Política de tratamento de dados pessoais

O tratamento de dados pessoais dos titulares domiciliados na Colômbia é regido pela Ley Estatutaria 1581 de 2012 e pelo Decreto 1377 de 2013, hoje compilado no Decreto Único 1074 de 2015 (artigos 2.2.2.25.1.1 e seguintes).

A autoridade de controle é a Superintendencia de Industria y Comercio (SIC), a quem a lei atribui a fiscalização do tratamento de dados pessoais (artigos 19 e 21) e perante a qual você pode apresentar reclamações [✉ [email protected]]. A lei exige que você esgote primeiro a consulta ou o reclamo perante nós: é o requisito de procedibilidade do artigo 16.

A consulta é atendida em um prazo máximo de dez (10) dias úteis (Ley 1581 de 2012, artigo 14). O reclamo é atendido em um prazo máximo de quinze (15) dias úteis contados a partir do dia seguinte à data do seu recebimento (artigo 15).

Os dois prazos nós os contamos a partir do dia útil seguinte ao do seu pedido. Para o reclamo é o que diz o artigo 15; para a consulta, cujo artigo 14 conta «a partir de la fecha de recibo de la misma», é a leitura que aplicamos sempre, e é um dia a mais para nós, de modo que o dizemos em vez de deixá-lo implícito.

A lei admite prorrogar os dois prazos informando a você os motivos da demora e a nova data: até cinco (5) dias úteis a mais para a consulta e até oito (8) para o reclamo (artigos 14 e 15). Se alguma vez tivermos de usar essa prorrogação, escrevemos a você antes de vencer o primeiro prazo.

Se detectarmos um incidente de segurança que ponha em risco os seus dados pessoais, informamos a Superintendencia de Industria y Comercio: é o dever do artigo 17, alínea n), da Ley 1581 de 2012, que manda informar à autoridade de proteção de dados as violações aos códigos de segurança e os riscos na administração da informação dos titulares.

Esse dever não traz prazo na lei. O único que a Superintendencia fixou são os quinze (15) dias úteis que a Circular Externa 002 de 2015 dá para reportar um incidente no Registro Nacional de Bases de Datos, contados de quando ele é detectado e levado ao conhecimento da área encarregada de atendê-lo, e que obriga quem deve se inscrever nesse registro. Aplicamos esse mesmo prazo por decisão nossa, qualquer que seja o canal pelo qual caiba apresentá-lo.

Os Estados Unidos e os Países Baixos figuram, pelo nome, na lista de países com nível adequado de proteção da Superintendencia de Industria y Comercio: o numeral 3.2 do Capítulo Tercero do Título V da Circular Única, que a Circular Externa 005 de 2017 acrescentou e a Circular Externa 008 de 2017 substituiu pela versão vigente. Israel não está nomeado nessa lista: entra pela cláusula com que esse mesmo numeral encerra, que reconhece como adequados «los países que han sido declarados con el nivel adecuado de protección por la Comisión Europea», entre os quais Israel está pela Decisión 2011/61/UE. Para Israel a transferência conta ainda, como reforço, com as Cláusulas Contratuais Padrão que o acordo de tratamento do fornecedor incorpora e com o seu consentimento expresso e informado.

Além disso, como os operadores que a política nomeia atuam por nossa conta e não como controladores, o envio a eles é uma transmissão de dados respaldada pelo acordo de tratamento que cada um incorpora aos seus termos, que é o contrato do artigo 25 do Decreto 1377 de 2013 (Decreto 1074 de 2015, artigo 2.2.2.25.5.2); por isso o artigo 24, numeral 2, do mesmo decreto não exige informar a você essa transmissão nem pedir consentimento à parte. O envio de dados ao Google é diferente: não é uma transmissão a um operador, e sim uma transferência entre controladores independentes, de que trata a Seção 15 do tronco. Para a Colômbia essa transferência se apoia em que os Estados Unidos figuram pelo nome na lista de nível adequado citada acima, nas cláusulas contratuais padrão entre controladores que as condições do Google incorporam e no seu consentimento expresso e informado.

Ao terminar a relação com um escritório avisamos o seu titular aos sessenta (60) dias e eliminamos os seus dados aos noventa (90); os trinta dias de diferença são a margem para voltar. Essas duas janelas são política da plataforma: a Ley 1581 de 2012 não fixa prazos de conservação para um controlador como nós, e sim o princípio de finalidade (artigo 4, alínea b), que o Decreto 1377 de 2013 converte em um limite temporal no seu artigo 11 (Decreto 1074 de 2015, artigo 2.2.2.25.2.8): os dados só se conservam pelo tempo razoável e necessário para as finalidades que justificaram coletá-los, e cumpridas essas finalidades são eliminados, salvo se uma obrigação legal ou contratual exigir conservá-los.

Depois da eliminação conservamos os registros que a lei exige conservar:

• O registro de consentimentos, porque o artigo 17, alínea b), nos obriga a solicitar e conservar cópia da autorização que você outorgou, e o Decreto 1377 de 2013 exige poder prová-la no seu artigo 8 (Decreto 1074 de 2015, artigo 2.2.2.25.2.5).
• O registro de auditoria, porque o artigo 17, alínea d), nos obriga a conservar a informação sob condições de segurança que impeçam a sua adulteração, perda, consulta, uso ou acesso não autorizado, e esse registro é a prova de que essas condições existiram.
• Os pedidos de direitos do titular e a sua resolução, que são a prova de termos cumprido os prazos dos artigos 14 e 15, e dos quais depende a reclamação que você possa apresentar depois perante a Superintendencia.
• O rastro de faturamento, porque o Código de Comercio obriga o comerciante a conservar os seus livros e papéis por no mínimo dez (10) anos (artigo 60), e o Estatuto Tributario lhe impõe conservar as informações e provas das suas declarações (artigo 632) até que fique firme a declaração de renda que nelas se apoia, segundo o prazo que lhe fixou o artigo 46 da Ley 962 de 2005.

O tratamento de dados pessoais dos titulares domiciliados no Equador é regido pela Ley Orgánica de Protección de Datos Personales (LOPDP) e pelo seu Reglamento General (RGLOPDP), expedido com o Decreto Ejecutivo 904.

A autoridade de controle é a Superintendencia de Protección de Datos Personales (SPDP), que o artigo 76 da LOPDP define como o órgão de controle e fiscalização desta matéria, e perante a qual você pode apresentar reclamações.

Quem é o encarregado de proteção de dados pessoais. É o responsável pelo tratamento, Custodio Legal, que a Seção 1 do tronco identifica com o seu NIT e o seu domicílio, e você escreve para [email protected]. Não há uma pessoa distinta do responsável a quem se dirigir, e por isso dizemos assim, em vez de remeter você a um nome que esta política não publica.

O artigo 48 da LOPDP enumera os casos em que se designará um encarregado: o tratamento levado a cabo por quem compõe o setor público do artigo 225 da Constituição; as atividades que exijam «un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento»; o tratamento em grande escala de categorias especiais de dados; e o tratamento que não se refira a dados de segurança nacional e defesa do Estado reservados ou secretos. O artigo 49 fixa-lhe as funções: assessorar o responsável e o seu pessoal, supervisionar o cumprimento da lei e do que a Superintendencia dite, assessorar na análise de risco e na avaliação de impacto, e cooperar com a Superintendencia como ponto de contato.

O Reglamento del delegado de protección de datos personales da Superintendencia (Resolución SPDP-SPD-2025-0028-R) acrescenta casos, e o que mais se parece conosco obriga a designar encarregado las personas jurídicas de derecho privado que prestam serviços de tecnologias da informação, incluídas as dedicadas ao desenvolvimento ou à implantação de inteligência artificial (artigo 10, numeral 13). Custodio Legal não se constituiu em sociedade —a Seção 1 do tronco identifica-o com o seu NIT e o seu domicílio, e não com uma razão social nem com um registro comercial—, de modo que, pela sua letra, esse numeral não lhe impõe a designação. Fizemo-la mesmo assim, e por isso o encarregado consta aqui.

Em que estado está a inscrição da designação: não foi apresentada. O artigo 5 desse mesmo regulamento manda inscrever a nomeação perante a Superintendencia dentro do prazo de quinze (15) dias posteriores à designação, e admite expressamente que seja aceita depois —a inscrição tardia conta como descumprimento de uma medida de segurança de caráter jurídico, e não como falta de encarregado—. A nossa não foi apresentada. Não dizemos «em trâmite» nem «em breve»: não há número de registro para citar a você, e nenhuma notificação nem documento público nosso afirma que o encarregado esteja inscrito. No dia em que a inscrição existir, este anexo publica-a com a sua data e sobe de versão. O que não depende dela é a quem você escreve: o e-mail de cima responde hoje.

No Equador respondemos dentro dos quinze (15) dias seguintes ao recebimento do pedido, que é o prazo que a LOPDP dá a cada um dos quatro direitos: acesso (artigo 13), retificação e atualização (artigo 14), eliminação (artigo 15) e oposição (artigo 16). A lei os chama de prazo e não os qualifica de úteis, de modo que contamos dias corridos, que é a leitura que mais favorece você.

Além desses quatro, o artigo 17 da LOPDP reconhece o direito de portabilidade: você pode baixar em 'Minha conta > Sua privacidade' uma cópia estruturada e de leitura mecânica dos dados da sua conta. Esse artigo não fixa um prazo próprio; atendemos a portabilidade no mesmo prazo de quinze dias.

Se detectarmos um incidente de segurança que ponha em risco os seus dados pessoais, nós o notificamos à Superintendencia de Protección de Datos Personales e à Agencia de Regulación y Control de las Telecomunicaciones tão logo seja possível e, no mais tardar, no término de cinco (5) dias desde que temos ciência dele (artigo 43 da LOPDP). A você avisamos sem demora quando o incidente acarretar risco aos seus direitos fundamentais, dentro do término de três (3) dias contados de quando conhecemos esse risco (artigo 46 da LOPDP).

Os fornecedores que a Seção 10 do tronco enumera atuam como operadores do tratamento, não como controladores. O artigo 23 da Norma general de transferencias da Superintendencia de Protección de Datos Personales (Resolución SPDP-SPD-2026-0004-R, de 28 de janeiro de 2026) diz que, conforme a legislação equatoriana, o encargo de tratamento não constitui uma transferência nem uma comunicação de dados pessoais; o que respalda esses envios, então, é o acordo de tratamento de dados que cada operador incorpora aos seus termos, com obrigações de confidencialidade e segurança.

O envio ao Google é diferente, porque o Google não é operador, e sim controlador independente, como explica a Seção 15 do tronco: esse sim é uma transferência internacional. A Superintendencia de Protección de Datos Personales não declarou, até onde pudemos verificar percorrendo a sua lista de resoluções em 9 de setembro de 2026, nenhum país com nível adequado de proteção; os artigos 11 a 19 dessa mesma norma general fixam o procedimento para declará-lo, e ele ainda não foi usado. Essa transferência se apoia no seu consentimento explícito e informado (artigo 60, numeral 2, da LOPDP), que você outorga ao aceitar esta política conhecendo o destino e a salvaguarda, e nas condições entre controladores independentes que a Seção 15 cita por versão.

Uma precisão sobre as cláusulas contratuais, para que você não leia demais: as Cláusulas Contratuais Padrão da Decisión de Ejecución (UE) 2021/914 da Comisión Europea que o acordo do fornecedor de geração de texto incorpora regem as transferências desse fornecedor para fora do Espaço Econômico Europeu, e não são as cláusulas padrão que o Equador reconhece. Os artigos 20 e 22 da norma general da Superintendencia reconhecem como garantia adequada as cláusulas contratuais modelo da Red Iberoamericana de Protección de Datos, e não afirmamos ter essas subscritas.

As funcionalidades de inteligência artificial que a Seção 14 do tronco descreve são um sistema de inteligência artificial no sentido da Resolución Nº SPDP-SPD-2026-0009-R da Superintendencia de Protección de Datos Personales, «Norma general para la garantía del derecho de protección de datos personales en el uso de sistemas de inteligencia artificial», assinada em Quito em 12 de fevereiro de 2026. Essa norma se aplica independentemente de onde estejam o sistema e o fornecedor (artigo 1), de modo que rege estes tratamentos ainda que a inferência ocorra fora do Equador.

Diante dela, Custodio Legal atua como desplegador —quem, mediante o uso de um sistema de inteligência artificial, executa a prestação de um serviço (artigo 2, numeral 2)— e como implementador —quem o implementa nos seus processos internos (artigo 2, numeral 4)—. Não desenvolve nem treina modelos, e por isso não é desenvolvedor no sentido dessa norma.

