Política de retenção e destruição de dados biométricos

Última atualização: 12 de outubro de 2026

Este é o cronograma escrito de retenção e destruição de dados biométricos a que nossa Política de Privacidade se refere. Aplica-se a todas as pessoas que iniciam a verificação facial de prova de vida no Serviço, onde quer que estejam. O Serviço é o aplicativo e o site da República Mundial, incluindo o mesmo aplicativo quando é oferecido sob o nome Raised by Humanity. A Seção 1 da Política de Privacidade estabelece quais sites o Serviço abrange, e esta política usa esse mesmo significado. Esta política é publicada para que você possa exigir que a cumpramos e para que sejam atendidas as leis que exigem um cronograma público desse tipo.

1. O que esta política abrange

A verificação facial — a verificação facial de prova de vida descrita na Seção 4 da Política de Privacidade — gera dois tipos de dados biométricos, ambos mantidos pela Amazon Web Services (AWS) na região UE (Irlanda) em nosso nome:

Uma imagem facial de referência da sua sessão de verificação facial, armazenada no Amazon S3.
Um vetor facial (modelo) derivado dessa imagem, armazenado em uma coleção do Amazon Rekognition e vinculado à sua conta. É a coleção que nos permite verificar que um mesmo rosto não seja usado para verificar uma segunda conta.

“Dados biométricos”, nesta política, significa as duas coisas, junto com os registros internos do nosso banco de dados que apontam para elas (os registros de sessão das suas verificações faciais).

Esta política não abrange o resultado de uma verificação. Se sua conta está verificada ou não, e o registro de que seu rosto coincidiu com outra conta e a verificação foi recusada (com qual conta e a pontuação de similaridade), são registros comuns da conta e são tratados conforme descrito na Política de Privacidade.

Os prazos desta política não se aplicam a um registro. O log de auditoria de segurança das nossas contas na nuvem registra a requisição que inclui seu rosto na coleção, e essa entrada anota onde ficam seus olhos, nariz e boca na imagem de referência e o ângulo da sua cabeça — nunca a imagem nem o modelo. Tratamos essas posições como dados biométricos. Essa entrada é mantida pelo prazo que a Seção 8 da Política de Privacidade fixa para o log de auditoria de segurança, prazo esse que pode ser maior que os prazos desta política, e destruir seus outros dados biométricos não a remove. Nunca usamos essas posições.

2. Quando os dados biométricos são destruídos

Mantemos os dados biométricos apenas enquanto forem necessários para verificar que você é uma pessoa única e fisicamente presente e para impedir contas duplicadas para votar. Eles são destruídos permanentemente no primeiro dos seguintes momentos:

Quando a conta é excluída. Isso abrange a exclusão que você faz no Serviço e o encerramento que nós mesmos fazemos, manualmente — nos termos dos Termos de Uso ou porque soubemos que o titular da conta é menor de 18 anos. O que muda entre os dois é como a destruição começa. A exclusão que você faz no Serviço a inicia automaticamente: ela destrói suas imagens de referência e seu vetor facial como parte da própria exclusão — de imediato ou, se uma eleição de teste em que você votou encerrar nos quatorze dias seguintes, quando essa eleição encerrar. Uma eleição que encerra mais de quatorze dias depois de você agir não adia a destruição de modo algum; o motivo está na Seção 4.5 da Política de Privacidade. O encerramento que fazemos manualmente não tem nenhuma tela no Serviço que o inicie, por isso nós mesmos registramos a destruição como devida, e isso pode fazer com que ela demore mais para começar. Depois que uma destruição é registrada como devida, ela é executada automaticamente e é repetida automaticamente todos os dias até ser concluída com êxito. Isso vale tanto para a exclusão que você faz quanto para o encerramento que nós fazemos. É também o que acontece se a destruição não puder ser concluída no momento em que você exclui sua conta: sua conta é excluída mesmo assim, e a destruição é registrada como devida.
Quando você retira seu consentimento ou nos pede para excluí-los. A retirada do seu consentimento no Serviço (a Seção 4.4 da Política de Privacidade diz onde) e uma solicitação enviada ao contato indicado na Política de Privacidade são tratadas da mesma forma que uma exclusão nos termos do item 1, com uma diferença: se uma destruição pendente ainda não tiver sido executada e você concluir uma nova verificação facial, a nova verificação é um novo consentimento e a destruição pendente é cancelada. Uma exclusão nunca é cancelada dessa forma.
Três anos após sua última interação com o Serviço. Três anos após a última interação que nossos registros mostram — um voto, um saque de WDD, uma tentativa de verificação, uma edição em um partido que você registrou ou uma sessão ainda aberta — um processo automático destrói seus dados biométricos e remove sua verificação. Fora isso, entrar e sair, por si só, não é registrado. As recompensas concedidas a você não contam como interação. Sua conta, seu saldo e seus votos anteriores não são afetados. Se você voltar, pode verificar novamente com uma nova verificação facial.
Quando a finalidade para a qual foram coletados é cumprida. Essa finalidade é verificar que você é uma pessoa única e fisicamente presente e impedir que o mesmo rosto verifique uma segunda conta. Ela dura enquanto a conta durar, porque o vetor facial é a única coisa capaz de perceber a abertura de uma segunda conta com o mesmo rosto. Quando a finalidade termina, os dados são destruídos.
Antes disso, se a lei exigir.

