1. Seus dados são seus
Os processos, documentos e dados pessoais que o advogado ou o escritório insere na Plataforma pertencem a ele. A avera atua como operadora, nos termos da Lei Geral de Proteção de Dados Pessoais (LGPD), e trata esse conteúdo somente para prestar os serviços contratados e conforme as instruções do controlador.
- Não vendemos, não alugamos e não compartilhamos esse conteúdo com terceiros para finalidades próprias deles ou da avera.
- Ele é tratado apenas pelos fornecedores (suboperadores) necessários à prestação do serviço, listados no Acordo de Tratamento de Dados, todos sob contrato com obrigações de confidencialidade e proteção de dados.
- Dentro da Plataforma, o conteúdo de cada Empresa só é acessível aos Usuários e convidados a quem a própria Empresa concedeu acesso.
2. Infraestrutura Microsoft Azure
A Plataforma, o banco de dados, os documentos e as cópias de segurança ficam na nuvem da Microsoft Azure, em data center nos Estados Unidos, em Kubernetes gerenciado, com armazenamento privado e sem acesso anônimo.
A Microsoft mantém para a Azure certificações e relatórios de auditoria independentes, como ISO/IEC 27001, ISO/IEC 27018 e SOC 2. Essas certificações são do provedor de nuvem; as medidas que a própria avera adota estão na Política de Segurança da Informação.
3. IA sem treinamento com seus dados
Nenhum documento e nenhum dado pessoal inserido na Plataforma é usado para treinar modelos de inteligência artificial, nem pela avera nem pelos provedores de IA.
- Contratos com os provedores de IA: a avera tem contrato com a OpenAI e com a Anthropic (Claude), com acordo de tratamento de dados que proíbe o uso do conteúdo enviado para treinar ou melhorar modelos.
- Retenção zero na OpenAI: a conta da avera na OpenAI opera com retenção zero de dados (Zero Data Retention), e as requisições aos modelos são feitas sem armazenamento das respostas. O conteúdo é usado para gerar a resposta e não fica guardado pelo provedor.
- Arquivos de apoio à análise: para que os Agentes de IA consultem os autos, os documentos de cada processo são indexados em um repositório de busca exclusivo daquele processo. Esses arquivos ficam disponíveis somente para os Agentes de IA da Empresa e são excluídos quando o documento é removido.
- Treinamento da IA: o treinamento aprende o estilo de escrita do advogado gerando instruções de estilo exclusivas da conta dele. Nenhum modelo de IA é treinado ou ajustado. Antes do envio, números de CPF, CNPJ, processo, OAB, RG, e-mails, telefones e CEPs são mascarados.
- Os resultados da IA são sempre revisados pelo advogado, conforme os Termos de Uso.
4. Criptografia
- Em trânsito: todo acesso usa HTTPS (TLS), com redirecionamento obrigatório e HTTP Strict Transport Security (HSTS). As chamadas aos provedores de IA, aos tribunais e ao CNJ também usam TLS.
- Em repouso: banco de dados, documentos e cópias de segurança usam a criptografia em repouso da Microsoft Azure. As credenciais de acesso aos tribunais têm uma camada adicional de criptografia AES-256-GCM, com a chave guardada fora do banco de dados.
- Senhas são armazenadas apenas como hash.
5. Controle de acesso e auditoria
- Cada pessoa usa conta própria, com e-mail confirmado, bloqueio após tentativas de login sem sucesso e autenticação em dois fatores disponível para todas as contas.
- O acesso a cada processo é verificado a cada requisição.
- Cada alteração, login, falha de login e mudança de segurança da conta é registrado com usuário, endereço IP e data e hora, em trilha que só aceita inclusões.
- Senhas, códigos do segundo fator e tokens nunca são gravados em registros (logs).
Os detalhes estão nas seções Identidade e acesso e Trilha de auditoria da Política de Segurança da Informação.
6. Retenção e exclusão
O conteúdo é mantido enquanto a conta e a contratação estiverem ativas. Os documentos enviados ao Treinamento da IA ficam em armazenamento temporário e são apagados depois de processados. Ao fim do contrato, o conteúdo pode ser exportado e é eliminado, inclusive nos suboperadores, salvo quando a lei exigir a conservação. Os prazos estão na seção Retenção e eliminação da Política de Privacidade e no Acordo de Tratamento de Dados.
7. Incidentes
A aplicação e o ambiente são monitorados continuamente. Um incidente de segurança que envolva dados pessoais tratados para o advogado ou o escritório é comunicado a ele em até 48 horas da confirmação, para que possa cumprir as obrigações de controlador perante a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares, como prevê o art. 48 da LGPD.
8. Governança e LGPD
- Os papéis e as obrigações de cada parte estão no Acordo de Tratamento de Dados, que integra os Termos de Uso.
- Os provedores de nuvem e de IA processam dados nos Estados Unidos. Essas transferências internacionais seguem o art. 33 da LGPD e o regulamento da ANPD.
- O encarregado pelo tratamento de dados pessoais da avera é , contatado em .