Dados coletados e tratamento

Esta página lista, como fatos, o que o FingerTrackID recebe e guarda quando você o integra, para que a sua equipe de privacidade e o seu encarregado (DPO) possam descrevê-lo com precisão. Ela descreve o comportamento atual em produção do Web SDK e da API de avaliação v1. O seu contrato e os seus termos de tratamento de dados com o FingerTrackID prevalecem sobre esta página.

Finalidade

O FingerTrackID avalia o risco de um acesso ou de um evento de negócio (um login, um saque ou uma ordem de negociação) para prevenção a fraudes e segurança da conta, e devolve uma recomendação. Ele nunca executa uma decisão: o seu produto decide e age, e nada é imposto pelo FingerTrackID, inclusive quando a recomendação vem das próprias regras de risco da sua empresa (status em produção). A nota de confiança é um índice ordenado para este evento, não uma reputação da pessoa nem uma probabilidade de fraude.

Os dados são mantidos separados por empresa cliente. A correlação de dados entre empresas clientes está desligada.

O que o Web SDK coleta no navegador

A política de coleta gerenciada de produção atual habilita o perfil do navegador e as opções de canvas, áudio e fontes (o canvas também cobre o WebGL); o comportamento de ponteiro e de digitação fica desligado e não pode ser ligado. Quando a página chama collect(), o SDK lê estes valores do navegador e os envia ao seu domínio de coleta first-party, collect.<your-domain>:

Grupo	Valores
Navegador	String do user-agent; número de processadores lógicos (`hardwareConcurrency`); memória aproximada do dispositivo (`deviceMemory`); número máximo de pontos de toque; se os cookies estão habilitados
Client hints de baixa entropia	Lista de marcas do navegador, nome da plataforma e o indicador de dispositivo móvel (`navigator.userAgentData`)
Tela	Largura, altura, largura e altura disponíveis, profundidade de cor e proporção de pixels do dispositivo
Localidade	Fuso horário, idiomas preferidos e o idioma do navegador
Automação	O indicador `navigator.webdriver` e códigos de um conjunto fechado para marcas visíveis na página que ferramentas de automação conhecidas ou runtimes de incorporação deixam para trás (nunca os nomes das propriedades encontradas)
Contexto de privacidade e consistência	Valores de um conjunto fechado, booleanos e pequenas contagens: se a página é de nível superior e está em contexto seguro, recursos de privacidade do navegador (Brave, Safari, Samsung Internet), a precisão do temporizador e se os valores lidos na página coincidem com os mesmos valores lidos em um frame oculto da mesma página (só as relações, nunca os valores)
Verificação de janela privada	O resultado da verificação de armazenamento descrita abaixo e a medição bruta dela em navegadores baseados em Chromium (uma razão, uma comparação de cota e um bit de capacidade do navegador)
Renderização (apenas valores derivados)	Canvas: um status, o bit da winding rule e um hash de duas imagens desenhadas. WebGL: um status, uma família de GPU de um conjunto fechado (por exemplo `APPLE`, `NVIDIA` ou `SWIFTSHADER`), se a renderização é feita em software e um hash da listagem de extensões e parâmetros. Áudio offline: um status e um hash da soma renderizada. Fontes: um status, quantas fontes de uma lista fixa de 52 estão presentes e uma máscara de presença de 52 bits

O SDK também envia a chave pública da sua aplicação e valores técnicos que ele mesmo gera: identificadores aleatórios de sessão, de observação e de evento, a hora do relógio do navegador no momento da coleta e a versão do SDK.

