Política de Privacidade — Vigia Jurídico

Versão 5, de 3 de outubro de 2026. Vale a partir desta data. Mudança material é avisada no painel e por e-mail antes de valer, e a versão anterior fica disponível a pedido. Usar o painel é aceitar esta versão — o sistema registra qual versão cada pessoa aceitou e quando.

Operado por XIRO Tecnologia, nome de XIRO TECH TECNOLOGIA LTDA, CNPJ 68.673.635/0001-93, sede em Avenida Napoli, 500, Residencial Eldorado, Goiânia/GO, CEP 74367-640. Encarregado de dados (art. 41 da LGPD): João Paulo Amorim — contato@joaoamorim.dev.

1. Quem responde pelo quê

O escritório contratante é o controlador dos dados dos processos que acompanha: foi ele que decidiu quais processos vigiar, por quê e por quanto tempo. O Vigia é operador — trata esses dados por conta e ordem do escritório, nos limites do contrato. O mesmo vale para o cadastro dos clientes do escritório e do 2º contato que cada cliente indica: quem cadastra e responde por eles é o escritório.

A divisão importa na prática: pedido de titular sobre um processo chega primeiro ao escritório, que é quem sabe se existe dever de guarda profissional sobre aquele caso. O Vigia executa o que o controlador determinar e devolve prova do que fez.

O que o Vigia trata como controlador é curto e não se mistura com processo: dados de cadastro de quem usa o painel (nome, e-mail, senha com hash, papel), o registro de acesso, a trilha de auditoria do sistema (quem fez o quê, quando, de que endereço IP e navegador) e dados de cobrança.

2. Dado de tribunal é público; o cruzamento não é

Publicação de diário, movimentação e pauta são públicas por determinação legal. O risco que esta política endereça não é a linha isolada do diário — é o acervo: reunir anos de publicações, ligar cada uma a um CPF/CNPJ, guardar o teor lido por LLM e permitir busca por nome produz um perfil que nenhuma fonte oficial oferece sozinha.

Daí três travas que estão no produto, não só neste texto:

• o que identifica pessoa não entra na busca semântica (§4);
• processo em segredo de justiça não vira texto, resumo, vetor nem alerta com conteúdo;
• cada escritório só alcança o próprio acervo — isolamento imposto pelo próprio banco de dados, e não por uma regra que o programa pudesse esquecer de aplicar.

3. Categorias de dado

Sobre CPF/CNPJ: o Vigia não pede esse dado ao escritório para identificar caso. Na importação de carteira, identificador fiscal que venha de carona na planilha é descartado em vez de guardado. O que existe no acervo é o CPF/CNPJ que a própria fonte oficial publicou dentro do evento, guardado como veio para prova de integridade.

4. Finalidade e base legal

Onde a base é legítimo interesse, o interesse foi pesado contra o direito de quem usa o painel (art. 10 da LGPD): guardamos só o necessário, com prazo (§6), e o titular pode se opor (art. 18, §2º).

Não há tratamento com base em consentimento do titular do processo — e isso é proposital: pedir consentimento para acompanhar um processo público seria promessa que não se pode cumprir nem revogar. Consentimento existe onde é real e revogável a qualquer momento: canal de alerta escolhido por quem usa o painel (push web, WhatsApp, Telegram) e cookie não essencial, se houver.

5. Decisão automatizada e revisão

O Vigia calcula prazo e resume teor por máquina, e nenhum dos dois produz efeito jurídico sozinho: prazo nasce como sugestão e só humano confirma. Revisão (art. 20 da LGPD) é o fluxo normal do produto, não um pedido extraordinário — o painel mostra o que a máquina entendeu, de qual evento e por qual regra de contagem, e quem confirma é o advogado.

6. Retenção

Como isto se cumpre: a tabela acima não é só texto — é a própria regra que o sistema executa. Uma rotina roda uma vez por dia, escritório por escritório, em lotes com teto por rodada, e cada categoria acima vira uma instrução declarada: apagar, limpar o conteúdo bruto, anonimizar ou nunca tocar. O que a rodada registra é só a contagem por categoria — nunca o que foi apagado. Prazo, trilha de ciência e trilha de auditoria têm piso: antes de cinco anos a rotina não reescreve nada nelas, aos cinco tira só a identificação de quem agiu, e só apaga a linha aos dez — o prazo e a ciência, além disso, só depois que o processo saiu do acompanhamento ou o contrato acabou. O sistema recusa subir se alguém escrever uma regra mais curta. Na trilha de ciência e na trilha de auditoria a trava é também do próprio banco de dados, que recusa a escrita fora dessas datas, venha de quem vier. O prazo não tem essa trava no banco: é a agenda viva do escritório, e a calibração de um prazo (o registro de se ele bateu) sai junto com o prazo quando ele sai. O acervo de quem encerrou o contrato é anonimizado por essa mesma rotina, não à mão.

