Idioma / Language: Português · English

POLÍTICA DE PRIVACIDADE DO PICNIC

Versão atualizada em setembro de 2026.

Esta Política de Privacidade ("Política") explica como a DeFiBasket Labs Inc. ("Picnic", "nós"), empresa constituída nas Ilhas Virgens Britânicas (BVI), trata dados pessoais relacionados aos aplicativos, sites, APIs, atendimento e serviços Picnic.

Cláusula 1. Escopo e natureza dos serviços

O Picnic combina uma interface de autocustódia com funcionalidades opcionais prestadas por terceiros, como cartão, PIX, contas virtuais e dados de recebimento fornecidos por parceiros regulados, compra e venda de ativos, swaps, bridges, produtos de rendimento ou estratégias on-chain, como Renda Fácil e Caixinha Protegida, autenticação e notificações. No fluxo de autocustódia, o Picnic não detém suas chaves privadas nem mantém a custódia dos seus ativos. O Picnic não intermedeia ordens nem custodia fundos de usuários; os serviços regulados são prestados pelos parceiros licenciados indicados na Cláusula 5, que realizam a verificação de identidade diretamente com você e respondem pelas obrigações regulatórias correspondentes. Serviços de parceiros podem envolver controles próprios, conforme os termos e avisos de privacidade desses parceiros.

Esta Política deve ser lida com os Termos de Uso e com os avisos apresentados em cada produto. O uso do Picnic não transforma o consentimento em base legal para todo tratamento: aplicamos a base legal adequada a cada finalidade e jurisdição.

Cláusula 2. Dados pessoais que tratamos

As categorias abaixo abrangem os dados que podemos receber, gerar, consultar, compartilhar ou armazenar. Os dados efetivamente tratados dependem das funcionalidades utilizadas. O mero acesso à interface não significa que todos esses dados serão coletados.

Dados cadastrais e de contato: nome, nome social ou de exibição, e-mail, idioma, país e preferências da conta.
Carteiras, autenticação e segurança: endereços de carteiras e smart accounts, signatários, identificadores de credenciais, estado de recuperação, desafios de login, sessões e sinais de segurança. O Picnic não recebe o segredo biométrico nem a chave privada da passkey.
Dispositivo, rede e notificações: endereço IP e localização aproximada dele derivada, navegador, sistema operacional, versão do aplicativo, identificadores de dispositivo ou sessão.
Dados financeiros e transacionais: saldos, ativos, posições, rendimentos, recompensas e histórico de depósitos, saques, transferências cripto, Pix, SEPA, ACH/wire, swaps, investimentos e operações programadas; valores, moedas, cotações, taxas, status, datas, redes, endereços de origem e destino, contratos de tokens e hashes. O Picnic não armazena o número completo do cartão.
Identidade e conformidade, quando aplicável e necessário: nome legal, CPF/CNPJ ou identificador fiscal equivalente, endereço quando necessário à entrega do cartão, identificadores e status de verificação (KYC/KYB), limites operacionais e informações necessárias para prevenção a fraude, sanções e obrigações legais. Em regra, documentos e biometria são coletados diretamente no ambiente do parceiro responsável. O Picnic não armazena documentos de identidade, biometria nem as respostas completas fornecidas ao parceiro na verificação; recebe do parceiro, quando necessário, os resultados, identificadores, status e limites necessários para habilitar e operar o serviço, e pode receber cópias de documentos apenas quando o próprio titular os envia ao suporte. Nessas hipóteses, aplicam-se os critérios de acesso, segurança e retenção desta Política.
Atendimento e comunicações: mensagens, anexos, gravações quando informadas, histórico de solicitações, dados de satisfação e informações enviadas por chat, e-mail ou outros canais. O conteúdo pode ser processado por ferramentas de atendimento e por provedores de inteligência artificial para triagem, elaboração de respostas e controle de qualidade, sob nossas instruções e controles contratuais e de acesso. O Picnic não utiliza esse conteúdo para treinar modelos próprios de propósito geral; quando terceiros o processam, o tratamento observa os contratos e as configurações aplicáveis.
Marketing e analytics: identificadores de campanha, referência, cookies ou tecnologias equivalentes, endereço IP e dados de conversão. Usamos consentimento quando exigido e respeitamos as permissões e configurações disponíveis no dispositivo ou aplicativo.

