POLÍTICA DE PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS

A EXPRESS CERTIFICAÇÃO DIGITAL LTDA. (“EXPRESS”) estabelece a presente Política de Privacidade e Proteção de Dados Pessoais com o objetivo de informar, de forma clara e transparente, como são tratados os dados pessoais relacionados aos seus produtos, serviços, canais de atendimento e, especialmente, aos procedimentos de identificação e certificação digital realizados no âmbito da Infraestrutura de Chaves Públicas Brasileira – ICP-Brasil.

Esta Política observa a Lei nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais (“LGPD”), a Medida Provisória nº 2.200-2/2001, as normas expedidas pelo Comitê Gestor da ICP-Brasil, pelo Instituto Nacional de Tecnologia da Informação – ITI, pela Autoridade Nacional de Proteção de Dados – ANPD e demais normas legais e regulamentares aplicáveis.

Esta Política aplica-se aos dados pessoais tratados pela EXPRESS em seus processos de certificação digital, atendimento, suporte, sistemas, plataformas, canais eletrônicos e demais atividades relacionadas aos serviços oferecidos.

1. CERTIFICAÇÃO DIGITAL E PROCESSO DE IDENTIFICAÇÃO

O certificado digital ICP-Brasil constitui uma identidade digital destinada à identificação segura de pessoas físicas, pessoas jurídicas, sistemas, aplicações ou equipamentos em ambiente eletrônico e, conforme sua finalidade, à realização de assinaturas eletrônicas qualificadas.

A emissão de certificado digital está condicionada à realização de processo de confirmação da identidade do requerente, conforme as normas da ICP-Brasil.

A EXPRESS, quando atuar como Autoridade de Registro – AR ou ponto de atendimento vinculado a uma Autoridade de Registro e respectiva Autoridade Certificadora – AC, participa do processo regulamentado de identificação e cadastramento do requerente.

Esse procedimento não corresponde apenas a uma coleta cadastral de natureza comercial. Trata-se de processo regulamentado de comprovação da identidade civil do requerente, destinado a assegurar que a pessoa que solicita o certificado digital corresponde efetivamente à identidade apresentada.

Para essa finalidade poderão ser exigidos documentos oficiais, dados cadastrais, informações biográficas, fotografia, biometria facial, impressões digitais e demais elementos determinados pelas normas da ICP-Brasil.

2. PROCEDIMENTOS DE CONFIRMAÇÃO DA IDENTIDADE

Conforme a modalidade de atendimento e as normas aplicáveis, o processo de identificação poderá compreender:

• apresentação e verificação de documentos oficiais de identificação;
• consulta e validação do CPF;
• validação das informações constantes nos documentos apresentados;
• coleta de fotografia e biometria facial;
• coleta e verificação de impressões digitais, quando aplicável;
• realização de prova de vida ou mecanismos de detecção de presença real;
• comparação biométrica com registros existentes;
• validação de documentos por QR Code, chip, NFC, MRZ ou outros mecanismos tecnológicos, quando existentes;
• consulta a bases oficiais de identificação civil;
• consulta a bases relacionadas à prevenção de fraudes;
• consulta à Lista Negativa das Autoridades Certificadoras;
• validação das informações relativas à pessoa jurídica, quando o certificado solicitado estiver relacionado a uma organização;
• assinatura ou confirmação do Termo de Titularidade; e
• demais procedimentos exigidos pela regulamentação da ICP-Brasil.

A quantidade e a natureza dos dados coletados poderão variar conforme o tipo de certificado, modalidade de atendimento, documentos apresentados, existência de biometria previamente cadastrada e requisitos regulatórios vigentes.

3. DADOS BIOMÉTRICOS

A identificação biométrica constitui parte integrante dos mecanismos de segurança utilizados no âmbito da ICP-Brasil.

Nos atendimentos presenciais poderão ser coletadas e verificadas, conforme a regulamentação vigente, a biometria facial e as impressões digitais do requerente.

Nos atendimentos por videoconferência ou demais modalidades eletrônicas admitidas pela ICP-Brasil, poderá ser exigida, no mínimo, a biometria facial, sem prejuízo de outros mecanismos de autenticação, segurança ou validação.

