Privacidade e LGPD

• Você usa o mapa e todas as páginas públicas sem criar conta e sem informar dado pessoal.
• Só o assistente de IA exige conta: o CIAM guarda seu e-mail, as conversas e a sua chave de IA, cifrada.
• Na tela Conta você baixa os dados ligados à sua conta (conversas, sessões e credenciais, sem o segredo da chave) e exclui a conta a qualquer momento.
• Quem navega sem conta é medido de forma anônima, com Cloudflare Web Analytics e PostHog, sem cookies e sem perfil de pessoa. Para quem tem conta, o uso é ligado a um código pseudônimo, nunca ao e-mail, e você desliga isso em /conta. Não há anúncios nem rastreadores de publicidade.

O controlador dos dados pessoais tratados pelo CIAM é Juno Woz, pessoa natural.

Criado por Juno Woz (junowoz.com).

O CIAM é tratado por agente de tratamento de pequeno porte, nos termos da Resolução CD/ANPD nº 2/2022, que dispensa a indicação de encarregado. O canal para qualquer pedido sobre dados pessoais é inbox@ciam.net.br.

Os pedidos sobre os dados da sua conta (acesso, exportação e exclusão) você faz sozinho na tela Conta, sem depender de resposta. As regras de uso do site estão nos Termos de uso.

Ao usar o assistente

• Email da conta
• Email digitado ao pedir um link de acesso, guardado por cerca de 75 minutos para limitar abuso, mesmo quando não existe conta
• Datas de criação e último acesso da conta e das sessões
• Credenciais de IA cifradas (o segredo nunca é exibido nem exportado)
• Conversas do assistente (perguntas, respostas, citações, ferramentas consultadas e uso de tokens)
• Código pseudônimo de medição de uso (derivado da conta com um segredo do CIAM; não é o email nem o identificador do banco) e a preferência de não medir o uso da conta
• Registros técnicos de acesso (endereço IP, caminho e data da requisição) nos logs do servidor (Hetzner, Alemanha), rotacionados por volume e mantidos por poucos dias, e nos da Cloudflare, conforme o plano dela; usados só para segurança e operação, não ficam vinculados à conta nem entram na exportação
• Créditos de conversa (quando usados): saldo, lançamentos (compras, consumo por resposta e estornos) e reservas por resposta, mantidos enquanto a conta existir; apagados com ela
• Registro financeiro das compras de créditos (valor, data, situação, forma de pagamento e referência do pagamento), guardado por 5 anos após a compra por obrigação legal (art. 7º, II, da LGPD) e, depois da exclusão da conta, sem vínculo com ela; base legal da compra e do saldo: execução de contrato (art. 7º, V)
• Cópias de segurança diárias e cifradas do banco, na União Europeia (Backblaze), por até 2 anos (7 diárias, 4 semanais, 12 mensais e 2 anuais)

Ao navegar sem conta

O CIAM não pede cadastro para ler o mapa e as páginas. O uso do site é medido de forma anônima por dois serviços. O Cloudflare Web Analytics conta visitas e desempenho, sem cookies. O PostHog, hospedado nos Estados Unidos, registra visualizações de página e ações da interface (troca de domínio e de aba, camada do mapa ligada, indicador de saúde e município escolhidos, corrida eleitoral e perfil de pessoa abertos, link de fonte clicado, busca aberta e tipo de resultado escolhido, apenas o tamanho do texto quando nada é encontrado, assistente aberto), erros técnicos (falhas de tela, de requisição à API, do mapa e da conexão em tempo real, sem o conteúdo da requisição) e medidas de desempenho de carregamento. Ele opera em modo anônimo: não usa cookies nem armazenamento local, não cria perfil de pessoa e não grava a sessão nem o que é digitado. Para contar visitantes sem cookie, o PostHog calcula um código anônimo diário a partir do endereço IP e do navegador, com um sal que muda todo dia; ele descarta o IP antes de gravar o evento, e as visitas não se ligam de um dia para o outro. Endereços são enviados sem parâmetros de busca. As páginas /conta e /auth ficam fora dessa medição, e o PostHog respeita os sinais Do Not Track e Global Privacy Control do seu navegador. Nenhum e-mail, chave, pergunta ou resposta chega à medição. O CIAM também mede, no servidor e sem relação com qualquer pessoa, o funcionamento das fontes de dados (duração e resultado de cada coleta, sem conteúdo de usuário). Como o PostHog opera nos Estados Unidos, esses dados são transferidos para fora do país nos termos do art. 33 da LGPD, como descrito em Transferência para fora do Brasil.

