Política de privacidade

Em uma frase: a Vestigo é controladora dos dados de quem contrata e usa o painel, e operadora dos dados que uma agência mede no site do cliente dela. Se você chegou aqui porque visitou um site ou comprou alguma coisa, quem decidiu coletar foi a empresa daquele site — e nós executamos.

O Vestigo é um serviço de medição e automação de marketing contratado por agências e por empresas que operam o próprio marketing. Cada agência atende clientes, e é o site, a loja, a área de membros e a lista de e-mail desses clientes que o Vestigo mede. Quem responde por este documento é:

O encarregado pelo tratamento de dados (LGPD, art. 41, §1º) é a pessoa nomeada acima, e o canal dela é o e-mail ao lado do nome. É por ali que um titular, uma agência ou a Autoridade Nacional de Proteção de Dados falam conosco sobre dados pessoais.

Dentro do mesmo produto há dois papéis, e a distinção decide tudo o que vem depois:

• A Vestigo é controladora dos dados de quem contrata e usa o painel: nome, e-mail e senha de quem opera uma conta, o que essa pessoa fez no painel, os dados de cadastro e de cobrança da conta. Aqui quem decide o que guardar, para quê e por quanto tempo somos nós.
• A Vestigo é operadora (LGPD, art. 5º, VII, e art. 39) dos dados que uma agência coleta com o produto: quem visitou o site do cliente dela, quem comprou, quem se matriculou num curso, quem respondeu a um formulário. Quem decide o que medir, com que base e por quanto tempo é a agência e o cliente dela; nós tratamos apenas conforme as instruções deles, e os termos de uso e de serviço valem como o instrumento que rege esse tratamento.

Onde a agência atua para um cliente dela, o controlador é o cliente, e a agência responde perante ele pelo que configurou. Se você chegou aqui porque visitou um site, comprou alguma coisa ou estuda numa área de membros: quem decidiu coletar seus dados foi a empresa cujo site você usou. O caminho para falar com ela — e para falar conosco diretamente — está na página de exclusão de dados.

Em uma frase: há cinco portas: o painel, o código de medição no site do cliente, os avisos de compra dos checkouts, as contas que a agência conecta e a gravação de sessão. Nada é comprado de terceiro; se um dado está aqui, entrou por uma dessas cinco.

• O painel. O que a agência escreve ao criar a conta e ao usá-la: nome, e-mail, senha, os clientes que cadastra, as regras que configura. E o que a própria pessoa escreve nas superfícies que servimos — cadastro e progresso numa área de membros, mensagens em comunidade, respostas a formulários e a inscrição numa lista de e-mail.
• O código de medição no site do cliente. Um trecho de JavaScript que a agência instala. Ele registra páginas vistas, cliques, envios de formulário, reprodução de vídeo e compras, e manda o endereço da página, o de onde a pessoa veio, os parâmetros de campanha da URL (utm_source, utm_campaign e os demais) e os identificadores de clique que a plataforma de anúncio deixou no endereço. Quando o próprio site informa dados de quem preencheu um formulário, eles vêm junto.
• Os avisos de compra dos checkouts. Quando alguém compra numa plataforma de pagamento conectada, ela nos envia o registro da venda: produto, valor, forma de pagamento e os dados de contato do comprador. São dezenove caminhos: Hotmart, Kiwify, Eduzz, Braip, PerfectPay, Guru, Ticto, Monetizze, Cakto, Kirvano, Hubla, Doppus, Greenn, Shopify, Yampi, CartPanda, Mercado Pago, Pagar.me e um adaptador universal para plataformas que a agência mapeia à mão.
• As contas que a agência conecta. Meta, Google (Ads, Search Console e YouTube), TikTok, Instagram e WhatsApp. A agência autoriza pelo login da própria plataforma, e passamos a ler relatórios, campanhas, comentários e mensagens dessas contas — e a devolver eventos de conversão a elas. As permissões pedidas à Meta estão listadas na §10.
• A gravação de sessão (V-View). Quando a agência liga esse recurso numa propriedade, uma fração sorteada das visitas é gravada — o que a pessoa vê na tela, onde rola, onde clica — para o operador rever como o site foi usado. Está descrita por inteiro logo abaixo, porque é a porta que mais pergunta merece.