O que o Web SDK não coleta

Nenhuma saída bruta de renderização. Os pixels do canvas, as amostras de áudio renderizadas, as strings de fabricante e de renderizador do WebGL, os valores de parâmetros do WebGL e os nomes de fontes ficam no navegador; só os valores derivados acima saem dele. Juntos, esses valores derivados podem reconhecer o mesmo navegador de novo, e é por isso que são tratados como dados de dispositivo, não como dados anônimos.
Nenhum comportamento de ponteiro ou de digitação. O contrato da política de coleta fixa essa opção em false; ela não pode ser ligada para uma aplicação.
Nenhum client hint de alta entropia (como a versão completa do navegador, o modelo do dispositivo ou a arquitetura).
Nenhum provedor terceiro de fingerprinting. A política de coleta de produção não tem plugin de provedor.
Nenhum conteúdo de formulário. O SDK não lê campos de formulário, senhas, códigos de recuperação, e-mail, nomes nem qualquer conteúdo da página, e não lê o DOM.
Nenhum dado armazenado sobre o usuário. O código do SDK não lê nem grava cookies, localStorage ou sessionStorage. O único uso de armazenamento dele é a verificação de janela privada: em navegadores baseados em Chromium, ele grava blocos preenchidos com zeros em um banco IndexedDB temporário chamado __ftid_pp_…, apaga esse banco ao fim da verificação (um banco deixado por uma página fechada no meio da verificação é apagado por uma verificação posterior) e lê a estimativa de cota de armazenamento; no Safari e no Firefox, ele abre uma vez o sistema de arquivos privado da origem, o que pode criar a raiz vazia dessa origem.
Nenhuma URL da página. As requisições de coleta são enviadas com referrerPolicy: 'no-referrer', então o endereço da página não é enviado. O navegador envia, sim, a origem da página (por exemplo https://app.yourcompany.com), que é conferida contra as origens permitidas da sua aplicação.

Dados de rede no endpoint de coleta

Como qualquer requisição web, cada requisição de coleta chega ao FingerTrackID com o endereço IP do navegador. O balanceador de carga do FingerTrackID também deriva metadados de conexão da requisição, como parâmetros de TLS, a operadora de rede (ASN) e uma localização aproximada do endereço IP. O endereço IP aparece em dois tipos de registro:

Evidência de rede no banco de dados do FingerTrackID. Quando o FingerTrackID registra o endereço IP como evidência de rede para uma avaliação, ele armazena o endereço tal como foi observado, junto com os fatos da conexão e uma célula de localização aproximada, e os guarda por no mínimo 10 anos (veja Retenção). A evidência só é usada em uma avaliação enquanto está atual; guardar o registro não faz um endereço antigo contar em uma nova avaliação.
Logs de requisição da infraestrutura. O balanceador de carga e os serviços do Cloud Run registram em log toda requisição que recebem, inclusive as do seu backend e do console. Cada entrada contém o endereço IP do cliente, a URL solicitada (inclusive o caminho e a query string), o user agent, o referrer quando ele é enviado, o status da resposta e a latência. Esses logs são guardados por 30 dias no Google Cloud Logging (veja onde os dados são tratados). Para as páginas web estáticas do console, só são guardadas as entradas dos endereços das próprias páginas e arquivos estáticos do console.

Uma localização aproximada derivada do endereço IP, com um raio declarado, pode ser exibida no console aos seus administradores e aos papéis de risco. Ela não é GPS, nem endereço de rua, nem uma posição em tempo real.

Para reconhecer o mesmo navegador entre visitas, o domínio de coleta define um único cookie:

Atributo	Valor
Nome	`__Host-ftid_i`
Definido por	Somente o seu domínio de coleta, `collect.<your-domain>` (cookie host-only, `Path=/`)
Flags	`Secure`, `HttpOnly`, `SameSite=Lax`
Conteúdo	Um valor assinado pelo FingerTrackID que vincula um identificador aleatório de instalação à sua empresa, aplicação, ambiente e origens, com os horários de emissão e de expiração
Validade	Definida pelo FingerTrackID, nunca superior a 30 dias; o cookie pode ser renovado em visitas posteriores

O cookie não pode ser lido por JavaScript, inclusive pelo SDK, e não é compartilhado com outros clientes do FingerTrackID. O FingerTrackID armazena um hash do valor do cookie e o conteúdo verificado dele, nunca o próprio valor do cookie. Se o cookie estiver ausente ou for rejeitado, a coleta continua funcionando; só a continuidade entre visitas diminui.

