Política de Privacidade — JurisTools

Versão 2.1 — em vigor desde 16 de setembro de 2026.

Esta Política explica como o JurisTools trata dados pessoais, conforme a Lei nº 13.709/2018 (LGPD). Ela é escrita para quem usa o produto: o advogado e o escritório de advocacia.

1. Quem é o controlador

O JurisTools é um produto da JURISLABS LTDA, CNPJ 68.799.061/0001-02, com sede na Rua Pedro Nolasco, 63-A, Sala 106, Centro, Coronel Fabriciano/MG, CEP 35.170-300.

Fale conosco sobre qualquer assunto de proteção de dados pelo canal contato@jurislabs.com.br. É o mesmo endereço do Encarregado (seção 15).

2. Os dois chapéus: quando somos controladores e quando somos operadores

O JurisTools trata dois conjuntos de dados muito diferentes, e o papel da JurisLabs muda conforme o conjunto. Entender essa divisão é o que explica o resto da Política.

Dados do advogado e do escritório. Cadastro, número da OAB, equipe, cobrança da assinatura e registros de uso. Aqui a JurisLabs é a controladora: nós decidimos a finalidade e os meios desse tratamento. Esta Política rege essa parte, e o titular fala diretamente conosco.

Dados dos clientes do escritório. Tudo que o advogado insere ou coleta pela plataforma sobre as pessoas que representa: qualificação, documentos, processos, intimações, prazos e peças. Aqui o escritório é o controlador e a JurisLabs é a operadora. Tratamos esses dados apenas para o software funcionar, seguindo a instrução do escritório. Quem decide a finalidade, a base legal e o tempo de guarda é o escritório.

Se você é cliente de um escritório e quer exercer direitos sobre seus dados, o ponto de contato é o seu advogado. Nós o auxiliamos, mas não podemos responder no lugar dele nem acessar a relação de vocês.

Ser operadora não nos isenta. O art. 42, § 1º, I, da LGPD é claro: o operador responde solidariamente com o controlador quando descumpre a lei ou quando não segue as instruções lícitas do controlador. Assumimos essa responsabilidade. Nada nesta Política deve ser lido como tentativa de afastá-la.

3. Definições

4. Dados que tratamos

4.1. Dados do advogado e do escritório — JurisLabs como controladora

O checkout acontece antes da conta e antes da cobrança. Em /assinar a contratação é feita sem ter conta no JurisTools: nome, e-mail, telefone e número da OAB são gravados no momento em que você pede o link de pagamento, portanto antes de existir assinatura, escritório ou cobrança. Isso vale também para quem desiste no meio do caminho: o registro nasce da tentativa, não do pagamento, e continua existindo ainda que o pagamento nunca seja concluído. A seção 11 diz por quanto tempo ele fica e o que acontece depois. O CPF ou o CNPJ do pagador não é guardado nesse registro: vai apenas para o cadastro de cobrança no Asaas, que precisa dele para emitir a cobrança.

4.2. Dados dos clientes do escritório — JurisLabs como operadora

Esses dados podem estar cobertos pelo sigilo profissional da advocacia e podem conter dado sensível. As seções 6 e 7 tratam disso.

5. Para que tratamos cada dado

Nas linhas em que o escritório é o controlador, a base legal é escolhida por ele perante o cliente dele. Na advocacia, a hipótese costuma ser o exercício regular de direitos em processo judicial, administrativo ou arbitral, ou a execução do contrato de honorários. Nós não escolhemos essa base e não a validamos: apenas operamos sob a instrução do escritório.

6. Dado sensível (art. 11 da LGPD)

Passa pelo JurisTools uma quantidade relevante de dado sensível, e preferimos dizer isso com todas as letras a fingir que não acontece.

Alguns exemplos reais do dia a dia da advocacia que o produto atende:

• Em causas previdenciárias e de seguro, o processo carrega dados de saúde: laudo, CID, perícia médica, histórico de incapacidade.
• Em matéria criminal e de execução penal, o processo carrega dados sobre condenação e infração penal, tratados pelo art. 11 combinado com o art. 5º, II, da LGPD.
• Em causas trabalhistas e sindicais, aparece a filiação a sindicato.
• Em causas de família, discriminação e assédio, podem aparecer dados sobre vida sexual, origem racial ou étnica e convicção religiosa.

Três consequências práticas:

A hipótese legal é do escritório. O tratamento de dado sensível só é lícito nas hipóteses fechadas do art. 11. Na advocacia contenciosa, a que costuma sustentar o tratamento é o art. 11, II, "d" — exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral. Quem se enquadra nela, e quem responde por esse enquadramento, é o escritório, que é o controlador desses dados.

