Conformidade com a LGPD

O Fiscalia está comprometido com a proteção de dados pessoais e com o respeito à privacidade de todos os envolvidos em sua operação — Usuários (escritórios), membros de equipe e, indiretamente, os Clientes dos escritórios que utilizam a Plataforma.

Nossa abordagem à conformidade com a LGPD é estrutural, não formal: as medidas de proteção de dados são construídas nos fundamentos da plataforma, não adicionadas como camada posterior.

1.1 Princípios da LGPD que Adotamos (art. 6º)

O Fiscalia observa os seguintes princípios no tratamento de dados pessoais:

• Finalidade: dados coletados para fins específicos e informados — ex: nome e e-mail para criar conta; histórico de conversas para prestar o serviço de atendimento.
• Adequação: o tratamento é compatível com a finalidade declarada — ex: não usamos dados de uso para exibir publicidade de terceiros.
• Necessidade: coletamos apenas o mínimo necessário — ex: não pedimos CPF ou CNPJ além do necessário para identificação fiscal.
• Livre acesso: o titular pode consultar, a qualquer momento, quais dados temos sobre ele pelo e-mail do DPO ou pelo formulário nesta página.
• Qualidade dos dados: mantemos os dados atualizados e permitimos ao Usuário corrigir informações incorretas diretamente no painel ou via solicitação.
• Transparência: esta página, a Política de Privacidade e os Termos de Uso descrevem de forma clara como e por que tratamos os dados.
• Segurança: criptografia TLS 1.3 em trânsito, AES em repouso, JWT com expiração, RBAC e monitoramento 24/7.
• Prevenção: adotamos Privacy by Design — a proteção de dados foi considerada desde o primeiro dia de desenvolvimento, não adicionada depois.
• Não discriminação: dados pessoais nunca são usados para criar perfis ou tomar decisões discriminatórias sobre titulares.
• Responsabilização e prestação de contas: temos DPO designado, contratos com suboperadores e esta documentação pública para demonstrar conformidade.

A LGPD distingue claramente os papéis dos agentes de tratamento de dados. A seguir, como o Fiscalia se posiciona nesse ecossistema:

2.1 Fiscalia como Controlador

O Fiscalia atua como Controlador (art. 5º, VI, LGPD) em relação aos dados pessoais dos Usuários que contratam diretamente a Plataforma — ou seja, os dados dos próprios escritórios e de seus colaboradores (atendentes). Nessa qualidade, o Fiscalia determina as finalidades e os meios de tratamento desses dados.

2.2 Fiscalia como Operador

O Fiscalia atua como Operador (art. 5º, VII, LGPD) em relação aos dados pessoais dos Clientes dos escritórios — as pessoas físicas ou jurídicas atendidas pelos escritórios via Plataforma. Nessa qualidade, o Fiscalia trata esses dados exclusivamente conforme as instruções dos Usuários (Controladores), sem determinar finalidades ou tomar decisões autônomas sobre esses dados.

2.3 Escritórios como Controladores

Os escritórios que utilizam o Fiscalia (Usuários) são Controladores em relação aos dados pessoais de seus próprios Clientes. Isso significa que:

• O escritório é o responsável pela base legal para o tratamento;
• O escritório deve ter sua própria Política de Privacidade para seus Clientes;
• O escritório deve atender às solicitações de exercício de direitos dos titulares (art. 18, LGPD);
• O escritório responde perante a ANPD por incidentes que envolvam dados de seus Clientes.

Cada operação de tratamento de dados realizada pelo Fiscalia está fundamentada em uma base legal específica prevista no art. 7º da LGPD:

O Fiscalia adota medidas de segurança técnicas e organizacionais proporcionais ao risco dos dados tratados, em conformidade com o art. 46 da LGPD:

O Fiscalia contrata suboperadores (fornecedores de tecnologia) para a operação da Plataforma. Todos os suboperadores são selecionados com base em critérios de segurança, confiabilidade e conformidade com legislações de proteção de dados.