O que o seu backend envia

O seu backend envia a requisição de avaliação descrita na página a requisição:

Referências pseudonimizadas que você cria: subject_ref (a pessoa), account_ref (a conta) e, para saques v1, beneficiary_ref. O FingerTrackID não precisa de documento fiscal, e-mail, telefone, nome, números de conta nem qualquer outro identificador reversível, e você não deve enviá-los. Crie as referências como pseudônimos com chave, por exemplo um HMAC com um segredo guardado no seu backend, nunca como um hash simples de um documento fiscal ou de um e-mail, que qualquer um consegue recalcular adivinhando a entrada (referências de pessoa e de conta). No console, Administrador da empresa, Analista de risco e Supervisor de risco podem consultar os acessos de uma referência pelo valor exato dela; cada consulta é registrada na trilha de auditoria, e a referência nunca entra no endereço de uma página.
Dados do evento: os seus identificadores de evento e de idempotência, o horário do evento e o momento que está sendo avaliado. Na requisição v1.1, esse momento é a sua própria tag (por exemplo login ou pix_transfer), um rótulo do seu produto que nunca deve carregar dados pessoais; a v1.1 não envia valor, moeda nem beneficiário. Na requisição v1, ele é uma das jornadas fixas (LOGIN, WITHDRAWAL ou TRADE) e, só para saques, o valor e a moeda.
O token de contexto do evento do navegador, ou null. O token é de uso único e liga a avaliação à coleta no navegador descrita acima.

Se você usa a API de feedback, o seu backend também envia a ação que o seu produto tomou e desfechos posteriores (por exemplo legítimo ou fraude confirmada), com uma referência de evidência à sua escolha, que não deve conter dados pessoais nem segredos.

O que o FingerTrackID deriva e devolve

Para cada avaliação, o FingerTrackID armazena e devolve um status, a nota de confiança (quando existe), uma recomendação, o estado de 13 indicadores de navegador e de rede, motivos, limitações e as versões usadas. device_id é um alias opaco (dev_…) para a continuidade do dispositivo dentro da sua empresa; ele não identifica um dispositivo físico. Veja a resposta.

Listas de referência de terceiros

Quatro indicadores de rede (Tor, hospedagem, VPN e proxy público) comparam o endereço que chegou ao endpoint de coleta com listas públicas de referência. O FingerTrackID atualiza essas listas na própria infraestrutura e nunca envia os endereços dos seus usuários aos publicadores das listas. A correspondência de um endereço só acrescenta contexto: ela nunca leva, por si só, a uma recomendação de bloqueio.

FingerTrackID uses the IP2Proxy LITE database for IP proxy detection.
Endereços de saída do Tor publicados pelo Tor Project (CC0 1.0).
Faixas de endereços de provedores de nuvem compiladas em rezmoss/cloud-provider-ip-addresses (CC0 1.0).
Faixas de provedores de VPN de X4BNet/lists_vpn (MIT).
Redes de hospedagem de brianhama/bad-asn-list (MIT), com dados de roteamento de iptoasn.com (PDDL 1.0).
As faixas de saída do iCloud Private Relay que a Apple publica, usadas para que o Private Relay nunca seja relatado como VPN ou rede de hospedagem.

Localização aproximada no console

O detalhe do acesso mostra aproximadamente onde está o endereço de onde veio a coleta: o centro da cidade que o banco de dados IP2Location LITE DB11 associa a ele, desenhado com um círculo fixo de 15 km porque o banco de dados não declara precisão. Não é GPS, nem endereço de rua, nem onde a pessoa está agora. O FingerTrackID guarda o local no nível da cidade (país, região, cidade, código postal, o deslocamento de fuso horário do banco de dados e o centro da cidade com resolução de 0,01 grau), nunca o endereço, e o local não alimenta a nota de confiança. Os tiles do mapa vêm do OpenFreeMap; uma requisição de tile não carrega nenhum dado sobre o acesso.

FingerTrackID uses the IP2Location LITE database for IP geolocation.

Retenção

O FingerTrackID guarda os dados que registra por no mínimo 10 anos, até segunda ordem, e não os apaga. Isso abrange:

Dado	Guardado por
Histórico de eventos e de avaliações	No mínimo 10 anos
Coleta bruta do navegador	No mínimo 10 anos (movida para classes de armazenamento mais frias após 30, 90 e 365 dias)
Envios do navegador que nunca foram usados	No mínimo 10 anos
Endereço IP, fatos da conexão e célula de localização aproximada registrados como evidência de rede	No mínimo 10 anos
Registros de contexto do dispositivo	No mínimo 10 anos
Registros de auditoria de segurança e do plano de controle	No mínimo 10 anos
Marcadores anti-replay e de idempotência	No mínimo 10 anos (movidos para um arquivo histórico quando expiram, não apagados)

Isso vale em produção a partir da versão do FingerTrackID de outubro de 2026. Antes dela, versões anteriores apagavam alguns desses registros após prazos mais curtos (por exemplo, o endereço IP registrado como evidência de rede após no máximo uma hora); os registros apagados naquela época não são recuperados.