Cookies e tecnologias equivalentes: usamos ferramentas estritamente necessárias para autenticação, segurança, preferências e funcionamento do serviço. Quando a lei exigir, cookies e tecnologias de analytics ou publicidade dependerão da escolha apresentada no banner ou em mecanismo equivalente. Você pode gerenciar essas escolhas pelo banner, pelo navegador ou pelas configurações do dispositivo, conforme disponível.

Cláusula 3. De onde vêm os dados

De você: ao criar a conta, ativar um produto, fazer uma transação, participar de uma promoção ou falar com o suporte.
Do seu dispositivo e da sua interação com a plataforma: registros técnicos, eventos de uso, sessão.
De blockchains públicas: endereços, saldos, contratos e transações publicamente verificáveis.
De terceiros: parceiros financeiros e de infraestrutura, provedores de verificação de identidade contratados por esses parceiros, redes e estabelecimentos de cartão, provedores de autenticação, segurança e atendimento, além de fontes públicas ou legalmente acessíveis para prevenção a fraude e conformidade.

Cláusula 4. Finalidades e bases legais

Tratamos dados apenas para finalidades legítimas, específicas e compatíveis. A base legal aplicável depende da operação, da jurisdição e do papel de cada agente de tratamento.

Operar a conta e os produtos: autenticar, criar e recuperar acesso, exibir saldos, processar instruções, integrar parceiros, entregar cartão e prestar suporte. Tratamos dados cadastrais e de contato, de autenticação e segurança, de carteiras, de dispositivo e de uso do produto com base na execução de contrato ou em medidas pré-contratuais e, quando diretamente aplicável à Picnic, no cumprimento de obrigação legal.
Processar transações: obter cotações, executar e liquidar instruções, conciliar operações, tratar reembolsos e contestações e manter registros financeiros e operacionais. Tratamos dados de produtos e transações, de cartão e de contas ou subcontas de parceiros com base na execução de contrato, no exercício regular de direitos e, quando diretamente aplicável à Picnic, no cumprimento de obrigação legal ou regulatória.
Identidade, conformidade e segurança: as verificações de KYC e conformidade de cada trilho são conduzidas pelo parceiro regulado responsável. O Picnic realiza o encaminhamento técnico necessário, registra resultados e identificadores, atuando como operador do parceiro na transmissão do identificador de sessão de verificação, e mantém controles próprios de segurança, prevenção a fraude, abuso e incidentes, incluindo monitoramento próprio de atividade on-chain e de sinais de acesso. Para dados pessoais comuns, as bases podem ser a execução de contrato, o cumprimento de obrigação legal diretamente aplicável ao controlador responsável, o exercício regular de direitos e o legítimo interesse do Picnic ou de terceiros, observado o balanceamento com os direitos do titular. Dados pessoais sensíveis seguem o parágrafo específico desta cláusula.
Comunicar e personalizar: enviar avisos transacionais e de segurança, prestar suporte, aplicar preferências de idioma e produto e entregar notificações solicitadas. Tratamos dados cadastrais e de contato, de conta, dispositivo e atendimento com base na execução de contrato e no legítimo interesse; comunicações opcionais dependem de consentimento quando exigido.
Marketing: atribuir campanhas, mensurar conversões e enviar comunicações promocionais sobre produtos próprios. Tratamos dados de contato, campanha, uso e conversão com base em consentimento ou legítimo interesse, quando permitido, sempre com as opções de cancelamento e de gestão de preferências aplicáveis.
Cumprir a lei e defender direitos: responder a autoridades, auditorias e disputas, cumprir obrigações fiscais, legais ou regulatórias diretamente aplicáveis e proteger usuários, o Picnic e terceiros. As bases são o cumprimento de obrigação legal, o exercício regular de direitos e, para medidas proporcionais de segurança e prevenção a fraude envolvendo dados comuns, o legítimo interesse.

Quando o consentimento for a base legal, você poderá revogá-lo sem afetar o tratamento anterior. A revogação pode impedir uma funcionalidade que dependa estritamente desse consentimento, e isso será informado no contexto apropriado.

