Este Acordo de Tratamento de Dados Pessoais — Data Processing Agreement (DPA) — integra os Termos de Uso e a Política de Privacidade da Aura Jurídica e rege o tratamento de dados pessoais de terceiros (segurados, beneficiários e demais titulares) que você, advogado(a), processa na plataforma. É celebrado nos termos da Lei nº 13.709/2018 (LGPD).
Ao aceitar os Termos no cadastro, você aceita também este DPA. Ele passa a valer enquanto sua conta estiver ativa. Como você é advogado(a), recomendamos a leitura integral — este documento define seus deveres como controlador e os nossos como operadora.
1. Definições
- Controlador: você, advogado(a) usuário(a), a quem competem as decisões sobre o tratamento dos dados dos seus clientes/segurados.
- Operadora: a Aura Jurídica, que trata os dados pessoais em nome e segundo as instruções do Controlador.
- Titular: a pessoa natural a quem os dados se referem (segurado, beneficiário, dependente).
- Subprocessador: terceiro contratado pela Operadora para auxiliar na prestação do serviço (ex.: infraestrutura, IA, e-mail).
- Dados pessoais sensíveis: incluem, no contexto previdenciário, dados de saúde (laudos, CID), essenciais à atuação e tratados com cuidado reforçado.
2. Papéis e objeto
Na relação advocatícia, você é o Controlador dos dados pessoais dos seus clientes e segurados. A Aura atua como Operadora (LGPD, Art. 39), tratando esses dados exclusivamente para executar as funcionalidades que você aciona — leitura de documentos, análise, cálculos e geração de minutas — e sempre conforme as suas instruções e a legislação aplicável.
3. Finalidade e limites do tratamento
- A Operadora trata os dados apenas para prestar os serviços contratados; não os utiliza para finalidade própria, comercialização, perfilização de titulares ou qualquer uso alheio ao Controlador.
- A Operadora não usa os dados para treinar modelos de inteligência artificial, próprios ou de terceiros.
- Antes do envio a provedores de IA, a Operadora aplica mascaramento de identificadores diretos (CPF, RG e afins), de modo que os modelos processem o contexto necessário sem receber esses identificadores em texto claro.
- A base legal do tratamento é a execução do contrato com o Controlador e o legítimo exercício da advocacia; a responsabilidade por obter o consentimento ou outra base legal perante o titular é do Controlador.
4. Deveres do Controlador (advogado)
- Possuir base legal e autorização adequadas para tratar os dados dos titulares que enviar à plataforma, nos termos da LGPD.
- Informar seus clientes sobre o uso de ferramentas de IA no tratamento do caso, quando aplicável, conforme as diretrizes da OAB.
- Enviar apenas os dados necessários à finalidade (princípio da minimização) e manter o sigilo profissional (Lei nº 8.906/1994, Art. 7º, XIX).
- Não inserir dados de terceiros sem pertinência com a atuação previdenciária contratada.
5. Deveres da Operadora (Aura)
- Tratar os dados somente conforme este DPA e as instruções do Controlador.
- Garantir a confidencialidade por todos que tenham acesso aos dados.
- Adotar as medidas de segurança descritas na cláusula 8.
- Auxiliar o Controlador a responder às requisições de titulares e das autoridades (cláusula 7).
- Notificar o Controlador sobre incidentes de segurança (cláusula 9).
- Eliminar ou devolver os dados ao término (cláusula 10).
6. Subprocessadores
O Controlador autoriza a Operadora a contratar os subprocessadores listados na Política de Privacidade (Supabase, Anthropic, Google, Vercel, Mercado Pago, Resend, Inngest e demais ali indicados), cada um vinculado a obrigações de proteção de dados compatíveis com este DPA. Alterações relevantes no rol de subprocessadores serão comunicadas com antecedência razoável, facultado ao Controlador objetar por motivo legítimo relacionado à proteção de dados; persistindo a objeção, o Controlador poderá encerrar a conta.
Transferência internacional: parte dos subprocessadores opera fora do Brasil. As transferências ocorrem sob salvaguardas adequadas (cláusulas contratuais padrão e compromissos equivalentes), nos termos dos Arts. 33 e 34 da LGPD.
7. Direitos dos titulares
A Operadora auxiliará o Controlador, na medida técnica possível, a atender às requisições dos titulares (acesso, correção, eliminação, portabilidade, entre outras — LGPD, Art. 18), inclusive por meio das ferramentas de exportação e exclusão disponíveis na plataforma. As respostas ao titular são de responsabilidade do Controlador.
8. Segurança da informação
- Criptografia em trânsito (TLS 1.3) e em repouso (AES-256).
- Senhas armazenadas com hashing (bcrypt); a Operadora nunca acessa a senha em texto claro.
- Row-Level Security (RLS) em todo o banco: cada conta acessa apenas os próprios dados.
- Controle de acesso administrativo por chave e autenticação multifator; registro de operações sensíveis.
- Mascaramento de identificadores diretos antes do envio a provedores de IA.
9. Incidentes de segurança
Em caso de incidente que possa acarretar risco relevante aos titulares, a Operadora comunicará o Controlador sem demora injustificada após tomar conhecimento, com as informações disponíveis sobre a natureza do incidente, os dados afetados e as medidas adotadas, de modo a permitir que o Controlador cumpra seus deveres perante a ANPD e os titulares (LGPD, Art. 48).
10. Término e eliminação
Encerrada a conta, os dados seguem os prazos de retenção da Política de Privacidade: há um período de carência de 30 dias, após o qual os dados pessoais tratados em nome do Controlador são eliminados de forma permanente, ressalvadas as obrigações legais de guarda (ex.: registros de segurança e faturamento). A qualquer momento, o Controlador pode exportar seus dados pela própria plataforma.
11. Responsabilidade
Cada parte responde por suas obrigações sob a LGPD. A Operadora não se responsabiliza pelo tratamento de dados inseridos sem base legal ou sem autorização adequada pelo Controlador, nem por decisões jurídicas tomadas com base no output da plataforma sem a revisão profissional exigida nos Termos de Uso. A limitação de responsabilidade dos Termos de Uso aplica-se a este DPA.
12. Vigência, alterações e foro
Este DPA vigora a partir do aceite no cadastro e enquanto durar a conta. Alterações relevantes serão comunicadas por e-mail com antecedência mínima de 15 dias. Fica eleito o Foro da Comarca de Goiânia, Goiás, com renúncia a qualquer outro, por mais privilegiado que seja.
A Aura Jurídica é operada por Marcelo Miranda Marra, pessoa física, com migração para pessoa jurídica (CNPJ em constituição) — os direitos e deveres deste DPA serão automaticamente assumidos pela pessoa jurídica quando da transferência, com aviso prévio.
Dúvidas ou requisições de proteção de dados: privacidade@aurajuridica.com.br