Política de Privacidade

1. Quem responde por estes dados

Razão social

PENDENTE - o titular ainda não informou

CNPJ

PENDENTE - o titular ainda não informou

Endereço

PENDENTE - o titular ainda não informou

Contato

PENDENTE - o titular ainda não informou

Encarregado (LGPD art. 41)

PENDENTE - o titular ainda não informou

E-mail do encarregado

PENDENTE - o titular ainda não informou

Enquanto os campos acima estiverem pendentes, não há controlador identificado nem canal de encarregado publicado - e o art. 41 da LGPD exige as duas coisas. Esta página é um rascunho publicado para revisão.

2. O que o serviço faz com dados pessoais

O e-Reclamatória recebe os fatos de uma reclamatória trabalhista - o processo, o reclamante, o período do contrato, as verbas reconhecidas e os valores - calcula as bases de contribuição previdenciária, FGTS e IRRF, monta os eventos S-2500 e S-2501, assina e transmite ao Ambiente Nacional do eSocial, e guarda o documento transmitido junto do cálculo que o gerou.

O destino final desses dados é o governo: Receita Federal, INSS e Caixa Econômica Federal, pelo eSocial e pelo FGTS Digital. Isso não é compartilhamento discricionário - é o cumprimento da obrigação legal que motiva o tratamento.

3. Os dados do reclamante - quem nunca contratou nada conosco

Este é o ponto mais sensível deste documento e o que mais o distingue de uma política genérica de SaaS. Para emitir um S-2500 é obrigatório informar o CPF, o nome e a data de nascimento do reclamante, a remuneração competência a competência e as verbas reconhecidas. Nas parcelas entram ainda o CPF ou CNPJ dos advogados que receberam honorários e o CPF do beneficiário de pensão alimentícia, quando houver.

Nenhuma dessas pessoas criou conta aqui, leu este documento ou consentiu com coisa alguma. A relação com elas é indireta: o empregador as informa porque a lei o obriga a declarar, e nós tratamos esses dados a mando dele.

Documentos de origem - sentenças, acordos, contas de liquidação - podem conter dados pessoais sensíveis (art. 11 da LGPD): saúde, em pedidos de acidente de trabalho, doença ocupacional ou insalubridade; filiação sindical, em acordos de CCP ou Ninter e em contribuição sindical; e, em ações de discriminação, origem racial ou convicção política. O produto não persiste esses documentos: o PDF da conta de liquidação é lido no próprio pedido e devolvido como proposta de valores, e o arquivo não é gravado em lugar nenhum. O que fica são os números aceitos por uma pessoa e o CPF do reclamante.

DECISÃO PENDENTE DE ADVOGADO - CONTROLADOR OU OPERADOR. A premissa de trabalho deste texto é que, quanto aos dados do reclamante, o Fornecedor é operador (art. 5º, VII da LGPD) e o empregador contratante é o controlador: quem decide declarar, o que declarar e quando é ele, em cumprimento de obrigação legal própria (art. 7º, II e art. 11, II, “a”). Essa premissa não está confirmada e tem consequências opostas em cada direção - quem é controlador responde pelo atendimento ao titular, pelo relatório de impacto e pela comunicação à ANPD. O titular do produto e seu advogado precisam decidir isso, e a decisão deve vir acompanhada de contrato de operador (art. 39) com o cliente. Enquanto não vier, o Fornecedor atende qualquer pedido de titular que chegue diretamente, encaminhando-o também ao cliente responsável.

