Política de privacidade

Versão 1.3, em vigor desde 26/10/2026.

1. Quem trata os seus dados

A plataforma Direitivo é operada por JR PAR LTDA, inscrita no CNPJ sob o número 66.616.999/0001-06, com sede em Rua Arthur Lima de Azevedo, 828, Planalto, Belo Horizonte/MG, CEP 31720-480. Neste documento, chamamos essa empresa de Direitivo, plataforma ou nós.

O Direitivo atende dois tipos de pessoa. O advogado ou escritório, que contrata a plataforma para gerir o próprio trabalho, e o cliente do escritório, que recebe um acesso do advogado para acompanhar o caso dele. As duas relações aparecem separadas ao longo deste texto porque os papéis de proteção de dados são diferentes em cada uma.

2. Papéis de controlador e de operador

A divisão de papéis importa porque define a quem pedir o quê.

• Somos controladores dos dados de cadastro e de uso das contas: nome, e-mail, telefone, inscrição profissional, dados de acesso, registros de login, preferências e dados de cobrança da assinatura.
• Somos operadores dos dados que o escritório insere ou coleta na plataforma sobre os casos dele: dados dos clientes do escritório, processos, documentos, honorários e comunicações. Quem decide o que fazer com esses dados é o escritório, na qualidade de controlador, e nós os tratamos seguindo as instruções dele e este documento.
• Somos controladores da conta do cliente do escritório apenas no que toca ao acesso à plataforma: identificação para login, registros de segurança e avisos do sistema. O conteúdo do caso continua sob responsabilidade do escritório.

Se você é cliente de um escritório e quer corrigir ou apagar informação do seu caso, o caminho mais curto é falar com o escritório responsável. Nós ajudamos o escritório a atender esse pedido, e podemos receber o pedido diretamente quando o escritório não responder.

3. Quais dados tratamos

Coletamos o mínimo necessário para a plataforma funcionar. Em resumo:

• Cadastro do advogado ou escritório: nome, e-mail, telefone, senha (guardada de forma cifrada e irreversível pelo serviço de autenticação), inscrição profissional, dados do escritório, foto de perfil quando enviada, e papéis de acesso da equipe.
• Dados de clientes do escritório, inseridos pelo escritório: nome, CPF ou CNPJ, contatos, endereço, vínculo com os casos e histórico de atendimento. CPF e CNPJ ficam cifrados no banco de dados e aparecem com máscara nas listas.
• Dados processuais: número do processo, partes, classe, assunto, órgão julgador, valor da causa, movimentações e comunicações oficiais. Esses dados vêm de fontes públicas do Poder Judiciário e do que o escritório cadastra.
• Documentos: arquivos gerados na plataforma ou enviados pelo escritório, guardados em área privada e acessíveis por endereço temporário.
• Financeiro: contratos de honorários, parcelas, lançamentos e custas do escritório. A plataforma não armazena dados de cartão de crédito.
• Comunicações: mensagens de e-mail nas caixas do domínio hospedadas na plataforma, avisos enviados e mensagens trocadas com o nosso suporte.
• Dados técnicos e de segurança: endereço IP, data e hora dos acessos, identificação do dispositivo e do navegador, e registro de eventos relevantes de segurança, como tentativa de login recusada.
• Neste site: não há cadastro de conta aqui. O que é essencial fica sempre ligado; com o seu aceite, o site usa o Google Analytics, sem anúncios; sem cookie e sem identificar ninguém, ele conta as visitas de cada página (veja a seção 11 e a Política de cookies). O formulário de contato envia a sua mensagem ao Direitivo; o e-mail fica só como reserva, se o envio falhar. Quem assina a newsletter informa o e-mail, que recebe um pedido de confirmação antes da primeira edição e pode sair a qualquer momento pelo link no rodapé de cada mensagem. Quem consulta se um e-mail apareceu em vazamento informa o e-mail só para essa consulta, que segue a regra da seção 9: o LeakCheck recebe apenas uma versão codificada dele, e nada fica guardado conosco, nem o e-mail, nem o resultado.

