Acordo de Tratamento de Dados Pessoais (DPA)

MINUTA — sujeita a revisão jurídica. Anexo dos Termos de Uso, aceito eletronicamente pelo(a) administrador(a) do escritório no cadastro. Prevalece sobre os Termos em matéria de proteção de dados. Não pode ser oferecido a escritório com dados reais antes de cumpridas as condições do README §4 e de resolvidas as promessas marcadas no Anexo III.

1. Partes

CONTROLADOR: o escritório de advocacia ou advogado(a) que contrata o Flux Jurídico, identificado no cadastro (o "Escritório").

OPERADORA: [RAZÃO SOCIAL NEURALFLUX], CNPJ [CNPJ], com sede em [ENDEREÇO] (a "NeuralFlux").

2. Definições

Os termos "dado pessoal", "dado pessoal sensível", "tratamento", "controlador", "operador", "titular", "anonimização", "transferência internacional" e "incidente de segurança" têm o sentido da LGPD e dos regulamentos da ANPD. Além disso:

• Plataforma: o software Flux Jurídico, incluindo agentes de IA, motores de prazos e de cálculos, armazenamento e integrações.
• Dados do Escritório: os dados pessoais que o Escritório ou seus usuários inserem na Plataforma ou que a Plataforma coleta por instrução dele (inclusive em fontes públicas como DJEN e DataJud).
• Rascunho: toda saída de agente de IA antes da aprovação por usuário com papel Advogado ou Administrador.
• Exemplo de Aprendizado: o par (rascunho do agente, versão final aprovada) e os metadados associados, gravados na aprovação.
• N1 (Memória do Escritório): recuperação de Exemplos de Aprendizado do próprio Escritório para orientar o estilo de novos Rascunhos.
• N2 (Adaptador do Escritório): ajuste fino (LoRA) de um modelo de IA executado na infraestrutura da NeuralFlux, treinado só com os Exemplos de Aprendizado do Escritório e usado só por ele. Funcionalidade prevista, ainda não disponível.
• IA Local: modelo de IA executado em infraestrutura controlada pela NeuralFlux. Funcionalidade prevista, ainda não disponível.
• Provedor de IA Externo: suboperador que fornece modelo de linguagem por API fora da infraestrutura da NeuralFlux (06_SUBOPERADORES.md, S2).
• Assinatura Própria: assinatura de consumidor de modelo de IA (hoje, Claude/Anthropic) contratada diretamente pelo Escritório, cujo token ele cadastra na Plataforma para que os seus agentes sejam executados com ela. Não é contratada pela NeuralFlux e não faz do fornecedor um Suboperador (cláusula 7.2.4).
• Suboperador: terceiro contratado pela NeuralFlux que trata Dados do Escritório.

3. Objeto e papéis

3.1. Este Acordo regula o tratamento dos Dados do Escritório pela NeuralFlux, na qualidade de operadora, em nome e por instrução do Escritório, controlador. A descrição do tratamento está no Anexo I.

3.2. A NeuralFlux é controladora, e não operadora, apenas dos dados que trata para finalidade própria: cadastro e autenticação dos usuários, registros de acesso, auditoria da plataforma, cobrança e suporte. Esses dados são regidos pela Política de Privacidade.

3.3. O Escritório é o responsável pelo dever de sigilo profissional sobre os Dados do Escritório (Lei nº 8.906/1994, arts. 7º, II, e 34, VII). A NeuralFlux se obriga a não comprometer esse sigilo, nos termos deste Acordo.

4. Instruções do Escritório

4.1. Formam as instruções documentadas do Escritório (LGPD, art. 39): (a) os Termos de Uso e este Acordo; (b) as configurações feitas pelo Administrador na Plataforma, inclusive as de aprendizado (cláusula 7) e de retenção; (c) os comandos dos usuários autorizados no uso normal da Plataforma; (d) instruções adicionais por escrito, aceitas pela NeuralFlux.

4.2. A NeuralFlux avisará o Escritório se entender que uma instrução viola a LGPD e poderá suspender o seu cumprimento até o esclarecimento.

