DPO / LGPD

1Nosso compromisso com a LGPD

Tratamos matérias jurídicas confidenciais, parte delas sob sigilo. Por isso, adotamos a postura de máxima cautela: isolamento entre escritórios, controle de acesso por cliente e processo, pseudonimização antes de qualquer envio a IA externa e cifra de dados sensíveis. Nesta relação, o escritório de advocacia é, em regra, o Controlador dos dados de seus clientes, e a ShallomTEC atua como Operadora — ver papéis na Política de Privacidade.

2Encarregado pelo Tratamento de Dados (DPO)

O Encarregado é o canal entre a ShallomTEC, os titulares de dados e a Autoridade Nacional de Proteção de Dados (ANPD).

• Encarregado (DPO): Renato Siqueira
• E-mail: contato@shallomtec.com.br

3Princípios que seguimos

Pautamo-nos pelos princípios do art. 6º da LGPD, com destaque para: finalidade, adequação e necessidade (tratamos o mínimo necessário); livre acesso e transparência; qualidade dos dados; segurança e prevenção; não discriminação; e responsabilização e prestação de contas.

4Direitos do titular (art. 18)

A qualquer momento, mediante requisição, o titular tem direito a:

• I — Confirmação da existência de tratamento;
• II — Acesso aos dados;
• III — Correção de dados incompletos, inexatos ou desatualizados;
• IV — Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• V — Portabilidade a outro fornecedor, mediante requisição expressa;
• VI — Eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses do art. 16;
• VII — Informação sobre as entidades com as quais houve compartilhamento;
• VIII — Informação sobre a possibilidade de não consentir e suas consequências;
• IX — Revogação do consentimento.

5Como exercer seus direitos

• Você é cliente de um escritório que usa o Assistente: o escritório é o Controlador dos seus dados. Dirija o pedido a ele; se preferir, contate nosso Encarregado, que encaminhará ao escritório responsável e dará apoio técnico.
• Você é um escritório contratante: contate o Encarregado para acesso, exportação ou eliminação de dados, inclusive para atender pedidos de seus próprios clientes.

Atendimento operacional dos direitos. A exportação e a eliminação de dados de um titular por CPF, dentro de cada escritório, integram o desenho de produção e constituem condição de entrada em produção antes do tratamento de dados reais. As ações de exclusão/exportação são registradas em trilha de auditoria, sem gravar o dado pessoal do titular no log.

Para exercer um direito, escreva ao Encarregado (contato@shallomtec.com.br), com informações que permitam identificá-lo com segurança. Responderemos nos prazos da LGPD.

6Salvaguardas técnicas

• Pseudonimização dos dados pessoais antes do envio ao modelo de IA externo;
• Isolamento multi-tenant entre escritórios, imposto no servidor;
• Controle de acesso por cliente e processo, com negação por padrão a conteúdo restrito sem autorização;
• Cifra em repouso de dados sensíveis (CPF/nome) e cifra do conteúdo das conversas — condição de entrada em produção;
• Detecção de entidades por IA (NER) na pseudonimização — condição de entrada em produção;
• Cifra em trânsito (HTTPS/TLS) e bloqueio de PII em logs.

Detalhamento adicional em Política de Privacidade.

7Subprocessadores e transferência internacional

Utilizamos prestadores que apoiam a operação (IA, hospedagem, armazenamento e monitoramento), sob contrato e dever de confidencialidade. Parte do tratamento ocorre em servidores nos Estados Unidos, com salvaguardas da LGPD (art. 33): pseudonimização, cifra em repouso e cláusulas de proteção de dados (DPA). A lista de subprocessadores e os detalhes da transferência constam da Política de Privacidade.

8Retenção de dados

O histórico de conversas tem prazo de retenção configurável, após o qual é removido ou anonimizado de forma irreversível por rotina automática. Demais dados são mantidos pelo tempo necessário às finalidades e às obrigações legais. Ver retenção e eliminação.

9Incidentes de segurança

Mantemos processo de resposta a incidentes. Diante de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a comunicação à ANPD e aos titulares afetados é realizada no prazo de 3 (três) dias úteis contados do conhecimento de que o incidente atingiu dados pessoais, conforme a Resolução CD/ANPD nº 15/2024, podendo as informações ser complementadas posteriormente. Quando atuamos como Operadora, apoiamos o escritório Controlador no cumprimento desse dever e mantemos registro do incidente pelo prazo regulamentar.

10ANPD

O titular pode peticionar contra o controlador perante a Autoridade Nacional de Proteção de Dados (ANPD), órgão responsável por zelar pela proteção de dados pessoais no Brasil (gov.br/anpd). Recomendamos, contudo, contatar primeiro o nosso Encarregado para resolução direta: contato@shallomtec.com.br.