Politica de Privacidade (LGPD)

POLITICA DE PRIVACIDADE - Vereditum

Versao: 2.0.1
Publicado em: 2026-05-29
Base legal: Lei 13.709/2018 (LGPD)

1. QUEM SOMOS

Vereditum opera plataforma assistiva multi-area para advogado(a) e contador(a) brasileiro(a), com catalogo juridico em 14 areas e vertical contabil para rotinas assistivas revisadas por profissional habilitado.
Email para questoes de privacidade: contato@vereditum.com

2. QUAIS DADOS COLETAMOS

Coleta total no signup (vide ADR 0023 + Termos de Uso secao 6):

a) Dados profissionais:
   - Email profissional (auth + comunicacao transacional) - Art. 7 V
   - Nome completo (personalizar UI + NF futura) - Art. 7 V
   - Senha em hash PBKDF2-SHA256 + pepper rotacionavel - Art. 7 V + Art. 46
   - OAB numero + UF (advogado(a)) ou CRC (contador(a) em modulo tributario) - Art. 7 V

b) Dados fiscais (para emissao de NF de servico - LC 116/2003):
   - Tipo pessoa (PF | PJ)
   - CPF (se PF) - armazenado com hash SHA-256 + criptografia at-rest
   - CNPJ + razao social (se PJ) - dado publico em receita.fazenda.gov.br
   - Endereco completo (CEP, logradouro, numero, complemento, bairro, cidade, UF)

c) Dados de contato:
   - Telefone E.164 - suporte tecnico (Art. 7 V); contato comercial OPT-IN destacado (Art. 7 IX, revogavel)

d) Dados do conteudo do caso (modulo ativo):
   - Titulo, descricao, tags, teses. A descricao e anonimizada automaticamente (CPF/CNPJ/email/OAB/numero CNJ) ANTES de qualquer processamento por IA externa.

e) Dados tecnicos:
   - Hash de IP (SHA-256, sem IP cru) e user-agent para audit (LGPD Art. 37). Retencao 6 meses.
   - Identificador da sessao + refresh token (rotacao - ADR 0016).
   - Hash do texto dos documentos legais aceitos (versionamento SHA-256).

3. BASE LEGAL POR FINALIDADE (LGPD Art. 7)

a) Inciso V (execucao de contrato): autenticacao, processamento de casos, audit log, NF futura. Necessario para prestacao do servico.
b) Inciso II (cumprimento de obrigacao legal): retencao de dados fiscais para audit (CTN Art. 174 - 5 anos); emissao de NF de servico (LC 116/2003).
c) Inciso IX (interesse legitimo): seguranca da plataforma, prevencao a fraude, contato comercial DESDE QUE com opt-in destacado e revogavel (Art. 8 §5).
d) Inciso I (consentimento): transferencia internacional de dados anonimizados a servicos de IA fora do Brasil (vide secao 4).

4. TRANSFERENCIA INTERNACIONAL (LGPD Art. 33)

Componentes de infraestrutura podem envolver transferencia internacional de dados:
- Servico de inteligencia artificial para processamento de texto ANONIMIZADO em data centers fora do Brasil.
- Servico de envio de email transacional (signup, reset de senha, suporte) em data centers fora do Brasil.
- Infraestrutura de banco de dados e edge computing distribuida globalmente, com regiao automatica usualmente no Brasil.

A base legal para essa transferencia, conforme LGPD Art. 33 inciso VIII, e o seu CONSENTIMENTO ESPECIFICO E EM DESTAQUE - obtido no aceite desta Politica.

A descricao do caso e anonimizada (PII removida) ANTES de envio a servicos de IA. Dados nao mascaraveis (como o seu email) sao tratados sob a base legal de execucao de contrato (Art. 7 V).

5. ANONIMIZACAO (LGPD Art. 5 III + Art. 12)

A anonimizacao da descricao do caso e processo TECNICO aplicado ANTES de envio a IA externa. Sao removidos: CPF, CNPJ, email, OAB, CRC, numero CNJ, telefones.

