Política de Privacidade

Resumo em 10 pontos

1. O controlador é Gabriel Jatobá, Jatobá Lab, pessoa física, projeto pessoal sediado no Brasil.
2. O encarregado (DPO) é Gabriel Jatobá, contatável em gabrielvjatoba@gmail.com.
3. O site é estático: não usa cookies de análise, publicidade, pixels ou JavaScript de terceiros.
4. Os dados tratados vêm de três fontes: o que você envia, registros técnicos automáticos e o uso de pilotos com IA.
5. Toda finalidade tem uma base legal declarada, conforme o art. 7º da LGPD. Não há tratamento “para tudo”.
6. O laboratório não pede dados sensíveis. Se um piloto exigir, haverá base específica do art. 11 e avaliação de impacto.
7. O gateway de IA (OpenRouter) está configurado para negar coleta e exigir retenção zero. Provedores variam e são verificados caso a caso.
8. Há transferência internacional para os EUA (hospedagem, CDN e gateway). Os mecanismos estão descritos na seção 9.
9. Você pode pedir confirmação, acesso, correção, eliminação, portabilidade e revisão de decisões automatizadas; o prazo de resposta é de 15 dias (art. 19).
10. Incidentes com risco relevante são comunicados à ANPD e aos titulares afetados (art. 48).

Controlador e encarregado

Controlador

Gabriel Jatobá, Jatobá Lab
Pessoa física, projeto pessoal
Brasil

Encarregado (DPO)

Gabriel Jatobá
Contato: gabrielvjatoba@gmail.com

Natureza jurídica

Projeto pessoal ainda sem pessoa jurídica constituída. Não há CNPJ próprio nesta versão. Se o projeto se tornar sociedade empresária, esta seção será atualizada com razão social e CNPJ.

Idioma e foro

Documento redigido em português do Brasil, regido pela Lei nº 13.709/2018 (LGPD) e demais normas brasileiras aplicáveis.

O encarregado atua como canal de comunicação entre o controlador, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD), nos termos do art. 41 da LGPD. Em um projeto unipessoal, a mesma pessoa acumula as funções, o que é permitido, mas não elimina a necessidade de registrar e responder pedidos com método.

Escopo e papéis

Esta política se aplica ao site lgpd.jatoba.tech, aos canais de contato do Jatobá Lab e aos pilotos experimentais conduzidos diretamente por Gabriel Jatobá.

É importante separar três situações:

Quando o Jatobá Lab atua como operador, ele trata dados apenas conforme as instruções do controlador e não os utiliza para finalidades próprias. Esta política não substitui o DPA nem a política do cliente.

Dados que tratamos

A tabela abaixo é um inventário prático. “Origem” indica de onde o dado vem; “obrigatório” indica se a ausência impede a prestação daquele recurso.

O que não coletamos: não há cadastro obrigatório para ler este site, não há perfilamento publicitário, não há venda de dados e não há enriquecimento com bases de terceiros. Dados de cartão, quando existirem, são processados por operadora especializada e não ficam armazenados no laboratório.

Finalidades e bases legais

Cada operação tem uma finalidade determinada e uma hipótese legal do art. 7º da LGPD. Quando a base é o legítimo interesse, o laboratório faz uma avaliação de necessidade e equilíbrio e oferece canal de oposição.

Legítimo interesse em detalhe

O legítimo interesse é usado apenas para segurança, prevenção a abuso e diagnóstico técnico. O teste aplicado é: (a) existe um interesse legítimo concreto; (b) o tratamento é necessário para ele; (c) os direitos do titular não prevalecem no caso concreto. Você pode se opor a qualquer momento pelo canal do encarregado, e a oposição será analisada caso a caso.

Dados sensíveis

O laboratório não solicita dados pessoais sensíveis (art. 5º, II, da LGPD), como origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados de saúde, vida sexual, dados genéticos ou biométricos.

Se um piloto específico precisar tratar dados sensíveis, isso só ocorrerá com:

• hipótese do art. 11 da LGPD expressamente identificada;
• finalidade específica e informada de forma destacada;
• avaliação de impacto à proteção de dados (RIPD) quando o risco for elevado;
• medidas de segurança proporcionais e prazo de retenção reduzido.

Inteligência artificial: prompts, memória, logs e traces

Parte dos experimentos do Jatobá Lab usa modelos de linguagem. Esta seção descreve o que acontece com o conteúdo enviado.

7.1 O que é enviado ao modelo

Para gerar uma resposta, o conteúdo do seu prompt (e, quando você anexa arquivos, o conteúdo desses arquivos) é transmitido ao provedor do modelo escolhido, passando pelo gateway OpenRouter. Também são enviados parâmetros técnicos da chamada, como o nome do modelo e o tamanho da entrada.

