Política de privacidade

1. Dois papéis, e qual é o nosso

Sobre os seus dados de cadastro, nós somos o controlador, nos termos da Lei Geral de Proteção de Dados (Lei 13.709/2018, art. 5º, VI e VII). É deles que esta política trata principalmente.

Sobre o acervo que você cadastra — os dados dos seus clientes e das partes dos seus processos —, você é o controlador e nós somos operador. Tratamos esse acervo só para prestar o serviço, conforme os Termos de uso, e nunca para finalidade nossa.

2. O que tratamos, e para quê

• Cadastro: como você quer ser chamado e o seu e-mail. Para identificar você, permitir a entrada e enviar avisos do sistema. O número de WhatsApp que você informa no cadastro, para falarmos com você sobre a sua conta (suporte, assinatura e o uso do Advôra). As conversas passam pelo próprio WhatsApp, da Meta. O número não é usado para anúncios e não é repassado a terceiros para outros fins. Quando a conta é criada por um endereço de promoção, guardamos também qual foi a promoção, para aplicar o que ela oferece. Quando ela é criada sem um endereço de promoção que valha, enquanto uma campanha estiver valendo, guardamos a promoção da campanha, do mesmo jeito. Base legal: execução do contrato (art. 7º, V).
• Senha: guardamos só um resumo irreversível, calculado com Argon2id. Ninguém — nem nós — consegue ler a sua senha.
• Números de OAB que você cadastra para a vigilância: para consultar o Diário em seu nome. Base legal: execução do contrato.
• Sessão: um identificador aleatório guardado no cookie e, resumido, no servidor, com a data de início e a de validade. Base legal: execução do contrato.
• Registro do aceite: data, hora, versão aceita destes documentos e o endereço IP de onde o aceite veio. Para provar o que foi aceito, e quando. Base legal: exercício regular de direitos (art. 7º, VI).
• Registros de acesso: endereço IP, data e hora. Para a segurança do sistema e para cumprir o Marco Civil da Internet (Lei 12.965/2014, art. 15). As tentativas de entrar, de criar conta, de pedir uma senha nova e de pedir aviso de plano também são contadas, por até 24 horas, como um resumo do endereço IP e do e-mail que não se desfaz sem um segredo do servidor, para conter abuso. Base legal: obrigação legal (art. 7º, II) e legítimo interesse na segurança (art. 7º, IX).
• Pagamento: o plano, os valores, as datas, a forma de pagamento e os identificadores da assinatura e das cobranças no Asaas, que o sistema confere para abrir e manter a conta, e, do cartão, a bandeira e os quatro últimos dígitos, para você reconhecê-lo. O nome ou a razão social, o CPF ou CNPJ e o e-mail para as notas que você informa ao assinar passam pelo Advôra a caminho do Asaas, e não ficam guardados aqui; são lidos de volta do Asaas, mascarados, quando você confere os dados da nota. O número do cartão e os outros dados dele você digita na página do Asaas, e eles não passam pelo Advôra. Base legal: execução do contrato (art. 7º, V) e cumprimento de obrigação legal, fiscal (art. 7º, II).
• E-mails do sistema — como o da conta criada, um para cada movimentação nova dos seus processos e os avisos de prazo e da assinatura: registramos para quem foi, quando e se foi entregue. O texto não é guardado: ele é montado na hora do envio.
• Anúncios: nas páginas públicas (a inicial, a de cadastro, a dos termos de uso e esta), e só enquanto você não estiver conectado, o Pixel da Meta carrega já na primeira visita, antes de qualquer escolha, e manda à Meta o endereço da página, o endereço IP, dados do navegador e os identificadores dos cookies dela, para contar as visitas que chegam pelos anúncios. Base legal: legítimo interesse em medir os anúncios (art. 7º, IX, e art. 10). Você pode recusar no aviso de cookies, e o Pixel deixa de carregar. A correspondência avançada automática do Pixel — que leria os campos do formulário de cadastro — fica desligada. Os cookies do Google só entram se você aceitar; base legal: consentimento (art. 7º, I), que você pode retirar quando quiser.
• Medição do cadastro e do pagamento: só se você clicar em Aceitar no aviso de cookies, guardamos, quando a conta é criada, os identificadores dos cookies da Meta (_fbp e _fbc), o endereço IP e os dados do navegador daquele momento, por 90 dias a partir do cadastro. Com eles, o servidor do Advôra avisa a Meta de que uma conta foi criada e, se o primeiro pagamento for confirmado nesses 90 dias, do valor pago — para saber qual anúncio trouxe quem assina. No aviso do primeiro pagamento vai também o seu e-mail, pseudonimizado (embaralhado antes de enviar), com SHA-256, que a Meta compara com os e-mails das contas dela — e que continua sendo dado pessoal —, se você já tiver confirmado o seu e-mail. O aviso da conta criada nunca leva o e-mail. Base legal: consentimento (art. 7º, I), que você retira quando quiser. Se você não escolheu nada no aviso de cookies, ou recusou, guardamos só a escolha, e o servidor não manda nada à Meta. O seu nome, a sua OAB e nada do acervo vão à Meta.
• Contador de processos: se você digitar uma OAB na página inicial ou na de planos, guardamos só o número da OAB e o total de processos encontrados no Diário, por até 7 dias, para não repetir a contagem. Nada das publicações é guardado. Para conter abuso, o pedido também é contado por 24 horas, como um resumo do endereço IP que não se desfaz sem um segredo do servidor. Base legal: legítimo interesse (art. 7º, IX) — o número da OAB é público. Enquanto você não recusar os cookies de anúncio, o navegador avisa a Meta de que uma contagem foi pedida — sem a OAB e sem o resultado.
• Aviso de plano: se você pedir, na página inicial, para ser avisado quando um plano de escritório abrir ("Quero ser avisado"), guardamos o e-mail que você digitar, o plano escolhido e a data do pedido, só com a caixa do consentimento marcada por você. O e-mail serve só para avisar quando aquele plano abrir, e para nada mais. Base legal: consentimento (art. 7º, I), que você retira quando quiser, em /quero-ser-avisado/retirar ou pelo contato desta política; retirado, o e-mail é apagado de vez. A contagem do pedido, para conter abuso, é a do item Registros de acesso, com a base legal dele.