4.3. A NeuralFlux não tratará os Dados do Escritório para nenhuma finalidade própria, inclusive publicidade, criação de perfis, venda ou treino de modelos usados por terceiros, salvo o que este Acordo expressamente autoriza.

5. Obrigações da NeuralFlux

A NeuralFlux se obriga a:

• (a) tratar os Dados do Escritório só conforme as instruções da cláusula 4;
• (b) manter os Dados do Escritório logicamente isolados dos de outros clientes, com controle de acesso no nível do banco de dados;
• (c) adotar as medidas de segurança do Anexo II (LGPD, art. 46) e mantê-las em nível no mínimo equivalente durante a vigência;
• (d) garantir que as pessoas autorizadas a tratar os Dados do Escritório estejam sob dever de confidencialidade;
• (e) não acessar o conteúdo dos Dados do Escritório, exceto: (i) quando o Administrador autorizar um acesso de suporte, limitado no tempo e registrado [o fluxo de autorização é a implementar (Anexo III); até lá, nenhum acesso de suporte a conteúdo]; (ii) para cumprir ordem legal ou judicial, com aviso ao Escritório quando a lei permitir; (iii) para conter um incidente de segurança;
• (f) apoiar o Escritório no atendimento aos titulares (cláusula 8), na elaboração do RIPD dele e nas comunicações de incidente (cláusula 11), fornecendo as informações de que dispuser (Res. CD/ANPD nº 19/2024, art. 4º, §1º, quanto às transferências);
• (g) manter registro das operações de tratamento que realiza como operadora (LGPD, art. 37);
• (h) indicar um(a) encarregado(a) e um canal de contato: [ENCARREGADO], [E-MAIL DO ENCARREGADO].

6. Obrigações do Escritório

O Escritório se obriga a:

• (a) ter base legal para os tratamentos que instrui (LGPD, arts. 7º e 11) e informar os titulares, na medida exigida pela LGPD, de que usa ferramentas tecnológicas, inclusive de IA, com operadores (modelo de texto no Anexo IV);
• (b) marcar na Plataforma os processos em segredo de justiça e os documentos que não devem ser usados no aprendizado, de preferência antes de aprovar peças neles (cláusula 7.3.2);
• (c) restringir o acesso dos seus usuários por papel, manter as credenciais seguras e desativar os usuários desligados;
• (d) revisar todo Rascunho antes de usá-lo. A responsabilidade técnica pela peça é do(a) advogado(a) que a aprova (Lei nº 8.906/1994, art. 32);
• (e) não inserir dados que não tenha o direito de tratar, nem conteúdo ilícito;
• (f) comunicar à NeuralFlux, sem demora, qualquer suspeita de incidente ou uso indevido de credenciais.

7. Inteligência artificial e aprendizado contínuo

7.1 Rascunhos e cálculos

7.1.1. Toda saída de agente é Rascunho e leva essa marca até ser aprovada por usuário com papel Advogado ou Administrador. A aprovação é registrada com usuário, data e hora.

7.1.2. Prazos processuais e valores monetários são calculados por motores determinísticos da Plataforma, nunca pelo modelo de linguagem, e vêm com a memória de cálculo.

7.1.3. Agentes ainda sem validação por advogado(a) especialista da área levam o selo "beta".

7.2 Modelos usados

7.2.1. Hoje, os agentes são executados pelo Provedor de IA Externo. A IA Local é prevista: quando disponível, a Plataforma passará a usar modelos executados na infraestrutura controlada pela NeuralFlux, com o Provedor de IA Externo como alternativa de qualidade ou de contingência, conforme o roteamento por avaliação da Plataforma, e a NeuralFlux avisará o Escritório nos termos da cláusula 15.2.

7.2.2. Em relação ao Provedor de IA Externo, a NeuralFlux garante que: (a) o contrato com o provedor proíbe o uso dos dados para treinar modelos; (b) a conta da NeuralFlux opera com retenção zero (os dados não são guardados pelo provedor após o processamento), nos limites e com as exceções escritas no contrato do provedor, transcritas na linha S2 de 06_SUBOPERADORES.md [CONFERIR]; (c) só são enviados os dados necessários para a tarefa: o agente busca trechos por ferramentas, em vez de enviar o processo inteiro.