A gravação de sessão, por inteiro

A gravação usa o motor de código aberto rrweb e obedece a cinco regras, e todas as cinco estão no código que roda no navegador do visitante — não são políticas de uso, são o que o programa faz:

• Só sessões sorteadas. A agência define a fração de visitas gravadas; quem não foi sorteado não carrega o gravador, e o sorteio é por visita, não por evento.
• Só com consentimento onde o site o exige. Numa propriedade que pede consentimento, o gravador não é sequer baixado antes de a pessoa aceitar.
• Máscara em todo campo de formulário, antes de o trecho sair. O estado inicial é «todo campo escondido»: o que a pessoa digita em qualquer campo é substituído por asteriscos no navegador dela, e é o trecho já mascarado que chega aos nossos servidores. Revelar um campo é um gesto que o operador precisa declarar campo a campo. A mesma máscara alcança textos que o operador marcar como sensíveis.
• Se a máscara falhar, a gravação não acontece. Configuração que não carrega, seletor inválido, máscara que dá erro: em qualquer um desses casos o gravador não grava. Nunca há gravação sem máscara.
• Retenção definida pelo plano, e replay só para quem opera aquele cliente. As gravações expiram no prazo do plano contratado pela agência, e quem consegue assistir a uma gravação é o operador daquele cliente, no painel — nenhuma gravação sai para destino de anúncio nem para provedor de modelo de linguagem.

Nada é comprado de terceiros e nada é enriquecido com base de dados externa. A única leitura de fora é a de perfis públicos de redes sociais que a agência cadastra para acompanhar — números de seguidores, publicações e engajamento de um perfil aberto —, e ela não traz dado de contato de ninguém.

Em uma frase: cada tipo de dado tem um prazo, e os prazos com número são lidos da configuração desta instalação — não estão digitados aqui. Sem consentimento, o endereço IP e a identificação do navegador não entram, e a localização perde o CEP.

A coluna da direita é o prazo real: onde há descarte automático, sai o número de dias que o sistema aplica; onde não há, sai o que de fato acontece.

O que muda sem consentimento

Numa propriedade que exige consentimento, cada evento chega com o estado que o site informou. Quando a pessoa recusou, o evento ainda conta — para o site saber quantas pessoas passaram —, mas chega sem endereço IP, sem identificação do navegador, sem identificador de visita e sem os dados de formulário; a localização derivada do IP fica no nível de país, região e cidade, e perde o CEP, que é o campo que serviria para casar a pessoa com um cadastro de anúncio.

Em uma frase: no site que você visita gravamos identificadores aleatórios de visitante, visita, origem, consentimento, nível de jornada e variante de página; no nosso domínio, só os cookies de sessão de quem entra numa conta. Não medimos impressão digital do navegador, e a localização por IP é resolvida numa base local, sem mandar o IP a ninguém.

São dois conjuntos, e eles não se encontram: os de medição vivem no domínio do site que você visita, e os de sessão vivem no nosso. Nenhum dos dois acompanha você de um domínio para o outro. Esta lista é completa: cada nome abaixo é o nome que o cookie tem no seu navegador.

No site que você visita

• _vsid — cookie; o identificador aleatório do visitante, válido por 365 dias. É o que liga duas visitas ao mesmo site.
• _vses — cookie; o identificador da visita. Expira com 30 minutos de inatividade e, mesmo em uso contínuo, tem teto de 8 horas: depois disso é outra visita.
• _vsattr — armazenamento local do navegador. Registra a primeira origem da visita (campanha, anúncio, identificadores de clique) para creditar a venda a quem a originou.
• _vsconsent — armazenamento local. Registra se o consentimento foi concedido no site.
• _vsid_x — armazenamento local. Um espelho do identificador do visitante com a versão em hash, que o pixel da Meta usa como identificador externo quando a agência liga o espelhamento.
• _fbp e _fbc — cookies no padrão da Meta. O código de medição os lê e, quando ausentes, os grava, mantendo a validade que a própria Meta define para cada um.
• _vesteira — cookie assinado pelo servidor, válido por 1 ano. Guarda em que nível da jornada a pessoa está, o degrau da esteira de produtos e quantas visitas fez, para o site servir a página certa para aquele momento. É lido e reescrito só pelo servidor.
• _vprx.<id-do-teste> — cookie do servidor, válido por seis meses, só legível pelo servidor. Quando uma página tem mais de uma versão em teste, ele lembra qual versão você viu, para você ver sempre a mesma.
• _vprx.auto — cookie de 1 hora, gravado quando o próprio navegador se declara automatizado (uma ferramenta de teste, por exemplo). Ele só sabe acusar máquina; não existe cookie que diga «sou gente».

