Segurança dos autos no Legalnaut: RGPD, SOC 2, ISO 27001 A Markdown version of this page is available at https://legalnaut.com/pt/seguranca.md for AI and LLM tools. Nada entra numa peça sem ser verificado. ========================================== Esta página destina-se a quem, no seu escritório, tem de aprovar a ferramenta. Explica onde estão os dados, quem os pode ver e o que o software não faz. OPERADOR · RELATÓRIO SOC 2 TYPE II CENTRO DE DADOS · ISO/IEC 27001:2022 ALOJAMENTO · BSI C5 TYPE 2 RGPD · PDPA Cada processo à parte ----------------------- Cada processo é mantido separado dos restantes, e uma pesquisa num deles não chega a outro. Num plano com vários processos, cada cliente tem o seu, e um cliente convidado como leitor vê esse processo e nada mais. Onde ficam os seus dados --------------------------- A aplicação e os autos funcionam na Hetzner Cloud, em Falkenstein (Alemanha), num centro de dados certificado segundo a norma ISO/IEC 27001:2022. Os serviços de nuvem da Hetzner têm também um relatório de atestação BSI C5 Type 2, segundo a norma do Serviço Federal alemão de Segurança da Informação para a segurança na nuvem. O operador, A2Z WEB PTE. LTD., tem um relatório SOC 2 Type II, o relatório de atestação de um auditor independente. No plano Enterprise, a aplicação e os autos podem funcionar nos seus próprios servidores, na região geográfica que escolher, com OCR e modelos de linguagem de fornecedores escolhidos consigo e com as suas próprias chaves. Os dados só saem desse servidor para dois tipos de fornecedor. As páginas digitalizadas que não é possível ler nos nossos servidores seguem para OCR no Amazon Textract, na região da AWS em Frankfurt. A análise com modelos de linguagem é feita pela OpenAI e pela Anthropic, nos Estados Unidos, ao abrigo de cláusulas contratuais-tipo e de contratos que proíbem o treino de modelos com o seu material. Nenhuma outra entidade vê os documentos. O que cada fornecedor faz com o que recebe está descrito na página de [tratamento de dados e conformidade](https://legalnaut.com/data-handling-and-compliance). RGPD e PDPA ------------- Aplicamos o RGPD aos clientes da União Europeia e do Reino Unido e, enquanto sociedade de Singapura, a lei de proteção de dados pessoais de Singapura (Personal Data Protection Act). Quanto ao material de um processo, atuamos como subcontratante por sua conta, nos termos de um [acordo de tratamento de dados](https://legalnaut.com/dpa), com cláusulas contratuais-tipo para qualquer transferência para fora do EEE. Tratamos o material do processo apenas segundo as suas instruções, ajudamos a responder aos pedidos dos titulares dos dados e comunicamos-lhe, sem demora injustificada, qualquer violação de dados que afete os seus autos. A [política de privacidade](https://legalnaut.com/policy) indica que dados recolhemos e para quê. A prova não pode ser alterada ------------------------------- O resumo criptográfico de um documento, o ficheiro e o texto extraído ficam fixados no momento em que o documento entra no processo, e a aplicação não permite substituí-los. O que a IA escreve sobre um documento fica ao lado dele e pode ser gerado de novo sem tocar na prova. É também o resumo criptográfico que demonstra que o ficheiro não mudou desde a chegada e que impede que o mesmo documento seja junto duas vezes com nomes diferentes. Sem ligações públicas para material do processo ------------------------------------------------- Um documento só é mostrado a quem tenha sessão iniciada e pertença ao processo. Não há nenhuma ligação pública para partilhar, nem ligações que continuem a funcionar depois de alguém sair do processo. Funções e quem pode eliminar ------------------------------ Cada pessoa num processo tem uma função, e é a função que determina o que pode fazer. Só o Titular e um Administrador podem eliminar material partilhado, algumas funções trabalham sem acesso às categorias marcadas como sensíveis, e um Leitor consulta e exporta mas não altera nada. Cada ação relevante fica num registo de auditoria que ninguém no processo pode alterar. A IA e os seus limites ------------------------ A análise é feita por modelos de linguagem comerciais, ao abrigo de contratos que proíbem o treino de modelos com o seu material. Tudo o que um modelo escreve é identificado como rascunho, e uma conclusão do modelo fica como sugestão até um advogado a confirmar, ficando registados o nome do advogado e a hora da decisão. Cada rascunho e cada resposta da conversa são confrontados com os autos antes de lhe serem mostrados: o documento e a página citados existem e a citação está mesmo lá. O que não passar nesta verificação é assinalado, nunca corrigido às escondidas. O assistente lê os autos e só vê o que a pessoa que pergunta pode ver. A pedido, acrescenta a uma pasta um documento, uma alegação, um evento ou uma contradição, ou deixa uma nota identificada como nota do assistente; não faz nenhuma destas coisas por iniciativa própria e não altera mais nada. O Legalnaut não presta aconselhamento jurídico, não apresenta peças em tribunal e não decide o que um documento significa. Na página de funcionalidades explicamos [como funciona a verificação de citações](https://legalnaut.com/pt/funcionalidades#prove). Subcontratantes ----------------- SUBCONTRATANTE FINALIDADE Hetzner Online GmbH (Falkenstein, Alemanha) Alojamento da aplicação e armazenamento dos autos na Hetzner Cloud (ISO/IEC 27001:2022, BSI C5 Type 2) Amazon Web Services (Frankfurt, eu-central-1) Amazon Textract: OCR de páginas digitalizadas quando a extração local falha OpenAI e Anthropic (Estados Unidos) Análise de documentos, resumos, rascunhos e respostas da conversa, sem treino de modelos com conteúdos dos clientes A lista atual, com nomes e jurisdições, consta do [acordo de tratamento de dados](https://legalnaut.com/dpa). Conservação dos dados ----------------------- Nenhum plano limita o tempo de conservação dos autos, e nenhum calendário elimina os dados de um processo pago. Se a subscrição terminar, o processo fica bloqueado até escolher um plano, e o Titular continua a poder transferir uma exportação completa ou eliminá-lo. Nada no processo é alterado; apagá-lo exige uma ação deliberada e, mesmo assim, a eliminação só ocorre ao fim de 30 dias, com um aviso 7 dias antes; até lá, basta um clique para manter os autos. Uma exceção, para que não seja uma surpresa: um período experimental que terminou sem nunca ter sido usado é eliminado 30 dias depois de terminar, com o mesmo aviso e o mesmo prazo para o impedir. As exportações que gerar ficam disponíveis durante 7 dias; os dados a partir dos quais foram feitas não expiram. Comunicar um problema ----------------------- Se suspeitar que uma conta foi comprometida ou se tiver encontrado uma vulnerabilidade, escreva para contact@legalnaut.com. O Legalnaut é operado pela A2Z WEB PTE. LTD., registada em Singapura sob o n.º 202614429R. SCREENSHOT ![]()