Política de Privacidade do PolitxAI

1. A quem esta política se aplica

Esta Política aplica-se aos usuários do PolitxAI, incluindo servidores públicos, empregados públicos, gestores, agentes públicos, colaboradores e demais pessoas autorizadas pelas organizações contratantes.

O PolitxAI é destinado prioritariamente ao uso institucional por organizações públicas e seus usuários autorizados.

Determinadas operações de tratamento poderão ser disciplinadas adicionalmente pelo contrato celebrado entre a Politx, seus parceiros e a organização contratante.

2. Papéis no tratamento dos dados

A definição de controlador, operador e, quando aplicável, suboperador, dependerá da finalidade e do contexto de cada operação de tratamento.

Em relação aos dados institucionais, documentos, bases de conhecimento, informações provenientes de sistemas e demais conteúdos inseridos pela organização contratante no PolitxAI, a organização pública poderá atuar como Controladora, determinando as finalidades do tratamento, enquanto a Politx poderá atuar como Operadora, realizando o tratamento necessário à prestação dos serviços conforme as instruções e condições contratualmente estabelecidas.

Em outras operações, como determinados dados necessários à administração da própria plataforma, segurança, faturamento, prevenção a fraudes e cumprimento de obrigações legais da Politx, esta poderá atuar como Controladora.

Essas responsabilidades deverão ser detalhadas nos respectivos instrumentos contratuais.

A definição das responsabilidades entre Controlador, Operador e, quando aplicável, Suboperadores deverá considerar a finalidade efetivamente atribuída a cada operação de tratamento, bem como os respectivos instrumentos contratuais e a arquitetura técnica da plataforma.

Quando a Politx atuar como Operadora, o tratamento será realizado nos limites das instruções documentadas do Controlador e das funcionalidades contratadas, ressalvadas as hipóteses em que a Politx possua finalidade própria ou obrigação legal específica.

A ANPD estabelece que o controlador é quem toma as principais decisões sobre o tratamento e suas finalidades, enquanto o operador realiza o tratamento em nome do controlador. (Serviços e Informações do Brasil)

3. Dados que podemos tratar

3.1. Dados cadastrais

Quando uma conta é criada, poderão ser tratados:

• nome;
• e-mail;
• organização;
• secretaria ou unidade administrativa;
• cargo ou função;
• área de atuação;
• credenciais e informações necessárias à autenticação;
• preferências de utilização da plataforma.

Também poderão ser fornecidas voluntariamente informações destinadas à personalização da experiência do usuário, como apelido, descrição das atividades profissionais, objetivo principal de utilização e preferências de comportamento da Inteligência Artificial.

3.2. Conteúdo das interações com a Inteligência Artificial

Quando o usuário utiliza o PolitxAI, poderão ser processados:

• perguntas e prompts;
• respostas geradas;
• histórico de conversas;
• instruções fornecidas aos agentes;
• feedback sobre respostas;
• arquivos enviados para análise;
• documentos anexados às conversas;
• demais informações fornecidas voluntariamente pelo usuário.

O usuário deverá observar os princípios da necessidade, adequação e minimização, evitando inserir dados pessoais, dados pessoais sensíveis, informações sigilosas ou informações de terceiros além daqueles efetivamente necessários à finalidade da atividade realizada.

O tratamento de dados pessoais inseridos em prompts, conversas, documentos, arquivos ou demais interações deverá observar as permissões, finalidades e condições estabelecidas pela organização contratante e pela legislação aplicável.

3.3. Bases de Conhecimento e Memória Institucional

A organização contratante poderá inserir documentos e informações para construção de suas Bases de Conhecimento e Memória Institucional.

Esses conteúdos poderão incluir, entre outros:

• legislação municipal;
• decretos e portarias;
• Plano de Governo;
• PPA;
• LDO;
• LOA;
• estrutura administrativa;
• normativos internos;
• manuais;
• pareceres;
• documentos administrativos;
• documentos das secretarias e unidades;
• outras informações autorizadas pela organização.

Esses conteúdos são processados para permitir que a Inteligência Artificial responda considerando o contexto institucional da organização.

A inserção de documentos ou informações em Bases de Conhecimento ou Memória Institucional não altera sua titularidade, classificação, nível de sigilo ou as restrições jurídicas originalmente aplicáveis ao conteúdo.

O acesso e a utilização desses conteúdos deverão observar as permissões definidas pela organização contratante e os níveis de acesso atribuídos aos respectivos usuários.

