Toss mantém fotos usadas em pagamentos faciais por um ano após o cancelamento; Naver Pay, por 90 dias

Cancelar o pagamento facial nem sempre apaga a foto

A Toss mantém as fotos faciais originais por um ano após os clientes deixarem o serviço FacePay, caso tenham feito ao menos uma transação. A Naver Pay guarda as fotos originais por 90 dias após o cancelamento do FaceSign. As duas empresas afirmam que os prazos de retenção permitem responder a reclamações sobre pagamentos que possam surgir depois que o cliente deixa de usar o serviço.

O cronograma da Toss é excepcionalmente preciso: as fotos de usuários com histórico de transações são transferidas para um banco de dados separado à 1h do dia seguinte ao cancelamento e destruídas às 10h do 366º dia. As fotos de quem se cadastrou, mas nunca fez uma transação, são destruídas imediatamente após o cancelamento.

Essa diferença importa porque a revogação do consentimento leva, sim, à exclusão imediata de outro tipo de informação facial: as características numéricas usadas para identificar uma pessoa. Tanto a Toss quanto a Naver Pay apagam esses modelos biométricos quando o usuário cancela o serviço ou revoga o consentimento. Assim, uma foto original pode continuar armazenada mesmo depois que o modelo de autenticação é apagado.

As regras sul-coreanas distinguem fotos faciais comuns das informações geradas tecnicamente para identificar uma pessoa. A controvérsia não é se o pagamento facial funciona totalmente fora da legislação de privacidade. A questão é se as regras atuais regulamentam adequadamente as fotos que permanecem armazenadas, por quanto tempo as empresas devem mantê-las e como os erros de pagamento devem ser registrados.

Uma reclamação contra a política de retenção da Toss foi encaminhada ao Serviço de Supervisão Financeira em setembro do ano anterior, segundo informações divulgadas pelo deputado Park Sang hyuk, do Partido Democrático. De acordo com o relato sobre a reclamação, ela continuava sem solução cerca de um ano depois. Não foi informada uma data para a decisão.

Por que as empresas mantêm as imagens

A Toss afirma que seu prazo de retenção reflete o tempo que os clientes costumam levar para apresentar reclamações sobre pagamentos. A Naver Pay também cita a possibilidade de reclamações posteriores sobre erros de pagamento como motivo para guardar as fotos por 90 dias após o cancelamento do serviço.

A diferença entre as duas políticas é significativa. Um ano equivale a cerca de quatro vezes os 90 dias da Naver Pay, embora a Toss especifique que as fotos serão destruídas no 366º dia, em vez de simplesmente indicar um número de meses. Os relatos não demonstram que algum dos prazos seja um padrão comum do setor ou um limite exigido pelos órgãos reguladores.

Após o cancelamento, a Toss separa as imagens retidas do banco de dados ativo. Essa é uma medida de segurança no armazenamento, mas não equivale à exclusão. Para um ex-cliente, o fato central continua sendo que a empresa mantém a foto mesmo depois do fim da relação com o serviço de pagamento facial.

A justificativa das reclamações também deixa uma questão prática sem resposta: por que é necessário manter a foto original pelo prazo escolhido, em vez de outros registros da transação? Não é apresentada nenhuma avaliação detalhada que explique a necessidade de um ano na Toss ou de 90 dias na Naver Pay. Os relatos também não identificam um limite máximo legal específico para a retenção dessas fotos em pagamentos.

Fotos e modelos biométricos têm tratamentos jurídicos diferentes

Um modelo biométrico é uma representação numérica das características faciais que um programa usa para comparar rostos. Ele é diferente de uma foto comum, embora uma foto possa ser usada para gerá-lo.

Na estrutura de proteção de dados sul-coreana descrita aqui, as informações sobre características faciais geradas tecnicamente para autenticar ou identificar uma pessoa específica são consideradas informações pessoais sensíveis. Aplicam-se exigências específicas de consentimento e criptografia. Uma foto comum de câmera é uma informação pessoal, mas não é automaticamente incluída nessa mesma categoria de informação sensível.

Essa distinção explica como as empresas podem apagar imediatamente os modelos de identificação e, ao mesmo tempo, manter as fotos originais. Isso não significa que as fotos não tenham proteção de privacidade, nem que qualquer prazo de retenção seja automaticamente legal. Significa que os dois tipos de dados recebem tratamentos diferentes, deixando a duração e a justificativa para manter a imagem original no centro da controvérsia.

