Acordo de Processamento de Dados (DPA)

Operador (e controlador autônomo quanto aos tratamentos da Seção 2.4):

Juridico Ai Tecnologia e Desenvolvimento de Software LTDA (doravante referida como "Jurídico AI"), inscrita no CNPJ/MF sob o nº 50.839.799/0001-82, com sede em Alameda Rio Negro, 503 — sala 2020, Alphaville — Centro Industrial e Empresarial, CEP 06454-000, Barueri/SP, que opera comercialmente sob o nome Jurídico AI e é a desenvolvedora e operadora do Legaw, incluindo o site, o aplicativo web, a API e o servidor MCP. Encarregado pelo Tratamento de Dados Pessoais: Pedro Paulo Tibau Costa Pinto da Silva. Canal para titulares, para a Organização e para a ANPD: suporte@legaw.ai. Doravante "Legaw" ou "Operador".

Controlador: a pessoa jurídica titular da conta de Organização na Plataforma, qualificada no cadastro fiscal desta (razão social, CNPJ, endereço e contato), que aceita este DPA por intermédio de representante com poderes para tanto. Doravante "Organização" ou "Controlador".

Operador e Organização são designados, em conjunto, as "Partes" e, individualmente, "Parte". Os termos não definidos neste DPA seguem o significado que lhes é atribuído nos Termos de Uso ou na Lei nº 13.709/2018 ("LGPD").

Autonomia em relação à plataforma Jurídico AI. O Legaw é produto autônomo, com cadastro, contratação e cobrança próprios, regido exclusivamente por estes Termos e pela Política de Privacidade do Legaw. Os Termos de Uso e a Política de Privacidade da plataforma Jurídico AI permanecem aplicáveis apenas ao uso daquela plataforma por sua interface própria, não sendo incorporados a estes Termos nem por eles derrogados. A contratação do Legaw não confere, por si só, acesso à plataforma Jurídico AI, e a contratação desta não confere, por si só, acesso ao Legaw, salvo se a oferta vigente dispuser expressamente em sentido diverso.

Além dos conceitos do art. 5º da LGPD, aplicam-se a este DPA as seguintes definições:

• Plataforma: o conjunto de serviços oferecidos sob a marca Legaw, incluindo o site, o aplicativo web, a API e o servidor MCP.
• Usuário autorizado: a pessoa natural vinculada à Organização a quem esta atribui acesso à Plataforma.
• Consulta: o texto, os filtros e os parâmetros submetidos pelo Usuário autorizado, diretamente ou por meio de assistente de inteligência artificial por ele autorizado, para realizar uma pesquisa.
• Página de resultado: o endereço com código aleatório gerado a partir de uma pesquisa, destinado à conferência das fontes recuperadas.
• Conteúdo Jurídico Público: os atos normativos, acórdãos, decisões, ementas, votos e demais documentos tornados públicos por órgãos oficiais que compõem o acervo pesquisável da Plataforma.
• Assistente: o produto de inteligência artificial de terceiro que a Organização ou o Usuário autorizado conecta ao servidor MCP para chamar as ferramentas do Legaw.
• Instrução documentada: a orientação da Organização ao Legaw sobre o tratamento, manifestada (a) pela aceitação dos Termos de Uso, da Política de Privacidade e deste DPA; (b) pela configuração e pelo uso da Plataforma conforme a sua documentação; (c) por solicitação formal encaminhada pelos canais oficiais; e (d) por aditivo escrito firmado pelas Partes.
• Incidente de segurança: o evento adverso, confirmado ou sob fundada suspeita, relacionado à violação de segurança que possa acarretar, de forma acidental ou ilícita, a destruição, a perda, a alteração, a comunicação ou o acesso não autorizado a dados pessoais.

Este DPA disciplina o tratamento, pelo Legaw, na qualidade de operador, dos dados pessoais dos Usuários autorizados e dos dados pessoais de terceiros que a Organização, por meio deles, insira nas consultas, necessários à prestação dos serviços da Plataforma, em conformidade com a LGPD e com as instruções documentadas da Organização.

O tratamento abrange a autenticação dos Usuários autorizados, a execução de pesquisas de dados jurídicos, como jurisprudência e legislação por meio do aplicativo, da API ou do servidor MCP, a manutenção de histórico e de páginas de resultado, a aplicação de plano e cota, o atendimento de suporte, a prevenção de abuso e a demonstração de conformidade. Perdura enquanto vigentes o contrato e a relação de Organização, encerrando-se na forma da Seção 14, ressalvadas as hipóteses de retenção legal.

A Organização determina as finalidades e os meios essenciais do tratamento dos dados pessoais dos seus Usuários autorizados e dos dados de terceiros por eles inseridos nas consultas, respondendo pela licitude da coleta, pela existência de base legal própria, pela exatidão dos dados, pelo cumprimento de seus deveres de transparência perante os titulares e pela licitude de suas instruções. O Legaw trata esses dados apenas em nome e por conta da Organização, segundo as instruções documentadas, o contrato e a configuração da conta.

O Legaw também atua como controlador autônomo em relação a tratamentos próprios e independentes, que não são objeto deste DPA e são regidos pela sua Política de Privacidade, entre eles, de forma não exaustiva: cadastro e autenticação da conta; faturamento, cobrança e emissão de documentos fiscais; medição de uso, controle de cota, limitação de requisições e prevenção de fraude e abuso; guarda de registros de acesso e de autenticação; cumprimento de obrigações legais, regulatórias, fiscais e contábeis próprias; e operação, segurança, telemetria e melhoria da Plataforma.