3.4. Agentes de Inteligência Artificial

Quando o usuário cria um Agente Público de IA, poderão ser armazenados:

• nome e descrição do agente;
• instruções;
• prompts;
• comportamento configurado;
• fontes de conhecimento associadas;
• ferramentas disponíveis;
• configurações;
• permissões;
• informações sobre criação, alteração e utilização.

Agentes publicados em ambientes compartilhados ou no Marketplace poderão tornar determinadas informações visíveis a outros usuários, conforme as configurações escolhidas.

A publicação ou compartilhamento de um Agente não implica, por si só, autorização para compartilhamento dos documentos, Bases de Conhecimento, Memória Institucional, prompts, arquivos ou demais conteúdos aos quais o Agente tenha acesso.

Antes da publicação ou compartilhamento, o usuário deverá verificar se possui autorização para disponibilizar as respectivas configurações, instruções e conteúdos associados.

No caso de publicação em Marketplace, as informações efetivamente disponibilizadas deverão observar as configurações de compartilhamento e as condições específicas aplicáveis ao recurso.

3.5. Dados provenientes de integrações

Quando autorizado pela organização contratante, o PolitxAI poderá acessar dados provenientes de:

• APIs governamentais;
• bases públicas oficiais;
• sistemas municipais;
• sistemas de terceiros;
• demais fontes de dados integradas à plataforma.

O acesso observará as permissões concedidas, as finalidades da integração e os instrumentos jurídicos aplicáveis.

Quando houver compartilhamento ou interoperabilidade envolvendo dados pessoais do Poder Público, devem ser observados finalidade específica, compatibilidade com a finalidade original e princípio da necessidade, entre outros requisitos aplicáveis.

As integrações poderão envolver consulta, transmissão, processamento ou, quando expressamente autorizado, alteração de informações em sistemas externos, conforme as funcionalidades disponibilizadas e as permissões concedidas.

Os dados provenientes de integrações somente serão armazenados no PolitxAI quando isso for necessário para a funcionalidade contratada ou para as finalidades informadas nesta Política, observadas as condições técnicas aplicáveis.

3.6. Dados técnicos e de utilização

Também poderão ser tratados:

• endereço IP;
• data e horário de acesso;
• navegador;
• dispositivo;
• eventos de autenticação;
• funcionalidades utilizadas;
• consumo de tokens;
• agentes utilizados;
• erros e falhas;
• registros de integração;
• registros de segurança;
• logs de auditoria;
• métricas de desempenho e utilização.

Esses dados são utilizados principalmente para segurança, auditoria, funcionamento, suporte e evolução da plataforma.

Os registros técnicos e de utilização serão mantidos pelo período necessário às finalidades de segurança, auditoria, funcionamento, suporte, cumprimento de obrigações legais e contratuais e demais finalidades legítimas aplicáveis, observados os períodos de retenção definidos para cada categoria de informação.

4. Como utilizamos os dados

Os dados poderão ser tratados para:

• disponibilizar e operar o PolitxAI;
• autenticar e administrar usuários;
• controlar permissões e acessos;
• gerar respostas por Inteligência Artificial;
• disponibilizar histórico de conversas;
• processar documentos e arquivos;
• construir e consultar Bases de Conhecimento;
• operacionalizar agentes de IA;
• realizar integrações autorizadas;
• personalizar a experiência do usuário;
• disponibilizar dashboards e indicadores de utilização;
• prestar suporte;
• monitorar disponibilidade e desempenho;
• identificar falhas e incidentes;
• prevenir fraude e uso indevido;
• garantir segurança e rastreabilidade;
• cumprir obrigações legais, regulatórias e contratuais;
• aprimorar funcionalidades e a experiência de utilização da plataforma.

As finalidades de tratamento poderão variar conforme o tipo de dado, a funcionalidade utilizada, a relação contratual existente e a atuação da Politx como Controladora ou Operadora.

Quando a Politx atuar como Operadora, os dados serão tratados conforme as finalidades e instruções definidas pelo respectivo Controlador, observados os limites técnicos e contratuais aplicáveis.

As operações serão realizadas de acordo com as bases legais aplicáveis previstas na LGPD e considerando os princípios de finalidade, adequação, necessidade, transparência, segurança, prevenção e responsabilização.

5. Uso dos dados para desenvolvimento de inteligência artificial

Documentos institucionais, Bases de Conhecimento, Memória Institucional, conversas e dados provenientes dos sistemas das organizações contratantes não serão utilizados pela Politx para treinamento de modelos fundacionais de Inteligência Artificial.