Poderão ser utilizados mecanismos de prova de vida destinados a verificar que a biometria apresentada pertence a uma pessoa real presente no momento do procedimento, contribuindo para a prevenção de fraudes e utilização indevida de identidade.

Os dados biométricos são classificados pela LGPD como dados pessoais sensíveis e serão tratados exclusivamente nas hipóteses legalmente permitidas e para finalidades relacionadas à identificação, autenticação, segurança, prevenção de fraude e cumprimento das obrigações regulatórias da ICP-Brasil.

4. VALIDAÇÃO EM BASES OFICIAIS

Para confirmação da identidade do requerente, os dados cadastrais, biográficos, documentais e biométricos poderão ser consultados, transmitidos, verificados ou confrontados com bases e sistemas oficiais autorizados pela regulamentação da ICP-Brasil.

Entre essas bases e sistemas poderão estar, conforme aplicável e permitido pela regulamentação vigente:

• bases relacionadas à Carteira de Identidade Nacional – CIN;
• Identificação Civil Nacional – ICN;
• bases eleitorais ou de identificação mantidas pelos órgãos competentes;
• base da Carteira Nacional de Habilitação – CNH;
• sistemas da Secretaria Nacional de Trânsito – Senatran;
• serviços de validação de dados cadastrais e biométricos, como o Datavalid;
• bases da Receita Federal do Brasil para validação de CPF, CNPJ, situação cadastral e informações correlatas;
• Infraestrutura Pública Digital de Identificação Civil;
• sistemas biométricos integrantes ou credenciados no âmbito da ICP-Brasil;
• bases mantidas pelas Autoridades Certificadoras e Prestadores de Serviço Biométrico – PSBio;
• Lista Negativa das Autoridades Certificadoras; e
• outros sistemas, aplicações, barramentos ou bases oficiais admitidos pelas normas da ICP-Brasil.

Essas consultas têm por finalidade comprovar a autenticidade das informações apresentadas, confirmar que a pessoa submetida ao processo corresponde à identidade declarada, prevenir fraudes, detectar divergências cadastrais ou biométricas e assegurar a integridade do processo de emissão do certificado digital.

A relação das bases utilizadas poderá ser alterada em razão de atualizações legais, regulatórias ou tecnológicas da ICP-Brasil.

5. COMPARTILHAMENTO DE DADOS NO ÂMBITO DA ICP-BRASIL

Em razão da estrutura operacional da certificação digital, os dados coletados durante o procedimento poderão ser transmitidos ou compartilhados, na medida necessária, entre as entidades participantes do processo de certificação.

Conforme o caso, isso poderá incluir:

• Autoridade de Registro – AR;
• Autoridade Certificadora – AC;
• Autoridade Certificadora Raiz da ICP-Brasil;
• Instituto Nacional de Tecnologia da Informação – ITI;
• Prestadores de Serviço Biométrico – PSBio;
• Prestadores de Serviço de Suporte – PSS;
• prestadores tecnológicos envolvidos na identificação e certificação;
• órgãos e entidades responsáveis por bases oficiais utilizadas para validação;
• Receita Federal do Brasil;
• Senatran;
• órgãos de identificação civil;
• Tribunal Superior Eleitoral, quando aplicável;
• Secretaria de Governo Digital e demais entidades responsáveis por bases oficiais admitidas; e
• autoridades públicas quando houver obrigação legal ou regulatória.

Esse compartilhamento não possui finalidade de comercialização dos dados pessoais.

Ele ocorre quando necessário à identificação do requerente, validação dos documentos, confronto biométrico, emissão ou revogação do certificado, prevenção de fraude, auditoria, fiscalização, cumprimento de obrigações regulatórias ou demais finalidades legítimas vinculadas à ICP-Brasil.

6. DADOS QUE PODEM SER TRATADOS

De acordo com o serviço solicitado, poderão ser tratados:

Dados cadastrais e biográficos

Nome, CPF, data de nascimento, filiação, nacionalidade, endereço, telefone, e-mail e demais informações necessárias à identificação.

