Cooperação com as autoridades e solicitações de dados

1.Prestador do serviço e destinatários desta política

O pik.li é um serviço da InCloud S.r.l., sociedade constituída segundo o direito italiano, com sede em Vignola (MO). Quanto aos links curtos que armazena, a InCloud é prestadora de serviços intermediários de armazenamento de informações (hospedagem), nos termos do Regulamento (UE) 2022/2065, relativo aos serviços digitais (Regulamento dos Serviços Digitais, “DSA”); o coordenador dos serviços digitais competente para a Itália é a Autorità per le garanzie nelle comunicazioni (AGCOM).

Esta política destina-se à autoridade judiciária, às forças policiais, às autoridades administrativas e de supervisão e aos CERT/CSIRT nacionais que, com base na lei que lhes é aplicável, estejam legitimados a solicitar informações, a conservação de dados ou a remoção de conteúdos. O endereço aqui indicado constitui, ainda, o ponto único de contato para as autoridades dos Estados-Membros, para a Comissão Europeia e para o Comitê Europeu dos Serviços Digitais (art. 11 do DSA).

Os usuários do pik.li, os titulares de direitos, os advogados e os demais particulares não devem utilizar este canal: para denunciar um link nocivo, está disponível o formulário de denúncia; para questões relativas à própria conta, o suporte ao cliente. A InCloud comunica dados pessoais a particulares somente mediante ordem da autoridade judiciária ou quando a lei o impõe.

2.Forma de envio

As solicitações devem ser enviadas para o endereço indicado no topo desta página. A caixa de e-mail é administrada diretamente pela InCloud S.r.l. e consultada nos dias úteis; as solicitações urgentes seguem o procedimento descrito na seção “Solicitações de emergência”.

A InCloud confirma o recebimento de toda solicitação, informando um número de protocolo, que deve ser mencionado na correspondência subsequente.

São aceitas solicitações em italiano e em inglês; as redigidas em outros idiomas também são processadas, mas a tradução pode exigir mais tempo.

3.Conteúdo da solicitação

Para permitir um atendimento rápido e preciso, a solicitação deve ser completa e indicar:

1. 1 A autoridade solicitante: órgão, nome, cargo e contatos institucionais do servidor ou agente responsável (número do telefone geral do órgão e endereço de e-mail institucional).
2. 2 A identificação do procedimento: número do procedimento penal, dos autos ou do protocolo e, se diversa, a autoridade judiciária responsável pelo procedimento.
3. 3 A base legal: a norma que legitima a solicitação e, se houver, a decisão da autoridade judiciária (decreto do Ministério Público ou do juiz) ou a ordem europeia.
4. 4 Os dados solicitados, indicados com precisão: por exemplo, os dados de identificação da conta, os acessos com os respectivos endereços IP, a lista e o histórico dos links, os cliques, os pagamentos, as denúncias; ou, ainda, a conservação dos dados ou a desativação de um link.
5. 5 Os links ou as contas em questão: os links curtos por extenso, um por linha, exatamente como aparecem (por exemplo, https://lnkz.li/abc1234), ou o endereço de e-mail ou o nome de usuário da conta, a referência de um pagamento ou o identificador de um clique. Não é possível realizar buscas genéricas por conteúdo ou por destino.
6. 6 O intervalo de tempo de interesse, com indicação do fuso horário. Os registros da InCloud são mantidos em UTC.
7. 7 O prazo solicitado para o atendimento e, se for o caso, os motivos da urgência.
8. 8 O eventual caráter sigiloso da solicitação e o período durante o qual o titular da conta não deve ser informado dela, com a referência à norma ou à decisão que o determina.

Se a solicitação estiver incompleta, não permitir identificar com segurança a autoridade ou não indicar uma base legal clara, a InCloud solicita as complementações necessárias antes de atendê-la. Enquanto isso, havendo risco de perda dos dados, a InCloud providencia a sua conservação.