Nenhuma dessas funções toma decisões com efeitos jurídicos sobre você, ou que o afetem de modo similar, sem intervenção humana. O artigo 20 da LOPDP reconhece a você o direito de não ser objeto de uma decisão baseada única ou parcialmente em avaliações automatizadas que produza esses efeitos, e o artigo 4 da resolução obriga a garanti-lo a todo momento: os resultados da inteligência artificial são material de apoio que um profissional verifica antes de usar, e a Seção 14 do tronco descreve função por função o que cada uma faz, que dados saem e o que corre pelo seu clique.

Você pode se opor aos tratamentos por inteligência artificial que correm sem um clique seu —a indexação para perguntas com citações, a extração de fatos e a reavaliação do caso, que a alínea (viii) da Seção 14 enumera— escrevendo para [email protected], e pelos meios que a plataforma puser à sua disposição para fazê-lo. As funções que produzem um resultado para ler correm apenas quando você as executa, de modo que não usá-las equivale a não autorizá-las. A oposição é atendida no prazo de quinze (15) dias que este anexo declara acima.

A inferência é executada na infraestrutura dos fornecedores que a Seção 10 do tronco enumera: a geração de texto na Nebius B.V. (Países Baixos) e as representações vetoriais da busca semântica na Voyage AI (Estados Unidos). Os dois atuam como operadores do tratamento, e o que respalda esses envios é o que diz acima a seção «Transferência internacional» deste anexo.

São mantidos o registro das atividades de tratamento feitas mediante sistemas de inteligência artificial —com as decisões automatizadas que possam gerar impactos jurídicos ou afetar direitos e liberdades— e a avaliação de impacto na proteção de dados pessoais destas funções, que exigem os artigos 5 e 7 da resolução. Os dois estão à disposição da Superintendencia de Protección de Datos Personales.

Os dados são conservados por um tempo não maior que o necessário para cumprir a finalidade do seu tratamento (artigo 10, alínea i, da LOPDP). Ao terminar a relação com um escritório avisamos o seu titular aos sessenta (60) dias e eliminamos os seus dados aos noventa (90); os trinta dias de diferença são a margem para voltar. Essas duas janelas são política da plataforma: a LOPDP fixa o princípio de conservação, não os prazos.

Depois da eliminação conservamos quatro registros, por três motivos, e dizemos qual é cada um. O registro de consentimentos e o de auditoria, porque o artigo 10, alínea k, da LOPDP nos obriga a comprovar perante você e perante a Superintendencia que o tratamento cumpriu a lei, e essa prova é a única coisa que o comprova. Os pedidos de direitos do titular e a sua resolução, pela mesma razão e a respeito dos quinze dias de cima. E o rastro de faturamento, pelas obrigações contábeis e tributárias do prestador, que não são equatorianas: Custodio Legal está domiciliado na Colômbia, como declara a Seção 1 do tronco, e são as normas contábeis e tributárias colombianas as que lhe fixam por quanto tempo deve guardar os seus próprios livros e comprovantes.

O tratamento de dados pessoais dos titulares domiciliados na República Dominicana é regido pela Ley núm. 172-13, sobre protección integral de los datos personales asentados en archivos, registros públicos, bancos de datos u otros medios técnicos de tratamiento de datos, de 13 de dezembro de 2013 (Gaceta Oficial núm. 10737 de 15 de dezembro de 2013). Suas normas são de ordem pública e se aplicam em todo o território nacional (artículo 3), aos dados pessoais registrados em qualquer banco de dados suscetível de tratamento, no âmbito público e no privado (artículo 2).

A sua autorização. O artículo 5, numeral 4, exige que o tratamento e a cessão dos seus dados contem com o seu consentimento livre, expresso e consciente, que deve constar por escrito ou por um meio que se lhe equipare e que —quando prestado junto com outras declarações— figure de forma expressa e destacada. Esse consentimento é precedido do dever de informação do numeral 3 do mesmo artigo: a finalidade e os destinatários, a existência do arquivo e a identidade e o domicílio de quem responde por ele, e a possibilidade de exercer os direitos de acesso, retificação e eliminação. É isso que a tela de consentimento lhe mostra antes de você aceitar, e o que fica congelado, com a sua data, no registro de consentimentos.

A autoridade. A Ley núm. 172-13 não criou uma autoridade de proteção de dados de propósito geral. O seu órgão de controle, a Superintendencia de Bancos de la República Dominicana, o é «de los archivos, registros o bancos de datos, públicos o privados, destinados a proveer informes crediticios» (artículo 29), e quem deve se registrar perante ela são as Sociedades de Información Crediticia (artículo 43). O Custodio Legal não é uma sociedade de informação creditícia nem fornece informes creditícios, de modo que hoje não existe no país um regulador perante o qual registremos bancos de dados, peçamos autorização de transferência ou respondamos por este tratamento. O que a lei de fato nos exige, e nós cumprimos, é contar com políticas de informação que garantam as medidas de segurança e controle do artículo 42, e com os deveres do artículo 13: conservar a informação com segurança, atualizá-la, retificá-la ou eliminá-la oportunamente, dar andamento às suas consultas e reclamações, e manter um manual interno de políticas e procedimentos.

Você pode nos escrever para [email protected] para exercer os seus direitos. Se não ficar satisfeito, a lei lhe abre a ação judicial de hábeas data (artículos 7, 17 y 21), que tramita pelo procedimento do amparo e é da competência do juiz do domicílio do demandado (artículo 20).

Em 9 de setembro de 2026 a Ley núm. 172-13 continua sendo a única lei dominicana de proteção de dados pessoais, e nenhuma lei posterior a modificou nem a revogou: nós o verificamos contra o repertório completo da Consultoría Jurídica del Poder Ejecutivo. Se uma reforma criar algum dia uma autoridade de controle, atualizaremos este anexo e lhe diremos antes de que a mudança o alcance.

A Ley núm. 172-13 de fato fixa prazos, e são os que aplicamos:

• Acesso: cinco (5) dias úteis a contar do seu pedido. O artículo 10 o impõe ao usuário do banco de dados, e o artículo 12, depois de fixar esse mesmo prazo para o relatório de crédito, diz expressamente que «igual disposición aplica para las demás entidades que manejan bancos de datos, públicos o privados». Nós somos uma delas.
• Retificação, atualização e cancelamento: dez (10) dias úteis a contar de quando recebemos a sua reclamação ou percebemos o erro, segundo o artículo 8, e sem nenhum custo para você. Se já tivéssemos comunicado o dado a um terceiro, notificamos a ele a retificação ou a eliminação dentro dos cinco (5) dias úteis seguintes.
• Oposição: a Ley núm. 172-13 não lhe fixa um prazo próprio. Dito ao contrário de como soa: o artículo 9 reconhece a oposição como direito independente dos outros três —«no puede entenderse que el ejercicio de ninguno de ellos sea requisito previo para el ejercicio de otro»— mas não diz em quantos dias há que atendê-la, e nenhum outro artigo da lei o diz. Nós a atendemos nos mesmos dez (10) dias úteis do artículo 8. Esse prazo é nosso, não da lei, e por isso o escrevemos aqui em vez de citar a você um artigo que não existe.

Vencido o prazo sem que tenhamos respondido, o artículo 8 lhe permite promover sem mais requisitos a ação de hábeas data.

Dois limites que a própria lei impõe, e que preferimos que você leia aqui e não quando eles o atingirem: enquanto verificamos um dado que você impugnou, ao informar sobre ele deixamos registrado que está submetido a revisão (artículos 8 y 21); e a eliminação não cabe quando puder causar prejuízo a direitos ou interesses legítimos de terceiros, ou quando existir uma obrigação contratual ou legal de conservar os dados (artículos 8 y 15).

Além desses quatro direitos, você pode baixar em 'Minha conta > Sua privacidade' uma cópia estruturada e de leitura mecânica dos dados da sua conta. A Ley núm. 172-13 não reconhece um direito de portabilidade: essa cópia nós lhe damos por decisão nossa.

A Ley núm. 172-13 impõe o dever de segurança —adotar as medidas técnicas, organizacionais e de segurança que evitem a alteração, perda, tratamento, consulta ou acesso não autorizado: artículo 5, numeral 5, e artículo 13, numeral 2—, mas não fixa um prazo de comunicação de incidentes nem uma autoridade perante a qual apresentá-la para um controlador como nós. Por decisão nossa, e não porque uma norma dominicana o imponha, se detectarmos um incidente que coloque em risco os seus dados pessoais nós o avisamos sem demora indevida e, em todo caso, dentro dos três (3) dias seguintes à sua confirmação, com o que soubermos e com o que estivermos fazendo.

Operar o Serviço supõe transmitir os seus dados para fora do território dominicano, que é o que o artículo 6, numeral 20, da Ley núm. 172-13 chama de transferência internacional de dados. A República Dominicana não publica uma lista de países com nível adequado de proteção, e a lei não exige autorização prévia de nenhuma autoridade: o artículo 80 enumera os casos em que a transferência cabe, e a nossa se apoia em dois deles.

O primeiro é a sua própria autorização: o numeral 1 admite a transferência quando a pessoa física, «libre y conscientemente», decide autorizá-la por vontade própria, e é isso que você faz ao aceitar esta política conhecendo o destino e a salvaguarda. O segundo é o numeral 6: a transferência necessária para a execução do contrato entre o titular dos dados e o responsável pelo tratamento, sem a qual não há Serviço a prestar.

A isso se somam as garantias contratuais que cada fornecedor incorpora aos seus termos: obrigações de confidencialidade e segurança e —para o fornecedor de geração de texto— as Cláusulas Contratuais-Padrão da Decisão de Execução (UE) 2021/914 da Comissão Europeia que aquele acordo incorpora para as transferências fora do Espaço Econômico Europeu. Não são exigência dominicana: são a salvaguarda que de fato temos e que você pode verificar.

O dito vale também para o envio de dados ao Google, que não é um operador nosso e sim um controlador independente, como explica a Seção 15 do tronco: a Ley núm. 172-13 não distingue o fundamento da transferência conforme a figura de quem recebe os dados, de modo que esse envio se apoia nos mesmos dois numerales do artículo 80, e além disso nas cláusulas contratuais-padrão entre controladores que as condições do Google incorporam.

Ao terminar a relação com um escritório avisamos o seu titular em sessenta (60) dias e eliminamos os seus dados em noventa (90); os trinta dias de diferença são a margem para voltar. Essas duas janelas são política da plataforma: a Ley núm. 172-13 não fixa prazos de conservação para um responsável como nós.

O que sobrevive à eliminação, e por quê:

• A prova da sua autorização e do tratamento —o registro de consentimentos e a trilha de auditoria—, porque o artículo 5, numeral 4, exige que o consentimento conste por escrito ou por meio equiparável, e o artículo 15 ordena que o que foi cancelado fique bloqueado e à disposição dos poderes do Estado, para as responsabilidades nascidas do tratamento, durante o prazo de prescrição destas.
• As solicitações de direitos do titular e a sua resolução, que são a prova de ter cumprido os prazos dos artículos 8 y 12.
• O rastro de faturamento, porque o Código Tributario (Ley núm. 11-92), no seu artículo 50, literal h) —modificado pelo artículo 105 da Ley núm. 155-17—, obriga a conservar de forma ordenada, por um período de dez (10) anos, os livros de contabilidade, os recibos ou comprovantes de pagamento e qualquer documento, físico ou eletrônico, referido às operações e atividades do contribuinte. Esse dever é do seu escritório como contribuinte dominicano; nós conservamos o comprovante para que ele possa cumpri-lo.

Sobre todos eles rege o mesmo limite do artículo 8: a eliminação não cabe quando existe uma obrigação contratual ou legal de conservar os dados.

O tratamento de dados pessoais dos titulares domiciliados na Costa Rica é regido pela Ley N° 8968, de Protección de la Persona frente al Tratamiento de sus Datos Personales, publicada em La Gaceta N° 170 de 5 de setembro de 2011, e pelo seu Reglamento, el Decreto Ejecutivo N° 37554-JP de 30 de outubro de 2012, reformado pelos decretos ejecutivos N° 40008-JP de 2016 e N° 41582 de 2019. As duas peças são nomeadas juntas porque os prazos que lhe tocam —o termo de cinco dias úteis, o aviso de incidente— vivem no reglamento, não na lei.

A sua autorização. A Ley N° 8968 faz do consentimento a porta do tratamento: o seu artículo 30, inciso a), qualifica de falta grave «recolectar, almacenar, transmitir o de cualquier otra forma emplear datos personales sin el consentimiento informado y expreso del titular de los datos». É isso que a tela de consentimento lhe pede antes de você aceitar, e o que fica congelado, com a sua data, no registro de consentimentos. Você pode revogá-lo quando quiser, pelo mecanismo que o artículo 7 do Reglamento nos obriga a lhe dar: expedito, simples e gratuito.