7.2 Configuração do gateway

O gateway está configurado para negar coleta de dados e exigir zero data retention (ZDR) nos provedores que suportam essa política. Isso reduz a retenção do lado do provedor, mas não é uma garantia universal:

• provedores diferentes têm políticas e prazos diferentes;
• alguns modelos podem não suportar ZDR e, nesse caso, não devem ser usados com dados pessoais;
• a verificação é feita caso a caso, antes de cada piloto que trate dados de terceiros.

O laboratório não afirma que “todos os provedores não treinam com seus dados”. Afirma que o gateway está configurado para negar coleta e exigir ZDR e que provedores são avaliados individualmente.

7.3 Memória

Quando um assistente tem memória entre sessões, ele guarda apenas o que você escolheu compartilhar: preferências, contexto do projeto e fatos que você pediu para lembrar. A memória é opcional, pode ser consultada, corrigida e apagada pelo canal do encarregado, e não é usada para publicidade.

7.4 Logs e traces

Para depurar falhas e medir qualidade, o laboratório usa Langfuse auto-hospedado em infraestrutura própria. Traces podem conter o texto do prompt, a resposta, latência, custo e metadados técnicos. Medidas adotadas:

• acesso restrito ao responsável pelo projeto;
• retenção padrão de até 30 dias para traces de pilotos, salvo prazo diferente definido no termo do piloto;
• remoção ou mascaramento de campos sensíveis antes do envio, quando o caso exigir;
• possibilidade de desativar a captura de conteúdo, mantendo apenas métricas.

7.5 O que você não deve enviar

Não envie para prompts: senhas, chaves de API, dados de cartão, documentos de identidade de terceiros, prontuários, dados de crianças ou qualquer dado sensível sem acordo prévio. O conteúdo enviado é de sua responsabilidade; se envolver dados de terceiros, você declara ter base legal para isso.

7.6 Saídas de IA

Respostas de modelos podem estar erradas, desatualizadas ou inventar fatos. Elas não são aconselhamento jurídico, médico, financeiro ou contábil. Antes de usar uma saída em produção, faça revisão humana. A seção 14 trata de decisões automatizadas e do direito de revisão.

Compartilhamento e suboperadores

O laboratório não vende dados pessoais. O compartilhamento ocorre apenas com fornecedores necessários à operação, sob obrigações contratuais de confidencialidade e segurança, e com autoridades quando houver determinação legal.

Autoridades públicas recebem dados apenas mediante requisição legal, com registro interno do pedido e da resposta. Em caso de reorganização do projeto, os dados podem ser transferidos a sucessor que assuma as mesmas obrigações, com comunicação aos titulares quando cabível.

Transferência internacional de dados

O tratamento envolve transferência para fora do Brasil, principalmente para os Estados Unidos, em razão da hospedagem (Leaseweb), da CDN (Cloudflare) e do gateway de IA (OpenRouter e provedores de modelo).

Essa transferência se apoia nas hipóteses do art. 33 da LGPD, conforme o caso:

• Art. 33, I: países com grau de proteção adequado, quando houver decisão de adequação aplicável;
• Art. 33, II: garantias contratuais, como cláusulas contratuais específicas ou cláusulas-padrão contratuais, conforme o fornecedor;
• Art. 33, IX: consentimento específico e destacado, quando nenhuma outra hipótese se aplicar e o titular for previamente informado;
• Art. 33, III: cooperação jurídica internacional entre órgãos públicos, quando aplicável.

Boas práticas adotadas: avaliação do fornecedor antes da contratação, preferência por provedores com termos de tratamento publicados, exigência de ZDR no gateway de IA e redução do volume de dados enviados. O laboratório não afirma que existe decisão de adequação da ANPD para os EUA; enquanto ela não existir, a base contratual é o caminho principal.

Você pode solicitar informação sobre os mecanismos aplicados ao seu caso pelo canal do encarregado.

Retenção

Dados são mantidos pelo tempo necessário à finalidade. Quando o prazo termina, são eliminados ou anonimizados, salvo hipótese legal de conservação.

Sobre registros de acesso: o art. 15 do Marco Civil da Internet impõe guarda de 6 meses a provedores constituídos como pessoa jurídica com fins econômicos. O Jatobá Lab, nesta versão, é projeto pessoal e não se enquadra nessa obrigação; mantém 90 dias por segurança. Se o projeto se tornar pessoa jurídica com exploração econômica, o prazo legal será reavaliado e esta seção atualizada.

Segurança

Medidas técnicas e administrativas adotadas, sem promessa de risco zero (art. 46 da LGPD):

• Transporte: HTTPS obrigatório, com redirecionamento e HSTS.
• Cabeçalhos: Content Security Policy restritiva, X-Frame-Options: DENY, X-Content-Type-Options: nosniff, Referrer-Policy e Permissions-Policy.
• Superfície mínima: site estático, sem banco de dados, sem login e sem JavaScript próprio.
• Acesso: contas administrativas com autenticação em dois fatores e princípio do menor privilégio.
• Segredos: chaves de API fora do repositório, em armazenamento restrito, com rotação quando houver suspeita.
• Fornecedores: seleção por reputação, termos de tratamento publicados e configuração de retenção mínima.
• Recuperação: backups rotativos e teste periódico de restauração.
• Revisão: revisão desta política e dos acessos a cada mudança relevante de arquitetura.