7.2.3. Somente IA Local: quando a IA Local estiver disponível, o Administrador poderá ativar a opção "somente IA local". Com ela ativa, nenhum Dado do Escritório será enviado ao Provedor de IA Externo, inclusive nas peças de maior complexidade, e a Plataforma informará quando um agente não puder ser executado por indisponibilidade da IA Local, sem recorrer ao externo. [Previsto (Fase 6); a opção ainda não está disponível]

7.2.4. Assinatura Própria: o Escritório pode optar, em Configurações → IA, por executar os agentes com a sua Assinatura Própria. Nesse caso: (a) o Escritório contrata o fornecedor diretamente, nos termos de consumidor dele, e é quem escolhe usá-lo; a NeuralFlux só executa a chamada em nome do Escritório, com o token dele, guardado cifrado; (b) não se aplicam as garantias da cláusula 7.2.2 (contrato sem treino e retenção zero), porque esses termos não têm retenção zero contratual e o uso dos dados para treino segue a configuração da conta do Escritório, que a NeuralFlux recomenda desligar ("Ajudar a melhorar o Claude"); (c) a NeuralFlux mantém as demais obrigações deste Acordo (minimização do envio, ferramentas com o escopo da sessão, segurança e sigilo do token). A assinatura de um titular nunca é usada para outro Escritório. [CONFERIR] se os termos do fornecedor permitem o uso do token de consumidor por aplicativo de terceiro antes de oferecer esta opção a Escritórios além do da própria NeuralFlux (README DEC-13).

7.3 Captura de Exemplos de Aprendizado

7.3.1. O Escritório instrui a NeuralFlux a gravar, a cada aprovação, um Exemplo de Aprendizado no ambiente isolado do Escritório.

7.3.2. Não geram Exemplo de Aprendizado: (a) processos marcados como segredo de justiça no momento da aprovação; (b) execuções que leram documento marcado "não aprender"; (c) saídas descartadas; (d) agentes cuja saída contém valores de honorários. Quando um processo ou documento for marcado depois da aprovação, a NeuralFlux apagará os Exemplos de Aprendizado derivados dele. [Apagamento após a marcação: a implementar antes de dados reais (Anexo III)]

7.3.3. A exclusão de um processo, cliente ou documento apaga, na mesma operação, os Exemplos de Aprendizado derivados dele.

7.3.4. Os Exemplos de Aprendizado são guardados pelo prazo configurado pelo Administrador (padrão: 60 meses; de 1 a 120) e podem ser consultados e excluídos individualmente ou em bloco pelo Administrador.

7.4 N1: Memória do Escritório (ativa por padrão)

7.4.1. O Escritório instrui a NeuralFlux a usar os seus Exemplos de Aprendizado como referência de estilo em novos Rascunhos do próprio Escritório. O N1 vem ativo por padrão e pode ser desligado pelo Administrador a qualquer momento; desligado, os exemplos deixam de ser usados nas execuções seguintes.

7.4.2. Os exemplos são injetados num bloco delimitado, marcado como referência de estilo, e não como fonte jurídica. Um exemplo aprovado no processo de um cliente pode ser usado como referência no rascunho de outro cliente do mesmo Escritório. Para reduzir esse risco, a NeuralFlux pseudonimiza o exemplo de forma irreversível no momento em que ele é gravado: os nomes cadastrados no processo (clientes e membros do Escritório) e os identificadores (CPF, CNPJ, e-mail, telefone, CEP, número do processo, OAB, chave PIX aleatória, agência e conta) são trocados por marcadores, sem tabela de correspondência. O Escritório reconhece que nomes não cadastrados (por exemplo, da parte contrária ou de terceiros) citados em texto livre, endereços por extenso e valores podem permanecer no exemplo; esse risco é mitigado pela revisão obrigatória do Rascunho, e o Escritório pode desligar o N1. [Implementado na Fase 7; aguarda a aprovação do delegante (README §4, D8; §6, DEC-8). Se não aprovado, volta a valer a opção sem pseudonimização, com o risco declarado.]