Park, deputado do Partido Democrático que levantou a questão, alertou que a retenção de fotos cria riscos que vão além do próprio serviço de pagamento:

Se forem vazadas enquanto estiverem armazenadas, elas poderão ser usadas indevidamente para autenticação em outros serviços ou em crimes com deepfakes.

O alerta diz respeito ao que poderia acontecer após um vazamento. Os relatos não demonstram que fotos faciais retidas por qualquer uma das empresas tenham sido expostas ou usadas nesse tipo de crime.

Rápida expansão, com números divergentes de usuários cadastrados

O pagamento facial vincula um rosto cadastrado a um cartão ou conta bancária. Depois de se cadastrar, o cliente pode pagar posicionando-se diante da câmera de um terminal, sem apresentar carteira ou celular. O processo é descrito como levando menos de um segundo.

A Shinhan Card lançou o primeiro serviço de pagamento facial da Coreia do Sul em 2020. No início, a adesão demorou a ganhar força. Depois, a Toss e a Naver Pay expandiram o mercado com o FacePay e o FaceSign. A Toss ofereceu cupons de cadastro no valor de 5 mil ou 10 mil won, enquanto a Naver Pay vinculou o serviço a pontos e saldos de pagamento.

Os números de cadastros diferem entre os relatos. Um deles informa que o FacePay da Toss chegou a 1 milhão de cadastros no fim do ano anterior, 7 milhões em julho e 8,4 milhões em agosto. Outro relato, publicado em 7 de outubro de 2026, afirma que a Toss lançou oficialmente o FacePay em setembro de 2025 e registrou mais de 7 milhões de cadastros acumulados em agosto de 2026.

O número de outubro é um limite mínimo e, portanto, não contradiz necessariamente os 8,4 milhões. No entanto, os relatos não explicam se os totais usam o mesmo método de contagem ou a mesma data de referência. As datas relativas do primeiro relato não estão vinculadas explicitamente a um ano-calendário e não devem ser tratadas automaticamente como idênticas às datas do relato de outubro.

Na primeira série de números, os cadastros cresceram de 1 milhão para 8,4 milhões, um aumento de 7,4 milhões e um total 8,4 vezes maior que o número inicial. Os dados internos da Toss citados no relato de outubro também indicam que cerca de 60% das pessoas que já haviam pago com o FacePay voltaram a usá-lo em junho de 2026. Cadastros e uso recorrente medem coisas diferentes; nenhum dos números indica quantos clientes usam o serviço regularmente.

Cancelamentos aumentaram com a expansão do serviço

Os cancelamentos do consentimento ao FacePay passaram de 15.176 em abril para 45.605 em maio, segundo o relato que detalha a controvérsia sobre retenção. Isso representa um aumento de 30.429, e o total de maio foi cerca de três vezes o de abril.

Esses números mostram que houve mais pedidos de cancelamento, mas não permitem calcular uma taxa de cancelamento. Não é apresentado um número comparável de usuários ativos ou que mantinham o consentimento em cada mês. Os dados também não mostram quantos cancelamentos foram motivados especificamente pela retenção de imagens, por preocupações com privacidade ou por problemas de pagamento.

A expansão comercial descrita no relato de outubro de 2026 pode levar o pagamento facial a mais situações do dia a dia. A empresa buscava instalar terminais em cerca de 5 mil supermercados de pequeno e médio porte e 700 lojas de redes de frango frito. São planos de implantação, não uma contagem confirmada de lojas que já processam transações.

Com essa escala, torna-se cada vez mais relevante distinguir entre interromper a autenticação de pagamentos e apagar todos os dados relacionados. Milhões de cadastros podem coexistir com a exclusão imediata dos modelos biométricos de usuários que cancelaram o serviço e a manutenção das fotos. O cancelamento não necessariamente produz o mesmo efeito para todas as categorias de informação mantidas pela empresa.

Dez casos de indenização não comprovam dez falhas de reconhecimento

Segundo relatos, a Toss pagou indenizações em 10 ocasiões relacionadas a reclamações sobre erros de pagamento pelo FacePay. Entre os casos, houve uma situação em que um funcionário de uma loja apertou o botão do FacePay em nome de um cliente e, em seguida, um pagamento foi processado.