Quanto a esses tratamentos, o Legaw define as finalidades e os meios e responde como controlador autônomo. Este DPA não transfere à Organização a controladoria sobre eles nem lhe confere poder de instrução, salvo no que respeita à interface operacional necessária à prestação do serviço. Os terceiros que operam esses tratamentos próprios não são sub-operadores do tratamento objeto deste DPA e são descritos, apenas por transparência, no Anexo C, Seção C.2. A delimitação desta cláusula destina-se a evitar confusão de papéis: somente os dados pessoais tratados por conta da Organização submetem-se ao regime operador-controlador deste DPA.

O acervo de dados públicos disponibilizado pela Plataforma é constituído a partir de fontes oficiais e públicas e pode conter dados pessoais de terceiros. Em relação a esse acervo, o Legaw atua como controlador autônomo, na condição de replicador de conteúdo veiculado publicamente pelos órgãos oficiais e não de fonte primária, com finalidades e bases legais próprias. Não se trata de dados fornecidos ou controlados pela Organização e, portanto, o tratamento está fora do objeto deste DPA. A sua descrição consta do Anexo D e corresponde à Seção 9 da Política de Privacidade do Legaw, que detalha, sem substituir. A recuperação de documentos do acervo em resposta a uma consulta da Organização não a converte em controladora dos dados de terceiros neles constantes.

O Assistente escolhido e contratado pela Organização ou pelo Usuário autorizado não é sub-operador do Legaw. O Assistente chama a ferramenta por instrução da Organização, no limite dos escopos OAuth por esta concedidos, e trata a conversa mantida na conta da Organização segundo o seu próprio contrato com ela. O Legaw recebe os argumentos da chamada e devolve os resultados ao Assistente indicado, não controlando, auditando nem respondendo pelo tratamento realizado pelo fornecedor do Assistente antes ou depois desse intercâmbio. Compete à Organização avaliar o fornecedor do Assistente, celebrar com ele o instrumento de proteção de dados cabível e administrar a concessão e a revogação das autorizações no âmbito de sua estrutura.

A Organização fornece as instruções documentadas iniciais mediante a aceitação dos Termos de Uso, a Política de Privacidade e deste DPA e por meio da configuração e do uso da Plataforma. Instruções adicionais devem ser encaminhadas pelos canais oficiais e, quando exorbitarem das funcionalidades padrão, podem depender de viabilidade técnica e de ajuste comercial.

Dever de alerta. O Legaw informará a Organização, sem prejuízo de poder suspender a execução da instrução específica, sempre que entender, em juízo razoável, que uma instrução documentada viola a LGPD ou outra norma de proteção de dados, na forma do art. 39 da LGPD. A comunicação desse entendimento não constitui dever de aconselhamento jurídico à Organização nem transfere ao Legaw a responsabilidade pela definição das finalidades do tratamento.

O Legaw obriga-se a:

• a) Tratar os dados pessoais somente mediante instruções documentadas da Organização, inclusive quanto a transferências internacionais, salvo quando obrigado por lei ou por ordem de autoridade competente, hipótese em que informará previamente a Organização sobre a exigência, salvo se a lei vedar tal comunicação por razão relevante de interesse público;
• b) Não tratar os dados pessoais para finalidades próprias não autorizadas nem para finalidade diversa da determinada pela Organização; em especial, não utilizar as consultas, os documentos e os demais dados tratados por conta da Organização para treinar, ajustar, avaliar ou de qualquer forma desenvolver modelos de inteligência artificial, próprios ou de terceiros, nem para formar perfis comerciais autônomos, ressalvados os tratamentos próprios delimitados na Seção 2.4;
• c) Assegurar que as pessoas autorizadas a tratar os dados estejam submetidas a obrigação de confidencialidade contratual ou legal e os tratem apenas na medida necessária ao desempenho de suas funções;
• d) Adotar e manter as medidas técnicas e administrativas descritas na Seção 6 e no Anexo B, proporcionais ao risco e ao estado da técnica;
• e) Manter registro das operações de tratamento realizadas por conta da Organização, nos termos do art. 37 da LGPD;
• f) Auxiliar a Organização, na medida da natureza do tratamento e das informações de que disponha, no atendimento a titulares, na comunicação de incidentes, na elaboração de relatório de impacto e em consultas da autoridade;
• g) Comunicar à Organização, sem demora injustificada, qualquer incidente de segurança de que tenha conhecimento e que afete os dados tratados por conta dela; e
• h) Devolver ou eliminar os dados pessoais ao término do contrato, na forma da Seção 14.

A Organização declara e garante que possui base legal adequada, nos termos dos arts. 7º ou 11 da LGPD, para o tratamento dos dados pessoais que fornece ou disponibiliza ao Legaw, inclusive para a transmissão desses dados aos sub-operadores autorizados; que cumpriu e cumprirá seus deveres de transparência e informação perante os seus titulares, inclusive quanto ao uso da Plataforma e ao compartilhamento previsto neste DPA; e que suas instruções são lícitas.

Compete ainda à Organização configurar os acessos e os papéis administrativos, administrar as regras internas de retenção de páginas de resultado, observar o sigilo profissional aplicável à atividade advocatícia e responder às solicitações de seus titulares, com o auxílio previsto na Seção 9.

Minimização na origem. O serviço não exige, não solicita e não requer dados pessoais sensíveis, dados sob segredo de justiça, credenciais ou dados de crianças e adolescentes para a realização de pesquisas temáticas. A Organização orientará os seus Usuários autorizados a não inserirem, no texto livre das consultas, dados dessa natureza ou dados pessoais de terceiros sem base legal própria que ampare a inserção e o consequente processamento, inclusive a transferência internacional descrita na Seção 8.

