Política de Privacidade do StaffChain

Esta política explica como a StaffChain trata, como controladora (LGPD, art. 5º, VI), os dados pessoais de:

1. a)
   quem visita o site getstaffchain.com e quem nos pede contato pelo formulário do site ou pelo WhatsApp;
2. b)
   quem recebe uma Proposta e quem a aceita em nome de um escritório;
3. c)
   os Usuários, as pessoas que um escritório autoriza a entrar na área logada, inclusive por um assistente de IA conectado;
4. d)
   as pessoas indicadas pelos escritórios como contato de cobrança, de comunicações formais, de incidentes e de proteção de dados; e
5. e)
   quem fala com a nossa equipe por e-mail, por WhatsApp ou pelo suporte.

Esta política não se aplica aos dados que os escritórios nos confiam para executar as Rotinas contratadas, como os dados dos seus clientes, das partes, dos processos, das publicações e dos pagamentos, nem ao que os Usuários fazem dentro do escritório, como as respostas que dão aos Agentes e as ações registradas na trilha de auditoria do escritório. Nesses dados, o escritório é o controlador e a StaffChain é a operadora, e o tratamento segue o Acordo de Tratamento de Dados que integra o contrato de cada escritório. Os fornecedores que tratam esses dados estão na página de Suboperadores do StaffChain.

Se você é cliente de um escritório que usa o StaffChain, ou é parte num processo acompanhado por ele, e quer saber o que é feito com os seus dados, fale com o escritório: é ele quem decide. Se você nos escrever sobre esses dados, encaminhamos o pedido ao escritório em até 2 dias úteis e avisamos você de que a resposta virá dele.

Os termos com inicial maiúscula, como Agente, Canal, Franquia, Proposta, Rotina e Usuário, têm o significado dado nas Condições Gerais de Contratação do StaffChain.

O site getstaffchain.com é uma página estática, entregue pela rede Amazon CloudFront, da AWS, que recebe o seu endereço IP e os dados técnicos do navegador para mostrar a página. O site não usa cookies, ferramentas de medição de audiência, pixels de publicidade nem conteúdo de terceiros. Dele, guardamos apenas os registros de acesso da cláusula 6.

Quando você preenche o formulário de contato do site, guardamos:

1. a)
   o seu nome e o nome do escritório;
2. b)
   o cargo, o tamanho da equipe e as rotinas que você marcou, quando os informa;
3. c)
   o seu e-mail e o seu telefone, quando os informa;
4. d)
   o idioma da página; e
5. e)
   a data e a hora do envio e um código calculado a partir do seu endereço IP com uma chave secreta, guardado no lugar do IP e usado só para limitar envios em série, até 5 por hora do mesmo endereço.

O botão do formulário abre o WhatsApp com a mensagem pronta, para você revisar e enviar. Ao lado do botão, o site avisa que a conversa passa pelo WhatsApp, fora do Brasil (cláusula 9.3). Se você enviar, a conversa continua no WhatsApp, e o seu número e o que você escrever chegam ao WhatsApp da nossa equipe. A equipe também recebe por e-mail um aviso de cada contato.

Usamos esses dados para responder ao seu pedido, apresentar o StaffChain e, se houver interesse, preparar uma Proposta. As bases legais são os procedimentos preliminares relacionados a um contrato, a seu pedido, quando você contrata em nome próprio (LGPD, art. 7º, V), e o nosso legítimo interesse em responder a quem pediu contato em nome de um escritório (art. 7º, IX). Não usamos esses dados para enviar publicidade.

O contato que não vira Proposta é apagado 12 meses depois de chegar: na plataforma, automaticamente, e, pela nossa equipe, nas cópias que houver no e-mail de aviso e na conversa do WhatsApp. O contato que vira Proposta passa a seguir a cláusula 3. Você pode pedir a eliminação antes disso, a qualquer momento (cláusula 11).

Para preparar e enviar uma Proposta, guardamos o nome e o e-mail de cada pessoa que o escritório indica para recebê-la, e os contatos de cobrança, de comunicações formais, de incidentes e de proteção de dados informados nela.

Quem recebe a Proposta entra na área logada com um link ou com um código de 6 dígitos enviado ao seu e-mail. Registramos quando a Proposta é aberta por quem está conectado e avisamos a nossa equipe da primeira abertura. Os nossos e-mails não têm pixel de rastreamento, e não sabemos se ou quando você os abre.