7.4.3. Os exemplos do N1 fazem parte do prompt enviado ao Provedor de IA Externo e seguem a cláusula 7.2.2.

7.5 N2: Adaptador do Escritório (somente com adesão) — previsto

7.5.1. O N2 só será ativado se o Administrador aderir expressamente na Plataforma, pelo Termo de Adesão ao Aprendizado N2 (11_TERMO_ADESAO_APRENDIZADO_N2.md), que integra este Acordo. A adesão é registrada na trilha de auditoria com usuário, data e hora e versão do termo aceito.

7.5.2. Com a adesão, o Escritório instrui a NeuralFlux a treinar periodicamente um adaptador de modelo (LoRA) exclusivo do Escritório, com estas garantias:

• (a) o treino usa somente os Exemplos de Aprendizado do Escritório e roda somente na infraestrutura controlada pela NeuralFlux, ou de suboperador listado e vinculado a este Acordo;
• (b) nenhum dado é enviado ao Provedor de IA Externo, nem a qualquer terceiro, para treino;
• (c) antes do treino, CPF, CNPJ, número de processo, OAB, e-mail e telefone são substituídos por marcadores;
• (d) exemplos de processos em segredo de justiça ou que leram documento "não aprender" ficam fora do treino, inclusive quando a marcação ocorrer durante o treino;
• (e) o adaptador é carregado só em requisições de usuários do Escritório, identificadas pela sessão, e nunca é usado para outro cliente nem para melhorar um modelo compartilhado;
• (f) todo treino passa por um teste de memorização com canários. Se o teste falhar, o adaptador é descartado, não entra em uso, o Administrador é avisado e a NeuralFlux investiga a causa;
• (g) o adaptador só é promovido se superar a versão vigente nas avaliações do Escritório, e pode ser revertido para a versão anterior;
• (h) até o parecer jurídico previsto no RIPD (§10.5), exemplos marcados como contendo dado sensível não entram no treino [CONFERIR];
• (i) o N2 só será oferecido com os adaptadores cifrados em repouso.

7.5.3. O adaptador é tratado como Dado do Escritório para todos os fins deste Acordo, inclusive retenção, sigilo e eliminação.

7.5.4. O Administrador pode revogar a adesão a qualquer momento. Com a revogação, o adaptador deixa de ser usado imediatamente e seus arquivos são eliminados em até 7 dias.

7.6 Exclusão do aprendizado

7.6.1. O Administrador pode excluir os Exemplos de Aprendizado do Escritório, individualmente ou em bloco. A exclusão é imediata no banco de produção; com o N2, os adaptadores treinados com eles são aposentados e eliminados em até 7 dias. As cópias de backup expiram pela rotação (cláusula 13.3).

7.7 Uso compartilhado de dados (N3): não autorizado

7.7.1. Este Acordo não autoriza o uso de Dados do Escritório, nem de dados derivados ou anonimizados deles, para treinar ou melhorar modelos compartilhados entre clientes ou usados para finalidade própria da NeuralFlux. Qualquer uso dessa natureza dependerá de aditivo contratual específico, assinado pelo Escritório, com descrição do processo de anonimização, e de RIPD próprio.

7.7.2. Métricas agregadas sem conteúdo (contagem de execuções, notas de avaliação, taxas de aprovação, contagem de avaliações 👍/👎) podem ser usadas pela NeuralFlux para operar e melhorar a Plataforma. Os comentários do feedback ficam no ambiente do Escritório e não são vistos pela NeuralFlux.

8. Direitos dos titulares

8.1. Pedidos de titulares sobre Dados do Escritório recebidos pela NeuralFlux serão encaminhados ao Escritório em até 2 dias úteis, sem resposta de mérito ao titular, salvo instrução do Escritório.

8.2. A Plataforma oferece ao Escritório meios de localizar, exportar, corrigir e eliminar dados (busca, edição e exclusão de clientes, processos e documentos; exportação completa do Escritório). Quando a ferramenta não bastar, por exemplo para a portabilidade de um único titular, a NeuralFlux apoiará o Escritório em prazo razoável.