O Legaw implementa e mantém medidas técnicas e organizacionais aptas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, observados os arts. 46 a 49 da LGPD, o estado da técnica, os custos de implementação e a natureza, o âmbito e as finalidades do tratamento. A descrição dessas medidas constam do Anexo B, que integra este DPA e pode ser atualizado ao longo do tempo, desde que não reduza o nível geral de proteção contratado. A obrigação de segurança estende-se aos sub-operadores por meio do flow-down previsto na Seção 7.

A Organização autoriza, de forma geral e prévia, a contratação, pelo Legaw, de sub-operadores necessários à prestação do serviço, pertencentes às categorias descritas no Anexo C, Seção C.1, entre elas infraestrutura e computação em nuvem; autenticação; inteligência artificial para geração de representações vetoriais e reordenação semântica; suporte e atendimento; monitoramento de erros; e envio de mensagens transacionais.

Flow-down. O Legaw imporá obrigações de proteção compatíveis com este DPA e continuará responsável pela seleção e gestão dos sub-operadores na medida prevista em lei. Mudança material será publicada nesta página ou comunicada por canal contratual com antecedência razoável.

A relação dos sub-operadores então em uso, com a respectiva finalidade e localização, será disponibilizada à Organização mediante solicitação ao canal indicado na identificação das partes. O Legaw permanece responsável perante a Organização pelo cumprimento, pelos sub-operadores, das obrigações de proteção de dados aplicáveis, nos limites da Seção 15.

A Organização autoriza a transferência internacional de dados pessoais necessária à prestação do serviço, inclusive para sub-operadores das categorias do Anexo C que tratem dados fora do território nacional. O tratamento e o armazenamento poderão ocorrer em servidores localizados no exterior, notadamente na América do Norte, na União Europeia e nas demais regiões em que operem os provedores globais contratados, conforme a evolução da infraestrutura, sem vinculação a um provedor específico por região.

Processamento das consultas. A Organização reconhece e autoriza expressamente que o texto das consultas submetidas pelos Usuários autorizados é enviado a provedor de inteligência artificial para geração da representação vetorial e para a reordenação dos resultados, o que pode implicar transferência internacional desse conteúdo. Quanto a esse fluxo: o Legaw não solicita nem requer a inserção de dados sensíveis ou de dados de terceiros na consulta; eventual dado dessa natureza inserido livremente é tratado exclusivamente para processar a pesquisa solicitada; e o conteúdo não é utilizado para treinamento de modelos, na forma da Seção 4 e do Anexo B.

A Organização é responsável por responder, perante os seus titulares, às solicitações de exercício dos direitos previstos no art. 18 da LGPD relativas aos dados tratados por conta dela. Caso o Legaw receba diretamente solicitação dessa natureza, encaminhará o titular ou a solicitação à Organização, informando-a sem demora injustificada, e não responderá substantivamente em nome dela, salvo obrigação legal em contrário.

Considerada a natureza do tratamento, o Legaw auxiliará a Organização, por meio de medidas técnicas e organizacionais adequadas e na medida do possível, a cumprir a obrigação de responder às solicitações, disponibilizando os recursos da própria Plataforma ou as informações necessárias para localizar, exportar, corrigir, restringir ou eliminar os dados. O Legaw poderá cobrar custos razoáveis, mediante orçamento prévio, por auxílio que exorbite significativamente das funcionalidades padrão da Plataforma ou que demande desenvolvimento ou esforço extraordinário.

Solicitações formuladas por titulares-terceiros cujos dados constem do Conteúdo Jurídico Público seguem o procedimento da Seção 16 da Política de Privacidade do Legaw e do Anexo D, e não se submetem a este DPA.

Ao confirmar incidente de segurança que afete dados tratados por conta da Organização, o Legaw a notificará sem demora injustificada, de modo a permitir que ela cumpra os seus deveres de comunicação à ANPD e aos titulares, observado, em qualquer caso, o prazo estabelecido pelo Regulamento de Comunicação de Incidente de Segurança aprovado pela Resolução CD/ANPD nº 15/2024. A comunicação poderá ser inicial e complementada em etapas, conforme avance a apuração.

A comunicação conterá, na medida das informações disponíveis: a descrição da natureza dos dados afetados; as categorias e o número aproximado de titulares envolvidos; as medidas técnicas e de segurança adotadas ou propostas para proteger os dados e mitigar os efeitos; os riscos conhecidos; os motivos de eventual demora; e o ponto de contato para informações adicionais.

O Legaw cooperará razoavelmente na investigação, na mitigação e na remediação do incidente. A decisão e a responsabilidade pela comunicação à ANPD e aos titulares, quando cabível, são da Organização, na qualidade de controladora dos dados afetados, ressalvadas as obrigações próprias do Legaw quando figure como controlador autônomo, na forma da Seção 2.4, ou quando a lei lhe imponha dever direto. A notificação do Legaw à Organização não constitui, por si só, reconhecimento de culpa ou de responsabilidade.

Mediante solicitação razoável, com antecedência mínima de 30 (trinta) dias e limitada a uma vez por ano, salvo em caso de incidente relevante confirmado que afete a Organização ou de exigência de autoridade, o Legaw disponibilizará informações e documentação razoavelmente necessárias para demonstrar o cumprimento das obrigações deste DPA, incluindo, quando disponíveis, certificações, relatórios de auditoria independentes, sumários de testes e a descrição das medidas do Anexo B.