4.Verificação da autenticidade

Antes de comunicar qualquer dado, a InCloud verifica se a solicitação provém efetivamente da autoridade indicada:

• confere se a solicitação provém de um endereço institucional ou de uma caixa de PEC vinculada ao órgão e se o ato está assinado e é coerente;
• em caso de dúvida, contata o órgão por telefone, por meio de número obtido de forma independente em fontes oficiais, nunca pelo número indicado na mensagem, ou solicita confirmação escrevendo para a sua PEC pública;
• pode solicitar o envio do ato original por PEC ou a confirmação da autoridade judiciária responsável pelo procedimento.

Até a conclusão da verificação, os dados não são comunicados, mas a InCloud pode conservá-los para que não se percam. Nas emergências, a verificação é realizada com a máxima rapidez, paralelamente ao processamento da solicitação.

Quem se apresenta falsamente como autoridade comete crime: a InCloud comunica às autoridades competentes toda solicitação falsa recebida.

5.Dados que podem ser fornecidos

A InCloud fornece sem demora os dados que estejam em seu poder no momento da solicitação e que se enquadrem no objeto desta. Conforme o caso, pode tratar-se de:

• Dados da conta: endereço de e-mail, nome de usuário, eventual e-mail de recuperação, idioma, datas de cadastro, de confirmação e da última atividade, status, plano, versão aceita dos Termos de Serviço; se a conta tiver efetuado compras, os dados de faturamento declarados pelo titular da conta (nome, endereço, país, razão social, número de IVA, código fiscal, telefone, PEC).
• Acessos: as sessões abertas, com endereço IP completo, data de início e da última atividade, navegador, sistema operacional e localização estimada; o registro de atividades da conta (acessos, trocas de senha, ativação da verificação em duas etapas, alterações), com a data e, quando registrado, o endereço IP.
• Links e campanhas: destino, título, tags, parâmetros UTM, domínio, datas de criação e do último clique, histórico das alterações do destino, lote de importação, inclusive dos links excluídos pelo titular da conta, mas ainda conservados.
• Cliques nos links: data e hora, endereço IP completo, país, região e cidade estimados, dispositivo, navegador, sistema operacional, idioma, página de origem, user-agent e rede de origem (ASN) de cada clique, dentro do prazo de conservação previsto pelo plano do titular do link.
• Pagamentos e pedidos: fornecedor, referência da transação, valores, datas, faturas e recibos emitidos, domínios adquiridos.
• Abusos e moderação: denúncias recebidas (com o endereço de e-mail do denunciante, se informado), resultados dos controles automáticos, decisões da equipe da InCloud, recursos do titular da conta, medidas adotadas em relação à conta.
• Solicitações de suporte e comunicações trocadas entre o titular da conta e a equipe da InCloud.

Em regra, os dados de identificação da conta são fornecidos mediante solicitação escrita e fundamentada da polícia judiciária ou da autoridade judiciária no âmbito de um procedimento; os endereços IP dos acessos e dos cliques, os demais dados dos cliques e o conteúdo das comunicações são fornecidos mediante decisão fundamentada da autoridade judiciária, ressalvados os casos de emergência.

Salvo indicação diversa da autoridade, os dados são transmitidos por e-mail ou por PEC em arquivo estruturado (CSV, JSON ou PDF), com indicação da fonte e do horário da extração. Os arquivos podem ser criptografados, caso em que a senha é transmitida por canal separado.

