Política de Privacidade

1. Propósito e alcance desta Política #

Esta Política de Privacidade descreve, de forma clara, adequada e ostensiva, como a Pulsedata trata dados pessoais no contexto do site institucional e da plataforma Pulsedata (a “Plataforma”), quais são as finalidades e as bases legais de cada operação, com quem os dados são compartilhados, por quanto tempo são conservados, quais medidas de segurança são adotadas e como o titular exerce seus direitos.

Ela se aplica a: (i) visitantes do site institucional; (ii) usuários cadastrados na Plataforma; (iii) pessoas naturais cujos dados constem, na qualidade de sócio, administrador, representante, titular de MEI ou responsável, das bases públicas reutilizadas pela Pulsedata; e (iv) interlocutores que nos contatam por qualquer canal.

Esta Política não se aplica ao tratamento que o próprio usuário realiza, por decisão autônoma, com os resultados extraídos da Plataforma. Nessa hipótese o usuário é controlador independente, e a repartição de papéis está descrita na seção Papéis e responsabilidades e nos Termos de Uso.

2. Identificação do controlador e canal do titular #

Controlador

Pulsedata

Endereço eletrônico

https://pulsedata.dadosrfb.me

Canal do titular

taxcoe@gmail.comAssunto iniciado por PULSEDATA — o link acima já preenche.

O canal oficial e único para requerimentos de titular, dúvidas sobre esta Política, relato de incidente de segurança e comunicações relativas aos Termos de Uso é o endereço eletrônico acima. Requerimentos enviados por outros meios — redes sociais, formulários de suporte comercial, mensageria — poderão ser redirecionados a esse canal, o que pode retardar o atendimento.

2.1. Protocolo de assunto: PULSEDATA #

Pede-se que o campo de assunto da mensagem comece pela palavra PULSEDATA — por exemplo, PULSEDATA — solicitação de eliminação de dados. O link do canal, quando acionado nesta página, já preenche o assunto nesse formato, de modo que nada precisa ser digitado. A finalidade é exclusivamente de triagem: o prefixo permite identificar, separar e protocolar de imediato a mensagem que veicula exercício de direito, distinguindo-a da correspondência ordinária e reduzindo o risco material de que um requerimento se perca em meio a outras mensagens — risco cuja consequência jurídica recai sobre o controlador, e não sobre o titular.

Ao formular requerimento, recomenda-se indicar: (a) o direito exercido, entre os listados na seção Direitos do titular; (b) elementos que permitam identificar o dado ou o registro em questão — no caso de dado societário, o CNPJ e o nome constante do registro público; e (c) um meio de contato para resposta. A ausência desses elementos não implica arquivamento automático, mas pode exigir diligência complementar de identificação, na forma da seção Como exercer seus direitos.

3. Papéis e responsabilidades no tratamento #

A correta imputação de responsabilidade depende de identificar quem decide o quê. As partes atuam nos seguintes papéis:

1. Pulsedata como controladora. Quanto às decisões que toma por conta própria: reutilizar as bases públicas, estruturá-las, calcular indicadores, manter contas de usuários, autenticar acessos, medir consumo, registrar auditoria, prevenir fraude e abuso e cumprir obrigações legais.
2. Usuário como controlador autônomo. Quanto às decisões que toma com os resultados: a quem contatar, com que finalidade, por qual canal, por quanto tempo conservar e com quem compartilhar. A Pulsedata não determina essas finalidades, não as supervisiona e não tem meios técnicos de conhecê-las.
3. Pulsedata como operadora. Quando processa base enviada pelo usuário para devolver o resultado solicitado (por exemplo, enriquecimento de uma lista de CNPJs), agindo nos limites da instrução recebida e sem uso da base para finalidade própria.

Não há entre as partes solidariedade presumida, transferência de base legal nem delegação de deveres de transparência: cada controlador responde perante os titulares e perante a autoridade pelo tratamento que decidiu realizar.

4. Origem dos dados #

A Pulsedata trata dados provenientes de três origens, e apenas dessas três:

4.1. Bases públicas oficiais #

Arquivos de dados abertos divulgados pela Receita Federal do Brasil — cadastro de pessoas jurídicas, estabelecimentos, quadro de sócios e administradores, regimes tributários e tabelas auxiliares — e por outros órgãos e repositórios oficiais de dados abertos, obtidos exclusivamente por download público, nos formatos, na periodicidade e nos termos definidos pelo próprio órgão divulgador.