4. Quais dados são tratados

• Conta e acesso: nome, e-mail, papel, derivação scrypt da senha (nunca a senha), data do último acesso; por sessão, o endereço IP e o user-agent; do aceite dos termos, a versão aceita, o instante e o endereço IP.
• Empresa: razão social e CNPJ; quando há escritório operando, o vínculo entre os dois.
• Certificado digital A1: o arquivo PKCS#12 e sua senha, ambos cifrados em repouso com AES-256-GCM sob chave derivada por empresa; em claro, apenas titular, emissor, validade e impressão digital, para que a tela de vencimento não precise decifrar nada.
• Processo trabalhista: número CNJ; CPF, nome e data de nascimento do reclamante; datas de admissão e desligamento; competências, verbas, valores e classificação de cada uma; parcelas pagas, honorários com inscrição do advogado e pensão alimentícia com CPF do beneficiário.
• Envio: o XML assinado exatamente como transmitido, seu SHA-256, o protocolo, o recibo e as ocorrências devolvidas pelo governo.
• Cobrança: a contratação é feita com um consultor. Quando o pagamento é processado pela Stripe, nome, e-mail, endereço e CNPJ vão para ela. Nenhum dado de cartão passa por este sistema.
• Trilha de auditoria: quem fez o quê, sobre o quê, quando. É a comprovação que uma fiscalização pede, e por isso é apenas acrescida, nunca alterada nem apagada.

5. Bases legais

• Cumprimento de obrigação legal ou regulatória (art. 7º, II): o núcleo do serviço. Declarar S-2500 e S-2501 é dever do empregador, e as bases de INSS, FGTS e IRRF existem porque a lei manda apurá-las.
• Execução de contrato (art. 7º, V): conta, acesso, suporte e cobrança.
• Exercício regular de direito em processo (art. 7º, VI e art. 11, II, “d”): guarda do XML transmitido e do recibo, que é o que o empregador apresenta ao juiz.
• Legítimo interesse (art. 7º, IX): segurança da plataforma - registro de sessão, limitação de tentativas de senha, detecção de abuso. Nunca para publicidade, perfilamento ou venda de dados, que não acontecem aqui.
• Consentimento (art. 7º, I): os cookies de medição de audiência e de publicidade do site, descritos na cláusula 12. Só são carregados depois que o visitante aceita no aviso de cookies; quem recusa, ou não responde, não os recebe, e a resposta pode ser mudada a qualquer momento em Preferências de cookies. Não alcança os dados do reclamante.
• Dados sensíveis (art. 11): quando aparecem em documento de origem, a hipótese invocada é o cumprimento de obrigação legal pelo controlador (inciso II, “a”) ou o exercício regular de direitos em processo (inciso II, “d”). Consentimento não é usado para esses dados, e não poderia ser: o reclamante não tem relação conosco.

6. Com quem os dados são compartilhados

A lista abaixo é exaustiva e foi levantada no próprio código do produto. Não há publicidade, não há venda de dados, não há corretor de dados.