A autoridade. É a Agencia de Protección de Datos de los Habitantes (Prodhab), órgão de desconcentração máxima vinculado ao Ministerio de Justicia y Paz que o artículo 15 da Ley N° 8968 criou. É perante ela que você reclama se não ficar satisfeito com o que fizermos, e você também pode nos escrever para [email protected].

E como se reclama, para que você não tenha de procurar. O artículo 24 da Ley N° 8968 dá a denúncia a qualquer pessoa com um direito subjetivo ou um interesse legítimo que considere que um banco de dados atua contra as regras ou os princípios da lei. O artículo 25 fixa o trâmite: a PRODHAB nos confere três dias úteis para nos pronunciarmos sobre a veracidade das acusações e apresentar prova —e se não prestarmos esse informe, «se tendrán por ciertos los hechos acusados»—, pode nos pedir informação, inspecionar os nossos bancos de dados in situ e ditar medidas cautelares, e deve ditar o ato final no máximo um mês depois da denúncia; contra ele cabe reconsideração dentro do terceiro dia, que se resolve em oito dias. Se lhe der razão, o artículo 26 lhe manda ordenar a eliminação, a retificação, a adição ou o esclarecimento imediatos do dado, ou impedir que ele seja transferido ou difundido. O artículo 27 lhe permite ainda abrir de ofício um procedimento sancionatório. Os artículos 58 a 72 do Reglamento desenvolvem esse procedimento com os mesmos prazos.

Sobre o registro de bancos de dados, e por que não o fizemos. O artículo 21 da Ley N° 8968 manda inscrever perante a PRODHAB «toda base de datos, pública o privada, administrada con fines de distribución, difusión o comercialización». O Custodio Legal não distribui, difunde nem comercializa dados de terceiros: ele os trata por conta de um escritório, que é quem decide sobre eles. Sob essa leitura não há banco de dados a inscrever, e o cânone anual de duzentos dólares do artículo 33 também não corre, porque esse artigo o impõe a «las personas responsables de bases de datos que deban inscribirse ante la Prodhab, de conformidad con el artículo 21». Isto é a nossa leitura do texto, não uma confirmação da PRODHAB nem o critério de um advogado costarriquenho. Se a revisão legal deste anexo concluir o contrário, inscrevemos o banco de dados, pagamos o cânone e lhe dizemos aqui.

Em 10 de setembro de 2026 a Ley N° 8968 continua vigente sem nenhuma reforma: quem o declara é a própria PRODHAB na sua página de normativa, atualizada em 9 de setembro de 2026. O que não pudemos verificar é se há um projeto de reforma em tramitação na Asamblea Legislativa —o seu site não respondeu no dia em que esta normativa foi lida—, então não afirmamos nem que haja nem que não haja. Se uma reforma mudar o que este anexo promete, nós o atualizamos e lhe dizemos antes de que a mudança o alcance.

Na Costa Rica o Serviço oferecerá uma consulta pontual de um processo pelo seu número a quem não tem conta, que a Seção 2 do tronco desta política descreve. Aqui vai o que o direito costa-riquenho diz dela, com os seus artigos e com a sua ressalva.

Com que base. Com o artículo 5, punto 2, literal b) da Ley N° 8968, que dispensa o consentimento expresso quando «se trate de datos personales de acceso irrestricto, obtenidos de fuentes de acceso público general», e com o artículo 3, literal c), que define esses dados como «los contenidos en bases de datos públicas de acceso general, según dispongan leyes especiales y de conformidad con la finalidad para la cual estos datos fueron recabados».

E com uma ressalva escrita, porque esse literal põe duas condições e só uma damos por cumprida. A da finalidade, sim: consultamos para que se possa consultar, que é a razão pela qual o Poder Judicial publica o estado de um processo. A da «ley especial» não verificamos: não localizamos no SINALEVI uma lei costa-riquenha que declare de acesso público geral a consulta de processos judiciais, e não a afirmamos. O que é certo e não depende dela é que não tratamos a identidade das partes: elas vão mascaradas, e o artículo 9, punto 3, tira da categoria irrestrita os dados «cuyo tratamiento pueda afectar los derechos y los intereses de la persona titular». Mascarar é o que faz com que essa classificação não tenha de decidir nada.

O resto da lei continua correndo. A exceção do artículo 5 é uma exceção de consentimento, não do restante: o artículo 6 obriga a que o dado seja adequado ao fim para o qual foi coletado e a eliminá-lo quando deixe de ser pertinente, e é isso o que fazem o mascaramento e a linha efêmera. O endereço IP de quem consulta é tratado somente para limitar quantas consultas saem de um mesmo lugar, e a linha é eliminada em duas (2) horas.

E sobre o registro perante a PRODHAB. A seção de lei aplicável deste anexo já explica por que, sob a nossa leitura, não há base a inscrever, e esta consulta não muda essa leitura: o artículo 21 obriga a inscrever a base «administrada con fines de distribución, difusión o comercialización», e o artículo 2, literal j), do Reglamento define essas palavras exigindo «un fin de comercializar el dato o medie el lucro con la base de datos». Uma consulta gratuita que não vende o dado nem lucra com a base fica, sob essa leitura, fora do artículo 21. É a nossa leitura e não a da PRODHAB —não lemos nenhuma resolução dela sobre este ponto— e, se a revisão jurídica concluir o contrário, inscrevemos a base, pagamos o cânone do artículo 78 do Reglamento e o dizemos aqui.

Os artigos desta seção foram lidos verbatim no SINALEVI em 19 de setembro de 2026 —Ley N° 8968, ficha 70975, versão 85989; Reglamento, Decreto Ejecutivo N° 37554-JP, ficha 74352, versão 115361—, com HTTP 200.

A Ley N° 8968 fixa um só prazo e para tudo: o seu artículo 7 obriga a resolver «de manera gratuita, y resolver en el sentido que corresponda en el plazo de cinco días hábiles». O artículo 18 do Reglamento é o que diz a partir de quando se conta: «cinco días hábiles, contados a partir del día siguiente en que la misma haya sido recibida». É esse que aplicamos, porque é o que dá o dia concreto.

• Acesso: cinco (5) dias úteis a contar do dia seguinte ao seu pedido (Ley, artículo 7.1; Reglamento, artículos 18 y 21).
• Retificação: cinco (5) dias úteis, nas mesmas condições (Ley, artículo 7.2; Reglamento, artículos 18, 23 y 24).
• Eliminação: cinco (5) dias úteis (Ley, artículo 7; Reglamento, artículos 18, 25 y 26).
• Revogação do consentimento: cinco (5) dias úteis para executá-la, e dentro desse mesmo prazo avisamos a quem tivermos transferido os seus dados, que tem outros cinco para executá-la do seu lado (Reglamento, artículo 8).
• Confirmação de que o tratamento cessou: três (3) dias úteis, grátis, se você a pedir (Reglamento, artículo 9). É o prazo mais curto desta seção.

Oposição e portabilidade não existem no direito costarriquenho, e este anexo não as promete a você: nem a Ley N° 8968 nem o seu Reglamento as nomeiam. O que você pode fazer, e faz as vezes da primeira, é revogar o seu consentimento. E em 'Minha conta > Sua privacidade' você pode baixar uma cópia estruturada e de leitura mecânica dos dados da sua conta: essa cópia nós lhe damos por decisão nossa, não porque uma norma costarriquenha nos obrigue.

Duas regras de contagem que a própria norma impõe, e que preferimos que você leia aqui e não quando elas o atingirem. A primeira: se o seu pedido chegar incompleto ou confuso, podemos lhe pedir uma única vez, dentro dos primeiros cinco dias úteis, os dados que faltam; você tem cinco dias úteis para responder, e se responder começa um prazo novo de cinco a partir do dia seguinte. Se não responder, o pedido se tem por não apresentado (Reglamento, artículo 19). A segunda: entre duas consultas de acesso suas deve mediar um intervalo mínimo de seis meses, salvo que você nos exponha de forma fundamentada por que acredita que os seus direitos estão sendo violados (Reglamento, artículo 21).

Mais um limite, e é o que sustenta a seção de conservação deste anexo: o artículo 26 do Reglamento exclui da eliminação os dados «que deban ser mantenidos por disposición constitucional, legal o resolución de órgano judicial». Um dado que uma lei nos obriga a conservar não se apaga a pedido; o que fazemos é lhe dizer qual é essa lei.

Se o calendário útil costarriquenho do ano não estiver carregado na plataforma, o seu pedido é protocolado do mesmo jeito e nós o atendemos: o que fazemos é marcar a data de vencimento como estimada e não como certa, em vez de lhe dar uma data que não podemos calcular.

A Costa Rica de fato fixa prazo de aviso de incidente, e ele não está na lei e sim no artículo 38 do seu Reglamento: o responsável deve informar ao titular «sobre cualquier irregularidad en el tratamiento o almacenamiento de sus datos, tales como pérdida, destrucción, extravío, entre otras, como consecuencia de una vulnerabilidad de la seguridad», e tem para isso cinco dias úteis a partir do momento em que ocorreu a vulnerabilidade. Dentro desse mesmo prazo se abre a revisão exaustiva para medir a afetação e decidir as medidas corretivas.

Duas coisas sobre esse prazo, ditas sem enfeites. A primeira: ele corre desde que o incidente ocorreu, não desde que o detectamos, o que é mais exigente que o «sem demora indevida desde o conhecimento» com o qual está escrito o protocolo de incidentes do tronco. Na Costa Rica aplicamos o prazo costarriquenho. A segunda: o destinatário é duplo —você e a PRODHAB—, e às duas se informa o mesmo, que é o que o artículo 39 do Reglamento enumera: a natureza do incidente, os dados pessoais comprometidos, as ações corretivas realizadas de forma imediata, e os meios ou o lugar onde você pode obter mais informação.

Operar o Serviço supõe transmitir os seus dados para fora do território costarriquenho. A Costa Rica resolve isso com uma só porta, e é o artículo 14 da Ley N° 8968: os responsáveis por bancos de dados «solo podrán transferir datos contenidos en ellas cuando el titular del derecho haya autorizado expresa y válidamente tal transferencia», e desde que a transferência não viole os princípios e direitos que essa mesma lei reconhece.

Não há mais bases além dessa. A Costa Rica não publica uma lista de países com nível adequado de proteção, e a sua lei não reconhece as cláusulas contratuais-padrão como fundamento da transferência. O que a sustenta é a sua autorização expressa, e por isso nós a pedimos onde ela pode ser dada de verdade: na tela de consentimento, nomeando o destino e a salvaguarda, antes de o dado sair.

Os dados dos clientes e das partes contrárias do escritório são outra coisa, e convém que fique claro de quem é o dever. Sobre esses dados o responsável é o escritório, não o Custodio Legal: é ele quem tem a relação com o titular e quem obtém a sua autorização expressa para tratá-los e para transferi-los, e é isso que ele declara ao aceitar a declaração sobre dados de terceiros, que cita a Ley N° 8968 como base. Nós somos o seu operador e atuamos por instrução sua.

A isso se somam as garantias contratuais que cada fornecedor incorpora aos seus termos: obrigações de confidencialidade e segurança e —para o fornecedor de geração de texto— as Cláusulas Contratuais-Padrão da Decisão de Execução (UE) 2021/914 da Comissão Europeia que aquele acordo incorpora para as transferências fora do Espaço Econômico Europeu. Não são a base da transferência costarriquenha —essa é a sua autorização, e só ela—: são a salvaguarda adicional que de fato temos e que você pode verificar.

O dito vale também para o envio de dados ao Google, que não é um operador nosso e sim um controlador independente, como explica a Seção 15 do tronco: a Ley N° 8968 não distingue o fundamento da transferência conforme a figura de quem recebe os dados, então esse envio se apoia na mesma autorização expressa do artículo 14, e além disso nas cláusulas contratuais-padrão entre controladores que as condições do Google incorporam.

Por que levamos isso tão a sério: transferir dados contra as regras do capítulo III da lei é uma falta grave do artículo 30, inciso b), com multa de cinco a vinte salários base (artículo 28, inciso b). A consequência de errar aqui não é uma observação: é uma sanção.

Ao abrir o seu escritório —e depois, em Ajustes— você pode escrever o seu número de carteira do Colegio de Abogados y Abogadas de Costa Rica. É opcional: se você não o escrever, não consultamos nada, e o seu escritório funciona do mesmo jeito. Se você o escrever, nós o perguntamos ao buscador público de associados que o Colegio publica em abogados.or.cr, e o que fazemos com a resposta é mostrar um selo no perfil do seu escritório.