Documentos de identificação

Carteira de Identidade Nacional – CIN, Registro Geral – RG ou outro documento de identidade admitido pela regulamentação, CNH, documentos de estrangeiros, passaporte e outros documentos oficiais legalmente admitidos.

Dados biométricos

Fotografia facial, biometria facial, impressões digitais e respectivos resultados de verificação.

Dados de pessoa jurídica

CNPJ, razão social, nome empresarial, atos constitutivos, alterações contratuais, informações de representantes legais, procurações e demais documentos necessários à comprovação da existência e representação da organização.

Dados profissionais

Profissão, registro profissional e informações correlatas, quando necessárias à emissão de certificado específico.

Dados do processo de certificação

Número da solicitação, informações do certificado, Termo de Titularidade, registros de validação, resultados de consultas, logs, trilhas de auditoria e demais evidências produzidas durante o procedimento.

Dados de videoconferência

Quando a modalidade utilizada exigir videoconferência, poderão ser tratados imagem, áudio, vídeo, documentos apresentados durante a sessão e demais registros exigidos pela regulamentação aplicável.

Dados técnicos

Endereço IP, data e horário de acesso, dispositivo, navegador, registros de sistema, logs de segurança e informações necessárias à rastreabilidade das operações.

7. FINALIDADES DO TRATAMENTO

Os dados pessoais poderão ser tratados para:

• confirmar a identidade civil do requerente;
• verificar a autenticidade dos documentos apresentados;
• realizar confronto biométrico facial ou digital;
• confirmar que o requerente corresponde à identidade declarada;
• prevenir falsidade ideológica, fraude e uso indevido de identidade;
• realizar consultas em bases oficiais;
• verificar CPF, CNPJ e demais situações cadastrais pertinentes;
• identificar divergências biométricas, documentais ou cadastrais;
• processar solicitações de certificados digitais;
• emitir, disponibilizar, renovar ou revogar certificados;
• formar e manter o dossiê eletrônico do titular;
• cumprir exigências de auditoria e fiscalização;
• prestar suporte relacionado ao certificado digital;
• atender determinações do ITI, da Autoridade Certificadora ou de autoridades competentes;
• cumprir obrigações legais e regulatórias;
• exercer regularmente direitos;
• proteger a segurança dos sistemas e dos titulares; e
• manter registros e evidências exigidos pelas normas da ICP-Brasil.
  
  

8. BASES LEGAIS PARA O TRATAMENTO

Grande parte do tratamento de dados realizado durante o processo de certificação digital decorre do cumprimento de obrigações legais e regulatórias relacionadas à ICP-Brasil.

Conforme a situação, poderão ser utilizadas as seguintes bases legais previstas na LGPD:

• cumprimento de obrigação legal ou regulatória;
• execução de contrato ou de procedimentos preliminares relacionados a contrato;
• exercício regular de direitos;
• prevenção à fraude e segurança do titular nos processos de identificação e autenticação;
• legítimo interesse, quando juridicamente aplicável;
• consentimento, quando efetivamente necessário; e
• demais hipóteses previstas na LGPD.

O tratamento de dados biométricos e demais dados pessoais sensíveis observará especificamente as hipóteses previstas no artigo 11 da LGPD.

Quando o tratamento decorrer diretamente de obrigação legal ou regulatória ou for necessário à prevenção de fraude e à segurança do processo de identificação, sua realização poderá ocorrer independentemente de consentimento.

A retirada ou revogação de eventual consentimento não afeta os tratamentos realizados com fundamento em outras bases legais nem autoriza a eliminação de dados cuja conservação seja obrigatória.

9. DOSSIÊ DO TITULAR E REGISTROS DO PROCESSO

A regulamentação da ICP-Brasil exige a formação e conservação de registros destinados a comprovar a regularidade do procedimento de identificação e emissão do certificado.