Dados pessoais sensíveis, quando tratados, observam exclusivamente as hipóteses legais, conforme o contexto: cumprimento de obrigação legal ou regulatória diretamente aplicável ao controlador responsável; exercício regular de direitos; e prevenção à fraude e segurança do titular nos processos de identificação e autenticação. Não utilizamos legítimo interesse como base legal para o tratamento de dados pessoais sensíveis.

Cláusula 5. Compartilhamento e papéis dos parceiros

O Picnic poderá compartilhar dados pessoais com parceiros e prestadores de serviços somente na medida necessária para oferecer as funcionalidades solicitadas pelo usuário, cumprir obrigações legais e regulatórias, proteger direitos, prevenir fraudes e garantir a segurança e a operação dos serviços.

Esse compartilhamento poderá envolver:

Parceiros de produtos e serviços financeiros: instituições responsáveis por serviços como emissão e operação de cartões, pagamentos, transferências, câmbio, contas, subcontas, carteiras digitais e outros produtos disponibilizados, observados o papel desempenhado por cada parceiro, as finalidades aplicáveis e as medidas contratuais e técnicas de proteção.
Prestadores de suporte à operação: fornecedores de infraestrutura, nuvem, hospedagem, bancos de dados, monitoramento, segurança, atendimento, comunicação, e-mail, notificações, análise de dados, marketing e inteligência artificial, observados o papel desempenhado por cada fornecedor, as finalidades aplicáveis e as medidas contratuais e técnicas de proteção.
Autoridades e terceiros legalmente autorizados: quando houver ordem ou requisição válida de autoridade competente, obrigação legal ou regulatória, ou quando o compartilhamento for necessário para prevenir danos, investigar fraudes ou exercer direitos. Sempre que aplicável, o Picnic avaliará a competência da autoridade, o fundamento e a proporcionalidade do pedido, limitará o compartilhamento ao mínimo necessário e suprimirá dados de terceiros não abrangidos. O titular será notificado quando permitido por lei e quando a comunicação não comprometer investigações, a segurança ou direitos de terceiros.

O papel de cada parceiro no tratamento dos dados dependerá da funcionalidade oferecida, da legislação aplicável e dos contratos celebrados. Em regra os parceiros atuam como controladores independentes, especialmente em atividades sujeitas a obrigações regulatórias próprias, como verificação de identidade, prevenção à lavagem de dinheiro, análise de risco e manutenção de registros. Nesses casos, o tratamento também estará sujeito à política de privacidade do respectivo parceiro, que será disponibilizada ou informada ao usuário no momento oportuno, conforme a funcionalidade utilizada.

O Picnic atua como controlador dos dados mantidos em seus próprios sistemas e poderá atuar como operador quando tratar dados em nome e segundo as instruções de um parceiro. Os avisos apresentados no produto e as políticas próprias dos parceiros complementam esta Política de Privacidade.

Cláusula 6. Dados em blockchains públicas

As transações em blockchain são públicas, verificáveis e, em regra, imutáveis. Não controlamos a rede nem conseguimos apagar ou alterar registros on-chain. Pedidos de correção ou exclusão alcançam apenas os registros sob nosso controle e estarão sujeitos às limitações técnicas e legais aplicáveis.

Picnic Name e associação pública. O Picnic Name é um identificador público, no formato [nome].picnic.name, que resolve para um endereço de carteira ou smart account indicado no momento de sua criação. Ao escolher e confirmar a criação de um Picnic Name, após visualizar o aviso específico apresentado no produto, você manifesta ciência e consentimento expresso, de forma livre, informada e inequívoca, para que o identificador escolhido seja associado publicamente ao respectivo endereço de carteira e possa ser utilizado por terceiros para localizá-lo e enviar ativos.

Ao criar, compartilhar ou publicar seu Picnic Name, você reconhece que qualquer pessoa que o conheça, receba ou pesquise poderá identificar o endereço de carteira associado e, por meio de blockchains públicas, exploradores, indexadores e outros serviços de terceiros, visualizar ou correlacionar saldos, ativos, transações, contrapartes, horários e outras informações públicas vinculadas a esse endereço. Se o Picnic Name contiver, reproduzir ou for divulgado junto com seu nome, apelido, perfil em rede social ou outro identificador, terceiros poderão relacionar sua identidade ou presença digital à sua atividade on-chain. Por isso, não utilize no Picnic Name informações pessoais desnecessárias, como nome completo, e-mail, telefone, CPF, data de nascimento ou dados pessoais sensíveis, e compartilhe-o apenas considerando essa exposição.

