Política de Privacidade Biométrica

Política de Privacidade Biométrica

Versão: 1.1  |  Data de entrada em vigor: 30 de setembro de 2026

O DateSteady é operado pela HoopFrog Inc. («nós», «nos», «nosso»). Esta política é adotada nos termos da Lei de Privacidade da Informação Biométrica de Illinois, 740 ILCS 14/15(a) (BIPA), da Lei do Texas sobre a Captura ou Utilização de Identificadores Biométricos (CUBI), da H.B. 1493 do estado de Washington e, para os titulares de dados situados na União Europeia ou no Reino Unido, dos requisitos do artigo 9.º do RGPD e da Lei britânica DPA 2018 relativos a dados de categorias especiais.

1. Finalidade da recolha

Recolhemos pontuações de geometria facial durante as nossas verificações por selfie com o objetivo de:

• Prevenir inscrições fraudulentas (bots, contas usurpadas, apropriação de contas);
• Apoiar a verificação de idade quando a lei (Lei britânica Online Safety Act 2023, DSA da UE, leis estaduais dos EUA) exige que os utilizadores tenham 18 anos ou mais. A verificação da idade em si é realizada separadamente por um fornecedor independente de verificação de idade e não é derivada da sua geometria facial;
• Proteger a nossa comunidade contra a usurpação de identidade, comparando um selfie em direto com as fotografias de perfil que carrega.

As pontuações de geometria facial são representações matemáticas das relações espaciais entre os pontos de referência do rosto. Não são fotografias e não podem ser utilizadas para recriar a sua imagem.

2. Subcontratantes e transferências internacionais

Os seguintes subcontratantes podem tratar identificadores biométricos em nosso nome (com exceção da verificação de hash de CSAM conhecido: esta recebe apenas hashes de imagens e nenhum dado de geometria facial). Cada um está vinculado por um acordo de tratamento de dados e, quando aplicável, por cláusulas contratuais-tipo (CCT) para transferências transfronteiriças:

• VerifyMy (Reino Unido), prestador externo de garantia de idade. Coberto pelo RGPD do Reino Unido e pela decisão de adequação UE→Reino Unido. CCT em vigor para transferências ulteriores.
• Um fornecedor de comparação facial na nuvem (UE, Irlanda): comparação facial e verificações de qualidade de imagem e antifalsificação para a verificação por selfie fotográfica, e uma deteção de vivacidade para a verificação por selfie em direto, que transmite um vídeo curto diretamente do seu dispositivo para o fornecedor e compara uma imagem retirada desse vídeo com a sua fotografia de perfil pública principal aprovada. Tratado ao abrigo do adendo de tratamento de dados do fornecedor, com CCT para qualquer transferência ulterior, e excluído do treino de IA do fornecedor através de uma exclusão que abrange toda a nossa conta.
• Um serviço de verificação de hash de CSAM conhecido (Estados Unidos): verificações de hashes de imagens para a filtragem de conteúdos ilícitos (CSAM). Coberto por CCT. Recebe apenas hashes de imagens; não recebe dados biométricos de geometria facial.

Nenhum identificador biométrico é vendido, alugado, trocado ou de outra forma rentabilizado. Não utilizamos dados biométricos para fins publicitários ou de análise.

3. Prazo de conservação

Os identificadores biométricos (pontuações de geometria facial) são destruídos quando a finalidade inicial da recolha é satisfeita (ou seja, registado o resultado da verificação) OU no prazo de três (3) anos a contar da última interação do titular com o Serviço, consoante o que ocorrer primeiro. Isto cumpre o padrão «consoante o que ocorrer primeiro» da BIPA 15(a).

As tentativas de verificação falhadas, rejeitadas ou expiradas são eliminadas no prazo de 90 dias através de uma tarefa cron diária automatizada.

Verificação por selfie fotográfica: numa verificação bem-sucedida, conservamos o resultado, as pontuações da verificação (por exemplo, o grau de semelhança entre o selfie e a sua fotografia de perfil, e pontuações de qualidade de imagem) e a fotografia com que foi comparado, apenas para a sua verificação bem-sucedida mais recente; trata-se de números sobre a verificação, não de medições do seu rosto. A imagem do selfie é eliminada após o tratamento e não é armazenada.

Verificação por selfie em direto: não armazenamos o vídeo, a imagem nem qualquer modelo facial. Conservamos o resultado e duas pontuações (o grau de confiança do fornecedor de que estava presente uma pessoa viva e o grau de semelhança entre a imagem e a sua fotografia); trata-se de números sobre a verificação, não de medições do seu rosto. Os resultados das verificações não aprovadas são eliminados 90 dias após a verificação, e os das verificações aprovadas 3 anos após a verificação, salvo se a lei nos obrigar a preservá-los. São apagados juntamente com a sua conta quando a eliminar.

