1. Introdução
A BIOSIGN TECNOLOGIA LTDA ("nós", "nosso" ou "a empresa"), inscrita no CNPJ 63.932.086/0001-00, está comprometida em proteger a privacidade e os dados pessoais de seus usuários, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018) e demais legislações aplicáveis.
Esta política descreve como coletamos, usamos, armazenamos e protegemos suas informações pessoais quando você utiliza nossos serviços de assinatura digital, validação biométrica e verificação de documentos.
2. Informações que coletamos
2.1 Dados pessoais de identificação
- Nome completo
- Endereço de e-mail
- Número de telefone
- CPF ou CNPJ
- Endereço residencial ou comercial
2.2 Dados biométricos e de identidade (dados sensíveis)
- Imagem facial capturada durante o processo de liveness detection
- Score de vivacidade (liveness score) gerado pelo processo biométrico
- Imagens de documentos de identidade (CNH, RG, passaporte) — frente e verso
- Resultado de comparação facial entre selfie e documento
Dados biométricos são considerados sensíveis nos termos do art. 5º, II da LGPD e são tratados com base em consentimento específico e destacado (art. 11, I), obtido antes de qualquer coleta.
2.3 Dados de uso e dispositivo
- Logs de acesso e uso da plataforma (IP, porta lógica, data e hora)
- Identificador de dispositivo (fingerprint de navegador/dispositivo)
- User agent, sistema operacional, resolução de tela
- Dados de geolocalização (latitude, longitude, precisão)
- Dados de sensores de movimento e orientação (exclusivamente para prevenção a fraudes)
2.4 Documentos e conteúdo contratual
- Documentos enviados para assinatura eletrônica
- Assinaturas digitais e certificados ICP-Brasil
- Hash SHA-256 dos documentos assinados
- Trilha de auditoria completa do processo de formalização
- Metadados dos documentos (timestamps, versões)
3. Como usamos suas informações
- Fornecer e manter nossos serviços de assinatura eletrônica
- Autenticar a identidade do signatário mediante biometria facial e liveness detection
- Prevenir fraudes e garantir a integridade do processo de formalização
- Gerar o dossiê probatório vinculado a cada assinatura
- Enviar notificações sobre documentos, assinaturas e transações
- Validar CPF/CNPJ junto à Receita Federal via SERPRO
- Cumprir obrigações legais e regulamentares
- Responder a solicitações de suporte ao cliente
- Enviar comunicações de marketing (apenas com seu consentimento expresso)
4. Base legal para cada tratamento (LGPD art. 9º, I)
Informamos a base legal aplicável a cada categoria de dado tratado:
| Categoria de dado | Base legal (LGPD) | Retenção |
|---|---|---|
| Dados de lead (nome, e-mail, telefone, CNPJ) | Consentimento — art. 7º, I | 24 meses sem conversão; após, anonimizados |
| Dados de cadastro e autenticação | Execução de contrato — art. 7º, V | Duração do contrato + 5 anos |
| Dados biométricos (imagem facial, liveness score) | Consentimento específico e destacado — art. 11, I | Indefinida — ver Seção 7 |
| Documentos de identidade (CNH, RG) | Execução de contrato — art. 7º, V + Exercício regular de direitos — art. 7º, VI | Indefinida — ver Seção 7 |
| Contratos assinados e dossiê probatório | Execução de contrato — art. 7º, V + Exercício regular de direitos — art. 7º, VI | Indefinida — ver Seção 7 |
| Trilha de auditoria (IP, dispositivo, timestamps) | Exercício regular de direitos — art. 7º, VI + Obrigação legal — art. 7º, II (Marco Civil, art. 15) | Mínimo 6 meses (MCI); indefinida para fins probatórios |
| Dados de antifraude (fingerprint de dispositivo, sensores) | Legítimo interesse — art. 7º, IX (prevenção a fraudes) | Até conclusão do contrato vinculado |