Caso essas informações sejam insuficientes para a demonstração de conformidade, a Organização poderá realizar auditoria, diretamente ou por terceiro independente sujeito a confidencialidade e não concorrente do Legaw, observados: agendamento prévio e realização em horário comercial; escopo limitado ao tratamento objeto deste DPA; preservação da segurança, da confidencialidade e da continuidade dos serviços e dos dados de outros clientes; e arcamento dos custos pela Organização, salvo se a auditoria revelar descumprimento material atribuível ao Legaw. As informações obtidas são confidenciais e somente podem ser utilizadas para verificar a conformidade com este DPA e para cumprir obrigações legais ou regulatórias.

Quando a Organização estiver obrigada a elaborar relatório de impacto à proteção de dados pessoais, ou quando solicitada pela ANPD, o Legaw cooperará razoavelmente, fornecendo as informações de que disponha sobre o tratamento por ele realizado por conta dela, na medida necessária e proporcional, observados os arts. 5º, XVII, e 38 da LGPD. Esse auxílio observa o mesmo regime de custos razoáveis da Seção 9 quando exorbitar das informações e funcionalidades padrão.

As pesquisas realizadas podem gerar páginas de conferência de resultados, vinculadas à conta do Usuário autorizado que as originou, acessíveis apenas mediante autenticação e marcadas para não serem indexadas por mecanismos de busca. Cabe à Organização orientar os seus Usuários autorizados a não incluírem no texto da consulta informação que não deva ser conservada nos registros do Serviço. O encerramento da conta elimina as páginas a ela vinculadas, ressalvada retenção legal aplicável.

Os prazos de retenção observam a finalidade de cada operação e as exigências legais aplicáveis, na seguinte conformidade.

• Consulta, histórico e páginas de resultado: Conservados enquanto a conta estiver ativa, por constituírem funcionalidade do serviço, com eliminação mediante exclusão da conta ou exclusão individual pelo usuário.
• Documentos recuperados em páginas de resultado: Preservados enquanto o link de conferência precisar permanecer funcional.
• Dados de conta, consentimento, segurança e transações: Enquanto vigente a relação e, após o seu término, pelo prazo necessário ao cumprimento de obrigações legais, à prevenção de fraude e ao exercício regular de direitos, observado o período de 6 (seis) meses a 5 (cinco) anos conforme a natureza do dado

A exclusão da conta invalida as credenciais de acesso e de integração, impede novas chamadas pelos assistentes conectados, elimina as páginas de resultado pertencentes ao Usuário, os dados de assinatura, o feedback registrado e o histórico de interações, anonimiza os registros de pesquisa e descaracteriza os dados cadastrais, com remoção da identidade no provedor de autenticação.

São conservados, após a exclusão, o registro das autorizações de conexão concedidas, contendo endereço IP, agente do navegador, aplicativo autorizado e escopo, e o registro de créditos e transações, pelo prazo de 5 (cinco) anos, para comprovação da autorização prestada, prevenção de fraude e exercício regular de direitos em eventual processo judicial ou administrativo, nos termos do art. 7º, VI, e do art. 16, I, da LGPD. Findo o prazo, os registros são eliminados ou anonimizados.

O Legaw se isenta de qualquer responsabilidade relacionada à negligência, imprudência ou imperícia de seus usuários no trato com seus dados individuais, limitando-se a garantir a segurança dos dados coletados e armazenados e o cumprimento das finalidades descritas neste documento e na Política de Privacidade.

É de responsabilidade do usuário a confidencialidade acerca de seus dados pessoais, como login, senha ou qualquer outro fator de segurança implementado pelo Legaw para a segurança dos dados.

O Legaw não se responsabiliza, também, pela veracidade das informações inseridas pelo Usuário nos registros para a utilização de serviços. Informações falsas ou de má-fé, concedidas pelo usuário para utilização dos serviços, são de sua integral responsabilidade.

15.1. Ambas as partes declaram ter plena ciência de que o uso de qualquer programa ou sistema de informática, seja em rede interna, seja na internet, está sujeito a ataques de terceiros, não se responsabilizando o Legaw por quaisquer danos causados, de qualquer natureza, caso seu software sofra ações ou invasões perpetradas por quaisquer terceiros.

O Legaw não se responsabiliza por ações maliciosas de terceiros, salvo se comprovada conduta culposa ou deliberada do Legaw; vide tópico abaixo.

15.2. Responsabilidades do Legaw

O tratamento de dados, quando necessário, será feito dentro da finalidade e observando as devidas providências, descritas nesta Política de Privacidade. O Legaw prevê responsabilidade dos agentes que atuam nestes processos de tratamento, observando o disposto na Lei Geral de Proteção de Dados (Lei 13.709/2018) – em específico o art. 42 ao 45 da Lei.

Em resumo, o Legaw se compromete a:

• I. Observar e zelar pelo cumprimento da presente Política de Privacidade;
• II. Manter esta Política atualizada;
• III. Buscar condições técnicas seguras o tratamento dos dados;
• IV. Receber reclamações e esclarecer dúvidas relativas a esta Política e a sua aplicação;
• V. Observar e adotar as providências previstas em comunicações da Autoridade Nacional de Proteção de Dados (ANPD).

Este DPA é parte integrante e acessória dos Termos de Uso, Política de Privacidade ou do contrato comercial que a ele faça referência, e a aceitação destes implica a sua aceitação. Vigora a partir da aceitação e enquanto durar o tratamento de dados pessoais da Organização pelo Legaw, sobrevivendo, no que aplicável, as cláusulas que por sua natureza devam permanecer em vigor após o término, notadamente confidencialidade, responsabilidade, retenção e eliminação.

Caso os Termos de Uso sejam omissos quanto a foro, teto de responsabilidade ou prazo de notificação de mudanças materiais, aplicam-se supletivamente, enquanto durar a omissão, as regras próprias deste DPA.