4. Processo de destruição

Quando os limites de conservação são atingidos, ou a pedido do utilizador:

• Eliminamos todas as cópias do nosso próprio armazenamento (linhas de base de dados e quaisquer artefactos derivados).
• A comparação facial é feita sem estado, sem coleção de rostos, pelo que o fornecedor não conserva qualquer geometria facial a eliminar; o selfie existe apenas de forma transitória e é apagado imediatamente após a correspondência. A verificação por selfie em direto também não utiliza qualquer coleção de rostos: o seu vídeo vai diretamente do seu dispositivo para o fornecedor e é tratado ao abrigo dos termos de serviço do fornecedor, e não o armazenamos. Eliminamos os nossos próprios registos de base de dados e registamos o evento de eliminação. Na eliminação total de uma conta, emitimos um pedido de apagamento ao VerifyMy sempre que esteja configurado um ponto de acesso para pedidos do titular dos dados. O serviço de verificação de hash de CSAM conhecido não detém dados biométricos (apenas hashes de imagens), pelo que não há nada de biométrico a eliminar aí.
• Conservamos um registo de auditoria do evento de eliminação (sem o próprio dado biométrico) para demonstrar a conformidade.

5. Base jurídica

• RGPD / RGPD do Reino Unido: Artigo 9.º (2)(a), o seu consentimento explícito. Para a verificação por selfie fotográfica, para a maioria dos membros trata-se do consentimento para dados sensíveis, que abrange a geometria facial, prestado ao criarem a sua conta; se não o tivermos, pedimo-lo através do ecrã de consentimento biométrico antes de a captura do selfie começar. Para a verificação por selfie em direto, pedimos o seu consentimento explícito num ecrã separado da primeira vez que a iniciar, e novamente se o tiver retirado; para esta, não nos baseamos no consentimento prestado no registo.
• BIPA (Illinois): 740 ILCS 14/15(b), autorização escrita e informada assinada pelo titular dos dados, com divulgação completa da finalidade e do prazo de conservação.
• Texas CUBI § 503.001 / Washington H.B. 1493: divulgação informada e consentimento no momento da recolha.
• PIPEDA (Canadá): consentimento significativo ao abrigo do Princípio 4.3.

6. Os seus direitos

A qualquer momento, pode:

• Revogar o seu consentimento. Aceda a Definições → Privacidade → Revogar o consentimento biométrico. Após a revogação, eliminaremos a geometria facial conservada no nosso armazenamento e instruiremos os subcontratantes a fazer o mesmo no prazo de 7 dias. Nota: a retirada do consentimento não invalida retroativamente o tratamento lícito ocorrido antes dessa retirada. Os resultados de verificações por selfie em direto anteriores (o resultado e duas pontuações, sem imagens) são conservados durante os períodos indicados na Secção 3.
• Solicitar acesso a qualquer registo biométrico que detenhamos sobre si (RGPD art. 15.º, BIPA 15(d)).
• Solicitar a eliminação. Pode solicitar a eliminação a qualquer momento, independentemente da retirada do consentimento.
• Solicitar a portabilidade do resultado da sua verificação (indicador aprovado/reprovado), embora a pontuação bruta de geometria facial não seja portável ao abrigo das atuais API dos subcontratantes.

7. Medidas de segurança

Os identificadores biométricos em trânsito são protegidos por TLS 1.3. Em repouso, são cifrados com AES-256 dentro da infraestrutura de cada subcontratante. O acesso está limitado ao restrito pipeline automatizado que realiza a correspondência facial; nenhum operador humano na HoopFrog Inc. visualiza dados biométricos brutos no decurso normal das atividades.

8. Contacto

Questões, pedidos de acesso ou revogações de consentimento relativos a dados biométricos:

HoopFrog Inc.
Ao cuidado de: Encarregado da Proteção de Dados (Pedidos biométricos)
3-11 Bellerose Drive, Suite 312
St. Albert, AB T8N 5C9, Canadá
E-mail: support@datesteady.com

9. Alterações a esta política

Se alterarmos substancialmente esta política, por exemplo, ao adicionar um novo subcontratante ou ao prolongar o prazo de conservação, aumentaremos o número da versão e solicitaremos novamente o consentimento dos utilizadores afetados antes de continuar a tratar os seus dados biométricos ao abrigo das novas condições.