| Dados de validação KYC (SERPRO) | Execução de contrato — art. 7º, V + Consentimento — art. 7º, I | Duração do contrato vinculado |
| Cookies analíticos e de marketing | Consentimento — art. 7º, I (opt-in explícito) | Até revogação do consentimento |
5. Compartilhamento e suboperadores
Não vendemos, alugamos ou comercializamos suas informações pessoais. Para a prestação dos nossos serviços, compartilhamos dados com operadores e suboperadores vinculados a instruções contratuais de tratamento (art. 37-39 da LGPD):
5.1 Infraestrutura e armazenamento
- Provedora de infraestrutura e hospedagem em nuvem (Brasil): servidores de aplicação, armazenamento de arquivos e documentos
- Provedora de OCR e serviços de nuvem (EUA): reconhecimento óptico de caracteres em documentos de identidade
- Provedor de segurança de rede e CDN (EUA): proteção contra ataques e distribuição de conteúdo
- Provedor de e-mail transacional (Lituânia): envio de notificações e confirmações por e-mail
5.2 Biometria e antifraude
- Provedor de análise biométrica facial em nuvem (EUA): comparação facial e avaliação de qualidade de imagem
- Provedor de liveness detection e antifraude (Brasil/EUA): prova de vida 3D e prevenção a fraudes de identidade
5.3 Validação de identidade e KYC
- SERPRO (Brasil): validação de CPF/CNPJ junto à Receita Federal
- Provedores de consulta de dados públicos judiciais (Brasil): consulta de processos e registros em bases públicas
5.4 Comunicação e pagamentos
- Provedor de mensageria instantânea via API (EUA): envio de notificações via WhatsApp
- Provedor de processamento de pagamentos (Brasil): operacionalização de cobranças e transações financeiras
Além dos casos acima, podemos compartilhar informações quando exigido por lei, ordem judicial ou para proteção de direitos, propriedade ou segurança.
6. Segurança dos dados
Implementamos medidas de segurança técnicas e organizacionais para proteger suas informações pessoais:
- Criptografia AES-256 de dados em repouso e em trânsito (TLS)
- Assinatura digital dos dossiês com certificado ICP-Brasil (MP 2.200-2/2001)
- Hash SHA-256 para verificação de integridade de documentos
- Autenticação com HMAC-SHA256 nas chamadas de API críticas
- Controle de acesso baseado em funções (RBAC)
- Monitoramento contínuo e detecção de anomalias
- Backups regulares com retenção segura
- Auditorias regulares de segurança
7. Retenção de dados
A política de retenção da BioSign é definida pela finalidade de cada dado e pelas bases legais aplicáveis.
7.1 Dados de formalização, biometria e documentos contratuais
Dados biométricos (imagem facial, liveness score), documentos de identidade, contratos assinados, dossiês probatórios e trilhas de auditoria são retidos indefinidamente enquanto necessários para defesa de direitos da BioSign ou de seus clientes em eventual processo judicial, administrativo ou arbitral, com base no art. 7º, VI e art. 16 da LGPD.
Essa retenção é necessária pois tais dados constituem prova autônoma da identidade do signatário e da integridade do processo de assinatura. A exclusão antecipada poderia comprometer a capacidade de defesa em litígios futuros.
7.2 Dados de leads não convertidos
Dados de contato fornecidos em formulários de interesse que não resultaram em contratação são anonimizados após 24 meses, por ausência de finalidade ativa (art. 6º, III da LGPD).
7.3 Dados de autenticação e conta
Mantidos durante a vigência do contrato e por até 5 anos após o encerramento, conforme prazo prescricional do art. 206, §3º, V do Código Civil.
7.4 Solicitação de informações sobre retenção
O titular pode solicitar informações detalhadas sobre os dados que mantemos a qualquer tempo através do canal [email protected].
