Cooperação com as autoridades e solicitações de dados

1.Prestador do serviço e destinatários desta política

O pik.li é um serviço da InCloud S.r.l., sociedade constituída segundo o direito italiano, com sede em Vignola (MO). Quanto aos links curtos que armazena, a InCloud é prestadora de serviços intermediários de armazenamento de informações (hospedagem), nos termos do Regulamento (UE) 2022/2065, relativo aos serviços digitais (Regulamento dos Serviços Digitais, “DSA”); o coordenador dos serviços digitais competente para a Itália é a Autorità per le garanzie nelle comunicazioni (AGCOM).

Esta política destina-se à autoridade judiciária, às forças policiais, às autoridades administrativas e de supervisão e aos CERT/CSIRT nacionais que, com base na lei que lhes é aplicável, estejam legitimados a solicitar informações, a conservação de dados ou a remoção de conteúdos. O endereço aqui indicado constitui, ainda, o ponto único de contato para as autoridades dos Estados-Membros, para a Comissão Europeia e para o Comitê Europeu dos Serviços Digitais (art. 11 do DSA).

Os usuários do pik.li, os titulares de direitos, os advogados e os demais particulares não devem utilizar este canal: para denunciar um link nocivo, está disponível o formulário de denúncia; para questões relativas à própria conta, o suporte ao cliente. A InCloud comunica dados pessoais a particulares somente mediante ordem da autoridade judiciária ou quando a lei o impõe, ressalvado o direito de cada titular dos dados de acessar os dados que lhe digam respeito.

2.Forma de envio

As solicitações devem ser enviadas para o endereço indicado no topo desta página. A caixa de e-mail é administrada diretamente pela InCloud S.r.l. e consultada nos dias úteis; as solicitações urgentes seguem o procedimento descrito na seção “Solicitações de emergência”.

A InCloud confirma o recebimento de toda solicitação, informando um número de protocolo, que deve ser mencionado na correspondência subsequente.

São aceitas solicitações em italiano e em inglês; as redigidas em outros idiomas também são processadas, mas a tradução pode exigir mais tempo.

3.Conteúdo da solicitação

Para permitir um atendimento rápido e preciso, a solicitação deve ser completa e indicar:

1. 1 A autoridade solicitante: órgão, nome, cargo e contatos institucionais do servidor ou agente responsável (número do telefone geral do órgão e endereço de e-mail institucional).
2. 2 A identificação do procedimento: número do procedimento penal, dos autos ou do protocolo e, se diversa, a autoridade judiciária responsável pelo procedimento.
3. 3 A base legal: a norma que legitima a solicitação e, se houver, a decisão da autoridade judiciária (decreto do Ministério Público ou do juiz) ou a ordem europeia.
4. 4 Os dados solicitados, indicados com precisão: por exemplo, os dados de identificação da conta, os acessos com os respectivos endereços IP, a lista e o histórico dos links, os cliques, os pagamentos, as denúncias; ou, ainda, a conservação dos dados ou a desativação de um link.
5. 5 Os links ou as contas em questão: os links curtos por extenso, um por linha, exatamente como aparecem (por exemplo, https://lnkz.li/abc1234), ou o endereço de e-mail ou o nome de usuário da conta, a referência de um pagamento ou o identificador de um clique. Não é possível realizar buscas genéricas por conteúdo ou por destino.
6. 6 O intervalo de tempo de interesse, com indicação do fuso horário. Os registros da InCloud são mantidos em UTC.
7. 7 O prazo solicitado para o atendimento e, se for o caso, os motivos da urgência.
8. 8 O eventual caráter sigiloso da solicitação e o período durante o qual o titular da conta não deve ser informado dela, com a referência à norma ou à decisão que o determina.

Se a solicitação estiver incompleta, não permitir identificar com segurança a autoridade ou não indicar uma base legal clara, a InCloud solicita as complementações necessárias antes de atendê-la. Enquanto isso, havendo risco de perda dos dados, a InCloud providencia a sua conservação.

