Política de conheça sua PSAV (KY-PSAV)

1. Objetivo

Esta Política estabelece as diretrizes estratégicas e os controles mínimos obrigatórios para a identificação, qualificação, classificação de risco e monitoramento contínuo de Prestadoras de Serviços de Ativos Virtuais ("PSAVs") com as quais a Foxbit Serviços Digitais Ltda. e demais empresas de seu grupo econômico (“Foxbit”) mantenha ou pretenda estabelecer qualquer tipo de relação comercial, operacional ou tecnológica que envolva a transferência, custódia, intermediação ou liquidação de ativos virtuais.

A Foxbit declara que não iniciará nem manterá relação de negócios com qualquer PSAV que não tenha sido previamente submetida aos procedimentos de diligência aqui definidos. O objetivo é assegurar que as contrapartes institucionais da Foxbit estejam em conformidade com as normas de Prevenção à Lavagem de Dinheiro, ao Financiamento do Terrorismo e à Proliferação de Armas de Destruição em Massa (PLD/FTP), protegendo a integridade da Plataforma, de seus Usuários e do Sistema Financeiro Nacional.

2. Abrangência

Esta Política se aplica a todas as áreas, departamentos e empresas do Grupo Foxbit que venham a interagir, de forma direta ou indireta, com PSAVs nacionais ou estrangeiras, incluindo, mas não se limitando a:

• Exchanges e plataformas de negociação de ativos virtuais;
• Custodiantes institucionais de ativos virtuais;
• Corretoras e distribuidoras de ativos virtuais;
• Processadoras de pagamentos em ativos virtuais;
• Provedores de infraestrutura de blockchain que realizem intermediação ou liquidação de ativos virtuais;
• Qualquer outra pessoa jurídica, nacional ou estrangeira, que se enquadre na definição de Prestadora de Serviços de Ativos Virtuais nos termos da Lei nº 14.478/2022 e das Resoluções BCB nº 519, 520 e 521/2025.

3. Leis, normas e regulamentações aplicáveis

Esta Política foi elaborada em estrita observância às seguintes normas e melhores práticas:

• Lei nº 14.478/2022 — Marco Legal dos Criptoativos;
• Lei nº 9.613/1998 — Lei de Prevenção à Lavagem de Dinheiro;
• Resolução BCB nº 519/2025 — Dispõe sobre a autorização para funcionamento e sobre as condições para o exercício de atividades por PSAVs;
• Resolução BCB nº 520/2025 — Dispõe sobre a constituição e o funcionamento das PSAVs, estabelecendo os requisitos de PLD/FTP aplicáveis, incluindo a diligência sobre contrapartes e a regra de transferência de informações (Travel Rule);
• Resolução BCB nº 521/2025 — Altera as Resoluções BCB nº 277, 278 e 279/2022 para disciplinar as atividades e operações das PSAVs no mercado de câmbio e de capitais internacionais;
• Instrução Normativa BCB nº 739/2026 — Estabelece procedimentos operacionais relativos ao pedido de autorização e ao funcionamento das PSAVs;
• Circular BCB nº 3.978/2020 — Procedimentos de PLD/FTP para instituições autorizadas;
• Recomendações do GAFI/FATF — Em especial a Recomendação 16 (Travel Rule) e a Nota Interpretativa à Recomendação 15 (VASPs).
• Lei nº 13.260/2016 — Lei Antiterrorismo, e Lei nº 13.810/2019 — Cumprimento de sanções impostas por resoluções do Conselho de Segurança das Nações Unidas, incluindo a indisponibilidade de ativos de pessoas naturais e jurídicas sancionadas; e
• Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD), no que se refere ao tratamento de dados pessoais coletados e compartilhados no âmbito da diligência e da Travel Rule.