A Pulsedata não acessa sistemas internos da administração pública, não utiliza credencial de servidor, não consulta em nome de terceiro perante órgão público, não obtém dado protegido por sigilo fiscal (art. 198 do Código Tributário Nacional) e não compra bases de dados pessoais de terceiros. Não somos afiliados, autorizados, credenciados nem endossados por qualquer órgão público; a menção à fonte tem finalidade exclusiva de indicar procedência.

4.2. Dados fornecidos diretamente pelo titular #

Dados de cadastro e de contato informados por quem cria conta, solicita demonstração, envia mensagem pelo canal oficial ou submete requerimento de titular.

4.3. Dados gerados pelo uso #

Registros técnicos produzidos automaticamente pela interação com o site e a Plataforma — logs de acesso e de aplicação, registros de autenticação, histórico de consultas e extrações, e medição de consumo — descritos na seção Dados tratados.

5. Dados tratados, por categoria #

A tabela abaixo relaciona as categorias efetivamente tratadas. Categorias não listadas não são tratadas; havendo necessidade futura, esta Política será atualizada antes do início da operação, na forma da seção Alterações desta Política.

Dados de cadastro e conta

Nome, endereço de correio eletrônico, senha (armazenada exclusivamente como hash criptográfico, jamais em texto claro), plano e função de acesso, data de criação e de último acesso e, quando informados, dados da empresa representada.

Dados societários de origem pública

Nome de sócio, administrador, representante legal ou titular de MEI; qualificação; faixa etária; data de entrada na sociedade; percentual de participação; CPF conforme mascarado na fonte; país de origem, quando aplicável.

Dados cadastrais de pessoa jurídica

CNPJ, razão social, nome fantasia, situação e data de situação cadastral, motivo, natureza jurídica, porte, capital social, atividades econômicas principal e secundárias, endereço do estabelecimento, telefone e correio eletrônico constantes do cadastro público, condição de matriz ou filial, regimes tributários e informações de parcelamento divulgadas publicamente.

Dados de uso e auditoria

Histórico de consultas, filtros aplicados, extrações realizadas, créditos debitados, carimbo de data e hora, identificador da conta e resultado da operação — indispensáveis à medição de consumo, à segurança e à apuração de abuso.

Registros técnicos de acesso

Endereço IP, data e hora com fuso, método, rota acessada, código de resposta, agente de usuário e origem da requisição.

Comunicações

Conteúdo, metadados e histórico das mensagens trocadas pelo canal oficial, inclusive requerimentos de titular e sua tramitação.

Base enviada pelo usuário

Arquivos submetidos para enriquecimento ou cruzamento, tratados na condição de operadora, pelo tempo necessário ao processamento e à entrega do resultado.

6. Finalidades e bases legais #

Cada operação de tratamento tem finalidade específica, explícita e informada, e uma base legal própria. Nenhum tratamento é realizado para finalidade incompatível com aquela informada ao titular.

A Pulsedata não utiliza consentimento como base legal para as operações acima: o consentimento pressupõe escolha real e revogável, e utilizá-lo em tratamento que subsiste independentemente da vontade do titular seria transparência apenas aparente. Caso venhamos a adotar tratamento fundado em consentimento — por exemplo, comunicação promocional a quem não é cliente —, ele será colhido de forma destacada, para finalidade determinada, e poderá ser revogado por procedimento gratuito e facilitado, sem prejuízo da licitude do tratamento anterior à revogação.

7. Dado de acesso público: o que a publicidade autoriza e o que não autoriza #

Há uma leitura equivocada e disseminada da LGPD segundo a qual dado público estaria fora de seu alcance. A Pulsedata não adota essa leitura, e é importante explicitar por quê.

O art. 7º, § 3º, da LGPD dispensa o consentimento para o tratamento de dado tornado público pelo titular, mas preserva a exigência das demais bases legais e determina a observância das finalidades, da boa-fé e do interesse público que justificaram a disponibilização. O art. 7º, § 4º, dispensa o consentimento para dados de acesso público — e também aqui não há dispensa de base legal, de finalidade legítima ou de princípios.