Algumas cópias e alguns registros fora do banco de dados e do armazenamento do FingerTrackID têm prazos próprios:

Dado	Guardado por
Cookie first-party no navegador	Nunca mais de 30 dias
Logs de requisição da infraestrutura (balanceador de carga e Cloud Run), inclusive endereço IP, URL solicitada e user agent	30 dias
Exportações mascaradas	Disponíveis para download por no máximo 24 horas
Backups do banco de dados	Os 7 backups automáticos diários mais recentes, mais 7 dias de logs de transação para recuperação a um ponto no tempo; backups feitos sob demanda antes de manutenções são guardados até o FingerTrackID apagá-los

Peça ao FingerTrackID a política técnica exata da sua aplicação, se o seu encarregado precisar dela.

Onde os dados são tratados

O FingerTrackID roda no Google Cloud:

Serviços, banco de dados e armazenamento. Os serviços que atendem as requisições de coleta, de avaliação, de feedback e do console, o banco de dados e o armazenamento de objetos rodam na região us-central1 (Iowa, Estados Unidos).
Entrada pela rede de borda do Google. As requisições dos navegadores, do seu backend e do console chegam primeiro ao balanceador de carga de aplicativo externo global do Google. A conexão criptografada (TLS) é terminada no local de borda do Google mais próximo do remetente, que pode ficar fora dos Estados Unidos, e a requisição é então encaminhada pela rede do Google até us-central1. Nada fica em cache na borda: o Cloud CDN não está habilitado.
Logs de requisição. Os logs de requisição da infraestrutura descritos acima são armazenados no Google Cloud Logging, no local global, que o Google descreve como armazenamento em qualquer um dos data centers dele no mundo, e são guardados por 30 dias.
Backups do banco de dados. O Cloud SQL armazena os backups do banco de dados na multirregião us (Estados Unidos).

Os relatórios de erro dos próprios serviços, console e sites do FingerTrackID são enviados a um fornecedor de monitoramento de erros (Sentry) depois que um filtro remove dados de usuário, cookies, corpos de requisição, query strings, cabeçalhos de requisição que não sejam o user agent, endereços IP, endereços de e-mail e tokens. Eles descrevem falhas de software, não os seus usuários. O Web SDK não envia relatórios de erro. Peça ao FingerTrackID a lista atual de suboperadores dele.

