Segurança e proteção de dados

Como o IAJus trata dados pessoais, inclusive dados pessoais sensíveis de saúde (LGPD, art. 11), e protege o conteúdo dos órgãos.

Conteúdo não é usado para treinar modelos

É vedada contratualmente a utilização do conteúdo inserido pelos usuários (instruções, documentos enviados e respostas geradas) para treinamento ou aprimoramento de modelos de IA. A vedação é obrigação do titular do serviço nos Termos de Uso (cláusula 5) e no Acordo de Tratamento de Dados (cláusula 3), e não uma configuração opcional do usuário.

Os modelos são acessados pelas APIs comerciais dos provedores (suboperadores), cujos termos comerciais também vedam o uso do conteúdo dos clientes para treinamento. A plataforma não oferece nenhum recurso de compartilhamento de dados para treinamento.

Acordo de tratamento de dados pessoais

O Acordo de Tratamento de Dados Pessoais, compatível com os arts. 37 a 40 da LGPD, define o órgão como controlador e o titular do serviço como operador. O administrador do ambiente aceita o acordo em nome do Município no painel de gestão (Gestão → Licença e dados → Aceitar termos); o aceite é registrado com data, hora, IP, versão e o hash (SHA-256) do texto aceito.

Países de armazenamento e processamento e transferência internacional

A transferência internacional para o processamento pelo modelo ocorre com base no art. 33, II, da LGPD, por meio de cláusulas contratuais com garantias de proteção (acordo de tratamento de dados do provedor, com cláusulas-padrão contratuais), nos termos da regulamentação da ANPD (Resolução CD/ANPD nº 19/2024). Detalhes na página de suboperadores.

Criptografia em trânsito e em repouso

• Em trânsito: todo acesso por HTTPS (TLS 1.2 ou superior), com redirecionamento obrigatório e HSTS. As chamadas aos provedores de IA também usam TLS.
• Em repouso: títulos e mensagens das conversas, nomes, orientações e textos extraídos ficam cifrados no banco de dados; os arquivos enviados e gerados ficam cifrados no disco. Cifra simétrica AES-256 (modo CBC com autenticação HMAC-SHA-256), com chave exclusiva da instalação, guardada fora do banco.
• Backups mantêm o conteúdo cifrado da mesma forma.
• Senhas armazenadas com hash bcrypt; sessões cifradas.

Política de retenção e eliminação

• Conversas, espaços e arquivos ficam guardados enquanto a licença estiver vigente, ou pelo prazo de retenção definido pelo órgão (exclusão automática das conversas sem uso há mais de N dias).
• O administrador pode excluir a qualquer momento conversas, espaços e arquivos, individualmente ou em lote, e eliminar todos os dados do ambiente.
• Ao término da vigência, os dados ficam disponíveis por 30 dias para exportação e depois são eliminados automaticamente (LGPD, art. 16), inclusive os arquivos no disco. Backups expiram pela rotação em até 30 dias.
• Planilhas enviadas ao ambiente de execução de código do provedor são apagadas logo após a resposta.
• Pelo lado do provedor do modelo, o conteúdo das requisições segue a política de retenção comercial dele, informada na página de suboperadores.

A contratada não acessa o conteúdo

O conteúdo das conversas, documentos e dados inseridos pertence ao órgão. A equipe de suporte da contratada (perfil "operador") não tem tela nem permissão de acesso ao conteúdo: o painel de operação mostra apenas organizações, assentos, chamados e indicadores. O conteúdo fica cifrado no banco e no disco, os registros de log não guardam o texto das conversas, e o acesso administrativo ao servidor é restrito, por chave, e auditado. Chamados de suporte não exigem que o órgão compartilhe conteúdo.

Exclusão e exportação pelo administrador

No painel de gestão, o administrador exclui conversas, espaços de trabalho e arquivos (Gestão → Conteúdo) e exporta todos os dados em formato legível (Gestão → Licença e dados → Exportar): pacote ZIP com cada conversa em Markdown e em JSON, os espaços com orientações e documentos e todos os arquivos no formato original. Isso assegura a continuidade administrativa e a transição para outra solução.

Outros controles

• Isolamento entre organizações em todas as consultas.
• Assento nominal: um login encerra as sessões anteriores do mesmo usuário; limite de tentativas de login.
• Trilha de auditoria das ações administrativas (usuários, assentos, organizações, chamados e eliminações).
• Monitoramento de disponibilidade a cada minuto, com página pública de status.
• Incidentes de segurança são comunicados ao órgão em até 48 horas da ciência, para as providências do art. 48 da LGPD.

Versão do documento: 2026.10 · IAJus Corporativo · titular do serviço: Nabram