9. Localização e transferência internacional de dados

9.1. Os Dados do Escritório são armazenados e processados no Brasil, em servidor dedicado contratado pela NeuralFlux (06_SUBOPERADORES.md, S1). Há transferência internacional quando: (a) um agente é executado pelo Provedor de IA Externo, com processamento nos EUA; (b) um suboperador listado processa dados fora do Brasil; (c) o Escritório escolhe a Assinatura Própria (cláusulas 7.2.4 e 9.6).

9.2. Toda transferência internacional se apoia em um dos mecanismos do art. 33 da LGPD, indicado por suboperador em 06_SUBOPERADORES.md:

• (a) país ou organismo com adequação reconhecida pela ANPD (art. 33, I): hoje, só a União Europeia, reconhecida como organismo internacional pela Res. CD/ANPD nº 32/2026, de 26/01/2026. Noruega, Islândia e Liechtenstein não estão cobertos;
• (b) cláusulas-padrão contratuais aprovadas pela ANPD (art. 33, II, "b"; Res. CD/ANPD nº 19/2024, Anexo II), adotadas integralmente e sem alteração (Res. 19/2024, art. 16) entre a NeuralFlux, como exportadora na condição de operadora, e o suboperador, como importador.

9.3. O Escritório instrui e autoriza a NeuralFlux a realizar as transferências internacionais necessárias à execução da cláusula 7.2, nos termos da cláusula 9.2. [CONFERIR] o preenchimento das CPC com "Exportador/Operador" (Cláusula 1), a escolha entre as Opções A e B das Cláusulas 3 e 4 e se o Escritório, como controlador, precisa figurar como parte ou designar as responsabilidades da Opção A.

9.4. Enquanto o mecanismo da cláusula 9.2 não estiver formalizado com um suboperador, a NeuralFlux não enviará Dados do Escritório reais a esse suboperador. Durante a fase de testes da Plataforma, o Provedor de IA Externo recebe apenas dados fictícios. [Condição D1 do README §4: o Escritório só pode inserir dados reais depois de formalizado o mecanismo com o Provedor de IA Externo, ou com a opção "somente IA local" disponível e ativa; a Assinatura Própria segue a cláusula 9.6]

9.5. A NeuralFlux disponibilizará ao Escritório, a pedido, cópia das cláusulas aplicáveis e as informações do art. 17, §2º, da Res. CD/ANPD nº 19/2024, para que ele cumpra os deveres de transparência que lhe cabem perante os titulares.

9.6. Na Assinatura Própria (cláusula 7.2.4), a transferência internacional ao fornecedor decorre da contratação direta e da escolha do Escritório, como controlador, que responde pelo mecanismo do art. 33 da LGPD e pela transparência aos titulares. A cláusula 9.4 não se aplica a essa modalidade. A NeuralFlux informa ao Escritório, na tela da opção, que o processamento ocorre nos EUA, sob os termos de consumidor do fornecedor.

10. Suboperadores

10.1. O Escritório concede autorização geral para a NeuralFlux contratar os suboperadores listados em 06_SUBOPERADORES.md.

10.2. A NeuralFlux avisará o Escritório, pelo e-mail do Administrador e na Plataforma, com 30 dias de antecedência, da inclusão ou troca de suboperador. O Escritório pode se opor de forma fundamentada nesse prazo. Sem solução razoável, o Escritório pode rescindir sem multa, com reembolso proporcional do valor pago antecipadamente. Em emergência de segurança ou de continuidade, o prazo pode ser reduzido, com justificativa.

10.3. A NeuralFlux impõe a cada suboperador, por contrato, obrigações de proteção de dados no mínimo equivalentes às deste Acordo e responde perante o Escritório pelos atos e omissões dos suboperadores como se fossem seus (responsabilidade contratual; Código Civil, arts. 389 e seguintes). A responsabilidade perante os titulares segue a cláusula 14.1. [CONFERIR] limites e regime com a revisão jurídica.

11. Incidentes de segurança

11.1. A NeuralFlux comunicará ao Escritório, sem demora injustificada e em até 24 horas do conhecimento de que um incidente afetou ou pode ter afetado Dados do Escritório, pelo e-mail dos Administradores e pela Plataforma (modelo em 12_MODELOS_COMUNICACAO_INCIDENTE.md, §2).