No aceite, registramos o nome e o e-mail de quem aceitou, a data e a hora, o endereço IP e o navegador, a versão da Proposta e o código de integridade (hash) do seu conteúdo, e as versões das Condições Gerais e do Acordo de Tratamento de Dados aceitas com ela. O registro não pode ser alterado depois de gravado.

As bases legais são os procedimentos preliminares e a execução do contrato (LGPD, art. 7º, V), para enviar a Proposta, acompanhá-la e formar o contrato; o exercício regular de direitos (art. 7º, VI), para guardar o registro do aceite como prova da contratação; e o nosso legítimo interesse (art. 7º, IX), quando quem recebe ou aceita a Proposta age em nome de um escritório.

Por quanto tempo guardamos:

1. a)
   Proposta aceita: o registro do aceite, com o endereço IP, fica durante o contrato e por 10 anos depois do fim dele, o prazo geral de prescrição do Código Civil (art. 205);
2. b)
   Proposta não aceita (recusada, retirada ou vencida): os nomes e os e-mails de quem a recebeu são apagados 12 meses depois do fim dela.

De cada Usuário, guardamos:

1. a)
   o nome e o e-mail;
2. b)
   os escritórios a que pertence e o papel em cada um, como sócio ou equipe;
3. c)
   os convites recebidos, com o escritório, o papel e quem convidou; e
4. d)
   quando entra com o Google, o identificador da conta Google, a foto de perfil e os tokens que o Google entrega no login, guardados cifrados.

Você entra na área logada de uma destas formas, sem senha:

1. a)
   por um link de uso único enviado ao seu e-mail, válido por 15 minutos. O link só é enviado a quem pertence a um escritório, foi convidado por um ou recebeu uma Proposta, e guardamos dele só um hash;
2. b)
   por um código de 6 dígitos enviado ao seu e-mail, se você recebeu uma Proposta; ou
3. c)
   pela sua conta Google, quando essa opção for oferecida. Nesse caso, o Google nos informa só o seu nome, o seu e-mail e a sua foto de perfil. Não pedimos acesso ao seu Gmail, ao seu Drive nem à sua Agenda. O Google trata a sua conta conforme a política de privacidade dele.

Enquanto a sua sessão vale, guardamos o endereço IP e o navegador dela, para proteger o seu acesso. A sessão vence 7 dias depois do último uso, ou quando você sai.

Quando você conecta um assistente de IA, como o ChatGPT ou o Claude, pelo servidor MCP do StaffChain, guardamos o registro do assistente, as permissões que você deu e quando as deu, para aceitar ou recusar cada pedido dele. O que o assistente faz com o que você lhe pede segue o contrato entre você, ou o seu escritório, e o fornecedor do assistente. Você desconecta o assistente a qualquer momento na área logada.

Usamos esses dados para autenticar você, dar acesso só aos escritórios a que você pertence e manter a sua conta segura. As bases legais são a execução do contrato com o escritório (LGPD, art. 7º, V) e o nosso legítimo interesse, e o do escritório, em dar acesso apenas a quem ele autorizou (art. 7º, IX).

Por quanto tempo guardamos:

1. a)
   os dados da conta ficam enquanto você pertencer a pelo menos um escritório. Quando você deixa de pertencer a todos, porque o escritório retirou o seu acesso ou porque o contrato dele terminou e acabaram os 30 dias de consulta depois do fim, a conta é apagada em até 30 dias;
2. b)
   o convite não aceito é apagado 30 dias depois de vencer; e
3. c)
   a sessão vencida é apagada, com o endereço IP e o navegador.

Faturamento. Guardamos o nome ou a razão social de quem contrata, o CNPJ, ou o CPF quando o contrato é com advogado em nome próprio, o endereço, o e-mail de cobrança e o nome do responsável financeiro, e as faturas, as notas fiscais e os pagamentos. Usamos esses dados para cobrar, emitir as notas fiscais e manter a contabilidade, com base na execução do contrato (LGPD, art. 7º, V), no cumprimento de obrigação legal (art. 7º, II) e no exercício regular de direitos (art. 7º, VI). Eles ficam pelo prazo da lei tributária, em regra 5 anos contados do primeiro dia do ano seguinte ao do documento (Código Tributário Nacional, arts. 173 e 195, parágrafo único), ou mais enquanto houver cobrança ou discussão pendente.