O que sai daqui em direção ao Colegio é o número e nada mais: não viajam o seu nome, nem o do seu escritório, nem o de nenhum dos seus clientes. O que volta é uma página com o resultado, e dessa página guardamos exatamente três coisas: se o Colegio reconhece o número, a condição que lhe anota —vigente ou suspenso— e a data em que perguntamos. Nada mais. O buscador do Colegio imprime, junto de cada associado, o seu nome completo, o seu número de cédula, o seu endereço, o seu e-mail e o seu telefone: nenhum desses dados é guardado, e o programa que lê a resposta os descarta antes de chegarem ao banco de dados. É o princípio de qualidade da informação do artículo 6 da Ley N° 8968: só se conserva o dado de que a finalidade precisa, e a finalidade aqui é mostrar um selo.

Perguntar uma única vez é a regra, e só quando o número muda. Se o Colegio não responder, o selo diz que não foi possível verificar e fica por aí: não insistimos.

Você pode retirar o número quando quiser, deixando o campo em branco em Ajustes. Ao fazê-lo apaga-se a linha inteira —o número, a condição e a data— e o selo desaparece.

O selo não decide nada. Uma carteira que o Colegio não reconhece, uma com suspensão anotada e um Colegio que não responde dão exatamente o mesmo acesso ao Serviço: o que muda é o que o perfil diz. Não lhe fechamos a porta pelo que diga —ou deixe de dizer— a página de um terceiro.

Ao terminar a relação com um escritório avisamos o seu titular em sessenta (60) dias e eliminamos os seus dados em noventa (90); os trinta dias de diferença são a margem para voltar. Essas duas janelas são política da plataforma: a Ley N° 8968 não fixa prazos de conservação para um responsável como nós. O que o seu Reglamento fixa, no artículo 11, é um teto: a conservação dos dados pessoais que possam afetar o seu titular «no deberá exceder el plazo de diez años, desde la fecha de terminación del objeto de tratamiento del dato, salvo disposición normativa especial que establezca otro plazo». Nenhuma das janelas deste anexo o supera.

O que sobrevive à eliminação, e por quê:

• A prova da sua autorização e do tratamento —o registro de consentimentos e a trilha de auditoria—, porque tratar sem consentimento informado e expresso é falta grave (Ley N° 8968, artículo 30, inciso a) e demonstrar que o tivemos exige conservar o comprovante. O artículo 26, inciso b), do Reglamento é o que permite conservá-lo depois de eliminar o resto: não se eliminam os dados que devam ser mantidos por disposição legal.
• As solicitações de direitos do titular e a sua resolução, que são a prova de ter cumprido os cinco dias úteis do artículo 7 da Ley e do artículo 18 do Reglamento.
• O rastro de faturamento, por cinco anos, e por dois caminhos que chegam ao mesmo número. O Código de Comercio obriga o comerciante a «conservar los libros de contabilidad desde que se inician hasta cinco años después del cierre del negocio y conservar igualmente la correspondencia, las facturas y los demás comprobantes, por un período no menor de cinco años, contado a partir de sus respectivas fechas, salvo que hubiera juicio pendiente en que esos documentos se hubieran ofrecido como prueba» (artículo 234, inciso d), e repete os cinco anos para o negócio que se liquida no seu artículo 270. O Código de Normas y Procedimientos Tributarios chega ao mesmo prazo pelo dever do contribuinte: «los contribuyentes o los responsables deberán conservar los duplicados de estos documentos por un plazo de cinco años» (artículo 109). Esse dever é do seu escritório como comerciante e contribuinte costarriquenho; nós conservamos o comprovante para que ele possa cumpri-lo.

Uma precisão sobre o número, porque é fácil confundi-lo: o Código de Normas y Procedimientos Tributarios fixa em quatro anos a prescrição da ação da Administración Tributaria (artículo 51). Quatro anos é o que ela tem para cobrar; cinco é o que se deve conservar. A janela que este anexo promete é a de conservação.

O tratamento de dados pessoais dos titulares domiciliados no Uruguai é regido pela Ley N° 18.331, de Protección de Datos Personales y Acción de «Habeas Data», de 11 de agosto de 2008, e pela sua modificadora, a Ley N° 19.670 de 15 de outubro de 2018. Regulamentam-nas o Decreto N° 414/009 de 31 de agosto de 2009 e o Decreto N° 64/020 de 17 de fevereiro de 2020; as quatro peças são nomeadas juntas porque os números que alcançam você —o registro, os seus prazos, as horas de um incidente— vivem nos decretos e não na lei.

Os princípios. O artigo 5 da lei enumera sete e faz deles critério de interpretação de todo o resto: legalidade, veracidade, finalidade, prévio consentimento informado, segurança dos dados, reserva e responsabilidade.

A sua autorização. O artigo 9 exige que o consentimento seja «libre, previo, expreso e informado, el que deberá documentarse»: é isso que a tela de consentimento lhe pede, e o que fica congelado com a sua data no registro de consentimentos. Esse mesmo artigo, no seu literal D), é o que permite ao seu escritório subir para a plataforma os dados dos seus próprios clientes sem voltar a lhes pedir permissão, porque derivam de uma relação profissional e são necessários para cumpri-la. Não serve para a transferência internacional, que tem a sua própria lista e a sua própria seção mais abaixo.

A reserva, e por que aqui ela pesa mais do que em outros países. O artigo 11 obriga quem trata dados de um banco de dados a usá-los «en forma reservada y exclusivamente para las operaciones habituales de su giro», e submete a sigilo profissional —com remissão expressa ao artigo 302 do Código Penal— toda pessoa que intervenha em qualquer fase do tratamento. Essa obrigação subsiste depois de terminada a relação. Alcança quem opera a plataforma, e não apenas o seu escritório.

Responsabilidade proativa. O artigo 12, na redação que lhe deu o artigo 39 da Ley N° 19.670, nomeia na mesma frase o controlador e o operador e manda que adotem «privacidad desde el diseño, privacidad por defecto, evaluación de impacto a la protección de datos, entre otras» e que demonstrem a sua efetiva implementação. O operador não responde menos do que o controlador: responde igual.

Duas coisas que este regime tem e nenhum outro dos nossos. A primeira: o artigo 2 estende a proteção às pessoas jurídicas no que couber, de modo que o seu escritório é titular de dados ele próprio, e não apenas controlador dos dados dos seus clientes. A segunda: o artigo 6 faz do registro a porta da licitude —«la formación de bases de datos será lícita cuando se encuentren debidamente inscriptas»—, e por isso este anexo lhe dedica uma seção inteira.

Por que a lei uruguaia nos alcança. O artigo 37 da Ley N° 19.670 e o artigo 1 do Decreto N° 64/020 submetem a esta lei o controlador ou operador não estabelecido no país quando a oferta de serviços se dirige a habitantes da República. O regulamento aprecia essa direção por elementos como o idioma, a referência ao pagamento em moeda nacional ou o fornecimento de serviços conexos, e acrescenta que em nenhum caso os contratantes podem excluir a aplicação da lei nacional quando ela couber. Oferecer o Serviço a você é o que a ativa, e não a tomamos como discutível.

A autoridade. É a Unidad Reguladora y de Control de Datos Personales (URCDP), órgão desconcentrado da AGESIC. É perante ela que você reclama se não ficar satisfeito com o que fizermos, e você também pode nos escrever para [email protected]. Reclamar perante a URCDP não lhe tira a ação de habeas data perante a justiça uruguaia, nem o contrário.

No Uruguai o Serviço oferecerá uma consulta pontual de um processo pelo seu IUE a quem não tem conta, que a Seção 2 do tronco desta política descreve. Aqui vai o que o direito uruguaio diz dela, com os seus artigos.

Com que base. Com o artículo 9, literal A) da Ley N° 18.331, que dispensa o prévio consentimento quando «los datos provengan de fuentes públicas de información, tales como registros o publicaciones en medios masivos de comunicación», lido junto com o artículo 9-BIS, que enumera o que se considera fonte pública. O portal do Poder Judiciário não está nomeado nos literais A) a C) desse artigo, e não o escondemos: o que o alcança é o literal D), o residual —«todo otro registro o publicación en el que prevalezca el interés general en cuanto a que los datos personales en ellos contenidos puedan ser consultados, difundidos o utilizados por parte de terceros»—, e esse literal termina com uma condição que cumprimos antes de invocá-la: «en caso contrario, se podrá hacer uso del registro o publicación mediante técnicas de disociación u ocultamiento de los datos personales».

Por isso as partes vão mascaradas, e não é enfeite. O mascaramento é a técnica que esse literal prevê, e a dissociação é definida pelo artículo 4, literal G): «todo tratamiento de datos personales de manera que la información obtenida no pueda vincularse a persona determinada o determinable». Não devolvemos a identidade das partes, e por isso não dependemos de resolver se na publicidade de um processo «prevalece o interesse geral».

O princípio da finalidade continua correndo. O artículo 8 proíbe usar o dado para «finalidades distintas o incompatibles con aquellas que motivaron su obtención», e a URCDP o aplicou a dados vindos de uma fonte pública (Resolución N° 94/014, de 31 de julho de 2014, recolhida na sua compilação «Principales criterios administrativos 2009-2015», onde além disso deixa escrito que convém que «el tratamiento de los datos personales no esté vinculado con la identidad de su titular»). A finalidade pela qual o Poder Judiciário publica o estado de um processo —que se possa consultar— e a desta consulta são a mesma, e por isso não se guarda o histórico nem se constrói nada com o que foi consultado.

E de quem consulta. O seu endereço IP é tratado somente para limitar quantas consultas saem de um mesmo lugar, e a linha que a consulta escreve é eliminada em duas (2) horas. Isso é o artículo 8 no seu segundo inciso: os dados «deberán ser eliminados cuando hayan dejado de ser necesarios o pertinentes a los fines para los cuales hubieren sido recolectados».

O que esta seção não afirma. Que essa linha efêmera não seja uma «base de datos» para os efeitos desta lei. O artículo 4, literal A), não põe limiar de permanência —«cualquiera que fuere la modalidad de su formación, almacenamiento, organización o acceso»— e o literal M) conta a consulta entre as operações de tratamento: assumimos que é, e por isso ela entra no que a seção seguinte diz do registro perante a URCDP. Tampouco lemos nenhuma resolução ou parecer da URCDP sobre um terceiro privado que consulte o portal judicial e publique o resultado com as partes mascaradas; se aparecer e disser outra coisa, este anexo muda antes de a mudança alcançar você.

Os artigos desta seção foram lidos verbatim no texto da Ley N° 18.331 que o IMPO publica, em 19 de setembro de 2026, e a compilação de critérios no site da URCDP no mesmo dia.

Este é o dever que nenhum outro país do Serviço nos impõe, e por isso está escrito aqui com todas as suas partes.

A quem alcança. Os artigos 28 e 29 da Ley N° 18.331 obrigam a inscrever todo banco de dados, e o artigo 2 do Decreto N° 64/020 diz isso de nós com todas as letras: os controladores e operadores não estabelecidos no território «deberán dar cumplimiento a las obligaciones previstas en la Ley N° 18.331 […] incluyendo el registro de sus bases de datos y brindar la información de contacto correspondiente ante la Unidad Reguladora y de Control de Datos Personales». Não é uma leitura nossa: é o texto do regulamento.

O que a inscrição declara. O artigo 16 do Decreto N° 414/009 fixa o seu conteúdo, e o artigo 29 da lei enumera o que não pode faltar: identificação do banco de dados e do seu responsável, natureza dos dados, procedimentos de obtenção e tratamento, medidas de segurança, exercício de direitos, destino dos dados e a quem podem ser transmitidos, tempo de conservação e forma de acessar e retificar. E traz um limite que convém ler: «ningún usuario de datos podrá poseer datos personales de naturaleza distinta a los declarados en el registro».

Os três prazos. A inscrição é feita dentro de 90 dias do início das atividades (Decreto N° 414/009, artigo 17), é atualizada trimestralmente (artigo 20) e o número e a data da resolução que a aprova são exibidos em lugar visível e acessível (artigo 19). O trâmite é on-line e não tem custo.

O número da nossa resolução ainda não está aqui. Esta lacuna —número de resolução URCDP: pendente; data: pendente— é deliberada e se preenche no dia em que o trâmite sair, neste anexo e no rodapé do site. Enquanto disser «pendente», o que você está lendo é que o trâmite não foi concluído, e não que ele exista e nós não o publiquemos.

E o que não pudemos verificar, dito como tal. O trâmite exige uma identidade eletrônica uruguaia —Usuario gub.uy, DNI digital, Identidad Digital Abitab ou TuID Antel—, e a página do trâmite não documenta uma via para uma sociedade estrangeira sem representante no país. Não afirmamos que se possa nem que não se possa: é a primeira pergunta da revisão legal deste anexo, e da sua resposta depende que a inscrição seja um formulário ou um mandato local.

A consulta sem conta entra aqui. A linha efêmera que essa consulta escreve é, nos termos do artículo 4, literal A), um conjunto organizado de dados pessoais objeto de tratamento, e por isso fica compreendida na inscrição que esta seção declara pendente. Não a deixamos de fora por durar duas horas: nenhuma norma uruguaia que tenhamos lido isenta uma base por ser efêmera.