O acervo — clientes, processos, prazos, audiências, tarefas, honorários e documentos — é tratado só para prestar o serviço a você.

Comunicações do Diário: o DJEN é público. A partir das OAB que você cadastra, lemos as comunicações que citam você e as guardamos no seu acervo. Elas contêm dados de partes e processos, e passam a fazer parte do acervo que você controla.

3. Indique e Ganhe

O Indique e Ganhe é o programa em que quem indica o Advôra recebe uma comissão sobre o que as contas indicadas pagam; as regras estão nos termos do programa, em /indique/termos. Ele trata dados de quem se candidata, de quem indica e de quem cria conta por um código:

• Quem se candidata: o nome, o e-mail, os perfis públicos que você informar, o que você contar sobre o seu público e a mensagem, se houver. Para avaliar a candidatura e responder a ela. Base legal: procedimentos preliminares a um contrato, a seu pedido (art. 7º, V). Se a candidatura for recusada, esses dados são apagados 90 dias depois da recusa, e fica só a data e a decisão, sem nada que identifique você. A contagem do pedido, para conter abuso, é a do item Registros de acesso, com a base legal dele.
• Quem indica: o nome, o e-mail, o código, o CPF ou o CNPJ e a chave Pix que você informa em Sua conta, as comissões e os pagamentos feitos a você, e o registro do aceite dos termos do programa — data, hora, versão aceita, um resumo do texto aceito e o endereço IP de onde o aceite veio. Para calcular e pagar as comissões, cumprir a obrigação fiscal sobre o que pagamos e provar o que foi aceito. Base legal: execução do contrato (art. 7º, V), cumprimento de obrigação legal, fiscal (art. 7º, II), e exercício regular de direitos (art. 7º, VI). Esses dados ficam por 5 anos depois do último pagamento a você, pela obrigação fiscal (Código Tributário Nacional, art. 174 e art. 195, parágrafo único).
• Quem cria conta por um código: a sua conta fica ligada a quem indicou, e os seus pagamentos entram no cálculo da comissão dele; essa ligação e as comissões ficam pelos mesmos 5 anos, como registros de pagamento. Quem indicou não recebe nenhum dado seu — nem o nome, nem o e-mail, nem o dia em que você criou a conta ou pagou: ele vê só contagens por mês (visitas, contas criadas, contas que renderam comissão e o valor da comissão). Base legal: legítimo interesse em pagar a comissão devida (art. 7º, IX).
• A visita pelo link: quem abre um endereço com código entra só na soma de visitas daquele dia, sem guardar o endereço IP e sem cookie. O que a página de cadastro trata além disso está no item Anúncios.

Ninguém recebe esses dados além do necessário: o nome, o CPF ou o CNPJ e a chave Pix de quem indica vão ao banco pelo qual pagamos, só para fazer o Pix, e os e-mails do programa passam pelo Resend, como os outros e-mails do sistema.

4. O que não fazemos

• Não vendemos nem alugamos dados a ninguém.
• Dentro do sistema — onde ficam o seu acervo e os dados dos seus clientes — não há ferramenta de análise, de rastreamento nem de publicidade de terceiros. Nada do acervo vai para anúncio.
• Não usamos o seu acervo para treinar inteligência artificial, nem para nada além do serviço.
• Não tomamos decisões sobre você de forma automatizada.
• O lançamento automático de prazo decide sobre a publicação do Diário, não sobre você nem sobre o seu cliente, é feito por regras escritas, no nosso servidor no Brasil, e você o revê e corrige.

