Política de Privacidade — Assistente LEX

1. Quem somos

O Assistente LEX é uma aplicação de Recuperação Aumentada por Geração (RAG) voltada à consulta de legislação veicular brasileira. Nesta Política descrevemos como coletamos, utilizamos, armazenamos e protegemos seus dados pessoais, em plena conformidade com a Lei Geral de Proteção de Dados Pessoais — LGPD (Lei nº 13.709/2018).

Para fins desta Política, o controlador dos dados pessoais é o titular da plataforma Assistente LEX. Caso tenha dúvidas, entre em contato pelo formulário de cadastro disponível na página principal.

2. Dados que coletamos

Coletamos apenas os dados estritamente necessários para o funcionamento da plataforma:

2.1 Dados de conta e cadastro

Nome e endereço de e-mail — para identificação da conta e comunicações. No login com Google, recebemos nome, e-mail e foto do perfil da conta Google que você autorizar
Perfil profissional (inspetor, engenheiro, empresa, servidor, despachante, cidadão ou outro) — quando informado no cadastro de newsletter, para segmentação de conteúdo

A criação de conta é necessária para usar o chat e contratar planos. O cadastro de newsletter é voluntário.

2.2 Dados gerados pelo uso do assistente

Mensagens enviadas ao assistente — armazenadas para manter o contexto da conversa e melhorar o serviço; quando você está autenticado, ficam vinculadas à sua conta
Arquivos anexados (PDF e imagens, nos planos que permitem) e áudios gravados para transcrição — processados para gerar a resposta
Identificador de sessão (session_id) — gerado no navegador para organizar a conversa
Feedback por mensagem (👍 / 👎) — para avaliação da qualidade das respostas
Registros de uso e cota — data/hora e origem do saldo consumido, para controle das perguntas do seu plano

2.3 Dados de pagamento

Ao contratar um plano ou pacote, o pagamento é processado pela Stripe. Os dados do cartão são fornecidos e tokenizados diretamente no ambiente da Stripe — não armazenamos o número completo do cartão. Guardamos apenas os registros necessários da transação (plano/pacote, valor, status e identificadores da Stripe) para controle da assinatura e obrigações fiscais.

2.4 Dados técnicos e de segurança

Para proteger a plataforma contra abuso (limitação de requisições, prevenção de spam e fraude), processamos o endereço IP de requisições a determinados endpoints. Não utilizamos o IP para rastreamento publicitário nem para construir perfis comportamentais.

3. Finalidade do tratamento e base legal

Dado	Finalidade	Base legal (LGPD)
Dados de conta (nome, e-mail)	Criação e autenticação da conta; prestação do serviço contratado	Execução de contrato (art. 7º, V)
E-mail (newsletter)	Envio de atualizações sobre novas normas indexadas	Consentimento (art. 7º, I)
Perfil profissional	Segmentação e melhoria de conteúdo	Consentimento (art. 7º, I)
Mensagens, arquivos e áudios	Geração das respostas e manutenção do contexto da conversa	Execução de contrato (art. 7º, V)
Feedback e uso do serviço	Avaliação e aprimoramento da qualidade das respostas	Legítimo interesse (art. 7º, IX)
Dados de pagamento	Processamento de assinaturas/pacotes e obrigações fiscais	Execução de contrato e obrigação legal (art. 7º, V e II)
Endereço IP	Segurança, prevenção de fraude e limitação de abuso	Legítimo interesse (art. 7º, IX)

4. Compartilhamento de dados

Seus dados pessoais não são vendidos, alugados ou cedidos a terceiros para fins comerciais. O compartilhamento ocorre apenas nas situações abaixo, com fornecedores de infraestrutura que atuam como operadores:

Supabase: Banco de dados PostgreSQL e autenticação — armazena conta, mensagens, feedbacks, registros de uso e leads. Dados hospedados em servidores com conformidade SOC 2.
Google: Login social (OAuth). Quando você opta por entrar com o Google, recebemos os dados de perfil que você autorizar (nome, e-mail e foto).
Anthropic: Modelo de linguagem Claude — processa o texto das mensagens (e arquivos anexados, quando enviados) para gerar respostas. Não usa esses dados para treinar seus modelos.
OpenAI: Geração de embeddings semânticos e transcrição de áudio (Whisper) — o texto da pergunta e os áudios enviados são processados para vetorização/transcrição.
Stripe: Processamento de pagamentos de assinaturas e pacotes. Recebe e tokeniza os dados do cartão em ambiente próprio certificado (PCI-DSS).
Vercel: Hospedagem e entrega da aplicação Next.js. Processa requisições HTTP para operar a plataforma.

