• Principais riscos de conformidade identificados e sua classificação;

• Evolução dos riscos e dos controles ao longo do período;

• Medidas de mitigação implementadas ou em andamento;

• Situação dos planos de ação;

• Ocorrências relevantes e providências adotadas;

• Riscos oriundos de AIRs recentes e seu acompanhamento.

Os reportes subsidiam a tomada de decisão da Diretoria Executiva e a supervisão do Programa de Conformidade e Integridade.

8.7 Revisão e Melhoria Contínua

O processo de gestão de riscos de conformidade é revisado periodicamente pela Área de Compliance, considerando:

• Alterações no ambiente regulatório;

• Mudanças na operação, nos produtos ou no modelo de negócio;

• Resultados dos monitoramentos e testes de conformidade;

• Apontamentos de auditorias internas, externas e fiscalizações;

• Lições aprendidas a partir de ocorrências, incidentes e AIRs realizadas.

As revisões visam assegurar que o processo permaneça adequado, atualizado e compatível com o perfil de risco da AuthPay.

9. CONTROLES DE CONFORMIDADE E INTEGRIDADE

A AuthPay mantém controles de conformidade e integridade estruturados, proporcionais ao seu porte, complexidade e perfil de risco, com o objetivo de prevenir, detectar e mitigar riscos de descumprimento legal, regulatório e normativo, bem como condutas incompatíveis com os princípios éticos da instituição.

Os controles de conformidade integram o sistema de controles internos da AuthPay e são definidos, implementados, monitorados e revisados de forma coordenada pela Área de Compliance, com a participação das áreas de negócio e de suporte e sob supervisão da Alta Administração.

Os controles preventivos compreendem, entre outros, a existência de políticas, normas e procedimentos internos formalmente aprovados e divulgados, a realização de Análise de Impacto Regulatório (AIR) previamente à implementação de novos produtos, serviços, processos ou alterações relevantes, a avaliação prévia de parceiros, fornecedores e prestadores de serviços, a realização de treinamentos obrigatórios e periódicos em conformidade, integridade e ética, a segregação de funções, a definição clara de responsabilidades, os controles de acesso a sistemas e informações e as orientações e pareceres emitidos pela Área de Compliance.

Os controles detectivos têm como finalidade identificar tempestivamente falhas de conformidade, desvios de conduta, irregularidades ou fragilidades de controle e incluem, entre outros, o monitoramento contínuo de processos e operações, a realização de testes de conformidade, a análise de indicadores, alertas e informações gerenciais, o acompanhamento de denúncias e comunicações recebidas por meio do Canal de Denúncias e da Ouvidoria, as revisões periódicas de processos e controles e a realização de auditorias internas e externas, quando aplicável.

Os controles corretivos destinam-se ao tratamento das falhas, desvios ou não conformidades identificadas, abrangendo a definição e execução de planos de ação com responsáveis e

prazos definidos, a revisão ou aprimoramento de políticas, normas e procedimentos, os ajustes em processos, fluxos operacionais ou controles sistêmicos, a realização de treinamentos adicionais, a aplicação de medidas disciplinares, quando cabível, e a comunicação à Alta Administração nos casos de maior criticidade.

A Área de Compliance realiza testes periódicos de efetividade dos controles de conformidade e integridade, com o objetivo de avaliar se os controles estão adequadamente desenhados, implementados e operando conforme esperado. Os testes podem incluir análises amostrais, revisões documentais, avaliação de evidências, verificação do cumprimento de procedimentos e prazos e análise de indicadores, devendo seus resultados ser formalmente documentados.

Todas as atividades relacionadas aos controles de conformidade e integridade devem ser devidamente registradas e documentadas, assegurando rastreabilidade, evidência da execução dos controles, suporte a auditorias e fiscalizações e adequada prestação de contas à Alta Administração. Os registros devem ser mantidos pelo prazo mínimo exigido pela legislação e regulamentação aplicáveis.

A Área de Compliance deve reportar à Alta Administração, de forma periódica ou extraordinária, informações relevantes sobre a estrutura de controles de conformidade, os resultados dos testes de efetividade, as falhas identificadas, as ações corretivas adotadas, a situação dos planos de ação e as necessidades de aprimoramento, visando à melhoria contínua do Programa de Conformidade e Integridade.

10.CANAL DE DENÚNCIAS E OUVIDORIA

A AuthPay disponibiliza mecanismos formais para o recebimento, registro, análise, tratamento e resposta a comunicações, denúncias e manifestações, por meio do Canal de Denúncias e da Ouvidoria, assegurando confidencialidade, proteção contra retaliação, tratamento adequado das informações e reporte às instâncias competentes.

O Canal de Denúncias e a Ouvidoria atuam de forma complementar e independente, observadas suas finalidades específicas, sem prejuízo da atuação da Área de Compliance e da supervisão da Alta Administração.

10.1 Canal de Denúncias

O Canal de Denúncias é destinado ao recebimento de comunicações e relatos relacionados a indícios ou suspeitas de irregularidades, desvios de conduta, descumprimento legal, regulatório ou normativo, fraudes, corrupção, conflitos de interesses e demais práticas incompatíveis com os princípios de integridade da AuthPay.