5. Com quem compartilhamos

Só com quem é necessário para o serviço funcionar, e cada um recebe só o necessário:

• Hospedagem — Hostinger: os servidores onde ficam o sistema, o banco de dados, os arquivos e as cópias de segurança.
• Envio de e-mail — Resend: quando o sistema envia e-mail (convites, avisos), o provedor recebe o endereço de destino e o texto da mensagem.
• Suporte pelo WhatsApp — Meta: quando houver um número de WhatsApp de suporte, publicado nesta página, e só se você escolher falar por lá, o seu número e as mensagens passam pela Meta, que trata esses dados fora do Brasil. Base legal: execução do contrato ou os procedimentos preliminares a ele (art. 7º, V); a transferência internacional, o art. 33, IX. É melhor não mandar por lá dados do acervo, como os dos seus clientes.
• Meio de pagamento — Asaas: recebe o nome ou a razão social, o CPF ou CNPJ e o e-mail para as notas que você informa ao assinar e, no cartão, os dados do cartão, que você digita na página dele, para cobrar a assinatura. Nós vemos o pagamento e quem pagou; do cartão, só a bandeira e os quatro últimos dígitos. O Asaas, como instituição de pagamento, também trata esses dados conforme a política dele.
• Anúncios — Google e Meta: só nas páginas públicas e só enquanto você não estiver conectado. A Meta recebe o que o item Anúncios descreve desde a primeira visita, a menos que você recuse; o Google, só com o seu aceite. E, se você aceitar, o servidor do Advôra avisa a Meta da conta criada e do primeiro pagamento, como diz o item Medição do cadastro e do pagamento. Eles tratam esses dados também conforme as políticas deles.
• Outro advogado, quando você decide: num processo em conjunto, o parceiro que você convidou vê o que o espaço compartilhado mostra — só a identificação mínima da parte, nunca o cadastro inteiro do cliente.
• Autoridades: quando houver ordem judicial ou obrigação legal.

6. Onde os dados ficam

O servidor do Advôra — o sistema, o banco de dados, os arquivos e as cópias de segurança — fica no Brasil, em Campinas (SP), contratado da Hostinger.

Uma segunda cópia das cópias de segurança — as últimas 7, com os arquivos — fica num computador do responsável pela operação do Advôra, também no Brasil, para que um problema no servidor não leve as cópias junto.

As exceções são o e-mail e, quando houver, o suporte pelo WhatsApp. Quando o sistema envia um e-mail, o provedor de envio recebe o endereço de destino e o texto da mensagem fora do Brasil. E, se você falar com o suporte pelo WhatsApp, o seu número e as mensagens passam pela Meta, também fora do Brasil. Isso é transferência internacional de dados, feita com base no art. 33, IX, da LGPD, por ser necessária à execução do contrato com você. O acervo não sai do Brasil.

O que o Pixel da Meta manda nas páginas públicas antes de qualquer escolha — a visita, com o endereço da página, o endereço IP, dados do navegador e os identificadores dos cookies dela, como diz o item Anúncios — também vai aos servidores da Meta fora do Brasil, já na primeira visita, antes que você possa recusar. Se você recusar no aviso de cookies, o Pixel deixa de carregar naquele navegador, e nada mais vai por ele.

O que o Google e a Meta recebem de quem clica em Aceitar no aviso de cookies — pela página e pelo servidor do Advôra — vai aos servidores da Meta fora do Brasil, e aos do Google. Isso é transferência internacional de dados, feita com base no seu consentimento específico e em destaque, dado no próprio aviso (art. 33, VIII), que você retira quando quiser.

7. Cookies

Para manter você conectado, o Advôra usa um cookie, chamado __Host-advora. Ele é estritamente necessário, dura até 30 dias, não pode ser lido por scripts da página, só trafega por conexão segura e não rastreia nada fora do Advôra. Dentro do sistema não há script de terceiro nenhum.

Nas páginas públicas — a inicial, a de cadastro, a dos termos de uso e esta —, e nunca enquanto você estiver conectado, o Pixel da Meta carrega já na primeira visita, antes de qualquer escolha, e grava os cookies dele (_fbp e, quando você chega por um anúncio, _fbc). O pedido do Pixel à Meta também leva os cookies que a própria Meta guarda no seu navegador, como o `fr`, se você estiver conectado ao Facebook ou ao Instagram — é assim que ela liga a visita à conta dela. O aviso no pé da página diz isso e oferece Recusar: recusado, o Pixel deixa de carregar, nesta visita e nas seguintes, e _fbp e _fbc são apagados (os cookies da própria Meta, como o `fr`, são dela, e se apagam nas configurações do navegador ou do Facebook). Os cookies do Google só entram se você clicar em Aceitar.

