Seus direitos sobre os seus dados

Quem decide sobre os seus dados, e quem executa

A lei separa dois papéis. Quem decide para que os dados vão ser usados é o controlador. Quem executa por conta de outro é o operador. Na verificação de identidade, quem decide é a empresa que pediu a verificação, e a UNIFOKAL é o operador dela: nós conferimos, devolvemos o resultado, e não decidimos nada sobre o seu cadastro.

Isso muda uma coisa prática: um operador que sai apagando ou alterando dado por conta própria, sem instrução de quem decide, está agindo fora do combinado e responde por isso junto com o controlador. Não é desculpa para não fazer nada, é o motivo pelo qual o caminho certo é levar o seu pedido à empresa com prazo e registro, em vez de sumir com o dado sem avisar ninguém.

E existem situações em que quem decide somos nós. Nessas, a resposta é nossa e sai daqui, sem passar por ninguém.

Se você não sabe em qual linha se encaixa, tudo bem: abra o pedido mesmo assim e a triagem é nossa, não sua.

O que você pode pedir

São os direitos do art. 18 da LGPD, escritos do jeito que se fala. A lista completa aparece no formulário, com uma linha explicando cada uma.

• Apagar os seus dados, quando forem desnecessários, excessivos ou tratados fora da lei.
• Saber se existe algum dado seu sendo tratado.
• Receber uma cópia dos seus dados.
• Corrigir dado errado, incompleto ou desatualizado.
• Pedir que uma pessoa revise uma decisão tomada por sistema automático.
• Bloquear o uso do dado sem apagar, enquanto o pedido é analisado.
• Anonimizar o dado, para que ele deixe de apontar para você.
• Levar os seus dados para outro fornecedor.
• Saber com quem o seu dado foi compartilhado.
• Se opor ao tratamento, mesmo quando ele não depende do seu consentimento.

Uma observação honesta sobre a verificação de identidade: ela não é feita com base no seu consentimento, e sim para prevenir fraude, que é uma das hipóteses que a lei permite para dado biométrico. Por isso não existe aqui um botão de revogar consentimento. O que existe é o direito de se opor e o direito de pedir eliminação, e os dois são analisados de verdade.

• Quero que apaguem os meus dados

  Eliminação da foto, do vídeo e do que foi lido do seu documento. O resultado da verificação costuma ficar com a empresa que a pediu, que tem obrigação própria de guardar.

  Depende de quem decide sobre aquele dado | art. 18, IV e VI

• Quero saber se vocês têm algum dado meu

  Confirmação de que existe, ou não existe, tratamento em seu nome. Esta é a pergunta que só pode ser respondida depois de termos certeza de que é você.

  Depende de quem decide sobre aquele dado | art. 18, I

• Quero uma cópia dos meus dados

  Acesso ao que temos sobre você, num formato que dê para ler e guardar.

  Depende de quem decide sobre aquele dado | art. 18, II

• Tem um dado meu errado e eu quero corrigir

  Dado incompleto, inexato ou desatualizado. Se o erro veio da leitura do seu documento, quase sempre a correção acontece refazendo a verificação junto à empresa.

  Depende de quem decide sobre aquele dado | art. 18, III

• Fui reprovado e quero que uma pessoa revise

  Revisão de decisão tomada por sistema automático. Quem decide sobre o seu cadastro é a empresa que pediu a verificação, então é a ela que a revisão se dirige. Nós damos o apoio técnico.

  Quem responde é a empresa que pediu a verificação | art. 20

• Quero que parem de usar os meus dados, sem apagar ainda

  Bloqueio: o dado fica parado, sem ser usado, enquanto o pedido é analisado. Serve quando você não quer perder a prova do que aconteceu.

  Depende de quem decide sobre aquele dado | art. 18, IV

• Quero que os meus dados deixem de me identificar

  Anonimização: o dado continua existindo para estatística, mas sem apontar para você.

  Depende de quem decide sobre aquele dado | art. 18, IV

• Quero levar os meus dados para outro fornecedor

  Portabilidade dos dados para outra empresa, quando isso for tecnicamente possível.