Ao usar com conta

Se você entrou na sua conta, o CIAM mede o uso para entender como as pessoas cadastradas usam o site. Nesse caso o PostHog não recebe o seu e-mail: ele recebe um código pseudônimo, gerado a partir da sua conta com um segredo que só o CIAM guarda, e por isso não dá para descobrir quem você é a partir dele. Esse código liga as suas visitas entre si e a poucos fatos da conta: o mês em que ela foi criada e se há chave da OpenAI, chave da Anthropic ou plano do ChatGPT conectado (apenas sim ou não, nunca a chave). O CIAM também registra, a partir do servidor, quando você entra ou cria a conta, conecta ou remove um provedor de IA (só o nome do provedor), envia uma mensagem ao assistente (só o provedor e o modelo, sem a pergunta nem a resposta) e exclui a conta (esta última, sem ligação com o seu código). Mesmo com conta, não usamos cookies nem armazenamento local para isso, não gravamos a sessão e o endereço IP não é guardado no registro. Os sinais Do Not Track e Global Privacy Control continuam valendo, no navegador e nos eventos que o servidor registra: se o seu navegador envia um deles, nada disso é medido. A base legal é o legítimo interesse (art. 7º, IX), e você pode desligar a medição quando quiser em /conta, na opção "Não medir meu uso no CIAM": a preferência vale para todos os navegadores e, ligada, nem a medição anônima acontece. Ao excluir a conta, o código deixa de existir e o perfil de uso ligado a ele é removido do PostHog (veja o prazo em Por quanto tempo guardamos). A transferência para os Estados Unidos segue o que está descrito em Transferência para fora do Brasil.

• Entrar na conta: o e-mail recebe um link de acesso de uso único, sem senha.
• Operar o assistente: guardar as conversas para você continuá-las, relê-las e excluí-las, e usar a sua chave de IA para responder.
• Proteger o serviço: os registros técnicos de acesso servem para segurança e operação, e não se vinculam à sua conta.
• Entender o uso do site (páginas vistas e ações da interface): de forma anônima para quem navega sem conta e, para quem tem conta, ligado a um código pseudônimo, com opção de desligar em /conta.
• Manter cópias de segurança cifradas para recuperar o serviço depois de uma falha.

O CIAM não vende dados, não exibe publicidade e não treina modelos com as suas conversas.

A LGPD (art. 7º) só permite tratar dados pessoais com uma base legal. Estas são as que o CIAM usa, por finalidade:

• Entrar na conta e operar o assistente: execução do serviço que você pediu: receber o link de acesso, guardar as conversas e usar a sua chave de IA (art. 7º, V).
• Proteger o serviço: legítimo interesse em manter o serviço seguro, com os registros técnicos de acesso e a verificação anti-robô, limitado ao necessário (art. 7º, IX).
• Medir o tráfego do site: legítimo interesse, com medição anônima: sem cookies, sem perfil de pessoa e sem identificar quem visita (art. 7º, IX).
• Entender como as contas usam o site: legítimo interesse em saber como as pessoas cadastradas usam o CIAM para melhorá-lo, com um código pseudônimo no lugar do e-mail, poucos dados da conta e a opção de não ser medido em /conta, a qualquer momento (art. 7º, IX).
• Manter cópias de segurança: legítimo interesse em recuperar o serviço depois de uma falha ou ataque, com cópias cifradas e prazo máximo de 2 anos (art. 7º, IX).
• Mostrar dados de pessoas públicas: legítimo interesse em informar e dar transparência com dados que os próprios órgãos oficiais já divulgam, dentro dessa finalidade e do interesse público que justificou a divulgação (art. 7º, IX, com os §§ 3º e 4º).

Para cada finalidade que se apoia em legítimo interesse, o CIAM mantém por escrito uma avaliação com a necessidade, o impacto, as salvaguardas e o jeito de se opor, e a envia a quem pedir em inbox@ciam.net.br.

• O link de acesso vale por 15 minutos e só funciona uma vez.
• O e-mail digitado para pedir um link fica registrado por cerca de 75 minutos, mesmo que não exista conta, só para limitar pedidos repetidos e abuso.
• A sessão expira em 30 dias no máximo e depois de 7 dias sem uso. Sessões encerradas ficam guardadas por 7 dias, para segurança, e depois são apagadas.
• Uma rotina apaga os registros vencidos de acesso a cada 6 horas.
• Conversas, e-mail e credenciais de IA ficam até você excluí-los ou excluir a conta.
• Os registros técnicos de acesso (endereço IP, caminho e data) ficam nos logs do servidor, que giram por volume e guardam só poucos dias, e na Cloudflare, pelo tempo que o plano dela define.
• Cópias de segurança: o banco é copiado todo dia, cifrado, e guardado na União Europeia por até 2 anos (7 diárias, 4 semanais, 12 mensais e 2 anuais). Depois disso, a cópia é sobrescrita.