Você reconhece ainda que o Picnic não controla consultas, indexação, cópia, divulgação ou outros tratamentos realizados por terceiros a partir de informações públicas. A alteração, desativação ou exclusão do Picnic Name nos sistemas sob nosso controle não apaga transações registradas em blockchains nem garante a remoção de caches, registros históricos, capturas, cópias ou referências mantidas por terceiros. O consentimento relativo à resolução pública do vínculo poderá ser revogado pelos canais indicados nesta Política, sem afetar os tratamentos anteriores à revogação nem os registros públicos já existentes; a revogação poderá impedir o uso futuro do Picnic Name, observadas as limitações técnicas e legais descritas nesta cláusula.

Cláusula 7. Decisões automatizadas

Nós e nossos parceiros podemos usar regras, modelos e sinais automatizados para segurança, prevenção a fraude, conformidade, elegibilidade, limites e priorização de atendimento. O Picnic pode restringir funcionalidades com base em monitoramento próprio de atividade on-chain e de sinais de acesso, quando houver suspeita fundamentada de fraude, e executa restrições determinadas por parceiros regulados, cujos critérios devem ser tratados diretamente com o parceiro responsável. Você pode solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, bem como informações claras e adequadas sobre os critérios e procedimentos utilizados, observados os segredos comercial e industrial e os limites necessários à segurança e à prevenção à fraude.

Cláusula 8. Segurança e minimização

Adotamos medidas técnicas e organizacionais proporcionais ao risco. Nenhuma medida elimina integralmente o risco; por isso, revisamos controles e respondemos a incidentes conforme a lei. O acesso a dados de identificação e financeiros recebidos de parceiros é restrito a pessoal autorizado e registrado, e mantemos apenas os campos necessários às finalidades desta Política.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicamos a autoridade competente e os titulares afetados nos prazos e na forma da regulamentação aplicável. Mantemos registro dos incidentes pelo período legal.

Cláusula 9. Retenção, encerramento e exclusão

Mantemos dados pelo tempo necessário para fornecer os serviços e cumprir as finalidades desta Política, de acordo com a categoria do dado, o produto utilizado, as obrigações legais diretamente aplicáveis ao Picnic e os prazos de prescrição e defesa de direitos. Após o encerramento da conta, certos dados podem permanecer pelo período exigido ou permitido para obrigações legais, regulatórias, fiscais e contábeis, prevenção a fraude, segurança, auditoria, conciliação e resolução de disputas. O Picnic não conserva dados com fundamento em obrigações regulatórias que recaem exclusivamente sobre os parceiros; são os parceiros que mantêm os registros de verificação de identidade e das operações pelos prazos que a regulação lhes impõe.

O encerramento da conta não implica exclusão imediata de todo histórico, nem apaga dados gravados em blockchains públicas. Parceiros mantêm dados conforme suas próprias obrigações e políticas; atendemos diretamente os pedidos relativos aos dados que mantemos e, quanto aos dados sob controle do parceiro, acionamos o parceiro em seu nome e informamos o resultado, sem garantir a eliminação de registros que ele deva conservar por obrigação legal.

Cláusula 10. Seus direitos

Conforme a lei aplicável, você pode solicitar confirmação e acesso; correção; informação sobre compartilhamentos e consequências de não consentir; portabilidade; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados ilicitamente; revogação do consentimento; oposição; restrição; revisão de decisão automatizada; e reclamação à autoridade competente. Alguns direitos estão sujeitos a requisitos e exceções legais. Quando o pedido envolver dados sob controle de um parceiro regulado, atenderemos diretamente a parte relativa aos dados que mantemos e coordenaremos com o parceiro a parte restante, ressalvadas as obrigações legais e regulatórias.

Envie o pedido para legal@usepicnic.com. Podemos confirmar sua identidade, pedir esclarecimentos e manter registro do atendimento. Pedidos de confirmação e acesso serão atendidos em formato simplificado imediatamente ou, para declaração clara e completa, em até 15 dias. Os demais pedidos serão respondidos no prazo legal aplicável. Se não pudermos atender integralmente, explicaremos o motivo, ressalvados limites legais de sigilo e segurança.