Duas conclusões operacionais decorrem disso, e ambas estão implementadas:

1. Publicidade não é licença em branco. Um dado publicado para permitir controle social, segurança jurídica das relações comerciais e transparência do registro empresarial pode ser reutilizado para essas mesmas finalidades e para as que lhes sejam compatíveis — não para qualquer finalidade imaginável. É por isso que a Política de Uso Aceitável veda expressamente o uso dos dados de sócios para contato pessoal, perfilamento comportamental, constrangimento ou decisão discriminatória.
2. O titular conserva seus direitos. Publicidade na origem não suprime acesso, correção, oposição, informação sobre compartilhamento nem, quando cabível, eliminação. Ver a seção Direitos do titular.

8. Legítimo interesse: teste de balanceamento #

A base legal principal do tratamento das bases públicas é o legítimo interesse (art. 7º, IX, da LGPD). Por exigir avaliação concreta, e não invocação retórica, registramos aqui a síntese da avaliação de legítimo interesse — o teste de três etapas — que fundamenta essa escolha. A avaliação completa é mantida documentada e pode ser disponibilizada à ANPD.

8.1. Primeira etapa — legitimidade da finalidade #

A finalidade é possibilitar que empresas verifiquem a existência, a regularidade cadastral e a composição societária de pessoas jurídicas com as quais pretendem contratar, e identifiquem contrapartes potenciais em bases oficiais. Trata-se de finalidade lícita, concreta, específica e informada, alinhada ao interesse público que motivou a divulgação: reduzir assimetria de informação nas relações empresariais. É a mesma finalidade que sustenta a publicidade do registro de comércio e a política estatal de dados abertos. Não há finalidade oculta, secundária ou de perfilamento de pessoas naturais.

8.2. Segunda etapa — necessidade e minimização #

O tratamento limita-se ao estritamente necessário. Concretamente: (i) reutilizamos exclusivamente os campos divulgados oficialmente, sem enriquecimento com dados pessoais de terceiros e sem aquisição de bases privadas; (ii) o CPF é mantido no estado de mascaramento em que a fonte o divulga, sem qualquer tentativa de reconstituição; (iii) não cruzamos dados societários com dados de consumo, de crédito, de redes sociais ou de qualquer outra origem para inferir características da pessoa; (iv) os indicadores de risco são calculados sobre atributos da empresa, não da pessoa natural; e (v) o acesso é autenticado, medido e auditado, o que permite rastrear consulta abusiva. Não identificamos meio menos invasivo de alcançar a mesma finalidade: agregação ou anonimização inviabilizariam a verificação de contraparte determinada, que é justamente o objeto do serviço.

8.3. Terceira etapa — balanceamento e salvaguardas #

Do lado do interesse legítimo pesam a licitude e a publicidade da fonte, a expectativa razoável de quem ingressa em sociedade empresária de que sua condição de sócio seja pública — expectativa que a própria lei constitui —, o interesse difuso na prevenção de fraude e a inexistência de meio alternativo. Do lado do titular pesam o risco de uso desviado para contato pessoal indesejado, de exposição fora do contexto empresarial e de decisão automatizada desfavorável.

Para que o balanceamento resulte favorável, adotamos salvaguardas que são condição da licitude, e não cortesia:

1. esta Política, publicada em endereço permanente, com indicação de origem, finalidade e base legal de cada operação — atendendo ao art. 10, § 2º, da LGPD;
2. proibição contratual expressa e sancionada de uso para contato pessoal, perfilamento, constrangimento, cobrança vexatória e decisão discriminatória;
3. vedação a tratamento de dado sensível, de criança e adolescente e a qualquer inferência sobre características pessoais;
4. acesso restrito a usuários autenticados, com registro de auditoria por consulta, o que elimina exposição indiscriminada na Internet aberta e permite responsabilização;
5. publicação integral da metodologia dos indicadores, com seus fatores, pesos e limitações declaradas, para que nenhuma decisão se apoie em caixa preta;
6. canal de titular acessível, com atendimento a oposição e a correção, incluída a possibilidade de exclusão do registro dos resultados de prospecção;
7. medidas de segurança descritas na seção Segurança da informação.