Quando você exclui a conta

• O banco de dados de produção apaga tudo o que está ligado à conta na hora: conversas, sessões, credenciais e e-mail.
• As cópias de segurança cifradas ainda guardam esses dados até o fim do prazo acima, no máximo 2 anos, e depois são sobrescritas.
• O perfil de uso no PostHog é removido automaticamente, em geral no dia seguinte. Se a rotina falhar, a remoção acontece em até 30 dias.
• A Cloudflare e os provedores de IA (OpenAI e Anthropic) seguem a própria política de retenção.

Estes fornecedores recebem dados, uns em nome do CIAM e outros diretamente do seu navegador, só para o fim indicado:

• Cloudflare: hospedagem do site, rede de entrega, medição de tráfego sem cookies e entrega do email com o link de acesso
• Hetzner (Alemanha): servidores da API, do banco de dados e dos registros técnicos de acesso
• Backblaze (União Europeia): armazenamento das cópias de segurança cifradas
• PostHog (Estados Unidos): medição do uso do site, com servidores nos Estados Unidos (transferência internacional, art. 33 da LGPD). Visitantes sem conta são medidos sem cookies e sem perfil de pessoa. Para contas, o uso fica ligado a um código pseudônimo (nunca o email) e a poucos fatos da conta (mês de criação e se há chave OpenAI, chave Anthropic ou plano ChatGPT conectado); a pessoa pode desligar isso em /conta. Sem gravação de sessão
• Stripe (Estados Unidos e Brasil): processa pagamentos por cartão e Pix. Nome, CPF, dados do cartão ou do Pix e demais dados de pagamento são informados pela pessoa diretamente ao Stripe; o CIAM guarda só o valor, a data, a situação, a forma e a referência do pagamento, e envia o email da conta ao checkout. A venda dos créditos é feita pela empresa titular do CIAM, identificada no checkout e nos termos
• Provedor de modelo de linguagem contratado pelo CIAM (servidores nos Estados Unidos; transferência internacional, art. 33 da LGPD): no modo créditos, recebe a pergunta, as últimas mensagens da conversa e os dados públicos consultados pelo assistente (nunca o email), sem uso para treinamento; no modo de chave própria nada disso muda
• OpenAI ou Anthropic: recebem a pergunta, as últimas mensagens da conversa e os dados públicos consultados pelo assistente (nunca o email), com a chave de IA da própria pessoa, somente quando ela usa o assistente
• OpenFreeMap: mapa-base (imagens de mapa); o navegador conecta direto e ela recebe o endereço IP e o navegador da pessoa
• TSE, Câmara dos Deputados, Senado Federal e Wikimedia: fotos e brasões carregados direto pelo navegador, que lhes revela o endereço IP e o navegador

O que vai ao provedor de IA

Quando você usa o assistente, o CIAM envia ao provedor de IA da chave que você conectou: a sua pergunta, as últimas mensagens da conversa (hoje, até 12) e os dados públicos que as consultas do assistente trouxeram do CIAM. O seu e-mail não é enviado. Na OpenAI, a chamada pede que a resposta não seja armazenada (store=false). O provedor trata esses dados sob as regras e a política de privacidade dele. O CIAM não envia sua chave a ninguém além desse provedor.

O que o seu navegador pede direto a terceiros

O mapa-base vem da OpenFreeMap, e as fotos e brasões de pessoas e municípios vêm do TSE, da Câmara dos Deputados, do Senado Federal e da Wikimedia. O seu navegador conecta direto a esses serviços, que recebem o seu endereço IP e o seu navegador, como em qualquer requisição na internet. O CIAM não envia dados da sua conta a eles.

Alguns fornecedores tratam dados fora do Brasil: o PostHog (Estados Unidos), a Hetzner (Alemanha), a Backblaze (União Europeia), os provedores de IA (OpenAI e Anthropic) e a rede global da Cloudflare, da OpenFreeMap e da Wikimedia. A LGPD (art. 33) exige uma base para isso. No CIAM ela é esta:

• Assistente: os dados vão ao provedor de IA da conversa (o da sua chave ou, no modo de créditos, o contratado pelo CIAM), para executar o serviço que você pediu (art. 33, IX, com o art. 7º, V).
• Demais fornecedores: a transferência se apoia nas cláusulas contratuais dos próprios fornecedores, que são os termos de tratamento de dados que eles oferecem; o CIAM não negocia cláusulas à parte. Para reduzir o risco, só sai o necessário: medição anônima ou pseudônima, sem e-mail, e cópias de segurança cifradas antes de saírem do servidor.

