Texto provisório, em revisão.

Privacidade

Versão 1 — vigência a partir de [PREENCHER: data de publicação]

O resumo em três pontos

Só você vê o seu espaço.
O modelo de IA não guarda o que recebe (retenção zero); trocar os nomes é opção sua, em cada caso.
Caso parado se apaga (90 dias até o arquivo, 2 anos até apagar, com aviso antes).

O resto deste texto explica cada ponto e diz o que mais precisa ser dito.

1. Quem somos e de que lado estamos

O Guarajur é um serviço que lê autos de processo judicial em PDF e ajuda o advogado a escrever peças. Ele é oferecido por [PREENCHER: razão social], CNPJ [PREENCHER], com sede em [PREENCHER: endereço].

Existem dois tipos de dado pessoal no serviço, e o nosso papel muda de um para o outro.

Dados da sua conta (nome, e-mail e foto). Aqui o Guarajur é o controlador: decidimos por que e como usamos esses dados.
Dados dos autos (clientes, partes, testemunhas e qualquer pessoa citada nos documentos que você envia). Aqui você é o controlador e o Guarajur é o operador. Tratamos esses dados só para fazer o que você pede e seguindo as suas instruções.

Por isso, a base legal para tratar os dados dos autos é responsabilidade sua. O item 3 dos Termos explica o que isso quer dizer na prática.

2. Quais dados tratamos

Da sua conta. Quando você entra com o Google, recebemos o seu nome, o seu e-mail e a sua foto. Não recebemos a sua senha do Google e não temos senha própria.

Da sessão. Criamos um cookie de sessão, que o navegador guarda por até 30 dias. O servidor guarda só uma impressão digital (um hash) desse cookie, nunca o valor em si. Se você sair, o registro da sessão é apagado e o cookie deixa de valer na hora.

Do seu trabalho. O que você coloca no serviço ou produz nele: os PDFs dos autos, o texto extraído, as conversas com a IA, as minutas, as partes, as suas preferências de formatação e os registros de atividade do caso.

Da Agenda do Google (opcional). Se você ligar a agenda, lemos os eventos dos calendários que você escolher. O acesso é só de leitura. Guardamos o título e a data dos eventos para mostrar o bloco do dia. O texto da descrição do evento é lido para achar o número do processo, mas não é guardado. Veja o item 6.

Registros técnicos. O servidor registra o que é necessário para funcionar e para achar defeitos, como horário e rota acessada. [A CONFIRMAR: o que exatamente entra nos logs do servidor e por quanto tempo ficam.]

3. Para que usamos os dados

Para identificar você e manter a sua sessão.
Para ler os autos, conversar sobre o caso e redigir as minutas que você pedir.
Para guardar o seu trabalho e entregá-lo a você quando pedir.
Para manter o serviço seguro e achar defeitos.
Para cumprir a lei e responder a ordem de autoridade competente.

Não usamos os dados dos seus casos para treinar modelos de IA, nem os nossos nem os de terceiros. Veja o item 5 sobre como isso é garantido com o provedor de IA. Também não vendemos dados e não usamos os dados dos casos para publicidade.

4. Quem vê os seus dados

Só você vê o seu espaço. Cada conta tem o seu espaço separado. Outra conta do serviço não enxerga os seus casos. O acesso ao serviço é só por convite, e cada pedido é conferido contra a sua sessão.

Nós. A administração do serviço pode, por necessidade técnica, acessar o ambiente onde os dados ficam. [A DECIDIR: a regra de quando a equipe pode abrir um caso de usuário, por exemplo só com pedido do próprio usuário para suporte.]

Quem hospeda. Os dados ficam em servidor na nuvem do Google, em São Paulo. [A CONFIRMAR: essa hospedagem entra com a segunda pessoa; até lá, o servidor é uma máquina própria do responsável pelo serviço.] A Cloudflare cuida do endereço do site (DNS) e não recebe o conteúdo dos casos. [A CONFIRMAR: vale só depois da mudança. Hoje a Cloudflare está no caminho do tráfego e vê o conteúdo em trânsito, conforme a ADR-0013.]

O provedor de IA. Veja o item 5.

Autoridades. Só quando houver ordem legal válida.

5. O que sai para o provedor de IA

Para escrever e revisar a peça, o texto do caso e, nas páginas escaneadas, a imagem da página são enviados a modelos de IA de terceiros. Isto é o que fazemos para proteger os dados nesse envio.

Retenção zero. Todo pedido ao provedor exige que o modelo seja servido por empresa com política de retenção zero de dados e sem coleta para treino. Se nenhuma empresa da lista atender, o pedido falha, em vez de sair para outra. Esta é a proteção que vale para todo caso. O provedor de IA usa um intermediário, a OpenRouter, que encaminha o pedido ao modelo. [A CONFIRMAR: nome e sede das empresas que hoje servem o modelo e se a retenção zero está escrita nos contratos delas ou só na lista de endpoints do intermediário.]

Troca de nomes, se você marcar. Ao começar um caso, você pode marcar «Pseudonimizar nomes e documentos deste caso». A opção vem desmarcada. Marcada, os nomes de pessoas nos autos são trocados por marcadores, como «PESSOA_1», antes do envio. A tabela que liga o marcador ao nome real fica só no nosso servidor, e os nomes são recolocados antes de você ver qualquer tela. A escolha vale para o caso inteiro e não muda depois. Desmarcada, o texto do caso vai ao modelo como está, sob a retenção zero.