4. Termos e definições

Para os fins desta Política, consideram-se:

• PSAV (Prestadora de Serviços de Ativos Virtuais): Pessoa jurídica, nacional ou estrangeira, que executa, em nome próprio ou de terceiros, pelo menos um dos seguintes serviços relacionados a ativos virtuais: intermediação, negociação, distribuição, custódia, liquidação, transferência ou administração.
• PSAV Contraparte: Qualquer PSAV com a qual a Foxbit mantenha ou pretenda estabelecer relação operacional que resulte em transferência de ativos virtuais, seja em caráter contínuo (parceria comercial) ou pontual (transações isoladas de entrada e saída de ativos virtuais na Plataforma).
• Travel Rule (Regra de Transferência de Informações): Obrigação regulatória que exige que a PSAV ordenante e a PSAV beneficiária de uma transferência de ativos virtuais compartilhem informações de identificação do remetente e do destinatário da transação, nos termos da Resolução BCB nº 520/2025 e da Recomendação 16 do GAFI.
• Beneficiário Final (UBO): Pessoa natural que, em última instância, detém a propriedade ou o controle de uma PSAV, direta ou indiretamente, ou em cujo nome uma operação está sendo conduzida.
• PSAV Não Regulamentada (Shell VASP): Entidade que se apresenta como prestadora de serviços de ativos virtuais, mas que não possui sede física verificável, não é autorizada ou registrada em nenhuma jurisdição, não possui estrutura de compliance identificável, ou que atua com o propósito predominante de ofuscar a origem ou o destino de ativos virtuais.
• Privacy Coins: Criptomoedas cujo objetivo é garantia de anonimato e confidencialidade das transações, como Monero (XMR) ou Zcash (ZEC), que dificultam a rastreabilidade por ferramentas de KYT e cujo anonimato e confidencialidade fazem com que tais moedas sejam utilizadas para finalidades ilícitas.
• Mixers and Tumblrs: Ferramentas e serviços de mistura ou “embaralhamento” de criptoativos de diversas origens com o objetivo de dificultar ou impedir o rastreamento da origem e do destino dos fundos na blockchain. Uma parte significativa dos fundos misturados costumam ter origem ilícita.

5. Papéis e responsabilidades

5.1. Diretoria da Foxbit

• Assegurar que os recursos sistêmicos, humanos e financeiros necessários para a execução do processo de KY-PSAV estejam disponíveis.
• Aprovar formalmente esta Política e suas revisões.

5.2. Diretor de Compliance

• Aprovar ou vetar o início e a continuidade de relacionamento com PSAVs classificadas como Risco Alto.
• Validar os critérios desclassificatórios e as decisões de encerramento compulsório de relacionamento com PSAVs.
• Garantir a independência do processo de KY-PSAV em relação a pressões comerciais.

5.3. Área de Compliance

• Conduzir a diligência prévia (coleta, verificação e análise de documentos e informações).
• Classificar as PSAVs Contrapartes conforme a Matriz de Risco.
• Executar o monitoramento contínuo e as revisões periódicas.
• Manter os dossiês de diligência atualizados e disponíveis para auditoria.
• Operacionalizar o cumprimento da Travel Rule.
• Reportar imediatamente ao Gerente e ao Diretor de Compliance qualquer alerta, atipicidade ou deterioração no perfil de risco de uma PSAV Contraparte.

5.4. Área Jurídica

• Elaborar e revisar os instrumentos contratuais com PSAVs Contrapartes, assegurando a inclusão de cláusulas de manutenção de autorização regulatória vigente, cooperação com a Travel Rule, compartilhamento de dados e adequação à LGPD, segregação patrimonial, rescisão motivada sem multa por descumprimento regulatório ou perda de autorização e direitos de informação periódica e sob demanda.
• Assegurar, nesses instrumentos, direitos de suspensão temporária e de encerramento definitivo do relacionamento atrelados aos gatilhos desta Política, bem como qualquer outro indício de fraude, sendo o encerramento definitivo formalizado mediante registro fundamentado no dossiê da PSAV pela área responsável.

5.5. Áreas de Negócio e Tecnologia

• Realizar abertura de Ticket no Jira, para Homologação de Fornecedor, previamente e com antecedência razoável, qualquer intenção de estabelecer nova relação comercial ou integração técnica com uma PSAV.
• Não iniciar integrações técnicas, operacionais ou comerciais com PSAVs sem a aprovação formal do Compliance.
• Colaborar com o Compliance no fornecimento de informações técnicas sobre os fluxos transacionais envolvidos.