Este DPA é versionado, com indicação de número de versão e data de vigência no cabeçalho, e a versão vigente está sempre disponível na página deste documento. Alterações materiais serão comunicadas, poderão ensejar novo aceite por meio do mecanismo de consentimento versionado da Plataforma e não reduzirão o nível de proteção contratado durante o período contratado sem fundamento legal ou acordo entre as Partes. Revisões neutras ou meramente editoriais podem ser publicadas com indicação da versão sucedida e registro auditável da dispensa de novo aceite.

Esta Política poderá ser atualizada a qualquer tempo para refletir alterações no produto, na cadeia de fornecedores e na tecnologia empregada. A versão vigente e a respectiva data de atualização serão publicadas nesta página, e alterações materiais serão comunicadas pelos canais cadastrados ou mediante aviso destacado na plataforma. O uso continuado do Legaw após a entrada em vigor das alterações implica a aceitação dos novos termos.

A presente Política é regida pelas leis da República Federativa do Brasil. Fica eleito o foro da Comarca de Barueri/SP para dirimir quaisquer controvérsias dela decorrentes.

Ao utilizar a plataforma, o usuário concorda com a presente política. Em caso de quaisquer dúvidas acerca do instrumento, entre em contato conosco via suporte@legaw.ai.

Este Anexo descreve o tratamento de dados pessoais realizado pelo Legaw na qualidade de operador, por conta e ordem da Organização, nos termos das Seções 2.1 a 2.3 do DPA. Não abrange os tratamentos próprios do Legaw como controlador autônomo, delimitados na Seção 2.4 e regidos pela Política de Privacidade.

O tratamento tem por finalidade viabilizar o acesso dos Usuários autorizados à Plataforma e executar as pesquisas de jurisprudência e legislação por eles solicitadas, diretamente ou por intermédio de Assistente autorizado, entregando os resultados correspondentes e mantendo os registros necessários à conferência das fontes e à continuidade do trabalho da Organização.

A natureza do tratamento é predominantemente automatizada, executada em resposta a solicitação do Usuário autorizado, sem intervenção humana do Legaw no conteúdo das consultas, ressalvado o acesso restrito e registrado de pessoal técnico para diagnóstico de falhas e atendimento de suporte, na forma do Anexo B.

• Usuários autorizados da Organização: Pessoas naturais a quem a Organização atribui acesso à Plataforma, incluindo administradores da conta
• Terceiros cujos dados sejam inseridos no texto livre das consultas: Clientes, partes, contrapartes e demais pessoas eventualmente mencionadas pelo Usuário autorizado. Não são solicitados nem exigidos pelo serviço, na forma da Seção 5 do DPA
• Pessoas mencionadas em documentos submetidos pela Organização, quando a funcionalidade estiver disponível: Aplicável apenas se e enquanto a Plataforma permitir o envio de documentos pelo Usuário autorizado

Não são tratados, por conta da Organização, dados de titulares que não se enquadrem nas categorias acima. Os dados pessoais constantes do Conteúdo Jurídico Público não integram esta relação, por não serem fornecidos nem controlados pela Organização.

• Identificação e contato do Usuário autorizado: Nome, endereço de e-mail, foto de perfil quando fornecida ou importada do provedor de login, vínculo com a Organização e perfil de acesso
• Autenticação e conexão: Identificador do provedor de login, identificadores de sessão, aplicativo cliente utilizado, escopos OAuth concedidos, identificadores de conexão e registros de concessão e revogação de acesso
• Conteúdo da consulta: Texto livre submetido pelo Usuário autorizado, filtros, tribunais e órgãos selecionados, período pesquisado e termos citados, incluindo eventuais dados pessoais de terceiros neles inseridos por iniciativa do Usuário
• Resultados e conferência: Resultados recuperados, páginas de resultado geradas, interações com as fontes e feedback registrado
• Registros de uso vinculados à conta da Organização: Histórico de pesquisas do Usuário autorizado, ferramenta chamada, data e hora, identificador da solicitação e consumo de cota
• Atendimento: Dados e conteúdo enviados voluntariamente ao suporte pelo Usuário autorizado ou pela Organização

O serviço não exige, não solicita e não requer dados pessoais sensíveis para a realização de pesquisas. Eventual dado dessa natureza inserido livremente no texto da consulta pelo Usuário autorizado é tratado exclusivamente para processar a pesquisa solicitada, competindo à Organização a existência de base legal na forma do art. 11 da LGPD.

O serviço não é direcionado a crianças e adolescentes e não requer dados dessa natureza. Eventual dado inserido no texto livre da consulta observa o disposto no art. 14 da LGPD e a responsabilidade da Organização prevista na Seção 5 do DPA.

Nos termos do art. 5º, X, da LGPD, o Legaw realiza, por conta da Organização, as seguintes operações: coleta e recepção dos dados submetidos pelo Usuário autorizado ou pelo Assistente por ele conectado; autenticação e validação de acesso; armazenamento; geração de representação vetorial do texto da consulta e, quando ativada, reordenação semântica dos resultados; execução da busca no acervo; produção e armazenamento de páginas de resultado; transmissão dos resultados ao aplicativo web, à API ou ao Assistente indicado pelo Usuário; registro de uso vinculado à conta; exportação de dados a pedido; manutenção de memória de representações vetoriais das consultas, não vinculada a Usuário e compartilhada entre as pesquisas, destinada a reduzir o custo e o tempo de processamento; e eliminação, na forma da Seção 14 do DPA.

O Legaw não realiza, por conta da Organização, enriquecimento de bases externas, cruzamento com fontes de terceiros, formação de perfis comerciais autônomos, nem treinamento, ajuste, avaliação ou desenvolvimento de modelos de inteligência artificial, próprios ou de terceiros, com os dados objeto deste DPA, na forma da Seção 4, alínea "b".

