Política de privacidade

Última atualização: 24 de agosto de 2026.

Esta política explica, sem rodeios, quais dados o PuxaFicha trata, por que trata, por quanto tempo guarda e o que você pode exigir de nós. Ela segue a Lei nº 13.709/2018 (LGPD).

1. Dois tipos de dado, tratamentos diferentes

A distinção abaixo organiza todo o resto desta política:

• Dados do solicitante — quem usa o site: e-mail (se informado), dados de cobrança coletados pela Stripe, endereço IP e agente de navegação, registro do aceite dos termos.
• Dados consultados — o conteúdo do resultado: a placa ou o CPF pesquisado e as informações retornadas pelas bases. Podem se referir a você ou a um terceiro.

2. Papéis no tratamento

Quanto aos dados do solicitante, atuamos como controlador: decidimos como tratá-los para executar o serviço.

Quanto aos dados consultados, atuamos essencialmente como operador por conta do solicitante, que define a finalidade da consulta e declara possuir base legal para ela. Nós intermediamos a requisição, entregamos o resultado e o eliminamos no prazo. Não usamos esses dados para nenhuma finalidade própria: não montamos perfis, não enriquecemos bases, não revendemos e não fazemos marketing com eles.

3. Base legal

• Execução de contrato (art. 7º, V) — processar seu pagamento, executar a consulta e entregar o resultado.
• Cumprimento de obrigação legal (art. 7º, II) — guardar registros fiscais e de acesso exigidos por lei.
• Legítimo interesse (art. 7º, IX) — segurança da plataforma, prevenção a fraude e abuso.
• Para os dados consultados, a base legal é aquela declarada pelo solicitante ao aceitar os termos.

4. Retenção — 7 dias e pronto

O resultado da consulta, o PDF gerado e o próprio valor pesquisado (placa ou CPF) são apagados 7 dias após a confirmação do pagamento, por rotina automatizada diária. Não há cópia de backup desses campos após o expurgo, e não há como recuperá-los.

Permanecem depois desse prazo apenas: o registro contábil e fiscal da transação (identificador do pedido, produto, valor, data), o hash do e-mail e do IP para fins de segurança, e o registro do aceite dos termos. Nenhum desses registros contém os dados consultados.

5. Como protegemos

• Criptografia em repouso: resultado e PDF são gravados cifrados com AES-256-GCM. Um vazamento do banco, isolado, não revela nenhum dado consultado.
• Acesso por token: o link do resultado carrega um token aleatório de 256 bits. No banco guardamos apenas o HMAC-SHA256 dele.
• Criptografia em trânsito: HTTPS obrigatório, com HSTS.
• IP pseudonimizado: endereços IP são guardados apenas como hash com salt, nunca em claro.
• Registros sem dado pessoal: nossos logs de aplicação nunca contêm placa, CPF ou conteúdo de consulta.
• Proteção contra abuso: limite de requisições por origem, captcha e bloqueio de tentativas de enumeração de links.

6. Com quem compartilhamos

Apenas com os operadores necessários para o serviço funcionar, cada um recebendo somente o mínimo indispensável:

• Stripe — processamento de pagamento. Recebe dados de cobrança e o nome do produto. Não recebe a placa, o CPF nem o resultado da consulta.
• API Brasil — provedor das consultas. Recebe o valor a consultar (placa ou CPF) para executar a requisição.
• Resend — envio de e-mails transacionais. Recebe seu e-mail e o link do resultado. Os dados da consulta não vão no corpo da mensagem.
• Vercel e Neon — hospedagem e banco de dados da aplicação.

Não vendemos, alugamos nem cedemos dados pessoais para terceiros com finalidade publicitária. Podemos divulgar informações quando houver requisição legal de autoridade competente.

7. Cookies e rastreamento

Não usamos cookies de publicidade, pixels de rede social nem rastreamento entre sites. O site funciona sem cookies de identificação. A Stripe e o Cloudflare Turnstile podem definir cookies estritamente técnicos, de segurança e antifraude, nas páginas em que atuam.

8. Seus direitos

Como titular, você pode solicitar a qualquer momento: confirmação da existência de tratamento; acesso aos dados; correção de dado incompleto ou desatualizado; anonimização, bloqueio ou eliminação de dado desnecessário ou tratado em desconformidade; portabilidade; informação sobre compartilhamento; e revisão de decisões automatizadas.

Solicitações são atendidas pelos canais informados no site. Podemos pedir elementos que confirmem sua identidade — é uma proteção sua, para que ninguém obtenha seus dados se passando por você.

Se você é titular de dados que foram consultados por terceiro em nossa plataforma, escreva para nós: identificamos as consultas relacionadas ao seu documento que ainda estejam dentro do prazo de retenção, informamos o que temos e podemos eliminá-las antecipadamente. Como o expurgo é automático em 7 dias, consultas mais antigas já não existem em nossos sistemas.

9. Transferência internacional

Alguns operadores (Stripe, Vercel, Resend, Neon) podem processar dados em servidores fora do Brasil. Essas transferências ocorrem com base em cláusulas contratuais e garantias de proteção equivalentes, conforme o art. 33 da LGPD.

10. Menores de idade

O serviço é destinado a maiores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes como solicitantes.

11. Incidentes de segurança

Em caso de incidente que possa acarretar risco relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados e os afetados, nos prazos e na forma da lei.

12. Alterações desta política

Alterações são publicadas nesta página, com a data de atualização no topo. Mudanças materiais no tratamento de dados serão destacadas.

13. Contato

Para exercer direitos, tirar dúvidas sobre esta política ou falar com o responsável pelo tratamento de dados, use os canais de atendimento informados no site.