Três categorias não são varridas por idade porque somem no momento do fato: contato de alerta sai quando o canal é desligado (ou no primeiro erro de entrega), credencial de tribunal sai na revogação, e o vetor de busca sai junto com o documento que o gerou.

Pedido de titular, sem depender de boa vontade: exportação e exclusão têm rota própria no sistema. O pedido nasce registrado e já com o prazo de 15 dias do §9. A exportação devolve só o que é do escritório que pediu — e credencial de tribunal não sai nem nela. A exclusão é em dois passos: o pedido não apaga nada sozinho; quem executa é a confirmação do escritório-controlador do caso, pelo limite do §9 abaixo. Não é convenção de código: o banco recusa registrar exclusão concluída sem essa confirmação.

6-A. O que apagamos, o que anonimizamos e o que fica

"Apagamos tudo" seria mentira, e mentira em política de privacidade é o pior lugar para se ter uma. A resposta honesta tem quatro partes.

1. Dado público não é dado do escritório, e não sai a pedido. Publicação de diário, movimentação, pauta, o teor que o tribunal divulgou e o resumo gerado a partir dele existem porque o Judiciário os tornou públicos. Pedido de exclusão feito ao Vigia não os apaga do tribunal, e o Vigia não os apaga a pedido de terceiro. O que acontece com eles é a retenção normal: quando nenhum escritório acompanha mais aquele processo, o bruto e o teor saem 90 dias depois e fica só a linha normalizada, que é fato público.

2. Dado do escritório: anonimizado ou apagado em até 15 dias da confirmação. No pedido de exclusão, executado depois da confirmação do escritório-controlador:

• anonimizado — o que o escritório escreveu sobre o cliente dentro do processo (nome do cliente e observação) vira marca anônima; o número do processo fica, porque é público;
• apagado — o endereço de notificação no navegador (push) sai inteiro, e o cadastro de clientes também: cliente, 2º contato, vínculo com o processo e registro de atendimento;
• fora do pedido, por regra própria: contato de alerta sai quando o canal é desligado (ou no primeiro erro de entrega) e a credencial de tribunal sai na revogação, quando a chave que abre o cofre é destruída.

3. O que fica, com prazo e com motivo. Uma parte é obrigação legal (art. 16, I, da LGPD): cobrança e nota fiscal, e o registro de acesso ao site. O resto fica porque é prova de um direito e segurança do sistema (art. 7º, VI e IX, da LGPD) — e por isso tem prazo, e o prazo vem escrito.

4. Cópia de segurança. O backup é dump inteiro, cifrado, com expiração automática: 30 dias a cópia diária e 12 meses a mensal. Não existe apagar seletivo dentro de backup — o dado excluído do sistema ativo ainda vive nessas cópias até expirarem, e elas só são abertas em desastre.

Duas coisas que se dizem antes: pedido de exclusão não cancela a assinatura (cancelar é ato próprio, no painel de cobrança), e cancelar a assinatura não apaga nada na hora — o acervo de quem encerrou é anonimizado 90 dias depois do fim do período pago, automaticamente.

Como pedir. Escritório cliente abre exportação ou exclusão no próprio sistema; o pedido nasce registrado, com o prazo de 15 dias contado desde a abertura. A exclusão tem segundo passo: só a confirmação do escritório-controlador executa. Quem não é cliente pede por contato@joaoamorim.dev, com o que baste para localizar o dado. Resposta em até 15 dias.

O que a exportação entrega hoje, sem enfeite: todas as tabelas que têm dono definido — carteira de processos, clientes e 2º contatos, prazos, alertas, pedidos, cobrança —, menos credencial de tribunal, que nunca sai. Arquivo binário sai identificado pelo tamanho, não em conteúdo. O andamento e o teor de cada processo são identificados pelo número CNJ, porque são registro público: quem quiser o inteiro teor o obtém do tribunal, onde ele é a fonte.

7. Quem mais trata o dado

Subprocessadores em uso:

Documento em segredo de justiça não é enviado a nenhum dos dois fornecedores de LLM: o texto não existe no banco, e o banco recusa a escrita por restrição de coluna, não por convenção de código.

8. Transferência internacional

Anthropic, Voyage, Meta, Cloudflare, Stripe, Google e os serviços de push estão fora do Brasil, o que torna o envio uma transferência internacional (art. 33 da LGPD). A base são cláusulas contratuais específicas com cada fornecedor, no molde do art. 33, II, alinhadas às cláusulas-padrão contratuais da Resolução CD/ANPD 19/2024. Escritório que não aceite esse envio pode operar com teor por LLM e busca semântica desligados: o acompanhamento, o cálculo de prazo e o alerta continuam funcionando sem eles. O alerta por e-mail sai de servidor no Brasil e não entra nessa conta. Já a passagem pela Cloudflare (proteção do site e do painel) e a cópia de segurança cifrada não são opcionais — são como o serviço fica de pé. Fornecedor só é habilitado depois que as cláusulas de proteção de dados dele são conferidas, e a lista vigente, com a data de cada conferência, fica disponível ao contratante a pedido.