O dossiê do titular poderá conter, conforme aplicável:

• dados biográficos e biométricos;
• cópias dos documentos apresentados;
• resultados das consultas de verificação e validação;
• registros dos confrontos biométricos;
• gravação da videoconferência, quando utilizada;
• Termo de Titularidade;
• registros relacionados à emissão ou revogação;
• logs e trilhas de auditoria; e
• demais evidências exigidas pela regulamentação.

Esses registros poderão ser encaminhados, armazenados ou mantidos pela Autoridade Certificadora à qual a Autoridade de Registro estiver vinculada, conforme as regras aplicáveis da ICP-Brasil.

10. PRAZO DE CONSERVAÇÃO

Os dados pessoais relacionados ao processo de certificação digital não serão necessariamente eliminados após a emissão, vencimento, revogação ou encerramento da relação comercial.

Determinados registros devem ser conservados pelos períodos estabelecidos na regulamentação da ICP-Brasil, para fins de segurança, auditoria, fiscalização, comprovação da identidade do titular e exercício regular de direitos.

Os dossiês dos titulares deverão ser mantidos pelo período mínimo previsto nas normas da ICP-Brasil, sem prejuízo da aplicação de prazos superiores quando exigidos para determinados registros.

Logs de transações biométricas, registros de auditoria e demais evidências também estarão sujeitos aos prazos de retenção previstos na regulamentação aplicável.

Determinados certificados e registros relacionados à validade e ao histórico da certificação poderão permanecer preservados para fins de consulta, comprovação e segurança jurídica.

Consequentemente, eventual solicitação de eliminação de dados não poderá ser atendida quando houver obrigação legal ou regulatória de conservação ou outra hipótese legítima prevista na LGPD.

11. DIVERGÊNCIAS E SUSPEITAS DE FRAUDE

Durante o processo de identificação poderá ocorrer resultado negativo, inconclusivo ou divergente em consultas documentais, cadastrais ou biométricas.

Nessas situações poderão ser realizadas verificações adicionais, solicitados novos documentos ou adotados outros procedimentos admitidos pela regulamentação da ICP-Brasil.

A constatação de divergência biométrica ou cadastral não significa, isoladamente, ocorrência de fraude, podendo decorrer de atualização documental, qualidade da imagem, alteração física, ausência de dados suficientes na base consultada ou outras situações técnicas.

Quando houver indícios efetivos de fraude ou tentativa de utilização indevida de identidade, a emissão poderá ser recusada e os registros pertinentes poderão ser tratados ou comunicados às entidades competentes, conforme a regulamentação e a legislação aplicáveis.

12. COMPARTILHAMENTO COM PRESTADORES DE SERVIÇO

Além dos compartilhamentos necessários ao funcionamento da ICP-Brasil, determinados dados poderão ser tratados por fornecedores que prestem serviços necessários às atividades da EXPRESS, tais como:

• hospedagem e infraestrutura tecnológica;
• sistemas de atendimento;
• armazenamento de informações;
• meios de pagamento;
• segurança da informação;
• telecomunicações;
• suporte técnico; e
• serviços administrativos ou profissionais.

O acesso será limitado ao necessário para a execução da respectiva atividade, observados os deveres de confidencialidade, segurança e proteção de dados.

A EXPRESS não comercializa bancos de dados pessoais.

13. DIREITOS DOS TITULARES

O titular poderá exercer os direitos previstos na LGPD, incluindo, quando aplicáveis:

• confirmação da existência de tratamento;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• informação sobre compartilhamentos;
• anonimização, bloqueio ou eliminação de dados tratados em desconformidade com a legislação;
• portabilidade, quando aplicável;
• revogação do consentimento, quando esta for a base legal utilizada; e
• demais direitos assegurados pela legislação.

Determinados pedidos poderão ser limitados quando os dados devam permanecer armazenados para cumprimento de obrigação legal ou regulatória da ICP-Brasil, exercício regular de direitos, prevenção de fraude ou outras hipóteses previstas na LGPD.

A correção de dados também poderá estar sujeita aos procedimentos específicos da ICP-Brasil quando relacionada a informações que integrem certificado já emitido ou registros oficiais.

