Esta é uma tradução. Se houver diferença em relação à versão em inglês, vale a versão em inglês, salvo se a lei do seu país dispuser de outra forma.
Versão 2026-11-03. Por quanto tempo o Zoi ID guarda cada tipo de dado, e por quê. A exclusão roda automaticamente todos os dias. "Decisão" significa o resultado final de uma verificação (aprovada, não aprovada, vencida ou cancelada).
| Dados | Guardados até | Por quê |
|---|---|---|
| Verificação nunca enviada | 7 dias após o início | a pessoa pode voltar para terminar |
| Verificação enviada mas nunca decidida | 60 dias, depois vence | análises não devem ficar abertas para sempre |
| Fotos do documento, vídeos de captura do documento, arquivos do chip, vídeo do rosto e quadros, comprovantes de endereço e documentos sobre a origem dos recursos, e imagens das suas páginas | 90 dias após a decisão | tratar dúvidas e recursos, detectar fraudes |
| Os mesmos, para uma pessoa abaixo da idade mínima | 24 horas | não devemos guardar dados de menores |
| Os mesmos, após a retirada do consentimento ou a exclusão da conta | na hora (em até 24 horas) | a escolha da pessoa |
| Modelos faciais | nunca guardados (segundos, na memória) | não são necessários após a comparação |
| O que foi lido de um comprovante de endereço, sua assinatura e as verificações do arquivo, um código oficial impresso nele, o endereço que a pessoa confirmou, e o fuso horário e o idioma do dispositivo | 90 dias após a decisão; na hora em caso de retirada do consentimento, exclusão da conta ou cancelamento | tratar dúvidas e recursos, detectar fraudes |
| Origem dos recursos e do patrimônio na verificação: as respostas do usuário, o que foi lido dos documentos (tipo, data, emissor, nome, empregador, valor principal e moeda), as verificações da assinatura e do arquivo e a decisão do analista sobre cada documento | 90 dias após a decisão; imediatamente na retirada do consentimento, na exclusão da conta ou no cancelamento | tratar dúvidas e recursos, detectar fraudes |
| Dados de identidade (nome, data de nascimento, nacionalidade, número e validade do documento, endereço e como foi comprovado: método, tipo de documento e data) | enquanto a conta da pessoa no app existir, no máximo 5 anos após a última verificação | provar a verificação e manter uma conta por pessoa |
| Resumo da origem dos recursos guardado com a identidade (as respostas, o tipo, a data, o emissor, o valor principal e a moeda de cada documento aceito, e o nível de evidência) | como os dados de identidade: enquanto a conta do usuário no app existir, no máximo 5 anos após a última verificação; imediatamente na retirada do consentimento ou na exclusão da conta | dar à equipe de compliance do app o resultado das suas verificações, e mostrar ao usuário suas respostas anteriores quando o mesmo app pergunta de novo |
| Impressões digitais com chave do documento e da identidade, e dos arquivos de comprovante de endereço e de origem dos recursos e suas assinaturas (HMAC; não podem ser revertidas) | 5 anos após a última verificação | impedir contas duplicadas e fraudulentas |
| Decisões e resultados das verificações (sem nomes nem imagens) | 5 anos após a última verificação | provar o que foi decidido e por quê |
| Rótulos de fraude após uma decisão (status como fraude denunciada, suspeita ou confirmada, ou verificado e sem problema; categoria; quem o deu) e resultados da segunda análise, sem nomes nem imagens | 5 anos após a última verificação; observações em texto livre são apagadas junto com as fotos (90 dias após a decisão, na hora em caso de retirada do consentimento ou exclusão da conta) | medir com que frequência as verificações deixam passar fraudes, e melhorá-las |
| Registros de consulta a sanções e a pessoas politicamente expostas | 10 anos | guarda de registros de sanções dos Estados Unidos (31 CFR 501.601) |
| Impressões com chave do endereço IP e do identificador do dispositivo (HMAC; irreversíveis) e o tipo de rede (data center, VPN, Tor) | 90 dias após a etapa | prevenção de fraudes (muitas tentativas a partir de um mesmo dispositivo ou rede) |
| Impressões (SHA-256) das fotos e dos vídeos enviados | 90 dias após o envio; imediatamente em caso de retirada do consentimento ou exclusão da conta | detectar o mesmo arquivo enviado de novo em outra verificação |
| Partes de uma foto ou de um vídeo que ainda está sendo enviado (criptografadas; guardadas só para que uma conexão interrompida possa continuar de onde parou) | até a verificação usar o arquivo, o envio ser cancelado, ou a verificação ser enviada, encerrada ou excluída; no máximo 2 horas depois do início do envio | concluir envios em redes móveis lentas ou instáveis |
| A parte pública da chave de segurança que o app cria para a verificação do dispositivo, e o resultado dessa verificação | Android: 6 horas; iPhone: até ficar 400 dias sem uso (não vinculada a uma pessoa) | provar que as fotos e os vídeos vêm do app autêntico |
| Registro de acessos dos analistas (quem abriu o quê e quando) | 10 anos | segurança e prestação de contas |
| Registros de consentimento (horário, versão, idioma, escolhas) | pelo mesmo tempo que os dados relacionados, no mínimo 5 anos | provar o consentimento |
| Backups criptografados | 30 dias, depois sobrescritos | recuperação de falhas |
| Sessões do modo de teste (sandbox) e tudo o que está ligado a elas | 7 dias após a criação; fotos e vídeos nunca são guardados | parceiros testando a integração |
| Contas do painel de parceiros (e-mail, nome, função, chaves de acesso, segredo do aplicativo autenticador) | até a conta ser excluída | operação da conta |
| Links de login do painel, desafios das chaves de acesso e sessões | 1 dia após expirarem ou serem usados | segurança |
| Registro de auditoria do painel (quem alterou chaves, configurações, membros e contratos, e quem abriu um documento sobre a origem dos recursos) | 10 anos | segurança e prestação de contas |
Retenção legal. Uma ordem judicial, um pedido de uma autoridade ou uma ação judicial em andamento pode suspender a exclusão apenas para os dados que abrange, e apenas enquanto durar.
Restaurações. Se algum dia restaurarmos um backup, todas as exclusões feitas desde esse backup são aplicadas de novo antes de o serviço voltar a funcionar.
Comprovante de endereço. O app que pediu o comprovante de endereço recebe o resultado, não o documento. Ele guarda os próprios registros pelo prazo que sua lei define (muitas vezes 5 anos após o fim da relação com o cliente). Nós guardamos o documento apenas pelo prazo acima.
Origem dos recursos e do patrimônio. O app que pediu recebe o resultado, não os documentos. Só a equipe de compliance dele pode ver imagens das páginas no nosso painel de parceiros, enquanto ainda as guardamos, e cada visualização fica registrada. O app guarda os próprios registros contra lavagem de dinheiro pelo prazo que sua lei define (muitas vezes 5 anos após o fim da relação com o cliente); essa é uma obrigação dele. Nós guardamos os documentos apenas pelo prazo acima.
Atividade regulada. Se um app para o qual fazemos verificações se tornar um serviço financeiro regulado, a lei pode exigir uma retenção mais longa para os clientes dele (por exemplo, 5 anos após o fim do relacionamento para registros de identidade). Atualizaremos este cronograma antes que isso se aplique e avisaremos os usuários.