Acordo de Tratamento de Dados

Este Acordo de Tratamento de Dados (“Acordo”) é celebrado entre:

• Responsável pelo tratamento (“Cliente”): o utilizador profissional — pessoa singular ou colectiva — que submete documentos ao LexVeritas no âmbito da sua actividade, incluindo os escritórios e instituições titulares de planos Escritório ou Institucional;
• Subcontratante (“LexVeritas”): Tony de Almeida da Costa Branco, em nome individual, NIF 235 938 882, Rua da Alembrança, Feijó, 2810-005 Almada, Portugal, que explora a plataforma LexVeritas.

O Acordo aplica-se aos dados pessoais contidos nos documentos e textos que o Cliente submete para análise (“Dados do Cliente”). Faz parte dos Termos de Serviço e é aceite com eles; prevalece sobre os Termos em matéria de protecção de dados. Os dados da conta do utilizador (registo, autenticação, histórico) são tratados pelo LexVeritas como responsável, nos termos da Política de Privacidade.

• Objecto e finalidade: análise forense do documento submetido — detecção de padrões associados a texto gerado por IA, verificação das fontes citadas, análise de integridade (prompt injection) e, no modo Recurso, identificação de fundamentos e proposta de minuta.
• Natureza: recepção do texto, extraído dos ficheiros PDF e Word no navegador do Cliente (na Análise de Integridade, o próprio ficheiro é enviado e analisado em memória no servidor), envio do texto ao modelo de IA, pesquisa das referências públicas citadas nas fontes oficiais, devolução do resultado ao Cliente e descarte do texto.
• Duração: o texto do documento é tratado apenas durante a análise, em memória, e não é guardado pelo LexVeritas. O resultado (veredicto, indicadores, citações sinalizadas e explicações, sem as frases do documento) fica no histórico da conta até o Cliente o apagar ou encerrar a conta.

• Tipos de dados: os que constem dos documentos submetidos — em regra nomes, números de identificação, moradas, factos e circunstâncias processuais. Podem incluir categorias especiais de dados (artigo 9.º do RGPD) e dados relativos a condenações penais e infracções (artigo 10.º), se o Cliente os submeter.
• Titulares: partes, arguidos, ofendidos, testemunhas, peritos, magistrados, mandatários e outros terceiros mencionados nos documentos.

Cabe ao Cliente assegurar que tem fundamento de licitude para submeter os Dados do Cliente e avaliar a compatibilidade dessa submissão com o sigilo profissional e o segredo de justiça. O LexVeritas recomenda a anonimização prévia dos documentos.

Nos termos do artigo 28.º, n.º 3, do RGPD, o LexVeritas compromete-se a:

• a) Instruções: tratar os Dados do Cliente apenas mediante as instruções documentadas do Cliente — os Termos, este Acordo e a utilização da plataforma —, incluindo quanto a transferências para países terceiros, salvo obrigação legal, de que informará previamente o Cliente se a lei o permitir. Informará o Cliente se considerar que uma instrução viola o RGPD;
• b) Confidencialidade: garantir que as pessoas autorizadas a tratar os Dados do Cliente assumiram um compromisso de confidencialidade ou estão sujeitas a obrigação legal de confidencialidade;
• c) Segurança: aplicar as medidas técnicas e organizativas do artigo 32.º do RGPD, descritas no Anexo;
• d) Subcontratantes ulteriores: respeitar as condições da secção 05;
• e) Direitos dos titulares: prestar assistência ao Cliente, na medida do possível, para responder a pedidos de exercício de direitos (artigos 12.º a 22.º). Como o texto dos documentos não é guardado, um pedido relativo a um documento já analisado incide, em regra, apenas sobre o resultado no histórico do Cliente, que este pode apagar directamente;
• f) Segurança, violações e avaliações de impacto: prestar assistência ao Cliente no cumprimento dos artigos 32.º a 36.º, incluindo a notificação de violações prevista na secção 07 e a informação necessária a avaliações de impacto;
• g) Fim do tratamento: apagar os Dados do Cliente no termo da prestação, nos termos da secção 08;
• h) Demonstração do cumprimento: disponibilizar ao Cliente a informação necessária para demonstrar o cumprimento deste Acordo e permitir auditorias, nos termos da secção 09.

O LexVeritas não utiliza os Dados do Cliente para treinar modelos de IA, para publicidade, para criação de perfis nem para qualquer finalidade própria.

