Política de Privacidade e Termos de Uso

1. Identificação e alcance

​

Esta Política descreve como o ZFMLab trata dados pessoais relacionados ao acesso e à utilização de seus módulos. O ZFMLab é uma ferramenta de acesso controlado voltada ao estudo da Reforma Tributária e da Zona Franca de Manaus. O serviço não é destinado a menores de 18 anos.

 

​

2. Dados tratados

​

Conforme a forma de utilização, o ZFMLab pode tratar:

• Dados de identidade e conta: e-mail, identificador da conta no provedor de autenticação, provedor utilizado (Google ou Microsoft), nome e sobrenome quando disponibilizados pelo provedor, perfil, permissões, situação da conta e datas de acesso.

• Dados de autenticação e sessão: identificadores técnicos de sessão em formato hash, horários de autenticação, atividade, encerramento e expiração. Tokens e cookies dos provedores não são gravados no banco de dados do ZFMLab.

• Conteúdo de utilização: perguntas, histórico recente utilizado como contexto, respostas geradas, fontes apresentadas, modelo utilizado e metadados de consumo da consulta.

• Dados técnicos e de acesso: data e hora, módulo acessado, hash da sessão, hash e forma mascarada do endereço IP, cidade, região e país quando disponíveis, tipo de dispositivo, navegador e host. O endereço IP completo e o user agent original não são mantidos no registro de acessos.

• Registros de segurança e auditoria: eventos necessários para administrar permissões, investigar falhas, prevenir abuso e demonstrar operações relevantes realizadas no sistema.

O ZFMLab não vende dados pessoais e não utiliza os dados para publicidade comportamental.

 

​

3. Como os dados são obtidos

​

Os dados podem ser fornecidos diretamente pelo usuário, recebidos do Google ou da Microsoft durante a autenticação, gerados pela utilização do serviço ou obtidos dos cabeçalhos técnicos da conexão e da infraestrutura que disponibiliza a aplicação.

O login solicita apenas os escopos OpenID Connect necessários para identificar o usuário: openid, email e profile. O ZFMLab não solicita acesso ao Gmail, Google Drive, Google Calendar ou a arquivos e mensagens da conta Google.

O uso das informações recebidas das APIs do Google observará a Política de Dados do Usuário dos Serviços de API do Google, inclusive os requisitos de uso limitado aplicáveis.

 

​

4. Finalidades e bases legais

​

Os dados são tratados para:

• autenticar o usuário e verificar se seu e-mail, provedor, perfil e módulos estão autorizados;

• prestar as funcionalidades solicitadas, manter o histórico de conversas e apresentar resultados e fontes;

• manter a segurança, controlar sessões, prevenir fraude e uso indevido, solucionar falhas e preservar a integridade do serviço;

• gerar métricas operacionais agregadas sobre uso, desempenho e origem geral dos acessos;

• atender solicitações do titular, obrigações legais ou regulatórias e o exercício regular de direitos.

Conforme a finalidade e o contexto, o tratamento poderá se apoiar na execução de contrato ou de procedimentos relacionados ao serviço, no legítimo interesse de operar e proteger a aplicação, no cumprimento de obrigação legal ou regulatória e no exercício regular de direitos, sempre observados os princípios de finalidade, adequação, necessidade e transparência da Lei nº 13.709/2018 (LGPD).

​

​

5. Inteligência artificial e fornecedores

​

No módulo ZFMLab Legislação, a pergunta, até seis mensagens recentes de contexto e trechos do acervo recuperados pelo sistema são enviados à API da OpenAI para gerar a resposta. Antes da recuperação, a pergunta é enviada a um modelo planejador para ser organizada em consultas documentais e, em seguida, à API de embeddings para localizar os trechos mais relevantes. O e-mail não é enviado em texto aberto à OpenAI; o sistema usa um identificador derivado por hash para fins de segurança.

Para diagnóstico operacional, o terminal do servidor exibe a pergunta inicial, as consultas documentais derivadas e contagens de blocos e PDFs recuperados. Esses registros de terminal não incluem o e-mail do usuário nem o conteúdo integral dos documentos recuperados.

