Novo: memória pessoal, com as suas preferências aplicadas em todo pedido. Conhecer a memória

Central de confiança

O que a equipe de compras e o encarregado de dados pedem antes de contratar: quem recebe dado do escritório e onde ele mora, como o titular exerce os direitos da LGPD e o que nos obrigamos a fazer.

Pedir o DPA

Em resumo

  • Isolamento

    Toda leitura e escrita no banco é escopada pelo escritório da sessão autenticada, no servidor; o identificador do escritório nunca é aceito do cliente.

  • Fornecedores de IA

    Conteúdo de clientes vai a dois fornecedores de IA, e só a eles: Anthropic (modelos Claude, para todo texto e leitura de documento) e Voyage AI, do MongoDB (busca semântica). Áudio, quando o escritório ativa a transcrição, vai ao Deepgram. Todos estão na lista pública de subprocessadores.

  • Direitos do titular

    Exportação completa e relatório de acesso saem por um botão no produto. O pedido de exclusão também, com 30 dias de carência para desistir; a exclusão em si ainda não é automática.

Dados

Subprocessadores, residência e retenção.

Quem recebe dado do escritório, para quê e onde. A lista é mantida atualizada; alterações materiais são comunicadas aos clientes com DPA ativo.

  • Anthropic (Claude)

    Todo texto: assistente, peças, leitura de autos e de documento escaneado, classificação e busca na web

    EUA

  • Voyage AI (MongoDB)

    Embeddings da busca semântica e reordenação dos resultados

    EUA

  • Deepgram

    Transcrição de áudio, só quando a transcrição está ativada

    EUA

  • Vercel

    Hospedagem da aplicação, funções e tarefas agendadas

    EUA (iad1) · edge global

  • Vercel Blob

    Armazenamento dos documentos

    EUA

  • Supabase / AWS

    Banco de dados gerenciado

    Brasil (sa-east-1, São Paulo)

  • Resend

    Envio de e-mail transacional

    EUA

  • Stripe

    Cobrança do escritório; não recebe dado do cliente final

    EUA

  • Sentry

    Monitoramento de erros da aplicação

    EUA

  • BotID

    Detecção de robô nas requisições

    EUA (Vercel)

  • PostHog

    Análise de uso, só com consentimento de cookies de análise; não recebe conteúdo de caso

    EUA

  • ClickSign / D4Sign

    Assinatura eletrônica: recebem o contrato enviado e os dados de quem assina

    Brasil

Residência

Banco de dados na região América do Sul (sa-east-1). Aplicação e inferência de modelos nos EUA.

Retenção e exclusão

Retenção configurável por escritório para respostas de IA e casos excluídos. Auditoria imutável, nunca apagada. Pedido de exclusão da conta pelo produto, com carência de 30 dias.

Exportação de logs de auditoria: disponível no produto em CSV (Configurações → Auditoria), restrita à permissão EXPORT_AUDIT_LOG para que o sign-off fique sob alçada de sócio.

LGPD, art. 18

Acesso e portabilidade num botão no produto.

Acesso e portabilidade dos dados saem por um botão no produto, na hora. O pedido de eliminação também sai por ele, com 30 dias para desistir; a eliminação em si ainda não é automática. Cada operação fica registrada na trilha de auditoria do escritório.

  • Art. 18, II e V

    Exportação completa dos dados

    Baixe um arquivo JSON com cada registro vinculado ao escritório: clientes, casos, documentos, Vault, War Rooms, insights e auditoria. O administrador gera no momento que quiser.

  • Art. 18, II

    Relatório de acesso

    Veja exatamente quem fez o quê no seu espaço: ação, entidade afetada, agente responsável e momento. Últimos doze meses, até cinco mil eventos.

  • Art. 18, VI

    Exclusão com carência de 30 dias

    Peça a remoção dos dados pelo produto. A carência permite cancelar o pedido e fazer uma exportação final. A remoção ainda não é automática: quando a carência vence, a equipe da LexAI é avisada para cumpri-la.

Para administradores do escritório, todas as operações ficam disponíveis em /dashboard/settings/privacy após o login. Endpoints públicos da API: /api/v1/account/data-export, /access-log, /data-delete.

Compromissos

Nossas obrigações como operador de dados.

  • Não acessar, usar ou compartilhar dados de clientes sem base legal
  • Notificar incidentes de segurança nos prazos legais aplicáveis
  • Manter registros de tratamento de dados (ROPA)
  • Disponibilizar DPA (Data Processing Agreement) para clientes que solicitarem
  • Avaliar impacto à privacidade ao introduzir funcionalidades sensíveis

Resposta a incidentes

Processo alinhado ao Regulamento de Comunicação de Incidente de Segurança da ANPD (Resolução 15/2024): detecção, contenção, avaliação de risco aos titulares, notificação e registro, com SLA interno de comunicação e trilha auditável de cada etapa.

Divulgação responsável

Se você identificou uma vulnerabilidade de segurança na plataforma, pedimos que nos comunique antes de qualquer divulgação pública. Respondemos a todos os relatórios em até 48 horas.

Contatos de segurança