  Quem responde é a empresa que pediu a verificação | art. 18, V

• Quero saber com quem o meu dado foi compartilhado

  Quem recebeu, para quê e por quanto tempo. A lista geral de quem nos ajuda a rodar o serviço já é pública em /legal/subprocessadores.

  Depende de quem decide sobre aquele dado | art. 18, VII

• Quero me opor a este tratamento

  A verificação de identidade não depende do seu consentimento: ela existe para prevenir fraude. Ainda assim você pode se opor, e o pedido é analisado.

  Depende de quem decide sobre aquele dado | art. 18, § 2º

Prazos, e o que acontece depois que você envia

1. Na hora do envio você recebe um protocolo. O relógio começa a correr nesse dia, e não no dia em que a gente conseguir confirmar quem é você.
2. Se o pedido for sobre dado que tratamos a pedido de outra empresa, encaminhamos a ela em até 5 dias corridos e avisamos você de que foi encaminhado e para quem.
3. Se o pedido for sobre dado que é nossa responsabilidade, respondemos em até 15 dias corridos.
4. Se, dentro do prazo, não tiver sido possível confirmar que é você, a resposta é essa mesma, por escrito. Silêncio não é resposta e não vale como uma.

A lei fixa 15 dias para confirmação e acesso. Nos outros pedidos, usamos o mesmo prazo por decisão nossa, porque prazo diferente para cada pedido é confusão para você e desculpa para nós.

Você acompanha tudo pelo protocolo, sem precisar escrever para ninguém para saber em que pé está.

Por que pedir a sua identidade para apagar dado seu

Parece contradição pedir uma foto sua para apagar uma foto sua. É contradição só na aparência, e a explicação é curta.

Se bastasse escrever um CPF para receber a resposta, este formulário viraria um serviço de consulta de vida alheia: qualquer pessoa descobriria em que empresas outra pessoa abriu conta, e conseguiria mandar apagar o dado dela. Por isso, enquanto não sabemos com quem estamos falando, a resposta é sempre a mesma e não diz se existe ou não registro. Ela é idêntica para quem tem registro e para quem não tem.

Antes de pedir qualquer coisa nova, tentamos o caminho barato: se você ainda tem o link da verificação que fez, ou sabe o nome da empresa que pediu, isso costuma bastar e nada novo é coletado.

Quando não bastar, a pergunta que fazemos não é quem você é, e sim se você é a mesma pessoa daquele registro. A comparação é feita contra a foto que já está aqui, no nosso próprio sistema, e a foto que você envia para essa conferência vive minutos: ela não entra em base nenhuma, não é usada para treinar nada, não é vendida e não vira histórico. Isso é o oposto de mandar foto do RG por e-mail para um atendimento, que é o que o mercado costuma pedir e é pior para você em privacidade e em segurança.

O limite dos 180 dias

As fotos, o vídeo de prova de vida e o que foi lido do seu documento são apagados automaticamente 180 dias depois do envio. Não é favor nem exceção: é o padrão, e acontece sozinho.

Passado esse prazo, quase sempre não há mais o que apagar aqui, e também não há como conferir que é você comparando com um registro que não existe mais. Quando for esse o caso, é isso que a resposta vai dizer, com todas as letras.

Apagar do nosso lado também não apaga o que já está no sistema da empresa que pediu a verificação: o resultado dela fica com ela, que muitas vezes tem obrigação legal própria de guardar. É mais um motivo para o pedido chegar até ela, e não morrer aqui.

Se você não concordar com a nossa resposta

Você pode reclamar à Autoridade Nacional de Proteção de Dados, e também pode exercer os seus direitos pelos órgãos de defesa do consumidor. Nenhum desses caminhos depende de você ter passado por aqui primeiro, e usar um deles não fecha o outro.

Antes disso, se preferir, escreva direto para a pessoa responsável aqui dentro: Breno Mesquita Ribeiro de Souza, privacidade@unifokal.com. O e-mail também vale como pedido, e o prazo conta do dia em que ele chega.