O Canal de Denúncias deve assegurar, quando aplicável:

• Confidencialidade das informações recebidas;

• Possibilidade de anonimato do denunciante;

• Proteção contra retaliação;

• Registro formal das comunicações;

• Tratamento imparcial e tempestivo das denúncias.

As denúncias recebidas são analisadas preliminarmente pela Área de Compliance, que avalia a pertinência, a gravidade e a necessidade de apuração, podendo conduzir investigações internas ou encaminhar o caso às instâncias competentes, conforme a natureza da ocorrência.

10.2 Ouvidoria

A Ouvidoria é responsável por receber, registrar, analisar, tratar e responder às manifestações dos usuários, clientes e demais partes interessadas, incluindo reclamações, sugestões, elogios e pedidos de informação, nos termos da regulamentação aplicável.

Compete à Ouvidoria, entre outros:

• Garantir atendimento adequado, transparente e tempestivo às manifestações recebidas;

• Encaminhar as demandas às áreas responsáveis e acompanhar o cumprimento dos prazos de resposta;

• Manter registro das manifestações e das providências adotadas;

• Identificar temas recorrentes, falhas sistêmicas e oportunidades de melhoria;

• Reportar à Alta Administração informações relevantes e indicadores da Ouvidoria.

Sempre que as manifestações recebidas indicarem indícios de descumprimento normativo, falhas relevantes de controle ou riscos de conformidade, a Ouvidoria deverá comunicar a Área de Compliance para as providências cabíveis.

10.3 Fluxo de Tratamento e Interface com Compliance

A Área de Compliance atua de forma integrada com o Canal de Denúncias e a Ouvidoria, sendo responsável por:

• Avaliar comunicações e manifestações que indiquem riscos de conformidade;

• Definir a necessidade de apuração ou investigação;

• Acompanhar o tratamento das ocorrências relevantes;

• Registrar as ações adotadas e os resultados obtidos;

• Reportar à Alta Administração os casos de maior criticidade.

As informações provenientes do Canal de Denúncias e da Ouvidoria constituem insumos relevantes para a gestão de riscos de conformidade, o monitoramento dos controles e a melhoria contínua do Programa de Conformidade e Integridade.

10.4 Registro, Evidência e Reporte

Todas as comunicações, denúncias e manifestações recebidas devem ser devidamente registradas e documentadas, assegurando rastreabilidade, confidencialidade e integridade das informações.

A Área de Compliance e a Ouvidoria devem manter registros que permitam:

• Acompanhamento do tratamento das ocorrências;

• Avaliação de prazos e qualidade das respostas;

• Elaboração de indicadores e relatórios gerenciais;

• Suporte a auditorias internas, externas e fiscalizações.

Os reportes periódicos à Alta Administração devem contemplar informações consolidadas sobre o Canal de Denúncias e a Ouvidoria, respeitados os requisitos de confidencialidade e proteção de dados.

11.TREINAMENTO E CULTURA DE CONFORMIDADE E INTEGRIDADE

A AuthPay promove a cultura de conformidade e integridade como pilar de sua governança, reconhecendo que a efetividade do Programa de Conformidade e Integridade depende do conhecimento e da atuação ética de administradores, colaboradores e terceiros.

Os treinamentos em conformidade e integridade têm como objetivo assegurar o conhecimento das normas aplicáveis, das responsabilidades individuais e dos mecanismos de prevenção, identificação e reporte de riscos de conformidade.

Os treinamentos devem ser compatíveis com as funções exercidas, realizados de forma periódica, incluindo a integração de novos colaboradores, e atualizados sempre que houver alterações relevantes na legislação, regulamentação, normativos internos ou nos processos da instituição.

A Área de Compliance é responsável por definir o conteúdo, a periodicidade e a forma de realização dos treinamentos, bem como por acompanhar sua execução.

As ações de treinamento devem ser registradas e mantidas como evidência, permitindo comprovação perante auditorias e fiscalizações.

12.DISPOSIÇÕES FINAIS, VIGÊNCIA, REVISÃO E ATUALIZAÇÃO

Esta Política de Conformidade e Integridade entra em vigor após aprovação da Diretoria e deve ser observada por todos os públicos abrangidos.

O descumprimento de suas disposições poderá resultar na aplicação de medidas disciplinares, contratuais ou legais, conforme a natureza e a gravidade da infração, observada a legislação vigente.

A Política será revisada, no mínimo, bienalmente ou sempre que houver alterações relevantes na legislação, regulamentação, perfil de risco, estrutura organizacional ou processos internos.

As revisões deverão ser formalmente registradas, com histórico de versionamento, e a nova versão somente produzirá efeitos após aprovação da Diretoria Executiva e divulgação interna.

Os casos omissos ou dúvidas de interpretação serão avaliados pela Área de Compliance, podendo ser submetidos à apreciação da Diretoria, quando aplicável.