8. Seus direitos (LGPD art. 18)
Conforme a Lei Geral de Proteção de Dados (LGPD), você tem os seguintes direitos, exercíveis a qualquer tempo:
- Acesso (art. 18, I): solicitar confirmação e informações sobre quais dados temos sobre você
- Correção (art. 18, III): solicitar correção de dados incompletos, inexatos ou desatualizados
- Exclusão (art. 18, VI): solicitar a eliminação de dados tratados com base em consentimento
- Portabilidade (art. 18, V): receber seus dados em formato estruturado e interoperável
- Revogação do consentimento (art. 18, IX): retirar o consentimento a qualquer momento
- Oposição (art. 18, §2º): opor-se ao tratamento realizado com fundamento em legítimo interesse
- Revisão (art. 20): solicitar revisão de decisões automatizadas
- Informação sobre compartilhamento (art. 18, VII): saber com quais entidades seus dados são compartilhados
Para exercer esses direitos, entre em contato:
DPO: [email protected]
Privacidade: [email protected]
Respondemos às requisições em até 15 dias úteis. Determinados dados podem ser retidos mesmo após solicitação de exclusão quando houver base legal que autorize a retenção (ex.: defesa de direitos em processo judicial — art. 16, IV da LGPD).
9. Cookies e tecnologias similares
Utilizamos cookies classificados nas seguintes categorias:
- Essenciais: necessários para o funcionamento da plataforma (autenticação, segurança). Sempre ativos.
- Funcionais: lembram suas preferências (tema, idioma). Podem ser desativados.
- Analíticos e de marketing (Google Analytics, GTM): ativados somente mediante seu consentimento expresso via banner de cookies.
Você pode gerenciar suas preferências de cookies a qualquer momento através das configurações de privacidade no rodapé do site ou do seu navegador.
10. Transferências internacionais (LGPD art. 33-36)
Alguns prestadores de serviços listados na Seção 5 processam dados fora do Brasil, especificamente nos Estados Unidos (serviços de nuvem, biometria, antifraude e mensageria) e na Lituânia (e-mail transacional). A infraestrutura principal de hospedagem e armazenamento está localizada no Brasil.
Essas transferências são realizadas com base nas seguintes garantias:
- Cláusulas contratuais específicas de proteção de dados com cada operador
- Certificações de segurança (ISO 27001, SOC 2) dos operadores
- Compliance com regulamentações locais equivalentes (GDPR, CCPA) pelos operadores internacionais
11. Notificação de incidentes (LGPD art. 48)
Em caso de incidente de segurança que possa acarretar risco ou dano relevante:
- Notificação à ANPD: em até 72 horas após o conhecimento (Resolução CD/ANPD nº 15/2024)
- Notificação aos titulares afetados: em prazo razoável, com natureza dos dados, medidas e recomendações
- Registro do incidente: documentação completa para fins de accountability
- Medidas de contenção e remediação: imediatas após identificação
Para reportar uma possível vulnerabilidade, entre em contato com [email protected].
12. Menores de idade
Nossos serviços não são destinados a menores de 18 anos. A plataforma recusa tecnicamente o processamento de CPFs de menores de idade. Caso você seja responsável legal e acredite que um menor forneceu dados pessoais à BioSign, entre em contato com [email protected] para que possamos proceder com a exclusão.
13. Alterações desta política
Podemos atualizar esta política periodicamente. Quando fizermos alterações significativas, notificaremos por e-mail e/ou aviso na plataforma com antecedência mínima de 15 dias.
14. Contato
Encarregado de Dados (DPO): [email protected]
Privacidade: [email protected]
WhatsApp: (11) 98965-3001
E-mail geral: [email protected]
Endereço: Av. Industrial 780 · Sala 806 · Santo André / SP
15. Informações da empresa
Razão social: BIOSIGN TECNOLOGIA LTDA
CNPJ: 63.932.086/0001-00
DPO: [email protected]
ANPD: www.gov.br/anpd