• Governo brasileiro - Ambiente Nacional do eSocial (Receita Federal, INSS, Ministério do Trabalho) e FGTS Digital (Caixa). Destino legal do evento, não fornecedor.
• Amazon Web Services - hospedagem da aplicação e do banco de dados, e guarda das chaves de configuração. Região us-east-1, Estados Unidos.
• Stripe - processamento de pagamento, assinaturas e emissão de recibo de cobrança, para as contratações cobradas por esse meio. Recebe nome, e-mail, endereço e CNPJ do contratante e, quando há cartão, os dados dele diretamente do navegador do contratante. Estados Unidos e União Europeia.
• Anthropic - leitura assistida da decisão judicial, quando a instalação está com essa função ligada. Recebe o texto extraído do documento que a operadora subiu - numa sentença isso inclui o nome do reclamante, o CPF dele e o histórico salarial que o juiz tenha escrito - e devolve propostas de preenchimento, cada uma com o trecho do documento de onde saiu. Na classificação de rubricas sai menos: só o nome da verba (“adicional de insalubridade em grau médio”), sem parte, sem CPF e sem valor. Nunca saem o XML, o recibo do eSocial, o certificado A1 nem os cálculos. Estados Unidos.
• SendGrid - envio dos e-mails transacionais. Em toda mensagem recebe o e-mail e o nome do destinatário, a razão social da empresa e o texto enviado. O que o texto carrega depende do aviso:
  • redefinição de senha - o nome de quem pediu e o link de uso único, nada mais;
  • certificado A1 a vencer - o titular do certificado como consta no próprio certificado (num certificado de pessoa jurídica esse nome traz o CNPJ da empresa) e a data de validade;
  • prazo de evento a estourar - o número CNJ do processo, o nome do reclamante, e, quando o aviso é de uma parcela, o número dela e a data em que foi paga.
  O nome do reclamante identifica o processo para quem tem de transmitir e sai do país nesse aviso - está dito aqui porque é dado pessoal de terceiro (cláusula 3). Nunca saem no e-mail o CPF, a data de nascimento, valor algum, o XML ou o recibo. Estados Unidos.
• Google (Analytics e Gerenciador de Tags) - medição de audiência e carregamento das tags de medição configuradas pela equipe comercial. Recebe o endereço das páginas abertas e uma identificação do navegador, gravada em cookie deste domínio. Não recebe nome, CPF, processo, cálculo nem valor algum. Estados Unidos.
• OpenAI (GPT Ads) - medição das campanhas de anúncio veiculadas na plataforma dela. Recebe três sinais e nada além deles: uma página pública foi aberta, a tela de cadastro foi aberta e uma assinatura foi contratada, esta última com o identificador do pagamento na Stripe. Não recebe nome, e-mail, CPF, processo nem documento. Estados Unidos.
• RD Station (Resultados Digitais) - ferramenta de gestão do contato comercial, presente apenas nas páginas públicas. Recebe o que a pessoa digita no formulário de cadastro - nome, razão social, CNPJ e e-mail -, a origem da visita e, quando alguém pede contato comercial pelo assistente da página inicial, o nome e o e-mail deixados ali. Não recebe nada do que acontece dentro do sistema: nenhum processo, nenhum documento, nenhum cálculo. Servidores no Brasil.

Um provedor de modelo de linguagem trata dados deste produto, num caminho só. O cálculo continua sendo aritmética determinística e a conta de liquidação continua sendo lida por um tokenizador com conferência aritmética - nada disso passa por modelo. O que passa é a leitura assistida da decisão: quando a operadora sobe a sentença ou o acordão, o texto do documento vai à Anthropic e volta com propostas de preenchimento dos campos de cadastro. O envio acontece nesse momento e em nenhum outro; não há tarefa de fundo mandando documento, e uma instalação sem chave configurada não manda nada e funciona como antes.

A proposta do modelo nunca é gravada sozinha. O leitor determinístico continua sendo o primeiro a ler e o que ele leu prevalece; a proposta do modelo entra como sugestão, marcada como tal na tela, e só é gravada se a operadora marcar. Toda proposta tem de citar literalmente um trecho do documento, e o trecho é procurado no texto extraído antes de aparecer: proposta cujo trecho não existe no documento é descartada e contada. É o que impede um valor inventado de se parecer com um valor lido. Dado de cliente não é usado para treinar modelo.

Os fornecedores acima, com exceção do RD Station, estão fora do Brasil, o que caracteriza transferência internacional (art. 33 da LGPD). O fundamento invocado é a necessidade para a execução do contrato e o cumprimento de obrigação legal, com cláusulas contratuais de proteção junto a cada fornecedor.

7. Por quanto tempo os dados ficam - e o que a lei impede de apagar

• Sessão: termina após 12 horas sem uso e, em qualquer caso, 7 dias depois de iniciada; o registro da sessão é mantido enquanto for útil como evidência de acesso.
• Certificado A1: apagado do cofre na substituição, na remoção pelo titular ou no encerramento da conta. O material criptográfico é destruído, não anonimizado.
• Conta e dados de processo: enquanto a conta existir. No encerramento, os identificadores pessoais são apagados ou substituídos por pseudônimos - ver cláusula 8.
• Evento transmitido (XML assinado, protocolo, recibo) e trilha de auditoria: mantidos mesmo após o pedido de exclusão, pelos prazos legais de guarda fiscal e prescricional.

O conflito, dito com todas as letras. O direito à eliminação (art. 18, VI) não alcança dado cuja guarda é obrigação legal do controlador - é o que ressalvam o art. 16, I e o art. 18, §4º da LGPD. O recibo de um evento aceito e o XML que o gerou são, simultaneamente, comprovação de confissão de dívida tributária perante a Receita e a prova que o empregador apresenta à Justiça do Trabalho. Apagá-los destruiria a defesa de quem pediu a exclusão. Por isso, no encerramento da conta:

• os dados cadastrais do usuário são anonimizados e a credencial é invalidada de forma irreversível;
• o CPF, o nome e a data de nascimento do reclamante nas fichas de processo são substituídos por pseudônimos, assim como o CPF ou CNPJ de advogados e o CPF de beneficiários de pensão;
• a razão social e o CNPJ da empresa contratante permanecem no cadastro, e não há como apagá-los: o evento transmitido e a trilha de auditoria que a lei manda guardar pertencem a uma empresa, e uma linha sem empresa não prova nada. O que é desfeito no cadastro é o vínculo com a cobrança - plano, cliente e assinatura na Stripe são apagados;
• o XML assinado e o recibo permanecem intactos, e isso é deliberado: eles estão assinados digitalmente e identificados por um resumo SHA-256, de modo que alterar um caractere destruiria exatamente a prova que a lei manda guardar. O documento transmitido segue contendo o CPF e o nome do reclamante.

8. Direitos do titular e como exercê-los

O art. 18 da LGPD assegura a qualquer titular - cliente, usuário ou reclamante - confirmação da existência de tratamento; acesso aos dados; correção de dado incompleto, inexato ou desatualizado; anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado em desconformidade; portabilidade; eliminação dos dados tratados com consentimento; informação sobre com quem compartilhamos; informação sobre a possibilidade de não consentir e as consequências disso; e revogação do consentimento.

Como exercer:

• Pelo produto: o titular da conta encerra a empresa na tela de Assinatura. O encerramento cancela a assinatura na Stripe e executa, na hora, a exclusão e a pseudonimização descritas na cláusula 7. Não é um sinalizador: as linhas são efetivamente apagadas ou alteradas no banco.
• Pelo encarregado: PENDENTE - o titular ainda não informou. Respondemos em até 15 dias (art. 19, II). Um pedido feito por reclamante que não é nosso cliente é atendido e, em paralelo, encaminhado ao empregador que inseriu o dado, porque é ele quem decide o tratamento.
• Pela ANPD: o titular pode peticionar à Autoridade Nacional de Proteção de Dados a qualquer tempo (art. 18, §1º).

Pedido de eliminação é atendido na extensão possível; o que a lei manda guardar é mantido, e dizemos exatamente o quê, na resposta.

9. Segurança

• senha guardada apenas como derivação scrypt de custo alto, comparada em tempo constante;
• token de sessão guardado apenas como SHA-256 - um vazamento da tabela não permite entrar como ninguém; cookie httpOnly, Secure e SameSite=Lax;
• certificado A1 e sua senha cifrados com AES-256-GCM sob chave derivada por empresa, jamais devolvidos por nenhuma rota nem gravados em log;
• toda consulta é escopada pela empresa da sessão, nunca por identificador vindo do cliente;
• tráfego sempre em TLS; segredos fora do repositório;
• trilha de auditoria apenas acrescida, com quem, o quê e quando.

10. Incidentes de segurança

A Resolução CD/ANPD nº 15/2024 dá 3 dias úteis para comunicar um incidente relevante à Autoridade, e esse prazo conta do momento em que o controlador toma conhecimento. Quando o controlador é o cliente, o relógio dele começa quando nós avisamos - de modo que um aviso tardio nosso consome o prazo dele.

Por isso o compromisso é comunicar o cliente em até 24 horas da constatação, com os seis itens do art. 48, §1º da LGPD: descrição dos dados afetados, informações sobre os titulares envolvidos, indicação das medidas técnicas e de segurança utilizadas, riscos relacionados, motivo da demora quando a comunicação não for imediata, e as medidas adotadas para reverter ou mitigar o efeito.

11. Decisões automatizadas

Nada é transmitido ao eSocial sem aprovação humana explícita, registrada com nome, instante e valores. A classificação da natureza de cada verba é decisão de uma pessoa identificada, nunca do sistema. Não há, portanto, decisão tomada unicamente com base em tratamento automatizado que afete interesses do titular na forma do art. 20 da LGPD - e esse desenho é deliberado.

12. Cookies

A sua escolha. Na primeira visita, um aviso no rodapé pergunta se você aceita os cookies que não são essenciais. Enquanto você não aceitar, nenhuma ferramenta de medição ou de publicidade é carregada - recusar, ou simplesmente não responder, tem o mesmo efeito, e o site funciona igual. A resposta vale por seis meses e pode ser alterada a qualquer momento em Preferências de cookies, também no rodapé do site. Quando um aceite é retirado, os cookies dessas ferramentas que estiverem ao nosso alcance são apagados e a página é recarregada sem elas.

Essencial. ereclamatoria_consent guarda a resposta ao aviso de cookies, para que ele não seja exibido de novo a cada página. esocial_session mantém a sessão: httpOnly, inacessível ao JavaScript da página, com validade de 7 dias, que é o tempo máximo que uma sessão pode durar. A sessão em si termina antes disso se ficar 12 horas sem uso. Sem esse cookie não há como manter alguém autenticado.

Medição de audiência (só com o seu aceite). O Google Analytics grava _ga e _ga_<id>, cookies deste domínio que distinguem uma visita da seguinte. Servem para saber quantas pessoas abrem o site e quais páginas elas leem. Não carregam nome, CPF, processo nem valor.

Contato comercial (só com o seu aceite). Nas páginas públicas - a página inicial e a tela de cadastro -, o RD Station identifica o visitante e guarda a origem da visita: o anúncio, a busca ou o link que trouxe a pessoa até aqui. É o que liga um contato ao que o gerou. Pela configuração da conta, o carregador do RD Station pode trazer junto tags de medição do Google. Nas mesmas duas páginas, o pixel do GPT Ads registra a visita e a abertura da tela de cadastro. O RD Station e o pixel não são carregados nas telas de dentro do sistema, onde ficam os processos, os cálculos e os documentos.

Duas exceções, ditas por inteiro. O Gerenciador de Tags do Google é carregado em todas as páginas, inclusive nas de dentro do sistema, porque é ele que carrega a medição de audiência; ele não lê formulário por conta própria. E o pixel do GPT Ads dispara uma vez na tela de retorno do pagamento, quando uma assinatura é confirmada, levando só o identificador do pagamento na Stripe - é a própria venda que está sendo medida, e é onde ela acontece.

O que não fazemos. Esses cookies não são usados para montar perfil de comportamento fora deste site, não são cruzados com o que a operadora faz dentro do sistema e o que eles registram não é vendido. Para recusá-los basta responder “Recusar” no aviso de cookies, ou retirar o aceite em Preferências de cookies: o site continua funcionando igual e o pedido de contato continua chegando.

13. Crianças e adolescentes

O serviço é destinado a empresas e profissionais e não se dirige a menores de 18 anos. Dados de menores podem aparecer apenas como beneficiário de pensão alimentícia informado pelo empregador, e são tratados sob a mesma obrigação legal de declaração.

14. Alterações desta política

Mudanças relevantes são avisadas e passam a valer no novo aceite; a versão vigente está no rodapé. Consulte também os Termos de Uso.