O Cliente dá autorização geral ao recurso aos seguintes subcontratantes ulteriores:

• Amazon Web Services EMEA SARL (Luxemburgo) — Amazon Bedrock, modelos Claude, da Anthropic: análise do texto por IA. Processamento exclusivamente em regiões da AWS na União Europeia (entrada em Paris), com a conta configurada em retenção zero: nenhum pedido ou resposta é guardado, os textos não são usados para treino e a Anthropic não lhes tem acesso. Rege-se pelo Aditamento de Tratamento de Dados da AWS.
• Vercel Inc. (EUA) — alojamento da aplicação e execução das funções de servidor, na região de Paris (cdg1). O texto transita em memória durante a análise e não é guardado. Rege-se pelo acordo de tratamento de dados da Vercel.
• Supabase — base de dados e autenticação, na região eu-west-1 (Irlanda). Guarda o resultado das análises no histórico do Cliente, nunca o texto do documento.
• Contingência — Anthropic, PBC (EUA): apenas em caso de indisponibilidade prolongada do Amazon Bedrock, a análise pode ser assegurada temporariamente pela API da Anthropic, ao abrigo das Cláusulas Contratuais-Tipo do seu acordo de tratamento de dados; nesse cenário, a Anthropic elimina os pedidos no prazo de 30 dias, salvo retenção exigida por lei ou sinalização pelos seus sistemas de segurança (até 2 anos). O LexVeritas informa os Clientes se este cenário for activado.

A verificação de citações consulta fontes públicas (DGSI (tribunais judiciais e administrativos), Diário da República, Tribunal Constitucional, Tribunal de Contas, CAAD, Serviço das Publicações e EUR-Lex da União Europeia, TEDH (HUDOC), catálogo da Biblioteca Nacional e repositórios académicos (RCAAP), e a Brave Search API) apenas com as referências jurídicas públicas citadas no documento — números de acórdãos, diplomas e obras —, nunca com o texto ou com dados pessoais; estas consultas não constituem tratamento de Dados do Cliente.

O LexVeritas impõe a cada subcontratante ulterior obrigações de protecção de dados equivalentes às deste Acordo e responde perante o Cliente pelo seu cumprimento (artigo 28.º, n.º 4). Qualquer novo subcontratante ulterior, ou a substituição de um existente, é comunicado com pelo menos 30 dias de antecedência, por email e nesta página; o Cliente pode opor-se com fundamento razoável e, não havendo alternativa, resolver o contrato sem custos.

A análise por IA decorre na União Europeia e o texto dos documentos não é transferido para países terceiros. Na medida em que algum subcontratante ulterior com sede fora do Espaço Económico Europeu aceda a Dados do Cliente — nomeadamente para suporte técnico —, esse acesso fica sujeito às Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia (artigo 46.º, n.º 2, alínea c), do RGPD) incluídas nos respectivos acordos de tratamento de dados ou a outra garantia adequada prevista no Capítulo V do RGPD.

O LexVeritas notifica o Cliente, sem demora injustificada e, sempre que possível, no prazo de 48 horas após ter conhecimento de uma violação de dados pessoais que afecte os Dados do Cliente, com a informação de que disponha para o Cliente cumprir os artigos 33.º e 34.º do RGPD: natureza da violação, categorias e número aproximado de titulares e registos, consequências prováveis e medidas tomadas ou propostas.

O texto dos documentos não é conservado após cada análise. Os resultados no histórico são eliminados de imediato quando o Cliente os apaga ou encerra a conta em Perfil → Encerrar conta; num pedido feito pelo formulário de contacto, no prazo máximo de 30 dias. Antes de encerrar a conta, o Cliente pode exportar os relatórios em PDF ou Word.

O LexVeritas responde aos pedidos de informação do Cliente sobre o cumprimento deste Acordo e disponibiliza, a pedido, a documentação de suporte, incluindo a avaliação de impacto das transferências e a documentação dos subcontratantes ulteriores. O Cliente, ou um auditor por ele mandatado e vinculado a confidencialidade, pode realizar uma auditoria por ano, com pré-aviso mínimo de 30 dias, preferencialmente documental, a seu cargo e sem perturbar o serviço; fora deste limite, quando a lei ou uma autoridade de controlo o exija.

Este Acordo vigora enquanto o LexVeritas tratar Dados do Cliente. As alterações são publicadas nesta página e, se forem relevantes, comunicadas por email com pelo menos 30 dias de antecedência. Rege-se pela lei portuguesa e pelo RGPD. Escritórios e instituições podem pedir uma versão assinada através do formulário de contacto.

• Minimização: o texto dos documentos é tratado em memória e descartado após a análise; o histórico guarda o resultado, sem as frases do documento.
• Localização: análise por IA em regiões da AWS na União Europeia; funções de servidor em Paris; base de dados na Irlanda.
• Retenção zero no fornecedor de IA: conta AWS configurada no modo de retenção none, que bloqueia modelos que exijam retenção; registo de invocações do modelo desligado.
• Cifragem: comunicações cifradas (HTTPS/TLS, com HSTS); dados da base de dados cifrados em repouso pelo fornecedor; passwords guardadas apenas como hash.
• Controlo de acessos: cada utilizador só acede ao seu próprio histórico (políticas de segurança ao nível das linhas na base de dados); credenciais de serviço guardadas apenas como variáveis secretas de ambiente; acesso ao modelo de IA por um utilizador técnico com permissão mínima (só invocação dos modelos); autenticação multifactor na conta da AWS.
• Protecção da aplicação: política de segurança de conteúdos (CSP), protecção do registo contra robôs e limites de utilização por conta.
• Pessoal: o acesso de administração está limitado ao fundador, sujeito a dever de confidencialidade.