LGPD

Textos versionados. Cada aceite grava o instante, o hash do texto e a versão, e o recibo os carrega. O consentimento geral nunca desbloqueia biometria.

Antes de consentir, a pessoa vê o que está autorizando: o contexto que o cliente mandou, em claro só para ela. No registro fica o hash e a lista das chaves lidas pela política.

Quando houver mandato, o aceite ao escopo é uma camada própria, distinta do consentimento da jornada, e vai no recibo do mandato.

Os textos em uso são a versão 2026-08. A revisão com o encarregado de dados é uma decisão pendente do plano; quando vier, muda a versão, nunca o histórico.

A presença viva e o match rodam, devolvem o resultado, e a imagem e o template são descartados. Biometria retida igual a falso é invariante do produto, não configuração.

A referência que o cliente dá à pessoa entra como HMAC com segredo por cliente; a imagem de referência, quando há, como hash; o contexto, como hash mais a lista de chaves lidas.

Da fonte de identidade civil só o veredito persiste, cifrado; a resposta bruta nunca sai do adapter.

Chave de dados por registro, isolamento por cliente no banco, trilha de decifragem com cadeia de hash.

Pelo ato ou pela referência opaca do cliente: destruição da chave, síncrona, com a resposta dizendo quantos registros foram afetados e um registro de quem apagou e quando.

Apagar tem escopo próprio, que nenhuma integração recebe por padrão; na prática, o titular pede ao cliente, e o cliente apaga pelo painel.

Veredito e CPF cifrados: 90 dias. Evidência de consentimento e trilha de eventos: cinco anos. Varredura automática a cada seis horas. A política em vigor é lida da configuração do serviço, não declarada por escrito: se o prazo mudar, a resposta muda junto.

Não existem. O gateway não guarda CPF em claro e não sabe ligar um CPF a atos sem decifrar registro por registro. O alvo do apagamento é o ato ou a referência que o próprio cliente atribuiu.

As validações documentais feitas fora de um ato gravam o CPF cifrado sem ligação com ato nenhum; o apagamento a pedido não as alcança, e elas morrem pelo prazo. Fechar esse caminho é dívida registrada.

Registro de tratamento, política de retenção e relatório de impacto existem como esqueletos com marcações para o encarregado, a fechar antes do primeiro cliente real. A Hummand é operadora; o cliente é o controlador.

Canal do titular e do encarregado: dados@hummand.com.br.