Suporte. Guardamos o seu nome, o seu contato, o que você relata e o histórico do atendimento, recebidos por e-mail, por WhatsApp, pelo Canal do escritório ou pela área logada. Se o pedido trouxer dados de clientes do escritório, essa parte segue o Acordo de Tratamento de Dados. As bases legais são a execução do contrato (LGPD, art. 7º, V) e o nosso legítimo interesse em atender bem e melhorar o serviço (art. 7º, IX). O histórico fica durante o contrato e por 5 anos depois do fim dele.

Comunicações do serviço. Usamos os e-mails e o Canal do escritório para avisos sobre o próprio serviço, como uma nova versão dos termos ou desta política, uma manutenção programada, um incidente ou o uso da Franquia. Não enviamos publicidade por e-mail ou por WhatsApp. Se um dia enviarmos novidades, será só com o seu consentimento, com um jeito de sair em cada mensagem.

Como provedora de aplicações de internet, guardamos os registros de acesso ao site e à área logada: o endereço IP, com a porta de origem, e a data e a hora de cada acesso, com o fuso horário (Lei nº 12.965/2014, o Marco Civil da Internet, art. 5º, VIII, e art. 15, e Decreto nº 8.771/2016, art. 15-A). Na área logada, o registro também diz qual conta acessou.

Esses registros ficam 6 meses, sob sigilo, em ambiente controlado, na AWS em São Paulo, e depois são apagados. A base legal é o cumprimento de obrigação legal (LGPD, art. 7º, II). Só os entregamos por ordem judicial (Marco Civil, art. 15, § 3º, e art. 22). As autoridades com competência legal podem requisitar diretamente apenas os dados cadastrais, como o nome e o endereço (art. 10, § 3º). Se recebermos uma ordem ou uma requisição sobre você, avisamos você, salvo proibição legal ou judicial.

Cada operação feita na plataforma fica numa trilha de auditoria, com o autor, o meio, o resultado e o horário, identificados por códigos, sem o conteúdo. A trilha de cada escritório é dado do escritório e segue o Acordo de Tratamento de Dados. As ações da nossa equipe ficam também na trilha da plataforma.

Os registros técnicos do sistema, de erros e de desempenho, ficam 3 meses e não guardam o seu nome, o seu e-mail nem o conteúdo dos escritórios. As cópias de segurança do banco de dados ficam 7 dias. A base legal desses registros é o nosso legítimo interesse em manter o serviço seguro e disponível e prevenir fraudes (LGPD, art. 7º, IX), que é também um dever nosso (art. 46).

Quando o contrato de um escritório termina e os dados dele são eliminados, guardamos, como prova do serviço prestado, o registro dos pedidos de confirmação e dos avisos de falha que os Agentes enviaram ao escritório: a data, a hora, a Função, a resposta e quem respondeu, sem nomes de clientes, números de processo nem o teor das publicações. Ele fica 10 anos depois do fim do contrato, o prazo geral de prescrição do Código Civil (art. 205), com acesso restrito, e só é usado para defender os nossos direitos. A base legal é o exercício regular de direitos (LGPD, art. 7º, VI).

O site getstaffchain.com não usa cookies.

A área logada, em app.getstaffchain.com, usa só cookies próprios. Nenhum é de terceiros ou de publicidade:

Esses cookies são necessários ao serviço que você pediu, guardam uma preferência sua ou lembram, só neste navegador, quando foi a sua última visita, para mostrar o que mudou desde então. Nenhum deles mede audiência, forma perfil, serve à publicidade ou é lido por terceiros, e por isso não pedimos consentimento para eles. A base legal é o nosso legítimo interesse em prestar o serviço que você usa (LGPD, art. 7º, IX, e art. 10, I e II), que o Guia Orientativo sobre Cookies e Proteção de Dados Pessoais da ANPD indica para os cookies necessários. Você pode apagá-los no seu navegador, mas, sem o cookie de sessão, não é possível ficar conectado.