4.Verificação da autenticidade

Antes de comunicar qualquer dado, a InCloud verifica se a solicitação provém efetivamente da autoridade indicada:

• confere se a solicitação provém de um endereço institucional ou de uma caixa de PEC vinculada ao órgão e se o ato está assinado e é coerente;
• em caso de dúvida, contata o órgão por telefone, por meio de número obtido de forma independente em fontes oficiais, nunca pelo número indicado na mensagem, ou solicita confirmação escrevendo para a sua PEC pública;
• pode solicitar o envio do ato original por PEC ou a confirmação da autoridade judiciária responsável pelo procedimento.

Até a conclusão da verificação, os dados não são comunicados, mas a InCloud pode conservá-los para que não se percam. Nas emergências, a verificação é realizada com a máxima rapidez, paralelamente ao processamento da solicitação.

Quem se apresenta falsamente como autoridade comete crime: a InCloud comunica às autoridades competentes toda solicitação falsa recebida.

5.Dados que podem ser fornecidos

A InCloud fornece sem demora os dados que estejam em seu poder no momento da solicitação e que se enquadrem no objeto desta. Conforme o caso, pode tratar-se de:

• Dados da conta: endereço de e-mail, nome de usuário, eventual e-mail de recuperação, idioma, datas de cadastro, de confirmação e da última atividade, status, plano, versão aceita dos Termos de Serviço; se a conta tiver efetuado compras, os dados de faturamento declarados pelo titular da conta (nome, endereço, país, razão social, número de IVA, código fiscal, telefone, PEC).
• Acessos: as sessões abertas, com endereço IP completo, data de início e da última atividade, navegador, sistema operacional e localização estimada; o registro de atividades da conta (acessos, trocas de senha, ativação da verificação em duas etapas, alterações), com a data e, quando registrado, o endereço IP.
• Links e campanhas: destino, título, tags, parâmetros UTM, domínio, datas de criação e do último clique, histórico das alterações do destino, lote de importação, inclusive dos links excluídos pelo titular da conta, mas ainda conservados.
• Cliques nos links: data e hora, endereço IP (completo por 180 dias a contar do clique e, depois, de forma parcial), país, região e cidade estimados, dispositivo, navegador, sistema operacional, idioma, página de origem (sem parâmetros), user-agent (por 30 dias) e rede de origem (ASN) de cada clique, dentro do prazo de conservação previsto pelo plano do titular do link.
• Pagamentos e pedidos: fornecedor, referência da transação, valores, datas, faturas e recibos emitidos, domínios adquiridos.
• Abusos e moderação: denúncias recebidas (com o endereço de e-mail do denunciante, se informado), resultados dos controles automáticos, decisões da equipe da InCloud, recursos do titular da conta, medidas adotadas em relação à conta.
• Solicitações de suporte e comunicações trocadas entre o titular da conta e a equipe da InCloud.

Os dados de identificação da conta são fornecidos mediante solicitação escrita da polícia judiciária ou da autoridade judiciária que indique o procedimento e a norma que a legitima. Os endereços IP dos acessos e dos cliques, os demais dados dos cliques, o histórico dos links e o conteúdo das comunicações são fornecidos mediante decisão fundamentada da autoridade judiciária ou ordem europeia de produção, ressalvados os casos de emergência. As autoridades administrativas obtêm os dados nos limites dos poderes que a lei lhes atribui, os quais devem ser indicados na solicitação.

Salvo indicação diversa da autoridade, os dados são transmitidos por e-mail ou por PEC em arquivo estruturado (CSV, JSON ou PDF), com indicação da fonte e do horário da extração. Os arquivos podem ser criptografados, caso em que a senha é transmitida por canal separado.