Identificadores de clique que lemos do endereço quando a plataforma de anúncio os põe lá: fbclid (Meta), gclid (Google), ttclid (TikTok) e ctwa_clid (a conversa no WhatsApp que começou num anúncio). Eles ligam a visita ao anúncio, e é assim que uma compra volta à campanha que a originou.

No domínio do Vestigo

Só para quem entra numa conta nossa. Eles não medem nada, não vão para destino nenhum e não existem para quem apenas visitou o site de um cliente. Servem para manter a sessão de pé e para impedir que um formulário de outro site dispare uma ação em nome de quem entrou:

• vestigo_session e vestigo_csrf — a sessão de quem opera o painel de uma agência.
• vestigo_aluno e vestigo_aluno_csrf — a sessão de quem estuda numa área de membros. vestigo_aluno_suporte existe apenas enquanto alguém do suporte estiver vendo a área no lugar do aluno, e é ele que desenha a faixa avisando disso na tela.
• vestigo_plataforma e vestigo_plataforma_csrf — a sessão de quem opera a plataforma do Vestigo, em endereço e navegação separados do painel das agências.

O que não fazemos

• Não medimos impressão digital do navegador: nem canvas, nem fontes instaladas, nem áudio, nem WebGL. Esses métodos identificam a pessoa sem cookie e sem ela saber; o Vestigo só reconhece quem carrega um identificador que o próprio navegador pode apagar.
• Não mandamos o endereço IP a um serviço de geolocalização. A localização aproximada é resolvida numa base MaxMind instalada nos nossos servidores; o IP não sai daqui para isso.
• Não substituímos a ferramenta de consentimento do site. O consentimento é do site, não nosso: cada evento chega com o estado que o site informou, e nós o respeitamos. Não temos como conceder ou revogar consentimento no lugar dele.

Em uma frase: medimos, atribuímos, devolvemos conversões às plataformas de anúncio, segmentamos, entregamos a área de membros e mantemos o serviço de pé — cada finalidade com o seu inciso do art. 7º ao lado. Nenhuma finalidade trata dado sensível.

• Medir. Dizer quantas pessoas visitaram, o que fizeram, o que compraram e quanto custou cada resultado.
• Atribuir. Ligar uma venda ao anúncio, à campanha e ao canal que a originaram.
• Devolver conversões às plataformas de anúncio. É o que faz o anúncio aprender com quem comprou — e é o principal motivo de o produto existir.
• Segmentar e automatizar. Montar públicos, disparar e-mails e responder comentários e mensagens conforme as regras que a agência configurou.
• Entregar a área de membros. Dar acesso, registrar progresso e emitir certificado.
• Rever como o site foi usado. A gravação de sessão, os mapas de calor e os sinais de frustração, para o operador consertar o que trava.
• Operar e proteger o serviço. Diagnosticar falhas, evitar abuso, cobrar o plano e manter registro de quem fez o quê.

Com que base legal

A base não é a mesma para tudo, e depende de quem decide o tratamento. Onde a Vestigo é controladora, a base é nossa e está declarada abaixo. Onde somos operadores, quem escolhe a base é o controlador — a agência ou o cliente dela —, e o que declaramos é a base que o produto pressupõe e cobra em contrato.

Sobre o art. 11 — dados sensíveis. Não há, no Vestigo, finalidade que trate dado sensível: nem saúde, nem biometria, nem origem racial, convicção religiosa, opinião política, filiação sindical ou vida sexual. Os termos proíbem coletá-los pelo código de medição e pela API, e nenhum recurso do produto os pede. Um dado sensível que entre por engano — num campo livre de formulário, por exemplo — é caso de eliminação, e não de enquadramento: quem o identificar, dentro ou fora da empresa, deve nos avisar pelo canal desta política, e nós o apagamos.

E-mail, telefone, nome, cidade, estado, CEP e país saem para destino de anúncio sempre como hash SHA-256 — nunca em texto legível. O destino recebe uma impressão que serve para reconhecer quem já é cliente dele, e não o dado em si. Esse é o único formato em que esses campos deixam o sistema rumo a uma plataforma de anúncio, e não há caminho alternativo no produto.

Em uma frase: com as plataformas de anúncio que a agência liga, com os provedores de modelo de linguagem que ela cadastra, e com os prestadores que fazem o serviço funcionar — todos nomeados abaixo. Não vendemos dados, não os cedemos, e não usamos os dados de uma agência para outra.