Hoje, nem o site nem a área logada usam ferramenta de medição de audiência ou de comportamento. Se passarmos a usar uma:

1. a)
   antes, atualizamos esta política com o nome da ferramenta, os dados que ela recebe, onde eles ficam e por quanto tempo;
2. b)
   configuramos a ferramenta para não registrar o seu nome, o seu e-mail, o escritório nem o que você escreve nos formulários, e para descartar o seu endereço IP;
3. c)
   se ela usar cookies ou outros identificadores guardados no navegador que não sejam necessários, só os usamos com o seu consentimento, pedido num aviso que permite recusar com a mesma facilidade de aceitar; e
4. d)
   damos preferência a uma ferramenta que guarde os dados no Brasil ou na União Europeia.

Não vendemos, alugamos nem cedemos dados pessoais, e não os usamos para publicidade, para formar perfis ou para treinar modelos de inteligência artificial. Nenhum dado desta política é enviado a modelo de IA.

Estes fornecedores tratam os dados desta política em nosso nome, apenas para o serviço que nos prestam:

Quando você fala conosco pelo WhatsApp, a conversa passa pelo WhatsApp, da Meta, conforme os termos e a política de privacidade do WhatsApp, que você aceitou ao usá-lo. As mensagens são protegidas por criptografia de ponta a ponta. Quando você entra com o Google, o Google segue a política de privacidade dele.

Também compartilhamos dados:

1. a)
   com o escritório a que você pertence: os sócios veem o nome, o e-mail e o papel de cada Usuário do escritório, e a trilha de auditoria dele;
2. b)
   com autoridades, quando a lei ou uma ordem judicial exigir, entregando só o estritamente exigido;
3. c)
   com os nossos advogados e auditores, sob sigilo, para defender os nossos direitos; e
4. d)
   com quem suceder a StaffChain numa reorganização societária, que passa a seguir esta política.

A plataforma, o banco de dados, os registros de acesso e o envio dos e-mails do serviço ficam no Brasil, na AWS, em São Paulo. Esta cláusula traz as informações do art. 17, § 2º, do Regulamento de Transferência Internacional de Dados (Resolução CD/ANPD nº 19/2024) sobre os dados desta política que saem do Brasil.

E-mails com a nossa equipe, no Google Workspace.

1. a)
   Como e para quê: os e-mails que você troca com a nossa equipe, e o aviso de cada contato do site, ficam na conta do Google Workspace da nossa empresa, para que possamos responder e manter o histórico do atendimento;
2. b)
   Para onde: os centros de dados do Google, em países das Américas, da Europa e da Ásia, que o Google escolhe;
3. c)
   Por quanto tempo: pelos prazos das cláusulas 2.5 e 5.2;
4. d)
   Garantia: as cláusulas-padrão contratuais aprovadas pela ANPD, que o Google incorpora ao seu Adendo de Tratamento de Dados, aplicável ao Google Workspace (LGPD, art. 33, II, "b").

Conversas pelo WhatsApp.

1. a)
   Como e para quê: quando você nos escreve pelo WhatsApp, pelo botão do site ou pelo número de suporte, as mensagens passam pelos servidores do WhatsApp, da Meta, com criptografia de ponta a ponta, até o aparelho da nossa equipe, para que possamos responder;
2. b)
   Para onde: os Estados Unidos e os outros países em que a Meta opera o WhatsApp;
3. c)
   Por quanto tempo: segundo o WhatsApp, os servidores dele guardam a mensagem só até entregá-la, ou por até 30 dias se ela não for entregue; no aparelho da nossa equipe, a conversa segue os prazos das cláusulas 2.5 e 5.2;
4. d)
   Garantia: quando você contrata em nome próprio, a transferência é necessária para responder ao pedido de contato ou de suporte que você fez pelo WhatsApp (LGPD, art. 33, IX, com o art. 7º, V). Quando você nos escreve em nome de um escritório, a garantia é o seu consentimento específico, dado ao escolher o WhatsApp depois do aviso de que a conversa passa por ele fora do Brasil: no site, ao lado do botão; no suporte, nesta cláusula (art. 33, VIII). Você pode retirá-lo a qualquer momento e seguir por e-mail (cláusula 11). O WhatsApp não oferece as cláusulas-padrão da ANPD, e os Estados Unidos não têm decisão de adequação.