6.Dados que não podem ser fornecidos

• A identidade de quem abriu um link: a InCloud conserva o endereço IP e os dados técnicos do clique, mas não o nome nem outros dados de identificação. Para chegar ao titular da conexão, é necessário dirigir-se ao provedor de acesso à internet ao qual o endereço IP estava atribuído.
• O conteúdo das páginas de destino: o pik.li conserva o endereço, não uma cópia do site. Quanto ao conteúdo, é necessário dirigir-se a quem hospeda a página.
• Os dados já excluídos ao término dos prazos de conservação indicados na Política de Privacidade, inclusive os endereços IP completos dos cliques, conservados por 180 dias e depois truncados: uma vez excluídos, não podem ser recuperados, nem mesmo a partir das cópias de segurança, após o vencimento destas.
• Os dados não tratados pela InCloud: dados da conta PayPal ou da carteira de criptomoedas, dados dos meios de pagamento, logs da Cloudflare, dados mantidos pelo registrador ou pelo provedor de e-mail do titular da conta. A InCloud indicará de bom grado a qual fornecedor se dirigir.
• Interceptações ou monitoramento em tempo real: a InCloud não é prestadora de serviços de comunicações eletrônicas. Mediante ordem da autoridade, pode, no entanto, conservar e fornecer os dados que vierem a ser gerados em relação a uma conta ou a um link determinado.
• As senhas em texto claro: são conservadas apenas na forma de hash irreversível.
• Uma identidade verificada: nome e endereço são declarados pelo titular da conta e não são verificados pela InCloud, com exceção do número de IVA, verificado no sistema VIES.

7.Conservação urgente dos dados

Havendo risco de perda dos dados antes da ordem formal, a autoridade pode solicitar a sua conservação: a InCloud os retira dos procedimentos de exclusão automática por 90 dias, prorrogáveis mediante solicitação fundamentada, e somente os comunica ao receber uma ordem válida.

A InCloud dá cumprimento sem demora às ordens de conservação previstas no art. 132, parágrafo 4-ter, do Código italiano de Proteção de Dados Pessoais (Decreto Legislativo nº 196/2003), pelo prazo indicado e, em qualquer caso, não superior ao previsto em lei, bem como às ordens europeias de conservação previstas no Regulamento (UE) 2023/1543 (60 dias, prorrogáveis por mais 30). A InCloud mantém sigilo sobre a ordem recebida e sobre as atividades realizadas durante o período indicado pela autoridade.

A conservação abrange os dados existentes no momento da solicitação e, se indicado, os que vierem a ser gerados até o término do prazo.

8.Solicitações de emergência

Em caso de perigo iminente para a vida ou a integridade física de uma pessoa (por exemplo, risco de suicídio, sequestro, ameaça de atentado, exploração de menor), o assunto da mensagem deve começar com “URGENT – DANGER TO LIFE” (urgente – risco de vida), e as primeiras linhas devem descrever a situação: quem está em perigo, por qual motivo, quais dados são necessários e por que não é possível aguardar uma decisão pelas vias ordinárias.

Essas solicitações são tratadas com prioridade absoluta. Nos limites permitidos pela lei, a InCloud pode comunicar os dados estritamente necessários para enfrentar a emergência antes da decisão formal (art. 6, parágrafo 1, alínea d, do Regulamento (UE) 2016/679, o “GDPR”) e desativar imediatamente um link; o ato formal deve ser enviado assim que possível. Quanto às ordens europeias de produção urgentes, a InCloud respeita o prazo de 8 horas previsto no Regulamento (UE) 2023/1543.

Quando ela própria toma conhecimento de informações que levem a suspeitar da prática de crime que envolva ameaça à vida ou à segurança de pessoas, a InCloud informa, por iniciativa própria, as autoridades competentes (art. 18 do DSA).

9.Remoção e desativação de links

Um link que viola as regras do pik.li é desativado assim que a InCloud toma conhecimento do fato, sem aguardar uma ordem: o destino deixa de ser acessível e quem abre o link vê uma página que explica a desativação. Qualquer pessoa pode denunciá-lo por meio da página Denunciar abuso; uma autoridade pode solicitar a sua desativação pelo endereço indicado nesta página.

A InCloud dá cumprimento às ordens de atuação contra conteúdos ilegais (art. 9 do DSA) e às ordens de prestação de informações (art. 10 do DSA) e informa, sem demora injustificada, a autoridade emissora sobre o seguimento dado e o momento em que foi dado.

Mediante solicitação, a InCloud desativa o link sem excluí-lo, para que os dados permaneçam disponíveis para as investigações.

