Privacidade e proteção de dados

Como esta plataforma trata dados pessoais, em linguagem direta.

Esta é uma plataforma de acesso restrito, usada por tribunais de contas e órgãos de controle para analisar o gasto público em saúde. Ela não é aberta ao público e não oferece serviço a pessoas físicas.

1. Quem trata os dados

O órgão de controle que usa a plataforma decide para que os dados são tratados: é ele o controlador. A empresa que mantém a plataforma trata os dados em nome dele, como operadora. Cada órgão tem o seu ambiente, e os dados de trabalho de um — casos, anotações, diligências, peças — não são visíveis para outro.

2. Para que os dados são tratados, e com que fundamento

Para o exercício do controle externo da administração pública (Constituição Federal, arts. 70 a 75) e o cumprimento das competências legais dos tribunais de contas. Na Lei Geral de Proteção de Dados (Lei 13.709/2018), o tratamento se apoia no cumprimento de obrigação legal e na execução de políticas públicas pela administração (art. 7º, II e III, e art. 23).

3. Que dados pessoais existem aqui

• De quem usa a plataforma: nome, e-mail institucional, perfil de acesso e unidade da federação de atuação; o registro do aceite do termo de responsabilidade, com data e endereço IP; o endereço IP e o navegador da sessão em uso; e o que a pessoa escreve no trabalho — anotações, achados, diligências, perguntas ao assistente.
• De pessoas que aparecem em fontes públicas oficiais: o que os próprios órgãos publicam por dever de transparência — por exemplo, nome, cargo e remuneração de servidores nos portais de folha, nome de sócios no cadastro de empresas, nome de profissionais no cadastro de estabelecimentos de saúde e de candidatos na Justiça Eleitoral.

4. Como o CPF é tratado

A plataforma não guarda número de CPF. Quando uma fonte traz o CPF, ele é trocado, na entrada, por um resumo criptográfico com chave (HMAC), que não permite recuperar o número, e por uma forma mascarada, que mostra só os seis dígitos centrais. O número completo não é gravado em banco, não vai para registros de erro e não aparece em tela, em e-mail nem nas peças emitidas. O mesmo vale para o CPF que um auditor informa ao conferir uma identidade: a conferência guarda o resumo e a máscara, e descarta o número.

5. Indício não é acusação

A plataforma aponta indícios para um auditor examinar. Um indício não é conclusão, e nenhuma decisão sobre uma pessoa é tomada de forma automatizada. Quando o indício nasce de coincidência de nome entre duas bases públicas, ele é mostrado como «requer confirmação de CPF»: pode ser homônimo, nada se afirma sobre a pessoa antes da conferência por documento, e ninguém é apontado como responsável em peça emitida a partir dele.

6. Quem acessa, e o registro do acesso

Só pessoas autorizadas pelo órgão, com senha e segundo fator de verificação obrigatório, dentro do perfil e do território que lhes cabem. Toda ação relevante e toda abertura de tela com dado de trabalho ficam registradas numa trilha de auditoria — quem, quando e o quê —, encadeada de modo que uma alteração posterior do registro seja detectável. A trilha é do próprio órgão.

7. Com quem os dados são compartilhados

• Assistente: quando alguém usa o assistente da plataforma, a pergunta e os dados necessários para respondê-la são enviados a um provedor de modelo de linguagem contratado pela operadora.
• Assinatura eletrônica: a peça enviada para assinatura, e o nome e o e-mail de quem assina, vão ao provedor de assinatura eletrônica.
• E-mail: os avisos por e-mail passam por um provedor de envio. Eles levam contagens e títulos de indícios, e não levam CPF.

Não há publicidade, venda de dados nem ferramenta de rastreamento de terceiros.

8. Cookies

Só os necessários ao funcionamento: o da sessão de acesso e, se a pessoa escolher «manter conectado neste dispositivo», o que reconhece o dispositivo. Não há cookie de publicidade nem de análise de navegação.

9. Por quanto tempo

Os códigos de verificação enviados por e-mail são apagados em até 24 horas; o reconhecimento de dispositivo, em até 30 dias depois de vencido ou encerrado.

Para os registros de uso — o histórico de telas abertas, os avisos, o registro de e-mails periódicos, os pedidos de redefinição de acesso já usados ou vencidos, as conversas com o assistente e o registro de chamadas da integração com parceiros — a plataforma tem uma rotina diária de eliminação por prazo. Ela só apaga a categoria cujo prazo de guarda o órgão definiu: enquanto o prazo de uma categoria não for definido, os registros dela são mantidos. A plataforma não fixa esses prazos; quem os define é o órgão.

Os dados do processo de fiscalização (o caso, as peças e os anexos) e a trilha de auditoria não são apagados por essa rotina: são mantidos enquanto durar a finalidade de controle e pelos prazos de guarda que a legislação impõe ao órgão.

10. Direitos do titular

A LGPD assegura ao titular, entre outros, confirmar a existência de tratamento, acessar os dados e pedir a correção do que estiver incompleto, inexato ou desatualizado (art. 18), observadas as restrições próprias da atividade de controle e de fiscalização. Os dados que vêm de fontes públicas são corrigidos na origem, pelo órgão que os publica.

Pedidos e dúvidas devem ser dirigidos ao encarregado pelo tratamento de dados pessoais do órgão de controle responsável, pelos canais oficiais dele.