Proteção de dados

Para quem vai dar parecer sobre a contratação — procuradoria, controladoria interna, encarregado de dados da Casa — e depois vai precisar documentar a decisão.

Reunimos aqui o que costuma faltar na hora de montar essa documentação: o que o sistema guarda, onde fica, quem mais tem acesso, por quanto tempo e o que acontece quando o contrato termina.

Esta página descreve o produto. Ela não substitui o contrato — havendo divergência, vale o instrumento assinado com a Casa.

A lei separa dois papéis, e a diferença é prática: um decide, o outro executa.

A Câmara decide

É a Casa que define para que os dados são usados, com que fundamento, quem tem acesso e por quanto tempo tudo fica guardado. É ela que responde ao cidadão que pergunta, e é ela que comunica a autoridade nacional se houver incidente. Na lei, isso se chama controlador.

A Legisora executa

Operamos o sistema seguindo essas decisões. Não usamos o dado da Casa para finalidade nossa, não cruzamos informação entre Câmaras diferentes e não treinamos inteligência artificial com o conteúdo dos documentos. Na lei, operador.

Nossos fornecedores executam para nós

Hospedagem, armazenamento e o provedor de inteligência artificial, listados adiante — todos contratados com obrigação de sigilo e de uso limitado à finalidade.

De quem usa o sistema

Nome, e-mail funcional, matrícula (se a Casa usar), setor e perfil. Mais o registro de entrada e saída e o endereço de internet de cada ação registrada.

De quem aparece nos documentos

Aqui está o volume de verdade: interessados em processo, requerentes, munícipes citados em ofício. Esse conteúdo é produzido pela Casa no exercício da competência dela — nós não definimos nem controlamos o que entra ali.

Do uso da inteligência artificial

Quem pediu, quando, sobre qual documento e um resumo do pedido e da resposta.

Antes de gravar no histórico, uma rotina obrigatória apaga o que não deveria estar ali: senha, chave de acesso, CPF, cartão e chave PIX viram [REDIGIDO], e o texto do documento não entra — ele pertence à versão, que tem controle de acesso próprio. O histórico é permanente, então recebe o mínimo.

[VALIDAR: provedor de hospedagem contratado]

Hospeda o sistema e o banco de dados, em [VALIDAR: região do provedor de nuvem — ex.: São Paulo, Brasil].

[VALIDAR: armazenamento de arquivos — MinIO próprio ou Cloudflare R2]

Guarda os arquivos oficiais e a cópia externa do histórico.

OpenAI, L.L.C.

Processa os pedidos de redação, revisão e leitura. A conta é da Legisora: a Câmara não assina contrato com esse provedor nem administra chave de acesso.

Se algum dia entrar um novo fornecedor que trate dado da Casa, a Câmara é avisada antes, na forma do contrato.

Quando o edital exigir operação local, o sistema roda na infraestrutura da própria Casa — e aí hospedagem e armazenamento saem desta lista.

O processamento de inteligência artificial é realizado por OpenAI, L.L.C., com servidores nos Estados Unidos da América. Isso caracteriza transferência internacional de dados pessoais, realizada com as garantias previstas nos artigos 33 a 36 da LGPD e nas cláusulas contratuais firmadas com o provedor.

O que não sai: o acervo da Casa não é copiado para o exterior. Banco de dados, arquivos oficiais e histórico ficam na infraestrutura contratada, em [VALIDAR: região do provedor de nuvem — ex.: São Paulo, Brasil]. Ao provedor de IA vai só o trecho necessário para atender ao pedido que um servidor fez naquele momento.

Três limites reduzem esse envio, e são aplicados pelo sistema:

• documento marcado como sigiloso é recusado na análise por IA e fica fora da busca;
• o registro daquela conversa guarda só o resumo, nunca o texto integral;
• a Casa pode operar sem os recursos de IA e manter tudo o mais funcionando — a inteligência artificial é ajuda, não engrenagem.

Uma ressalva honesta: quando o servidor envia um arquivo avulso para leitura, o sistema não tem como saber que aquele conteúdo é sigiloso. Ali a decisão é de quem envia, e o aviso aparece na tela.

O pedido é dirigido à Câmara, que é quem responde. Nós damos o suporte técnico:

• Ver o que existe: localizamos e extraímos os registros referentes àquela pessoa.
• Corrigir: dado de cadastro é corrigido direto. Dado dentro de documento já publicado exige o procedimento formal da Casa — ato administrativo não se conserta por edição silenciosa.
• Excluir: alcança cadastro e documento, conforme os prazos de guarda definidos pela Casa. Não alcança o histórico de auditoria, pelo motivo da seção seguinte.

O histórico é inalterável por construção: o próprio banco de dados recusa alteração e exclusão, inclusive de quem tem acesso direto ao servidor. É isso que o torna prova — e é isso que impede apagar um registro a pedido.

Isso não é conflito com a lei, mas precisa estar escrito. O direito de excluir alcança o dado tratado com base em consentimento, que não é o caso aqui: registrar quem praticou cada ato administrativo é cumprimento de dever legal e condição para a Casa se defender depois.

Recomendamos deixar essa fundamentação registrada na documentação de conformidade da Casa. É o ponto que auditoria externa costuma questionar, e escrever antes encerra a discussão antes de ela começar.

É também por isso que o histórico recebe o mínimo: qual ação, quem, quando, sobre o quê e de onde. Nunca o conteúdo do documento.

Quem decide é a Câmara, pela tabela de temporalidade da Casa. O sistema aplica o que for definido.

Três conjuntos costumam ter prazos diferentes:

• documentos e atos normativos, que tendem à guarda permanente;
• registros de entrada e saída do sistema, com prazo bem menor;
• registros de uso da IA, com prazo próprio.

Um alerta prático: a cópia externa do histórico usa uma retenção que não permite encurtar depois. Definir dez anos e concluir mais tarde que três bastavam significa pagar armazenamento pelos dez. Vale decidir antes de a primeira cópia ser gravada.

Detectado incidente envolvendo dados pessoais, comunicamos a Câmara rapidamente, dizendo o que aconteceu, o que foi atingido, qual o risco e o que já fizemos.

A comunicação à autoridade nacional e às pessoas afetadas é da Casa. Fornecemos o material técnico para instruí-la, inclusive a extração do histórico do período.

A Casa recebe tudo em formato aberto — documentos, informações associadas e histórico —, no prazo combinado. Depois de confirmada a entrega, apagamos os dados dos nossos ambientes, salvo o que a lei obrigue a manter.

O acervo é da Câmara desde o primeiro dia. Poder sair sem perder nada é requisito do produto: sistema de documento público que prende o acervo transforma renovação de contrato em coação.

A pedido, para instruir a contratação:

• minuta de cláusulas de proteção de dados;
• descrição das operações de tratamento, no formato do registro exigido pela lei;
• material de apoio ao relatório de impacto: fluxo dos dados, fornecedores envolvidos e medidas de segurança;
• declaração de conformidade e informações técnicas de segurança.

Peça a privacidade@legisora.com.br.