A Politx poderá utilizar informações anonimizadas ou agregadas, quando juridicamente permitido e tecnicamente adequado, para:

medir utilização;

avaliar desempenho;

identificar funcionalidades mais utilizadas;

corrigir erros;

melhorar a experiência;

desenvolver funcionalidades;

produzir indicadores estatísticos;

realizar pesquisa e desenvolvimento.

Dados anonimizados deverão permanecer anonimizados e não deverão ser utilizados com a finalidade de reidentificação dos titulares.

Quando forem utilizados provedores externos de modelos de Inteligência Artificial, a Politx adotará, conforme aplicável, medidas contratuais e técnicas destinadas a impedir que os conteúdos institucionais tratados por meio da plataforma sejam utilizados por esses provedores para treinamento ou melhoria de seus modelos, observadas as condições efetivamente contratadas e disponibilizadas pelos respectivos fornecedores.

6. Compartilhamento e suboperadores

A Politx não comercializa dados pessoais tratados por meio do PolitxAI.

Informações poderão ser compartilhadas somente quando necessário para operação da plataforma, incluindo fornecedores responsáveis por:

• infraestrutura em nuvem;
• hospedagem;
• processamento de Inteligência Artificial;
• autenticação;
• segurança;
• monitoramento;
• suporte;
• comunicação;
• desenvolvimento e manutenção tecnológica.

Esses fornecedores deverão tratar os dados conforme contratos, instruções e requisitos de segurança aplicáveis.

A Politx manterá controle sobre os fornecedores e subprocessadores utilizados no tratamento de dados pessoais, considerando, conforme aplicável, a natureza dos serviços prestados, as categorias de dados tratadas, as finalidades do tratamento e a localização do processamento ou armazenamento.

A relação dos principais subprocessadores poderá ser disponibilizada em documento específico e atualizada quando houver alterações relevantes.

Também poderemos compartilhar informações quando necessário para:

• cumprimento de obrigação legal ou regulatória;
• atendimento de ordem judicial;
• atendimento de requisição válida de autoridade competente;
• proteção da segurança da plataforma;
• prevenção e investigação de fraude ou atividade ilícita;
• defesa de direitos da Politx ou de terceiros.

A relação atualizada dos principais subprocessadores poderá ser disponibilizada em documento específico.

7. Retenção e exclusão

O PolitxAI opera prioritariamente por meio de contratos institucionais com vigência de 12 meses.

Como regra geral, dados necessários à prestação dos serviços serão mantidos durante a vigência contratual.

Após o encerramento do contrato, dados institucionais poderão permanecer disponíveis por até 90 dias para eventual recuperação, exportação ou reativação da instância, salvo prazo distinto definido contratualmente.

Como política inicial de produto, recomenda-se:

------------------------------------------------------------------------------------------------------ Categoria Retenção proposta --------------------------------------- -------------------------------------------------------------- Dados da instância institucional Contrato de 12 meses + 90 dias

Bases de Conhecimento Contrato + 90 dias

Memória Institucional Contrato + 90 dias

Chats e conversas institucionais Contrato + 90 dias

Arquivos temporários enviados ao chat 30 dias

Agentes vinculados à organização Contrato + 90 dias

Conta individual do usuário Enquanto permanecer ativa, conforme política aplicável

Logs de segurança e auditoria Conforme política específica e requisitos legais/contratuais

Dados anonimizados e agregados Pelo período necessário às finalidades legítimas definidas ------------------------------------------------------------------------------------------------------

Após o término dos respectivos períodos, os dados serão excluídos, anonimizados ou mantidos quando houver obrigação legal, regulatória, contratual ou necessidade legítima que justifique sua conservação.

Após o término dos respectivos períodos, os dados serão excluídos, anonimizados ou mantidos quando houver obrigação legal, regulatória, contratual ou necessidade legítima que justifique sua conservação, observados os procedimentos técnicos aplicáveis, inclusive quanto a backups e cópias de segurança.

A exclusão de dados da base ativa não implica necessariamente sua eliminação imediata de todos os backups ou cópias de segurança. Quando aplicável, essas informações permanecerão sujeitas aos ciclos técnicos de retenção e sobrescrição definidos pela Politx, sem utilização para novas finalidades durante esse período.

8. Controle da organização contratante

Quando a conta estiver vinculada a uma Prefeitura, órgão ou outra organização, administradores autorizados poderão, conforme suas permissões:

• cadastrar e remover usuários;
• definir perfis de acesso;
• administrar secretarias e grupos;
• definir permissões;
• administrar Bases de Conhecimento;
• visualizar indicadores de utilização;
• gerenciar agentes institucionais;
• acessar informações necessárias à administração e auditoria do ambiente, conforme as permissões disponibilizadas e as condições técnicas e contratuais aplicáveis.