6. Princípios e diretrizes

6.1. Abordagem Baseada em Risco (ABR)

A Foxbit aplica a Abordagem Baseada em Risco como pilar central do processo de KY-PSAV. A profundidade da diligência prévia, a frequência do monitoramento contínuo e o rigor dos controles serão sempre proporcionais ao nível de risco que a PSAV Contraparte representa para a Foxbit, seus Usuários e o Sistema Financeiro Nacional.

6.2. Vedação Absoluta ao Relacionamento com PSAVs Não Regulamentadas

A Foxbit não estabelecerá e não manterá relação de qualquer natureza com PSAVs que se enquadrem como "Shell VASPs" — entidades sem presença física verificável na jurisdição em que alega operar, sem autorização ou registro perante o regulador competente, e sem estrutura demonstrável de governança e PLD/FTP. A identificação de tais características constitui critério desclassificatório imediato e inegociável.

6.3. Princípio da Reciprocidade e Cooperação (Travel Rule)

A Foxbit compromete-se a cumprir integralmente as obrigações de transmissão e recebimento de informações sobre transferências de ativos virtuais (Travel Rule), conforme Resolução BCB nº 520/2025. A Foxbit somente processará transferências com PSAVs Contrapartes que demonstrem capacidade técnica e operacional de cumprir a Travel Rule. A incapacidade ou a recusa reiterada de uma PSAV Contraparte em compartilhar as informações exigidas resultará na suspensão ou encerramento do relacionamento.

6.4. Transparência e Documentação

Todos os processos de diligência, classificação de risco, monitoramento e decisões sobre PSAVs Contrapartes deverão ser documentados de forma completa, rastreável e auditável, constituindo dossiê permanente à disposição das autoridades competentes.

7. Diligência prévia (due diligence) de PSAVs

7.1. Regra Geral

É terminantemente proibido o início de qualquer relação comercial ou operacional com uma PSAV Contraparte antes da conclusão e aprovação do processo de diligência prévia pela Equipe de Compliance. Exceções a esta regra somente poderão ser concedidas mediante autorização expressa, fundamentada e documentada do Diretor de Compliance.

7.2. Coleta Obrigatória de Informações

Para toda PSAV Contraparte, a Equipe de Compliance deverá coletar e verificar, no mínimo, as seguintes informações:

A) Identificação Corporativa e Regulatória:

• Razão Social, nome fantasia e número de registro corporativo (CNPJ, ou equivalente estrangeiro);
• Endereço completo da sede e de filiais relevantes;
• País de constituição e jurisdições em que opera;
• Número e status da autorização ou registro perante o regulador competente (BCB, no caso de PSAVs nacionais; reguladores locais equivalentes, para estrangeiras);
• Evidência documental de que a PSAV possui autorização vigente ou processo de autorização em andamento, quando aplicável;
• Descrição dos serviços de ativos virtuais prestados;
• Classificação formal da modalidade de atuação da PSAV, em conformidade com as categorias estabelecidas pelo Banco Central do Brasil (Intermediária de Ativos Virtuais, Custodiante de Ativos Virtuais ou Corretora de Ativos Virtuais) ou classificação equivalente na jurisdição de origem para PSAVs estrangeiras.

B) Estrutura Societária e Beneficiários Finais:

• Organograma societário completo até a identificação de todas as Pessoas Naturais Beneficiárias Finais;
• Identificação dos administradores, diretores e membros do conselho (Nome, CPF ou documento de identificação equivalente, nacionalidade);
• Declaração de exposição política (PEP) de todos os administradores e Beneficiários Finais.

