Este Aviso de Privacidade explica como a CAIXA trata os dados pessoais em conformidade com a Lei Geral de Proteção de Dados Pessoais, a LGPD (Lei nº 13.709/2018). O Aviso de Privacidade é parte integrante do REGULAMENTO GERAL DO PROGRAMA DE FIDELIDADE Uau CAIXA (“Regulamento”), o qual estabelece as regras de participação no Programa gerido pelo Consórcio Sírius, inscrito no CNPJ sob o nº 60.726.681/0001-00. Você encontrará no Regulamento algumas das definições utilizadas neste Aviso de Privacidade. Nós reconhecemos o valor e a importância que seus dados pessoais têm para você, e por isso estamos comprometidos em tratá-los adequadamente e protegê-los. Neste contexto, o Consórcio Sírius (“Consórcio”) e a Caixa Econômica Federal atuam como controladores conjuntos dos dados pessoais tratados no âmbito do Programa de Fidelidade Uau CAIXA (“Uau CAIXA”), definindo de forma coordenada as finalidades e os meios de tratamento dessas informações. Portanto, este Aviso detalha como coletamos, utilizamos, armazenamos, compartilhamos e protegemos os seus dados pessoais quando você acessa e utiliza o Uau CAIXA. IMPORTANTE: CASO NÃO CONCORDE COM AS DISPOSIÇÕES DESTE AVISO DE PRIVACIDADE OU DO REGULAMENTO, VOCÊ NÃO PODERÁ ACESSAR OU UTILIZAR O Uau CAIXA.

ABRANGÊNCIA O presente Aviso aplica-se a todas as atividades de tratamento de dados pessoais no âmbito do Uau CAIXA. TERMOS E DEFINIÇÕES Para o entendimento deste aviso devemos considerar as definições e terminologias conforme o detalhamento a seguir: Anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo. Autoridade Nacional / Agência Nacional de Proteção de Dados (ANPD): órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da Lei Geral de Proteção de Dados (“LGPD”) em todo o território nacional. Banco de Dados: conjunto estruturado de dados, estabelecido em um ou em vários locais, em suporte eletrônico ou físico. Bloqueio: suspensão temporária de qualquer operação de tratamento, mediante guarda do dado pessoal ou do banco de dados. Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada. Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.

Dado Pessoal: informação relacionada a pessoa natural identificada ou identificável. Dado Pessoal Sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural. Finalidade: motivo pelo qual é realizado o tratamento do dado pessoal do titular. Lei Geral de Proteção de Dados Pessoais (LGPD): a Lei nº 13.709/2018 ou LGPD, que dispõe sobre o tratamento de dados pessoais de pessoas naturais, independente do meio, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural. Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador. Site / Website: endereço virtual de pessoa física ou jurídica, composto por um conjunto de páginas eletrônicas. Titular / Usuário: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento. Transferência Internacional de Dados: transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro. Tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.

POR QUE TRATAMOS SEUS DADOS PESSOAIS? De modo geral, tratamos os seus dados pessoais para permitir seu acesso ao Uau CAIXA, permitir que você acesse o Programa de Pontos, o Marketplace, as ofertas de Cashback e o Clube de Benefícios, bem como para interagir com você no âmbito do Uau CAIXA, por meio de múltiplos canais de comunicação. O tratamento de dados pessoais se aplica tanto a clientes que aderirem voluntariamente ao Programa quanto àqueles oriundos do Programa de Pontos da CAIXA Cartões, que forem pré-cadastrados conforme previsto no Regulamento, com direito de opt-out no prazo de 30 (trinta) dias a contar da comunicação. Mais especificamente, seus dados pessoais são utilizados para as seguintes finalidades: (i) Comunicação, visando relacionamento, engajamento e fidelização (incluindo saldo, validade e uso de pontos, novidades, ofertas, campanhas e outras comunicações do Programa e seus Parceiros): tratamos seus dados para enviar comunicações essenciais (ex.: criação de conta, segurança, avisos operacionais), mensagens sobre saldo/validade de pontos, confirmação de resgates, vouchers e