10.Solicitações de autoridades de outros Estados

• Autoridades de outros Estados-Membros da União Europeia: a InCloud dá cumprimento às ordens europeias de produção e de conservação previstas no Regulamento (UE) 2023/1543, aplicável a partir de 18 de agosto de 2026, e às ordens previstas nos artigos 9 e 10 do DSA. As demais solicitações devem ser transmitidas por meio de decisão europeia de investigação (Diretiva 2014/41/UE) ou por intermédio das autoridades italianas.
• Autoridades de países terceiros: a InCloud comunica dados somente por meio dos canais de cooperação jurídica internacional (carta rogatória, tratados de assistência jurídica mútua – MLAT, Convenção de Budapeste sobre o Crime Cibernético) ou por intermédio das autoridades italianas competentes, pois a decisão de uma autoridade estrangeira não basta, por si só, para justificar a transferência (art. 48 do GDPR). A InCloud pode, no entanto, conservar os dados enquanto aguarda a solicitação formal, inclusive mediante comunicação dos pontos de contato da rede 24/7 prevista na Convenção de Budapeste.
• Nas emergências em que a vida de uma pessoa esteja em perigo, a InCloud avalia caso a caso, nos limites da lei, também as solicitações diretas de autoridades estrangeiras.

11.Informação ao titular da conta

A InCloud informa o titular da conta sobre as ordens emitidas nos termos dos artigos 9 e 10 do DSA e sobre as solicitações que não digam respeito a um procedimento penal. Quanto às solicitações formuladas no âmbito de um procedimento penal, a InCloud informa o titular somente com a anuência da autoridade responsável pelo procedimento ou quando o sigilo tiver cessado.

A InCloud não presta a informação, ou a adia, quando a lei ou a autoridade o vedarem (por exemplo, nas ordens de conservação previstas no art. 132, parágrafo 4-ter, do Código de Privacidade italiano ou nas ordens europeias, em relação às quais a informação ao titular dos dados cabe à autoridade), quando a autoridade o solicitar de forma fundamentada para não prejudicar as investigações ou quando a informação puser em perigo a integridade física de alguém. Convém que a solicitação indique a duração da obrigação de sigilo: ao seu término, salvo prorrogação, a InCloud informa o titular da conta.

12.Registro e transparência

A InCloud registra toda solicitação e toda ordem: data de recebimento, autoridade, referência, verificações realizadas, dados fornecidos e data do atendimento. O registro é sigiloso e conservado conforme indicado na Política de Privacidade.

A InCloud é uma pequena empresa e, enquanto mantiver essa qualificação, não está obrigada a publicar o relatório de transparência previsto no DSA (art. 15, parágrafo 2); pode, no entanto, publicar voluntariamente uma síntese desse relatório.

13.Advertências

• Esta política descreve os procedimentos da InCloud: não constitui consultoria jurídica, não confere direitos a terceiros e não amplia as obrigações que a lei impõe à InCloud.
• A InCloud fornece exclusivamente os dados presentes em seus sistemas no momento da solicitação, no estado em que se encontram: não gera dados de que não dispõe e não reconstitui os que foram excluídos.
• A InCloud não garante a veracidade nem a completude dos dados: nomes, endereços e contatos são declarados pelos titulares das contas; a localização é uma estimativa obtida a partir do endereço IP; um endereço IP pode pertencer a uma VPN, a um proxy, à rede Tor ou a uma operadora que o compartilha entre vários usuários; os horários são os dos servidores da InCloud, expressos em UTC.
• A InCloud pode recusar, contestar ou pedir esclarecimentos sobre uma solicitação que pareça ilegítima, desproporcional, desprovida de base legal clara, não verificável ou relativa a dados que ela não trata. Nenhuma disposição desta política implica renúncia aos direitos e aos meios de impugnação que cabem à InCloud ou aos titulares das contas.
• A InCloud não tem obrigação geral de vigilância sobre os links nem de busca ativa de fatos ilícitos (art. 8 do DSA); as medidas que adota voluntariamente não alteram esse princípio.
• Um e-mail enviado a este endereço não substitui as formas de notificação exigidas por lei: para os atos que requerem notificação formal, deve ser utilizada a PEC.
• O endereço é reservado às autoridades: as mensagens provenientes de outros remetentes não recebem resposta.
• A InCloud pode atualizar esta política; está em vigor a versão publicada nesta página, com a data indicada no topo. Faz fé o texto em italiano.