Política de privacidade

Última atualização: 26 de agosto de 2026.

Esta política explica, sem rodeios, quais dados o PuxaFicha trata, por que trata, por quanto tempo guarda e o que você pode exigir de nós. Ela segue a Lei nº 13.709/2018 (LGPD).

1. Dois tipos de dado, tratamentos diferentes

A distinção abaixo organiza todo o resto desta política:

• Dados do solicitante — quem usa o site: e-mail (se informado), dados de cobrança coletados pelo gateway de pagamento (nome e CPF do pagador, no caso do PIX), endereço IP e agente de navegação, registro do aceite dos termos.
• Dados consultados — o conteúdo do resultado: a placa ou o CPF pesquisado e as informações retornadas pelas bases. Podem se referir a você ou a um terceiro.

Adicional “ficha do proprietário”. Há um caso em que o dado consultado não é digitado por você: ao contratar esse adicional na consulta de placa, o CPF pesquisado é o que a própria consulta do veículo retornou como sendo do proprietário. O resultado é uma consulta de dados cadastrais sobre essa pessoa — que normalmente é um terceiro — e inclui informações como situação cadastral, endereços, contatos e perfil socioeconômico. O adicional é opcional, aparece desmarcado e só é executado se você marcá-lo expressamente antes de pagar. Ao marcá-lo, você declara possuir finalidade legítima também em relação a esse titular, nos mesmos termos do item 3. Esses dados seguem exatamente a mesma regra dos demais dados consultados: criptografados, nunca reaproveitados por nós e eliminados em 7 dias.

2. Papéis no tratamento

Quanto aos dados do solicitante, atuamos como controlador: decidimos como tratá-los para executar o serviço.

Quanto aos dados consultados, atuamos essencialmente como operador por conta do solicitante, que define a finalidade da consulta e declara possuir base legal para ela. Nós intermediamos a requisição, entregamos o resultado e o eliminamos no prazo. Não usamos esses dados para nenhuma finalidade própria: não montamos perfis, não enriquecemos bases, não revendemos e não fazemos marketing com eles.

3. Base legal

• Execução de contrato (art. 7º, V) — processar seu pagamento, executar a consulta e entregar o resultado.
• Cumprimento de obrigação legal (art. 7º, II) — guardar registros fiscais e de acesso exigidos por lei.
• Legítimo interesse (art. 7º, IX) — segurança da plataforma, prevenção a fraude e abuso.
• Para os dados consultados, a base legal é aquela declarada pelo solicitante ao aceitar os termos.

4. Retenção — 7 dias e pronto

O resultado da consulta, o PDF gerado e o próprio valor pesquisado (placa ou CPF) são apagados 7 dias após a confirmação do pagamento, por rotina automatizada diária. Não há cópia de backup desses campos após o expurgo, e não há como recuperá-los.

Permanecem depois desse prazo apenas: o registro contábil e fiscal da transação (identificador do pedido, produto, valor, data), o hash do e-mail e do IP para fins de segurança, e o registro do aceite dos termos. Nenhum desses registros contém os dados consultados.

5. Como protegemos

• Criptografia em repouso: resultado e PDF são gravados cifrados com AES-256-GCM. Um vazamento do banco, isolado, não revela nenhum dado consultado.
• Acesso por token: o link do resultado carrega um token aleatório de 256 bits. No banco guardamos apenas o HMAC-SHA256 dele.
• Criptografia em trânsito: HTTPS obrigatório, com HSTS.
• IP pseudonimizado: endereços IP são guardados apenas como hash com salt, nunca em claro.
• Registros sem dado pessoal: nossos logs de aplicação nunca contêm placa, CPF ou conteúdo de consulta.
• Proteção contra abuso: limite de requisições por origem, captcha e bloqueio de tentativas de enumeração de links.

6. Com quem compartilhamos

Apenas com os operadores necessários para o serviço funcionar, cada um recebendo somente o mínimo indispensável:

• Stripe — processamento de pagamento com cartão e boleto. Recebe dados de cobrança e o nome do produto. Não recebe a placa, o CPF consultado nem o resultado da consulta.
• Asaas — processamento de pagamento por PIX. Recebe o nome e o CPF de quem paga (exigidos pelo Banco Central para emitir a cobrança), o valor e o nome do produto. Não recebe a placa, o CPF consultado nem o resultado da consulta.
• API Brasil — provedor das consultas. Recebe o valor a consultar (placa ou CPF) para executar a requisição.
• Resend — envio de e-mails transacionais. Recebe seu e-mail e o link do resultado. Os dados da consulta não vão no corpo da mensagem.
• Vercel e Neon — hospedagem e banco de dados da aplicação.

Não vendemos, alugamos nem cedemos dados pessoais para terceiros com finalidade publicitária. Podemos divulgar informações quando houver requisição legal de autoridade competente.

7. Cookies e rastreamento

Não usamos cookies de publicidade, pixels de rede social nem rastreamento entre sites. O site funciona sem cookies de identificação. A Stripe, o Asaas e o Cloudflare Turnstile podem definir cookies estritamente técnicos, de segurança e antifraude, nas páginas em que atuam.

8. Seus direitos

Como titular, você pode solicitar a qualquer momento: confirmação da existência de tratamento; acesso aos dados; correção de dado incompleto ou desatualizado; anonimização, bloqueio ou eliminação de dado desnecessário ou tratado em desconformidade; portabilidade; informação sobre compartilhamento; e revisão de decisões automatizadas.

Solicitações são atendidas pelos canais informados no site. Podemos pedir elementos que confirmem sua identidade — é uma proteção sua, para que ninguém obtenha seus dados se passando por você.

Se você é titular de dados que foram consultados por terceiro em nossa plataforma, escreva para nós: identificamos as consultas relacionadas ao seu documento que ainda estejam dentro do prazo de retenção, informamos o que temos e podemos eliminá-las antecipadamente. Como o expurgo é automático em 7 dias, consultas mais antigas já não existem em nossos sistemas.

9. Transferência internacional

Alguns operadores (Stripe, Vercel, Resend, Neon) podem processar dados em servidores fora do Brasil; o Asaas processa no Brasil. Essas transferências ocorrem com base em cláusulas contratuais e garantias de proteção equivalentes, conforme o art. 33 da LGPD.

10. Menores de idade

O serviço é destinado a maiores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes como solicitantes.

11. Incidentes de segurança

Em caso de incidente que possa acarretar risco relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados e os afetados, nos prazos e na forma da lei.

12. Alterações desta política

Alterações são publicadas nesta página, com a data de atualização no topo. Mudanças materiais no tratamento de dados serão destacadas.

13. Contato

Para exercer direitos, tirar dúvidas sobre esta política ou falar com o responsável pelo tratamento de dados, use os canais de atendimento informados no site.