Compliance e Governança de Dados

Filosofia de dados

Na CPFHub.io, segurança da informação e privacidade são tratadas como interdependentes. A plataforma foi construída sob o conceito de Privacy by Design, garantindo que cada decisão técnica respeite a integridade dos dados pessoais desde a concepção. Somos infraestrutura de validação de identidade e prevenção de fraudes: não comercializamos listas, não fornecemos dados para marketing e não operamos como data broker.

Estrutura jurídica do tratamento

A CPFHub.io atua em papéis distintos conforme a LGPD (arts. 5.º, 39 e 42):

CPFHub.io como Controladora

A CPFHub.io é Controladora dos dados cadastrais, de faturamento e de uso da plataforma fornecidos pelos Clientes, e da sua base de dados de validação, formada por dados licenciados de provedores privados e por fontes públicas oficiais, usada exclusivamente para validação de identidade e prevenção de fraudes.

CPFHub.io como Operadora

Ao executar cada consulta enviada por um Cliente, a CPFHub.io atua como Operadora, seguindo as instruções do Cliente. Nesse contexto, o Cliente é o Controlador e responde pela base legal de cada consulta perante os seus usuários.

Bases legais aplicáveis às consultas via API

A base legal de cada consulta é determinada pelo Cliente conforme sua finalidade. As bases mais frequentes são:

Legítimo Interesse (art. 7.º, IX): prevenção a fraudes e segurança transacional, quando os interesses do controlador ou do próprio titular prevalecem sobre os riscos ao titular.
Cumprimento de obrigação legal ou regulatória (art. 7.º, II): quando o Cliente é obrigado por norma do seu setor a identificar clientes, como instituições financeiras, operadoras de apostas e outras atividades reguladas de prevenção à lavagem de dinheiro.
Execução de contrato (art. 7.º, V): quando a verificação de identidade é etapa necessária à formalização de uma relação contratual com o titular.

Princípio da necessidade e minimização (art. 6.º, III)

A API retorna apenas os dados biográficos necessários para confirmar identidade: nome, data de nascimento e gênero, e, na Consulta em Tempo Real, a situação cadastral e a indicação de óbito. Não retornamos dados sensíveis, financeiros, de endereço ou de localização.

Conformidade com a Lei Felca (Lei 15.211/2025)

A Lei 15.211/2025 (“ECA Digital”) traz obrigações de verificação de idade para plataformas digitais com conteúdo ou serviços inadequados a menores. Quando você usa a CPFHub.io nesse fluxo, a conformidade com a lei é conduzida pela sua plataforma, e nós fornecemos o dado e a documentação de apoio. Na prática, isso envolve:

combinar a consulta de CPF com uma forma de confirmar que o usuário é o titular;
obter o consentimento do responsável legal quando necessário (LGPD, art. 14);
documentar as medidas adotadas, para prestação de contas.

A CPFHub.io fornece o dado de verificação. A decisão de liberar ou não o acesso do usuário fica com a sua plataforma.

Retenção e transparência

Cada tipo de dado tem prazo próprio, descrito na Política de Privacidade: o histórico de consultas acompanha a vida da conta, os registros técnicos e de acesso são mantidos por até 12 meses e os comprovantes da Consulta em Tempo Real por até 5 anos. Ao fim dos prazos, os dados são eliminados ou anonimizados.

Medidas de segurança

API e base de dados de validação hospedadas no Brasil.
Criptografia em trânsito (TLS 1.2 ou superior) e infraestrutura com criptografia em repouso.
Chave de API individual por Cliente e princípio do privilégio mínimo na equipe.
Limites de uso por conta, verificações no cadastro e mecanismos de bloqueio de abuso.
Registros de auditoria das operações administrativas e revisões periódicas de acesso.

Canal de comunicação com o DPO

Conforme o art. 41 da LGPD, o Encarregado pelo tratamento de dados da CPFHub.io é Bernardo Rocha, que pode ser contatado pelo e-mail dpo@cpfhub.io. Titulares, inclusive pessoas cujo CPF foi consultado, podem usar esse canal para exercer seus direitos. Respondemos em até 15 dias.