Plataformas de anúncio e medição

Quando e como a agência determina: Meta (Conversions API), Google Ads (conversões e conversões aprimoradas), Google Analytics 4 (Measurement Protocol), TikTok (Events API) e OpenAI (conversões do ChatGPT Ads). O que sai é o evento — a compra, o cadastro, a página vista — com os campos de identificação em hash SHA-256, como a §5 descreve.

Provedores de modelo de linguagem

Só quando a agência liga os recursos de inteligência artificial do produto. A chave de acesso é da própria agência: é ela quem contrata o provedor, cadastra a chave e escolhe o modelo — quem determina o envio é ela, e quem transmite somos nós. Os caminhos possíveis são Anthropic, OpenAI, Google (Gemini), OpenRouter e qualquer endereço compatível com a API da OpenAI, incluindo um servidor da própria agência.

O que sai por esse caminho é o material sobre o qual o agente trabalha: o texto de uma matéria ou de um e-mail em redação, as palavras-chave e as páginas em análise, o conteúdo que o cliente já publicou, os trechos do acervo transformados em vetor de busca e os números do painel. Nenhuma ferramenta do agente devolve lista de contatos — o que ele recebe de jornada e de campanha é agregado, e essa fronteira é construída: a ferramenta que alcançaria o dado identificado não é montada para ele, e por isso não há caminho pelo qual o modelo a chame.

Prestadores que fazem o serviço funcionar

Tratam os dados por nossa ordem, só para a função abaixo, e são os sub-operadores que os termos autorizam:

O que não fazemos

• não vendemos dados pessoais, e não os cedemos para uso próprio de terceiro;
• não usamos os dados de uma agência para outra — cada agência tem espaço próprio, e toda consulta do produto carrega a identificação dela;
• não usamos dados de contato dos clientes das agências para vender o Vestigo;
• não entregamos gravação de sessão, lista de alunos nem lista de contatos a destino de anúncio ou a provedor de modelo de linguagem.

Em uma frase: parte dos prestadores e todos os destinos de anúncio processam dados fora do Brasil. Com quem trata por nossa ordem usamos cláusulas contratuais no padrão da ANPD (art. 33, II, «a»); onde quem determina o envio é a agência, o mecanismo é o dela. Não invocamos adequação de país.

Os destinos de anúncio e medição citados acima — Meta, Google, TikTok e OpenAI — processam dados fora do Brasil, em infraestrutura própria. Ao usar cada integração, a agência determina esse envio; os termos de tratamento de cada plataforma se aplicam ao que ela recebe. O mesmo vale para os provedores de modelo de linguagem que a agência cadastrar: Anthropic, OpenAI, Google e OpenRouter processam fora do Brasil. A exceção é um endereço compatível que a própria agência hospede — aí o dado vai para onde ela decidiu, e quem responde por esse destino é ela.

O mecanismo de cada transferência (LGPD, art. 33):

• Prestadores que tratam por nossa ordem — os da §6: hospedagem e banco de dados, armazenamento, vídeo, e-mail, cobrança e leitura de perfis públicos. Com cada um mantemos instrumento contratual que restringe o tratamento às nossas instruções e impõe as obrigações desta política, com cláusulas contratuais específicas de transferência internacional no padrão aprovado pela ANPD (Resolução CD/ANPD nº 19/2024) — o caminho do art. 33, II, «a».
• Destinos determinados pela agência — as plataformas de anúncio e os provedores de modelo de linguagem. Quem determina a transferência é o controlador, e o mecanismo é o que ele adotar: em regra, o consentimento específico e destacado do titular (art. 33, VIII) ou a necessidade para executar contrato a pedido dele (art. 33, VI), somados aos termos de tratamento que cada plataforma publica. O Vestigo executa o envio que foi determinado, e o executa com os campos de identificação em hash.
• Endereço hospedado pela própria agência — quando o modelo de linguagem roda em infraestrutura dela, não há transferência por nossa conta: o destino é dela, e quem responde por ele é ela.

Não invocamos reconhecimento de adequação de país (art. 33, I): a ANPD ainda não publicou essa lista, e um documento que a alegasse estaria afirmando um fato que não existe.

Em uma frase: você pode confirmar, acessar, corrigir, apagar, portar e revogar. Respondemos em até 15 dias corridos; quando o dado é de um site que você usou, encaminhamos à empresa dele em 5 dias úteis e avisamos você.

