Compliance e LGPD

A LGPD divide as responsabilidades entre controlador e operador:

• Você, cliente, é o controlador dos dados das pessoas que consulta: define a finalidade, a base legal e informa os titulares.
• A BrazID é a operadora desses dados: consulta e devolve as informações conforme as suas instruções, sem usá-las para outro fim.
• A BrazID é controladora dos dados da sua conta e do uso da plataforma (cadastro, acesso, cobrança e segurança).

Cada consulta deve ter finalidade legítima, específica e informada ao titular. Exemplos aceitos:

• prevenção a fraudes e validação cadastral;
• verificação de idade ou de identidade em processos de cadastro e admissão;
• conferência de dados para análise de risco e concessão de crédito, com base legal adequada.

É proibido usar a API para perseguição, discriminação, venda ou formação de bases de dados para revenda. Contas que violem essas regras podem ser suspensas ou encerradas.

• Só tratamos o necessário para a consulta: CPF, nome, data de nascimento, situação cadastral e, quando disponíveis, sexo e indicador de óbito.
• Os dados consultados ficam em cache por até 30 dias para acelerar novas consultas e, depois, são removidos.
• Não vendemos dados pessoais nem os usamos para publicidade de terceiros.
• Ao fim da finalidade ou a pedido, eliminamos ou anonimizamos os dados, salvo guarda exigida por lei.

• Comunicação criptografada (TLS) entre cliente, API, banco de dados e cache.
• Chaves de API e senhas guardadas apenas como hash; a chave completa é exibida uma única vez, na criação.
• CPF mascarado (por exemplo, 123.***.***-00) em logs e registros de auditoria; nenhum dado pessoal completo vai para logs abertos.
• Limite de requisições por chave e proteção contra tentativas abusivas de login e cadastro.
• Verificação de e-mail no cadastro, bloqueio de e-mails descartáveis e detecção de contas duplicadas.
• Painel administrativo interno com verificação em duas etapas, controle de acesso por papéis e registro de auditoria das ações.
• Princípio do menor privilégio: credenciais de produção acessíveis apenas ao ambiente de execução da API.

Usamos fornecedores sob contrato, que atuam como suboperadores, apenas para o que é necessário ao serviço:

• Cloudflare: hospedagem e rede.
• Neon: banco de dados PostgreSQL.
• Upstash: cache e limites de taxa.
• Stripe: pagamentos (não guardamos o número do seu cartão).
• Resend: e-mails transacionais.
• Fonte oficial de dados cadastrais: consulta do CPF.

Alguns fornecedores podem processar dados fora do Brasil, nas hipóteses do art. 33 da LGPD, com cláusulas contratuais e medidas de proteção.

Quem teve o CPF consultado pode pedir acesso, correção, eliminação e os demais direitos do art. 18 da LGPD. Como o cliente que fez a consulta é o controlador, o caminho mais rápido é procurar primeiro essa empresa.

Se precisar de ajuda para identificá-la, ou se o pedido for sobre os dados da sua conta na BrazID, escreva para [email protected]. Respondemos dentro do prazo legal e, se necessário, pedimos dados para confirmar sua identidade.

Se um incidente puder causar risco ou dano relevante aos titulares, comunicaremos a ANPD e os afetados nos termos do art. 48 da LGPD. Pedimos que clientes nos avisem sem demora sobre qualquer incidente envolvendo dados obtidos pela API ou chaves de API expostas, que podem ser revogadas na hora pelo painel.

• Ter base legal e informar os titulares sobre a consulta, na sua política de privacidade.
• Consultar apenas o necessário e guardar os dados pelo tempo mínimo.
• Proteger suas chaves de API e revogar as que forem expostas.
• Atender os pedidos dos titulares e, se precisar, contar com a nossa ajuda.

Encarregado pelo Tratamento de Dados Pessoais: [email protected]. Outros assuntos: [email protected]. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).