14. SEGURANÇA DA INFORMAÇÃO

Em razão da sensibilidade das informações utilizadas no processo de certificação digital, serão adotadas medidas técnicas, administrativas e organizacionais destinadas a preservar a confidencialidade, integridade, disponibilidade e rastreabilidade dos dados tratados.

O acesso aos sistemas, documentos e dossiês deverá ser restrito a pessoas autorizadas e compatível com suas atribuições.

As transmissões realizadas entre Autoridades de Registro, Autoridades Certificadoras e demais participantes do processo deverão utilizar mecanismos de segurança compatíveis com os requisitos estabelecidos pela ICP-Brasil.

15. INCIDENTES DE SEGURANÇA

Na ocorrência de incidente de segurança envolvendo dados pessoais, serão adotadas as providências previstas na LGPD, na regulamentação da ANPD e nas normas aplicáveis à ICP-Brasil.

Quando presentes os requisitos legais ou regulatórios, poderão ser realizadas comunicações à Autoridade Nacional de Proteção de Dados, aos titulares afetados, à Autoridade Certificadora, ao ITI ou a outras autoridades competentes.

16. DADOS DE CRIANÇAS E ADOLESCENTES

Quando houver tratamento de dados pessoais de crianças ou adolescentes, serão observadas as disposições da LGPD e demais normas aplicáveis, considerando sempre seu melhor interesse.

Quando legalmente exigida, será necessária a participação ou autorização do responsável legal.

17. COOKIES E DADOS DE NAVEGAÇÃO

Os ambientes digitais da EXPRESS poderão utilizar cookies e tecnologias semelhantes necessários ao funcionamento, segurança, autenticação, prevenção de fraudes, armazenamento de preferências e análise do funcionamento dos sistemas.

Quando determinada categoria de cookie depender de consentimento, serão disponibilizados mecanismos adequados para gerenciamento das preferências do usuário.

18. TRANSFERÊNCIA INTERNACIONAL DE DADOS

Caso prestadores tecnológicos utilizados pela EXPRESS realizem armazenamento ou processamento de dados fora do território nacional, serão observados os requisitos e mecanismos de transferência internacional admitidos pela LGPD e pela regulamentação da Autoridade Nacional de Proteção de Dados.

Os dados relacionados aos procedimentos regulamentados da ICP-Brasil permanecerão também sujeitos aos requisitos específicos de segurança, guarda, armazenamento e rastreabilidade previstos na regulamentação aplicável.

19. ATUALIZAÇÕES DESTA POLÍTICA

Esta Política poderá ser atualizada em decorrência de alterações legislativas, regulatórias, tecnológicas ou operacionais, inclusive modificações promovidas pelo Comitê Gestor da ICP-Brasil, pelo Instituto Nacional de Tecnologia da Informação – ITI, pela Autoridade Nacional de Proteção de Dados – ANPD ou por outras autoridades competentes.

A versão vigente permanecerá disponibilizada nos canais oficiais da EXPRESS.

Quando necessário, alterações relevantes poderão ser comunicadas aos titulares por meio adequado.

20. DISPOSIÇÕES FINAIS

O tratamento de dados realizado no processo de certificação digital possui características específicas decorrentes da necessidade de identificação segura do requerente e das obrigações impostas às entidades participantes da ICP-Brasil.

Por esse motivo, determinadas informações pessoais, documentos, dados biométricos, registros de atendimento e evidências de identificação poderão ser coletados, consultados, confrontados, compartilhados e conservados independentemente de consentimento quando essas operações forem necessárias ao cumprimento de obrigação legal ou regulatória, à prevenção de fraude, à segurança do processo de identificação ou a outras hipóteses legalmente admitidas.

A EXPRESS limitará o tratamento dos dados às finalidades legítimas, específicas e necessárias ao desenvolvimento de suas atividades, observando os princípios da finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização previstos na LGPD.

Nenhuma disposição desta Política deverá ser interpretada como exclusão, renúncia ou limitação dos direitos assegurados aos titulares pela legislação aplicável.

Em caso de divergência entre esta Política e disposição legal ou regulamentar obrigatória, prevalecerá a legislação e a regulamentação vigente.

Última atualização: 30/09/2026