A Ley N° 18.331 fixa prazo, sim, e é o mesmo para tudo: cinco (5) dias úteis.

• Acesso: cinco dias úteis «de haber sido solicitada» a informação (artigo 14, inciso 3). Vencido o prazo sem resposta, ou negado sem razão justificada, fica habilitada a ação de habeas data.
• Retificação, atualização, inclusão e eliminação: cinco dias úteis «de recibida la solicitud», ou o mesmo prazo para lhe informar por que entendemos que não cabe (artigo 15, inciso 2). São gratuitas, sem cobrança alguma para você.
• Informação ao titular cujos dados não foram coletados dele: cinco dias úteis do recebimento da solicitação (artigo 13, inciso 2).
• Propagação: se já tivéssemos comunicado ou transferido o dado, notificamos a retificação, a inclusão ou a eliminação a quem o recebeu dentro do quinto dia útil de efetuado o tratamento (artigo 15, inciso 6).

A contagem começa no mesmo dia da sua solicitação, e não no seguinte. Os artigos dizem «de haber sido solicitada» e «de recibida la solicitud», sem a palavra «siguiente» que os regulamentos de outros países onde operamos têm, e na dúvida contamos do modo que favorece você.

Mais duas regras que a própria lei põe. O acesso gratuito se exerce «a intervalos de seis meses», salvo que se suscite novamente um interesse legítimo (artigo 14): é um requisito de admissibilidade da segunda consulta, não um prazo. E enquanto verificamos, retificamos ou incluímos um dado, diante do pedido de um terceiro registramos que essa informação está submetida a revisão (artigo 15, inciso 5).

A oposição e a portabilidade não existem como direitos autônomos no regime uruguaio. Procuramos os literais no texto vigente da lei e do Decreto N° 414/009 e eles não aparecem. Se você nos pedir qualquer uma das duas, nós a protocolamos e lhe respondemos; o que não fazemos é lhe prometer um prazo legal que a lei uruguaia não fixa.

O que a plataforma computa hoje, e o que ainda não. O calendário útil uruguaio já está carregado —os feriados do Decreto Ley N° 14.977, a sua transferência para as segundas-feiras da Ley N° 16.805, o Carnaval e a Semana de Turismo derivados da Páscoa, e as duas férias judiciais do artigo 86 da Ley N° 15.750—, de modo que a sua solicitação nasce com uma data de vencimento calculada sobre dias úteis uruguaios e não sobre dias corridos. Duas ressalvas, ditas antes de alcançarem você: o cômputo se apoia na nossa leitura dos artigos 14 e 15, que nenhum advogado uruguaio curou ainda, e a tabela de feriados não contém o dia do funcionário judicial —não localizamos lei nem acordada que o declare feriado— nem um feriado que uma lei declare dentro do ano, que entra quando é publicado.

Esta seção é mais explícita do que a sua equivalente nos outros países do Serviço, e não por gosto: a lei uruguaia o exige com essas palavras.

O que a lei manda informar. O artigo 13 da Ley N° 18.331, na redação que lhe deu o artigo 62 da Ley N° 20.075 de 20 de outubro de 2022, obriga a lhe informar previamente, de forma expressa, precisa e inequívoca, «la existencia o no de transferencias internacionales de datos» (literal F) e, nos tratamentos automatizados do artigo 16, «los criterios de valoración, los procesos aplicados y la solución tecnológica o el programa utilizado» (literal G).

O que a função de inteligência artificial faz. Sobre o texto de um caso e os trechos dos documentos que o seu escritório sobe, a plataforma gera resumos, análises, minutas e respostas com citação à fonte. A solução tecnológica é um modelo de linguagem de um terceiro, ao qual se envia esse texto por uma interface de programação e que devolve texto. Quem são esses terceiros, o que cada um recebe e sob que salvaguarda os dados viajam está na seção de operadores do tronco desta política e, um por um, na lista de suboperadores que o Serviço publica. Há transferência internacional nesse envio, e a seção seguinte diz em que ela se apoia.

Que critérios se aplicam, e quais não. O modelo produz texto a partir do que lhe é entregue; não pontua, não classifica pessoas, não calcula risco nem perfila conduta, solvência ou confiabilidade de ninguém, e a sua saída não decide nada por si só: quem a lê e a usa é um advogado. Quando a plataforma propõe um prazo ou um estado, propõe-o com a norma ou o fato que o sustenta, e a decisão continua sendo de quem conduz o caso.

O seu direito de impugnar. O artigo 16 lhe dá direito a não ser submetido a uma decisão com efeitos jurídicos significativos «que se base en un tratamiento automatizado de datos destinado a evaluar determinados aspectos de su personalidad», a impugnar a decisão privada cujo único fundamento seja esse tratamento, e a obter informação sobre os critérios de valoração e o programa utilizado. Esse artigo não fixa prazo, de modo que não lhe prometemos nenhum: escreva para [email protected] e respondemos com os critérios e o programa. Como a plataforma não toma decisões com efeitos jurídicos sobre ninguém, esperamos que este direito não encontre o que impugnar; se algum dia encontrasse, este anexo o diria antes.

E o que você pode desligar. As funções de inteligência artificial têm interruptores próprios na plataforma: um escritório pode deixá-las desligadas e usar o resto do Serviço. Desligadas, não se envia texto ao fornecedor de geração.

O Uruguai não tem um relógio de incidente: tem três, e apenas dois correm por nossa conta. Convém que você saiba qual é qual, porque o terceiro é seu; e atrás dos três fica um quarto dever, o relatório posterior, que não tem relógio.

• Vinte e quatro (24) horas para começar a mitigar. Constatado um incidente que ocasione divulgação, destruição, perda, alteração ou acesso não autorizado a dados pessoais, o controlador e o operador devem iniciar os procedimentos necessários para minimizar o seu impacto «dentro de las primeras 24 horas de constatados» (Decreto N° 64/020, artigo 3). Esse relógio corre para nós.
• De imediato, para avisar você. Quando quem conhece a violação é o operador —nós—, «éste la comunicará de inmediato al responsable del tratamiento» (Decreto N° 64/020, artigo 4, inciso 3). Esse aviso chega a você com a data e a hora em que o incidente ocorreu, e não apenas com a de quando soubemos dele, porque desse dado depende o seu próprio prazo.
• Setenta e duas (72) horas perante a URCDP, e são suas. O controlador deve comunicar a violação à URCDP «en un plazo máximo de 72 horas de conocida» (Decreto N° 64/020, artigo 4), com a data certa ou estimada, a natureza, os dados afetados e os impactos possíveis; e deve comunicá-la em linguagem clara e simples aos titulares que tenham sofrido uma afetação significativa. Sobre os dados que o seu escritório carrega, o controlador é você: essa comunicação é sua e nós lhe damos os insumos. O artigo 38 da Ley N° 19.670 acrescenta que a URCDP coordena o curso de ação com o CERTuy.
• O relatório pormenorizado posterior. Resolvida a violação, o controlador elabora um relatório da violação e das medidas adotadas e o comunica à URCDP (Decreto N° 64/020, artigo 4, último inciso). Se o incidente tiver sido nosso, esse relatório nós lhe damos por escrito.

Sobre os dados da sua própria conta —o seu e-mail, o seu faturamento, o seu registro de consentimentos— o controlador somos nós, e aí os três relógios correm do nosso lado.

Operar o Serviço supõe transmitir os seus dados para fora do território uruguaio. O Uruguai regula isso no artigo 23 da Ley N° 18.331, e é preciso lê-lo inteiro porque ele começa por uma proibição: proíbe-se a transferência «con países u organismos internacionales que no proporcionen niveles de protección adecuados».

Os Estados Unidos não figuram entre os adequados. A Resolución URCDP N° 23/021, de 8 de junho de 2021, considera apropriados os membros da União Europeia e do Espaço Econômico Europeu, Andorra, Argentina, o setor privado do Canadá, Guernsey, Ilha de Man, Ilhas Faroé, Israel, Japão, Jersey, Nova Zelândia, o Reino Unido e a Suíça. Os Estados Unidos não estão nessa lista, e essa mesma resolução retirou o Privacy Shield como instrumento habilitante. Dizemos isso a você porque a infraestrutura que hospeda a plataforma está nos Estados Unidos.

Em que se apoia então a transferência. Nas duas portas que o próprio artigo 23 abre e que correspondem a este contrato: o literal A), o seu consentimento inequívoco à transferência, que é o que lhe pedimos na tela de consentimento nomeando o destino antes de o dado sair; e o literal B), que a transferência seja necessária para executar o contrato entre você e nós, que é o que o Serviço é. E não paramos aí: o mesmo artigo admite que as garantias «podrán derivarse de cláusulas contractuales apropiadas», e a Resolución URCDP N° 41/021, de 8 de setembro de 2021, recomendou as do seu Anexo I. Essas cláusulas não são prosa deste anexo: são o contrato de operador que o seu escritório aceita, publicado como instrumento próprio, com a lista de suboperadores nomeada dentro.

Dos outros países onde o Serviço é oferecido, só a Argentina figura nessa lista. Não estão a Colômbia, nem o Equador, nem a República Dominicana, nem a Costa Rica, nem o Brasil. Isso importa no dia em que houver uma troca de dados entre um escritório uruguaio e um desses cinco países dentro da plataforma: essa transferência precisa da sua própria base do artigo 23, e este anexo não a dá como certa.

Os dados dos clientes e das partes contrárias do seu escritório são outra coisa. Sobre eles o controlador é você e nós somos o seu operador, atuando por instrução sua; é você quem tem a relação com o titular e quem obtém o que o artigo 23 exige. É isso que você declara ao aceitar a declaração sobre dados de terceiros.

A avaliação de impacto é a obrigação de entrada, e está feita. O artigo 6 do Decreto N° 64/020 obriga a avaliar o impacto antes de iniciar o tratamento quando, entre outras hipóteses, puder projetar-se um tratamento estável de «datos vinculados a la comisión de infracciones penales, civiles o administrativas» (literal b) ou transferirem-se dados a Estados sem nível adequado de proteção (literal f). As duas alcançam o Serviço desde o primeiro escritório uruguaio: um processo judicial é a primeira e a infraestrutura nos Estados Unidos é a segunda. A avaliação, com o conteúdo mínimo do artigo 7, vive na documentação interna de segurança do Custodio Legal e é revisada quando muda o que ela descreve. Se dela surgisse «un riesgo potencial y significativo» para os direitos dos titulares, o mesmo artigo obriga a levá-lo ao conhecimento da URCDP com o detalhe das medidas, e nós o faríamos.

O delegado de proteção de dados não é condição de entrada, e dizemos por quê. O artigo 40 da Ley N° 19.670 e o artigo 10 do Decreto N° 64/020 o exigem das entidades públicas, das privadas que tratem dados sensíveis como negócio principal e das que tratem grandes volumes de dados. O regulamento fecha as duas: os dados pessoais sensíveis são os do artigo 4, literal E), da Ley N° 18.331 —origem racial e étnica, preferências políticas, convicções religiosas ou morais, filiação sindical, saúde e vida sexual—, e um processo cível, comercial ou trabalhista não é nenhuma dessas categorias, ainda que possa conter alguma; e o grande volume está definido com número, «más de 35.000 personas». Hoje não se cumpre nenhuma das duas hipóteses. A segunda é um limiar que se cruza sem aviso e quem o cruza é o contador de titulares distintos, e não o de escritórios. Nós o medimos, e assim: todos os dias contamos os titulares distintos que tratamos em cada país, e avisamos o nosso responsável de conformidade quando a contagem uruguaia chega a 80 % das 35.000 pessoas e outra vez quando as cruza. Contamos pessoas e não escritórios, com o mesmo critério com que identificamos quem exerce os seus direitos —nome e documento quando há documento, nome quando não há—, de modo que o número é aproximado nas duas direções e o tratamos como um sinal antecipado e não como uma cifra exata. No dia em que for cruzado há 90 dias para comunicar a designação (artigo 14 do mesmo decreto) e o delegado deve comprovar conhecimentos jurídicos especializados em proteção de dados (artigo 12). Este anexo o diria antes de isso acontecer.

Ao terminar a relação com um escritório, avisamos o seu titular em sessenta (60) dias e eliminamos os seus dados em noventa (90); os trinta dias de diferença são a margem para voltar.

Essas duas janelas são política da plataforma, e a lei uruguaia não as contradiz — é o único país do Serviço cuja lei põe um teto explícito. O artigo 30 da Ley N° 18.331 manda que, «una vez cumplida la prestación contractual los datos personales tratados deberán ser destruidos», e admite conservá-los «por un período de hasta dos años» apenas se houver autorização expressa daquele por conta de quem os serviços foram prestados. Não lhe pedimos essa autorização e não a usamos: noventa dias cabem folgados abaixo desse teto e não precisam dela.