O acesso administrativo poderá abranger indicadores, registros técnicos e, quando expressamente permitido pelas configurações da plataforma e pelas políticas da organização, conteúdos relacionados à utilização do serviço.

Os níveis de acesso deverão observar as permissões atribuídas ao administrador e as finalidades de administração, segurança e auditoria do ambiente.

O usuário deve considerar que sua utilização do PolitxAI em uma conta institucional está sujeita às regras, permissões e políticas estabelecidas pela organização à qual sua conta está vinculada.

9. Segurança da informação

A Politx adotará medidas técnicas e administrativas adequadas para proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado.

As medidas de segurança adotadas pela Politx poderão incluir, conforme a arquitetura tecnológica, os serviços utilizados e os controles efetivamente implementados:

criptografia em trânsito e em repouso;

gestão de identidade e acesso;

segregação lógica entre organizações;

controle de usuários e permissões;

registros de auditoria;

monitoramento de segurança;

gestão de credenciais;

backups;

políticas de recuperação;

testes e atualizações de segurança;

gestão de vulnerabilidades;

medidas de continuidade do serviço.

A implementação, abrangência e aplicação dessas medidas poderão variar conforme a natureza do serviço, a infraestrutura utilizada, as funcionalidades contratadas e os requisitos técnicos e de segurança aplicáveis.

A Politx manterá mecanismos de controle de acesso e autenticação compatíveis com as funcionalidades disponibilizadas, buscando restringir o acesso às informações aos usuários e administradores devidamente autorizados.

Quando aplicável, os registros de segurança e auditoria poderão ser utilizados para identificação, investigação e prevenção de acessos não autorizados, incidentes, falhas ou usos indevidos da plataforma.

Nenhum sistema, entretanto, pode garantir segurança absoluta.

A Politx realizará, conforme aplicável, atividades de monitoramento, manutenção, atualização e aprimoramento de seus mecanismos de segurança, considerando os riscos identificados, a evolução tecnológica e as características das operações de tratamento realizadas.

A ANPD recomenda a adoção de medidas administrativas e técnicas de segurança proporcionais às características das operações de tratamento.

10. Incidentes de segurança

A Politx manterá procedimentos para identificação, avaliação, resposta, mitigação e registro de incidentes de segurança envolvendo dados pessoais.

Os procedimentos internos deverão contemplar, conforme aplicável, a identificação do incidente, avaliação de seu alcance, identificação das organizações e categorias de dados potencialmente afetadas, adoção de medidas de contenção e mitigação, registro das providências adotadas e comunicação às áreas responsáveis.

Quando a Politx atuar como Operadora, comunicará o Controlador conforme os procedimentos e prazos estabelecidos contratualmente para permitir a avaliação das medidas necessárias.

A comunicação ao Controlador deverá ocorrer com as informações disponíveis no momento da identificação do incidente, podendo ser complementada à medida que novas informações relevantes sejam apuradas.

Quando a Politx atuar como Controladora, adotará as providências cabíveis conforme a LGPD e a regulamentação vigente da ANPD, inclusive quanto à eventual comunicação à autoridade e aos titulares quando aplicável.

A ANPD possui regulamentação específica para comunicação de incidentes envolvendo dados pessoais. (Serviços e Informações do Brasil)

11. Direitos dos titulares

Nos termos da LGPD e conforme aplicável ao tratamento realizado, o titular poderá solicitar, entre outros direitos:

• confirmação da existência de tratamento;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação nos casos previstos em lei;
• informações sobre compartilhamento;
• portabilidade, quando aplicável;
• revogação de consentimento, quando esta for a base legal utilizada;
• oposição ao tratamento, nos casos previstos em lei;
• revisão das decisões automatizadas, nos termos aplicáveis da LGPD.

Quando a Politx atuar como Operadora de dados de uma organização pública, determinadas solicitações poderão precisar ser encaminhadas ao respectivo Controlador.

A ANPD reconhece esses mecanismos como parte dos direitos dos titulares e atribui ao controlador responsabilidade pelo atendimento desses direitos. (Serviços e Informações do Brasil)

12. Decisões automatizadas e inteligência artificial

O PolitxAI é uma ferramenta de apoio à atividade humana.

As respostas, análises, documentos, recomendações e demais conteúdos gerados por Inteligência Artificial podem apresentar imprecisões e devem ser avaliados pelo usuário antes de sua utilização em processos administrativos, decisões institucionais ou atividades que produzam efeitos jurídicos.