A Toss afirma que a indenização não significa que todos os casos envolveram uma falha técnica ou um erro pelo qual a empresa fosse responsável. Segundo a explicação da empresa, nos primeiros meses de operação ela indenizou clientes antes de determinar se as ações deles haviam contribuído para o problema.

No relato de outubro de 2026, a Toss afirmou separadamente que não havia recebido pedidos de indenização por danos envolvendo a confusão entre o rosto de uma pessoa e o de outra, que teria levado à cobrança na conta errada. Essa declaração é mais específica do que dizer que não houve reclamações sobre pagamentos.

Essa distinção é essencial. Um sistema pode identificar corretamente uma pessoa cadastrada e, ainda assim, selecionar alguém que não pretendia pagar. A Toss reconheceu que, se apenas o rosto de outro usuário cadastrado aparecer diante da câmera, o pagamento desse usuário poderá ser processado. Isso é diferente de o programa confundir duas identidades.

Nas redes sociais, circularam alegações de que a conta de uma pessoa que passava pelo local teria sido cobrada ou de que uma foto teria sido usada para fazer um pagamento. São alegações, não conclusões técnicas verificadas nos relatos. Portanto, os 10 casos de indenização, a afirmação da empresa de que não recebeu pedidos de indenização por danos causados por confusão de identidade e o cenário descrito de seleção pela câmera não devem ser reunidos em uma única contagem de falhas de reconhecimento.

As alegações de segurança abordam apenas parte do problema

A Toss afirma que a precisão de sua autenticação facial é de 99,99%. A Naver Pay diz que a precisão de sua identificação facial supera 99%. Esses são números divulgados pelas próprias empresas. Sem condições de teste e definições comuns, ou resultados de avaliações independentes, eles não permitem comparar diretamente os dois serviços.

Os dois serviços descrevem várias etapas de segurança, incluindo detecção facial, verificação da qualidade da imagem, análise de possíveis manipulações, correspondência de identidade e detecção de transações incomuns. A detecção de vivacidade verifica se a câmera está captando uma pessoa real, em vez de uma foto ou vídeo. Um sistema de detecção de fraudes analisa as transações em busca de padrões suspeitos.

A Toss também descreve um modelo para distinguir rostos parecidos e autenticação secundária em alguns casos, como o de gêmeos idênticos. As orientações da Naver Pay dizem que um pagamento pode falhar se vários rostos aparecerem na imagem da câmera ao mesmo tempo.

Esses controles tratam de riscos diferentes. A verificação de vivacidade busca impedir tentativas de usar uma imagem em vez de uma pessoa. A correspondência de identidade verifica quem é a pessoa. Nenhuma dessas descrições, por si só, demonstra que a pessoa selecionada pela câmera pretendia autorizar a compra.

As empresas também descrevem a criptografia e a conversão de informações faciais em características numéricas. A Toss afirma que os dados relacionados ao rosto são armazenados em um ambiente com separação de rede e que os dados originais sem criptografia são destruídos. Essa afirmação não equivale a dizer que todas as fotos originais são apagadas imediatamente: fotos criptografadas ainda podem ser mantidas conforme a política de retenção após o cancelamento.

Registros de reclamações e regras de indenização deixam lacunas

Informações do Serviço de Supervisão Financeira encaminhadas ao gabinete de Park registraram seis reclamações sobre pagamentos com reconhecimento facial ao longo do ano anterior. Esse número não pode ser comparado diretamente com os 10 casos em que a Toss pagou indenizações. Um contabiliza reclamações recebidas por um órgão regulador; o outro, ocasiões em que uma empresa pagou uma indenização.

Também foi informado que erros em pagamentos faciais não aparecem nas estatísticas oficiais de incidentes do órgão regulador, pois sua classificação não os sujeita a essa obrigação de comunicação. Portanto, a ausência de um incidente nessas estatísticas não comprova que nenhuma reclamação tenha ocorrido.

A distinção jurídica diz respeito à autorização. Segundo o relato sobre a Lei de Transações Financeiras Eletrônicas, a categoria de indenização pertinente a fraudes em pagamentos se concentra em transações realizadas por terceiros não autorizados. Um erro de pagamento sem uso indevido por terceiros não é automaticamente considerado esse tipo de incidente.