A linha entre os dois chapéus, que é a parte que importa. Sobre os dados que o seu escritório carrega —os seus clientes, as suas partes contrárias, os seus processos— somos operadores e nos corre o artigo 30 inteiro, incluída a sua primeira proibição: não aplicá-los a um fim distinto do que figure no contrato de serviços «ni cederlos a otras personas, ni aún para su conservación». Por isso cada terceiro que trata esses dados por nossa conta está nomeado no contrato de operador, e não apenas publicado na lista de suboperadores: publicá-la não basta no Uruguai. Sobre os dados da conta do seu escritório —o seu titular, o seu faturamento, o seu registro de consentimentos— somos controladores, e aí rege o artigo 8: o dado é eliminado quando deixa de ser necessário ou pertinente para o fim que motivou a sua obtenção.

O que sobrevive à eliminação, e por quê:

• A prova da sua autorização e do tratamento —o registro de consentimentos e a trilha de auditoria—, porque o artigo 9 exige que o consentimento seja documentado e o artigo 12, na redação da Ley N° 19.670, obriga o controlador e o operador a demonstrar a efetiva implementação das suas medidas.
• As solicitações de direitos do titular e a sua resolução, que são a prova de tê-las atendido dentro dos cinco dias úteis dos artigos 14 e 15.
• O rastro de faturamento, que é dado do seu escritório como nosso cliente e não dado tratado por sua conta: nós o conservamos enquanto for necessário para a relação e para poder prová-la (artigos 8 e 12). Continuamos sem lhe prometer um prazo, e agora podemos dizer com mais precisão por quê. O prazo tributário uruguaio foi lido, sim: o artigo 70, literal C), do Código Tributario (Ley N° 14.306) manda «conservar en forma ordenada los libros y demás documentos y registros durante el término de prescripción del tributo», e o artigo 38 fixa esse termo em cinco anos contados do encerramento do ano civil em que ocorreu o fato gerador, ampliados para dez nos casos que esse mesmo artigo enumera. Esse dever é do contribuinte ou responsável uruguaio —o seu escritório, quando lhe cabe reter sobre o pagamento ao exterior—, e não nosso: Custodio Legal não é contribuinte no Uruguai, de modo que esse artigo não nos dá um prazo para lhe prometer. O prazo comercial continua sem ser lido em fonte oficial, e agora com o motivo escrito: IMPO não publica o texto do Código de Comercio sem assinatura e o site do Parlamento não respondeu. Quando o lermos, este anexo traz o número com o seu artigo.

O Custodio Legal, identificado com o NIT 1057602936 da República da Colômbia, com domicílio legal na Carrera 17 #2-81, Sogamoso, Boyacá, Colômbia, presta o Serviço. Você pode nos escrever para [email protected] ou nos ligar no +57 333 431 8597; a área que atende consultas e reclamações é a Área de Proteção de Dados Pessoais, nesse mesmo endereço de e-mail.

Não temos estabelecimento nem representante domiciliado na Argentina. Esta seção existe aqui com nome próprio e não como uma remissão ao tronco porque a Resolución AAIP 126/2024 classifica entre as infrações muito graves «omitir denunciar, con motivo del tratamiento de datos personales en Internet, el domicilio legal y demás datos identificativos del responsable, sea ante el Registro Nacional de Bases de Datos como así también en su política de privacidad, de modo tal que mediante dicha conducta afecte el ejercicio de los derechos del titular del dato y la actividad de contralor» da autoridade. O tipo exige as duas coisas —a omissão e o seu efeito—, e por isso não nos interessa discutir se um caso concreto chegaria a consumá-lo: dizemos a você quem somos e onde estamos.

O tratamento de dados pessoais dos titulares domiciliados na Argentina é regido pela Ley 25.326 de Protección de los Datos Personales, de 4 de outubro de 2000, e pelo seu Decreto reglamentario 1558/2001.

A autoridade de controle é a Agencia de Acceso a la Información Pública (AAIP). É perante ela que você reclama se não ficar satisfeito com o que fizermos, e você também pode nos escrever para [email protected].

O artigo 44 da lei diz duas coisas distintas e as duas alcançam você. Primeiro, que os seus capítulos I a IV «son de orden público y de aplicación en lo pertinente en todo el territorio nacional». E depois, em frase à parte, que «la jurisdicción federal regirá respecto de los registros, archivos, bases o bancos de datos interconectados en redes de alcance interjurisdiccional, nacional o internacional». O Serviço é exatamente isso: não se aplicam a você vinte e quatro regimes provinciais, aplica-se um.

Duas coisas deste regime mudam em relação aos demais países em que o Serviço é oferecido, e convém dizê-las aqui:

• As pessoas jurídicas são titulares de dados. O artigo 2 define o titular como «toda persona física o persona de existencia ideal con domicilio legal o delegaciones o sucursales en el país». O seu escritório, se for uma sociedade, é ele mesmo titular de dados e não apenas responsável pelos de terceiros: pode exercer contra nós os mesmos direitos que exerce uma pessoa.
• O consentimento por padrão é expresso e por escrito, não tácito. O artigo 5 inciso 1 diz que ele deve constar «por escrito, o por otro medio que permita se le equipare, de acuerdo a las circunstancias».

O artigo 3 da Ley 25.326 diz que a formação de arquivos de dados «será lícita cuando se encuentren debidamente inscriptos». Não é uma formalidade à parte da licitude: é a licitude. E o artigo 21 obriga a inscrever no registro que a autoridade habilite, declarando —entre outras nove coisas— a finalidade do arquivo, a natureza dos dados, os destinatários e o tempo de conservação dos dados.

O artigo 21 inciso 1 nomeia os arquivos privados «destinados a proporcionar informes», e isso poderia ser lido como se alcançasse apenas quem vende informação. Não é assim, e quem fecha a questão é o artigo 1 do Decreto 1558/2001: ficam compreendidos nesse conceito os arquivos privados «que exceden el uso exclusivamente personal y los que tienen como finalidad la cesión o transferencia de datos personales, independientemente de que la circulación del informe o la información producida sea a título oneroso o gratuito». Uma plataforma que trata os processos de vários escritórios excede o uso exclusivamente pessoal, portanto o registro nos alcança. Dizemos isso aqui porque a leitura contrária seria a desculpa cômoda.

O registro é o Registro Nacional de Bases de Datos da AAIP, e a inscrição corre por dois lados:

• A sua, pela sua própria base: os processos e os dados dos seus clientes são o seu arquivo, e você é o seu responsável.
• A nossa, pela via que a AAIP abriu para os responsáveis que não estão estabelecidos no território argentino. É um formulário na web com caráter de declaração juramentada, gratuito e sem vencimento, que pede o estatuto societário e uma pessoa autorizada ou procuradora, e que não pede CUIT nem clave fiscal.

Em que estado está hoje o nosso trâmite: não foi apresentado. Não dizemos «em trâmite» nem «em breve»: a inscrição não foi iniciada, não temos número de resolução e por isso não há número a lhe citar. No dia em que existir, este anexo o publica com a sua data e sobe de versão.

E o que isso significa hoje, dito com a gravidade que tem e não com a que soa melhor. O Anexo I da Resolución AAIP 126/2024 tem duas entradas sobre isso, e a que descreve a nossa situação é a mais leve: é infração leve «efectuar tratamiento de datos personales sin encontrarse inscripto ante el Registro Nacional de Bases de Datos en infracción a lo dispuesto por el artículo 3° de la Ley N° 25.326», e é infração grave «no inscribir la base de datos […] cuando haya sido requerido para ello por la Dirección Nacional de Protección de Datos Personales». Não houve intimação. O que não depende da gravidade, e é o que de fato importa, é o artigo 3: enquanto não estiver inscrita, a formação do arquivo não é lícita, e isso não se conserta pagando uma multa.

Dizemos isso aqui e não em uma nota de rodapé porque o artigo 14 do Decreto 1558/2001 lhe dá direito a nos perguntar: o literal f) inclui no direito de acesso «saber si el archivo está registrado conforme a las exigencias de la Ley Nº 25.326». Se você nos perguntar hoje, a resposta é a deste parágrafo.

E porque o inciso 3 do artigo 21 é uma obrigação viva e não de abertura: nenhum usuário pode ter dados de natureza distinta da declarada. O que declararmos no registro tem que dizer o mesmo que este anexo, incluído o tempo de conservação.

O artigo 5 inciso 2 da Ley 25.326 enumera os casos em que o consentimento não é necessário, e dois deles são os que sustentam o Serviço inteiro. Citamo-los com o seu literal em vez de resumi-los:

• Literal a), «fuentes de acceso público irrestricto». É o que sustenta a vigilância judicial. O que o Serviço lê de um processo —a capa, as partes publicadas, os andamentos— é publicado pelo portal de um poder judiciário para qualquer pessoa, sem cadastro e sem senha.
• Literal d), dados que «deriven de una relación contractual, científica o profesional del titular de los datos, y resulten necesarios para su desarrollo o cumplimiento». É o que sustenta o processo do seu escritório: os dados dos seus clientes, das suas partes contrárias e dos terceiros que aparecem nos seus casos derivam da sua relação profissional com eles e são necessários para mantê-la.

Fora desses dois casos rege o inciso 1 e o consentimento tem que ser livre, expresso e informado, por escrito ou por um meio equivalente. A sua aceitação desta política e do contrato de operador na plataforma fica congelada, com a sua data e o seu texto íntegro, em uma linha imutável do nosso registro de consentimentos; esse é o meio equivalente com o qual respondemos se algum dia for preciso prová-lo.

Há uma terceira peça que não é uma base legal e sim uma advertência. O artigo 11 inciso 4 diz que o cessionário «quedará sujeto a las mismas obligaciones legales y reglamentarias del cedente y éste responderá solidaria y conjuntamente por la observancia de las mismas» perante a autoridade e perante o titular. É uma regra por cessão, e nesta relação há duas encadeadas: você nos cede a nós e nós cedemos a cada suboperador. Está desenvolvida na seção de suboperadores, mais abaixo, porque na Argentina ela alcança você.

Este anexo separa dois tratamentos que a lei argentina submete a artigos distintos, e nenhum outro anexo do Serviço os separa assim.

O que tratamos por sua conta —o processo, as partes, os documentos que você sobe e o texto que extraímos deles— nos torna operadores nos termos do artigo 25 da Ley 25.326. Sobre esses dados não decidimos nada: não se aplicam a uma finalidade distinta da que consta do contrato, não se cedem a ninguém «ni aun para su conservación», e são destruídos cumprida a prestação. É o que o contrato de operador da Argentina desenvolve cláusula por cláusula.

Os dados da sua conta —o nome, o e-mail e o telefone da pessoa que se cadastrou, o registro de consentimentos, os seus pedidos de direitos e o rastro de faturamento— nos tornam controladores. Ninguém nos encarregou deles: nós os coletamos para lhe prestar o Serviço. Esse tratamento não cai sob o artigo 25 e sim sob o artigo 4 inciso 7 —os dados «deben ser destruidos cuando hayan dejado de ser necesarios o pertinentes a los fines para los cuales hubiesen sido recolectados»— e sob o artigo 16 inciso 7, que os sujeita aos prazos das disposições aplicáveis ou aos do contrato.

São dois regimes de conservação distintos, e a seção de conservação deste anexo os conta separadamente.

A Ley 25.326 fixa prazo, sim, e fixa dois distintos, com duas unidades distintas. É o único país do Serviço em que isso acontece:

Direito	Prazo	Unidade	A partir de	Norma
Acesso	dez (10) dias	corridos	a intimação comprovada	Ley 25.326, art. 14 inc. 2
Retificação, atualização, eliminação e bloqueio	cinco (5) dias	úteis	recebida a reclamação	Ley 25.326, art. 16 inc. 2

A oposição e a portabilidade não existem como direitos autônomos no regime argentino. Não é que não os atendamos: é que a lei não os nomeia e portanto eles não têm prazo a computar. Se você nos pedir um dos dois, respondemos isso e dizemos o que podemos fazer.

Mais duas coisas que a lei lhe dá e que preferimos que você leia aqui:

• O acesso é gratuito em intervalos não inferiores a seis meses, salvo que você comprove um interesse legítimo (art. 14 inc. 3). Se você nos pedir o segundo acesso antes, dizemos isso citando o artigo, e se fundamentar o interesse, damos de qualquer forma.
• Se retificarmos ou eliminarmos um dado que já havíamos cedido, temos que avisar o cessionário dentro do quinto dia útil (art. 16 inc. 4). Essa propagação a plataforma ainda não executa: fazemo-la à mão, com registro, e está escrita como tal no nosso manual interno.