O tratamento perdura enquanto vigentes o contrato e a relação de Organização, encerrando-se na forma da Seção 14 do DPA. Os prazos de retenção e eliminação por categoria de dados constam daquela Seção e são operacionalizados pelas medidas do Anexo B, Seção B.9.

O tratamento é contínuo e executado sob demanda, a cada solicitação do Usuário autorizado. O armazenamento e o processamento ocorrem na infraestrutura dos sub-operadores relacionados no Anexo C, Seção C.1, podendo envolver transferência internacional na forma da Seção 8 do DPA.

Este Anexo descreve as medidas técnicas e organizacionais implementadas e mantidas pelo Legaw para proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, nos termos dos arts. 46 a 49 da LGPD e da Seção 6 do DPA.

Linha de base contratual. As medidas aqui descritas constituem o nível de proteção contratado. O Legaw poderá atualizá-las para acompanhar a evolução do estado da técnica, da arquitetura da Plataforma e da cadeia de fornecedores, desde que a alteração não reduza o nível geral de proteção, hipótese em que a mudança material será comunicada à Organização com antecedência razoável. As medidas estendem-se aos sub-operadores por meio do flow-down previsto na Seção 7 do DPA.

O Legaw mantém política interna de segurança da informação e proteção de dados, aprovada pela administração e revisada periodicamente, com atribuição formal de responsabilidades; inventário e classificação dos ativos de informação; gestão de riscos com identificação, avaliação e tratamento dos riscos relevantes ao tratamento de dados pessoais; registro das operações de tratamento nos termos do art. 37 da LGPD; e Encarregado pela Proteção de Dados nomeado na forma do art. 41 da LGPD, cujos canais constam na Política de Privacidade.

O acesso à Plataforma pelos Usuários autorizados ocorre por meio de provedor de autenticação federado. O acesso do Assistente ao servidor MCP é concedido por fluxo OAuth com PKCE. A reutilização indevida de código ou de credencial de renovação invalida automaticamente todas as credenciais daquele par de aplicativo e Usuário.

O acesso interno de pessoal do Legaw aos ambientes que armazenam dados pessoais é nominal, individualizado, concedido segundo os princípios do menor privilégio e da necessidade de conhecer, condicionado a autenticação multifator, revisado periodicamente e revogado no encerramento do vínculo ou na mudança de função. Não há contas compartilhadas para acesso a ambiente de produção. Todo acesso administrativo é registrado na forma da Seção B.5.

O tráfego entre o Usuário, o Assistente e a Plataforma, bem como entre a Plataforma e os sub-operadores, é cifrado em trânsito. As credenciais de integração e os segredos de aplicativo cliente são armazenados sob função de resumo criptográfico. As credenciais de acesso e de renovação emitidas no fluxo de autorização são armazenadas em texto legível na base de dados, decisão registrada e fundamentada na validade curta da credencial de acesso, compensada por controle de acesso restrito à base e por procedimento de resposta a incidente que prevê a invalidação em massa. As credenciais do Usuário perante o fornecedor do assistente não são recebidas nem armazenadas. Credenciais e segredos não são exibidos em exportações de dados.

Os ambientes de desenvolvimento, homologação e produção são segregados, sendo vedado o uso de dados pessoais reais de produção em ambientes de teste sem prévia anonimização. Os dados de cada conta de Organização são logicamente segregados, de modo que Usuários autorizados de uma Organização não acessem consultas, histórico ou páginas de resultado de outra.

O tráfego entre o Usuário, o Assistente e a Plataforma, bem como entre a Plataforma e os sub-operadores, é cifrado em trânsito. As credenciais de integração e os segredos de aplicativo cliente são armazenados sob função de resumo criptográfico. As credenciais de acesso e de renovação emitidas no fluxo de autorização são armazenadas em texto legível na base de dados, decisão registrada e fundamentada na validade curta da credencial de acesso, compensada por controle de acesso restrito à base e por procedimento de resposta a incidente que prevê a invalidação em massa. As credenciais do Usuário perante o fornecedor do assistente não são recebidas nem armazenadas. Credenciais e segredos não são exibidos em exportações de dados.

As alterações na Plataforma seguem processo formal de controle de mudanças, com versionamento, revisão de código por pessoa distinta do autor, testes automatizados e aprovação prévia à promoção para produção. São adotadas práticas de codificação segura, gestão e atualização de dependências de terceiros com monitoramento de vulnerabilidades conhecidas, e avaliação de impacto à proteção de dados nas funcionalidades que introduzam novo tratamento ou novo risco relevante.

A Plataforma aplica limitação de requisições por conta, por chave e por origem, controle de cota conforme o plano contratado, detecção de padrões anômalos de uso e mecanismos de mitigação de abuso e de negação de serviço.

A Plataforma foi concebida para não requerer dados pessoais de clientes, partes ou processos na realização de pesquisas temáticas, e a documentação e as interfaces orientam o Usuário nesse sentido. A consulta, o histórico e as páginas de resultados são conservados enquanto a conta estiver ativa, por constituírem funcionalidade do serviço, com eliminação mediante exclusão da conta ou exclusão individual pelo usuário.

Os dados tratados por conta da Organização não são utilizados para treinar, ajustar, avaliar ou de qualquer forma desenvolver modelos de inteligência artificial, próprios ou de terceiros.

