Como o sigilo funciona, por dentro
Para extrair os dados de uma certidão, o modelo lê a certidão inteira. Para redigir uma peça, basta a ele saber os papéis das partes. Cada caso tem a sua proteção, e você pode testar a primeira aqui mesmo, com os dados que quiser.
O texto sai daqui montado campo a campo, a partir dos fatos do caso. Cada identificador está numa lista que nós construímos, e cada um vira um símbolo antes do envio. A troca é mecânica, sobre valores conhecidos.
provadoum teste automático confere o texto de toda chamada deste tipo; se achar um identificador, a versão não entra no arPetição de exemplo. A conferência abaixo rodou agora, quando você abriu a página.
O que você escreveu · a petição
Trata-se de inventário dos bens deixados por João Almeida de Souza, CPF 123.456.789-00, falecido em 10/06/2015, casado sob o regime da comunhão parcial de bens com Maria Clara Ribeiro de Souza, cônjuge supérstite, deixando o imóvel de matrícula 45.678 do 1º CRI de Campinas e a conta corrente nº 00987-6 do Banco Bradesco. Processo nº 1234567-89.2015.8.26.0114.
O que a IA recebe · o texto que realmente sai
Trata-se de inventário dos bens deixados por {P1}, , falecido em 10/06/2015, casado sob o regime da comunhão parcial de bens com {P2}, cônjuge supérstite, deixando o imóvel de matrícula {IMOVEL_1} do e a {CONTA_1} do . Processo nº {PROC_1}.
Nenhum identificador no texto que saiu — conferido agora, na abertura5 identificadores trocados por símbolo · conferimos duas vezes, por caminhos diferentes
Três destinos, marcados no texto inteiro desta página
{P1}, {IMOVEL_1}. A IA trabalha pela referência.O que a IA ainda precisa ver — e por quê
Duas conferências, em dois momentos
Elas conferem o nosso próprio trabalho: nós montamos o texto e a lista de identificadores, e uma lista incompleta seria falha nossa. A primeira roda antes do envio, a segunda quando a resposta volta.
cada valor do mapa é procurado sem acento e sem diferença de maiúscula — “João” e “JOAO” são a mesma coisa.
na prática se “Joao Almeida” tivesse sobrado no texto, o envio pararia
De volta aos nomes
A resposta da IA · só com símbolos
Aberta a sucessão de {P1} em 10/06/2015, sob comunhão parcial de bens, {P2} é meeira dos bens comuns e concorre à herança na forma do art. 1.829, I. O imóvel de matrícula {IMOVEL_1} e a {CONTA_1} integram o monte partível.
O que você lê · com os nomes reais
Aberta a sucessão de João Almeida de Souza em 10/06/2015, sob comunhão parcial de bens, Maria Clara Ribeiro de Souza é meeira dos bens comuns e concorre à herança na forma do art. 1.829, I. O imóvel de matrícula 45.678 e a conta corrente nº 00987-6 integram o monte partível.
O símbolo do número do processo ({PROC_1}) não apareceu na resposta: a IA não precisou dele para escrever este trecho.
Numa certidão de óbito, numa escritura, numa matrícula, o modelo lê o documento inteiro — é de lá que saem os nomes, as datas e os bens. A proteção aqui vem do contrato com o provedor.
A leitura roda em retenção zero: terminada a chamada, o provedor descarta o material.
por contratomodo contratado junto ao provedor de IA — é cláusula, não código nossoDado que entra por API fica fora do treinamento, com ou sem retenção. Vale para os dois caminhos.
por contratocondição da API do provedorCada chamada leva as páginas e os campos que a tarefa exige, e só eles.
por contratoregra de arquitetura do envelope; a suíte de minimização cobre notificações e telemetriaO acordo de tratamento de dados entra em vigor antes do primeiro documento real de um cliente. É a ordem que seguimos.
por contratocondição de release registrada no plano do produtoquando ela lê um documento seu
nenhum dia
Terminada a chamada, o material é descartado.
quando ela redige uma peça
até 30 dias
O que fica guardado é o texto com símbolos: sem nome, sem CPF, sem endereço, sem número de processo. É a coluna da direita, lá em cima.
E nós, o que enxergamos? Tudo, por necessidade: é o servidor que casa publicações pelo número real do processo, monta o genograma e confere as citações. Existe uma arquitetura em que nem nós veríamos os dados — ela não permitiria nada disso, e por isso não é a nossa. O acesso existe cercado.
A trava vive no próprio banco de dados, em toda tabela que guarda dado de caso — fora do alcance de um esquecimento no código.
provadoa cada versão, uma verificação percorre todo o banco: dado de caso sem a trava impede a publicação; outra tenta ler o caso de um escritório com o usuário de outroFica registrado quem, qual recurso, qual ação e quando — leitura, criação, exportação, exclusão. O conteúdo fica de fora, então a prova de quem viu o quê existe sem virar um segundo vazamento. Só o servidor grava, inclusive contra quem quisesse apagar a própria passagem.
provadoa gravação só acontece pelo servidor; a política de escrita direta não existe, e o teste confirmaMedimos quantas conferências você fez e quanto custa cada caso. Os eventos levam números e param aí — até o apelido do caso fica fora.
provadoum teste inspeciona o conteúdo dos eventos enviados; conteúdo de caso reprova—não foi possível consultar o registro agora
Os casos pertencem ao escritório, e isso só vale se você puder levá-los embora e apagá-los quando quiser. As duas coisas são mecanismo aqui dentro.
Casos, versões dos fatos, documentos e peças produzidas, num pacote preparado em segundo plano e entregue por link que expira.
Ao encerrar um caso, você escolhe entre arquivar por um período ou excluir os documentos. Sobrevive o número agregado, que já não volta ao caso.
Todo desfecho encerrado alimenta as estatísticas coletivas — sempre, e sempre desidentificado: sem número de processo, sem nomes, sem datas exatas, sem caminho de volta ao caso. O desfecho vem de um resultado público; o que entra aqui é só o agregado anônimo — e, antes de cada versão ir ao ar, um teste simula tentativas de reidentificação e todas precisam falhar.
O nome disto é desidentificação. Um texto sem nome, CPF e número de processo ainda descreve uma situação, e uma situação muito particular numa comarca pequena pode dizer de quem se trata. Daí a palavra, no lugar de “anônimo”.