A JurisLabs apenas opera. Não usamos dado sensível para nenhuma finalidade própria. Não fazemos perfil, não segmentamos, não vendemos, não cedemos e não treinamos modelo com esse conteúdo. Tratamos o que for necessário para executar a função que o advogado acionou, e nada além disso.

A proteção é a mesma para todo o conteúdo do caso. Não separamos o dado sensível dos demais para lhe dar um cofre diferente. Fazemos o contrário: aplicamos a todo o conteúdo dos clientes do escritório o nível de proteção que o dado sensível exige — isolamento por escritório, criptografia em trânsito e em repouso, e acesso restrito. A seção 12 descreve as medidas.

7. Sigilo profissional da advocacia

O conteúdo que o advogado guarda no JurisTools está protegido pelo sigilo profissional (art. 7º, II e XIX, e art. 34, VII, da Lei nº 8.906/1994, e art. 25 a 27 do Código de Ética e Disciplina da OAB). Esse sigilo é do cliente, não nosso, e não é afastado por estarmos no meio do caminho.

Por isso:

• Nossa equipe não acessa o conteúdo de casos, documentos e intimações de um escritório no uso normal do produto. O acesso técnico só ocorre quando é indispensável para investigar um incidente ou para atender um chamado de suporte que o próprio escritório abriu, pelo tempo necessário e por pessoa autorizada.
• Não usamos o conteúdo dos clientes do escritório para produzir estatística comercial, estudo de mercado, material de divulgação ou qualquer produto derivado.
• Se recebermos ordem de autoridade ou requisição para entregar conteúdo coberto por sigilo profissional, comunicamos o escritório antes de qualquer entrega, salvo se a lei proibir o aviso, para que ele possa defender a prerrogativa. Não entregamos conteúdo por pedido informal.
• A obrigação de sigilo dos nossos subprocessadores é contratual e permanece depois de encerrado o contrato.

8. Subprocessadores

Não vendemos dados. Compartilhamos apenas com os fornecedores necessários para o produto funcionar, cada um limitado ao que precisa ver.

Sobre o Chatwoot. O atendimento roda em servidor nosso: as conversas ficam no nosso banco, na nossa VPS, no Brasil. A instalação, porém, envia periodicamente ao fornecedor (Chatwoot Inc.) um pacote de telemetria técnica: identificador da instalação, versão do software, endereço do host, ambiente e contagens agregadas de contas, usuários, caixas de entrada, conversas e mensagens. São números, não conteúdo. O texto das conversas, os contatos e os anexos não são enviados.

Como avisamos mudança de subprocessador. Esta tabela é a lista oficial e é mantida nesta página. Ao contratar um novo subprocessador, trocar um existente ou mudar o que um deles trata, atualizamos a tabela e a data da versão no topo. Quando a mudança for relevante para o tratamento dos dados dos clientes do escritório, avisamos o escritório por e-mail antes de ela entrar em vigor.

Também compartilhamos dados quando a lei exige ou quando há ordem de autoridade competente, observado o que a seção 7 diz sobre sigilo profissional.

9. Transferência internacional (art. 33 da LGPD)

Parte dos dados é tratada fora do Brasil. Esta seção corrige uma afirmação que constava das versões anteriores desta Política.

Nossa escolha de arquitetura é manter o dado no Brasil sempre que o fornecedor oferece essa opção. O banco de dados foi criado na região de São Paulo e os motores de leitura de documento e de captação do DJEN rodam em servidor brasileiro. Mesmo assim, transferências internacionais acontecem, por duas vias:

Direta. Vercel, Google e Resend processam dados primariamente nos Estados Unidos. Cloudflare opera em rede global. Usar essas funções significa que o dado correspondente sai do país.

Indireta. Mesmo com o projeto criado em região brasileira, os termos do Supabase preveem que os dados possam ser armazenados em servidores nos Estados Unidos ou em qualquer outro país. O Asaas também admite transferência indireta por meio dos seus próprios fornecedores de nuvem. Não temos como garantir que esses dados permaneçam integralmente em território nacional, e não faremos essa promessa.

A salvaguarda. Essas transferências se apoiam no art. 33, II, da LGPD. Vercel, Supabase, Resend, Cloudflare e Google publicam um adendo de proteção de dados que se incorpora automaticamente aos termos que já contratamos, sem assinatura à parte, e que traz as cláusulas contratuais padrão da União Europeia como se assinadas pelas partes, além de obrigações de confidencialidade, de segurança, de auxílio no atendimento a titulares e de comunicação de incidente. O Asaas trata a matéria no Acordo de Processamento de Dados Pessoais anexo à sua Política de Privacidade, aceita junto com os Termos de Uso.