informações sobre produtos/serviços e campanhas. Também tratamos seus dados para responder solicitações, dar suporte e conduzir pesquisas de satisfação. (ii) Divulgação de benefícios, ofertas de produtos, serviços e experiências, recompensas, promoções/campanhas/ações promocionais do Programa, dos seus Parceiros e Empresas Conveniadas: utilizamos dados para apresentar e divulgar, de forma contextualizada, oportunidades do Programa e de parceiros conveniados. Quando necessário à oferta/entrega, dados mínimos poderão ser compartilhados com esses parceiros, nos limites desta finalidade. (iii) Realização de estudos e pesquisas, bem como o aprimoramento e desenvolvimento contínuo do Programa, incluindo a personalização da experiência do Participante: usamos dados (preferencialmente agregados e, quando possível, anonimizados) para entender como o Programa é usado, medir engajamento, avaliar funcionalidades e implementar melhorias (ex.: testes de usabilidade, ajustes de mecânicas de pontuação). Nesse contexto, podemos atualizar e complementar legitimamente informações para aumentar seu engajamento, a qualidade e assertividade dos dados, a fim de oferecer conteúdo/benefícios mais relevantes e uma experiência mais eficiente e segura. (iv) Verificação da identidade e dados pessoais do participante, para fins de autenticação, segurança, prevenção à fraude, bem como para permitir o acesso e utilização do Programa em seus canais oficiais: tratamos seus dados para criar e autenticar sua conta, registrar e auditar acessos (logs), aplicar controles antifraude e de segurança (ex.: validações de identidade, detecção de uso indevido), e garantir que apenas você utilize sua conta. Essas medidas incluem monitoramento técnico proporcional e registro de eventos de segurança. (v) Realização de atividades de cobrança, quando aplicável, relacionadas à utilização de Produtos Fidelidade que envolvam obrigações financeiras: quando houver produto/serviço com contraprestação (ex.: assinaturas do Clube de Benefícios), usamos dados para faturamento, emissão de cobranças, conciliações, gestão de inadimplência, estornos e tratamento de disputas. Os dados são tratados estritamente para cumprir essa finalidade e por prazos compatíveis com obrigações legais e contratuais.

(vi) Cumprimento de obrigações legais e regulatórias: tratamos dados para atender normas aplicáveis (ex.: defesa do consumidor, civil, tributária, bancária e de proteção de dados), manter registros exigidos, cumprir prazos de guarda, apoiar processos de auditoria e atender diretrizes da Agência Nacional de Proteção de Dados (ANPD), incluindo comunicação de incidentes quando aplicável. (vii) Atendimento de requisições de autoridades administrativas e judiciais: podemos acessar, preservar e compartilhar dados quando formos legalmente demandados por autoridades competentes, mediante requisição válida e fundamentada. Registramos e avaliamos essas solicitações, cumprindo apenas o estritamente necessário e nos termos da legislação. (viii) Emissão, controle e resgate de pontos, incluindo a intermediação de compras no Marketplace, a entrega de recompensas e cashback, o registro de transações e a manutenção do histórico de movimentações associadas à conta do Participante: tratamos dados para operacionalizar a mecânica de pontuação (acúmulo, saldo, validade, regras), validar elegibilidade e processar

resgates, inclusive intermediação com parceiros do Marketplace para entrega de produtos/serviços, recompensas e cashbacks. Mantemos o histórico de movimentações e extratos para transparência, conferência pelo participante e solução de contestações. (ix) Processamento de documentos fiscais por leitor de notas fiscais: Utilizamos leitor de notas fiscais para captura e o tratamento de informações contidas em notas fiscais, recibos e comprovantes apresentados pelos participantes, com a finalidade de validar transações relacionadas ao acúmulo e resgate de pontos, viabilizar estornos e reembolsos, realizar conciliação de pagamentos, atender obrigações fiscais e contábeis, e subsidiar processos de auditoria. O tratamento se dará com base nas bases legais aplicáveis, especialmente cumprimento de obrigação legal ou regulatória, necessidade para execução de contrato e, quando aplicável, em legítimo interesse para prevenção a fraudes e segurança do Programa. A base de dados formada por meio da coleta e armazenamento de dados pessoais do titular é de propriedade da Caixa Econômica Federal e responsabilidade do Consórcio, sendo que seu uso, acesso e compartilhamento, quando necessários, serão realizados dentro dos limites e propósitos de seus negócios, podendo, neste sentido, serem disponibilizados para consulta, compartilhados e cedidos a fornecedores e autoridades, desde que obedecido ao disposto no presente Aviso de Privacidade e na regulamentação aplicável. Nenhum documento, informação e/ou dado pessoal será divulgado e/ou compartilhado em nenhuma hipótese, exceto se expressamente autorizado pelo usuário, para fins de cumprimento dos serviços contratados ou mediante ordem judicial ou por determinação legal. Poderá ser necessário que sejam transmitidos os dados pessoais do usuário a outra entidade da Caixa Econômica Federal ou do Consórcio, um parceiro ou prestador de serviços externo. A Caixa Econômica Federal e o Consórcio exigem que seus prestadores de serviço tratem tais dados apenas em conformidade com este Aviso de Privacidade e com a regulamentação aplicável. Internamente, os dados dos usuários são acessados somente por colaboradores devidamente autorizados, respeitando os princípios de finalidade, adequação, necessidade e demais princípios inerentes ao tratamento de dados pessoais, sempre para os objetivos do Uau CAIXA, além do compromisso de confidencialidade e preservação da privacidade nos termos deste Aviso de Privacidade.

