Política de Privacidade

1. Controlador e encarregado

O Advogado Agora é uma plataforma e marca de ARENAEDU COMERCIO DE CURSOS E ASSESSORIA EDUCACIONAL LTDA (ARENAEDU), CNPJ 46.347.459/0001-67, com sede em Q QNP 9 Conjunto F, Lote 47, Ceilândia Norte, Brasília/DF, CEP 72.240-806, que é a controladora dos dados pessoais tratados na plataforma, nos termos da Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018).

Encarregado pelo tratamento de dados (art. 41 da LGPD): Kledson Sousa, pelo e-mail [email protected]. É por esse canal, ou pelo formulário Solicitação sobre seus dados, que você exerce seus direitos.

2. Dados que tratamos

De quem envia um caso (cliente)

• Nome, WhatsApp e, se informado, e-mail. O e-mail informado no envio do caso serve aos avisos daquele caso e é visto pelo advogado que liberar o caso.
• O relato do problema (escrito ou gravado em áudio), que pode conter dados pessoais sensíveis (por exemplo, saúde, vida sexual, origem racial, convicção religiosa, dados de crianças, violência ou processos criminais) se você decidir incluí-los, e dados de outras pessoas envolvidas.
• Estado, cidade, urgência e interesse em consulta paga.
• Se você quiser responder, como nos encontrou (pergunta opcional, item 10).
• Registro do consentimento: o texto e as versões dos documentos aceitos, a data, o navegador e um código derivado do seu IP por função criptográfica (HMAC), que permite reconhecer envios repetidos sem guardar o IP em texto aberto.

De advogados

• Nome, e-mail, senha (guardada só como hash irreversível), número e seccional da OAB, áreas de atuação, cidade e WhatsApp profissional.
• Foto da carteira da OAB e selfie, enviadas para a verificação.
• CPF ou CNPJ do pagador, pedido na primeira compra de créditos para a emissão da cobrança e da nota fiscal; histórico de compras, créditos, liberações, contestações e status de atendimento.
• Registro dos aceites dos termos, desta política e do consentimento da selfie: documento, versão, data e um código derivado do IP (HMAC).
• Se você quiser responder, como nos encontrou (pergunta opcional do cadastro, item 10).

De qualquer visitante

• Registros de acesso à aplicação (data e hora, IP, porta de origem quando disponível, página, navegador e, se conectado, a conta).
• Cookies essenciais e, só se você aceitar no aviso de cookies, o cookie de medição do Google Ads (item 10).

3. Finalidades e bases legais

• Receber, classificar e publicar o resumo do caso, e entregar o contato aos advogados que o liberarem: consentimento (art. 7º, I) e, para os dados sensíveis do relato, consentimento específico e destacado (art. 11, I), dado nas caixas do formulário de envio.
• Cadastro, verificação da OAB e conta do advogado: execução de contrato e de procedimentos preliminares (art. 7º, V).
• Selfie da verificação: consentimento específico e destacado (art. 11, I), dado numa caixa própria antes de anexar a selfie e registrado em cada envio para a verificação: "Autorizo o uso da minha selfie só para conferir minha identidade com a OAB, comparando-a com a foto da carteira e com o Cadastro Nacional dos Advogados. A selfie fica cifrada, é vista só pela equipe de verificação, não é usada para outra finalidade nem compartilhada, e é apagada quando eu excluir a conta." A selfie é usada só para conferir a identidade com a OAB e fica guardada até a exclusão da conta. Sem esse consentimento, a selfie não é aceita.
• Coleta do CPF ou CNPJ do pagador e compartilhamento com o intermediador de pagamento: execução de contrato (art. 7º, V) e cumprimento de obrigação legal ou regulatória, inclusive fiscal (art. 7º, II).
• Prevenção a fraude, abuso e segurança (limites de envio, campo-armadilha contra robôs, trilha de auditoria): legítimo interesse (art. 7º, IX) e prevenção à fraude e segurança do titular (art. 11, II, g).
• Guarda dos registros de acesso: cumprimento de obrigação legal (art. 7º, II; art. 15 do Marco Civil da Internet).
• E-mails transacionais (verificação, senha, avisos de casos novos, compras, contestações e mudanças nestes textos): execução de contrato (art. 7º, V); o aviso de casos novos pode ser desligado a qualquer momento.
• Medição das campanhas de anúncio (cookie de medição do Google Ads e origem da visita, item 10): consentimento (art. 7º, I), dado no aviso de cookies, que pode ser recusado ou retirado a qualquer momento sem mudar nada no uso do site.
• Pergunta "Como nos encontrou?" no envio do caso e no cadastro: resposta opcional, usada só em relatórios internos por origem e mês; legítimo interesse (art. 7º, IX).
• Defesa em processos e atendimento a autoridades: exercício regular de direitos (art. 7º, VI, e art. 11, II, d).