6.Dados que não podem ser fornecidos

• A identidade de quem abriu um link: a InCloud conserva o endereço IP e os dados técnicos do clique, mas não o nome nem outros dados de identificação. Para chegar ao titular da conexão, é necessário dirigir-se ao provedor de acesso à internet ao qual o endereço IP estava atribuído.
• O conteúdo das páginas de destino: o pik.li conserva o endereço, não uma cópia do site. Quanto ao conteúdo, é necessário dirigir-se a quem hospeda a página.
• Os dados já excluídos ao término dos prazos de conservação indicados na Política de Privacidade, inclusive os endereços IP dos cliques: uma vez excluídos, não podem ser recuperados, nem mesmo a partir das cópias de segurança, após o vencimento destas.
• Os dados não tratados pela InCloud: dados da conta PayPal ou da carteira de criptomoedas, dados dos meios de pagamento, logs da Cloudflare, dados mantidos pelo registrador ou pelo provedor de e-mail do titular da conta. A InCloud indicará de bom grado a qual fornecedor se dirigir.
• Interceptações ou monitoramento em tempo real: a InCloud não é prestadora de serviços de comunicações eletrônicas. Mediante ordem da autoridade, pode, no entanto, conservar e fornecer os dados que vierem a ser gerados em relação a uma conta ou a um link determinado.
• As senhas em texto claro: são conservadas apenas na forma de hash irreversível.
• Uma identidade verificada: nome e endereço são declarados pelo titular da conta e não são verificados pela InCloud, com exceção do número de IVA, verificado no sistema VIES.

7.Conservação urgente dos dados

Havendo risco de perda dos dados antes da ordem formal, a autoridade pode solicitar a sua conservação: a InCloud os retira dos procedimentos de exclusão automática por 90 dias, prorrogáveis mediante solicitação fundamentada, e somente os comunica ao receber uma ordem válida.

A InCloud dá cumprimento sem demora às ordens de conservação previstas no art. 132, parágrafo 4-ter, do Código italiano de Proteção de Dados Pessoais (Decreto Legislativo nº 196/2003), pelo prazo indicado e, em qualquer caso, não superior ao previsto em lei, bem como às ordens europeias de conservação previstas no Regulamento (UE) 2023/1543 (60 dias, prorrogáveis por mais 30). A InCloud mantém sigilo sobre a ordem recebida e sobre as atividades realizadas durante o período indicado pela autoridade.

A conservação abrange os dados existentes no momento da solicitação e, se indicado, os que vierem a ser gerados até o término do prazo.

8.Solicitações de emergência

Em caso de perigo iminente para a vida ou a integridade física de uma pessoa (por exemplo, risco de suicídio, sequestro, ameaça de atentado, exploração de menor), o assunto da mensagem deve começar com “URGENT – DANGER TO LIFE” (urgente – risco de vida), e as primeiras linhas devem descrever a situação: quem está em perigo, por qual motivo, quais dados são necessários e por que não é possível aguardar uma decisão pelas vias ordinárias.

Essas solicitações são tratadas com prioridade absoluta. Nos limites permitidos pela lei, a InCloud pode comunicar os dados estritamente necessários para enfrentar a emergência antes da decisão formal (art. 6, parágrafo 1, alínea d, do Regulamento (UE) 2016/679, o “GDPR”) e desativar imediatamente um link; o ato formal deve ser enviado assim que possível. Quanto às ordens europeias de produção urgentes, a InCloud respeita o prazo de 8 horas previsto no Regulamento (UE) 2023/1543.

Quando ela própria toma conhecimento de informações que levem a suspeitar da prática de crime que envolva ameaça à vida ou à segurança de pessoas, a InCloud informa, por iniciativa própria, as autoridades competentes (art. 18 do DSA).

9.Remoção e desativação de links

Um link que viola as regras do pik.li é desativado assim que a InCloud toma conhecimento do fato, sem aguardar uma ordem: o destino deixa de ser acessível e quem abre o link vê uma página que explica a desativação. Qualquer pessoa pode denunciá-lo por meio da página Denunciar abuso; uma autoridade pode solicitar a sua desativação pelo endereço indicado nesta página.

A InCloud dá cumprimento às ordens de atuação contra conteúdos ilegais (art. 9 do DSA) e às ordens de prestação de informações (art. 10 do DSA) e informa, sem demora injustificada, a autoridade emissora sobre o seguimento dado e o momento em que foi dado.

Mediante solicitação, a InCloud desativa o link sem excluí-lo, para que os dados permaneçam disponíveis para as investigações.