11.2. A comunicação trará, na medida do disponível, as informações de que o Escritório precisa para comunicar a ANPD e os titulares (Res. CD/ANPD nº 15/2024, art. 6º, §2º, e art. 9º): descrição do incidente e da causa principal; natureza e categoria dos dados; número de titulares afetados, discriminando crianças, adolescentes e idosos; total de titulares nas atividades afetadas; medidas de segurança antes e depois do incidente; riscos e possíveis impactos; medidas de reversão e mitigação; data da ocorrência e do conhecimento; identificação da NeuralFlux como operadora e contato do encarregado. As informações faltantes serão complementadas assim que obtidas.

11.3. Cabe ao Escritório, como controlador, avaliar o risco e comunicar a ANPD e os titulares em 3 dias úteis do conhecimento, por ele, de que o incidente afetou dados pessoais (Res. CD/ANPD nº 15/2024, arts. 4º, 6º e 9º). A NeuralFlux apoiará essa comunicação e não comunicará em nome do Escritório sem instrução, salvo obrigação legal própria.

11.4. A NeuralFlux mantém o registro dos incidentes por no mínimo 5 anos e segue o Plano de Resposta a Incidentes (08_PLANO_RESPOSTA_INCIDENTES.md).

12. Auditoria e prestação de contas

12.1. A NeuralFlux disponibilizará ao Escritório, a pedido e no máximo uma vez a cada 12 meses (salvo incidente ou exigência da ANPD): resumo do RIPD de produto, resumo dos testes de isolamento e do último pentest, lista de suboperadores com mecanismos de transferência, a Política de Segurança da Informação (10) e respostas a questionário razoável de segurança.

12.2. Auditoria presencial ou técnica só com aviso de 30 dias, por auditor sob confidencialidade, sem acesso a dados de outros clientes e às custas do Escritório, salvo se apontar descumprimento relevante.

13. Término, devolução e eliminação

13.1. Ao término do contrato, ou a pedido do Administrador, a Plataforma gera a exportação completa dos Dados do Escritório (um arquivo JSON por tabela + os documentos, num ZIP com hash SHA-256), mediante confirmação por 2FA. O arquivo fica disponível por 7 dias.

13.2. O pedido de exclusão, confirmado por 2FA, abre uma carência de 30 dias, durante a qual o Escritório pode cancelá-lo. Ao fim da carência, a NeuralFlux elimina os Dados do Escritório, inclusive Exemplos de Aprendizado e adaptadores, cancela a assinatura no gateway de cobrança e envia aos administradores a declaração de eliminação (identificador do Escritório, datas do pedido e da eliminação, categorias e contagens eliminadas e as ressalvas das cláusulas 13.3 e 13.4), cujo hash SHA-256 fica na trilha de auditoria da plataforma.

13.3. Cópias em backup cifrado são eliminadas pela rotação: até 35 dias para o banco de dados e até 6 meses para os documentos, contados da purga (DEC-6). Até lá, ficam inacessíveis ao uso normal e protegidas por este Acordo.

13.4. A NeuralFlux pode conservar dados após o término só nas hipóteses do art. 16 da LGPD, como o cumprimento de obrigação legal (registros de acesso pelo prazo do Marco Civil) e o exercício regular de direitos (art. 16, I, e art. 7º, VI [CONFERIR]): a trilha de auditoria do Escritório e o registro do aceite deste Acordo são guardados, com acesso restrito à NeuralFlux, por 5 anos após a purga e então eliminados (DEC-7 e DEC-9).

14. Responsabilidade

14.1. Cada parte responde pelos danos que causar por violação da LGPD ou deste Acordo, nos termos dos arts. 42 a 45 da LGPD. A NeuralFlux responde solidariamente quando descumprir a LGPD ou as instruções lícitas do Escritório (art. 42, §1º, I).

14.2. As limitações de responsabilidade dos Termos de Uso se aplicam a este Acordo na medida permitida em lei e não se aplicam a danos decorrentes de violação dolosa ou culposa das cláusulas 5(b), 7 e 9. [CONFERIR]

15. Disposições finais

15.1. Este Acordo vigora enquanto a NeuralFlux tratar Dados do Escritório. As cláusulas 11, 13 e 14 sobrevivem ao término.