A contratação de sub-operadores é precedida de avaliação de segurança e de proteção de dados, proporcional ao risco da função contratada, considerando as certificações mantidas pelo fornecedor, os relatórios de auditoria independentes disponíveis, a localização do tratamento e as garantias de transferência internacional. São celebrados instrumentos que imponham obrigações de proteção compatíveis com o DPA e, quando aplicável, cláusulas contratuais padrão. Os fornecedores recebem apenas os dados necessários à função contratada e estão submetidos a controles de acesso e a obrigações contratuais de confidencialidade.

Todo o pessoal com acesso a dados pessoais está submetido a obrigação contratual de confidencialidade, que subsiste ao término do vínculo, e recebe orientação periódica sobre proteção de dados e segurança da informação. O acesso é concedido na medida estrita das funções desempenhadas e revogado tempestivamente no desligamento ou na mudança de atribuições.

O Legaw não opera infraestrutura física própria de processamento ou armazenamento. A segurança física dos ambientes em que os dados são hospedados é assegurada pelos provedores de nuvem contratados, nos termos das certificações e dos controles por eles mantidos e verificados na forma da Seção B.10.

Considerada a operação em regime remoto, o Legaw mantém regras aplicáveis às estações de trabalho utilizadas pelo pessoal.

O Legaw mantém procedimento documentado de resposta a incidentes, contemplando detecção, registro, classificação de severidade, contenção, erradicação, recuperação, comunicação e análise posterior das causas. Confirmado incidente que afete dados tratados por conta da Organização, esta é notificada sem demora injustificada, na forma e com o conteúdo previstos na Seção 10 do DPA, observado o prazo estabelecido pelo Regulamento de Comunicação de Incidente de Segurança aprovado pela Resolução CD/ANPD nº 15/2024.

As medidas deste Anexo são revisadas periodicamente e sempre que houver alteração relevante na arquitetura da Plataforma, na cadeia de fornecedores ou no cenário de ameaças. A demonstração do seu cumprimento perante a Organização observa o regime da Seção 11 do DPA.

Este Anexo relaciona, na Seção C.1, as categorias de sub-operadores contratados pelo Legaw para o tratamento realizado por conta da Organização, cuja contratação é por esta autorizada de forma geral e prévia, nos termos da Seção 7 do DPA. A Seção C.2 relaciona, apenas por transparência, os terceiros que participam dos tratamentos próprios do Legaw delimitados na Seção 2.4 do DPA, os quais não são sub-operadores do tratamento objeto deste Acordo.

As categorias constituem o objeto da autorização geral e prévia. Os fornecedores nominados são indicados a título informativo, refletem a configuração vigente na data deste Anexo e podem ser substituídos por outro fornecedor da mesma categoria, observado o procedimento da Seção C.4. A relação atualizada dos sub-operadores então em uso, com finalidade e localização, é disponibilizada à Organização mediante solicitação ao canal indicado na identificação das partes do DPA.

• Infraestrutura e computação em nuvem: Hospedagem da aplicação, processamento das requisições e execução das rotinas da Plataforma
• Banco de dados gerenciado e armazenamento: Persistência de contas, consultas, histórico, páginas de resultado e backups
• Autenticação e gestão de identidade: Login federado, gestão de sessão e credenciais de acesso dos Usuários autorizados
• Inteligência artificial — representações vetoriais: Geração de embeddings do texto da consulta para busca semântica
• Inteligência artificial — reordenação semântica: Reordenação dos resultados recuperados, quando a funcionalidade estiver ativada
• Suporte e atendimento: Registro e tratamento de solicitações de suporte dos Usuários autorizados
• Monitoramento de erros e observabilidade: Detecção e diagnóstico de falhas da aplicação
• Envio de mensagens transacionais: Comunicações operacionais, verificação de conta e avisos de serviço

Os terceiros abaixo participam de tratamentos em que o Legaw atua como controlador autônomo, na forma da Seção 2.4 do DPA, e não tratam dados por conta da Organização. A sua indicação atende a dever de transparência e não os submete ao regime operador-controlador deste Acordo.

• Processamento de pagamentos, faturamento e emissão de documentos fiscais: Cobrança dos planos contratados e cumprimento de obrigações fiscais e contábeis próprias
• Contabilidade e assessoria fiscal: Escrituração e obrigações acessórias do Legaw
• Gestão de relacionamento comercial e comunicação de marketing: Prospecção, relacionamento e envio de comunicações opcionais, com base própria de legitimação
• Análise de uso agregado do produto: Medição de desempenho, telemetria e melhoria da Plataforma
• Assessoria jurídica e prevenção a fraudes: Exercício regular de direitos e proteção da operação

Não são sub-operadores do Legaw, para nenhum efeito deste DPA: (i) os Assistentes de inteligência artificial escolhidos e contratados pela Organização ou pelos seus Usuários autorizados, na forma da Seção 2.6 do DPA, que tratam a conversa mantida na conta da Organização segundo o seu próprio instrumento com esta; e (ii) os tribunais, órgãos públicos e demais fontes oficiais de que se origina o Conteúdo Jurídico Público, os quais são fontes primárias de publicação, na forma da Seção 2.5 do DPA e do Anexo D.

A inclusão de nova categoria de sub-operador ou a substituição de fornecedor que implique alteração material do tratamento, notadamente quanto à natureza dos dados transmitidos ou ao país de destino, será publicada na página deste documento ou comunicada por canal contratual com antecedência razoável, facultando-se à Organização apresentar objeção fundamentada. Persistindo a objeção sem solução técnica ou contratual viável, aplica-se o regime de encerramento previsto no DPA. Substituições que não alterem a categoria, a finalidade nem o nível de proteção contratado dispensam comunicação prévia e são refletidas na relação atualizada de que trata a Seção 7 do DPA.