Cláusula 11. Crianças e adolescentes

O Picnic é destinado exclusivamente a pessoas com 18 anos ou mais e não é direcionado a crianças ou adolescentes. Não realizamos publicidade comportamental direcionada a esse público. Se identificarmos que uma pessoa menor de 18 anos utilizou o serviço ou forneceu dados em desacordo com esta regra, adotaremos medidas razoáveis para interromper o uso, restringir o tratamento ao necessário para proteção, cumprimento da lei e defesa de direitos, e eliminar ou anonimizar os dados quando não houver base para sua conservação. Pedidos relativos a dados de crianças ou adolescentes podem ser encaminhados para legal@usepicnic.com.

Cláusula 12. Comunicações eletrônicas e operações societárias

Podemos enviar comunicações operacionais necessárias à conta e aos produtos. Comunicações promocionais terão opção de cancelamento quando aplicável. Após o cancelamento, mantemos apenas o registro mínimo necessário para não contatar você novamente. Em reorganização ou operação societária, dados podem ser transferidos ao sucessor ou interessado legítimo, com confidencialidade e continuidade das proteções aplicáveis.

Cláusula 13. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças legais, técnicas ou operacionais. Alterações materiais serão destacadas e comunicadas por meio adequado. A versão vigente e sua data estarão disponíveis no aplicativo ou site.

Cláusula 14. Transferências internacionais de dados

O Picnic é constituído nas Ilhas Virgens Britânicas e utiliza provedores de infraestrutura e parceiros localizados no Brasil, na União Europeia e nos Estados Unidos. Por isso, dados pessoais de titulares podem ser transferidos internacionalmente. Essas transferências observam os requisitos legais, mediante cláusulas-padrão contratuais. Você pode solicitar informações sobre os países de destino e o mecanismo aplicado pelo canal indicado na Cláusula 15.

Cláusula 15. Controlador e contato

Controlador: DeFiBasket Labs Inc., BVI Business Company, constituída nas Ilhas Virgens Britânicas.

Canal de privacidade e exercício de direitos: legal@usepicnic.com.

PICNIC PRIVACY POLICY

Updated September 2026.

This Privacy Policy ("Policy") explains how DeFiBasket Labs Inc. ("Picnic", "we", "us", or "our"), a company incorporated in the British Virgin Islands (BVI), processes personal data in connection with Picnic applications, websites, APIs, customer support, and services.

Clause 1. Scope and nature of the services

Picnic combines a self-custody interface with optional features provided by third parties, such as card services, PIX, virtual accounts and receiving details provided by regulated partners, the purchase and sale of assets, swaps, bridges, yield products or on-chain strategies such as Renda Fácil and Caixinha Protegida, authentication, and notifications. In the self-custody flow, Picnic does not hold your private keys or maintain custody of your assets. Picnic does not intermediate orders or hold users’ funds in custody; regulated services are provided by the licensed partners identified in Clause 5, which verify your identity directly with you and are responsible for the corresponding regulatory obligations. Partner services may involve their own controls, in accordance with those partners’ terms and privacy notices.

This Policy should be read together with the Terms of Use and the notices displayed for each product. Using Picnic does not make consent the legal basis for all processing: we apply the appropriate legal basis to each purpose and jurisdiction.

Clause 2. Personal data we process

The categories below cover data that we may receive, generate, access, share, or store. The data actually processed depends on the features you use. Merely accessing the interface does not mean that all of this data will be collected.

