Legal & Takedown — Remoção de Sites de Phishing
Duas frentes jurídicas que a plataforma trata como dados de primeira classe: o acionamento de remoção de conteúdo fraudulento, do pedido à verificação de que saiu do ar, e a conformidade com a LGPD — registro de consentimento e atendimento a pedidos de titular.
Takedown: da Solicitação à Verificação
Cada caso registra o tipo (quatorze opções, de phishing e perfil falso a app fraudulento, vazamento de dados, difamação e violação de privacidade), a plataforma alvo entre 23 provedores mapeados — incluindo Registro.br, Locaweb, Mercado Livre, OLX e Shopee, além dos globais — e a prioridade.
O ciclo tem dez estados: solicitado, notificado, reconhecido, em andamento, aguardando resposta, escalado, concluído, parcialmente removido, falhou e cancelado. Os dois últimos existem por decisão de projeto: um fluxo de takedown que só sabe representar sucesso mente sobre a própria taxa de eficácia.
Base legal é campo obrigatório, não observação. As opções nomeiam a lei: DMCA, Marco Civil da Internet (Lei 12.965/2014), LGPD (Lei 13.709/2018), ECA, Código de Defesa do Consumidor, Lei de Direitos Autorais (Lei 9.610/1998), Código Penal e Termos de Serviço da plataforma. O método de notificação é registrado à parte, com nove opções que vão de e-mail e formulário de abuso a notificação extrajudicial e ordem judicial.
Essa separação reflete o direito brasileiro. Pelo Marco Civil, Art. 19, o provedor de aplicações só responde civilmente por conteúdo de terceiro se descumprir ordem judicial específica de remoção; a exceção do Art. 21 trata de cenas de nudez ou atos sexuais de caráter privado, removíveis mediante notificação do próprio participante. Na prática, quase todo takedown fora dessas hipóteses depende dos termos de uso da plataforma — e é por isso que “Termos de Serviço” é uma base legal legítima no formulário, e não um atalho.
Evidência e infraestrutura
O caso guarda a URL alvo, URLs adicionais do mesmo conteúdo, URLs de evidência e screenshots. Guarda também o que sustenta a notificação técnica: DNS, WHOIS, dados do certificado SSL e informações de hospedagem — provedor, ASN, IP e contato de abuso. Para quinze plataformas há link direto para o canal de abuso oficial, o que elimina a busca manual pelo formulário certo.
SLA e escalação
O prazo é acompanhado com estado calculado: cumprido, violado, crítico (menos de um dia), atenção (menos de três dias) ou dentro do prazo. O campo “SLA violado” existe justamente para registrar o que não foi cumprido.
A escalação tem quatro níveis explícitos — inicial, supervisor, jurídico e judicial — com o motivo registrado a cada salto. Depois da conclusão, o caso continua vivo: número de tentativas de verificação, data da última e o campo “conteúdo ainda online”, porque phishing derrubado volta.
Cada ação vira registro no histórico do caso: criação, mudança de estado (com valor anterior e novo), notificação enviada, resposta recebida, escalação, verificação, nota, evidência e atribuição de responsável.
LGPD: Consentimento e Pedidos de Titular
Registro de consentimento. Quatro categorias — essenciais, preferências, analytics e marketing — com ação concedido ou revogado, versão da política vigente e origem (banner, modal, API, correção administrativa, migração ou reset por mudança de política). Categorias essenciais não geram registro, porque não dependem de consentimento.
IP e user agent são gravados como hash com sal, nunca em claro. A decisão resolve uma tensão real: a lei atribui ao controlador o ônus de provar que o consentimento foi obtido de forma válida (Lei 13.709/2018, Art. 8º, § 2º), mas guardar IP em claro para provar conformidade cria um novo cadastro de dado pessoal. O hash prova a associação sem reter o identificador.
O IP do cliente é resolvido contando da direita para a esquerda no cabeçalho X-Forwarded-For, com o número de proxies confiáveis configurável — porque o cliente pode prefixar qualquer IP à esquerda.
Pedido de titular (DSAR). Formulário público, sem login, com seis tipos: acesso, correção, exclusão, portabilidade, revogação de consentimento e anonimização. Protegido por Cloudflare Turnstile e por limite de cinco envios por IP a cada hora; o registro de consentimento tem limite próprio de trinta gravações por IP a cada cinco minutos.
Ao ser aberto, o pedido já nasce com prazo de 15 dias — o prazo do Art. 19, II da LGPD para a declaração clara e completa ao titular — e com um token de verificação de identidade.
O Que o Módulo Não Faz
- Não dispara a notificação sozinho. Ele registra o texto enviado, o contato de abuso usado, o número do ticket e a resposta da plataforma. O envio é ato do analista.
- Não traz biblioteca de modelos prontos por provedor. O conteúdo da notificação é redigido e arquivado caso a caso.
- Não garante remoção nem prazo de remoção. O SLA é o prazo acordado com o cliente, não um compromisso da plataforma alvo.
- Não substitui advogado, não emite parecer e não gera petição.
- O e-mail de verificação do pedido público de titular ainda não é enviado automaticamente — o token é gerado e o pedido entra na fila para verificação.
- O histórico do caso é registro completo de ações, com autor e data. Encadeamento criptográfico e exportação WORM são funções do módulo Audit & Compliance.
Integrações
- Cloudflare Turnstile no formulário público
- Canais de abuso de 15 plataformas, com link direto
- OODA URLs (análise técnica do alvo), OODA Investigate, OODA Reports e OODA Audit
SLA & Garantias
Base legal e método de notificação registrados por caso · SLA com estado de violação explícito · verificação pós-remoção recorrente