Política de Privacidade

Atuamos em duas funções, conforme o dado:

• Controladora, quanto aos dados dos nossos clientes e usuários (cadastro, acesso, uso da API, cobrança e segurança): decidimos como e por que esses dados são tratados.
• Operadora, quanto aos dados pessoais das pessoas cujo CPF é consultado pelos clientes (nome, data de nascimento, situação cadastral): tratamos esses dados em nome e conforme as instruções do cliente, que é o controlador e responde pela base legal, pela finalidade e pela transparência perante os titulares. Veja os Termos de Uso.

• Conta: nome, e-mail, senha (guardada apenas como hash, nunca em texto) e, no login social, nome, e-mail e identificador fornecidos pelo Google ou GitHub.
• Segurança e prevenção a fraudes: endereço IP, identificação (impressão digital) do dispositivo no cadastro, registros de login e cookies de sessão.
• Uso da API: hash da chave de API (nunca a chave em texto), data e hora, status, latência, origem do dado e o CPF consultado em formato mascarado (por exemplo, 123.***.***-00). Não gravamos o CPF completo em logs abertos.
• Dados consultados: CPF, nome, data de nascimento, situação cadastral e, quando disponíveis, sexo e indicador de óbito, mantidos em cache por até 30 dias.
• Cobrança: dados de pagamento são tratados diretamente pela Stripe; não armazenamos o número do seu cartão.
• Comunicações: mensagens que você nos envia (por exemplo, pelo formulário de contato comercial) e e-mails transacionais (confirmação de e-mail, avisos de consumo).

• Prestar o Serviço, criar e administrar a conta e cobrar pelo uso: execução de contrato (art. 7º, V).
• Segurança, prevenção a fraudes e abusos (limites de taxa, bloqueio de contas duplicadas, auditoria): legítimo interesse (art. 7º, IX) e proteção do crédito.
• Cumprir obrigações legais e regulatórias, como guarda de registros de acesso e obrigações fiscais: art. 7º, II.
• Exercer direitos em processos judiciais, administrativos ou arbitrais: art. 7º, VI.
• Comunicações opcionais e cookies não essenciais, se existirem: consentimento (art. 7º, I), que pode ser revogado a qualquer tempo.

Não vendemos dados pessoais e não os usamos para publicidade de terceiros.

Compartilhamos dados apenas o necessário, com fornecedores que atuam como operadores sob contrato, e com autoridades quando a lei exigir:

• Fonte oficial de dados cadastrais (para consultar o CPF e a data de nascimento).
• Infraestrutura e banco de dados: Cloudflare (hospedagem e rede), Neon (banco de dados PostgreSQL) e Upstash (cache e limites de taxa).
• Pagamentos: Stripe.
• E-mail transacional: Resend.
• Login social: Google e GitHub, se você escolher esse método.
• Autoridades públicas, mediante ordem legal ou para o exercício regular de direitos.

Alguns fornecedores acima podem processar dados fora do Brasil. Nesses casos, a transferência ocorre nas hipóteses do art. 33 da LGPD, com cláusulas contratuais e medidas que buscam assegurar grau de proteção compatível com o da lei brasileira.

Usamos apenas cookies estritamente necessários: o cookie de sessão do painel (HttpOnly, seguro) e os de proteção contra fraudes e abusos. Não usamos cookies de publicidade. Você pode bloqueá-los no navegador, mas o painel pode deixar de funcionar.

• Dados consultados (CPF e cadastro): em cache por até 30 dias, depois removidos.
• Conta e uso: enquanto a conta estiver ativa e, depois, pelo prazo necessário para cumprir obrigações legais e regulatórias, para a defesa em processos e para a prevenção a fraudes, conforme os prazos legais aplicáveis.
• Ao fim da finalidade ou a seu pedido, eliminamos ou anonimizamos os dados, ressalvadas as hipóteses de guarda previstas em lei (art. 16 da LGPD).

Adotamos medidas técnicas e administrativas para proteger os dados, como: comunicação criptografada (TLS) em todas as pontas; senhas e chaves de API guardadas somente como hash; mascaramento do CPF nos registros; limitação de taxa e bloqueio contra tentativas abusivas; verificação em duas etapas e controle de acesso por papéis na equipe interna; e princípio do menor privilégio no acesso às credenciais de produção. Nenhum sistema é totalmente seguro, mas trabalhamos continuamente para reduzir riscos.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados nos termos do art. 48 da LGPD.

Você pode, a qualquer momento, solicitar:

• a confirmação de que tratamos seus dados e o acesso a eles;
• a correção de dados incompletos, inexatos ou desatualizados;
• a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• a portabilidade dos dados;
• a eliminação dos dados tratados com base no consentimento;
• informações sobre com quem compartilhamos os dados;
• informações sobre a possibilidade de não fornecer consentimento e suas consequências, e a revogação do consentimento;
• a revisão de decisões tomadas unicamente com base em tratamento automatizado (art. 20).

Para exercer seus direitos, escreva para o nosso Encarregado pelo Tratamento de Dados Pessoais: [email protected]. Podemos pedir informações para confirmar sua identidade e responderemos no prazo legal. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Nossos clientes consultam o CPF para finalidades como prevenção a fraudes e validação cadastral e são os controladores desses dados. Se você quer saber por que seu CPF foi consultado, peça a correção ou outro direito, procure primeiro a empresa que fez a consulta. Se precisar de ajuda para identificá-la, escreva para [email protected] e orientaremos você, dentro do que a lei permite.

O Serviço é destinado a empresas e profissionais maiores de 18 anos e não é direcionado a crianças ou adolescentes. Se tomarmos conhecimento de cadastro de menor, a conta poderá ser encerrada.

Podemos atualizar esta Política. Mudanças relevantes serão comunicadas por e-mail ou pelo painel. A data da última atualização está no topo desta página.

Encarregado pelo Tratamento de Dados Pessoais: [email protected]. Outros assuntos: [email protected].