Este Anexo descreve o tratamento dos dados pessoais constantes do Conteúdo Jurídico Público que compõe o acervo pesquisável da Plataforma. Nos termos da Seção 2.5 do DPA, esse tratamento está fora do objeto do Acordo: o Legaw atua, quanto a ele, como controlador autônomo, com finalidades e bases legais próprias, e a Organização não figura como controladora dos dados de terceiros constantes dos documentos recuperados em resposta às suas consultas. A descrição consta deste Anexo por transparência e para delimitar responsabilidades, detalhando e não substituindo a Política de Privacidade do Legaw.

O acervo é constituído a partir de atos normativos, acórdãos, decisões, ementas, votos e demais documentos tornados públicos por órgãos oficiais nos seus próprios canais de publicação. O Legaw atua como replicador e organizador de conteúdo previamente veiculado ao público pelas fontes primárias, indicando a fonte quando disponível e sem alterar o teor oficial dos documentos. A Plataforma não é fonte oficial de informação e não substitui os sistemas dos tribunais e os veículos oficiais de publicação.

Os documentos que integram o acervo podem conter dados pessoais de magistrados e serventuários da justiça, identificados por nome e órgão de atuação; de advogados, identificados por nome e número de inscrição na OAB; de partes e terceiros interessados, incluindo dados qualificativos constantes das peças; de peritos, assistentes técnicos e demais auxiliares do juízo; e de testemunhas e outras pessoas mencionadas nos autos.

Em razão do teor das decisões, o acervo pode conter, de forma incidental, dados pessoais sensíveis na acepção do art. 11 da LGPD, notadamente referências a condições de saúde, a origem racial ou étnica, a convicção religiosa, a opinião política e a vida sexual, bem como dados pessoais de crianças e adolescentes, especialmente em matérias de família, sucessões e infância e juventude. Esses dados não são coletados de forma dirigida nem constituem objeto de indexação autônoma, integram o texto dos documentos tal como publicados pelas fontes oficiais.

O acervo é organizado e disponibilizado com finalidade única e determinada de permitir a pesquisa técnico-jurídica de teses, precedentes, entendimentos e normas, em apoio ao exercício da atividade jurídica e ao direito de acesso à informação.

O tratamento apoia-se no art. 7º, § 3º, combinado com o art. 7º, IX, da LGPD, considerada a publicidade dos atos processuais assegurada pelos arts. 5º, LX, e 93, IX, da Constituição Federal e pelos arts. 8º e 11 do Código de Processo Civil, que constituem o pressuposto normativo da disponibilização pública dos documentos pelas fontes primárias. A preservação da finalidade original e o respeito à boa-fé, exigidos pelo art. 7º, § 3º, são assegurados pela delimitação da Seção D.3.

A ponderação exigida pelo legítimo interesse considera: a legitimidade da finalidade de pesquisa jurídica, reconhecida pelo ordenamento; a necessidade do tratamento, uma vez que a pesquisa de precedentes é inviável sem a indexação do texto integral das decisões, no qual os dados pessoais são elemento indissociável; a expectativa razoável dos titulares, formada pela prévia publicação oficial dos mesmos documentos em canais de acesso público; e as salvaguardas da Seção D.5, que restringem o uso do acervo à finalidade declarada e mantêm procedimento acessível de correção e desindexação.

São adotadas as seguintes salvaguardas: exclusão de documentos submetidos a segredo de justiça e, uma vez identificada a hipótese, remoção mediante o procedimento da Seção D.6; ausência de alteração do teor oficial dos documentos e indicação da fonte quando disponível; marcação das páginas de resultado para não indexação por mecanismos de busca externos; limitação de requisições e controle de cota, que impedem a extração massiva do acervo; restrição contratual e técnica ao uso do conteúdo para finalidades estranhas à pesquisa jurídica; e reavaliação periódica da ponderação prevista na Seção D.4 diante de alterações nas funcionalidades da Plataforma.

As solicitações formuladas por titulares cujos dados constam do Conteúdo Jurídico Público são dirigidas diretamente ao Encarregado do Legaw, pelos canais indicados na Política de Privacidade, e não se submetem ao procedimento da Seção 9 do DPA, uma vez que a Organização não é controladora desses dados.

O pedido deve indicar o endereço do conteúdo, a identificação do requerente ou de quem o represente e a justificativa, especificando a hipótese invocada: submissão a segredo de justiça; retirada do conteúdo pela fonte oficial; incorreção da informação em relação ao documento original; ou exposição de dado pessoal em desconformidade com a lei. Recebida a solicitação, o Legaw a apreciará no prazo de até 15 (quinze) dias úteis, prorrogável de forma justificada, e adotará, conforme o caso, a restrição de acesso, a correção, a desindexação do conteúdo ou o encaminhamento à fonte competente, comunicando ao requerente a providência adotada.

A recusa será sempre fundamentada e considerará o interesse público na publicidade dos atos processuais, a competência da fonte primária para alterar o teor oficial do documento e as demais hipóteses legais aplicáveis, ficando ressalvado ao titular o direito de peticionar à Autoridade Nacional de Proteção de Dados. Identificada informação submetida a segredo de justiça, a restrição de acesso é adotada de imediato, independentemente da conclusão da análise.

A recuperação de documentos do acervo em resposta a uma consulta da Organização não a converte em controladora dos dados pessoais de terceiros neles constantes, não lhe transfere as obrigações deste Anexo e não amplia o objeto do DPA. A utilização, pela Organização, dos documentos recuperados para finalidade própria e fora da Plataforma constitui tratamento autônomo, sob a sua exclusiva responsabilidade e amparado em base legal própria.

• 1.0 — 14 de setembro de 2026 — Primeira versão publicada, revisada pelo jurídico.