C) Estrutura de Compliance e PLD/FTP:

• Comprovação de que a PSAV possui Política de PLD/FTP implementada;
• Identificação do responsável pelo Programa de PLD/FTP (Compliance Officer ou equivalente);
• Evidência de que a PSAV adota procedimentos de KYC/KYB obrigatório para seus próprios clientes;
• Verificação de que a PSAV não oferece Privacy Coins, nem serviços de Mixer ou Tumblr
• Confirmação de que a PSAV realiza monitoramento transacional e reporte de operações suspeitas às autoridades competentes de sua jurisdição;
• Evidência de capacidade técnica para cumprimento da Travel Rule;
• Informações sobre ferramentas de rastreabilidade em blockchain (KYT) utilizadas pela PSAV;
• Evidência de procedimentos, controles e ferramentas de análise de blockchain adotados pela PSAV para a avaliação e mitigação de riscos em transferências de e para carteiras autocustodiadas (unhosted wallets).

D) Reputação e Histórico:

• Pesquisa de mídias negativas envolvendo a PSAV, seus administradores e Beneficiários Finais;
• Consulta em listas de sanções nacionais e internacionais, incluindo, mas sem se limitar a OFAC, CSNU, UE, CEIS e CNEP;
• Verificação de histórico de penalidades, advertências ou sanções impostas por reguladores;
• Verificação de envolvimento em incidentes de segurança cibernética, hacks ou perdas de custódia reportados publicamente.

E) Proteção de Ativos e Segregação Patrimonial:

• Declaração formal ou evidência documental de que a PSAV mantém segregação lógica e contábil rigorosa entre o seu patrimônio próprio e os ativos virtuais detidos em nome de seus clientes;
• Confirmação de que a PSAV não realiza operações de rehipotecação, empréstimos, staking não autorizado ou qualquer forma de concessão de crédito utilizando fundos ou ativos virtuais de clientes sem o consentimento prévio, expresso e documentado dos titulares.

7.3. Diligência Reforçada (Enhanced Due Diligence - EDD)

A Equipe de Compliance deverá aplicar procedimentos de diligência reforçada sempre que identificar um ou mais dos seguintes fatores de risco elevado:

• A PSAV está sediada ou opera predominantemente em jurisdição classificada como de alto risco pelo GAFI ou listada como não cooperante;
• A estrutura societária da PSAV apresenta múltiplas camadas de holdings, offshores ou entidades em paraísos fiscais que dificultem a identificação do Beneficiário Final;
• Administradores ou Beneficiários Finais da PSAV são classificados como PEP;
• A PSAV apresenta mídias negativas relevantes associadas a fraude, lavagem de dinheiro, financiamento do terrorismo ou sanções;
• A PSAV oferta predominantemente ativos virtuais ou serviços com características de anonimização ou ofuscação (ex: privacy coins, mixers);
• O volume transacional esperado é significativamente elevado em relação ao porte aparente da PSAV.

A diligência reforçada incluirá, além de todos os itens da diligência padrão:

• Solicitação de cópias das políticas de PLD/FTP e de Governança da PSAV;
• Solicitação de relatórios de auditoria independente (compliance ou financeira) da PSAV, quando disponíveis;
• Análise da jurisdição de origem (avaliação de equivalência regulatória);
• Apresentação de resumo da Política de Segurança Cibernética, relatórios sumários de testes de intrusão (pentest) recentes ou certificações de segurança da informação e infraestrutura reconhecidas pelo mercado (ex: ISO 27001, SOC 1/SOC 2 Tipo II);
• Aprovação expressa e documentada do Diretor de Compliance para o início ou a continuidade do relacionamento.

8. Classificação de risco de PSAVs

8.1. Critérios de Classificação

Após a conclusão da diligência prévia, a Equipe de Compliance deverá classificar a PSAV contraparte em uma das categorias de risco descritas abaixo. Conforme o apetite de risco institucional, a Foxbit poderá aceitar e aprovar contrapartes em qualquer nível de classificação (baixo, médio ou alto), desde que cumpridos os critérios de elegibilidade e os controles internos estabelecidos pela Foxbit.

🟢 RISCO BAIXO: PSAV autorizada e supervisionada por regulador reconhecido (ex: BCB, FCA, MAS, NYDFS), sediada em jurisdição com arcabouço regulatório de PLD/FTP equivalente ao brasileiro, com estrutura de compliance verificável, Travel Rule operacional, sem mídias negativas relevantes e com Beneficiários Finais plenamente identificados.