Nenhum sistema é imune a falhas, erro humano ou ataque. O compromisso é reduzir a probabilidade, detectar rápido e responder com transparência quando algo acontecer.

Seus direitos

A LGPD garante a você, titular, os direitos do art. 18. A tabela mostra como cada um se aplica neste contexto.

12.1 Como pedir

Envie um e-mail para gabrielvjatoba@gmail.com com o assunto “LGPD: [seu pedido]”. Inclua:

• nome completo e e-mail usado no contato com o projeto;
• descrição clara do que você quer (acesso, correção, eliminação etc.);
• indicação da página, piloto ou data envolvida, se souber;
• documento que permita verificar sua identidade, quando necessário para evitar acesso indevido.

12.2 Prazos e limites

A resposta é enviada em até 15 dias contados do pedido completo, conforme o art. 19 da LGPD, com declaração clara e completa. Se não for possível atender integralmente, você receberá explicação fundamentada.

Alguns pedidos encontram limites legítimos: obrigação legal de guarda, exercício regular de direitos em processo, segredo comercial e proteção de direitos de terceiros. Nesses casos, o laboratório informa o motivo e a base legal.

O atendimento é gratuito. Se você se sentir prejudicado, pode reclamar à ANPD.

Cookies e tecnologias similares

Este site não usa cookies de análise, publicidade ou rastreamento e não inclui scripts de terceiros no código das páginas. Por isso, não há banner de consentimento: não há nada a consentir nessa categoria.

Pode existir um cookie essencial de segurança definido pela CDN (Cloudflare), como o __cf_bm, usado para distinguir tráfego legítimo de bots. Ele é necessário para a proteção do serviço, não identifica você para publicidade e não é compartilhado para fins comerciais.

O servidor também registra dados técnicos de acesso (IP, data e hora, URL, user agent), tratados como registro de segurança conforme a seção 10.

Decisões automatizadas

O laboratório pode usar IA para classificar, resumir ou sugerir, mas não toma decisões automatizadas que afetem direitos ou interesses de pessoas sem revisão humana. Se isso mudar em algum piloto:

• o titular será informado de forma clara sobre os critérios e o procedimento;
• será possível solicitar revisão humana, nos termos do art. 20 da LGPD;
• a decisão e a revisão serão registradas.

Saídas de IA em conteúdo público ou em atendimento são identificadas como geradas por assistente quando houver risco de confusão.

Incidentes de segurança

Se houver incidente que possa acarretar risco ou dano relevante aos titulares, o laboratório:

1. contém o incidente e preserva evidências;
2. avalia a natureza dos dados, os titulares afetados e o risco concreto;
3. comunica a ANPD e os titulares afetados, nos termos do art. 48 da LGPD, no prazo regulamentar aplicável, atualmente de 3 dias úteis pela Resolução CD/ANPD nº 15/2024, quando a comunicação for exigida;
4. registra o ocorrido, as medidas e as lições aprendidas;
5. atualiza esta política e os controles quando necessário.

A comunicação descreve, de forma razoável, os dados envolvidos, os titulares afetados, as medidas técnicas de proteção, os riscos e as providências adotadas. O laboratório não esconde incidente para preservar reputação.

Para reportar uma vulnerabilidade, veja security.txt ou escreva para o encarregado.

Crianças e adolescentes

Os serviços do laboratório não são direcionados a menores de 18 anos e não coletam intencionalmente dados de crianças ou adolescentes. O melhor interesse do menor é observado (art. 14 da LGPD). Se você identificar que um menor enviou dados sem autorização de responsável, escreva para o encarregado: os dados serão eliminados.

Alterações desta política

Esta política pode mudar para refletir alterações no projeto, nos fornecedores ou na legislação. Cada versão recebe número e data no topo. Mudanças relevantes são destacadas na página inicial por pelo menos 30 dias.

Se a mudança depender de consentimento, ele será solicitado novamente antes de a nova prática valer. Versões anteriores podem ser solicitadas ao encarregado.

Contato e ANPD

Encarregado (DPO)

Gabriel Jatobá

E-mail

gabrielvjatoba@gmail.com

Assunto sugerido

“LGPD: [acesso / correção / eliminação / incidente / outro]”

Prazo de resposta

Até 15 dias (art. 19 da LGPD)

Autoridade

Autoridade Nacional de Proteção de Dados (ANPD): gov.br/anpd

Se a resposta do encarregado não resolver, você pode apresentar reclamação à ANPD. O laboratório colabora com a autoridade e com o titular em qualquer procedimento.