Política de Privacidade

Há duas camadas de dados aqui, e elas têm donos diferentes:

• Os dados da sua conta (seu nome, seu e-mail, o nome do escritório, a assinatura). Sobre eles, nós somos o controlador: decidimos por que e como tratá-los, e respondemos a você por isso.
• Os dados dos clientes do seu escritório (as fichas, os documentos, os arquivos enviados). Sobre eles, quem decide é o escritório — ele é o controlador, e nós somos o operador: tratamos esses dados seguindo as instruções do escritório e o necessário para a plataforma funcionar.

Consequência prática: se o cliente de um escritório quiser saber quais dados dele estão guardados, ou pedir a exclusão deles, o pedido é feito ao escritório, que é quem tem a relação com ele e quem decide — inclusive considerando os prazos de guarda que a advocacia tem por dever profissional. Recebendo um pedido desses, nós o encaminhamos ao escritório responsável e o apoiamos no atendimento.

Da sua conta: nome, e-mail, senha (guardada apenas como resumo criptográfico — nós não temos como lê-la), nome do escritório, papel do usuário, data de criação e registros de uso da plataforma.

Da assinatura: identificador de cliente e situação do pagamento. O número do cartão nunca passa pelos nossos servidores — ele é digitado direto na Stripe.

Dos clientes que o escritório cadastra: nome, CPF ou CNPJ, RG, sexo, nacionalidade, estado civil, profissão, endereço completo, e-mail, telefone, observações, e os dados de representante ou representados quando informados.

Dos arquivos enviados: modelos em .docx, imagens usadas no papel timbrado e, quando você usa o preenchimento automático, a imagem do documento de identidade ou do comprovante de endereço.

Dos documentos gerados: o conteúdo do que a plataforma produz — que é o que o escritório escreveu no modelo somado à ficha do cliente.

Registros técnicos: endereço IP, data e hora de acesso, e registro das operações sensíveis feitas dentro do escritório (quem gerou, quem excluiu, quem pediu a leitura de um documento).

• Prestar o serviço contratado — criar sua conta, guardar seus modelos e clientes, gerar documentos, cobrar a assinatura. Base: execução de contrato (art. 7º, V).
• Manter a plataforma segura — autenticação, detecção de abuso, limites de tentativa, registro de operações sensíveis. Base: legítimo interesse (art. 7º, IX).
• Comunicar o necessário — confirmação de e-mail, recuperação de senha, avisos de cobrança, manutenção e mudança de regras. Base: execução de contrato.
• Cumprir a lei — guarda de registros fiscais e de acesso. Base: obrigação legal (art. 7º, II).
• Tratar os dados dos clientes do escritório — armazenar e processar para produzir os documentos. Base: aqui nós agimos como operador, e a base legal é a do escritório controlador (art. 39).

Nós não vendemos dados, não os usamos para publicidade, não os compartilhamos com outros escritórios e não os usamos para treinar modelos de inteligência artificial.

A plataforma oferece um recurso que lê a foto de um documento de identidade ou de um comprovante de endereço e preenche a ficha do cliente para você conferir. Como ele trata documento de identificação, vale descrevê-lo em separado:

• Só acontece quando você pede. Nenhuma imagem é enviada para leitura sem que alguém do escritório escolha o arquivo e acione o recurso.
• A imagem é enviada a um fornecedor de leitura contratado — hoje, a OpenAI — sob os termos comerciais de API, que não permitem o uso do conteúdo para treinamento de modelos.
• Nós não guardamos a imagem. Ela é usada para a leitura e descartada; o que fica registrado no seu escritório é apenas o fato de que houve uma leitura, o tipo e o tamanho do arquivo.
• Nada é gravado sem a sua confirmação. O resultado aparece como sugestão no formulário, e é você quem confere e salva.
• Se o escritório preferir não usar o recurso, basta não usá-lo — e podemos desativá-lo para a sua conta mediante pedido por e-mail.

