1. Information We Collect
To deliver prepaid card credit services and adhere to international AML/KYC requirements, TacoPay collects the following categories of data:
- Account & Contact Data: Full legal name, verified email address, phone number, and password hashes (stored using argon2/bcrypt).
- Identity & KYC Verification Data: National Identity Card, Passport, or driving license images, proof of address, and facial biometrics verified via Didit KYC.
- Transaction & Reload Information: Phone numbers utilized for M-Pesa / e-Mola top-ups, transaction reference IDs, top-up amounts in Meticais, and public blockchain transaction hashes for USDT deposits.
- Technical & Usage Metrics: IP addresses, browser fingerprint, device type, operating system, and session security timestamps.
2. How We Use Your Information
We process your personal information strictly for legitimate commercial and legal purposes:
- Facilitating credit acquisitions in Meticais or USDT and relaying credit requests to the partner card issuer.
- Complying with Anti-Money Laundering (AML), Counter-Terrorist Financing (CFT), and sanctions screening requirements.
- Preventing fraudulent takeovers, brute force logins, and unauthorized reload attempts.
- Providing real-time customer support, transaction notifications, and balance updates.
3. Cardholder Data & PCI-DSS Tokenization
When you view your card details in the TacoPay app, they are decrypted on-demand inside an isolated secure session using hardware-accelerated end-to-end encryption.
4. Sharing with Regulated Partners & Service Providers
TacoPay does not sell or rent personal information to third-party advertisers. We disclose data solely to:
| Partner Category | Purpose | Data Shared |
|---|---|---|
| Licensed Card Issuing Partners | Card issuance, USD balance management, payment rail processing (Visa/Mastercard) | Name, KYC verification status, requested USD balance |
| Didit KYC Services | Biometric validation, identity document verification, fraud risk scoring | Document image, selfie, identity number |
| Telecom Providers (M-Pesa, e-Mola) | Processing mobile money debits in Meticais | User phone number, transaction amount in MZN |
| Legal & Regulatory Authorities | Compliance with formal subpoenas, court orders, or mandatory AML investigations | As legally mandated |
5. Storage, Cross-Border Transfers & Encryption
Your information is stored in hardened cloud facilities equipped with:
- Data in Transit: TLS 1.3 encryption with strict HTTP Strict Transport Security (HSTS).
- Data at Rest: AES-256 bit military-grade volume and database encryption.
- Access Controls: Role-based access control (RBAC), multi-factor hardware keys, and immutable audit logging.
6. Your Data Protection Rights
Regardless of where you reside, TacoPay affords you standard international data protection rights:
- Right of Access: Request a full copy of your personal data held in our systems.
- Right to Rectification: Request correction of obsolete or erroneous records.
- Right to Erasure ("Right to be Forgotten"): Request deletion of your profile, subject to statutory AML retention obligations.
- Right to Restrict Processing: Request limits on specific processing activities.
7. Retention Period
Under international financial compliance and anti-money laundering regulations, transaction logs and identity verification records must be retained for a mandatory minimum period of 5 years following account closure. Following the expiration of statutory obligations, records are permanently wiped.
8. Cookies & Local Storage
We use strictly necessary session cookies and local storage tokens (such as tacopay_lang_v2 to remember your language preference) to ensure secure authentication, CSRF protection, and smooth navigation. We do not deploy invasive third-party cross-site behavioral tracking cookies.
9. Contacting Our Data Protection Officer (DPO)
To exercise your privacy rights or contact our compliance team:
- Data Protection Officer: privacy@tacopay.co
- General Support: support@tacopay.co
- Address: TacoPay Inc. — Legal & Privacy Division.
1. Informações que Recolhemos
Para disponibilizar os serviços de créditos para cartões pré-pagos e assegurar o cumprimento de normas internacionais de prevenção a fraudes e branqueamento de capitais, a TacoPay recolhe:
- Dados de Registo e Contacto: Nome completo, endereço de correio eletrónico verificado, número de telemóvel e senhas encriptadas com algoritmos criptográficos robustos (argon2/bcrypt).
- Dados de Identificação e Verificação (KYC): Fotografias do Bilhete de Identidade, Passaporte ou Carta de Condução, comprovativo de morada e validação biométrica facial executada via Didit KYC.