🟡 RISCO MÉDIO: PSAV autorizada ou registrada em jurisdição com regulação parcial de PLD/FTP, ou que apresente fatores de risco gerenciáveis (ex: jurisdição emergente em regulação, Beneficiário Final com participação em múltiplas empresas, volume transacional elevado mas justificável). Requer monitoramento intensificado e revisão periódica com intervalo reduzido.

🔴 RISCO ALTO: PSAV sediada em jurisdição de alto risco (GAFI), com estrutura societária opaca, administradores ou Beneficiários Finais classificados como PEP, histórico de sanções regulatórias, mídias negativas relevantes ou que demonstre fragilidades significativas em seu Programa de PLD/FTP. O relacionamento somente poderá ser mantido com aprovação expressa do Diretor de Compliance e sujeito a monitoramento contínuo e intensivo.

⛔ VEDADO (Critério Desclassificatório Imediato): A Foxbit não manterá relacionamento com PSAVs que se enquadrem em qualquer dos cenários abaixo:

• PSAVs sem autorização, registro ou qualquer forma de supervisão regulatória (Shell VASPs);
• PSAVs cujos Beneficiários Finais não possam ser identificados, mesmo após diligência reforçada;
• PSAVs sediadas em jurisdições objeto de contramedidas do GAFI;
• PSAVs ou seus administradores/Beneficiários Finais presentes em listas de sanções (OFAC, CSNU, UE);
• PSAVs que se recusem a fornecer as informações mínimas exigidas nesta Política.

8.2. Matriz de Revisão Periódica

A classificação de risco de cada PSAV Contraparte não é estática e será revisada conforme a seguinte periodicidade mínima:

A revisão poderá e deverá ocorrer a qualquer tempo, independentemente da periodicidade acima, sempre que houver: alteração na estrutura societária ou nos Beneficiários Finais da PSAV; mudança no status regulatório da PSAV ou de sua jurisdição; surgimento de mídias negativas relevantes; alertas provenientes das ferramentas de KYT; ou solicitação das autoridades competentes.

9. Travel rule — transferência de informações entre PSAVs

9.1. Obrigação de Transmissão (PSAV Ordenante)

Quando a Foxbit atuar como PSAV Ordenante de uma transferência de ativos virtuais destinada a outra PSAV, deverá transmitir, no mínimo, as seguintes informações sobre o remetente e o destinatário, conforme exigido pela Resolução BCB nº 520/2025:

• Informações do Remetente (Usuário Foxbit): Nome completo; Número de identificação (CPF/CNPJ ou equivalente estrangeiro); Número da conta ou identificador da transação na Plataforma Foxbit.
• Informações do Destinatário: Nome completo; Número da conta ou identificador na PSAV Contraparte.

9.2. Obrigação de Recebimento e Validação (PSAV Beneficiária)

Quando a Foxbit atuar como PSAV Beneficiária, deverá exigir da PSAV Ordenante as informações equivalentes antes de creditar os ativos virtuais na conta do destinatário. A Foxbit verificará a consistência das informações recebidas e, em caso de dados incompletos, inconsistentes ou suspeitos:

• Solicitará à PSAV Ordenante a complementação ou correção das informações;
• Reterá a transação até a regularização das informações;
• Reportará a situação como alerta à Equipe de Compliance para análise de atipicidade.

9.3. Meios Técnicos para Cumprimento da Travel Rule

A Foxbit utilizará protocolos, plataformas ou mecanismos técnicos reconhecidos pelo mercado e compatíveis com as exigências regulatórias para a transmissão segura das informações da Travel Rule, assegurando a confidencialidade, integridade e rastreabilidade dos dados compartilhados.

9.4. Limiar de Aplicação e Exceções

A Foxbit aplicará os procedimentos de Travel Rule a todas as transferências de ativos virtuais entre PSAVs, observando os limites de valor eventualmente estabelecidos pela regulamentação vigente. Para transferências abaixo de eventuais limiares regulatórios, a Foxbit poderá adotar procedimentos simplificados, desde que mantenha a capacidade de fornecer as informações completas quando solicitada pelas autoridades competentes.

