Política de Cookies

Versão 0.3 · 31/10/2026

MINUTA — em revisão jurídica. Este texto (versão 0.3, 31/10/2026) ainda não foi revisado por advogado(a) nem publicado oficialmente. Os trechos entre colchetes dependem de decisão ou de funcionalidade ainda não disponível.

MINUTA — sujeita a revisão jurídica. Inventário conferido no código em 31/10/2026: packages/auth/src/index.ts (configuração do Better Auth 1.7.14), apps/web/middleware.ts, apps/web/components/providers.tsx (tema) e apps/web/components/auth/cadastro-form.tsx. Não há script, fonte, pixel ou analytics de terceiros: a CSP da aplicação só admite scripts com nonce do próprio servidor, e as fontes são servidas pelo próprio app. Atualizar esta política antes de incluir qualquer cookie novo.

Campo	Valor
Versão	0.3 (MINUTA) · 2026-10-31
Fundamento	LGPD, arts. 6º, 7º, V e IX, e 9º; Marco Civil da Internet, art. 7º, VIII e IX. Referência de boas práticas: Guia Orientativo "Cookies e proteção de dados pessoais" da ANPD [CONFERIR versão vigente; a original é de 2022]
Escopo	Aplicação web do Flux Jurídico (domínio `flux-juridico.adv.br`) e página pública `/bot`. Um futuro site comercial terá seção própria

1. O que são cookies e tecnologias semelhantes

Cookies são pequenos arquivos que o site grava no seu navegador. O armazenamento local (localStorage) é uma tecnologia semelhante, que guarda informações no navegador sem enviá-las ao servidor a cada requisição. Esta política trata dos dois.

2. Cookies que usamos

Todos são próprios (do domínio do Flux Jurídico) e estritamente necessários: sem eles não é possível entrar na conta nem manter a sessão segura. Por isso não dependem de consentimento; a base legal é a execução do contrato (art. 7º, V) e o legítimo interesse na segurança (art. 7º, IX) [CONFERIR].

Nome (em produção, com HTTPS)	Finalidade	Duração	Atributos	Conteúdo
`__Secure-better-auth.session_token`	Manter você conectado e identificar a sessão no servidor	Até 12 h sem uso, renovado durante o uso; a sessão termina em no máximo 7 dias desde o login	`HttpOnly`, `Secure`, `SameSite=Lax`, `Path=/`	Token assinado e aleatório. O servidor guarda, junto com a sessão, o IP e o navegador usados
`__Secure-better-auth.two_factor`	Ligar a etapa de senha à etapa do código do segundo fator no login	10 minutos, ou até concluir o login	`HttpOnly`, `Secure`, `SameSite=Lax`, `Path=/`	Identificador temporário, sem dado pessoal legível

Observações:

Em ambiente de desenvolvimento local (sem HTTPS), os mesmos cookies aparecem sem o prefixo __Secure-.
O Better Auth também define, em outras configurações, os cookies session_data (cache da sessão), dont_remember ("não manter conectado") e trust_device ("confiar neste dispositivo" no 2FA). Nenhum deles é usado pelo Flux Jurídico hoje: o cache de sessão está desligado e a interface não oferece essas opções. Se forem ligados, esta tabela será atualizada antes.
A proteção contra falsificação de requisição (CSRF) é feita pela checagem de origem do Better Auth e pelo atributo SameSite, sem cookie próprio.
O feed de agenda (ICS) não usa cookie: é acessado por um link com token secreto, gerado e revogável pelo próprio usuário.

3. Armazenamento local no navegador

Chave	Finalidade	Duração	Conteúdo
`theme`	Lembrar a preferência de tema (claro, escuro ou do sistema)	Até você limpar os dados do navegador	Só a palavra `light`, `dark` ou `system`
`fj:cadastro` (armazenamento da sessão da aba, `sessionStorage`)	Guardar, entre o cadastro e a confirmação do e-mail, o nome do escritório e a OAB digitados no formulário, para completar o cadastro depois da verificação	Até concluir o cadastro do escritório ou fechar a aba	Nome do escritório, número e UF da OAB. Não guarda CPF nem CNPJ (pedidos só no onboarding e enviados direto ao servidor)
`fj:aceite-pendente` (`sessionStorage`)	Lembrar, entre o cadastro e o primeiro acesso, que você marcou o aceite dos Termos e da Política, para registrá-lo assim que houver sessão	Até registrar o aceite, fechar a aba ou 24 horas	Só o documento, a versão, o SHA-256 do texto e a hora; nenhum dado pessoal

Versões anteriores guardavam CPF/CNPJ e OAB no localStorage; o cadastro atual apaga essa chave antiga do navegador ao abrir.

4. O que não usamos

Cookies de publicidade, de redes sociais ou de rastreamento entre sites.
Ferramentas de analytics de terceiros (Google Analytics, Meta Pixel ou semelhantes).
Fontes, scripts ou conteúdo incorporado de terceiros.

Se algum desses passar a ser usado, a NeuralFlux: (a) atualizará esta política antes; (b) pedirá o consentimento do usuário, com a opção de recusar sem perder acesso à Plataforma, para tudo o que não for estritamente necessário; (c) incluirá o fornecedor na lista de suboperadores ou de fornecedores, conforme o caso.

5. Como gerenciar

Você pode apagar ou bloquear cookies e o armazenamento local nas configurações do navegador. Bloquear os cookies da seção 2 impede o login na Plataforma. Apagar a chave theme só faz o tema voltar ao padrão do sistema.

6. Contato

Dúvidas sobre esta política: encarregado(a) [ENCARREGADO], [E-MAIL DO ENCARREGADO]. Ver também a Política de Privacidade.

Dependências técnicas (para a integração)

Manter esta tabela em sincronia com a configuração do Better Auth: mudar session.expiresIn, ligar cookieCache, rememberMe ou trustDevice exige revisão desta política.
fj:cadastro trocado por sessionStorage sem CPF/CNPJ (Fase 7, backlog §2, item 5): feito.
Quando houver site comercial com analytics: banner de consentimento antes de qualquer cookie não necessário.

Impressão digital (sha256) desta versão: 6dc44e0fa423e7f38fd3e7bd5549ff58b17de87a9e6ec5b4381ed29ef0dc0162