Com tais salvaguardas, a avaliação conclui que o legítimo interesse prevalece sem sacrifício desproporcional de direitos e liberdades fundamentais. A conclusão é revisável: alteração da finalidade, do escopo dos dados ou do perfil de uso implica reexecução do teste, e requerimento de oposição individual é apreciado no caso concreto, na forma da seção Direitos do titular.

9. Compartilhamento e operadores #

A Pulsedata não comercializa dados pessoais, não os cede a terceiros para finalidade própria destes, não participa de intercâmbio de bases, não integra rede de publicidade e não pratica o que a legislação estrangeira designa como venda ou compartilhamento para publicidade comportamental.

O compartilhamento ocorre exclusivamente nas seguintes hipóteses, e nos limites de cada uma:

Provedores de infraestrutura

Hospedagem, armazenamento, rede, entrega de conteúdo e observabilidade, contratados como operadores, mediante instrumento que impõe finalidade vinculada, confidencialidade, medidas de segurança e proibição de uso próprio dos dados.

Provedores de correio eletrônico transacional

Envio de mensagens operacionais — confirmação de cadastro, redefinição de senha, avisos de segurança e resposta a requerimentos —, limitados ao endereço de destino e ao conteúdo da mensagem.

Serviços de tipografia web

Não há. As fontes do site são servidas pelos nossos próprios servidores, então abrir uma página não envia o endereço IP, o agente de usuário nem a página de origem do visitante a provedor de tipografia de terceiros.

Profissionais e auditores

Advogados, contadores e auditores, sob dever legal ou contratual de sigilo, quando necessário à defesa de direitos, ao cumprimento de obrigação legal ou à condução regular das atividades.

Autoridades públicas

Mediante requisição legal, ordem judicial ou determinação administrativa fundamentada, respondida nos estritos limites do pedido. Reservamo-nos o direito de impugnar requisições excessivas, genéricas ou desprovidas de fundamento, e informaremos o titular quando não houver vedação legal para tanto.

Sucessão empresarial

Em reorganização societária, incorporação, fusão, cisão ou transferência de acervo, o sucessor fica obrigado a manter as finalidades e as condições desta Política, ficando ressalvado o direito de oposição do titular.

A Pulsedata mantém relação atualizada de seus operadores e a disponibiliza ao titular que a requeira pelo canal oficial, na forma do art. 18, VII, da LGPD.

10. Transferência internacional de dados #

A infraestrutura principal da Pulsedata — aplicação, banco de dados e armazenamento — está localizada em território brasileiro. Não realizamos transferência internacional de dados pessoais por conveniência comercial, nem replicamos bases em jurisdição estrangeira.

Podem ocorrer, de forma incidental e limitada, tratamentos fora do país quando um provedor de infraestrutura acessório opere rede global de distribuição de conteúdo ou centro de suporte técnico. Nessas hipóteses a transferência observa as condições do art. 33 da LGPD, mediante cláusulas contratuais específicas ou padrão que assegurem grau de proteção compatível com a legislação brasileira, com previsão de auditoria e de responsabilização do operador.

Passando a existir transferência internacional estrutural, esta Política será previamente atualizada com a indicação da jurisdição, da finalidade e do mecanismo de garantia adotado.

11. Retenção e eliminação #

Os dados são conservados apenas pelo tempo necessário ao cumprimento da finalidade que justificou seu tratamento ou ao atendimento de obrigação legal, regulatória ou de defesa de direitos, e são eliminados ou anonimizados ao término desse prazo.

Encerrada a conta, os dados de cadastro são eliminados ou anonimizados no prazo indicado, preservados exclusivamente os registros cuja guarda seja imposta por lei — notadamente os registros de acesso a aplicações de internet e os documentos fiscais — que permanecem em ambiente segregado, com acesso restrito e finalidade limitada ao cumprimento da obrigação.

Quanto aos dados de origem pública, a conservação acompanha a existência do serviço e o ciclo de atualização da fonte: registros que deixam de constar da base pública são atualizados ou removidos no processamento subsequente. Não mantemos “arquivo morto” de dados pessoais suprimidos na origem, ressalvados os registros históricos de situação cadastral de pessoas jurídicas, que não constituem dado pessoal.