O que ainda não está feito. As cláusulas-padrão contratuais aprovadas pela Autoridade Nacional de Proteção de Dados (Resolução CD/ANPD nº 19, de 23 de agosto de 2024) ainda não foram incorporadas a esses contratos: os adendos acima adotam o padrão europeu, não o brasileiro. Essa adequação está pendente e atualizaremos esta seção quando ela for concluída. Se a ANPD vier a reconhecer grau adequado de proteção para algum desses países, também ajustaremos esta seção.

10. Inteligência artificial

O JurisTools usa IA em três pontos: para ler documentos do cliente e preencher a qualificação, para resumir e classificar andamentos, e no assistente interno da plataforma. O fornecedor é o Google, pela API do Gemini.

O que sai da nossa infraestrutura. Na leitura de documento, sai a imagem ou o PDF do documento enviado pelo escritório. Na análise de andamentos, sai o texto da intimação ou do andamento. No assistente, sai a pergunta do advogado e o contexto necessário para respondê-la.

Não treinamos modelo, e o fornecedor também não. A JurisLabs não usa o conteúdo do escritório nem dos clientes dele para treinar, ajustar ou avaliar modelos de inteligência artificial, nossos ou de terceiros. Contratamos o nível pago da API do Gemini, cujos termos determinam que o Google não utiliza as entradas e as saídas enviadas pela API paga para melhorar ou treinar seus modelos. Isso não vale para o nível gratuito da mesma API, e é exatamente por isso que não usamos o nível gratuito.

Retenção no fornecedor. O Google registra as entradas e as saídas da API por até 55 dias, prazo máximo padrão declarado na documentação do Gemini, apenas para detectar violação da política de uso e para atender obrigação legal ou regulatória. Depois desse período, o registro é marcado para exclusão. Esse prazo é definido pelo Google, não por nós, e pode ser reduzido para 7, 14 ou 28 dias na configuração do projeto.

Nada é compartilhado entre escritórios. O conteúdo de um escritório não é usado para gerar resposta para outro. Não há base comum de perguntas e respostas entre clientes do JurisTools.

Não há decisão automatizada sobre o titular. A IA do JurisTools produz rascunho, resumo e sugestão. Ela não decide nada sobre nenhum titular, não atribui pontuação, não define perfil e não produz efeito jurídico por conta própria. Toda saída depende de revisão e de decisão do advogado, que é quem responde profissionalmente pelo ato. O art. 20 da LGPD, portanto, não é acionado por essas funções — e, se um dia passarmos a tratar por decisão automatizada, avisaremos antes e ofereceremos a revisão que a lei exige.

Erro é possível. Modelos de linguagem erram, inclusive inventando informação com aparência de verdade. Nenhuma extração, resumo, classificação ou cálculo de prazo é definitivo. A conferência nos autos é obrigação do advogado.

11. Retenção e eliminação

Durante a janela de 60 dias, o escritório pode pedir a exportação dos seus dados e dos dados dos clientes dele pelo canal contato@jurislabs.com.br, e nós a entregamos em formato estruturado e de uso comum. Encerrado o prazo, os dados são eliminados dos sistemas de produção. Cópias em backup são sobrescritas no ciclo normal de rotação.

Checkout não concluído. Uma rotina diária apaga os dados de quem pediu o link de pagamento e não pagou, passados 90 dias da tentativa. O prazo não é arbitrário: ele cobre o boleto que ainda se paga com atraso, a fatura do cartão que fecha cerca de trinta dias depois e a janela em que alguém nos escreve dizendo que pagou e errou algum dado. Registro que já tem assinatura no gateway de pagamento não é alcançado por essa rotina, porque aí a contratação existe e ele passa a ser o histórico de uma compra.

O convite de criação de conta é anonimizado, não apagado. Confirmado o pagamento, enviamos ao e-mail do checkout um link para criar a conta. Passados 90 dias, o e-mail sai desse registro e é substituído por um marcador, mas a linha permanece, sem o dado de contato. Isso é deliberado: é esse registro que impede a mensalidade seguinte da mesma assinatura de disparar um novo convite para quem já criou a conta. Sai o dado pessoal; ficam os identificadores da cobrança, que não dizem quem é a pessoa sem o cadastro do gateway.

A instrução do escritório prevalece. Se o escritório, como controlador, determinar a eliminação antes desse prazo, cumprimos. Se determinar guarda maior porque a lei ou um processo em curso exige, também cumprimos, e isso consta do contrato de operador.