A Lei Geral de Proteção de Dados (Lei 13.709/2018) garante a você confirmar que tratamos seus dados, acessá-los, corrigi-los, pedir a eliminação, levá-los a outro serviço, saber com quem são compartilhados, opor-se a um tratamento e, quando ele se apoia em consentimento, revogá-lo. Respondemos aos pedidos em até 15 dias (art. 19, II).

• Acessar e levar: na tela Conta, baixe um arquivo JSON com sua conta, sessões, conversas e metadados das credenciais (o segredo da chave nunca é exportado).
• Excluir: na mesma tela, exclua conversas e chaves, encerre as sessões ou exclua a conta inteira. Excluir a conta apaga, na hora, tudo o que está ligado a ela no banco de produção: conversas, sessões e credenciais. Os prazos das cópias de segurança e dos fornecedores estão em "Por quanto tempo guardamos".
• Opor-se ao legítimo interesse: você pode se opor aos tratamentos que se apoiam em legítimo interesse (art. 18, § 2º). Para a medição de uso, desligue a opção "Não medir meu uso no CIAM" em Conta; para qualquer outro, escreva para inbox@ciam.net.br. Respondemos em até 15 dias.
• Outros pedidos: escreva para inbox@ciam.net.br. Você também pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD) sobre o tratamento dos seus dados.

• Sessão: depois de entrar, um cookie de sessão (HttpOnly, enviado só por HTTPS) mantém você conectado. É um identificador aleatório de sessão: não contém seu e-mail nem sua chave.
• Link de acesso: cookies temporários confirmam, no mesmo navegador, que o pedido foi seu. Expiram em poucos minutos.
• Preferências neste aparelho (armazenamento local): tema claro ou escuro, menu lateral aberto ou recolhido, painel lateral aberto e a largura dele, legenda do mapa aberta ou fechada, aviso de boas-vindas dispensado, conversa aberta do assistente (só o identificador), último provedor e modelo de IA escolhidos (nunca a chave) e as buscas recentes. Ficam só no seu navegador, não são enviadas ao CIAM, e você as apaga limpando os dados do site.
• Lugar na página: a posição de rolagem fica guardada só na aba aberta (armazenamento de sessão), para devolver você ao ponto em que estava quando volta a uma página. Some quando a aba fecha.
• Medição do uso do site (Cloudflare Web Analytics e PostHog, com ou sem conta): não usam cookies nem armazenamento local.
• Não usamos cookies de publicidade nem de rastreamento.

O CIAM exibe informações de cargo, candidatura, mandato e atuação de pessoas públicas que já são divulgadas por fontes oficiais (TSE, Câmara, Senado, Assembleia e portais de transparência), sempre com o link da origem. A base legal é o legítimo interesse em informar e dar transparência (art. 7º, IX), levando em conta a finalidade e o interesse público que justificaram a divulgação original (art. 7º, §§ 3º e 4º).

Não exibimos endereço nem contatos pessoais. Quando uma base de contratos ou de sanções traz CPF, ele aparece só parcialmente mascarado, e dados bancários são descartados na ingestão. A cor ou raça de candidatos, que é dado sensível (art. 11), não é guardada, e a data de nascimento serve só para distinguir homônimos e não é exibida.

Viu um dado incorreto ou uma origem mal indicada? Escreva para inbox@ciam.net.br: corrigimos ou anotamos a origem em até 15 dias.

Para entender como as informações são lidas, veja Como ler os dados.

• As chaves de IA são cifradas com AES-256-GCM antes de ir ao banco, com uma chave de cifra que fica fora do banco. O segredo nunca volta para a tela nem entra na exportação.
• O link de acesso é de uso único e a sessão é um valor aleatório: o banco guarda só o resumo (hash) de cada um, nunca o valor original.
• O cookie de sessão é HttpOnly, não pode ser lido por scripts da página, e todo o tráfego usa HTTPS.
• Há limites de pedidos por rede e por e-mail, para conter tentativas em massa.
• As cópias de segurança são cifradas antes de saírem do servidor.

Se houver um incidente de segurança que possa trazer risco ou dano relevante a você, o CIAM avisa as pessoas afetadas e a ANPD (LGPD, art. 48).

O CIAM não é direcionado a crianças e adolescentes (menores de 18 anos). O assistente exige conta e uma chave de IA própria da OpenAI ou da Anthropic, o que também depende dos termos desses provedores. Se identificarmos uma conta de menor de 18 anos, ela é excluída.