Apenas com os fornecedores necessários para o serviço funcionar, e cada um só recebe o que precisa:

• Hostinger — o servidor onde a plataforma roda, e onde o banco de dados e os arquivos ficam guardados. A instalação fica no Brasil.
• Stripe — processamento de pagamento e gestão da assinatura. Recebe os dados de cobrança; não recebe fichas de clientes nem documentos.
• Resend — envio dos e-mails do sistema (confirmação, convite, recuperação de senha). Recebe o e-mail e o nome do destinatário.
• OpenAI — leitura de documentos, quando o recurso do §4 é usado. Recebe a imagem enviada naquele momento, e nada mais. Caso esse fornecedor esteja indisponível, pode ser usado o serviço equivalente do Google (Gemini), com as mesmas condições.
• Amazon Web Services (S3) — guarda a cópia de segurança diária do banco de dados, criptografada e fora do servidor de produção.

Também podemos compartilhar dados quando houver ordem judicial ou requisição legal legítima. Nesse caso, avisamos o escritório envolvido sempre que a lei permitir.

A plataforma e os seus arquivos ficam em servidor no Brasil. Ainda assim, quatro coisas saem do país: a cobrança (Stripe), o envio de e-mail (Resend), a leitura de documentos (OpenAI) e a cópia de segurança do banco (Amazon S3, região Norte da Virgínia, nos Estados Unidos).

Essas transferências são feitas com base nas garantias contratuais firmadas com cada fornecedor, nos termos do art. 33 da LGPD.

• Enquanto a conta existir, os dados do escritório ficam disponíveis para ele.
• Encerrada a conta, há 30 (trinta) dias para exportação. Depois disso, os dados são excluídos dos sistemas ativos.
• Cópias de segurança são substituídas por rotação; um dado excluído some das cópias no ciclo seguinte de rotação.
• Registros fiscais das cobranças são guardados pelo prazo exigido pela legislação tributária.
• Registros de acesso são guardados pelo prazo do art. 15 do Marco Civil da Internet.

A plataforma usa um único cookie, chamado juris_refresh. Ele serve para manter você conectado, é marcado como httpOnly (scripts da página não conseguem lê-lo) e só é enviado ao próprio sistema.

Não há cookies de publicidade, nem de análise de audiência, nem de rastreamento de terceiros. Nenhum script de rede social, de anúncio ou de medição é carregado nas nossas páginas.

As medidas em vigor, em resumo:

• todo o tráfego é criptografado (HTTPS);
• senhas são guardadas apenas como resumo criptográfico — nem nós conseguimos lê-las;
• o isolamento entre escritórios é aplicado duas vezes: pela aplicação e por regra dentro do banco de dados, que recusa a consulta mesmo se o código errar;
• o acesso administrativo ao servidor é restrito e feito por chave;
• o banco é copiado diariamente para fora do servidor de produção;
• operações sensíveis — exclusão de documento, leitura automática de documento — ficam registradas.

Nenhum sistema é imune. Se acontecer um incidente de segurança com risco relevante aos titulares, comunicaremos os escritórios afetados e a Autoridade Nacional de Proteção de Dados, nos termos do art. 48 da LGPD.

Sobre os dados da sua conta, você pode pedir a qualquer momento: confirmação de que há tratamento, acesso aos dados, correção do que estiver errado, anonimização ou eliminação do que for desnecessário, portabilidade, informação sobre com quem compartilhamos e revogação de consentimento quando ele for a base usada.

Para exercer qualquer um deles, escreva para sac@docmais.tech. Respondemos nos prazos da LGPD, e podemos pedir informação adicional para confirmar que o pedido vem mesmo do titular — o que é uma proteção dele, não um obstáculo.

Sobre os dados dos clientes do escritório, o pedido deve ser dirigido ao escritório, pelos motivos do §1.

Esta política pode ser atualizada. Mudanças relevantes — novo fornecedor, nova finalidade, novo prazo de guarda — são comunicadas por e-mail com pelo menos 30 (trinta) dias de antecedência. A data no topo da página indica a última revisão.

Esta política complementa os Termos de Uso.