12. Direitos do titular #

Independentemente da base legal aplicável, e inclusive quanto a dados de origem pública, o titular pode exercer, a qualquer momento e de forma gratuita, os seguintes direitos:

1. Confirmação da existência de tratamento — saber se tratamos dados a seu respeito.
2. Acesso aos dados — obter os dados que tratamos e as informações sobre o tratamento.
3. Correção de dados incompletos, inexatos ou desatualizados, observado o disposto na seção Correção de dado de origem pública.
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
5. Portabilidade a outro fornecedor de serviço ou produto, mediante requisição expressa, observados os segredos comercial e industrial e a regulamentação da ANPD.
6. Eliminação dos dados tratados com consentimento, ressalvadas as hipóteses de conservação do art. 16 da LGPD.
7. Informação sobre compartilhamento — conhecer as entidades públicas e privadas com as quais compartilhamos dados.
8. Informação sobre a possibilidade de não consentir e sobre as consequências da negativa, quando o tratamento se fundar em consentimento.
9. Revogação do consentimento, quando esta for a base legal.
10. Oposição a tratamento fundado em dispensa de consentimento, quando houver descumprimento da lei ou quando as circunstâncias concretas do titular assim justificarem.
11. Revisão de decisão automatizada, na forma da seção Decisões automatizadas.
12. Peticionar à ANPD — o titular pode reclamar diretamente à autoridade nacional, sem necessidade de esgotar previamente nosso canal, embora o contato direto costume resolver mais rapidamente.

12.1. Oposição ao uso para prospecção #

Merece destaque a hipótese mais frequente: a pessoa natural que consta como sócio ou administrador em base pública e não deseja figurar em listas de prospecção geradas pela Plataforma. Esse titular pode opor-se especificamente a essa finalidade pelo canal oficial, com efeito de supressão do registro correspondente dos resultados de geração de leads e de exportação, mantida a informação estritamente cadastral quando sua conservação for exigida por obrigação legal ou necessária ao exercício regular de direitos. O atendimento à oposição é registrado e verificado nos processamentos subsequentes.

Para o caso específico de uma empresa que não quer ser apresentada a escritórios de contabilidade como oportunidade comercial, há também o formulário em Não ser oferecido como oportunidade, que registra o pedido na hora e devolve um protocolo. É um atalho para esse único pedido: o canal oficial continua valendo para ele e para todos os demais direitos.

13. Como exercer seus direitos #

O requerimento deve ser enviado ao canal indicado na seção Identificação do controlador — taxcoe@gmail.com —, de preferência com o assunto iniciado por PULSEDATA, na forma e com as ressalvas da subseção Protocolo de assunto. Nosso procedimento é o seguinte:

1. Recebimento e registro. Todo requerimento é registrado com data, hora e identificador de protocolo, comunicado ao requerente.
2. Identificação do titular. Adotamos verificação proporcional ao risco: a atribuição indevida de acesso ou de eliminação a quem não é titular configuraria, ela mesma, incidente de segurança. Podemos solicitar elementos adicionais de confirmação, limitados ao necessário, os quais são utilizados apenas para essa verificação e eliminados em seguida. Não exigimos documentação desproporcional nem cobramos pela verificação.
3. Análise e resposta. Respondemos em formato simplificado, imediatamente ou no menor prazo possível, e, quando o pedido exigir tratamento completo — com indicação da origem, da inexistência de registro, dos critérios e da finalidade —, no prazo de 15 (quinze) dias contados da requisição, conforme o art. 19 da LGPD.
4. Fundamentação de eventual negativa. Não sendo possível atender, total ou parcialmente, informamos as razões de fato ou de direito, indicando o fundamento legal — por exemplo, obrigação legal de conservação, exercício regular de direitos em processo, ou impossibilidade de identificação — e orientamos sobre a faculdade de peticionar à ANPD e aos órgãos de defesa do consumidor.
5. Comunicação a terceiros. Realizada correção, eliminação, anonimização ou bloqueio, comunicamos, quando possível, os operadores com os quais os dados tenham sido compartilhados, para que repliquem a providência.