A operação do Fiscalia envolve transferências internacionais de dados pessoais, principalmente para os Estados Unidos da América, onde a maioria dos fornecedores de tecnologia de nuvem está sediada. Essas transferências são realizadas com as salvaguardas adequadas exigidas pelos arts. 33 a 36 da LGPD:

Para os demais fornecedores (Stripe, Railway, Neon, Vercel), as transferências são baseadas em contratos que incluem as salvaguardas aplicáveis (SCCs, certificações internacionais de segurança e compliance), observando as orientações da ANPD sobre transferências internacionais.

9.1 Prazos de Retenção

9.2 Procedimentos de Descarte

Ao término dos prazos de retenção, os dados pessoais são descartados de forma segura e irrecuperável:

• Dados estruturados no banco de dados: exclusão definitiva com sobrescrita segura com múltiplas passagens (padrão NIST SP 800-88), garantindo que os dados não possam ser recuperados após a operação;
• Arquivos e documentos: exclusão permanente e irrecuperável dos sistemas de armazenamento;
• Backups: expurgados conforme a política de ciclo de vida dos backups, com verificação de completude da exclusão;
• Dados em poder de suboperadores: exclusão formalmente solicitada conforme os contratos de processamento vigentes, com confirmação de descarte.

Em caso de incidente de segurança que resulte em acesso não autorizado, destruição, perda, alteração ou qualquer forma de tratamento inadequado de dados pessoais, o Fiscalia adotará os seguintes procedimentos:

10.1 Procedimento de Detecção e Notificação

1. Detecção (contínua): monitoramento 24/7 com alertas automáticos para comportamentos anômalos — acessos incomuns, volume atípico de requisições, erros de autenticação em massa;
2. Análise inicial (até 4 horas): a equipe de segurança analisa o alerta, confirma se é incidente real e classifica a severidade (baixo, médio, alto risco para titulares);
3. Contenção imediata: isolamento do sistema afetado, revogação de credenciais comprometidas e bloqueio de vetores de ataque identificados;
4. Notificação à ANPD (até 72h): para incidentes de alto risco, o DPO notifica formalmente a ANPD dentro de 72 horas após a confirmação do incidente, conforme Resolução CD/ANPD nº 15/2023;
5. Notificação aos Usuários (escritórios): os escritórios afetados são notificados por e-mail com: descrição do incidente, dados possivelmente afetados, medidas adotadas pelo Fiscalia e orientações de proteção;
6. Obrigação dos Usuários como Controladores: ao receber a notificação do Fiscalia, os escritórios devem informar seus próprios clientes cujos dados foram afetados, cumprindo suas obrigações como Controladores (art. 48, LGPD);
7. Erradicação e Recuperação: eliminação da causa raiz, restauração dos sistemas a partir de backups íntegros e verificação de completude;
8. Revisão pós-incidente: análise das causas, atualização dos controles de segurança e documentação do incidente para fins de prestação de contas.

Nos termos do art. 41 da LGPD, o Fiscalia designou um Encarregado de Proteção de Dados (Data Protection Officer — DPO), que atua como canal de comunicação entre o Fiscalia, os titulares de dados e a ANPD.

Use o formulário abaixo para entrar em contato diretamente com o Encarregado de Dados:

• O Fiscalia está em conformidade com a LGPD?

  Sim. O Fiscalia foi desenvolvido com a LGPD como requisito fundamental, não como adição posterior. Adotamos medidas técnicas (criptografia TLS/AES, JWT, RBAC) e organizacionais (DPO designado, políticas documentadas, contratos com suboperadores) para garantir conformidade com a Lei nº 13.709/2018.

  Mantemos esta página atualizada com informações sobre como implementamos os princípios da LGPD e como os titulares podem exercer seus direitos.

• Como Controlador ou Operador, qual é meu papel como escritório?