O assistente de IA do console

O console do cliente tem um assistente de IA que explica as telas dele, lê os dados da sua empresa para responder sobre eles e diagnostica a sua integração. Cada pergunta digitada no painel é enviada pelo serviço do console do FingerTrackID à Claude API, da Anthropic, onde um modelo Claude a responde: um modelo Haiku na maioria das perguntas e um modelo Sonnet nas perguntas sobre um problema de integração. O modelo recebe a pergunta e até oito turnos anteriores da mesma conversa, depois que endereços de e-mail, identificadores internos, endereços IP, números de CPF e CNPJ, números de cartão, telefones, números longos e tokens longos são trocados por marcadores; o idioma do console, os nomes da tela e do menu e onde o usuário está (a tela, a aplicação e o período selecionados, o item aberto e o checklist de configuração); o texto da tela que o usuário tem aberta ao perguntar, como esse usuário a lê; a documentação pública do FingerTrackID; um resumo do estado da integração da sua empresa (aplicações, origens, domínio de coleta, SDK, credenciais, coletas e avaliações recentes e contagens de requisições recusadas por motivo); e o que o modelo lê, durante essa pergunta, dos dados da sua empresa no console: acessos, dispositivos, sessões, vínculos de conta, regras, listas, a fila de revisão, o uso, os membros e o log de auditoria. Cada uma dessas leituras passa pelas mesmas rotas e verificações do console que as telas, com o acesso do próprio usuário que pergunta: só a sua empresa, e só o que o papel desse usuário já lê. Por isso o modelo pode receber dados pessoais que o console da sua empresa mostra (um endereço IP, uma referência de conta, uma localização aproximada, um navegador, o e-mail de um membro); nele números de cartão e tokens longos são mascarados, e campos que o console trata como segredo, como um segredo de integração revelado ou um código de configuração do segundo fator, nunca são lidos. O modelo só responde perguntas sobre o FingerTrackID e a sua empresa, nunca sobre outra empresa, e o texto de telas ou dados é tratado como dado, nunca como instrução. A Anthropic trata a pergunta sob os termos comerciais dela e, pela política publicada, não usa os dados que retém para treinar modelos sem permissão. Quando a Claude API não responde, a mesma pergunta, com o mesmo conteúdo, vai pela OpenRouter a um modelo reserva (GPT-6 Luna), com uma configuração que só admite provedores que não guardam prompts. O FingerTrackID não guarda perguntas nem respostas, e a conversa vive só naquela aba do navegador, até a aba ser fechada ou o usuário sair: o FingerTrackID registra uma entrada de auditoria por pergunta, que também é a contagem diária de perguntas do usuário; uma entrada de auditoria por leitura que o modelo faz, como qualquer leitura do console; a avaliação do usuário sobre uma resposta e, quando ela não ajudou, o motivo escolhido numa lista fixa; e, por pergunta, contagens sem conteúdo (qual modelo respondeu, tokens, custo estimado e tempo).

Exemplo de texto informativo

Português (exemplo)

Prevenção a fraudes e segurança da conta. Para proteger sua conta e prevenir fraudes, usamos o FingerTrackID, um serviço de avaliação de risco de acesso. Quando você usa nosso site, coletamos informações técnicas do seu navegador e dispositivo — como tipo e versão do navegador, sistema operacional, resolução de tela, fuso horário, idioma e endereço IP — e as enviamos ao FingerTrackID por um subdomínio nosso. Também é usado um cookie técnico, que não pode ser lido por scripts, para reconhecer o mesmo navegador em visitas futuras, com validade de até 30 dias. Nos acessos e operações avaliados, enviamos apenas identificadores pseudonimizados da sua conta, nunca seu nome, e-mail ou documento. O FingerTrackID devolve uma recomendação de risco; a decisão é sempre nossa. Os dados são processados no Google Cloud, nos Estados Unidos. A conexão criptografada é recebida no ponto da rede do Google mais próximo de você, que pode ficar fora dos Estados Unidos, sem armazenamento em cache, e encaminhada aos servidores nos Estados Unidos. Os registros técnicos de acesso, que incluem o endereço IP, o endereço solicitado ao FingerTrackID e o tipo de navegador, ficam em infraestrutura do Google que pode armazená-los em qualquer país, por até 30 dias. O FingerTrackID guarda os dados que registra, inclusive o endereço IP, por pelo menos 10 anos. [Validar com o encarregado (DPO): base legal, papéis, transferência internacional e prazos.]

Inglês (exemplo)

Fraud prevention and account security. To protect your account and prevent fraud, we use FingerTrackID, an access risk assessment service. When you use our website, we collect technical information about your browser and device — such as browser type and version, operating system, screen resolution, time zone, language and IP address — and send it to FingerTrackID through a subdomain of ours. A technical cookie, which scripts cannot read, is used to recognize the same browser on later visits, for up to 30 days. For the logins and operations we assess, we send only pseudonymous identifiers of your account, never your name, email or ID number. FingerTrackID returns a risk recommendation; we always make the decision. The data is processed on Google Cloud in the United States. The encrypted connection is received at the Google network location closest to you, which may be outside the United States, without caching, and forwarded to servers in the United States. Technical access logs, which include the IP address, the address requested from FingerTrackID and the browser type, are kept in Google infrastructure that may store them in any country, for up to 30 days. FingerTrackID keeps the data it records, including the IP address, for at least 10 years. [Validate with your DPO: legal basis, roles, international transfer and retention periods.]

Dúvidas sobre esta página: contato@fingertrackid.com.