A Amazon CloudFront entrega o site a partir do ponto de presença mais próximo de quem o visita, em geral no Brasil para quem está no Brasil. Os registros de acesso do site ficam em São Paulo.

Nas duas transferências, a StaffChain, como controladora, responde pelo tratamento, e o Google e a Meta respondem pelas obrigações que assumiram nos seus termos. As medidas de segurança estão na cláusula 10, e os seus direitos e o canal para exercê-los, na cláusula 11. A pedido, entregamos em até 15 dias a íntegra das cláusulas usadas numa transferência (Regulamento, art. 17).

Adotamos medidas técnicas e administrativas para proteger os dados desta política (LGPD, art. 46), entre elas:

1. a)
   hospedagem na AWS, em São Paulo, em rede privada, com o banco de dados sem acesso público;
2. b)
   criptografia em trânsito e em repouso, com as chaves e os segredos em cofre;
3. c)
   entrada sem senha, com os links de entrada guardados só como hash e os tokens do Google guardados cifrados;
4. d)
   acesso da nossa equipe por lista controlada, com segundo fator obrigatório, e cada ação registrada na trilha de auditoria;
5. e)
   separação dos dados de cada escritório no banco de dados, conferida por testes automáticos; e
6. f)
   revisão e testes automáticos antes de cada mudança chegar à produção.

Se um incidente de segurança puder causar risco ou dano relevante a você, comunicamos você e a ANPD em até 3 dias úteis do conhecimento dele (Resolução CD/ANPD nº 15/2024).

Você tem direito a (LGPD, arts. 18 e 20):

1. a)
   confirmar se tratamos dados seus e ter acesso a eles;
2. b)
   corrigir dados incompletos, inexatos ou desatualizados;
3. c)
   pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
4. d)
   pedir a portabilidade dos seus dados, na forma da regulamentação da ANPD;
5. e)
   pedir a eliminação dos dados tratados com o seu consentimento e revogar o consentimento, quando ele for a base legal;
6. f)
   saber com quem compartilhamos os seus dados;
7. g)
   saber quando pode deixar de dar o consentimento e o que acontece se não der;
8. h)
   opor-se a um tratamento feito com base no legítimo interesse, se ele não cumprir a LGPD; e
9. i)
   pedir a revisão de decisões tomadas só por meios automatizados que afetem os seus interesses. Com os dados desta política, não tomamos esse tipo de decisão.

Para exercer um direito, escreva ao encarregado, em luiz.antunes@centtral.com.br, de preferência do e-mail que usamos com você. Se precisarmos confirmar a sua identidade, pedimos só o necessário, como a confirmação de um link enviado a esse e-mail. O atendimento é gratuito.

Confirmamos se tratamos dados seus e damos acesso a eles em formato simplificado de imediato, e por declaração completa em até 15 dias do pedido (LGPD, art. 19). Os outros pedidos são respondidos em até 15 dias. Se não pudermos atender, dizemos o motivo.

Alguns dados precisam ser guardados mesmo depois de um pedido de eliminação, pelo prazo da lei (LGPD, art. 16), como os registros de acesso, os documentos fiscais, o registro do aceite e o da cláusula 6.5. Eliminar os dados da sua conta encerra o seu acesso à área logada.

Se você entender que não atendemos o seu pedido, pode peticionar à Agência Nacional de Proteção de Dados (ANPD), pelo site gov.br/anpd (LGPD, art. 18, § 1º).

Os pedidos sobre dados dos clientes dos escritórios seguem a cláusula 1.3.

O StaffChain é um serviço para escritórios de advocacia e não se destina a menores de 18 anos. Se soubermos que recebemos, pelos meios desta política, dados de alguém com menos de 18 anos, nós os apagamos, salvo obrigação legal.

Esta política tem número de versão e data, e cada nova versão traz o resumo das mudanças. Todas as versões ficam disponíveis em endereço permanente no site.

Mudanças relevantes, como uma nova finalidade, um novo tipo de dado, um novo fornecedor fora do Brasil ou o uso de cookies que dependam de consentimento, são publicadas com 30 dias de antecedência e avisadas aos Usuários e aos contatos dos escritórios por e-mail ou na área logada. Correções que não mudam o tratamento valem na publicação.

Se uma mudança depender do seu consentimento, pedimos o consentimento antes de aplicá-la.