Cumplimiento y Gobernanza de Datos

Filosofía de datos

En CPFHub.io, la seguridad de la información y la privacidad se tratan como interdependientes. La plataforma fue construida bajo el concepto de Privacy by Design, de modo que cada decisión técnica respete la integridad de los datos personales desde su concepción. No comercializamos listas de contactos ni operamos como data broker.

Estructura jurídica del tratamiento

CPFHub.io actúa en dos roles distintos conforme a la LGPD (la ley brasileña de protección de datos), arts. 5, 42 y 43:

CPFHub.io como Controladora

Respecto de los datos de registro, de facturación y de uso de la plataforma proporcionados directamente por los Clientes, CPFHub.io es la Controladora y determina las finalidades y los medios del tratamiento.

CPFHub.io como Operadora

Respecto de los datos personales de terceros procesados vía API, CPFHub.io actúa como Operadora, estrictamente por instrucción del Cliente. En ese contexto, el Cliente es el Controlador y asume la responsabilidad primaria por la legalidad de cada consulta frente a los titulares (LGPD, art. 42, §1).

Bases legales aplicables a las consultas vía API

La base legal de cada consulta la determina el Cliente según su finalidad. Las bases más frecuentes son:

• Interés Legítimo (art. 7, IX): prevención de fraudes y seguridad transaccional, cuando los intereses del controlador o del propio titular prevalecen sobre los riesgos para el titular.
• Prevención del fraude y seguridad (art. 11, II, “g”): autoriza el tratamiento de datos sin consentimiento cuando es indispensable para garantizar la seguridad del titular en procesos de identificación.
• Ejecución de contrato (art. 7, V): cuando la verificación de identidad es una etapa necesaria para formalizar una relación contractual con el titular.

Principio de necesidad y minimización (art. 6, III)

La API devuelve únicamente los datos biográficos estrictamente necesarios para confirmar la identidad, evitando la exposición innecesaria de información.

Cumplimiento de la Ley Felca (Ley 15.211/2025)

La Ley 15.211/2025 (“ECA Digital”, la ley brasileña de protección digital de niños y adolescentes) establece obligaciones de verificación de edad para las plataformas digitales que ofrecen contenidos o servicios inadecuados para menores. Cuando los Clientes utilizan la API de CPFHub.io para cumplir esas obligaciones, el Cliente sigue siendo responsable del cumplimiento de la ley y debe:

• implementar los mecanismos de control exigidos por la ANPD (la Autoridad Nacional de Protección de Datos de Brasil),
• obtener el consentimiento del responsable legal cuando sea necesario (LGPD, art. 14),
• documentar las medidas adoptadas a efectos de rendición de cuentas (accountability).

CPFHub.io proporciona la infraestructura de verificación. La decisión de permitir o bloquear el acceso del usuario final corresponde exclusivamente al Cliente.

Retención y transparencia

Los logs técnicos se conservan por 12 meses para la trazabilidad de incidentes, la corrección de errores y la auditoría de cumplimiento, en línea con los arts. 7, V y IX de la LGPD y el Marco Civil da Internet (Ley 12.965/2014, el marco civil de internet de Brasil). Transcurrido ese período, los datos se eliminan o se anonimizan de forma irreversible.

Medidas de seguridad

• Infraestructura 100% alojada en Brasil.
• Cifrado en tránsito (TLS 1.3) y en reposo (AES-256).
• Autenticación multifactor (MFA) y principio del mínimo privilegio.
• Aislamiento de las bases de logs técnicos respecto de las bases de producción.
• Revisiones periódicas de acceso y cumplimiento.

Canal de comunicación con el DPO

Conforme al art. 41 de la LGPD, CPFHub.io mantiene un canal directo para asuntos de privacidad y protección de datos. Puede comunicarse con el Encargado de Datos (DPO) por correo electrónico en dpo@cpfhub.io. Responderemos en el plazo legal de 15 días.