Compliance e Segurança

A arquitetura do IdadeID foi projetada com base no princípio da minimização de dados. Sempre que possível, a verificação é realizada a partir do atributo estritamente necessário, como a confirmação de que o usuário atende à idade mínima exigida, sem necessidade de expor ou armazenar dados pessoais adicionais.

O objetivo da plataforma não é criar perfis de usuários, rastrear comportamento ou formar bases extensas de dados pessoais, mas apenas fornecer uma decisão técnica relacionada ao requisito etário aplicável ao contexto de uso.

O IdadeID adota princípios de privacy by design e privacy by default, buscando reduzir a coleta, o armazenamento e a circulação de informações sensíveis.

Quando imagens, documentos ou outros elementos forem necessários para uma verificação específica, o tratamento deverá ocorrer de forma proporcional ao risco, com uso limitado à finalidade de aferição etária e retenção restrita ao mínimo necessário.

Sempre que possível, são preservados apenas metadados técnicos e de auditoria, como decisão da verificação, idade mínima exigida, resultado, nível de confiança, identificador da sessão, site contratante, data/hora e eventos técnicos relevantes.

A plataforma utiliza práticas técnicas e organizacionais voltadas à proteção da infraestrutura e dos dados tratados, incluindo:

O navegador ou frontend do cliente não decide sozinho se um usuário está aprovado. A decisão válida depende de validação server-side realizada pela infraestrutura do IdadeID.

O IdadeID foi estruturado para operar com sessões curtas, assinadas, auditáveis e revogáveis. Cada sessão de acesso deve estar vinculada ao contexto correto da verificação, incluindo site, tenant, domínio autorizado, chave pública e finalidade da validação.

Em caso de falha, ausência de configuração, domínio inválido, token inválido, tentativa de manipulação, expiração de sessão ou inconsistência técnica, a plataforma adota postura conservadora, impedindo a liberação automática do acesso.

A plataforma foi projetada considerando a Lei Geral de Proteção de Dados Pessoais, boas práticas de segurança digital, arquitetura moderna de APIs e diretrizes aplicáveis a mecanismos de aferição de idade.

O IdadeID busca apoiar empresas que precisam demonstrar diligência técnica na restrição de acesso a conteúdos, produtos ou serviços sujeitos a requisitos etários, sem substituir a responsabilidade legal do site, plataforma ou empresa contratante pelo cumprimento das normas aplicáveis ao seu próprio negócio.

O sistema mantém registros técnicos destinados à auditoria, segurança, prevenção de fraude, diagnóstico operacional e comprovação de uso da API.

Esses registros podem incluir eventos como solicitação de configuração, início de verificação, aprovação, negativa, sessão criada, sessão validada, domínio inválido, token inválido, tentativa suspeita, manipulação da integração ou bloqueio indevido do fluxo.

Os registros são projetados para fornecer rastreabilidade operacional sem coleta excessiva de dados pessoais.

O IdadeID adota mecanismos para reduzir tentativas de burla, incluindo validação de domínio, análise de origem da requisição, controle de sessão, rate limiting, assinatura de tokens e detecção de eventos suspeitos no fluxo de integração.

Nenhum mecanismo puramente client-side é capaz de impedir integralmente tentativas de bypass. Por isso, o IdadeID prioriza validações server-side e recomenda que fluxos críticos, como liberação de acesso, checkout, compra, API ou ação protegida, sejam confirmados no servidor sempre que tecnicamente possível.

Segurança e compliance são processos contínuos. A arquitetura, os fluxos de verificação, os mecanismos antifraude, as políticas de retenção e os controles técnicos do IdadeID são periodicamente avaliados e aprimorados conforme a evolução regulatória, tecnológica e operacional da plataforma.

© 2026 IdadeID — Todos os direitos reservados.