4. Compartilhamento com o advogado que libera o caso

Quando um advogado verificado libera o seu caso, ele recebe seu nome, WhatsApp, e-mail (se informado), o relato completo e o áudio (se houver), para oferecer atendimento sobre esse caso. A partir daí, ele trata esses dados como agente de tratamento próprio e responde pelo uso que fizer deles. Antes da liberação, os advogados veem só o resumo anônimo, as áreas, a cidade, a urgência e o interesse em consulta paga.

5. Operadores e transferência internacional

Alguns operadores ficam fora do Brasil. Essas transferências internacionais de dados (art. 33 da LGPD) se apoiam no consentimento específico e destacado de quem envia o caso (art. 33, VIII), dado no formulário de envio, e, para advogados, na execução do contrato (art. 33, IX). Elas valem para a hospedagem, a inteligência artificial e, quando ligados, a transcrição de áudio e o canal de WhatsApp descritos abaixo.

• DigitalOcean (hospedagem, Estados Unidos): os servidores que rodam a aplicação, o banco de dados, os arquivos enviados (cifrados) e as cópias de segurança diárias ficam na DigitalOcean, em Nova York (EUA). Todos os dados descritos nesta política ficam guardados lá.
• Backblaze (cópia de segurança externa, serviço B2): recebe uma cópia diária do banco de dados e dos arquivos, cifrada no nosso servidor antes do envio; a Backblaze guarda só o arquivo cifrado, sem a chave para abri-lo. As cópias seguem a mesma retenção das cópias locais (7 diárias e 4 semanais).
• Anthropic (inteligência artificial, Estados Unidos): recebe só o texto do relato (com as respostas às perguntas de esclarecimento, se houver), com o seu nome, telefone e e-mail trocados por marcadores, mais a lista das áreas do direito da plataforma, para sugerir áreas, escrever o resumo anônimo e, quando ligado, sugerir perguntas de esclarecimento. Cidade, estado, urgência, nome, telefone e e-mail não vão como campos. O relato pode conter dados pessoais que você mesmo escreveu.
• Transcrição do áudio: Se você gravar o relato em áudio (até 3 minutos), a gravação vai para o nosso servidor para virar texto. Hoje nenhum serviço externo de transcrição está ligado: o áudio não sai do nosso servidor. O texto entra no relato, e você pode corrigi-lo antes de enviar. O áudio só é guardado se você enviar o caso: fica cifrado no nosso servidor, só o advogado que liberar o caso e a equipe de moderação podem ouvi-lo, e é apagado junto com os outros dados pessoais do caso (12 meses depois do envio, ou 90 dias depois da recusa), ou antes, se você pedir a exclusão. Se você desistir do envio, o áudio não fica guardado. Pelo WhatsApp, o áudio é só transcrito e não é guardado.
• Asaas (pagamentos e nota fiscal, Brasil): recebe nome, e-mail e CPF ou CNPJ do advogado pagador, e o valor de cada compra, para emitir e cobrar a fatura e emitir a nota fiscal. Os dados de cartão são digitados direto na página do Asaas e nunca passam pela plataforma. Nenhum dado de quem envia um caso vai ao Asaas.
• Resend (e-mail transacional): recebe o e-mail do advogado e o conteúdo das mensagens que enviamos, com envio pela região de São Paulo (Brasil). Nenhum dado pessoal de quem envia um caso vai nos e-mails aos advogados: os avisos levam só o resumo anônimo, as áreas e a cidade.
• Google (Google Ads, Estados Unidos), só se você aceitar o cookie de medição: a tag do Google Ads recebe o endereço da página visitada, o navegador, o IP e os cookies de medição dela (item 10), para contar se a visita veio de um anúncio nosso. Ela nunca carrega na área logada nem nas páginas com link de acompanhamento, de senha ou de convite, e não recebe nome, contato, relato nem qualquer campo dos formulários. Isso é uma transferência internacional de dados, apoiada no mesmo consentimento (art. 33, VIII).
• Cloudflare (proxy reverso e rede de distribuição de conteúdo): todo acesso ao site passa pela rede da Cloudflare, que protege o site contra ataques e entrega os arquivos estáticos. Ela vê o IP, o endereço acessado e o conteúdo trafegado, que é decifrado na borda dela e cifrado de novo até o nosso servidor. A Cloudflare tem servidores em vários países.