A LGPD (art. 18) garante a você confirmação da existência de tratamento, acesso, correção, anonimização ou eliminação, portabilidade, informação sobre com quem seus dados foram compartilhados e revogação do consentimento. Há dois caminhos, e o primeiro costuma ser mais rápido:

• Fale com a empresa cujo site você usou. Ela é quem decidiu coletar, e ela consegue apagar seus dados dentro do painel dela imediatamente.
• Fale conosco. Use a página de exclusão de dados ou escreva para suporte@vestigo.ia.br. Como somos operadores nesse caso, encaminhamos o pedido a quem controla os dados e executamos a exclusão no que está sob nossa guarda.

O prazo, e ele é nosso compromisso — não uma remissão à lei:

• Respondemos a qualquer dos direitos acima em até 15 dias corridos do recebimento do pedido. A LGPD fixa esse prazo apenas para o acesso em declaração completa (art. 19, II); nós o adotamos para todos.
• A confirmação de que existe tratamento é dada imediatamente, em formato simplificado, quando o pedido chega identificado (art. 19, I).
• Quando somos operadores, encaminhamos o pedido ao controlador em até 5 dias úteis e avisamos você de que encaminhamos, com o nome de quem passou a responder. Os 15 dias continuam correndo para nós no que está sob nossa guarda.
• Podemos pedir uma confirmação de que o contato é seu antes de agir. Atender o pedido de quem não é o titular seria o mesmo dano com o sinal trocado — e essa verificação não suspende o prazo por mais tempo do que ela leva.

Se a resposta não o satisfizer, a LGPD lhe garante peticionar diretamente à Autoridade Nacional de Proteção de Dados (art. 18, §1º), e nós não condicionamos nada a você não fazê-lo.

Em uma frase: o Vestigo não se dirige a menores, mas um menor pode aparecer por dois caminhos — medido num site de terceiro, ou cadastrado numa área de membros que nós servimos. No segundo caso a coleta é nossa, e assumimos compromissos que a lei não nos cobra.

O Vestigo é uma ferramenta de trabalho, contratada por empresas e usada por profissionais: ele não se dirige a crianças nem a adolescentes, e não pedimos idade a ninguém. Ainda assim, um titular menor de idade pode ter dados aqui por dois caminhos diferentes, e eles não são a mesma coisa:

• Pela medição de um site de terceiro. A empresa cujo site ele visitou decidiu coletar, e nós apenas executamos o que ela configurou.
• Pelo cadastro numa área de membros. Aqui o dado é entregue a nós: quem se matricula num curso cria uma conta na nossa infraestrutura, com nome, e-mail e senha, e o acesso ao material passa por ela. É coleta direta, e não medição de terceiro.

No primeiro caminho, o controlador é a empresa cujo site foi visitado, e é dela a obrigação do art. 14, §1º — o consentimento específico e destacado de ao menos um dos pais ou do responsável — e a do melhor interesse do art. 14, caput. Nós executamos o que ela configurou, e os termos proíbem usar o Vestigo para medir público que a agência não tenha direito de medir.

No segundo, além do que a lei exige do controlador, assumimos quatro compromissos próprios, e eles valem para todo aluno menor de idade em qualquer área de membros servida por nós:

• não pedimos mais do que nome, e-mail e senha para dar acesso ao material, e não condicionamos a participação a fornecer dado além desse mínimo (art. 14, §3º);
• não usamos dado de aluno para publicidade da Vestigo, nem para nenhuma finalidade nossa que não seja entregar o curso e manter o serviço de pé;
• não montamos perfil comportamental de aluno para terceiro, e nenhuma ferramenta do produto entrega lista de alunos a um destino de anúncio;
• escrevemos a página de exclusão para ser entendida sem advogado, porque o art. 14, §6º cobra informação simples, clara e acessível — e porque quem vai lê-la é, muitas vezes, o próprio adolescente.

Nos dois casos o pedido de exclusão pode ser feito pelo responsável em https://vestigo.ia.br/exclusao-de-dados, e ele tem prioridade na fila.

Em uma frase: a agência conecta a conta Meta dela pelo login da própria Meta — nós nunca vemos a senha —, as permissões pedidas estão listadas abaixo, e a autorização pode ser revogada a qualquer momento nas configurações da conta Meta.