4. Dados de processos são dados pessoais

Um processo pode ser público sem que as informações sobre as pessoas nele deixem de ser dados pessoais. Por isso tratamos dado processual com o mesmo cuidado dos demais: coleta mínima, acesso restrito a quem tem vínculo com o caso, retenção limitada e nenhuma exposição em superfície pública.

Processo em segredo de justiça (aquele que a lei manda correr fora da vista do público, na forma do artigo 189 do Código de Processo Civil) recebe tratamento reforçado: fica segregado, é acessível apenas a quem tem vínculo de representação, nunca é indexado por buscador e nunca aparece neste site.

Dados sensíveis (artigo 11 da LGPD), como informação de saúde em ação previdenciária ou dados que revelem convicção religiosa ou filiação sindical, podem aparecer dentro de peças e documentos do caso. Nós não usamos esse conteúdo para nenhuma finalidade própria: ele existe na plataforma porque o escritório precisa dele para exercer o mandato, e é tratado para o exercício regular de direitos em processo, na forma da lei.

5. Para que usamos, e com qual base legal

Cada finalidade tem uma base legal declarada, como manda o artigo 7 da LGPD:

• Criar e manter a conta, prestar o serviço contratado e cobrar por ele: execução de contrato (artigo 7, inciso V).
• Acompanhar processos e gerar avisos e prazos a partir das fontes oficiais: execução de contrato com o escritório e exercício regular de direitos em processo (artigo 7, incisos V e VI).
• Enviar avisos operacionais, como movimentação de processo, lembrete de prazo, documento disponível e cobrança: execução de contrato (artigo 7, inciso V).
• Manter a segurança, prevenir fraude e investigar incidente, inclusive com registro de login e trilha de auditoria: legítimo interesse (artigo 7, inciso IX) e cumprimento de obrigação legal (artigo 7, inciso II).
• Melhorar o produto, com métricas de uso agregadas e sem leitura de conteúdo de caso: legítimo interesse (artigo 7, inciso IX).
• Cumprir obrigação legal, contábil e fiscal, e atender autoridade competente: cumprimento de obrigação legal (artigo 7, inciso II).
• Enviar comunicação de marketing, como novidades do produto para quem não é cliente: consentimento (artigo 7, inciso I), com descadastramento em todo envio.

Quando a base é legítimo interesse, avaliamos antes se a finalidade é legítima, se o tratamento é necessário e se as suas expectativas foram respeitadas. Você pode se opor a esse tratamento pelos canais desta política.

6. Com quem compartilhamos

Não vendemos dados pessoais e não os cedemos para publicidade de terceiros. Compartilhamos apenas o necessário, e apenas com:

• Prestadores de infraestrutura e software que operam por nossa conta, sob contrato e dever de confidencialidade. A hospedagem e o banco de dados ficam na Amazon Web Services, na região de São Paulo.
• Serviços de envio e recebimento de e-mail, usados para as mensagens do domínio e para os avisos da plataforma.
• Fontes oficiais do Poder Judiciário, para consulta de dados processuais. Nesse caso o fluxo é de entrada: consultamos, não publicamos dado seu em tribunal.
• Serviços de verificação de vazamento, usados só para proteger a conta: o Have I Been Pwned, que recebe um pedaço de um código derivado da senha (nunca a senha), e o LeakCheck, que recebe uma versão codificada do e-mail, e só quando a pessoa pede a conferência. Os detalhes estão na seção 9.
• Meios de pagamento, quando a cobrança de assinatura estiver ativa, para processar a transação. Os dados do cartão ficam com o meio de pagamento, não conosco.
• Canal do YouTube do escritório. Quando a conta titular conecta o canal do YouTube do escritório, o Direitivo usa os serviços de API do YouTube para enviar ao canal, a pedido dela, os vídeos gravados no Estúdio e as legendas, sempre como privados. Guardamos, cifrados, a chave de envio concedida pelo Google, além do nome e do identificador do canal, de quem conectou, de quando e da versão do termo aceito; não acessamos inscritos, comentários nem estatísticas. A chave é apagada quando o canal é desconectado e quando a conta do escritório é encerrada (nos dois casos, pedimos ao Google que a cancele), e em até 7 dias depois de o acesso ser retirado na conta do Google (myaccount.google.com/permissions). O registro de cada envio (quem enviou, qual vídeo, quando e para qual canal) fica na trilha de auditoria, sem a chave. O uso desses serviços segue os Termos de Serviço do YouTube (youtube.com/t/terms) e a Política de Privacidade do Google (policies.google.com/privacy).
• Autoridades públicas, quando houver ordem judicial ou obrigação legal, sempre pelo mínimo necessário e com registro do pedido.