QUAIS DADOS PESSOAIS COLETAMOS E TRATAMOS? Para permitir a sua participação no Uau CAIXA e o uso das funcionalidades do Programa, tratamos determinados dados pessoais, que são coletados diretamente de você no momento do cadastro ou ao longo da sua interação com o Programa. Esses dados são utilizados de forma compatível com as finalidades descritas neste Aviso de Privacidade: a) Dados pessoais necessários: Determinados dados pessoais são indispensáveis para que você possa se cadastrar, acessar e utilizar o Uau CAIXA, bem como para que possamos nos comunicar com você, registrar suas transações, emitir e gerenciar pontos e viabilizar a entrega de recompensas. Esses dados são necessários, por exemplo, para autenticação, controle de acesso, registro de acúmulo e resgate de pontos, aplicação de regras de negócio e validação da sua identidade. Os dados pessoais necessários incluem:

i. Nome completo; ii. Data de nascimento; iii. Sexo; iv. número de celular; v. Endereço de e-mail; vi. Endereço residencial completo. b) Dados pessoais para entrega de recompensas e comunicação de pontos: Utilizamos alguns desses dados pessoais também para entregar as recompensas esco-lhidas por você, sejam elas físicas ou digitais. Além disso, usamos esses dados para nos comunicarmos com você sobre o saldo, validade e condições de uso dos pontos, além de campanhas e ações promocionais. Os dados utilizados para essas finalidades in-cluem: i. Nome completo; ii. Endereço de e-mail. iii. número de celular; iv. Endereço residencial completo. c) Dados pessoais coletados automaticamente: Durante sua navegação no Uau CAIXA (site ou aplicativo), poderemos coletar automaticamente algumas informações técnicas para aprimorar sua experiência e segurança. Isso pode incluir o uso de cookies e tecnologias similares para entender suas preferências, personalizar recomendações, prevenir fraudes e realizar análises estatísticas. As informações coletadas podem incluir: i. Dados de dispositivo (tipo, modelo, sistema operacional); ii. Endereço IP e geolocalização aproximada; iii. Dados de navegação e interações com o Programa; iv. Horários de acesso e duração da sessão; v. Dados referentes ao uso de funcionalidades, recompensas e resgates.

d) Dados pessoais para melhoria da experiência no Uau CAIXA: Utilizamos também seus dados para entender melhor seus interesses e preferências, a partir do histórico de interação com Produtos Fidelidade, serviços, recompensas e ações promocionais. Com isso, buscamos personalizar comunicações e ofertas, além de aprimorar a usabilidade do Uau CAIXA. Para essa finalidade, utilizamos: i. Histórico de visualizações, buscas, escolhas e resgates de recompensas; ii. Nome completo; iii. Endereço de e-mail; iv. Número de celular; v. Localização aproximada. e) Dados pessoais fornecidos por terceiros: O Consórcio poderá receber dados pessoais sobre você por meio de terceiros que possuam algum relacionamento legítimo com você, inclusive parceiros comerciais e operacionais do Programa. Também é possível que dados pessoais sejam obtidos a partir de bases públicas disponibilizadas por autoridades competentes (como a Receita Federal), de terceiros autorizados, ou ainda de informações tornadas públicas por você em ambientes digitais, como websites ou redes sociais. Em todos

os casos, o tratamento desses dados observará as finalidades legítimas do Programa e respeitará os princípios de necessidade e privacidade previstos na legislação aplicável. Para toda a coleta de dados pessoais, sempre serão seguidas as seguintes regras essenciais: • Apenas serão coletadas informações imprescindíveis; • Se necessário, pediremos autorização ou avisaremos ao titular para coleta de novos dados, acompanhado da devida justificativa; • Os dados pessoais coletados somente serão utilizados para cumprir com as finali-dades informadas ao titular. f) Dados pessoais extraídos por leitor de notas fiscais: O Consórcio poderá empregar ferramentas de leitura/extração de notas fiscais eletrônicas, recibos e comprovantes de pagamento ("leitor de notas fiscais") para captura de informações necessárias à operacionalização do Uau CAIXA e ao cumprimento de obrigações legais e contratuais. Por meio desse leitor poderão ser coletados e tratados, quando aplicável e respeitando os limites de finalidade aqui previstos: CPF ou CNPJ; data, horário e valor da transação; descrição de produtos/serviços; identificação do estabelecimento (nome, CNPJ/inscrição estadual); número e chave de acesso da nota fiscal eletrônica; dados referentes a tributos e retenções constantes no documento; e documentos fiscais digitalizados. O tratamento desses dados tem por finalidades, entre outras, a validação de transações para contabilização de pontos, emissão de estornos e reembolsos, conciliação financeira, emissão e guarda de documentos fiscais, cumprimento de obrigações tributárias e contábeis, e apoio a auditorias e fiscalizações.

