Política de Privacidade

Versão 2026-09-18 · em vigor desde 18 de setembro de 2026

1. Quem trata os seus dados

A Spathi é operada por [razão social], inscrita no CNPJ sob o nº [CNPJ], com sede em [endereço], doravante "Spathi".

Encarregado pelo Tratamento de Dados Pessoais (DPO), nos termos do art. 41 da Lei 13.709/2018 (LGPD): [nome do encarregado], pelo e-mail privacidade@spathi.com.br.

2. Dois papéis diferentes

Esta política distingue duas situações, porque as responsabilidades são distintas:

• Dados da sua conta. Nome, e-mail, senha, nome do escritório e dados de cobrança. Aqui a Spathi é controladora: decide as finalidades do tratamento.
• Conteúdo que você envia. Contratos, documentos e consultas que o escritório submete à plataforma — que frequentemente contêm dados pessoais de clientes e terceiros. Aqui a Spathi é operadora: trata esses dados por conta e ordem do escritório, exclusivamente para executar a análise solicitada. A relação com o titular final continua sendo do escritório.

3. O que coletamos

• Cadastro: nome, e-mail, senha (armazenada apenas como hash, nunca em texto claro), nome do escritório e, opcionalmente, CNPJ ou CPF.
• Uso: registro das operações de inteligência artificial executadas (tipo, data e volume), para controle de limite do plano e faturamento.
• Segurança: endereço IP e identificação do navegador nos pedidos de acesso por link e nas redefinições de senha, para detectar uso indevido.
• Conteúdo enviado: arquivos de contrato, textos e termos de pesquisa submetidos por você.
• Pagamento: e-mail do pagador e os quatro últimos dígitos do cartão. O número completo do cartão nunca chega aos nossos servidores — ele é enviado diretamente ao provedor de pagamento pelo seu navegador, que nos devolve apenas um token de uso único.

4. Uso de inteligência artificial sobre o conteúdo enviado

Este é o ponto mais importante desta política, e por isso está em seção própria.

Para produzir a análise que você pede, o conteúdo do documento enviado é transmitido a um provedor de modelo de linguagem contratado pela Spathi, que atua como subprocessador. Isso significa que o texto do contrato sai da nossa infraestrutura e é processado por um terceiro.

• O envio acontece apenas quando você aciona uma análise. Documentos guardados e não analisados não são transmitidos.
• O provedor de modelo de linguagem opera servidores fora do território nacional. Trata-se de transferência internacional de dados, fundamentada nas cláusulas contratuais firmadas com o subprocessador e no cumprimento do contrato com você (art. 33 da LGPD).
• Exigimos contratualmente que o conteúdo enviado não seja utilizado para treinar modelos do provedor.
• Consultas a jurisprudência e a processos usam bases públicas oficiais (DataJud/CNJ e portais de tribunais). O que é enviado a essas bases é o termo de pesquisa, não o seu documento.

Responsabilidade do escritório: cabe a você avaliar, para cada documento, se o envio é compatível com o sigilo profissional e com as obrigações que você tem perante o seu cliente. A plataforma não decide o que pode ou não ser enviado.

5. Com quem compartilhamos

Somente com subprocessadores necessários à operação, e apenas no estritamente necessário:

• Provedor de modelo de linguagem — execução das análises de IA (fora do Brasil).
• Mercado Pago — processamento de pagamentos e assinaturas (Brasil).
• Provedor de envio de e-mail — mensagens transacionais: convites, links de acesso, redefinição de senha.
• Provedor de infraestrutura — hospedagem da aplicação e do banco de dados.

Não vendemos, alugamos nem cedemos dados pessoais a terceiros para fins publicitários.

6. Isolamento entre escritórios

Cada escritório é um espaço fechado. Contratos, análises, pesquisas e base de conhecimento de um escritório não são acessíveis a nenhum outro, e essa separação é aplicada na camada de consulta ao banco de dados, de modo que o comportamento padrão é negar o acesso e não concedê-lo.

7. Por quanto tempo guardamos

• Conteúdo enviado e análises: enquanto a conta estiver ativa, ou até que você os exclua.
• Dados de cadastro: enquanto a conta existir e por [prazo] após o encerramento, para cumprimento de obrigações legais.
• Registros de pagamento: pelo prazo exigido pela legislação fiscal.
• Registros de acesso: 6 meses, conforme o art. 15 do Marco Civil da Internet.

8. Seus direitos

A LGPD garante a você confirmação da existência de tratamento, acesso, correção, anonimização, portabilidade, eliminação e informação sobre compartilhamento. Para exercer qualquer um deles, escreva para privacidade@spathi.com.br. Responderemos em até 15 dias.

Se o pedido vier de um cliente do seu escritório sobre dados que você enviou à plataforma, nós o encaminharemos a você, que é quem controla esses dados.

9. Segurança

• Tráfego cifrado em trânsito (HTTPS).
• Senhas armazenadas como hash; chaves de API de terceiros armazenadas cifradas.
• Redefinição de senha encerra todas as sessões abertas e invalida links de acesso pendentes.
• Limitação de tentativas nas telas públicas de autenticação.

Nenhum sistema é inviolável. Em caso de incidente de segurança relevante, comunicaremos os titulares e a ANPD nos prazos da LGPD.

10. Alterações

Esta política pode ser revista. A versão vigente e sua data estão no topo desta página, e guardamos qual versão cada usuário aceitou no momento do cadastro. Mudanças materiais serão comunicadas por e-mail antes de entrarem em vigor.