O escritório, na condição de controlador dos dados dos casos dele, pode compartilhar informação com quem ele decidir, dentro das obrigações profissionais do advogado. Essa decisão é dele, não nossa.

7. Onde os dados ficam

O armazenamento principal fica no Brasil, na região de São Paulo do nosso provedor de nuvem.

Duas funções operam fora do país por limitação técnica do provedor: o recebimento de e-mail do domínio e a rede de distribuição de conteúdo que serve o site e o aplicativo, ambos com componentes na região Norte da Virgínia, nos Estados Unidos. Nesses casos a transferência internacional se apoia em cláusulas contratuais com o provedor e no cumprimento das exigências do artigo 33 da LGPD.

Duas conferências de segurança usam serviços fora do país. A de senha vazada consulta o Have I Been Pwned, nos Estados Unidos, a partir do próprio navegador, que por isso vê o endereço IP do aparelho, como qualquer site visitado; ele recebe só os cinco primeiros caracteres de um código derivado da senha. A de e-mail em vazamento, opcional, consulta o LeakCheck, no Reino Unido, com uma versão codificada do e-mail. Nas duas, a transferência se limita ao necessário para a conferência (artigo 33 da LGPD) e nada do que é consultado fica guardado conosco.

8. Por quanto tempo guardamos

Guardamos cada dado pelo tempo necessário à finalidade que o justificou, e depois eliminamos ou anonimizamos:

• Dados de conta e de uso: enquanto a conta existir. Encerrada a conta, os dados ficam disponíveis para exportação por 30 dias e depois são eliminados, salvo o que a lei mandar guardar.
• Dados de casos e documentos do escritório: enquanto durar o contrato com o escritório, e depois pelo prazo que ele determinar como controlador, respeitados os prazos de guarda profissional.
• Registros de acesso e de segurança: 180 dias, prazo compatível com o artigo 15 do Marco Civil da Internet, que exige a guarda mínima de 6 meses dos registros de acesso a aplicação.
• Registros fiscais e contábeis: pelos prazos da legislação aplicável.
• E-mail da newsletter: enquanto durar a assinatura. Se você sair, guardamos só o registro da assinatura e da saída (o e-mail, as datas e o pedido de inscrição), para não voltar a enviar.
• Cópias de segurança: as rotinas de backup podem reter dado por até 90 dias após a exclusão, e o dado ali não é usado para nenhuma finalidade além de restauração.

9. Como protegemos

Segurança não é promessa vaga, é prática registrada. O que fazemos hoje:

• Tráfego cifrado de ponta a ponta (HTTPS obrigatório em todo acesso).
• Dados cifrados em repouso no banco e nos arquivos, e CPF e CNPJ com camada extra de criptografia por chave gerenciada, atrelada ao escritório dono do registro.
• Autenticação com serviço dedicado, senha nunca guardada em texto claro, e registro de tentativas de acesso.
• Isolamento por escritório em todas as consultas, com verificação de vínculo a cada requisição.
• Papéis de acesso na equipe do escritório, para que cada pessoa veja apenas o que precisa.
• Documentos servidos por endereço temporário de curta duração, nunca por link público permanente.
• Trilha de auditoria dos eventos sensíveis e alertas de segurança para o titular da conta.
• Ao criar ou trocar a senha, conferimos se ela já apareceu em vazamento conhecido sem que ela saia do seu aparelho: o navegador calcula um código da senha (o resumo SHA-1) e envia ao Have I Been Pwned só os cinco primeiros caracteres dele; o serviço devolve uma lista de códigos parecidos e a comparação acontece no próprio aparelho. Senha encontrada gera um aviso, não um bloqueio.
• No cadastro, quem quiser pode conferir, com um toque, se o próprio e-mail apareceu em vazamento conhecido. A consulta envia ao LeakCheck uma versão codificada do e-mail (parte do resumo SHA-256), e só depois que a pessoa lê esse aviso e confirma. Nada fica guardado conosco: nem o e-mail, nem o resultado.
• Para avisar sobre acesso estranho à conta, podemos estimar a cidade aproximada de cada acesso a partir do endereço IP, com uma base de localização (DB-IP) que fica dentro da nossa nuvem: o endereço IP não é enviado a ninguém para isso. A localização é aproximada, aparece só para a própria pessoa, em Meus acessos, e só funciona quando a função está ligada.