Vencido qualquer um dos dois prazos, a lei não manda você reclamar: habilita você a ajuizar ação. O artigo 14 inciso 2 diz que «quedará expedita la acción de protección de los datos personales o de hábeas data», e o artigo 16 inciso 3, que o descumprimento «habilitará al interesado a promover sin más» essa mesma ação. Não há instância prévia a esgotar.

Esses prazos a plataforma ainda não computa, e preferimos lhe dizer: para contar dias úteis argentinos é preciso o calendário de feriados e das férias judiciais, que ainda não está carregado. Enquanto isso, o seu pedido é registrado do mesmo jeito e nós o atendemos, com a data de vencimento marcada como estimada e não como certa.

A Ley 25.326 não impõe hoje uma obrigação geral de notificar uma violação de segurança, nem a você nem à autoridade. Não dizemos isso por omissão, dizemos como afirmação e com a sua comprovação:

• A Resolución AAIP 47/2018, que aprova as medidas de segurança para o tratamento de dados pessoais, as estabelece «de modo referencial» e como recomendadas; a sua seção de incidentes de segurança fala em detectá-los, avaliá-los, contê-los e respondê-los, e não menciona notificar ninguém.
• O catálogo de infrações da Resolución AAIP 126/2024 —leves, graves e muito graves— não tipifica omitir a notificação de um incidente.
• A obrigação de notificar incidentes é uma novidade do projeto de reforma da lei, que não está sancionado. Não a prometemos a você como direito vigente porque ela não é.

O que fazemos, sim, por contrato e não porque uma lei argentina o mande, é avisar você: a cláusula 5 literal i) ponto ii) do contrato de operador que assinamos com você nos obriga a lhe notificar «sin demora» todo acesso acidental ou não autorizado. O aviso chega a você com a data e a hora em que o incidente ocorreu, não apenas com a da sua detecção.

O que esse aviso habilita você a fazer é seu e não nosso: você decide, como controlador da sua base, o que comunica aos seus titulares.

E o dever de segurança é obrigatório, sim, ainda que o catálogo de medidas seja recomendado: o artigo 9 da lei obriga a adotar as medidas técnicas e organizativas necessárias, e o artigo 25 literal b) do Decreto 1558/2001 diz expressamente que esse artigo 9 «incumbe también al encargado del tratamiento».

Operar o Serviço supõe transmitir os seus dados para fora do território argentino. A infraestrutura da plataforma está nos Estados Unidos.

O artigo 12 inciso 1 da Ley 25.326 proíbe transferir dados pessoais a países que não proporcionem níveis de proteção adequados, e nenhuma das cinco exceções do seu inciso 2 cobre hospedar dados em uma nuvem estrangeira.

Os Estados Unidos não estão na lista de países adequados. Essa lista é o artigo 3 da Disposición DNPDP 60-E/2016, na redação que lhe deu a Resolución AAIP 34/2019, e nomeia os Estados membros da União Europeia e do Espaço Econômico Europeu, o Reino Unido, a Suíça, Guernsey, Jersey, a Ilha de Man, as Ilhas Faroé, o Canadá apenas quanto ao seu setor privado, Andorra, a Nova Zelândia, a República Oriental del Uruguay e Israel apenas quanto aos dados que recebam tratamento automatizado. Tampouco estão a Colômbia, o Equador, a República Dominicana, a Costa Rica nem o Brasil.

A via que usamos é a que abre o artigo 12 do Decreto 1558/2001, que reconhece nível adequado quando a tutela deriva «del amparo que establezcan las cláusulas contractuales que prevean la protección de datos personales»: o contrato de operador do tratamento que assinamos com o seu escritório, que reproduz o Anexo II da Disposición 60-E/2016 tal como a autoridade o publica. Esse contrato é o instrumento da transferência, e por isso é aceito junto com esta política e não depois.

Há uma segunda via que cobre uma parte concreta e que também está nesse artigo: não é necessário consentimento para transferir dados «desde un registro público que esté legalmente constituido para facilitar información al público». É o que ampara o que o Serviço copia de um portal judiciário.

A lista dos terceiros que tratam dados por nossa conta, com o país a partir do qual o fazem e o que recebem, é publicada na lista de suboperadores do Serviço e viaja anexa ao contrato de operador cada vez que você o aceita, não vinculada de fora: o que se congela com a sua aceitação é o texto do contrato mais a lista vigente naquele dia.

Na Argentina isso não é uma cortesia, e o motivo tem artigo. O artigo 25 inciso 1 proíbe o operador de ceder os dados a outras pessoas «ni aun para su conservación» fora do que diga o contrato de serviços, e as cláusulas 5 ll), 5 n) e 10 a) do Anexo II exigem informar você antes, obter o seu consentimento por escrito e lhe enviar sem demora uma cópia do contrato com o suboperador. A cláusula 10 d) obriga você a conservar essa lista, atualizada ao menos uma vez por ano, e a colocá-la à disposição da autoridade.

E o artigo 11 inciso 4 fecha o quadro, embora convenha lê-lo devagar porque é uma cadeia e não um salto. A regra diz que o cessionário fica sujeito às mesmas obrigações que o cedente «y éste responderá solidaria y conjuntamente por la observancia de las mismas». Aplicada duas vezes —você nos cede a nós, nós cedemos a um suboperador—, você responde junto conosco e nós junto com ele. Dito sem rodeios: cada suboperador nosso acaba sendo risco seu. Por isso os nomeamos um por um no contrato em vez de escondê-los atrás de um link, e por isso não incorporamos um novo sem avisar você antes de que ele trate os seus dados.

O que atenua essa cadeia, e dizemos porque joga a seu favor: o último parágrafo do artigo 11 do Decreto 1558/2001 diz que o cessionário «podrá ser eximido total o parcialmente de responsabilidad si demuestra que no se le puede imputar el hecho que ha producido el daño». A solidariedade não é objetiva nem automática.

Duas figuras que existem em outros países do Serviço não existem no regime argentino, e dizemos isso como afirmação e não por omissão:

• Não há delegado de proteção de dados. Nem a Ley 25.326 nem o Decreto 1558/2001 regulam a figura: não há obrigação de designá-lo, não há limiar de titulares que a dispare e não há registro de delegados. A figura aparece no projeto de reforma, que não está sancionado. Quem atende as suas consultas e as suas reclamações é a Área de Proteção de Dados Pessoais da seção de cima.
• Não há avaliação de impacto prévia obrigatória. Tampouco a exige nenhuma das duas normas. Nós a fizemos assim mesmo para o tratamento com inteligência artificial e para o Uruguai, onde ela é obrigatória, e esse trabalho está feito; mas não dizemos a você que uma norma argentina no-la exija, porque não é verdade.

O que é obrigatório, sim, e nós cumprimos, é o dever de segurança do artigo 9 e o dever de confidencialidade do artigo 10, que subsiste «aun después de finalizada» a relação com o titular do arquivo.

As três figuras que a Argentina não exige —o delegado, o dever de notificar um incidente e a avaliação de impacto— nós as comprovamos de novo em 12 de setembro de 2026, e não as damos por sabidas de uma leitura anterior: nenhuma das duas palavras que nomeiam o delegado aparece no texto da Ley 25.326 nem no do Decreto 1558/2001, nem a avaliação de impacto; e o texto actualizado da lei que o InfoLEG publica não traz nota de revogação nem de substituição. As três seriam obrigatórias sob o projeto de reforma, que naquela data tem quatro expedientes vivos e nenhuma aprovação em primeira câmara. No dia em que isso mudar, muda este anexo e ele sobe de versão.

Ao terminar a relação com um escritório avisamos o seu titular aos sessenta (60) dias e eliminamos os seus dados aos noventa (90); os trinta dias de diferença são a margem para voltar.

Essas duas janelas são política da plataforma, e a lei argentina não as contradiz: sobre os dados que o seu escritório carrega —os seus clientes, as suas partes contrárias, os seus processos— atuamos por sua conta, e o artigo 25 inciso 2 da Ley 25.326 manda destruí-los «una vez cumplida la prestación contractual», admitindo conservá-los «por un período de hasta dos años» apenas com a sua autorização expressa. Não lhe pedimos essa autorização e não a usamos: noventa dias cabem folgados abaixo desse teto.

Cumprida a eliminação, entregamos a você o certificado de destruição, e não o arquivamos apenas para nós: a cláusula 12 do contrato de operador nos obriga, à sua escolha, a lhe devolver os dados ou a destruí-los «certificando tal hecho».

O que sobrevive à eliminação, e por quê:

• A prova da sua autorização e do tratamento —o registro de consentimentos e o de auditoria—, porque o artigo 5 exige que o consentimento conste por escrito ou por um meio equivalente, e porque os artigos 9 e 10 obrigam o responsável e o encarregado a poder comprovar as medidas de segurança e confidencialidade que adotaram.
• Os pedidos de direitos do titular e a sua resolução, que são a prova de tê-los atendido dentro dos dez dias corridos do artigo 14.2 e dos cinco úteis do artigo 16.2.
• O rastro de faturamento, que é dado do seu escritório como cliente nosso e não dado tratado por sua conta: nós o conservamos enquanto for necessário para a relação e para poder prová-la, pelo artigo 4 inciso 7 e pelo artigo 16 inciso 7.

Sobre esse último ponto há um prazo argentino de dez anos, e ele não é nosso. O artigo 328 do Código Civil y Comercial de la Nación manda conservar por dez anos os livros, os demais registros e os instrumentos de respaldo, e o artigo 33 da Ley 11.683 faculta a administração federal a exigir que os comprovantes das operações sejam conservados por esse mesmo prazo. Os dois obrigam quem mantém contabilidade ou tributa na Argentina — é o seu prazo, não o nosso: o Custodio Legal não mantém contabilidade argentina nem é contribuinte na Argentina. Por isso citamos a norma a você, que pode reger o que você tenha de conservar desta relação, e não lhe prometemos um prazo próprio para o rastro de faturamento: seria inventarmos uma obrigação que não temos para justificar uma conservação que não tem número.

O Custodio Legal, identificado com o NIT 1057602936 da República da Colômbia, com domicílio legal na Carrera 17 #2-81, Sogamoso, Boyacá, Colômbia, presta o Serviço. Você pode nos escrever para [email protected] ou nos ligar no +57 333 431 8597.

Não temos estabelecimento nem representante domiciliado no Brasil. A LGPD nos alcança do mesmo jeito, e dizemos isso porque convém que você saiba: o seu art. 3º, II a aplica a todo tratamento que tenha por objetivo a oferta de bens ou serviços a pessoas localizadas no território nacional, e o art. 11 § 2º do Marco Civil da Internet alcança a pessoa jurídica estrangeira que oferece serviço ao público brasileiro.

Sobre os dados do seu escritório —a sua conta, o seu faturamento, o seu registro de consentimentos— somos controladores. Sobre os dados que o seu escritório carrega nos seus processos —os dos seus clientes, das partes contrárias e dos terceiros que neles constam— somos operadores: nós os tratamos por conta e por instrução sua, e o controlador é você. Esse segundo tratamento é regido pelas cláusulas-padrão contratuais do Anexo II da Resolução CD/ANPD nº 19/2024, que assinamos com você no contrato de operador.

Não há encarregado indicado, e isso não é um esquecimento. O art. 41 da LGPD diz «o controlador deverá indicar encarregado»: a obrigação é do controlador, e o operador não aparece no texto. O art. 6º da Resolução CD/ANPD nº 18, de 16 de julho de 2024, fecha a questão com todas as letras: «A indicação de encarregado por operadores é facultativa e será considerada política de boas práticas de governança». O canal de atendimento existe do mesmo jeito e é [email protected].

Há algo que este anexo não afirma e que convém dizer: não somos «agente de tratamento de pequeno porte» no sentido da Resolução CD/ANPD nº 2/2022. O seu art. 2º, II exige estar inscrito em registro mercantil brasileiro, que uma sociedade colombiana não tem, e o seu art. 3º, I retira do regime quem realiza tratamento de alto risco, onde entramos pelo uso de inteligência artificial. Não reclamamos um benefício que não nos cabe.

O tratamento de dados pessoais dos titulares domiciliados no Brasil é regido pela Lei nº 13.709, de 14 de agosto de 2018 — Lei Geral de Proteção de Dados Pessoais (LGPD).

A autoridade de controle é a Agência Nacional de Proteção de Dados (ANPD), que é agência reguladora desde a Lei nº 15.352, de 25 de fevereiro de 2026, que deu nova redação ao art. 55-A da LGPD e ao art. 5º, VIII. É perante ela que você reclama se não ficar satisfeito com o que fizermos, e você também pode nos escrever para [email protected].