Registration and contact data: name, preferred or display name, email address, language, country, and account preferences.
Wallet, authentication, and security data: wallet and smart account addresses, signers, credential identifiers, recovery status, login challenges, sessions, and security signals. Picnic does not receive biometric secrets or passkey private keys.
Device, network, and notification data: IP address and approximate location derived from it, browser, operating system, application version, and device or session identifiers.
Financial and transactional data: balances, assets, positions, yields, rewards, and the history of deposits, withdrawals, crypto transfers, Pix, SEPA, ACH/wire transfers, swaps, investments, and scheduled transactions; amounts, currencies, quotes, fees, statuses, dates, networks, source and destination addresses, token contracts, and hashes. Picnic does not store full card numbers.
Identity and compliance data, where applicable and necessary: legal name, CPF/CNPJ or equivalent tax identifier, address when required for card delivery, verification identifiers and status (KYC/KYB), operational limits, and information necessary for fraud prevention, sanctions screening, and legal obligations. As a rule, documents and biometric data are collected directly within the environment of the responsible partner. Picnic does not store identity documents, biometric data, or the complete answers provided to the partner during verification; where necessary, Picnic receives from the partner the results, identifiers, statuses, and limits needed to enable and operate the service, and may receive copies of documents only when the data subject sends them directly to customer support. In those cases, the access, security, and retention criteria set out in this Policy apply.
Customer support and communications data: messages, attachments, recordings where disclosed, request history, satisfaction data, and information sent by chat, email, or other channels. Content may be processed by customer-support tools and artificial intelligence providers for triage, response drafting, and quality control, under our instructions and contractual and access controls. Picnic does not use this content to train its own general-purpose models; when third parties process it, the processing is governed by the applicable contracts and settings.
Marketing and analytics data: campaign identifiers, referral data, cookies or equivalent technologies, IP address, and conversion data. We rely on consent when required and respect the permissions and settings available on the device or within the application.

Cookies and equivalent technologies: we use tools that are strictly necessary for authentication, security, preferences, and operation of the service. Where required by law, analytics or advertising cookies and technologies will depend on the choice presented in the cookie banner or an equivalent mechanism. You may manage these choices through the banner, your browser, or your device settings, as available.

Clause 3. Sources of data

From you: when you create an account, activate a product, make a transaction, participate in a promotion, or contact customer support.
From your device and your interaction with the platform: technical logs, usage events, and session data.
From public blockchains: publicly verifiable addresses, balances, contracts, and transactions.
From third parties: financial and infrastructure partners, identity-verification providers engaged by those partners, card networks and merchants, authentication, security, and customer-support providers, as well as public or legally accessible sources used for fraud prevention and compliance.

Clause 4. Purposes and legal bases

We process data only for legitimate, specific, and compatible purposes. The applicable legal basis depends on the transaction, the jurisdiction, and the role of each processing party.

Operating the account and products: authenticating users; creating and recovering access; displaying balances; processing instructions; integrating partners; delivering cards; and providing support. We process registration and contact data, authentication and security data, wallet data, device data, and product usage data on the basis of performance of a contract or steps taken before entering into a contract and, where directly applicable to Picnic, compliance with a legal obligation.
Processing transactions: obtaining quotes; executing and settling instructions; reconciling transactions; handling refunds and disputes; and maintaining financial and operational records. We process product and transaction data, card data, and partner account or subaccount data on the basis of performance of a contract, the establishment, exercise, or defense of legal claims and, where directly applicable to Picnic, compliance with a legal or regulatory obligation.
Identity, compliance, and security: the KYC and compliance checks for each payment or transaction rail are conducted by the responsible regulated partner. Picnic provides the necessary technical routing, records results and identifiers, acts as the partner’s processor when transmitting the verification-session identifier, and maintains its own controls for security, fraud and abuse prevention, and incident response, including its own monitoring of on-chain activity and access signals. For ordinary personal data, the legal bases may include performance of a contract, compliance with a legal obligation directly applicable to the responsible controller, the establishment, exercise, or defense of legal claims, and the legitimate interests of Picnic or third parties, balanced against the data subject’s rights. Sensitive personal data is governed by the specific paragraph of this Clause.
Communicating and personalizing: sending transactional and security notices; providing support; applying language and product preferences; and delivering requested notifications. We process registration and contact data, account data, device data, and customer-support data on the basis of performance of a contract and legitimate interests; optional communications rely on consent where required.
Marketing: attributing campaigns, measuring conversions, and sending promotional communications about our own products. We process contact, campaign, usage, and conversion data on the basis of consent or legitimate interests, where permitted, always providing the applicable opt-out and preference-management options.
Complying with the law and protecting rights: responding to authorities, audits, and disputes; complying with tax, legal, or regulatory obligations directly applicable to us; and protecting users, Picnic, and third parties. The legal bases are compliance with a legal obligation, the establishment, exercise, or defense of legal claims and, for proportionate security and fraud-prevention measures involving ordinary personal data, legitimate interests.