A sua escolha fica guardada por 180 dias num cookie nosso, chamado __Host-advora-cookies, que não rastreia nada. Para mudar de ideia, use Rever cookies, no pé das páginas públicas; passados os 180 dias, perguntamos de novo.

Se você usar o contador de processos, a página inicial e a de planos guardam por 24 horas um cookie nosso, chamado __Host-advora-contagem, só para lembrar qual contagem é a sua. Ele não rastreia nada.

8. Por quanto tempo guardamos

• Enquanto a conta existir: o cadastro, o acervo e os registros de aceite.
• Depois que a conta é encerrada: o acervo fica 90 dias disponível para exportação e, depois, é apagado de forma definitiva. As cópias de segurança são diárias e só as últimas 7 são guardadas, no servidor e na segunda cópia, então um dado apagado ainda pode existir numa cópia até ela ser substituída: por até 7 dias no servidor e, na segunda cópia, até chegarem 7 cópias mais novas.
• Registros de acesso: 6 meses, como exige o Marco Civil da Internet (Lei 12.965/2014, art. 15).
• Contagem de tentativas de entrar, de criar conta, de pedir uma senha nova e de pedir aviso de plano: 24 horas.
• Contador de processos: a OAB e o total, 7 dias; a contagem do pedido, 24 horas.
• Aviso de plano: o e-mail e o plano, por até 365 dias a partir do pedido, ou até você retirá-los, o que vier primeiro.
• Registros de pagamento: 5 anos, como exige a legislação tributária (Código Tributário Nacional, art. 174 e art. 195, parágrafo único).
• Registro do aceite: 5 anos depois do encerramento da conta, para a defesa de direitos.
• A origem do cadastro nos anúncios — os identificadores dos cookies da Meta, o endereço IP e os dados do navegador do momento do cadastro: 90 dias a partir do cadastro. O registro de cada aviso mandado à Meta (qual, quando e o valor): um ano. A escolha que estava no aviso de cookies fica enquanto a conta existir.
• A sua escolha sobre os cookies de anúncio: 180 dias. Os cookies do Google e da Meta duram o que cada um define.

9. Segurança

• A conexão é sempre cifrada (HTTPS).
• A senha é guardada como resumo Argon2id, que não se desfaz.
• Cada conta é isolada dentro do próprio banco de dados: o banco recusa, por regra dele, entregar a uma conta os dados de outra. A separação não depende só do código do aplicativo.
• O acesso ao servidor é restrito.

Nenhum sistema é invulnerável. Se houver um incidente de segurança que possa trazer risco ou dano relevante, comunicaremos você e a Agência Nacional de Proteção de Dados (ANPD), como manda o art. 48 da LGPD.

10. Os seus direitos

Sobre os dados de que somos controladores, você pode pedir, a qualquer momento (art. 18): confirmação de que os tratamos; acesso a eles; correção do que estiver incompleto ou errado; anonimização, bloqueio ou eliminação do que for desnecessário; portabilidade; informação sobre com quem compartilhamos; e eliminação, respeitado o que a lei nos obriga a guardar. Respondemos em até 15 dias.

O aceite dos cookies de anúncio se retira a qualquer momento (art. 8º, § 5º), e o Pixel da Meta se recusa, em Rever cookies, no pé das páginas públicas — isso vale para o navegador em que você está. Depois de criada a conta, em Sua conta, o botão Parar de enviar os meus dados aos anúncios para, na hora, todo aviso do servidor do Advôra à Meta sobre você, e apaga os identificadores guardados.

A portabilidade já existe: a exportação entrega o acervo inteiro, com os arquivos.

Se um cliente seu quiser exercer esses direitos sobre os dados dele, o pedido é feito a você, que é o controlador desse acervo; nós ajudamos com o que o sistema permitir.

Você também pode reclamar à ANPD (art. 18, § 1º).

11. Crianças e adolescentes

O Advôra é para advogados, e não é destinado a menores de 18 anos. O acervo pode conter dados de crianças e adolescentes que sejam partes em processos; nesse caso, cabe a você, como controlador, tratá-los no melhor interesse deles, como manda o art. 14 da LGPD.

12. Mudanças nesta política

Cada versão tem data. Quando esta política mudar, você verá a versão nova no próximo acesso, e o seu aceite fica registrado com a versão aceita.

13. Encarregado

O encarregado pelo tratamento de dados pessoais (LGPD, art. 41) é Arthur Nunes, e fala pelo e-mail contato@advora.tech.

14. Contato

Pedidos sobre os seus dados, e qualquer dúvida sobre esta política: pelo e-mail contato@advora.tech.