A utilização de resultados produzidos por Inteligência Artificial em decisões que possam produzir efeitos jurídicos ou afetar significativamente direitos ou interesses de pessoas deverá observar as exigências legais aplicáveis e, quando necessário, contar com avaliação e intervenção humana adequada.

A utilização da plataforma não transfere à Inteligência Artificial as competências legais, administrativas ou decisórias atribuídas aos agentes públicos.

Sempre que aplicável, serão observados os direitos relacionados a decisões tomadas unicamente com base em tratamento automatizado de dados pessoais.

13. Dados pessoais sensíveis e informações sigilosas

O tratamento de dados pessoais sensíveis, informações protegidas por sigilo ou dados cuja utilização esteja sujeita a restrições específicas somente deverá ocorrer quando estiver relacionado a finalidade institucional legítima, for necessário à atividade realizada, estiver expressamente autorizado pela organização responsável, possuir fundamento jurídico adequado e estiver contemplado pelas condições técnicas e contratuais da plataforma.

A organização contratante deverá estabelecer políticas internas e controles adequados para orientar seus usuários quanto à utilização dessas informações, considerando a natureza e o grau de sensibilidade dos dados tratados.

O tratamento de dados pessoais sensíveis deverá observar as hipóteses e requisitos previstos na legislação aplicável, especialmente aqueles estabelecidos pela Lei nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais (LGPD).

Quando o tratamento envolver informações protegidas por sigilo ou sujeitas a restrições legais específicas, deverão ser observadas as respectivas regras de acesso, utilização, compartilhamento, armazenamento e proteção.

A inserção de dados pessoais sensíveis ou informações sigilosas no PolitxAI não amplia, por si só, as pessoas autorizadas a acessar tais informações nem modifica as restrições jurídicas ou institucionais originalmente aplicáveis ao conteúdo.

14. Dados de crianças e adolescentes

O PolitxAI não é direcionado ao uso pessoal por crianças.

Caso uma organização pública utilize funcionalidades que envolvam tratamento de dados pessoais de crianças ou adolescentes, esse tratamento deverá observar as disposições legais específicas aplicáveis e ser previamente avaliado quanto à finalidade, necessidade e condições de segurança.

15. Transferência e localização dos dados

[VALIDAR COM TECNOLOGIA/AWS]

A Politx utiliza serviços de infraestrutura e tecnologia fornecidos por terceiros, incluindo [inserir aqui].

Os dados são armazenados e/ou processados nas seguintes localidades: [inserir aqui].

Os provedores de modelos de Inteligência Artificial utilizados são [inserir aqui], com processamento realizado em [inserir aqui].

Poderão ocorrer transferências internacionais de dados para [inserir aqui].

Quando houver transferência internacional de dados pessoais, serão adotados os mecanismos e salvaguardas previstos na legislação e regulamentação brasileira aplicáveis.

16. Cookies e tecnologias semelhantes

O PolitxAI poderá utilizar cookies e tecnologias semelhantes necessários para:

• autenticação;
• segurança;
• manutenção da sessão;
• preferências;
• funcionamento da plataforma;
• análise de desempenho.

Cookies não essenciais, caso sejam utilizados, deverão observar os mecanismos de transparência e controle aplicáveis.

A ANPD possui orientação específica sobre cookies e proteção de dados pessoais. (Serviços e Informações do Brasil)

17. Alterações desta política

Esta Política poderá ser atualizada em razão de:

• evolução do PolitxAI;
• inclusão de novas funcionalidades;
• alterações na arquitetura tecnológica;
• mudanças nos fornecedores;
• alterações legais ou regulatórias;
• recomendações da ANPD;
• aprimoramentos das práticas de segurança e privacidade.

A versão vigente e sua data de atualização serão disponibilizadas aos usuários.

Alterações materiais desta Política que afetem significativamente os direitos dos titulares, as finalidades de tratamento, o compartilhamento de dados, as condições de retenção ou as responsabilidades relacionadas ao tratamento serão comunicadas por meio da própria plataforma ou pelos canais institucionais disponíveis, com antecedência razoável quando a natureza da alteração assim permitir.

18. Controlador e contato

Politx Educação, Pesquisa e Inteligência Artificial Ltda.

CNPJ: [PREENCHER] Endereço: [PREENCHER] E-mail de privacidade: [PREENCHER]

Encarregado pelo Tratamento de Dados Pessoais

Nome ou empresa: [PREENCHER APÓS VALIDAÇÃO JURÍDICA] Contato: [PREENCHER]

O canal poderá ser utilizado para esclarecimentos relacionados à privacidade, proteção de dados pessoais e exercício dos direitos previstos na legislação aplicável.