  Seu escritório é o Controlador dos dados pessoais dos seus clientes que passam pela plataforma. Isso significa que você define as finalidades do tratamento, é responsável pela base legal adequada e deve ter sua própria Política de Privacidade informando seus clientes sobre o uso da IA no atendimento.

  O Fiscalia atua como Operador — processamos os dados dos seus clientes apenas conforme suas instruções, para prestar o serviço contratado, sem utilizá-los para fins próprios.

• Meus clientes precisam ser informados que estão sendo atendidos por uma IA?

  Sim. O art. 20 da LGPD estabelece o direito dos titulares de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado de dados. Além disso, boas práticas de transparência e o princípio da transparência (art. 6º, VI, LGPD) exigem que seus clientes saibam que estão interagindo com um sistema de IA.

  Recomendamos que seu escritório inclua na sua Política de Privacidade uma cláusula específica informando que o atendimento inicial é automatizado via IA, e que deixe isso claro no início de cada conversa pelo WhatsApp.

• Os dados dos meus clientes são usados para treinar a IA do Google?

  Conforme os termos de uso da API do Google para uso empresarial (Google Cloud / Vertex AI), o Google não usa os dados submetidos via API para treinar modelos de IA por padrão. Isso se aplica ao uso da API do Gemini pelo Fiscalia.

  O Fiscalia tampouco utiliza conversas dos Clientes dos escritórios para qualquer tipo de treinamento de modelos próprios. Os dados são processados exclusivamente para gerar as respostas no atendimento.

• Como posso solicitar a exclusão dos dados do meu escritório?

  Você pode solicitar a exclusão dos seus dados a qualquer momento pelo e-mail privacidade@fiscalia.ia.br ou usando o formulário nesta página. Após o cancelamento da conta, seus dados ficam disponíveis por 90 dias para eventual reativação ou exportação, após os quais são excluídos definitivamente.

  Atenção: alguns dados podem ser retidos por prazo maior em razão de obrigações legais (logs por 6 meses conforme o Marco Civil, dados fiscais por 5 anos).

• O que acontece com os dados em caso de encerramento do Fiscalia?

  Em caso de encerramento do Fiscalia, os Usuários seriam notificados com antecedência mínima de 30 dias e teriam a oportunidade de exportar todos os seus dados antes do encerramento definitivo. Após a exportação, os dados seriam eliminados de forma segura de todos os sistemas do Fiscalia e de seus suboperadores, conforme os contratos vigentes.

• Posso exportar todos os dados do meu escritório?

  Sim. O direito à portabilidade (art. 18, V, LGPD) é garantido. Você pode solicitar a exportação dos dados do seu escritório — incluindo histórico de conversas, cadastro de clientes e Base de Conhecimento — pelo e-mail privacidade@fiscalia.ia.br. Os dados são disponibilizados em formato estruturado (JSON ou CSV) em até 15 dias úteis.

• Qual é o prazo para responder solicitações de direitos LGPD?

  O Fiscalia responde a todas as solicitações de exercício de direitos em até 15 dias úteis a partir do recebimento. Em casos de maior complexidade — como portabilidade de grande volume de dados ou análise de tratamentos com múltiplas bases legais — o prazo pode ser prorrogado por igual período (mais 15 dias úteis), com notificação ao titular informando o motivo.

  Para agilizar sua solicitação: use o formulário ao final desta página ou envie e-mail para privacidade@fiscalia.ia.br informando seu nome completo, o tipo de solicitação e uma descrição detalhada do seu pedido.

• Como o Fiscalia lida com vazamento de dados?

  Em caso de incidente de segurança com dados pessoais, o Fiscalia tem um Plano de Resposta a Incidentes que prevê: contenção imediata, avaliação do impacto, notificação à ANPD em até 72 horas (para incidentes de alto risco) e comunicação aos titulares afetados com orientações de proteção.

  O Fiscalia notificaria os escritórios Usuários para que estes, por sua vez, possam notificar seus próprios clientes afetados, cumprindo suas obrigações como Controladores.