6. Registros de acesso e ordem de guarda

Por obrigação legal (art. 15 do Marco Civil da Internet, Lei 12.965/2014), guardamos por 6 meses (183 dias), em sigilo e em ambiente controlado, o registro de cada acesso: data e hora, IP, porta de origem quando disponível, página acessada (sem parâmetros), navegador e, se você estiver conectado, a conta. Esses registros não são usados para publicidade nem para perfil de comportamento. Só pessoas autorizadas os consultam, e cada consulta fica registrada. Depois do prazo, são apagados automaticamente.

A autoridade policial ou administrativa ou o Ministério Público podem requerer que registros específicos sejam guardados por mais tempo (art. 15, § 2º). Nesse caso, os registros cobertos pelo pedido não são apagados até a data-limite. A entrega a terceiros só acontece com ordem judicial (art. 15, § 3º). Responsável pela guarda: ARENAEDU COMERCIO DE CURSOS E ASSESSORIA EDUCACIONAL LTDA.

7. Por quanto tempo guardamos

• Resumo do caso na vitrine: pelo prazo exibido (hoje, até 7 dias após a publicação) ou até as vagas acabarem.
• Nome, contatos, relato e áudio de quem enviou um caso: 12 meses depois do envio, para contestações e pedidos do titular; casos recusados na moderação, 90 dias depois da recusa. Depois disso, um processo diário apaga esses dados automaticamente e mantém só o necessário para o extrato de créditos e as contestações (identificador do caso, áreas, cidade e estado, datas, situação e liberações, sem nome, contato, relato nem áudio). A qualquer momento, você pode pedir a exclusão antes disso. Um caso sob ordem de autoridade ou necessário para defesa em processo fica guardado até o fim dessa necessidade.
• Registros de acesso: 6 meses (183 dias), salvo ordem de guarda (item 6).
• Registros de consentimento, aceites dos termos e trilha de auditoria: 5 anos, para comprovar o consentimento e para defesa em processos.
• Conta do advogado: enquanto a conta existir. Na exclusão, nome, e-mail, telefone, inscrição, CPF/CNPJ, documentos e selfie são apagados; lançamentos de créditos, liberações e pagamentos ficam com o identificador interno, sem dado pessoal além do necessário, pelo prazo exigido pela legislação fiscal e contábil.
• Documentos da verificação da OAB e selfie: até a exclusão da conta ou o pedido do titular.
• Origem do envio ou do cadastro (resposta de "Como nos encontrou?" e campanha): junto com o caso ou a conta, sem dado pessoal; o texto livre de "Outro" e o identificador do clique saem junto com os dados pessoais do caso ou na exclusão da conta.
• Cópias de segurança: um dado apagado da plataforma ainda pode existir nas cópias de segurança cifradas por até 4 semanas (7 cópias diárias e 4 semanais), até elas serem substituídas. Elas só são usadas para recuperar o sistema depois de uma falha.

8. Segurança

Usamos conexão cifrada (HTTPS); cifra em repouso (AES-256-GCM) do relato, do áudio, dos contatos de quem envia o caso, dos documentos da OAB e da selfie, do CPF/CNPJ do pagador e da resposta bruta da IA; senhas só como hash; controle de acesso por perfil; limites de tentativas; e trilha de auditoria das ações administrativas. Para suporte e segurança, a equipe pode visualizar a sua conta de advogado em modo leitura, sem alterar nada; cada acesso fica registrado, com o motivo. Nenhum sistema é totalmente imune a incidentes; se houver incidente que possa causar risco ou dano relevante, comunicaremos a ANPD e as pessoas afetadas (art. 48 da LGPD).

9. Seus direitos e como exercê-los

Você pode pedir, sem custo:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
• portabilidade, nos termos da regulamentação da ANPD;
• eliminação dos dados tratados com base no consentimento, e a revogação desse consentimento;
• informação sobre com quem compartilhamos seus dados e sobre a possibilidade de não consentir e suas consequências;
• revisão de decisão tomada só com base em tratamento automatizado (art. 20);
• petição à Autoridade Nacional de Proteção de Dados (ANPD).

Para exercer: formulário Solicitação sobre seus dados ou e-mail do encarregado, [email protected]. Para proteger você, podemos pedir uma confirmação de identidade, por exemplo pelo WhatsApp informado no envio. Respondemos em até 15 dias. A revogação do consentimento não desfaz liberações já feitas: os advogados que já receberam o contato precisam ser procurados diretamente.