9. Direitos do titular

Confirmação de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dado desnecessário, portabilidade, informação sobre compartilhamento e revisão de decisão automatizada (art. 18 da LGPD).

Como exercer: pedido para contato@joaoamorim.dev, com o que basta para localizar o dado — nome e, se houver, número do processo. Resposta em até 15 dias.

Escritório que já é cliente não precisa esperar por e-mail: exportação e exclusão são pedidos que ele mesmo abre no sistema, com o mesmo prazo de 15 dias contado e registrado desde a abertura. A exportação sai pronta com o que é dele; a exclusão só é executada depois que o escritório responsável pelo caso confirma — é o segundo passo, e sem ele nada é apagado.

Três limites que se dizem antes, não depois:

• dado que veio de fonte oficial pública não é apagado do tribunal por pedido feito ao Vigia; o que o Vigia pode fazer é parar de tratar e apagar sua cópia, quando não houver dever de guarda;
• quando o dado pertence ao acompanhamento de um escritório, o pedido é encaminhado a ele como controlador — o Vigia não decide sozinho apagar prova de prazo de um caso em curso;
• a trilha de auditoria não é apagada a pedido dentro do prazo do §6, porque é prova e segurança do próprio sistema (art. 7º, VI e IX, da LGPD); o titular pode se opor (art. 18, §2º) e recebe a resposta com o motivo (art. 18, §4º, II); vencido o prazo, a identificação sai sozinha.

Quem foi indicado como 2º contato de um cliente não contratou nada: a base é o legítimo interesse (§4), e a oposição dele basta. O pedido vai ao escritório que o cadastrou, ou a contato@joaoamorim.dev, que o encaminha; o escritório apaga o contato no painel, e a linha sai inteira, sem alterar o cadastro do cliente.

9-A. Sucessão do acervo e aviso de saída

O Vigia nasceu para o escritório de uma pessoa só, e nesse escritório o dono costuma ser o único login. Duas coisas, por isso, não dependem de ninguém lembrar:

• Sucessor designado. O dono pode registrar no sistema a quem o Vigia avisa se ele não puder mais responder pelo escritório — nome e e-mail obrigatórios, OAB, telefone e observação opcionais. Isso é endereço, não chave: a pessoa designada não ganha login nem acesso automático ao acervo; ela é avisada, e a entrega do acervo depende do documento que o caso exigir (procuração, inventário, prova de óbito). A designação é de uma pessoa que não assinou nada conosco: ela é titular desses dados, pode pedir para sair a qualquer momento pelo §9, e o dono pode apagar a designação sozinho, no sistema.
• Aviso antes de anonimizar. Encerrado o contrato, o Vigia manda um e-mail aos donos da conta e ao sucessor designado dizendo a data em que o acervo será anonimizado e já deixando aberto, em nome do escritório, um pedido de exportação de tudo que é dele. A anonimização não acontece antes de 30 dias desse aviso — e, se não houver a quem avisar ou o e-mail não puder ser enviado, ela não acontece: o acervo fica como está até que o aviso saia.

10. Segurança

• isolamento por inquilino imposto no banco, com política de linha forçada inclusive para o dono da tabela;
• credencial, certificado e chave de API em cofre de arquivo montado, nunca em arquivo de configuração em texto plano;
• trilha append-only de quem abriu teor de intimação, que o sistema não reescreve;
• alerta em modo discreto para processo em segredo de justiça;
• incidente relevante comunicado ao controlador e à ANPD (art. 48 da LGPD).

11. Este site

O site público em vigiajuridico.com.br é estático e não depende de conta. O que ele faz com quem apenas visita:

• Nenhum cookie e nenhum rastreador. Não há Google Analytics, Tag Manager, pixel de rede social, mapa de calor nem cookie de qualquer espécie — nada fica gravado no navegador do visitante, e por isso não existe banner de consentimento a exibir.
• Nenhuma conexão a terceiro. Texto, imagem e fontes tipográficas são servidos pelo próprio domínio: o navegador de quem visita não fala com Google, CDN nem rede social, e por isso o endereço IP do visitante não chega a ninguém além do nosso servidor.
• O formulário de demonstração não envia nada ao nosso servidor. O endereço digitado abre o programa de e-mail do próprio visitante com a mensagem pronta; nada sai do navegador enquanto a pessoa não apertar enviar, e o que chegar por e-mail é tratado como contato comercial (§4).
• Log do servidor web. Cada requisição fica registrada com endereço IP, hora, página pedida e navegador, para segurança e diagnóstico; cabeçalho de autenticação e cookie são descartados antes da gravação. Esse registro não é cruzado com acervo de processo nem usado para publicidade, e é guardado por seis meses — o prazo do art. 15 do Marco Civil da Internet —, depois descartado.

12. Mudanças

Alteração material é avisada no painel e por e-mail antes de valer, e a versão anterior fica disponível a pedido em contato@joaoamorim.dev.