5. Retenção e exclusão de dados

• Dados de conta: mantidos enquanto a conta estiver ativa. Ao excluir a conta, os dados associados são removidos, ressalvadas as retenções legais abaixo.
• Mensagens e arquivos do chat: mantidos enquanto necessários ao serviço e a melhorias, por até 12 meses, salvo exclusão antecipada pelo usuário.
• Dados de cadastro (leads): mantidos até revogação do consentimento ou solicitação de exclusão.
• Registros de pagamento: mantidos pelo prazo exigido pela legislação fiscal e para defesa em eventual disputa.
• Feedback: pode ser mantido de forma anonimizada para estatísticas de qualidade.

Você pode excluir sua conta e os dados associados diretamente pelo painel (opção de exclusão de conta), que remove suas mensagens e favoritos. Também é possível solicitar a exclusão pelos canais indicados na seção de contato.

6. Seus direitos como titular (LGPD, art. 18)

Nos termos da LGPD, você tem direito a:

Confirmação

Saber se tratamos seus dados pessoais

Acesso

Receber cópia dos dados que temos sobre você

Correção

Corrigir dados incompletos, inexatos ou desatualizados

Anonimização/Exclusão

Eliminar dados desnecessários ou tratados em desconformidade

Portabilidade

Receber seus dados em formato estruturado

Revogação

Revogar o consentimento a qualquer momento

Oposição

Opor-se ao tratamento baseado em legítimo interesse

Reclamação

Peticionar à ANPD (Autoridade Nacional de Proteção de Dados)

Para exercer qualquer desses direitos, entre em contato pelo formulário na página principal. Responderemos em até 15 dias corridos.

7. Segurança das informações

Adotamos medidas técnicas e organizacionais adequadas para proteger seus dados pessoais contra acesso não autorizado, alteração, divulgação ou destruição:

• Comunicação via HTTPS/TLS em todas as requisições
• Chaves de API e credenciais armazenadas apenas em variáveis de ambiente server-side (nunca expostas ao cliente)
• Autenticação por Bearer token nas rotas administrativas
• Acesso ao banco de dados restrito por Row Level Security (RLS) via Supabase

8. Cookies e armazenamento local

O Assistente LEX não utiliza cookies de publicidade nem tecnologia de rastreamento comportamental. Utilizamos apenas cookies e armazenamento local estritamente necessários para o funcionamento da plataforma:

• Cookies de autenticação (Supabase): mantêm você conectado com segurança e viabilizam o login, inclusive com Google.
• Armazenamento local (localStorage): guarda preferências e contexto no seu navegador — tema claro/escuro (lex-theme), preferência de exibição do histórico, identificador de sessão e cache local das mensagens.
• Stripe: pode definir cookies próprios no momento do pagamento para segurança e prevenção de fraude.

Sem os cookies estritamente necessários, funcionalidades essenciais como o login não funcionam.

9. Transferência internacional de dados

Parte do processamento ocorre em infraestrutura dos EUA (Anthropic, OpenAI, Google, Stripe, Vercel). Esses fornecedores possuem políticas de privacidade compatíveis com padrões internacionais (GDPR, SOC 2, PCI-DSS, etc.) e o compartilhamento se limita ao estritamente necessário para a prestação do serviço, nos termos do art. 33 da LGPD.

10. Menores de idade

O Assistente LEX é voltado a profissionais do setor veicular e não é destinado a menores de 18 anos. Não coletamos intencionalmente dados pessoais de menores. Caso identifique que um menor forneceu dados, entre em contato para que possamos excluí-los imediatamente.

11. Alterações desta Política

Esta Política pode ser atualizada periodicamente. A data da última revisão está indicada no topo desta página. Em caso de alterações relevantes, notificaremos os cadastrados por e-mail. O uso continuado da plataforma após a publicação de alterações implica a aceitação da nova versão.

12. Contato e Encarregado (DPO)

Para exercer seus direitos, tirar dúvidas ou registrar reclamações sobre o tratamento de dados pessoais, utilize a página de contato ou escreva para suporte@lex.dev.br. Responderemos em até 15 dias corridos, conforme exigido pela LGPD.