ATENCAO: anonimizacao tecnica NAO retroage a base legal da coleta. Dados que VOCE inseriu sao coletados sob LGPD; a anonimizacao garante que o servico de IA externo nao receba PII identificavel, mas NAO desobriga voce, como controlador, das suas obrigacoes LGPD perante seu cliente final.

6. SEUS DIREITOS COMO TITULAR (LGPD Art. 18)

Voce tem direito a:
a) Confirmacao da existencia de tratamento (Art. 18 I)
b) Acesso aos dados (Art. 18 II) - export em JSON via /app/conta/exportar
c) Correcao de dados incompletos/desatualizados (Art. 18 III)
d) Anonimizacao, bloqueio ou eliminacao de dados desnecessarios (Art. 18 IV)
e) Portabilidade (Art. 18 V) - export estruturado
f) Eliminacao dos dados tratados com consentimento (Art. 18 VI) via /app/conta/excluir
g) Informacao sobre uso compartilhado (Art. 18 VII)
h) Informacao sobre nao fornecer consentimento (Art. 18 VIII)
i) Revogacao do consentimento (Art. 18 IX) - opt-in comercial revogavel a qualquer momento

Para exercer qualquer direito: contato@vereditum.com ou via painel /app/conta. Atendimento em ate 15 dias uteis conforme Art. 19 LGPD.

7. RETENCAO DE DADOS

a) Conta ativa: dados retidos enquanto houver relacao contratual.
b) Conta cancelada/excluida: cascade delete em 45 dias (LGPD Art. 18 V).
c) Audit log e registros de aceite legal: ate 5 anos (obrigacao legal fiscal CTN Art. 174 e LGPD Art. 7 II).
d) Hash de IP + user agent: 6 meses (legitimo interesse - prevencao fraude).
e) Telefone com opt-in comercial: ate revogacao OU 12 meses sem contato.

8. SEGURANCA (LGPD Art. 46)

Adotamos medidas tecnicas e administrativas:
- Anonimizacao automatica de PII em campos livres antes de envio a IA.
- Isolamento estrito entre escritorios (cada caso so e visivel ao seu tenant).
- Token de sessao com expiracao curta e refresh token com rotacao (ADR 0016).
- Senha hash PBKDF2-SHA256 (100.000 iteracoes no ambiente Cloudflare Workers) + pepper rotacionavel via secret.
- Hash de IP para audit (sem armazenamento de IP cru).
- HTTPS obrigatorio.
- Penetration test programado antes do go-live publico (ADR 0022).

9. ENCARREGADO DE DADOS (DPO)

Em definicao - sera registrado e atualizado nesta Politica antes do go-live publico definitivo. Comunicacao provisoria: contato@vereditum.com.

10. OPT-IN PARA CONTATO COMERCIAL (LGPD Art. 7 IX + Art. 8 §1)

Durante o signup, voce pode optar separadamente por receber contato comercial via telefone para conhecer mais sobre os planos. Este opt-in:
- E DESTACADO da aceitacao destes Termos e Privacidade.
- NAO e obrigatorio para usar a plataforma.
- Pode ser revogado a qualquer momento via /app/conta ou email para contato@vereditum.com.
- A revogacao nao afeta tratamento ja realizado.

11. ALTERACOES DESTA POLITICA

Esta Politica pode ser atualizada. Mudancas substanciais serao comunicadas por email com 30 dias de antecedencia e voce sera solicitado(a) a aceitar a nova versao no proximo login (versionamento SHA-256 - ADR 0013).

DISCLAIMER PROFISSIONAL OBRIGATORIO:

Este servico nao substitui consultoria juridica ou contabil profissional. Validar decisoes com advogado(a) registrado(a) na OAB ou contador(a) registrado(a) no CRC competente.