Titular é sempre uma pessoa natural. Quem diz é o art. 5º, V da LGPD, e não é um detalhe de redação: uma pessoa jurídica não é titular de direitos de proteção de dados no Brasil, ao contrário do que ocorre na Argentina e no Uruguai. Os direitos que este anexo descreve são de pessoas físicas.

As bases legais do tratamento estão nomeadas, não deduzidas. O art. 7º da LGPD enumera as hipóteses, e três nos regem:

• O art. 7º, V —a execução do contrato com o titular— sustenta o tratamento dos dados da sua conta e das pessoas do seu escritório.
• O art. 7º, VI —«para o exercício regular de direitos em processo judicial, administrativo ou arbitral»— sustenta o tratamento dos dados das partes, partes contrárias e terceiros que constam de um processo. Não é uma leitura nossa de um princípio geral: está escrito com essas palavras, e é a hipótese que um processo ocupa exatamente.
• O art. 7º, II —o cumprimento de obrigação legal ou regulatória— sustenta o que conservamos porque uma norma manda, e está na seção de conservação.

Sobre todas elas incidem os princípios do art. 6º: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas.

O dever que nos cabe como operadores está no art. 37: manter registro das operações de tratamento que realizamos. É obrigação autônoma, não derivada do contrato, e não é um registro perante a autoridade: é próprio, e exibível quando a ANPD o pedir. O Brasil não tem registro de bancos de dados perante a autoridade, ao contrário da Argentina e do Uruguai.

O Serviço lê o que os tribunais publicam de um processo nas consultas públicas dos e-SAJ que vigia. Vale a pena dizer com que condição, porque a lei brasileira não diz que um dado público seja livre.

O art. 7º, § 3º da LGPD manda que o tratamento de dados pessoais de acesso público «deve considerar a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização», e o § 7º repete a condição para todo tratamento posterior. É uma condição, não uma permissão.

O que fazemos cabe dentro dessa finalidade, e o descrevemos para que você possa julgá-lo: lemos o andamento processual dos processos que o seu escritório nos indica, para avisá-lo dos seus movimentos e calcular os seus prazos. Essa é a razão pela qual o tribunal publica o andamento.

O que não fazemos, e não é uma promessa vaga e sim o limite que a norma impõe: não construímos com esses dados perfis comerciais das partes, não os vendemos, não os cedemos a terceiros alheios à prestação do Serviço e não os usamos para treinar modelos de inteligência artificial.

O art. 18 da LGPD lhe dá, perante o controlador: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei; portabilidade a outro fornecedor; eliminação dos dados tratados com o seu consentimento, ressalvadas as exceções do art. 16; informação sobre as entidades com as quais houve uso compartilhado; informação sobre a possibilidade de não fornecer o consentimento e sobre as suas consequências; e revogação do consentimento. O § 1º acrescenta o direito de peticionar perante a ANPD.

Os prazos, com a norma que os fixa:

Direito	Prazo	Norma
Confirmação da existência de tratamento e acesso, em formato simplificado	imediato	LGPD, art. 19, I
Acesso por declaração clara e completa	quinze (15) dias corridos a contar do seu requerimento	LGPD, art. 19, II
Os demais direitos do art. 18	quinze (15) dias corridos	Cláusula 15.3 do Anexo II da Resolução CD/ANPD nº 19/2024

Os quinze dias são corridos e não úteis: nem o art. 19, II nem a Cláusula 15.3 dizem «úteis», e a própria Resolução nº 15/2024 diz quando quer dizer.

Há uma assimetria que preferimos lhe contar em vez de esconder: o único prazo que a lei fixa é o do acesso. Para os demais direitos, o art. 18 § 5º remete a regulamento, e na data deste anexo não encontramos esse regulamento publicado. Os quinze dias que aplicamos a todos os direitos saem do contrato que a própria ANPD redigiu —a Cláusula 15.3 das suas cláusulas-padrão—, e não da lei, e por isso podemos prometê-los sem inventar nada.

Se o pedido chegar a nós e o controlador for o seu escritório. O art. 18 § 3º permite dirigir o pedido a qualquer agente de tratamento, operador incluído. Quando isso acontece, o art. 18 § 4º, I nos dá a saída exata e nós a usamos: respondemos que não somos o agente que decide sobre esses dados, indicamos qual é —o escritório— e encaminhamos o pedido a ele de imediato, para que possa lhe responder no prazo. É o que manda também a Cláusula 15.4 do Anexo II.

Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante aos titulares, nós avisamos.

O relógio brasileiro é curto e é preciso dizê-lo em horas. O art. 6º da Resolução CD/ANPD nº 15, de 24 de abril de 2024, dá ao controlador três (3) dias úteis para comunicar o incidente à ANPD, contados de quando ele sabe que o incidente afetou dados pessoais, e o art. 9º lhe dá o mesmo prazo para comunicá-lo aos titulares. Esse prazo é do controlador —o seu escritório, quanto aos dados que carrega—. O nosso papel é avisá-lo muito antes de esse prazo começar a apertar, com a informação de que você precisa para cumpri-lo, e poder provar quando avisamos. O nosso compromisso é entrar em contato com você dentro de vinte e quatro (24) horas de sabermos que um incidente afetou dados pessoais do seu escritório.

No Brasil um incidente sobre dados de um escritório é sempre comunicável, e isso não se discute caso a caso: o art. 5º, V dessa resolução declara relevantes os incidentes que envolvem «dados protegidos por sigilo legal, judicial ou profissional», que é exatamente o que um processo contém. O art. 7º, II da Lei nº 8.906/1994 cobre com inviolabilidade os instrumentos de trabalho e a correspondência eletrônica do advogado, e o seu art. 34, VII faz da quebra do sigilo profissional uma infração disciplinar.

O que a comunicação leva. O art. 6º § 2º fixa o seu conteúdo, e um dos seus incisos nos nomeia: o inciso X pede «a identificação do operador, quando aplicável». É ali que aparecemos, e lhe damos por escrito o que você precisa para preenchê-lo. O § 3º permite completar a informação em vinte (20) dias úteis a contar da comunicação, e o art. 9º § 3º manda que, quando a comunicação individual aos titulares for inviável, a divulgação pública dure ao menos três meses.

O registro de incidentes é nosso e dura cinco anos. O art. 10 da mesma resolução manda conservar o registro do incidente pelo prazo mínimo de cinco anos, e inclui expressamente os incidentes que não foram comunicados. A Cláusula 16.2 do Anexo II põe esse dever a cargo do importador, ou seja, a nosso cargo, e nós o cumprimos.

Operar o Serviço supõe transmitir os seus dados para fora do território brasileiro.

A via é a do art. 33, II, b) da LGPD: as cláusulas-padrão contratuais que a ANPD aprovou no Anexo II da Resolução CD/ANPD nº 19, de 23 de agosto de 2024, que assinamos com o seu escritório no contrato de operador. Esse modelo é adotado íntegro e sem alteração: o art. 16 dessa resolução diz que a validade da transferência «pressupõe a adoção integral e sem alteração do texto disponibilizado no Anexo II», e o seu § 2º proíbe que qualquer outra cláusula dos nossos contratos o exclua, modifique ou contrarie «direta ou indiretamente».

Por que não a via do país adequado. O art. 33, I permite transferir a países com nível de proteção adequado, e essa adequação é declarada pela ANPD por Resolução publicada no seu sítio (art. 13 do Regulamento). Procuramos essa publicação e a única que existe não alcança a Colômbia: a ANPD reconheceu a União Europeia como organismo internacional adequado pela Resolução nº 32, de 26 de janeiro de 2026, e o seu próprio sítio diz que atualizará a lista «conforme outras decisões como essa forem emitidas». Nenhum país americano está nela. De modo que essa via não está disponível para esta transferência e, ainda que surgisse, o contrato assinado continuaria de pé: uma adequação se revoga, e um contrato não.

E por que também não a via do inciso IX. O art. 33, IX permite a transferência «quando necessário para atender as hipóteses previstas nos incisos II, V e VI do art. 7º», e o inciso VI é justamente o exercício regular de direitos em processo judicial. Lido sozinho, pareceria que uma plataforma como esta pode transferir sem contrato nenhum. Não é assim: o art. 9º do Regulamento exige as duas coisas ao mesmo tempo —uma hipótese legal do art. 7º e um mecanismo válido de transferência—, e quem usa o inciso IX como substituto do contrato está lendo metade da norma.

O que esse contrato nos obriga a fazer, e que este anexo diz porque afeta você:

• O foro é brasileiro. A Cláusula 24.1 submete qualquer controvérsia aos tribunais competentes do Brasil, e a 24.2 permite ao titular nos acionar perante o tribunal da sua própria residência. A Cláusula 24.3 só admite arbitragem realizada no Brasil.
• Se uma autoridade nos pedir acesso aos seus dados, nós avisamos. A Cláusula 19.1 nos obriga a notificar você e o titular, salvo se a lei do país de tratamento vedar a notificação; e a 19.2 nos obriga a adotar medidas legais, ações judiciais incluídas, quando houver fundamento para questionar a legalidade do pedido. Mantemos ainda o registro desses pedidos que a Cláusula 19.3 exige, com a data, o solicitante, a finalidade, o tipo de dados, quantas vezes chegou e o que fizemos.
• Respondemos pelos nossos suboperadores como se fôssemos nós. A Cláusula 18.2, c) nos torna «responsável por eventuais irregularidades praticadas pelo terceiro destinatário», e a 18.2, b) nos obriga a garantir por instrumento contratual escrito que as salvaguardas os alcançam. A lista de quem são, com a sua função e a jurisdição em que os dados ficam, viaja anexa ao contrato de operador cada vez que ele é aceito.
• Tudo o que se disponibiliza ao titular vai em português. Quem manda é a Cláusula 14.4. Por isso o contrato de operador tem o seu texto oficial em português, e as versões em espanhol e em inglês são traduções de cortesia.

Ao terminar a relação com um escritório, avisamos o seu titular em sessenta (60) dias e eliminamos os seus dados em noventa (90); os trinta dias de diferença são a margem para voltar.

Essas duas janelas são política da plataforma, e a lei brasileira não as contradiz: o art. 16 da LGPD manda eliminar os dados pessoais após o término do seu tratamento e autoriza conservá-los —entre outras coisas— para o cumprimento de obrigação legal ou regulatória pelo controlador. A Cláusula 20 do Anexo II repete as quatro exceções taxativas.

O que sobrevive à eliminação, e por quê:

• A prova da sua autorização e do tratamento —o registro de consentimentos e a trilha de auditoria—, porque o art. 37 obriga o controlador e o operador a manter registro das operações de tratamento que realizarem, e porque sobre o controlador pesa o ônus de provar que obteve o consentimento (art. 8º § 2º).
• Os registros de acesso à aplicação, que o art. 15 do Marco Civil da Internet (Lei nº 12.965/2014) obriga a guardar sob sigilo, em ambiente controlado e de segurança, pelo prazo de seis (6) meses. Convém não lê-lo invertido: é um mínimo de guarda, não um prazo para apagar. E o seu § 3º diz o que de fato importa: esses registros são entregues somente por ordem judicial. Invocamos esse artigo diretamente, e não a exceção de «cumprimento de obrigação legal» do contrato de operador, porque aquela obrigação é do controlador e esta é nossa.
• O registro de incidentes de segurança, incluídos os que não foram comunicados, pelo mínimo de cinco (5) anos do art. 10 da Resolução CD/ANPD nº 15/2024.
• O registro das Solicitações de Acesso de autoridade da Cláusula 19.3 do Anexo II. A norma não lhe fixa prazo e a ANPD ou o seu escritório podem pedi-lo a qualquer momento, de modo que o conservamos e não lhe prometemos uma data de exclusão que a norma não dá.
• As solicitações de direitos do titular e a sua resolução, que são a prova de tê-las atendido dentro dos quinze dias do art. 19, II.
• O rastro de faturamento, que é dado do seu escritório como nosso cliente e não dado tratado por sua conta: nós o conservamos enquanto for necessário para a relação e para poder prová-la. Não lhe prometemos um prazo, e agora sabemos por que não podemos: o Código Tributário Nacional não foi lido em fonte oficial, e o prazo brasileiro que lemos —os cinco anos do art. 206, § 5º do Código Civil para a pretensão de honorários dos profissionais liberais— é um prazo do seu escritório perante os seus clientes, e não nosso perante você. Escrevê-lo aqui como se fosse o nosso seria lhe citar uma norma que não rege esta relação.

Não anonimizamos a trilha de auditoria em prazo fixo, e isso é uma afirmação e não um esquecimento: nenhuma norma brasileira lida fixa quanto vive o dado pessoal de uma linha de auditoria. Os seis meses do Marco Civil são o contrário —um piso de guarda— e os cinco anos da Resolução nº 15/2024 são do registro de incidentes. Escrever uma janela sem norma seria inventá-la.