As chamadas de geração são configuradas para não manter estado da resposta na API (store=false). Ainda assim, a OpenAI pode manter registros de monitoramento de abuso conforme seus termos e controles de retenção. Dados enviados à API não são utilizados para treinar ou aprimorar modelos da OpenAI, salvo adesão expressa do responsável pela conta da API. Consulte os controles de dados da API da OpenAI.

O ZFMLab também depende de fornecedores de infraestrutura, incluindo Google e Microsoft para autenticação e ngrok para disponibilização segura da aplicação. Esses fornecedores podem tratar dados técnicos segundo seus próprios termos e políticas. Quando houver tratamento fora do Brasil, serão observadas as salvaguardas aplicáveis à transferência internacional de dados.

O usuário não deve inserir nas perguntas segredos comerciais, credenciais, dados pessoais sensíveis ou informações confidenciais de terceiros que não esteja autorizado a tratar.

​

​

6. Geolocalização e registros de acesso

​

A localização aproximada pode ser recebida da infraestrutura de rede ou derivada localmente a partir do IP. Por padrão, a geolocalização utiliza cabeçalhos do proxy ou uma base local, sem enviar o IP a um serviço externo de geolocalização. Se a consulta on-line for futuramente habilitada, o IP poderá ser encaminhado ao fornecedor informado nesta Política antes da ativação desse recurso.

Os registros técnicos de acesso são mantidos por 90 dias e eliminados automaticamente. Eles não contêm e-mail nem identificador interno de usuário.

 

 

7. Retenção e exclusão

​

• Dados da conta, permissões, identidades vinculadas, conversas e mensagens são mantidos enquanto a conta estiver ativa ou enquanto necessários para as finalidades descritas.

• Usuários externos comuns podem usar a opção Excluir minha conta e meus dados dentro do sistema. A operação remove e-mail, perfil, identidades, permissões, conversas e mensagens vinculadas.

• Administradores externos devem solicitar previamente a alteração do perfil para concluir a exclusão pelo fluxo de autoatendimento.

• Eventos de auditoria estritamente operacionais podem ser preservados sem vínculo com a identidade, pelo período necessário à segurança e ao exercício regular de direitos.

• Cópias de segurança podem conter dados anteriores à exclusão durante seu ciclo técnico de retenção. O acesso a essas cópias é restrito e, em caso de restauração, as exclusões ocorridas depois da data da cópia devem ser reaplicadas antes da liberação do sistema.

A exclusão no ZFMLab não exclui a conta Google ou Microsoft do usuário.

 

 

8. Cookies e tecnologias semelhantes

​

O serviço utiliza cookies e mecanismos de armazenamento estritamente necessários para autenticação, segurança e manutenção da sessão. Não são usados cookies próprios para publicidade comportamental. Os provedores de autenticação e infraestrutura podem utilizar seus próprios cookies conforme suas políticas.

 

 

9. Segurança

​

São adotadas medidas técnicas e administrativas proporcionais ao serviço, incluindo controle de acesso por lista autorizada, separação de permissões, expiração de sessão, armazenamento de segredos fora do código versionado, registro de eventos e redução ou pseudonimização de dados técnicos. Nenhum sistema é totalmente imune a incidentes; ocorrências relevantes serão tratadas de acordo com a legislação aplicável.

 

 

10. Direitos do titular

​

Nos termos da LGPD, o titular pode solicitar, conforme aplicável:

• confirmação e acesso aos dados;

• correção de dados incompletos, inexatos ou desatualizados;

• informação sobre compartilhamentos e finalidades;

• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;

• portabilidade, quando regulamentada e tecnicamente aplicável;

• eliminação de dados tratados com base em consentimento e revogação do consentimento, quando essa for a base utilizada;

• oposição a tratamento irregular e revisão de decisões automatizadas que afetem seus interesses.

O controle automático de acesso considera e-mail, provedor, perfil e permissões previamente definidos por um administrador. O usuário pode solicitar revisão desse bloqueio. As respostas produzidas por inteligência artificial não são utilizadas pelo ZFMLab para tomar decisões sobre direitos do usuário. Poderá ser necessário confirmar a identidade do solicitante para proteger seus dados.

 

 

11. Alterações desta Política

Esta Política poderá ser atualizada para refletir mudanças legais, técnicas ou operacionais. A data da versão vigente será informada no início da página. Alterações relevantes serão comunicadas por meio adequado.