Quando uma agência conecta a conta Meta dela ao Vestigo, ela autoriza pelo login da própria Meta. Nós não recebemos a senha dela: recebemos um token de acesso, o identificador da conta de negócios e a lista de permissões concedidas. A autorização pode ser revogada a qualquer momento nas configurações da conta Meta, e a revogação vale imediatamente — o token deixa de funcionar e nenhuma leitura nova acontece.

As permissões que o app pede, e o que cada uma destrava:

• instagram_basic — para listar o perfil profissional conectado e as publicações dele.
• instagram_manage_comments — para ler e responder comentários nas automações.
• instagram_manage_messages — para mandar e receber mensagens diretas nas automações.
• instagram_content_publish — para publicar no perfil pelo agendador de publicações.
• instagram_manage_insights — para alcance, visitas ao perfil e métricas de cada publicação.
• pages_show_list — para achar as Páginas concedidas e o perfil do Instagram vinculado a cada uma.
• pages_read_engagement — para ler o que acontece na Página vinculada ao perfil.
• pages_manage_metadata — para inscrever a Página nos eventos do webhook — sem ela a Meta aceita a assinatura do app e não entrega nada: o webhook responde, o fluxo executa, e nenhum comentário real chega.
• business_management — para enxergar os ativos do portfólio empresarial que a pessoa concedeu no login.
• ads_read — para gasto, retorno e campanhas da conta de anúncios.
• ads_management — para criar, editar e pausar campanhas — os agentes de mídia e o MCP.
• leads_retrieval — para o lead do formulário instantâneo chegar com os campos preenchidos.
• pages_manage_ads — para ler o lead da Página — ela é exigida junto de leads_retrieval.
• catalog_management — para o catálogo de produtos e o anúncio dinâmico.
• whatsapp_business_management — para embarcar o número da agência e gerir os modelos de mensagem.
• whatsapp_business_messaging — para mandar e receber mensagens pelo número conectado.

A Meta oferece um endereço para onde ela envia quem pede exclusão de dados. No Vestigo esse endereço é https://vestigo.ia.br/exclusao-de-dados, e o recebimento automatizado do pedido acontece em /ml/exclusao-de-dados. A página de exclusão diz, ela mesma, se esse recebimento está em serviço nesta instalação.

Em uma frase: senhas com hash, tráfego cifrado, sessões que expiram sozinhas, chaves cifradas em repouso e revogáveis, espaço isolado por agência. Se algo falhar, avisamos a agência em 48 horas e apoiamos a comunicação à ANPD e aos titulares.

• senhas são guardadas com argon2id, nunca em texto legível e nunca reversíveis;
• todo o tráfego é servido por HTTPS (TLS), e as páginas públicas — esta inclusive — não carregam nada de terceiro que registre quem as abriu;
• a sessão de quem entra vive num cookie de que só o navegador de quem entrou tem o valor; no servidor guardamos apenas o hash, num armazenamento com expiração automática, e sair apaga a sessão na hora;
• as credenciais das integrações ficam cifradas em repouso, não aparecem em log e não voltam por nenhuma resposta da API; os tokens de acesso à API e as chaves de robô aparecem uma única vez, na criação, são guardados só como hash e podem ser revogados pela agência a qualquer momento;
• quem opera a plataforma do Vestigo entra com segundo fator obrigatório, em endereço e sessão separados do painel das agências;
• os dados de cada agência ficam isolados, e toda consulta do produto carrega a identificação dela.

Nenhuma medida elimina risco. Se ocorrer incidente de segurança que possa acarretar risco ou dano relevante, comunicamos a agência afetada em até 48 horas a contar de tomarmos conhecimento, com o que se sabe até ali, e comunicamos à Autoridade Nacional de Proteção de Dados e aos titulares o que a lei exige, no prazo que ela fixa (art. 48). Onde somos operadores, a comunicação é feita com o controlador, e nós lhe entregamos o que ele precisa para fazê-la. Um aviso tardio é o que transforma um incidente contido num incidente sem defesa possível.

Em uma frase: quando o texto mudar, a data de vigência no topo muda junto, e mudança que altere finalidade ou compartilhamento é avisada às agências antes de valer.

Quando este texto mudar, a data de vigência no topo muda junto, e a versão anterior deixa de valer a partir da publicação. Mudança que altere finalidade, compartilhamento ou prazo de guarda é comunicada às agências por e-mail e no painel antes de entrar em vigor. A versão que cada conta aceitou ao nascer fica registrada com a data de vigência que ela leu.