Requerimentos manifestamente infundados, repetitivos sem fato novo ou formulados com abuso do direito de petição podem ser respondidos com remissão à resposta anterior, sempre de forma fundamentada.

14. Correção de dado de origem pública #

Ponto que exige clareza para não gerar expectativa frustrada: a Pulsedata é destinatária do dado público, não sua produtora. Divergência quanto a razão social, endereço, composição societária, situação cadastral ou motivo de situação deve ser corrigida na origem, perante o órgão competente — Receita Federal do Brasil, junta comercial ou registro civil de pessoas jurídicas, conforme o caso. A Pulsedata não tem legitimidade nem meio técnico para alterar registro público.

Recebido requerimento de correção de dado dessa natureza, procedemos assim:

1. Orientação. Informamos a fonte específica, o órgão competente e o caminho de correção, para que o titular não seja remetido a um percurso genérico.
2. Anotação de contestação. A pedido, registramos internamente que o dado é contestado pelo titular, o que permite tratamento diferenciado e evita a repetição do equívoco em processamento subsequente.
3. Atualização. Corrigido o dado na origem, a alteração é incorporada automaticamente no ciclo de atualização seguinte. Havendo urgência demonstrada, a atualização pontual pode ser antecipada mediante requerimento.
4. Erro nosso é nosso. Se a inexatidão decorrer de falha de processamento, normalização ou cálculo de indicador atribuível à Pulsedata — e não da fonte —, a correção é feita por nós, sem necessidade de qualquer providência do titular perante terceiros.

15. Decisões automatizadas e indicadores de risco #

A Plataforma calcula indicadores automatizados, entre os quais um índice de risco cadastral de pessoa jurídica, obtido por modelo ponderado sobre atributos de registro público. Sobre ele, três esclarecimentos são devidos:

1. O indicador descreve a empresa, não a pessoa. Os fatores são atributos cadastrais da pessoa jurídica — situação cadastral, idade, capital, atividade econômica, completude do registro, entre outros. Não há fator relativo a características pessoais de sócios, nem inferência sobre comportamento, idoneidade ou capacidade de pagamento de indivíduo.
2. A Pulsedata não decide. Não concedemos crédito, não aprovamos cadastro, não contratamos e não recusamos ninguém. A decisão é sempre do usuário, tomada em seu contexto e sob sua responsabilidade, sendo-lhe contratualmente vedado utilizar o indicador como critério único e automático de decisão que afete direitos — conforme os Termos de Uso.
3. Metodologia aberta. A composição do indicador, seus fatores, pesos, faixas e limitações declaradas são publicados pela Pulsedata na página Como o Risk Score é calculado, precisamente para que sua leitura seja auditável e sua eventual contestação, possível.

Sem prejuízo do exposto, o titular que se considere afetado por tratamento automatizado realizado pela Pulsedata pode requerer, pelo canal oficial, revisão por pessoa natural e informações claras sobre os critérios e os procedimentos utilizados, observados o segredo comercial e industrial, na forma do art. 20 e §§ da LGPD — sem prejuízo do que já está publicado, de antemão e para qualquer pessoa, em Explicabilidade. Decisão tomada pelo usuário com apoio no indicador deve ser questionada perante o próprio usuário, que é seu único autor.

16. Cookies e tecnologias de armazenamento local #

O site institucional não utiliza cookies de publicidade, de rastreamento entre sites, de perfilamento comportamental, pixels de redes sociais ou identificadores de fingerprinting. Não integramos redes de anúncios e não compartilhamos sinais de navegação com terceiros para fins publicitários.

Na Plataforma autenticada são utilizados apenas mecanismos estritamente necessários ao funcionamento: manutenção de sessão e de autenticação, proteção contra falsificação de requisição, preservação de preferências de interface — como tema visual — e equilíbrio de carga. Por serem indispensáveis à prestação do serviço solicitado pelo próprio titular, tais mecanismos não dependem de consentimento; sua recusa, no navegador, impede a autenticação.

Registros técnicos de acesso são coletados no servidor para segurança e cumprimento do art. 15 do Marco Civil da Internet, conforme a seção Retenção e eliminação. Havendo adoção futura de mensuração de audiência, ela será informada nesta Política, com indicação de finalidade, base legal e meio de recusa.