A troca não é perfeita. Ela é feita por programa. Um nome que o programa não reconhecer pode seguir sem troca, e a troca deixa a leitura um pouco mais lenta. Órgãos públicos e o número do processo não são trocados, porque são informações públicas. O restante do texto, incluindo dados de saúde em prosa, segue no texto enviado. A troca vale só para o texto: a imagem de uma página escaneada, enviada para leitura sob a mesma retenção zero, leva os nomes como estão.

Fora do Brasil. Esses modelos rodam em servidores fora do Brasil. Ou seja, há transferência internacional de dados (LGPD, art. 33). [A DECIDIR: a base e o instrumento que o dono adota para essa transferência, como cláusulas-padrão ou outra hipótese do art. 33.] Reduzimos o risco com a retenção zero e, nos casos em que você marcar, com a troca de nomes.

6. Agenda do Google

A ligação é opcional e você a desfaz quando quiser. Pedimos só o acesso de leitura (escopo calendar.readonly). Lemos os eventos dos calendários que você marcar. Guardamos o título e a data de cada evento. A descrição é usada para achar o número do processo e depois é descartada.

Só o título dos eventos que casaram com um caso vai para a conversa, e só quando você clica para isso. O que o serviço recebe do Google é tratado de acordo com a Política de Dados de Usuário dos Serviços de API do Google, incluindo os requisitos de uso limitado. [A CONFIRMAR: o texto exato que o Google exige para verificação do aplicativo.]

7. Quanto tempo guardamos

O caso parado se apaga, com aviso antes.

90 dias depois da última atividade do caso, ele vai para o arquivo. Ele sai da sua lista, mas continua guardado.
2 anos depois de arquivado, o caso é apagado de vez.
30 dias antes de apagar, avisamos na tela, com o botão «Manter este caso», que recomeça a contagem dos 2 anos.
Você pode arquivar, desarquivar e apagar um caso ou um processo a qualquer momento.

Enquanto houver caso com tarefa aberta, ele não é arquivado.

Cópias de segurança. Fazemos cópia noturna e guardamos 7 dias. Um caso apagado pode permanecer nas cópias por até 7 dias. [A CONFIRMAR: essas regras serão as mesmas na nuvem. E o destino das cópias hoje, que inclui um disco do responsável pelo serviço, precisa ser revisto antes da segunda pessoa.]

Conta. Enquanto a conta existir, guardamos nome, e-mail e foto. [A CONFIRMAR: o que acontece com a conta e os dados quando você pede o encerramento. A tela de apagar a conta ainda está em construção; até lá, o pedido é por e-mail.]

Importante sobre o código. A regra de apagar está escrita e testada, mas hoje ela só roda quando o responsável a dispara, depois de uma simulação. O agendamento automático está em construção. [A CONFIRMAR: só publicar a frase «se apaga» depois do agendamento rodar.]

8. Como protegemos os dados

Entrada só com Google, com o token conferido no servidor (assinatura, emissor, validade e e-mail verificado).
Cookie de sessão httpOnly, que o JavaScript da página não lê.
Pedidos que alteram dados só são aceitos da própria tela do serviço.
Espaços separados por conta, com teste automático que percorre as rotas para provar o isolamento.
Conexão criptografada (HTTPS).
Cifra dos dados dos casos: uma chave por caso, guardada sob uma chave-mestra em serviço de chaves do Google Cloud. [A CONFIRMAR: está em construção e só deve ser prometida depois de pronta e testada. Hoje os arquivos dos casos ficam em disco sem cifra por aplicação, protegidos pela cifra do disco.]

Nenhum sistema é perfeito. Se houver incidente de segurança que possa causar dano relevante, avisaremos você e a ANPD nos termos da lei. [A DECIDIR: prazo interno de aviso.]

9. Os seus direitos

Quanto aos dados da sua conta, e como titular, você pode pedir, nos termos do art. 18 da LGPD: confirmação de que tratamos os seus dados; acesso; correção; anonimização, bloqueio ou eliminação de dado desnecessário ou tratado fora da lei; portabilidade; eliminação dos dados tratados com o seu consentimento; informação sobre com quem compartilhamos; informação sobre a possibilidade de não consentir e suas consequências; e a revogação do consentimento.

Como exportar. O serviço tem a opção «Exportar tudo», que entrega os seus casos em um arquivo ZIP (texto já com os nomes reais, PDFs enviados, compromissos, partes, atividade e regras de formatação). Esse arquivo não leva a tabela de marcadores nem o que existe só para o modelo.

Como pedir o resto. Escreva para [PREENCHER: e-mail de contato]. Respondemos em até [PREENCHER: prazo; a LGPD fixa prazos para cada pedido].

Se você não é o usuário. Se você é cliente, parte ou testemunha em um processo que um advogado usuário carregou no Guarajur, o controlador dos seus dados é esse advogado. Procure-o primeiro. Se preferir nos escrever, encaminhamos o seu pedido ao controlador. Você também pode reclamar à ANPD.

10. Encarregado pelo tratamento de dados (DPO)

[PREENCHER: nome e contato do encarregado.]

11. Crianças

O serviço é profissional e não é dirigido a menores de 18 anos.

12. Mudanças nesta política

Quando mudarmos esta política, publicaremos a nova versão aqui, com a data. Mudança relevante será avisada na tela, e pode pedir novo aceite. O aceite fica gravado com a data e a versão.

13. Contato

[PREENCHER: e-mail de contato]