9.5. Operações Transfronteiriças e Enquadramento Cambial

Em relacionamentos com PSAVs estrangeiras que envolvam a transferência internacional de ativos virtuais, a Foxbit exigirá a coleta, transmissão e manutenção de dados suficientes não apenas para fins de PLD/FTP, mas para garantir o correto enquadramento cambial da operação. A PSAV Contraparte estrangeira deverá atuar de forma cooperativa, garantindo que as informações relativas aos ordenantes e beneficiários finais no exterior sejam fornecidas tempestivamente, permitindo que a Foxbit cumpra de forma integral suas obrigações de reporte periódico ao Banco Central do Brasil e demais autoridades competentes, em estrita observância à regulamentação do mercado de câmbio e de capitais internacionais.

10. Monitoramento contínuo de PSAVs contrapartes

10.1. Monitoramento Transacional (KYT Institucional)

A Foxbit irá monitorar continuamente o perfil transacional das PSAVs Contrapartes, observando indicadores de alerta, incluindo, mas não se limitando a:

• Aumento abrupto e injustificado do volume transacional;
• Padrões de transações incompatíveis com o porte declarado da PSAV;
• Recebimento recorrente de ativos virtuais com exposição a entidades ilícitas, conforme apontamento das ferramentas de rastreabilidade em blockchain (TRM Labs);
• Falhas reiteradas no cumprimento da Travel Rule;
• Mudanças na estrutura societária ou na jurisdição de operação sem comunicação prévia.

10.2. Monitoramento Reputacional e Regulatório

A Equipe de Compliance manterá vigilância contínua sobre mudanças no cenário regulatório das jurisdições relevantes e sobre notícias e publicações que possam afetar o perfil de risco das PSAVs Contrapartes, incluindo sanções, advertências regulatórias, incidentes de segurança e mídias negativas.

10.3. Ações em Caso de Deterioração do Perfil de Risco

Caso o monitoramento contínuo identifique uma deterioração relevante no perfil de risco de uma PSAV Contraparte, a Equipe de Compliance deverá adotar, conforme a gravidade e a urgência, uma ou mais das seguintes medidas:

• Reclassificação imediata do nível de risco;
• Suspensão temporária de novas transferências com a PSAV até a conclusão de uma nova diligência;
• Solicitação de informações adicionais ou esclarecimentos à PSAV Contraparte;
• Comunicação de operações suspeitas ao COAF, se aplicável;
• Encerramento definitivo do relacionamento, com registro fundamentado no dossiê da PSAV.

11. Retenção e guarda de documentos

Todos os dossiês de diligência, registros de classificação de risco, evidências de monitoramento, correspondências e decisões relacionadas a PSAVs Contrapartes deverão ser conservados e mantidos à disposição das autoridades competentes pelo prazo mínimo de 10 (dez) anos, contados do encerramento do relacionamento com a PSAV, em conformidade com a Norma de PLD/FTP da Foxbit e com a legislação vigente.

12. Penalidades

O descumprimento das diretrizes e obrigações estabelecidas nesta Política por parte de qualquer Colaborador, Diretor ou área de negócio da Foxbit constitui falta grave. Violações sujeitarão os infratores a medidas disciplinares severas, incluindo advertência formal, suspensão, rescisão contratual e demissão por justa causa, sem prejuízo das sanções civis, penais e administrativas cabíveis perante as autoridades competentes.

13. Canais de contato

Qualquer violação, efetiva ou suspeita, das diretrizes desta Política deverá ser comunicada prontamente por meio do e-mail [email protected] ou diretamente ao Diretor de Compliance.

14. Vigência

A presente política entra em vigor a partir da data da última assinatura do documento e tem validade de até 1 (um) ano ou em prazo inferior, nas hipóteses de alteração da legislação aplicável ou de direcionamento estratégico da Foxbit.

15. Anexo

• Política de Prevenção à Lavagem de Dinheiro e Financiamento ao Terrorismo (PLDFT);
• Política de Prevenção e Combate a Fraudes;