Acordo de Tratamento de Dados (DPA)

O Controlador determina as finalidades e os meios essenciais do tratamento de dados pessoais inseridos por seus usuários nas consultas. O Legaw tratará esses dados apenas para prestar, proteger e dar suporte ao serviço, segundo o contrato, a configuração da conta e as instruções lícitas documentadas do Controlador.

O Legaw poderá atuar como controlador independente para cadastro, segurança, prevenção a fraude, gestão contratual e cumprimento de obrigações próprias, conforme a Política de Privacidade.

O tratamento ocorre durante a vigência do serviço e pelo período de retenção aplicável. Abrange a autenticação e a execução de pesquisas de jurisprudência e legislação por meio do aplicativo, API ou MCP.

• Titulares: usuários autorizados e pessoas mencionadas nas consultas ou nos documentos públicos recuperados.
• Dados: identificação e contato profissional, identificadores de conta e conexão, consulta, filtros, referências processuais, resultados, feedback e registros técnicos.
• Operações: receber, transmitir, estruturar, comparar, recuperar, registrar, proteger, reter, anonimizar e excluir.
• Finalidade: prestar a pesquisa, manter histórico e links de conferência, atender suporte, aplicar quota, prevenir abuso e demonstrar conformidade.

O serviço não exige dados pessoais sensíveis, segredo de justiça ou dados de crianças. O Controlador deverá impedir o envio desses dados quando não houver necessidade e base legal específicas.

• tratar dados conforme instruções lícitas e informar se uma instrução aparentar contrariar a LGPD;
• assegurar confidencialidade das pessoas autorizadas a tratar dados;
• adotar medidas técnicas e administrativas adequadas ao risco;
• auxiliar, dentro de limites razoáveis, no atendimento a titulares, incidentes, relatórios de impacto e consultas à autoridade;
• manter registros suficientes para demonstrar conformidade e excluir ou devolver dados ao término, ressalvadas retenções legais.

O Controlador é responsável por possuir base legal, prestar informações aos titulares, configurar acessos, limitar a consulta ao necessário, observar sigilo profissional e assegurar que suas instruções sejam lícitas. Também deverá administrar as regras de retenção e compartilhamento de links dentro da organização e responder às solicitações de titulares, com o apoio previsto neste DPA.

O Controlador autoriza o uso de suboperadores necessários à infraestrutura, autenticação, segurança, suporte e processamento semântico. As categorias atuais incluem Amazon Web Services; Google Firebase e Google Cloud; e Microsoft Azure. Um gateway de modelos pode ser usado no demonstrador público, que não deve receber dados do Controlador.

O Legaw imporá obrigações de proteção compatíveis com este DPA e continuará responsável pela seleção e gestão dos suboperadores na medida prevista em lei. Mudança material será publicada nesta página ou comunicada por canal contratual com antecedência razoável, permitindo objeção fundamentada por risco de proteção de dados.

Claude, ChatGPT ou outro assistente escolhido e contratado pelo Controlador não é suboperador do Legaw. O assistente chama a ferramenta por instrução do Controlador e trata a conversa segundo seu próprio contrato com a organização.

Quando um suboperador tratar dados fora do Brasil, o Legaw adotará mecanismo de transferência previsto na LGPD e na regulamentação da ANPD, conforme aplicável, incluindo cláusulas contratuais, avaliação de risco e medidas complementares de segurança.

As medidas são ajustadas ao risco e incluem, quando aplicável:

• criptografia em trânsito, segregação de ambientes, redes e credenciais;
• controle de acesso por menor privilégio, OAuth com PKCE, tokens com validade e revogação;
• registros de auditoria, monitoramento, limitação de requisições e resposta a incidentes;
• backups, gestão de mudanças, atualização de dependências e testes de recuperação;
• minimização, retenção programada e exclusão de dados vinculados à conta.

Ao confirmar incidente que afete dados tratados em nome do Controlador, o Legaw o notificará sem atraso indevido e fornecerá, conforme disponível, natureza do evento, categorias afetadas, medidas adotadas, riscos conhecidos e contato responsável. A notificação não constitui admissão de culpa. O Controlador decide sobre comunicação à ANPD e aos titulares, salvo obrigação legal direta do Legaw.

Se o Legaw receber pedido relativo a dados controlados pela organização, poderá encaminhá-lo ao Controlador. Mediante solicitação, prestará assistência técnica razoável para localizar, exportar, corrigir, restringir ou excluir os dados, levando em conta a natureza do tratamento e as funcionalidades disponíveis.

Consultas identificáveis e filtros operacionais são removidos ou anonimizados após 90 dias por padrão. Páginas de conferência podem conservar os resultados enquanto o link precisar permanecer funcional; o Controlador deve solicitar exclusão quando essa finalidade terminar. No encerramento, o Legaw excluirá ou anonimizará os dados vinculados à conta, salvo cópia necessária por obrigação legal, segurança ou exercício de direitos, que permanecerá protegida e isolada de uso ordinário.

Mediante solicitação razoável e compromisso de confidencialidade, o Legaw fornecerá informações disponíveis para demonstrar conformidade. Auditoria presencial ou teste dedicado dependerá de indício objetivo de não conformidade, escopo previamente acordado, proteção de outros clientes e reembolso de custos extraordinários. Relatórios independentes poderão substituir auditoria quando suficientes.

A responsabilidade das partes por este DPA segue o contrato principal, sem afastar obrigações inderrogáveis da LGPD. O DPA permanece aplicável enquanto o Legaw tratar dados em nome do Controlador. Alterações materiais serão comunicadas e não reduzirão o nível de proteção durante o período contratado sem fundamento legal ou acordo.

Solicitações sobre este DPA, suboperadores ou proteção de dados podem ser enviadas ao canal de suporte do Legaw. Para formalização empresarial, identifique a organização, o responsável e o contrato ou proposta aplicável.