USO DE COOKIES Cookies são arquivos que podem ser armazenados no dispositivo do usuário, contendo pequenas partes de dados que são compartilhados quando um dispositivo visita ou utiliza os serviços on-line constantes do Uau CAIXA. As informações coletadas, geralmente o nome do site que o originou, seu tempo de vida e um valor gerado aleatoriamente, são interpretadas e executadas pelos portais ou aplicativos Uau CAIXA, o que possibilita o reconhecimento do usuário e identificação futura de seus interesses e necessidades. A qualquer momento você poderá revogar sua autorização quanto à utilização dos cookies, acessando, para tanto, as configurações de seu navegador de preferência ou a funcionalidade de gestão disponibilizada pelo próprio Uau CAIXA no site https://uaucaixa.com.br/home. Contudo, alertamos que, de acordo com as configurações executadas, certas funcionalidades dos nossos serviços poderão não funcionar da maneira ideal, além de implicar em aspectos de segurança da informação. COM QUEM COMPARTILHAMOS SEUS DADOS PESSOAIS? Nós não vendemos ou de qualquer forma repassamos seus dados pessoais para terceiros com quaisquer fins comerciais ou estranhos em relação às finalidades de tratamento descritas nesse Aviso de Privacidade. No entanto, em algumas situações, precisamos compartilhar seus dados com alguns terceiros:

a) Anunciantes e Parceiros Comerciais do Uau CAIXA: Para permitir a emissão de vouchers, a entrega de recompensas e a concessão de cashback decorrentes de suas compras ou resgates realizados no Uau CAIXA, poderemos compartilhar alguns dos seus dados pessoais com empresas parceiras participantes do Uau CAIXA. Esses terceiros incluem os anunciantes que oferecem produtos, serviços e benefícios no Marketplace, bem como fornecedores responsáveis pela operacionalização das recompensas. O compartilhamento ocorre somente na medida necessária para possibilitar a entrega do produto, serviço, recompensa, cashback ou pontos escolhidos por você. Também poderemos compartilhar dados com esses parceiros para personalizar sua experiência no Programa, conforme suas preferências e interações anteriores. b) Terceiros conforme exigido ou permitido por lei: Você entende e concorda que o Consórcio poderá divulgar e compartilhar seus dados pessoais com certos terceiros para cumprimento de obrigações legais e regulatórias, como, por exemplo, em resposta a ordens judiciais ou de autoridades administrativas, válidas e devidamente fundamentadas, dentro dos limites estabelecidos na legislação vigente. c) Operadores para tratamento dos dados pessoais. Para operacionalizar o Uau CAIXA, utilizamos os serviços de alguns operadores que nos auxiliam com a coleta, armazenamento, processamento e, de forma geral, com o tratamento de seus dados pessoais. Nossas relações com estes operadores estão sujeitas a padrões, termos e condições de privacidade e proteção de dados pessoais que estão em linha com este Aviso de Privacidade e com a legislação aplicável. Ainda, na medida em que houver operadores localizados ou que tratem os dados pessoais fora do Brasil, asseguramos que a transferência internacional dos dados pessoais esteja em linha com a LGPD e determinações da ANPD, e atende os requisitos da lei.

COMO VOCÊ CONTROLA SEUS DADOS PESSOAIS? Os dados pessoais são seus, e você tem controle sobre eles. Assim, na medida em que você tenha realizado cadastro diretamente no Uau CAIXA, você pode exercer conosco o controle sobre seus dados pessoais das seguintes formas, além das demais previstas nesse Aviso de Privacidade: a Confirmação de existência e acesso aos dados pessoais: A qualquer momento, você pode solicitar uma confirmação de que existem dados pessoais seus em nossa base de dados, bem como solicitar acesso aos seus dados que possuímos, e estas informações serão fornecidas a você na forma prevista na legislação aplicável. b Correção dos dados: Se seus dados estiverem incompletos, inexatos ou desatualizados, você poderá corrigi-los diretamente no Uau CAIXA. Na medida em que não puder corrigi-los diretamente, você também poderá solicitar que façamos essa correção por você. c Anonimização, bloqueio e eliminação de dados pessoais: Se seus dados forem tratados de forma desnecessária, excessiva ou em desconformidade com a lei aplicável, você poderá solicitar que estes dados sejam anonimizados, bloqueados ou eliminados, conforme aplicável. Seus dados também serão eliminados mediante revogação do consentimento, quando aplicável.