12. Segurança

Adotamos, entre outras medidas:

• Isolamento por escritório no banco de dados, aplicado por políticas de segurança em nível de linha, para que uma consulta jamais alcance o dado de outro escritório.
• Criptografia em trânsito (TLS) em toda comunicação e em repouso no banco e no armazenamento de arquivos, pelo recurso padrão do armazenamento gerenciado do Supabase.
• Controle de acesso por perfil dentro do escritório, definido pelo titular da conta.
• Segredos e tokens apenas no servidor. Chaves de API e credenciais de serviço nunca são expostas ao navegador.
• Remoção de dado pessoal antes do monitoramento de erro, como descrito na seção 8.
• Nenhuma função de "entrar como" o escritório. O produto não tem recurso que permita à nossa equipe assumir a conta de um escritório ou navegar pelos dados dele pela interface. O acesso técnico excepcional da seção 7 é feito na infraestrutura, por pessoa autorizada.
• Backup periódico do banco de dados, mantido pelo provedor de infraestrutura.

Nenhum sistema é totalmente seguro. Trabalhamos para reduzir o risco e mantemos plano de resposta a incidentes.

13. Incidente de segurança

Se ocorrer incidente de segurança que possa acarretar risco ou dano relevante aos titulares, agimos assim:

1. Contemos o incidente e preservamos os registros para apuração.
2. Comunicamos o escritório afetado em prazo razoável, contado do momento em que tomamos conhecimento, com o que se sabe até então: natureza do incidente, dados envolvidos, riscos, medidas tomadas e o que ele pode fazer.
3. Fornecemos ao escritório as informações de que ele precisa para cumprir o dever dele de comunicar a ANPD e os titulares, quando for o caso, já que nessa parte o controlador é ele.
4. Quando a JurisLabs for a controladora do dado atingido, comunicamos diretamente a ANPD e os titulares, nos termos do art. 48 da LGPD.
5. Por fim, apuramos a causa e corrigimos o que permitiu o incidente.

14. Direitos do titular

O art. 18 da LGPD garante a você: confirmação da existência de tratamento; acesso aos dados; correção de dado incompleto, inexato ou desatualizado; anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado em desconformidade; portabilidade; eliminação dos dados tratados com consentimento; informação sobre com quem compartilhamos; informação sobre a possibilidade de não consentir e as consequências disso; e revogação do consentimento.

Se você é advogado ou usuário do JurisTools, escreva para contato@jurislabs.com.br. Respondemos no prazo do art. 19 da LGPD. Podemos pedir informação adicional para confirmar sua identidade, justamente para não entregar dados à pessoa errada.

Se você é cliente de um escritório que usa o JurisTools, o pedido deve ser dirigido ao escritório, que é o controlador dos seus dados. Ele conhece o seu caso, sabe o que a lei e o processo exigem guardar e é quem pode responder. Se você nos escrever, encaminharemos o pedido ao escritório e o auxiliaremos a atendê-lo, mas não podemos decidir sozinhos sobre dados que não controlamos.

Alguns direitos encontram limite legal. Dado que precisamos guardar por obrigação fiscal, por determinação do Marco Civil ou para defesa em processo não pode ser eliminado antes do prazo. Quando for esse o caso, dizemos qual é o fundamento.

15. Encarregado pelo tratamento de dados pessoais

Em atendimento ao art. 41, § 1º, da LGPD, a identidade e o contato do Encarregado são:

O Encarregado recebe reclamações e comunicações de titulares, presta esclarecimentos, atua junto à ANPD e orienta a equipe sobre as práticas de proteção de dados.

16. Cookies

A plataforma usa apenas cookies estritamente necessários ao funcionamento:

Não usamos cookie de analytics, de medição de audiência, de publicidade nem de rastreamento entre sites. Não há Google Analytics, Tag Manager, pixel de rede social ou ferramenta equivalente no produto. O monitoramento de erro descrito na seção 8 não instala cookie.

Como todos esses cookies são estritamente necessários, não há banner de consentimento a exibir. Bloqueá-los no navegador impede o login.

17. Menores de idade

O JurisTools é um produto profissional, destinado a advogados e a escritórios de advocacia, e só pode ser usado por maiores de 18 anos. Não oferecemos o serviço a crianças e adolescentes nem direcionamos comunicação a eles.

Dados de criança ou adolescente podem aparecer no conteúdo de um caso — em ação de alimentos, guarda ou benefício previdenciário, por exemplo. Nessa hipótese, quem trata esses dados como controlador é o escritório, no exercício regular do direito do menor que representa, e a ele cabe observar o art. 14 da LGPD e o melhor interesse da criança. Nós apenas operamos, com a mesma proteção reforçada descrita na seção 6.

18. Alterações desta Política

Podemos atualizar esta Política. A versão e a data no topo indicam a revisão vigente. Mudança relevante — especialmente em subprocessador, transferência internacional, uso de IA ou prazo de retenção — é comunicada ao escritório por e-mail antes de entrar em vigor, e a tabela correspondente é atualizada nesta página.

Dúvida sobre qualquer ponto: contato@jurislabs.com.br.