Não mantemos dados biométricos por mais de três anos após sua última interação, exceto a entrada do log de auditoria de segurança descrita na Seção 1.

Três anos é o mesmo prazo para todos, e algumas leis fixam um máximo menor. O Colorado exige que os dados biométricos sejam destruídos, no máximo, 24 meses após sua última interação. Não perguntamos onde você mora, então o processo automático descrito acima não pode aplicar um prazo menor a você por conta própria. Você não precisa esperar por esse processo. Você pode destruir seus dados biométricos a qualquer momento, sem excluir sua conta — a Seção 4.4 da Política de Privacidade diz onde fazer isso no Serviço — e pode nos pedir para destruí-los no endereço indicado na Seção 7.

3. Como funciona a destruição

Destruir significa excluir os dados, não marcá-los como não utilizados:

As imagens de referência são excluídas do Amazon S3, em todas as suas sessões de verificação facial.
O vetor facial é excluído da coleção do Amazon Rekognition, e a entrada da conta nessa coleção é removida junto com ele.
Os registros internos que apontavam para eles são excluídos do nosso banco de dados. A única exceção é o registro de que seu rosto coincidiu com outra conta e a verificação foi recusada (com qual conta e a pontuação de similaridade), que, se sua conta continuar aberta, é mantido como registro da conta, sem a referência à imagem; na exclusão da conta, ele é excluído junto com o resto.

Se alguma etapa falhar, a conta é sinalizada e o processo tenta novamente todos os dias. Uma verificação facial cujos dados tenham sido destruídos pelo cronograma de inatividade também perde sua verificação naquele mesmo momento, para que nenhuma conta possa votar com base em um rosto que a comparação de duplicidade não consegue mais enxergar.

Independentemente do cronograma acima, o mesmo processo diário remove todos os vetores faciais que não estão mais vinculados a uma conta, para que nada permaneça na coleção por acidente.

4. Imagens analisadas a pedido

Se seu rosto coincidir com outra conta, a verificação é recusada automaticamente e nenhuma pessoa vê as imagens. Você pode nos pedir que uma pessoa analise essa decisão; a Política de Privacidade explica como. Se você pedir, essa pessoa abre a imagem de referência da sua verificação e a que é mantida para a conta com que houve a coincidência — apenas quando as duas ainda existem, já que qualquer uma delas pode já ter sido destruída pelo cronograma acima. São as mesmas imagens de referência descritas acima, são destruídas pelo mesmo cronograma e nenhuma cópia é mantida depois que a pessoa as analisa.

5. Prestadores de serviços

A AWS armazena e processa dados biométricos em nosso nome e seguindo nossas instruções, conforme descrito na Política de Privacidade. Nossas sessões de verificação facial são configuradas para que a AWS não mantenha nenhuma imagem de auditoria delas.

Projetamos um encaminhamento a um segundo provedor, a Didit, para uma verificação de documento de identidade nos casos em que a verificação facial recusa alguém por engano. Esse encaminhamento não é oferecido. O Serviço não tem nenhuma tela que inicie esse tipo de verificação, e a requisição que iniciaria uma é sempre recusada. A Didit não mantém nenhum dado biométrico ou de identidade nosso. Como nenhuma verificação pode ser iniciada, não há nada na Didit que uma exclusão de conta possa alcançar nem nada na Didit sobre o que perguntar.

Se o encaminhamento vier a ser oferecido algum dia, a Política de Privacidade indicará as condições em que a Didit pode manter seus dados e deve excluí-los, e esta política indicará como o cronograma de destruição da Seção 2 se aplica a esses dados. Publicaremos as duas alterações antes que qualquer verificação desse tipo seja feita.

6. Alterações nesta política

Se alterarmos o prazo de retenção ou o método de destruição, publicaremos a alteração nesta página e atualizaremos a data de “Última atualização” acima antes que a alteração entre em vigor. Esta página é o único aviso que podemos dar: quando você entra na conta, não ficamos com seu e-mail, seu telefone nem seu endereço postal, um endereço que você deu em uma denúncia sobre um partido é usado para essa denúncia e para mais nada, e não há banner nem mensagem no Serviço — a Seção 13 da Política de Privacidade explica por quê. Um prazo de retenção menor pode ser aplicado de imediato. Um prazo de retenção maior não é aplicado aos dados que já mantemos até que a alteração tenha sido publicada nesta página por 30 dias.

Esta política é escrita em inglês, e nós a publicamos em outros idiomas. A versão que se aplica a você é a versão no idioma em que o Serviço a exibiu para você. Onde essa versão e o texto em inglês divergirem, vale o significado que for melhor para você.

7. Contato

Dúvidas sobre esta política e solicitações relativas aos seus dados biométricos devem ser enviadas ao endereço de contato indicado na Política de Privacidade.