O Prova de Consentimento registra, com data e carimbo de tempo conferível por terceiros, o comportamento observável da camada de consentimento de sites. Esta política explica três coisas separadas: o que coletamos de você como titular de conta, o que observamos nos domínios que você monitora, e — a parte que merece mais atenção — o que fazemos quando verificamos um site sem ter sido solicitado.
Controlador e encarregado
Controlador: Paul Wilson, CNPJ 63.186.337/0001-55. Encarregado pelo tratamento de dados pessoais (LGPD, Art. 41): [email protected]. Esse endereço é lido por uma pessoa e responde a pedidos de titulares.
O que coletamos de você
Conta: seu e-mail e um hash bcrypt da sua senha. A senha nunca é armazenada em texto claro. Não há mais nada no registro da conta — sem nome, sem dados de pagamento, sem tokens OAuth (nunca pedimos acesso OAuth a ninguém).
Base legal: execução de contrato (Art. 7º, V).
Domínios que você cadastra: o domínio, um nome de exibição e, apenas se você informar, um CNPJ que você declara aplicável àquele site.
Token de comprovação de titularidade: uma string aleatória para você provar controle do domínio por registro DNS TXT ou arquivo publicado. Não é segredo — foi feita para ser publicada.
Sessão: um JWT assinado no armazenamento local do navegador, e um registro de curta duração de tentativas de login e tokens revogados em Redis, exclusivamente para bloqueio por tentativas e logout.
O que observamos em um domínio monitorado
Abrimos a página inicial com um navegador real e registramos o que ela carrega: scripts, cookies, domínios de terceiros contatados, presença e comportamento do banner de consentimento, validade do certificado TLS, e dados públicos de registro do domínio. Tudo vem de fontes públicas ou do próprio carregamento da página.
Não somos um visitante do seu site com dados pessoais. O navegador que usamos não tem histórico, não tem conta logada e não representa nenhuma pessoa real. O que observamos é o comportamento do site, não o comportamento de um titular.
Verificação não solicitada
Também verificamos sites cuja titularidade não foi comprovada, por iniciativa própria, para mostrar o resultado a quem administra aquele site. Descrevemos isso abertamente porque é a atividade que mais merece explicação:
- O que fazemos: uma única visita à página inicial, como qualquer visitante faria, e um clique no controle de recusa do banner, se houver.
- O que não fazemos: não adivinhamos caminhos, não procuramos vulnerabilidades, não enviamos formulários, não acessamos nada atrás de login e não disfarçamos nosso identificador para contornar bloqueio. Respeitamos o
robots.txt. - Base legal: legítimo interesse (Art. 7º, IX), com avaliação de balanceamento documentada e disponível ao encarregado mediante pedido.
- Publicação: o resultado fica em um endereço não adivinhável, não indexado por buscadores, e claramente marcado como não reivindicado.
- Retenção: 180 dias. Depois disso o registro é apagado automaticamente.
- Como parar: um clique no próprio relatório apaga o registro e coloca o domínio em lista de exclusão — deixamos de verificar e de contatar. Também atendemos por e-mail ao encarregado.
Ver Sobre a verificação automatizada para o detalhe técnico.
Contato comercial
Quando entramos em contato sobre um resultado, usamos apenas endereços institucionais publicados (contato@, comercial@ e similares). Não usamos endereços pessoais, não deduzimos endereços a partir de padrões como nome.sobrenome@, e não compramos listas. Toda mensagem tem descadastro que funciona, e o descadastro interrompe também a verificação, não só o contato.
Base legal: legítimo interesse (Art. 7º, IX).
O que não fazemos
- Não vendemos nem compartilhamos dados de conta com terceiros.
- Não usamos rastreadores de análise ou publicidade neste site. Seria estranho, dado o que fazemos.
- Não usamos dados de ninguém para treinar modelos.
- Não emitimos parecer de conformidade nem certificamos nada.
Compartilhamento
A evidência recebe carimbo de tempo da FreeTSA, autoridade independente. O que enviamos a ela é um hash — não o conteúdo. A FreeTSA não recebe o domínio verificado nem o resultado. Hospedagem em servidor próprio na Oracle Cloud, região de São Paulo. E-mail transacional via Zoho.
Seus direitos
Confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento e revogação de consentimento (Art. 18). Escreva ao encarregado. Respondemos em até 15 dias.
Você também pode reclamar diretamente à ANPD, sem falar conosco antes.
Retenção
- Conta: enquanto existir, e 30 dias após o encerramento.
- Evidência de domínio monitorado: mantida enquanto o monitoramento existir — é o produto. O histórico datado perde o sentido se for apagado.
- Verificação não solicitada: 180 dias, ou imediatamente a pedido.
- Lista de exclusão: mantida indefinidamente, porque é ela que garante que não voltaremos a contatar.
Alterações
Alterações materiais são anunciadas nesta página com nova data. Continuamos publicando a data da última atualização acima.