15.2. A NeuralFlux pode atualizar este Acordo para refletir mudança legal, regulatória ou a entrada de funcionalidade prevista (como a IA Local), com aviso de 30 dias. Mudanças que reduzam as garantias das cláusulas 7 e 9 dependem de aceite expresso.

15.3. Em caso de conflito, prevalece, nesta ordem: (1) as cláusulas-padrão da ANPD, quando aplicáveis, no que for específico da transferência internacional, já que devem ser adotadas na íntegra e sem alteração e as suas Seções I e II prevalecem sobre os contratos coligados (Res. CD/ANPD nº 19/2024, art. 16; Anexo II, cláusula 8.1, "d"); (2) este Acordo e o Termo de Adesão N2; (3) os Termos de Uso.

15.4. Lei aplicável: brasileira. Foro: [FORO].

---

Anexo I: Descrição do tratamento

Anexo II: Medidas técnicas e organizacionais

1. Isolamento: identificador de escritório em toda tabela de negócio, com Row-Level Security forçado no PostgreSQL; aplicação sem privilégio de contornar o isolamento; teste automatizado de acesso cruzado cobrindo todas as tabelas do escritório.
2. Identidade e acesso: senhas com Argon2id, mínimo de 12 caracteres e recusa de senhas vazadas; verificação de e-mail; 2FA obrigatório para Administrador (recomendado para todos); sessões de 12 h com renovação e limite absoluto de 7 dias; desativação de membro com efeito imediato; permissões por papel no servidor; 2FA recente para exportar ou excluir o Escritório e para mudar papel de Administrador; limites de tentativas de login.
3. Criptografia: HTTPS com HSTS; colunas de CPF/CNPJ cifradas; segredos de 2FA cifrados; documentos cifrados por arquivo (AES-256-GCM); backups cifrados com chave fora do destino de backup. Não há criptografia de disco inteiro.
4. Servidor: firewall com só as portas de SSH, HTTP e HTTPS; SSH só por chave; bloqueio automático de tentativas (fail2ban); serviços internos sem porta pública.
5. IA: ferramentas executadas no servidor com o escopo da sessão; conteúdo de documentos tratado como dado não confiável; avaliação contra injeção de prompt antes de publicar cada agente; retenção zero e proibição de treino no Provedor de IA Externo; "somente IA local" (prevista).
6. Aprendizado: isolamento por Escritório; bloqueio automático de segredo de justiça e "não aprender" na captura; exemplos apagados com o item de origem. Previstos para o N2: canários, minimização, rede privada com ACL, adaptadores cifrados, datasets efêmeros.
7. Registro e monitoramento: trilha de auditoria append-only; logs sem conteúdo de documento, CPF ou texto de publicação.
8. Continuidade: backup cifrado do banco e dos documentos, com cópia fora do servidor e teste de restauração [a ativar antes de dados reais]; meta de RPO de 1 h e RTO de 4 h.
9. Organizacionais: confidencialidade das pessoas autorizadas; menor privilégio e registro no acesso de plataforma (2FA obrigatório); acesso de suporte só com autorização do Administrador; plano de resposta a incidentes; pentest antes do lançamento comercial e periodicamente.

Detalhe em 10_POLITICA_SEGURANCA_INFORMACAO.md.

Anexo III: Dependências técnicas (checklist de integração)

Anexo IV: Modelo de texto para o Escritório informar seus clientes

Sugestão para o contrato de honorários ou o aviso de privacidade do Escritório, a adaptar pelo controlador:

"Para organizar processos, prazos e documentos e preparar minutas, o escritório usa plataforma tecnológica contratada, que inclui ferramentas de inteligência artificial. Os dados tratados permanecem sob sigilo profissional, ficam armazenados no Brasil em ambiente exclusivo do escritório e podem ser processados por fornecedores de tecnologia sob contrato, inclusive no exterior (como o provedor do modelo de inteligência artificial, nos Estados Unidos), com as garantias exigidas pela LGPD. Nenhuma minuta gerada por ferramenta é usada sem a revisão de advogado(a) do escritório. O escritório pode usar as minutas já aprovadas para aprimorar suas próprias ferramentas, sem compartilhá-las com terceiros."