Se ocorrer incidente de segurança com risco relevante, comunicamos os titulares afetados e a Autoridade Nacional de Proteção de Dados em prazo razoável, com o que se sabe, o que foi feito e o que recomendamos.

10. Inteligência artificial

A plataforma oferece funções de assistente. Quando você usa uma delas, o conteúdo necessário para a resposta é enviado ao fornecedor do modelo, sob contrato de confidencialidade e sem autorização para treinar modelo de terceiro com o seu conteúdo.

Nenhuma função de assistente decide sozinha algo com efeito jurídico. A revisão e a decisão continuam com a pessoa responsável, e você pode pedir revisão humana de qualquer resultado, na forma do artigo 20 da LGPD.

11. Cookies e medição de audiência

O que é essencial fica sempre ligado, no site e no aplicativo: a sessão, o tema, as preferências de exibição e a sua escolha sobre cookies. Sem isso o aplicativo não mantém você conectado nem lembra o que você decidiu.

A medição de uso depende do seu aceite. Com ele, usamos a nossa própria medição e o Google Analytics, configurado sem anúncios e sem os sinais do Google para publicidade. Sem o aceite, nada disso é carregado, e recusar não tira nenhuma funcionalidade.

Sem cookie e sem identificar ninguém, o site conta quantas vezes cada página é aberta. Essa contagem não depende do aceite.

A escolha vale para o site e para o aplicativo e muda quando você quiser, em Preferências de cookies, no rodapé do site, ou em Conta, no aplicativo. A lista de cada cookie, com quem grava, a finalidade e a validade, está na Política de cookies.

12. Seus direitos

O artigo 18 da LGPD garante a você, a qualquer momento e sem custo:

• Confirmação de que tratamos seus dados, e acesso a eles.
• Correção de dado incompleto, inexato ou desatualizado.
• Anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado fora da lei.
• Portabilidade dos seus dados a outro fornecedor, mediante requisição expressa.
• Eliminação dos dados tratados com base no seu consentimento.
• Informação sobre com quem compartilhamos seus dados.
• Informação sobre a possibilidade de não consentir, e as consequências disso.
• Revogação do consentimento, e oposição a tratamento feito com base em legítimo interesse.
• Revisão de decisão tomada apenas por meio automatizado.

Para exercer qualquer um deles, escreva para privacidade@direitivo.com.br. Respondemos em até 15 dias. Podemos pedir informação adicional para confirmar a sua identidade, porque entregar dado à pessoa errada também é violar a lei. Quando o pedido for sobre dado de um caso, ele é encaminhado ao escritório controlador, e avisamos você disso.

13. Crianças e adolescentes

A plataforma não é destinada a menores de 18 anos. Dados de criança ou adolescente podem aparecer dentro de um caso, por exemplo em ação de alimentos ou de guarda, tratados no melhor interesse da pessoa e apenas para o exercício do mandato pelo escritório, na forma do artigo 14 da LGPD.

14. Encarregado pelo tratamento de dados

Nosso encarregado (a pessoa que atende titulares e a autoridade, conhecida também como DPO) é José dos Reis Rodrigues, que você alcança em privacidade@direitivo.com.br.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados, pelos canais oficiais dela.

15. Mudanças nesta política

Quando esta política mudar, publicamos a nova versão nesta página, com número de versão e data de vigência. Mudança relevante é avisada dentro da plataforma e por e-mail, com pelo menos 15 dias de antecedência, salvo quando a alteração decorrer de exigência legal imediata.

Versões anteriores ficam disponíveis mediante pedido em privacidade@direitivo.com.br.

16. Documentos relacionados

Veja também os termos de uso e a página sobre o Direitivo.