Política de Privacidade do SysJur

Esta Política explica como a Felipe Pires Morandini Tecnologia da Informação Ltda. (“SysCraft”), CNPJ 66.869.021/0001-56, trata dados pessoais na plataforma SysJur, em conformidade com a Lei 13.709/2018 (LGPD).

Encarregado pelo tratamento de dados pessoais: Felipe Pires Morandini — contato@syscraft.com.br.

1. Dois papéis diferentes, e a distinção importa

O SysJur trata dois conjuntos de dados sob regimes distintos. Confundi-los é o erro mais comum em plataformas como esta, então a separação vem antes de tudo:

	quem decide o tratamento	nosso papel
Dados do escritório contratante — cadastro da sociedade, usuários da equipe, dados de faturamento, registros de uso	SysCraft	Controladora
Dados dos clientes do escritório — nome, CPF/CNPJ, contato, processos, documentos, andamentos	o escritório	Operadora

Sobre o segundo conjunto, a SysCraft trata os dados apenas conforme as instruções do escritório. O escritório, como Controlador, é quem decide sobre o tratamento e é o canal principal para o exercício dos direitos dos titulares — sem prejuízo das responsabilidades próprias que a LGPD atribui à SysCraft na condição de Operadora. As regras dessa relação estão no Adendo de Tratamento de Dados Pessoais.

2. Dados tratados, e para quê

2.1. Como controladora — dados do escritório

dado	finalidade	base legal
Nome, e-mail e senha (armazenada como hash) dos usuários	autenticar e controlar acesso	execução de contrato
Razão social, CNPJ, endereço, OAB	identificar o contratante e emitir nota fiscal	execução de contrato e obrigação legal
Dados de faturamento e histórico de assinatura	cobrar e manter registro fiscal	execução de contrato e obrigação legal
Registros de acesso e de uso (data, hora, endereço IP, ação, identificador de requisição, identificação do usuário)	segurança, auditoria e diagnóstico	obrigação legal (Marco Civil, art. 15) e legítimo interesse
Preferências de notificação	entregar o que foi pedido, e só isso	execução de contrato e consentimento

2.2. Como operadora — dados dos clientes do escritório

Inseridos pelo escritório ou obtidos de fontes públicas por determinação dele: nome, CPF ou CNPJ, endereço, telefone, e-mail, e o conteúdo dos processos — andamentos, publicações, documentos, partes, valores e histórico de atendimento.

Parte desses dados é de acesso público por natureza (andamentos e publicações de processos que não tramitam em segredo de justiça). Isso não os retira do âmbito da LGPD, e eles recebem o mesmo tratamento dos demais.

3. Com quem compartilhamos, e exatamente o quê

A SysCraft não vende dados pessoais e não os compartilha para publicidade. O compartilhamento se limita aos prestadores necessários para o serviço funcionar:

prestador	para quê	o que recebe
Supabase (banco de dados e arquivos)	armazenar os dados da plataforma	todos os dados da plataforma, criptografados em trânsito e em repouso
Hostinger (servidores)	executar a aplicação	dados em processamento
Escavador	monitorar processos e obter andamentos	o número do processo (CNJ), que é dado público
Anthropic	traduzir andamentos para linguagem comum	o texto público do andamento e o tipo do processo, por lista de permissão. Nenhum campo dos nossos cadastros de cliente — mas o texto do tribunal pode conter nome ou documento; leia a seção 3.1
Asaas	cobrar a assinatura e emitir a nota fiscal	dados de faturamento do escritório; nunca dados dos clientes dele
Resend	enviar e-mails da plataforma	nome e e-mail do destinatário
ZapSign	assinatura eletrônica de documentos	o documento a assinar e os dados do signatário
Evolution API / WhatsApp	canal de atendimento automático	número de telefone e conteúdo das mensagens trocadas

Diários oficiais e sistemas de tribunais são fontes das quais lemos informação pública. Não enviamos dados a eles.

3.1. O que o modelo de inteligência artificial recebe

O texto enviado ao provedor de IA é montado por lista de permissão: entram apenas o tipo do processo, até três andamentos anteriores como contexto e o andamento a traduzir. Nenhum campo dos nossos cadastros de cliente é enviado — o componente que monta a entrada não tem acesso a nome, CPF, telefone ou e-mail cadastrados.

Isso não significa que o texto enviado esteja livre de dados pessoais, e é importante ser exato aqui. O andamento é redigido pela fonte judicial e pode conter, no próprio corpo, dados pessoais como nomes de partes e advogados e, em casos menos frequentes, números de documento — por exemplo em uma ordem de intimação. Por essa razão, a SysCraft não afirma que o texto enviado esteja livre de dados pessoais.

O que a SysCraft assegura é o que de fato controla:

• nada dos nossos cadastros de cliente é enviado ao provedor de IA;
• o envio se limita ao texto público do processo, necessário para traduzir o andamento;
• os dados enviados não são usados para treinar modelos;
• o provedor os trata como operador da SysCraft, sob contrato.