- Dados de Transações e Recargas: Número de telemóvel utilizado nas recargas M-Pesa / e-Mola, referências de transação, montantes em Meticais e hashes de transação blockchain públicas para depósitos em USDT.
- Dados Técnicos e de Acesso: Endereço IP, dados do navegador, modelo de dispositivo móvel ou computador, sistema operativo e registos de segurança de sessão.
2. Finalidades do Tratamento de Dados
Os dados pessoais são tratados estritamente para as seguintes finalidades operacionais e legais:
- Processar as aquisições de créditos em Meticais ou USDT e comunicar a atribuição do saldo ao parceiro emissor do cartão.
- Cumprir obrigações legais de prevenção ao branqueamento de capitais (AML) e combate ao financiamento do terrorismo (CFT).
- Proteger a conta contra invasões, acessos não autorizados e transações fraudulentas.
- Prestar assistência ao cliente em tempo real e emitir recibos e notificações de recarga.
3. Proteção dos Dados do Cartão & Normas PCI-DSS
Sempre que consulta o seu cartão na aplicação TacoPay, os dados são transmitidos através de uma ligação encriptada de ponta a ponta com desencriptação pontual apenas no seu ecrã.
4. Partilha de Informações com Parceiros Regulados
A TacoPay nunca vende nem comercializa os seus dados pessoais com agências de publicidade terceiras. Os dados são partilhados exclusivamente com:
| Entidade Parceira | Finalidade | Dados Partilhados |
|---|---|---|
| Provedores Parceiros Emissores | Emissão técnica dos cartões Visa/Mastercard e gestão do saldo em USD | Nome, estado de verificação KYC e montante do saldo USD |
| Didit KYC | Validação biométrica e verificação de autenticidade dos documentos | Foto do documento, selfie biométrica e número de identificação |
| Operadoras Móveis (M-Pesa, e-Mola) | Execução do débito móvel local em Meticais | Número de telemóvel do cliente e valor da transação em MZN |
| Autoridades Judiciais e Financeiras | Cumprimento de mandados judiciais formais ou investigações de fraude | Apenas os estritamente exigidos por ordem legal válida |
5. Armazenamento, Segurança e Criptografia
Os dados encontram-se armazenados em centros de dados com segurança biométrica e redundância de última geração:
- Dados em Trânsito: Protegidos por encriptação TLS 1.3 com certificados SSL avançados e protocolo HSTS.
- Dados em Repouso: Armazenados em volumes encriptados com chave AES de 256 bits.
- Acesso Interno Restrito: Controlos de acesso rigorosos baseados na função (RBAC), autenticação de dois fatores e registo de auditoria imutável.
6. Direitos do Titular dos Dados
Em conformidade com as melhores práticas de proteção de dados (alinhadas com o GDPR), o utilizador possui os seguintes direitos:
- Direito de Acesso: Obter confirmação e cópia dos dados pessoais que mantemos na sua conta.
- Direito de Retificação: Solicitar a atualização imediata de dados cadastrais incorretos ou desatualizados.
- Direito ao Apagamento: Solicitar a eliminação dos seus dados, ressalvados os prazos legais de retenção obrigatória financeira.
- Direito de Oposição: Opor-se a comunicações de marketing informativo a qualquer momento nas definições da conta.
7. Prazo de Conservação dos Dados
Por imposição legal internacional e normas financeiras contra crimes econômicos, os dados cadastrais e o histórico de transações devem ser conservados pelo período legal mínimo de 5 anos após o encerramento da conta. Decorrido este prazo, os registos são eliminados de forma definitiva e irrecuperável.
8. Cookies e Tecnologias de Sessão
Utilizamos apenas cookies essenciais para autenticação e integridade da sessão, bem como armazenamento local seguro (como a chave tacopay_lang_v2 para recordar a sua preferência de idioma). Não utilizamos cookies de rastreio de terceiros para publicidade intrusiva.
9. Contacto do Encarregado de Proteção de Dados (DPO)
Para exercer os seus direitos ou esclarecer qualquer questão de privacidade:
- Encarregado de Dados (DPO): privacy@tacopay.co
- Suporte Geral: support@tacopay.co
- TacoPay Inc.: Divisão Jurídica e de Proteção de Dados.