O site não carrega fontes, scripts nem imagens de domínios de terceiros: tipografia e demais recursos são servidos pelos nossos próprios servidores (ver Compartilhamento e operadores).

17. Segurança da informação #

A Pulsedata adota medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, proporcionais à natureza dos dados tratados e ao estado da técnica. Entre elas:

1. transporte cifrado em todas as conexões, com certificado válido e renovação automatizada, e redirecionamento forçado de tráfego não cifrado;
2. armazenamento de senhas exclusivamente sob função de derivação criptográfica com sal, inviabilizando a recuperação do valor original;
3. autenticação por token de curta duração, com expiração e revogação, e controle de acesso por função (perfis de permissão distintos para leitura, operação e administração);
4. segregação de ambientes e de credenciais entre desenvolvimento e produção, com segredos geridos fora do código-fonte;
5. limitação de taxa de requisições, bloqueio automatizado de origens abusivas na borda da rede e alerta operacional para padrões anômalos de erro e de varredura;
6. registro de auditoria das consultas e das extrações, com carimbo de tempo e vínculo à conta, preservado contra alteração ordinária;
7. princípio do menor privilégio no acesso administrativo, restrito ao pessoal cuja função o exija e submetido a dever de confidencialidade;
8. cópias de segurança periódicas, com teste de restauração, e monitoramento de disponibilidade e integridade;
9. avaliação de segurança dos operadores contratados e imposição contratual de padrão equivalente.

Nenhum ambiente computacional é absolutamente inviolável. A Pulsedata não garante invulnerabilidade — garantia que nenhum agente honesto pode oferecer —, mas assume o compromisso de manter esforço técnico diligente, revisar continuamente suas medidas e responder a incidentes na forma da seção seguinte.

18. Incidentes de segurança #

Ocorrendo incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Pulsedata adota, em prazo razoável, as seguintes providências: contenção e avaliação técnica do evento; identificação dos dados e dos titulares afetados; comunicação à ANPD e aos titulares, com a descrição da natureza dos dados, das informações sobre os envolvidos, das medidas técnicas de proteção empregadas, dos riscos e das medidas de reversão ou mitigação; e adoção de correções para prevenir recorrência.

Quem identificar vulnerabilidade ou tiver conhecimento de possível incidente é encorajado a comunicar-nos pelo canal oficial. Comprometemo-nos a analisar toda comunicação de boa-fé, a não adotar medida retaliatória contra quem reporte responsavelmente e a não tratar tal comunicação como confissão de irregularidade por parte de quem reporta. Isso não autoriza teste de intrusão sem autorização escrita e específica, vedado pela Política de Uso Aceitável.

19. Alterações desta Política #

Esta Política pode ser alterada em razão de mudança legislativa, de orientação da ANPD, de decisão judicial, de evolução da Plataforma ou de aperfeiçoamento redacional. Toda versão publicada recebe número e data, exibidos no cabeçalho desta página, e a versão vigente é sempre a publicada nesta URL.

Alteração que amplie finalidades, modifique base legal, inclua nova categoria de dados ou institua transferência internacional estrutural será comunicada com antecedência razoável, por aviso na Plataforma ou por mensagem ao endereço eletrônico cadastrado, antes de sua entrada em vigor. Mantemos o histórico de versões e o disponibilizamos a pedido, para que qualquer tratamento passado possa ser aferido contra as regras então vigentes.

20. Legislação aplicável e autoridade competente #

Esta Política é regida pela legislação da República Federativa do Brasil, em especial pela Lei nº 13.709/2018 (LGPD), pela Lei nº 12.965/2014 (Marco Civil da Internet), pela Lei nº 12.527/2011 (Lei de Acesso à Informação) e, nas relações de consumo, pela Lei nº 8.078/1990 (CDC).

A autoridade competente para fiscalizar a aplicação da LGPD é a Autoridade Nacional de Proteção de Dados (ANPD), a quem o titular pode peticionar diretamente, independentemente de contato prévio conosco. O titular pode, igualmente, dirigir-se aos órgãos de defesa do consumidor e ao Poder Judiciário.

A versão em língua portuguesa desta Política é a única oficial e prevalece sobre qualquer tradução.