A Toss afirma manter uma política de indenização integral por prejuízos decorrentes de transações fraudulentas. A Naver Pay oferece um processo separado de atendimento ao cliente para quem relata um pagamento pelo FaceSign que não fez. Essas medidas não provam que todos os pagamentos contestados tenham o mesmo status jurídico ou recebam a mesma resposta.

A questão ainda sem resposta é como classificar de forma consistente um pagamento em que a pessoa é identificada corretamente, mas cobrada sem ter a intenção de pagar. Os relatos não apontam uma nova categoria de comunicação já definida, uma decisão regulatória ou uma audiência marcada para resolver essa questão.

Há fiscalização de privacidade, mas o padrão de retenção ainda não foi definido

A Comissão de Proteção de Informações Pessoais realizou uma análise prévia de adequação do serviço de pagamento facial da Toss em março de 2024. A avaliação examinou o tratamento de dados pessoais em um processo que compara o rosto verificado durante o cadastro inicial com o rosto captado no terminal de pagamento. Isso mostra que o serviço passou por uma análise de privacidade antes da data de lançamento oficial mencionada no relato de outubro de 2026.

Uma intervenção separada ilustra outra abordagem para imagens retidas. Em maio do ano mencionado no relatório sobre retenção, a comissão recomendou que fotos originais e informações faciais usadas na ativação de celulares fossem destruídas imediatamente após a comparação. Essa recomendação diz respeito à ativação de telefones, não a um prazo obrigatório de retenção para pagamentos faciais.

As principais datas e acontecimentos são:

• 2020: A Shinhan Card lançou o primeiro serviço de pagamento facial da Coreia do Sul.
• Março de 2024: A Comissão de Proteção de Informações Pessoais avaliou as medidas de privacidade propostas pela Toss para o pagamento facial.
• Setembro de 2025: A Toss lançou oficialmente o FacePay, segundo o relato de 7 de outubro de 2026.
• Junho de 2026: Dados internos da Toss indicaram uso recorrente de cerca de 60% entre as pessoas que já haviam feito um pagamento com o FacePay.
• Agosto de 2026: A Toss informou mais de 7 milhões de cadastros acumulados no relato de outubro; outro relatório apresenta 8,4 milhões em agosto, sem identificar explicitamente o ano.

Comparações internacionais também exigem cautela. Restrições ao reconhecimento facial pela polícia e por órgãos públicos em lugares como San Francisco dizem respeito a usos diferentes dos pagamentos no varejo. O Regulamento Geral sobre a Proteção de Dados da União Europeia estabelece condições rigorosas para o processamento de dados biométricos para identificação, mas os relatos não apresentam um prazo estrangeiro para retenção de fotos diretamente comparável às políticas da Toss e da Naver Pay.

Park defendeu a definição explícita de prazos de retenção e de padrões de gestão para fotos faciais, além de um acompanhamento mais rigoroso das reclamações sobre pagamentos. Não foi indicada uma previsão para mudanças na legislação, revisão da política das empresas ou decisão regulatória. Os fatos imediatos são que os usuários podem encerrar o consentimento para autenticação enquanto uma foto original continua armazenada e que as disputas sobre pagamentos não entram todas no mesmo sistema oficial de registro.

Principais pontos

• A Toss mantém as fotos faciais originais após o cancelamento para usuários com qualquer histórico de transações e as destrói às 10h do 366º dia.
• A Toss apaga imediatamente as fotos de usuários que nunca fizeram transações. A Naver Pay mantém as fotos originais por 90 dias após o cancelamento.
• As duas empresas apagam imediatamente os modelos biométricos de identificação quando os usuários deixam o serviço ou revogam o consentimento.
• Segundo relatos, a Toss indenizou clientes em 10 casos de reclamação sobre pagamentos, mas afirma que nem todos representam falhas técnicas.
• O Serviço de Supervisão Financeira registrou seis reclamações no período descrito. Erros em pagamentos faciais não são incluídos nas estatísticas oficiais de incidentes do órgão.
• Os relatos sobre usuários cadastrados apresentam números e datas diferentes para agosto e, portanto, não estabelecem um total plenamente comparável.
• Não foi identificado um limite máximo específico para a retenção de fotos em pagamentos nem um prazo para resolver a disputa sobre a política.