--- title: "Vazamento na empresa integrada ao aplicativo: contra quem o titular reclama" description: "O vazamento ocorreu na empresa integrada, não no aplicativo principal. Entenda a responsabilidade solidária, as excludentes e contra quem acionar." url: "https://wikijuridica.com.br/lgpd/app-integrou-parceiro-vazou-dados/" lang: "pt-BR" page_type: "artigo" author: name: "Rafael Toledo" legal_name: "Rafael Toledo da Silva Duarte" credential: "OAB/RJ 227191" profile: "https://wikijuridica.com.br/sobre/" same_as: - "https://www.linkedin.com/in/rafaeltoledoadvogado" reviewer: "Rafael Toledo" publisher: name: "Wiki Jurídica" same_as: - "https://www.instagram.com/wiki.juridica/" - "https://www.facebook.com/wikijuridica" date_published: "2026-08-06" date_modified: "2026-08-26" reviewed_at: "2026-08-26" version: "sha256:12b7e30d25b32a877c832e483df739655f6dd35cebc1683587cf1d13ecd1597e" license: "CC-BY-4.0" license_url: "https://creativecommons.org/licenses/by/4.0/" usage_policy: "https://wikijuridica.com.br/api/politica-de-uso.json" services: catalog: "https://wikijuridica.com.br/.well-known/ai-catalog.json" mcp: "https://wikijuridica.com.br/mcp" a2a: "https://wikijuridica.com.br/.well-known/agent-card.json" search: "https://wikijuridica.com.br/api/v1/search" openapi: "https://wikijuridica.com.br/openapi.json" citar: "https://wikijuridica.com.br/api/v1/citar" verificar citações: "https://wikijuridica.com.br/api/v1/citacoes" sources: - name: "Lei nº 13.709 de 14/08/2018" url: "https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm" verified_at: "2026-08-04" --- > Índice do acervo > O mapa completo das páginas públicas está em https://wikijuridica.com.br/llms.txt > Consulte-o para descobrir as áreas e as páginas antes de navegar item a item. # Vazamento na empresa integrada ao aplicativo: contra quem o titular reclama Por Rafael Toledo, OAB/RJ 227191 · revisado em 2026-08-26 O aplicativo de entrega usa uma empresa de pagamentos, uma de logística e uma de atendimento. Seus dados passaram por todas elas sem que você contratasse nenhuma. Quando a notícia do vazamento sai, o comunicado tem uma frase previsível: "o incidente ocorreu em sistema de fornecedor terceiro". Do ponto de vista contratual, faz diferença. Do ponto de vista do titular, quase nenhuma — e é isso que a lei estruturou de propósito. ## A regra que impede o empurra-empurra O dever de reparar está no [art. 42](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art42) da [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm): o controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo. O §1º detalha como isso assegura reparação efetiva. Pelo inciso I, o operador responde solidariamente pelos danos quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, equiparando-se ao controlador nessa hipótese. Pelo inciso II, os controladores diretamente envolvidos no tratamento do qual decorreram os danos respondem solidariamente. Na prática, o titular escolhe contra quem dirigir a pretensão. A distribuição interna de culpa é problema das empresas entre si. ## Identificar o papel de cada empresa muda a estratégia Antes de decidir contra quem reclamar, vale entender a arquitetura. O aplicativo que decide quais dados coleta, para qual finalidade e por quanto tempo é controlador. A empresa contratada que processa pagamentos seguindo instruções costuma ser operadora daquele fluxo — mas pode ser controladora de tratamentos próprios, como prevenção a fraude com base própria. Uma mesma empresa pode ocupar papéis diferentes em fluxos diferentes, e essa é a origem de boa parte da confusão em comunicados de incidente. Peça ao aplicativo a informação prevista no art. 18, VII — as entidades públicas e privadas com as quais houve uso compartilhado. A resposta desenha o mapa e, quando negada, já se torna um segundo descumprimento a relatar. ## O que o titular precisa reunir O núcleo da prova é a ligação entre você, o aplicativo e o dado exposto. Guarde os comprovantes de uso do serviço no período; o comunicado de incidente e a data em que foi recebido; o teor exato do que vazou, conforme informado; as mensagens ou fraudes recebidas depois; e o pedido de informação de compartilhamento com a resposta obtida. Se a empresa parceira publicou comunicado próprio, guarde os dois: divergências entre as versões costumam ser reveladoras sobre quem sabia o quê e quando. O art. 42, §2º permite a inversão do ônus da prova em favor do titular quando a alegação for verossímil, houver hipossuficiência para produzir prova ou a produção lhe for excessivamente onerosa — o que é comum quando a falha ocorreu em sistema ao qual você nunca teve acesso. ## As defesas que costumam aparecer A primeira é a do art. 43, I: a empresa alega que não realizou aquele tratamento. Funciona quando ela realmente não recebeu o dado vazado, e não funciona quando o compartilhamento está documentado na própria política de privacidade. A segunda é a do art. 43, II: houve tratamento, mas sem violação à legislação de proteção de dados, porque as medidas de segurança do art. 46 estavam implementadas. Aqui a discussão vira técnica, e o que decide é a evidência de controles adequados ao risco. A terceira é a do art. 43, III: culpa exclusiva do titular ou de terceiro. Ataque criminoso não é, por si, culpa exclusiva de terceiro — se houvesse essa equivalência, todo vazamento estaria excluído. Exemplo: um marketplace integra um serviço de antifraude que sofre acesso indevido e expõe documentos de identidade dos compradores. O marketplace decidiu enviar aqueles documentos e definiu a finalidade; ele responde perante o titular e depois discute regresso, com o direito assegurado pelo art. 42, §4º, contra o parceiro, na medida da participação de cada um no evento danoso. ## Caminhos concretos e o que esperar de cada um O primeiro movimento é o pedido formal ao aplicativo, pelo canal do encarregado, exigindo a descrição do incidente, a lista de compartilhamentos e as providências adotadas. Sem resposta útil no prazo, cabem a petição à autoridade nacional, prevista no art. 18, §1º, e a reclamação nos organismos de defesa do consumidor, autorizada pelo §8º. A ação judicial individual faz sentido quando há dano demonstrável — fraude concretizada, uso indevido do documento, prejuízo financeiro. Já quando o único efeito foi o susto do comunicado, a chance de êxito diminui, e vale medir custo e tempo antes de ajuizar. Como a discussão envolve identificar papéis, reunir prova técnica e decidir contra quem litigar, é o tipo de análise que se faz com advogado a partir dos comunicados e comprovantes que você já tem, com tudo enviado por meio digital. ## Perguntas frequentes ### Posso processar apenas a empresa parceira, sem incluir o aplicativo? Pode, se ela participou do tratamento que gerou o dano. A solidariedade do art. 42, §1º permite ao titular escolher, mas incluir quem decidiu a finalidade costuma facilitar a produção de prova. ### O aplicativo é obrigado a informar qual parceiro sofreu o incidente? A comunicação do art. 48 exige descrever a natureza dos dados afetados e os riscos. Somado ao direito de informação sobre compartilhamentos do art. 18, VII, o titular tem elementos para exigir a identificação. ## Proveniência - [Lei nº 13.709 de 14/08/2018](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm) — verificado em 2026-08-04 · Fonte oficial usada como referência e proveniência. --- Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso. ## Conteúdos relacionados - [Fornecedor vazou dados dos seus clientes: e agora?](https://wikijuridica.com.br/lgpd/fornecedor-vazou-dados-meus-clientes/index.md) - [Vazou nome e e-mail: dá para pedir indenização?](https://wikijuridica.com.br/lgpd/vazamento-dado-nao-sensivel-indenizacao/index.md) - [Due diligence de LGPD antes de comprar uma empresa](https://wikijuridica.com.br/lgpd/due-diligence-protecao-dados-aquisicao-empresa/index.md) - [Funcionário vazou dados de clientes: a empresa responde?](https://wikijuridica.com.br/lgpd/funcionario-vazou-dados-clientes/index.md) - [Empresa diz que meus dados estão anonimizados](https://wikijuridica.com.br/lgpd/empresa-alega-anonimizacao-falsa/index.md) - [Operador de dados: quem trata em nome do controlador](https://wikijuridica.com.br/glossario/operador-dados/index.md) - [Cobrança revelou sua dívida a parentes ou ao trabalho](https://wikijuridica.com.br/lgpd/cobranca-expondo-divida-a-terceiros/index.md) - [Recebi dados de outro cliente: como agir com segurança](https://wikijuridica.com.br/lgpd/empresa-me-enviou-dados-de-outro-cliente/index.md) - [Rede social jurídica do portal: dúvidas do público e comentários de advogados inscritos na OAB](https://wikijuridica.com.br/redesocial/index.md) - [Página deste tema na rede social do portal](https://wikijuridica.com.br/redesocial/tema/lgpd/app-integrou-parceiro-vazou-dados/index.md) ## Percursos por fundamento legal Outras páginas deste acervo que se apoiam nos mesmos dispositivos legais. **Lei Geral de Proteção de Dados, Art. 42** — `urn:lex:br:federal:lei:2018-08-14;13709!art42` - [Dados vazados usados em golpe: quem responde pelo prejuízo](https://wikijuridica.com.br/bancario/vazamento-dados-fraude-consequente/index.md) - [REsp 2.133.261 do STJ: civil, consumidor e processual civil](https://wikijuridica.com.br/jurisprudencia/stj-resp-2133261/index.md) - [REsp 2.206.917 do STJ: banco de dados de crédito](https://wikijuridica.com.br/jurisprudencia/stj-resp-2206917/index.md) - [REsp 2.236.767 do STJ: banco de dados de crédito](https://wikijuridica.com.br/jurisprudencia/stj-resp-2236767/index.md) Conteúdo de autoria de Rafael Toledo, advogado responsável técnico pela publicação, elaborado a partir de fontes oficiais verificadas e citadas. ## Como citar esta página Rafael Toledo, OAB/RJ 227191. Vazamento na empresa integrada ao aplicativo: contra quem o titular reclama. Wiki Jurídica. 2026-08-26. https://wikijuridica.com.br/lgpd/app-integrou-parceiro-vazou-dados/ Versão do conteúdo: sha256:12b7e30d25b32a877c832e483df739655f6dd35cebc1683587cf1d13ecd1597e Os mesmos dados em CSL-JSON, o formato que processadores de citação leem sem interpretar texto: ```json { "id": "wikijuridica-com-br-lgpd-app-integrou-parceiro-vazou-dados", "type": "webpage", "title": "Vazamento na empresa integrada ao aplicativo: contra quem o titular reclama", "container-title": "Wiki Jurídica", "publisher": "Wiki Jurídica", "author": [{"literal": "Rafael Toledo, OAB/RJ 227191"}], "issued": {"date-parts": [[2026, 8, 26]]}, "URL": "https://wikijuridica.com.br/lgpd/app-integrou-parceiro-vazou-dados/", "language": "pt-BR", "version": "sha256:12b7e30d25b32a877c832e483df739655f6dd35cebc1683587cf1d13ecd1597e", "note": "Licença CC-BY-4.0 — https://creativecommons.org/licenses/by/4.0/" } ``` Versão canônica: