Política de Privacidade

1. Quem responde por estes dados

Razão social

PENDENTE - o titular ainda não informou

CNPJ

PENDENTE - o titular ainda não informou

Endereço

PENDENTE - o titular ainda não informou

Contato

PENDENTE - o titular ainda não informou

Encarregado (LGPD art. 41)

PENDENTE - o titular ainda não informou

E-mail do encarregado

PENDENTE - o titular ainda não informou

Enquanto os campos acima estiverem pendentes, não há controlador identificado nem canal de encarregado publicado - e o art. 41 da LGPD exige as duas coisas. Esta página é um rascunho publicado para revisão.

2. O que o serviço faz com dados pessoais

O e-Reclamatória recebe os fatos de uma reclamatória trabalhista - o processo, o reclamante, o período do contrato, as verbas reconhecidas e os valores - calcula as bases de contribuição previdenciária, FGTS e IRRF, monta os eventos S-2500 e S-2501, assina e transmite ao Ambiente Nacional do eSocial, e guarda o documento transmitido junto do cálculo que o gerou.

O destino final desses dados é o governo: Receita Federal, INSS e Caixa Econômica Federal, pelo eSocial e pelo FGTS Digital. Isso não é compartilhamento discricionário - é o cumprimento da obrigação legal que motiva o tratamento.

3. Os dados do reclamante - quem nunca contratou nada conosco

Este é o ponto mais sensível deste documento e o que mais o distingue de uma política genérica de SaaS. Para emitir um S-2500 é obrigatório informar o CPF, o nome e a data de nascimento do reclamante, a remuneração competência a competência e as verbas reconhecidas. Nas parcelas entram ainda o CPF ou CNPJ dos advogados que receberam honorários e o CPF do beneficiário de pensão alimentícia, quando houver.

Nenhuma dessas pessoas criou conta aqui, leu este documento ou consentiu com coisa alguma. A relação com elas é indireta: o empregador as informa porque a lei o obriga a declarar, e nós tratamos esses dados a mando dele.

Documentos de origem - sentenças, acordos, contas de liquidação - podem conter dados pessoais sensíveis (art. 11 da LGPD): saúde, em pedidos de acidente de trabalho, doença ocupacional ou insalubridade; filiação sindical, em acordos de CCP ou Ninter e em contribuição sindical; e, em ações de discriminação, origem racial ou convicção política. O produto não persiste esses documentos: o PDF da conta de liquidação é lido no próprio pedido e devolvido como proposta de valores, e o arquivo não é gravado em lugar nenhum. O que fica são os números aceitos por uma pessoa e o CPF do reclamante.

DECISÃO PENDENTE DE ADVOGADO - CONTROLADOR OU OPERADOR. A premissa de trabalho deste texto é que, quanto aos dados do reclamante, o Fornecedor é operador (art. 5º, VII da LGPD) e o empregador contratante é o controlador: quem decide declarar, o que declarar e quando é ele, em cumprimento de obrigação legal própria (art. 7º, II e art. 11, II, “a”). Essa premissa não está confirmada e tem consequências opostas em cada direção - quem é controlador responde pelo atendimento ao titular, pelo relatório de impacto e pela comunicação à ANPD. O titular do produto e seu advogado precisam decidir isso, e a decisão deve vir acompanhada de contrato de operador (art. 39) com o cliente. Enquanto não vier, o Fornecedor atende qualquer pedido de titular que chegue diretamente, encaminhando-o também ao cliente responsável.

4. Quais dados são tratados

• Conta e acesso: nome, e-mail, papel, derivação scrypt da senha (nunca a senha), data do último acesso; por sessão, o endereço IP e o user-agent; do aceite dos termos, a versão aceita, o instante e o endereço IP.
• Empresa: razão social e CNPJ; quando há escritório operando, o vínculo entre os dois.
• Certificado digital A1: o arquivo PKCS#12 e sua senha, ambos cifrados em repouso com AES-256-GCM sob chave derivada por empresa; em claro, apenas titular, emissor, validade e impressão digital, para que a tela de vencimento não precise decifrar nada.
• Processo trabalhista: número CNJ; CPF, nome e data de nascimento do reclamante; datas de admissão e desligamento; competências, verbas, valores e classificação de cada uma; parcelas pagas, honorários com inscrição do advogado e pensão alimentícia com CPF do beneficiário.
• Envio: o XML assinado exatamente como transmitido, seu SHA-256, o protocolo, o recibo e as ocorrências devolvidas pelo governo.
• Cobrança: nome, e-mail, endereço e CNPJ vão para a Stripe, que processa o pagamento. Nenhum dado de cartão passa por este sistema.
• Trilha de auditoria: quem fez o quê, sobre o quê, quando. É a comprovação que uma fiscalização pede, e por isso é apenas acrescida, nunca alterada nem apagada.

5. Bases legais

• Cumprimento de obrigação legal ou regulatória (art. 7º, II): o núcleo do serviço. Declarar S-2500 e S-2501 é dever do empregador, e as bases de INSS, FGTS e IRRF existem porque a lei manda apurá-las.
• Execução de contrato (art. 7º, V): conta, acesso, suporte e cobrança.
• Exercício regular de direito em processo (art. 7º, VI e art. 11, II, “d”): guarda do XML transmitido e do recibo, que é o que o empregador apresenta ao juiz.
• Legítimo interesse (art. 7º, IX): segurança da plataforma - registro de sessão, limitação de tentativas de senha, detecção de abuso. Nunca para publicidade, perfilamento ou venda de dados, que não acontecem aqui.
• Dados sensíveis (art. 11): quando aparecem em documento de origem, a hipótese invocada é o cumprimento de obrigação legal pelo controlador (inciso II, “a”) ou o exercício regular de direitos em processo (inciso II, “d”). Consentimento não é usado, e não poderia ser: o reclamante não tem relação conosco.

6. Com quem os dados são compartilhados

A lista abaixo é exaustiva e foi levantada no próprio código do produto. Não há publicidade, não há venda de dados, não há corretor de dados.

• Governo brasileiro - Ambiente Nacional do eSocial (Receita Federal, INSS, Ministério do Trabalho) e FGTS Digital (Caixa). Destino legal do evento, não fornecedor.
• Amazon Web Services - hospedagem da aplicação e do banco de dados, e guarda das chaves de configuração. Região us-east-1, Estados Unidos.
• Stripe - processamento de pagamento, assinaturas e emissão de recibo de cobrança. Recebe nome, e-mail, endereço e CNPJ do contratante e os dados de cartão diretamente do navegador dele. Estados Unidos e União Europeia.
• Anthropic - leitura assistida da decisão judicial, quando a instalação está com essa função ligada. Recebe o texto extraído do documento que a operadora subiu - numa sentença isso inclui o nome do reclamante, o CPF dele e o histórico salarial que o juiz tenha escrito - e devolve propostas de preenchimento, cada uma com o trecho do documento de onde saiu. Na classificação de rubricas sai menos: só o nome da verba (“adicional de insalubridade em grau médio”), sem parte, sem CPF e sem valor. Nunca saem o XML, o recibo do eSocial, o certificado A1 nem os cálculos. Estados Unidos.
• Resend - envio dos e-mails transacionais. Em toda mensagem recebe o e-mail e o nome do destinatário, a razão social da empresa e o texto enviado. O que o texto carrega depende do aviso:
  • redefinição de senha - o nome de quem pediu e o link de uso único, nada mais;
  • certificado A1 a vencer - o titular do certificado como consta no próprio certificado (num certificado de pessoa jurídica esse nome traz o CNPJ da empresa) e a data de validade;
  • prazo de evento a estourar - o número CNJ do processo, o nome do reclamante, e, quando o aviso é de uma parcela, o número dela e a data em que foi paga.
  O nome do reclamante identifica o processo para quem tem de transmitir e sai do país nesse aviso - está dito aqui porque é dado pessoal de terceiro (cláusula 3). Nunca saem no e-mail o CPF, a data de nascimento, valor algum, o XML ou o recibo. Estados Unidos.

Um provedor de modelo de linguagem trata dados deste produto, num caminho só. O cálculo continua sendo aritmética determinística e a conta de liquidação continua sendo lida por um tokenizador com conferência aritmética - nada disso passa por modelo. O que passa é a leitura assistida da decisão: quando a operadora sobe a sentença ou o acordão, o texto do documento vai à Anthropic e volta com propostas de preenchimento dos campos de cadastro. O envio acontece nesse momento e em nenhum outro; não há tarefa de fundo mandando documento, e uma instalação sem chave configurada não manda nada e funciona como antes.

A proposta do modelo nunca é gravada sozinha. O leitor determinístico continua sendo o primeiro a ler e o que ele leu prevalece; a proposta do modelo entra como sugestão, marcada como tal na tela, e só é gravada se a operadora marcar. Toda proposta tem de citar literalmente um trecho do documento, e o trecho é procurado no texto extraído antes de aparecer: proposta cujo trecho não existe no documento é descartada e contada. É o que impede um valor inventado de se parecer com um valor lido. Dado de cliente não é usado para treinar modelo.

Os fornecedores acima estão fora do Brasil, o que caracteriza transferência internacional (art. 33 da LGPD). O fundamento invocado é a necessidade para a execução do contrato e o cumprimento de obrigação legal, com cláusulas contratuais de proteção junto a cada fornecedor.

7. Por quanto tempo os dados ficam - e o que a lei impede de apagar

• Sessão: termina após 12 horas sem uso e, em qualquer caso, 7 dias depois de iniciada; o registro da sessão é mantido enquanto for útil como evidência de acesso.
• Certificado A1: apagado do cofre na substituição, na remoção pelo titular ou no encerramento da conta. O material criptográfico é destruído, não anonimizado.
• Conta e dados de processo: enquanto a conta existir. No encerramento, os identificadores pessoais são apagados ou substituídos por pseudônimos - ver cláusula 8.
• Evento transmitido (XML assinado, protocolo, recibo) e trilha de auditoria: mantidos mesmo após o pedido de exclusão, pelos prazos legais de guarda fiscal e prescricional.

O conflito, dito com todas as letras. O direito à eliminação (art. 18, VI) não alcança dado cuja guarda é obrigação legal do controlador - é o que ressalvam o art. 16, I e o art. 18, §4º da LGPD. O recibo de um evento aceito e o XML que o gerou são, simultaneamente, comprovação de confissão de dívida tributária perante a Receita e a prova que o empregador apresenta à Justiça do Trabalho. Apagá-los destruiria a defesa de quem pediu a exclusão. Por isso, no encerramento da conta:

• os dados cadastrais do usuário são anonimizados e a credencial é invalidada de forma irreversível;
• o CPF, o nome e a data de nascimento do reclamante nas fichas de processo são substituídos por pseudônimos, assim como o CPF ou CNPJ de advogados e o CPF de beneficiários de pensão;
• a razão social e o CNPJ da empresa contratante permanecem no cadastro, e não há como apagá-los: o evento transmitido e a trilha de auditoria que a lei manda guardar pertencem a uma empresa, e uma linha sem empresa não prova nada. O que é desfeito no cadastro é o vínculo com a cobrança - plano, cliente e assinatura na Stripe são apagados;
• o XML assinado e o recibo permanecem intactos, e isso é deliberado: eles estão assinados digitalmente e identificados por um resumo SHA-256, de modo que alterar um caractere destruiria exatamente a prova que a lei manda guardar. O documento transmitido segue contendo o CPF e o nome do reclamante.

8. Direitos do titular e como exercê-los

O art. 18 da LGPD assegura a qualquer titular - cliente, usuário ou reclamante - confirmação da existência de tratamento; acesso aos dados; correção de dado incompleto, inexato ou desatualizado; anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado em desconformidade; portabilidade; eliminação dos dados tratados com consentimento; informação sobre com quem compartilhamos; informação sobre a possibilidade de não consentir e as consequências disso; e revogação do consentimento.

Como exercer:

• Pelo produto: o titular da conta encerra a empresa na tela de Assinatura. O encerramento cancela a assinatura na Stripe e executa, na hora, a exclusão e a pseudonimização descritas na cláusula 7. Não é um sinalizador: as linhas são efetivamente apagadas ou alteradas no banco.
• Pelo encarregado: PENDENTE - o titular ainda não informou. Respondemos em até 15 dias (art. 19, II). Um pedido feito por reclamante que não é nosso cliente é atendido e, em paralelo, encaminhado ao empregador que inseriu o dado, porque é ele quem decide o tratamento.
• Pela ANPD: o titular pode peticionar à Autoridade Nacional de Proteção de Dados a qualquer tempo (art. 18, §1º).

Pedido de eliminação é atendido na extensão possível; o que a lei manda guardar é mantido, e dizemos exatamente o quê, na resposta.

9. Segurança

• senha guardada apenas como derivação scrypt de custo alto, comparada em tempo constante;
• token de sessão guardado apenas como SHA-256 - um vazamento da tabela não permite entrar como ninguém; cookie httpOnly, Secure e SameSite=Lax;
• certificado A1 e sua senha cifrados com AES-256-GCM sob chave derivada por empresa, jamais devolvidos por nenhuma rota nem gravados em log;
• toda consulta é escopada pela empresa da sessão, nunca por identificador vindo do cliente;
• tráfego sempre em TLS; segredos fora do repositório;
• trilha de auditoria apenas acrescida, com quem, o quê e quando.

10. Incidentes de segurança

A Resolução CD/ANPD nº 15/2024 dá 3 dias úteis para comunicar um incidente relevante à Autoridade, e esse prazo conta do momento em que o controlador toma conhecimento. Quando o controlador é o cliente, o relógio dele começa quando nós avisamos - de modo que um aviso tardio nosso consome o prazo dele.

Por isso o compromisso é comunicar o cliente em até 24 horas da constatação, com os seis itens do art. 48, §1º da LGPD: descrição dos dados afetados, informações sobre os titulares envolvidos, indicação das medidas técnicas e de segurança utilizadas, riscos relacionados, motivo da demora quando a comunicação não for imediata, e as medidas adotadas para reverter ou mitigar o efeito.

11. Decisões automatizadas

Nada é transmitido ao eSocial sem aprovação humana explícita, registrada com nome, instante e valores. A classificação da natureza de cada verba é decisão de uma pessoa identificada, nunca do sistema. Não há, portanto, decisão tomada unicamente com base em tratamento automatizado que afete interesses do titular na forma do art. 20 da LGPD - e esse desenho é deliberado.

12. Cookies

Um único cookie: esocial_session, estritamente necessário para manter a sessão, httpOnly e com validade de 7 dias, que é o tempo máximo que uma sessão pode durar. A sessão em si termina antes disso se ficar 12 horas sem uso. Não há cookie de análise, de publicidade ou de terceiros, e nenhuma ferramenta de rastreamento está instalada neste site.

13. Crianças e adolescentes

O serviço é destinado a empresas e profissionais e não se dirige a menores de 18 anos. Dados de menores podem aparecer apenas como beneficiário de pensão alimentícia informado pelo empregador, e são tratados sob a mesma obrigação legal de declaração.

14. Alterações desta política

Mudanças relevantes são avisadas e passam a valer no novo aceite; a versão vigente está no rodapé. Consulte também os Termos de Uso.