Where consent is the legal basis, you may withdraw it without affecting prior processing. Withdrawal may prevent a feature that strictly depends on that consent, and this will be explained in the appropriate context.

Sensitive personal data, where processed, is handled exclusively under the legal grounds applicable to the context: compliance with a legal or regulatory obligation directly applicable to the responsible controller; the establishment, exercise, or defense of legal claims; and fraud prevention and the data subject’s security in identification and authentication processes. We do not rely on legitimate interests as a legal basis for processing sensitive personal data.

Clause 5. Sharing and partner roles

Picnic may share personal data with partners and service providers only to the extent necessary to provide the features requested by the user, comply with legal and regulatory obligations, protect rights, prevent fraud, and ensure the security and operation of the services.

This sharing may involve:

Financial product and service partners: institutions responsible for services such as card issuance and operation, payments, transfers, foreign exchange, accounts, subaccounts, digital wallets, and other available products, taking into account each partner’s role, the applicable purposes, and contractual and technical safeguards.
Operational service providers: providers of infrastructure, cloud services, hosting, databases, monitoring, security, customer support, communications, email, notifications, data analytics, marketing, and artificial intelligence, taking into account each provider’s role, the applicable purposes, and contractual and technical safeguards.
Authorities and legally authorized third parties: where there is a valid order or request from a competent authority, a legal or regulatory obligation, or where sharing is necessary to prevent harm, investigate fraud, or exercise rights. Where applicable, Picnic will assess the authority’s jurisdiction, the legal basis and proportionality of the request, limit sharing to the minimum necessary, and redact data concerning third parties who are outside the scope of the request. The data subject will be notified where permitted by law and where notice would not compromise investigations, security, or the rights of third parties.

Each partner’s role in processing data will depend on the feature offered, applicable law, and the contracts entered into. As a rule, partners act as independent controllers, particularly for activities subject to their own regulatory obligations, such as identity verification, anti-money laundering, risk analysis, and recordkeeping. In those cases, processing will also be subject to the relevant partner’s privacy policy, which will be made available or communicated to the user at the appropriate time, depending on the feature used.

Picnic acts as controller of the data maintained in its own systems and may act as processor when it processes data on behalf of and under the instructions of a partner. Notices displayed within the product and partners’ own policies supplement this Privacy Policy.

Clause 6. Data on public blockchains

Blockchain transactions are public, verifiable, and generally immutable. We do not control the network and cannot erase or alter on-chain records. Requests for correction or deletion apply only to records under our control and are subject to applicable technical and legal limitations.

Picnic Name and public association. A Picnic Name is a public identifier in the format [name].picnic.name that resolves to the wallet or smart account address selected when it is created. By choosing and confirming the creation of a Picnic Name, after viewing the specific notice displayed in the product, you acknowledge and expressly consent, freely, knowingly, and unambiguously, to the public association of your chosen identifier with the corresponding wallet address and to its use by third parties to locate that address and send assets to it.

By creating, sharing, or publishing your Picnic Name, you acknowledge that anyone who knows, receives, or searches for it may identify the associated wallet address and, through public blockchains, explorers, indexers, and other third-party services, view or correlate balances, assets, transactions, counterparties, timestamps, and other public information linked to that address. If your Picnic Name contains, reproduces, or is disclosed together with your name, nickname, social-media profile, or another identifier, third parties may connect your identity or digital presence to your on-chain activity. You should therefore avoid using unnecessary personal information in your Picnic Name, such as your full name, email address, telephone number, CPF, date of birth, or sensitive personal data, and share it only after considering this exposure.

You also acknowledge that Picnic does not control searches, indexing, copying, disclosure, or other processing carried out by third parties using public information. Changing, deactivating, or deleting a Picnic Name in systems under our control does not erase transactions recorded on blockchains or ensure the removal of caches, historical records, screenshots, copies, or references maintained by third parties. Consent to the public resolution of this link may be withdrawn through the channels identified in this Policy, without affecting processing carried out before withdrawal or public records already in existence; withdrawal may prevent future use of the Picnic Name, subject to the technical and legal limitations described in this Clause.

