Resumo

  • A DoorDash atribuiu o acesso indevido de setembro de 2019 a um de seus fornecedores de serviços; cerca de 4,9 milhões de clientes, entregadores e comerciantes foram afetados.
  • O registro retido para esta apuração diz onde os dados estavam, nunca quem respondia pelo controle que falhou, e não traz nenhuma sanção ligada ao episódio de 2019.
  • A única ação da Califórnia localizada contra a empresa trata de outra conduta: venda de dados pessoais sem aviso nem opção de recusa, em fevereiro de 2024.
  • Reparação auditável exige escopo de dados e acessos, dono nomeado do controle, auditoria exercida, reteste independente e uma saída real do fornecedor.

Em setembro de 2019, a DoorDash comunicou que um terceiro não autorizado havia acessado informações mantidas por um dos seus fornecedores de serviços. Cerca de 4,9 milhões de pessoas foram atingidas, num público que reunia clientes, entregadores cadastrados como Dashers e comerciantes parceiros. Os dados descritos como tipicamente envolvidos eram nomes, endereços de e-mail, endereços de entrega, histórico de pedidos e senhas guardadas em hash, além, em alguns casos, dos quatro últimos dígitos de cartões de pagamento de consumidores (registro do incidente).

A frase que importa está no começo, e não no fim: as informações estavam com um fornecedor. O aviso informa a localização do dado, não a titularidade do controle. Não diz qual sistema cedeu, de quem era a responsabilidade sobre ele, quando a intrusão começou, por quanto tempo permaneceu aberta, nem se um subcontratado participou do episódio. Quem lê o comunicado sai sabendo que perdeu dados guardados fora da empresa — e não sabe a quem perguntar por quê.

Essa assimetria é o caso. Uma plataforma de entrega entrega comida na porta de milhões de casas, e o dado que vaza viaja por uma cadeia de fornecedores que o cliente nunca escolheu, nunca viu e não tem como avaliar. O fornecedor opera o ambiente: cuida do servidor, da configuração, do acesso, da credencial. A DoorDash mantém a relação pública com clientes, entregadores e comerciantes, e portanto mantém também a obrigação de explicar. A operação e a garantia são funções distintas, e o aviso de 2019 descreve apenas a primeira.

A versão da própria empresa sobre a reação foi esta: sistemas protegidos, protocolos de segurança reforçados, titulares notificados. É uma declaração de providências, não um resultado de teste. A diferença não é retórica. Proteger um sistema depois de uma intrusão é atividade normal de resposta; provar que a fronteira com o fornecedor passou a ser verificável é outra coisa, exige documento, dono e data. O que o registro retido oferece é a afirmação de que algo foi feito. A afirmação é verdadeira como afirmação. Ela não demonstra que a fragilidade foi corrigida, nem que continuou corrigida no ano seguinte.

Converter declaração em prova tem um roteiro conhecido. Um relatório de causa raiz que nomeie o controle que falhou e a parte responsável por ele. A janela de acesso, com data de descoberta e data de contenção. A quebra do número total por população, porque 4,9 milhões de clientes, entregadores e comerciantes não são a mesma exposição. E o resultado de um reteste feito por quem não assina o contrato do fornecedor. Nenhum desses itens aparece no material retido para esta apuração.

Dentro desse material — o resumo do incidente e dois textos sobre o acordo californiano de 2024 — não há multa, ordem, sentença, recuperação contratual ou desfecho regulatório sigiloso ligado ao episódio de 2019. A ausência é limitada ao que foi lido e pesquisado, e é assim que deve ser lida: não como prova de que nada aconteceu em lugar nenhum, mas como o retrato de um caso que gerou notificação e não gerou registro público de responsabilização.

Quatro anos e meio depois, em fevereiro de 2024, a Procuradoria-Geral da Califórnia anunciou um acordo com a DoorDash que resolvia alegações sob a Lei de Privacidade do Consumidor da Califórnia e a Lei de Proteção à Privacidade Online da Califórnia, relativas à venda de informações pessoais de consumidores sem aviso e sem oportunidade de recusa, acompanhadas de obrigações de fazer sobre suas práticas de dados (anúncio da Procuradoria-Geral, reportagem sobre o litígio).

Essa ação trata da conduta da própria DoorDash: o que ela vendeu, o que avisou e que escolha ofereceu. Não é o acesso de 2019, não é o fornecedor de 2019, não é o controle que falhou em 2019. Tratar uma coisa como punição da outra seria conferir a um processo o efeito que ele não teve. E o valor anunciado não é reproduzido aqui: os documentos retidos para esta apuração não trazem o texto literal do anúncio, e um número publicado sem essa confirmação seria chute com aparência de dado.

O que sobra é desconfortável e útil. Uma empresa pode sofrer uma perda mediada por fornecedor, notificar milhões de pessoas, declarar reforço de protocolos e seguir operando — e o público continua sem um documento que lhe permita julgar se a fronteira ficou mais segura. A notificação cumpre a função de avisar. Não cumpre a de demonstrar.

A fronteira auditável tem componentes concretos: escopo definido de quais dados e quais acessos o fornecedor pode tocar; dono nomeado de cada controle, do lado do contratante e do lado do contratado; ações corretivas amarradas a uma causa raiz identificada, não a um diagnóstico genérico; direitos mensuráveis de notificação e de auditoria, com prazo e com consequência; evidência que o operador consiga ver sem depender do relato do fornecedor; reteste independente depois da correção; e uma saída real, com portabilidade de dados e prazo de transição. Sem o último item, os outros seis são promessas.

A saída é o teste mais duro porque é o único que não pode ser respondido com documentação. Um contrato que permite auditoria e nunca teve uma auditoria exercida é uma cláusula, não um controle. Um direito de rescisão que exigiria migrar um sistema inteiro em semanas é uma frase de efeito. A pergunta prática que qualquer conselho deveria fazer ao fornecedor de dados críticos é simples e desagradável: se precisássemos trocar você no trimestre que vem, o que exatamente travaria?

A DoorDash aparece no diretório da BTW como um caso de risco e responsabilização, e é isso que ele é: um caso sobre a distância entre o anúncio de uma falha e qualquer registro que permita medi-la. O episódio de 2019 terminou num comunicado. O de 2024 terminou num acordo sobre outra matéria. Entre os dois há um vazio que não é literário — é a ausência de um documento que transformasse a relação com o fornecedor em algo que um cliente, um conselheiro ou um regulador pudesse abrir, conferir e, se necessário, encerrar.

Uma empresa que coordena milhões de entregas por dia sabe operar logística sob pressão. A competência que este dossiê cobra é diferente: desenhar a fronteira com o fornecedor de modo que ela sobreviva à falha, à rotatividade de fornecedor e ao escrutínio. Enquanto essa fronteira existir apenas como cláusula assinada e comunicado emitido, o próximo aviso vai ter a mesma estrutura do de 2019 — um lugar, nenhum responsável.