Está em desenvolvimento a remoção automática de identificadores pessoais do texto antes do envio. Enquanto ela não estiver em produção, esta seção descreve o comportamento real, e não o pretendido.

4. Onde os dados ficam

Banco de dados e arquivos são hospedados em infraestrutura localizada no Brasil (São Paulo).

Alguns prestadores listados na seção 3 processam dados fora do Brasil. Nessas hipóteses, a transferência internacional vale-se de mecanismo válido previsto no art. 33 da LGPD e na regulamentação da ANPD, conforme aplicável a cada operação — decisão de adequação, cláusulas-padrão contratuais da ANPD, cláusulas contratuais específicas aprovadas pela Autoridade, normas corporativas globais ou outro mecanismo legalmente admitido.

Para cada prestador, a SysCraft mantém registro de: se há processamento fora do Brasil, em que país, qual mecanismo de transferência se aplica e qual instrumento contratual o sustenta — disponibilizado ao Contratante mediante solicitação. A transferência é sempre limitada ao mínimo necessário para a finalidade descrita na seção 3.

5. Por quanto tempo guardamos

dado	prazo
Dados da conta e conteúdo do escritório	enquanto a assinatura estiver ativa
Após o cancelamento	30 dias para exportação; findo o prazo, eliminação do ambiente de produção
Cópias de segurança	seguem ciclo próprio de expurgo, após o qual são sobrescritas
Registros de acesso	6 meses, na forma do art. 15 do Marco Civil da Internet
Registros de incidentes de segurança	no mínimo 5 anos contados do registro, na forma da regulamentação da ANPD
Documentos fiscais e registros de cobrança	pelo prazo exigido pela legislação fiscal

6. Como protegemos

As medidas abaixo estão implementadas, não são aspiracionais:

• Isolamento entre escritórios no próprio banco de dados, por políticas de segurança em nível de linha. O papel de aplicação não tem permissão para ignorá-las. É defesa em profundidade: mesmo uma falha na aplicação não expõe dados de outro escritório.
• Senhas armazenadas por função de derivação lenta e reconhecida pelo estado da técnica (atualmente bcrypt); nunca em texto claro, nunca recuperáveis.
• Autenticação por token assinado com chave assimétrica, com expiração curta e revogação de sessão.
• Tráfego cifrado por HTTPS, com cabeçalhos de segurança e política de conteúdo restritiva.
• Limitação de tentativas nos caminhos de autenticação.
• Registros sem dados sensíveis: senha, token, CPF, CNPJ e conteúdo de processo não são gravados em log, por decisão de projeto.
• Acesso do portal escopado: a sessão do cliente vale para um único link, expira, e desativar o link encerra o acesso imediatamente.
• Cópias de segurança periódicas, com procedimento de restauração documentado e testado.

Nenhuma medida elimina risco por completo. Em caso de incidente de segurança que possa acarretar risco ou dano relevante, a conduta depende do papel da SysCraft naquele tratamento:

• Quando a SysCraft é controladora (dados do escritório contratante, na forma da seção 2.1): a SysCraft comunica a ANPD e os titulares afetados, na forma do art. 48 da LGPD.
• Quando a SysCraft é operadora (dados dos clientes do escritório): a SysCraft comunica o escritório Controlador em até 48 horas, com as informações necessárias, e o auxilia nas comunicações regulatórias. A comunicação à ANPD e aos titulares cabe ao Controlador, que é quem detém a relação com eles.

7. O portal do cliente

O portal é aberto por link emitido pelo escritório e protegido por uma verificação com dígitos do documento do cliente. A sessão vale apenas para aquele link e expira.

Três características valem ser conhecidas por quem acessa:

• O escritório decide o que aparece. Nada é publicado automaticamente sem que alguém do escritório determine.
• Prazos, honorários e dados da parte contrária não são exibidos no portal.
• A tradução vem acompanhada do texto oficial do tribunal, para conferência.

8. Direitos do titular

A LGPD (art. 18) assegura a você: confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, portabilidade, informação sobre compartilhamento, e revogação do consentimento.

Onde exercer:

• É cliente de um escritório que usa o SysJur? Dirija-se ao escritório, que é o controlador dos seus dados. Se nos procurar diretamente, encaminharemos ao escritório e avisaremos você.
• É usuário de um escritório contratante, sobre os seus dados de conta? Escreva para contato@syscraft.com.br.

Responderemos nos prazos previstos na legislação aplicável e, sempre que possível, em até 15 dias.

9. Cookies

O SysJur usa apenas os cookies necessários ao funcionamento: sessão autenticada, preferência de tema e a sessão do portal do cliente. Não usamos cookies de publicidade nem rastreadores de terceiros. A medição de audiência do site institucional, quando ativa, é feita por ferramenta autohospedada, sem cookie e sem identificação individual.

10. Alterações

Alterações relevantes desta Política serão comunicadas com 30 dias de antecedência, pelo e-mail de cadastro e por aviso na plataforma.

---

Versão 1.2 — 29 de agosto de 2026.