Cumplimiento y LGPD

La LGPD divide las responsabilidades entre controlador y operador:

• Usted, el cliente, es el controlador de los datos de las personas que consulta: define la finalidad y la base legal e informa a los titulares.
• BrazID es la operadora de esos datos: consulta y devuelve la información según sus instrucciones, sin usarla para otro fin.
• BrazID es controladora de los datos de su cuenta y del uso de la plataforma (registro, acceso, cobro y seguridad).

Cada consulta debe tener una finalidad legítima y específica, informada al titular. Ejemplos aceptados:

• prevención de fraudes y validación de registros;
• verificación de edad o de identidad en procesos de registro y contratación;
• comprobación de datos para análisis de riesgo y concesión de crédito, con una base legal adecuada.

Está prohibido usar la API para acoso, discriminación, o para vender o formar bases de datos para reventa. Las cuentas que incumplan estas reglas pueden ser suspendidas o cerradas.

• Solo tratamos lo necesario para la consulta: CPF, nombre, fecha de nacimiento, situación del registro y, cuando están disponibles, sexo e indicador de fallecimiento.
• Los datos consultados quedan en caché hasta 30 días para acelerar nuevas consultas y luego se eliminan.
• No vendemos datos personales ni los usamos para publicidad de terceros.
• Al terminar la finalidad, o a pedido, eliminamos o anonimizamos los datos, salvo que la ley exija conservarlos.

• Comunicación cifrada (TLS) entre cliente, API, base de datos y caché.
• Claves de API y contraseñas guardadas solo como hash; la clave completa se muestra una única vez, al crearla.
• CPF enmascarado (por ejemplo, 123.***.***-00) en logs y registros de auditoría; ningún dato personal completo va a logs abiertos.
• Límite de solicitudes por clave y protección contra intentos abusivos de acceso y registro.
• Verificación de correo en el registro, bloqueo de correos desechables y detección de cuentas duplicadas.
• Panel administrativo interno con verificación en dos pasos, control de acceso por roles y registro de auditoría de las acciones.
• Mínimo privilegio: las credenciales de producción solo son accesibles al entorno de ejecución de la API.

Usamos proveedores bajo contrato, como subencargados, solo para lo que el servicio necesita:

• Cloudflare: alojamiento y red.
• Neon: base de datos PostgreSQL.
• Upstash: caché y límites de tasa.
• Stripe: pagos (no guardamos el número de su tarjeta).
• Resend: correo transaccional.
• Fuente oficial de datos de registro: consulta del CPF.

Algunos proveedores pueden procesar datos fuera de Brasil, conforme al art. 33 de la LGPD, con cláusulas contractuales y medidas de protección.

Quien tuvo su CPF consultado puede pedir acceso, corrección, eliminación y los demás derechos del art. 18 de la LGPD. Como el cliente que hizo la consulta es el controlador, el camino más rápido es contactar primero a esa empresa.

Si necesita ayuda para identificarla, o la solicitud es sobre los datos de su cuenta en BrazID, escriba a [email protected]. Respondemos dentro del plazo legal y, si hace falta, pedimos datos para confirmar su identidad.

Si un incidente puede causar riesgo o daño relevante a los titulares, notificaremos a la ANPD y a los afectados conforme al art. 48 de la LGPD. Pedimos a los clientes que nos avisen sin demora de cualquier incidente que involucre datos obtenidos por la API o claves de API expuestas, que se pueden revocar al instante desde el panel.

• Tener una base legal e informar a los titulares sobre la consulta en su política de privacidad.
• Consultar solo lo necesario y conservar los datos el tiempo mínimo.
• Proteger sus claves de API y revocar las que queden expuestas.
• Atender las solicitudes de los titulares y, si lo necesita, contar con nuestra ayuda.

Encargado de Protección de Datos: [email protected]. Otros asuntos: [email protected]. También puede reclamar ante la Autoridad Nacional de Protección de Datos de Brasil (ANPD).