Clause 7. Automated decision-making

We and our partners may use automated rules, models, and signals for security, fraud prevention, compliance, eligibility, limits, and customer-support prioritization. Picnic may restrict features based on its own monitoring of on-chain activity and access signals where there is a substantiated suspicion of fraud, and it implements restrictions determined by regulated partners, whose criteria must be addressed directly with the responsible partner. You may request a review of decisions made solely on the basis of automated processing that affect your interests, as well as clear and adequate information about the criteria and procedures used, subject to trade and industrial secrets and the limitations necessary for security and fraud prevention.

Clause 8. Security and data minimization

We adopt technical and organizational measures proportionate to the risk. No measure eliminates risk entirely; accordingly, we review our controls and respond to incidents as required by law. Access to identification and financial data received from partners is limited to authorized, logged personnel, and we retain only the fields necessary for the purposes set out in this Policy.

In the event of a security incident that may pose a relevant risk or cause relevant harm, we notify the competent authority and affected data subjects within the time limits and in the manner required by applicable regulations. We maintain incident records for the legally required period.

Clause 9. Retention, account closure, and deletion

We retain data for as long as necessary to provide the services and fulfill the purposes of this Policy, taking into account the category of data, the product used, legal obligations directly applicable to Picnic, and the applicable limitation periods and defense of legal claims. After an account is closed, certain data may be retained for the period required or permitted for legal, regulatory, tax, and accounting obligations, fraud prevention, security, audits, reconciliation, and dispute resolution. Picnic does not retain data on the basis of regulatory obligations that apply exclusively to partners; partners maintain identity-verification and transaction records for the periods required by the regulations applicable to them.

Closing an account does not result in the immediate deletion of its entire history and does not erase data recorded on public blockchains. Partners retain data in accordance with their own obligations and policies; we respond directly to requests concerning data that we maintain and, for data under a partner’s control, contact the partner on your behalf and inform you of the outcome, without guaranteeing deletion of records that the partner is legally required to retain.

Clause 10. Your rights

Subject to applicable law, you may request: confirmation and access; correction; information about disclosures and the consequences of withholding consent; portability; anonymization, blocking, or deletion of unnecessary or excessive data or data processed unlawfully; withdrawal of consent; objection; restriction; review of an automated decision; and the right to lodge a complaint with the competent authority. Some rights are subject to legal requirements and exceptions. Where a request involves data under the control of a regulated partner, we will respond directly in relation to the data we maintain and coordinate the remaining portion with the partner, subject to legal and regulatory obligations.

Send your request to legal@usepicnic.com. We may verify your identity, request clarification, and retain a record of how the request was handled. Requests for confirmation and access will be answered immediately in a simplified format or, for a clear and complete statement, within 15 days. Other requests will be answered within the applicable legal time limit. If we cannot fulfill a request in full, we will explain why, subject to legal confidentiality and security limitations.

Clause 11. Children and adolescents

Picnic is intended exclusively for individuals aged 18 or older and is not directed to children or adolescents. We do not engage in behavioral advertising directed at this audience. If we determine that an individual under 18 has used the service or provided data in violation of this rule, we will take reasonable measures to discontinue the use, restrict processing to what is necessary for protection, compliance with the law, and the defense of legal claims, and delete or anonymize the data where there is no lawful basis for retaining it. Requests concerning the data of children or adolescents may be submitted to legal@usepicnic.com.

Clause 12. Electronic communications and corporate transactions

We may send operational communications necessary for the account and products. Promotional communications will include an opt-out option where applicable. After you opt out, we retain only the minimum record necessary to avoid contacting you again. In a reorganization or corporate transaction, data may be transferred to a successor or legitimate interested party, subject to confidentiality and continuity of the applicable safeguards.

Clause 13. Changes to this Policy

We may update this Policy to reflect legal, technical, or operational changes. Material changes will be highlighted and communicated through an appropriate channel. The current version and its date will be available in the application or on the website.

Clause 14. International data transfers

Picnic is incorporated in the British Virgin Islands and uses infrastructure providers and partners located in Brazil, the European Union, and the United States. Personal data may therefore be transferred internationally. These transfers comply with applicable legal requirements through standard contractual clauses. You may request information about destination countries and the mechanism used through the channel identified in Clause 15.

Clause 15. Controller and contact details

Controller: DeFiBasket Labs Inc., a BVI Business Company incorporated in the British Virgin Islands.

Privacy and data-subject-rights contact: legal@usepicnic.com.