10.Solicitações de autoridades de outros Estados

• Autoridades de outros Estados-Membros da União Europeia: a InCloud dá cumprimento às ordens europeias de produção e de conservação previstas no Regulamento (UE) 2023/1543, aplicável a partir de 18 de agosto de 2026, e às ordens previstas nos artigos 9 e 10 do DSA. As demais solicitações devem ser transmitidas por meio de decisão europeia de investigação (Diretiva 2014/41/UE) ou por intermédio das autoridades italianas.
• Autoridades de países terceiros: a InCloud comunica dados somente por meio dos canais de cooperação jurídica internacional (carta rogatória, tratados de assistência jurídica mútua – MLAT, Convenção de Budapeste sobre o Crime Cibernético) ou por intermédio das autoridades italianas competentes, pois a decisão de uma autoridade estrangeira não basta, por si só, para justificar a transferência (art. 48 do GDPR). A InCloud pode, no entanto, conservar os dados enquanto aguarda a solicitação formal, inclusive mediante comunicação dos pontos de contato da rede 24/7 prevista na Convenção de Budapeste.
• Nas emergências em que a vida de uma pessoa esteja em perigo, a InCloud avalia caso a caso, nos limites da lei, também as solicitações diretas de autoridades estrangeiras.

11.Informação ao titular da conta

Em regra, a InCloud informa o titular da conta sobre a solicitação ou a ordem que lhe diga respeito e sobre o seguimento dado, conforme previsto nos artigos 9 e 10 do DSA para as ordens das autoridades.

A InCloud não presta a informação, ou a adia, quando a lei ou a autoridade o vedarem (por exemplo, nas ordens de conservação previstas no art. 132, parágrafo 4-ter, do Código de Privacidade italiano ou nas ordens europeias, em relação às quais a informação ao titular dos dados cabe à autoridade), quando a autoridade o solicitar de forma fundamentada para não prejudicar as investigações ou quando a informação puser em perigo a integridade física de alguém. Convém que a solicitação indique a duração da obrigação de sigilo: ao seu término, salvo prorrogação, a InCloud informa o titular da conta.

12.Registro e transparência

A InCloud registra toda solicitação e toda ordem: data de recebimento, autoridade, referência, verificações realizadas, dados fornecidos e data do atendimento. O registro é sigiloso e conservado conforme indicado na Política de Privacidade.

A InCloud é uma pequena empresa e, enquanto mantiver essa qualificação, não está obrigada a publicar o relatório de transparência previsto no DSA (art. 15, parágrafo 2); pode, no entanto, publicar voluntariamente uma síntese desse relatório.

13.Advertências

• Esta política descreve os procedimentos da InCloud: não constitui consultoria jurídica, não confere direitos a terceiros e não amplia as obrigações que a lei impõe à InCloud.
• A InCloud fornece exclusivamente os dados presentes em seus sistemas no momento da solicitação, no estado em que se encontram: não gera dados de que não dispõe e não reconstitui os que foram excluídos.
• A InCloud não garante a veracidade nem a completude dos dados: nomes, endereços e contatos são declarados pelos titulares das contas; a localização é uma estimativa obtida a partir do endereço IP; um endereço IP pode pertencer a uma VPN, a um proxy, à rede Tor ou a uma operadora que o compartilha entre vários usuários; os horários são os dos servidores da InCloud, expressos em UTC.
• A InCloud pode recusar, contestar ou pedir esclarecimentos sobre uma solicitação que pareça ilegítima, desproporcional, desprovida de base legal clara, não verificável ou relativa a dados que ela não trata. Nenhuma disposição desta política implica renúncia aos direitos e aos meios de impugnação que cabem à InCloud ou aos titulares das contas.
• A InCloud não tem obrigação geral de vigilância sobre os links nem de busca ativa de fatos ilícitos (art. 8 do DSA); as medidas que adota voluntariamente não alteram esse princípio.
• Um e-mail enviado a este endereço não substitui as formas de notificação exigidas por lei: para os atos que requerem notificação formal, deve ser utilizada a PEC.
• O endereço é reservado às autoridades: as mensagens provenientes de outros remetentes não recebem resposta.
• A InCloud pode atualizar esta política; está em vigor a versão publicada nesta página, com a data indicada no topo. Faz fé o texto em italiano.