10. Cookies

Cookies são pequenos arquivos que o site grava no seu navegador. Usamos dois tipos: os essenciais, sempre ligados, e os de medição, só se você aceitar. Não usamos cookies de perfil de comportamento nem de personalização de anúncios.

Cookies essenciais (não pedem permissão)

São necessários para o site funcionar e para a segurança das contas (execução de contrato e legítimo interesse, art. 7º, V e IX). Nenhum deles é usado para publicidade. Em produção, os de login levam o prefixo __Host-.

• aa.session-token: a sessão de quem entra na área do advogado ou do admin; até 7 dias, ou até fechar o navegador quando "Lembrar de mim" não é marcado.
• aa.csrf-token, aa.callback-url, aa.pkce, aa.state e aa.nonce: proteção do login, inclusive do "Entrar com Google"; duram o login ou a sessão do navegador.
• aa_envio_recebido: a confirmação do envio do caso, que mostra uma vez o link de acompanhamento; 15 minutos, só na página de confirmação.
• aa_indicacao e aa_convite_google: o código do link de convite ou de indicação de um advogado, para o cadastro; 30 dias e 10 minutos.
• aa.ver-como: só para a equipe, no modo de leitura de suporte (item 8); até o fim da visualização.
• aa_cookies: guarda a sua escolha sobre os cookies de medição (aceitar ou recusar); 6 meses.

Fora dos cookies, o navegador guarda só neste aparelho o que você já digitou no formulário de envio do caso (sem o áudio), para não perder o texto, e a preferência do menu lateral. Esses dados não vão ao nosso servidor e podem ser apagados no próprio formulário.

Cookies de medição (só com a sua permissão)

Se você clicar em "Aceitar" no aviso de cookies, carregamos a tag do Google Ads (item 5), que grava os cookies _gcl_au e, se você chegou por um anúncio, _gcl_aw, por até 90 dias, para sabermos se a visita veio de um anúncio nosso e de qual campanha. Usamos o modo de consentimento do Google com tudo negado por padrão: antes do "Aceitar", a tag nem é carregada. A personalização de anúncios fica desligada. O Google também pode ler ou gravar cookies nos próprios domínios dele (como doubleclick.net e google.com), que seguem a política de privacidade do Google. Base legal: consentimento (art. 7º, I). O aviso só aparece quando a medição está ligada; se ele não aparecer, nenhum cookie de medição está em uso.

Com a mesma permissão, o nosso cookie aa_origem guarda, por até 90 dias, de onde veio a primeira visita: os parâmetros de campanha do link (utm_source, utm_medium, utm_campaign, utm_content e utm_term), o identificador do clique no anúncio do Google (gclid), quando houver, e a data. Se você enviar um caso ou se cadastrar, esses dados ficam junto com o envio ou o cadastro, para sabermos quais campanhas funcionam. Sem a permissão, nada disso é gravado: só a resposta da pergunta "Como nos encontrou?", se você quiser responder. A resposta e a campanha aparecem só em relatórios internos por origem, campanha e mês, sem dado pessoal; o texto de "Outro" e o identificador do clique são apagados junto com os dados pessoais do caso ou da conta (item 7).

Como recusar ou mudar a escolha

No aviso, "Aceitar" e "Recusar" têm o mesmo peso, e recusar não muda nada no uso do site. Para mudar depois, use Preferências de cookies, no rodapé de qualquer página. Ao recusar, a tag deixa de ser carregada e apagamos os cookies do Google Ads e o aa_origem gravados no nosso domínio. Sua escolha vale por 6 meses; depois, perguntamos de novo. Você também pode apagar os cookies nas configurações do navegador.

11. Crianças e adolescentes

O envio de caso é só para quem tem 18 anos ou mais. O caso de quem tem menos de 18 anos só pode ser enviado pelo pai, pela mãe ou pelo responsável legal, com os dados de contato do próprio responsável. Casos que indiquem envio por menor de idade sem responsável são retidos para revisão e podem ser removidos. Dados de crianças e adolescentes citados no relato são tratados no melhor interesse deles (art. 14 da LGPD), só para o atendimento do caso.

12. Alterações desta política

A versão vigente fica nesta página, com número e data de vigência, e a nova versão é publicada aqui com antecedência. Aos advogados cadastrados, avisamos por e-mail com 15 dias de antecedência. A quem enviou um caso, podemos avisar por e-mail, quando informado. Mudança relevante, que afete o que você autorizou, exige um novo aceite ou consentimento.