Segurança e privacidade

• Toda conta entra com a senha e com o código de um aplicativo autenticador no celular. Não há como pular esse passo.
• A exigência não está só na tela: a própria base de dados se recusa a entregar qualquer informação a quem entrou sem o segundo fator.
• Não há cadastro aberto: só entra quem recebeu convite.

Limite: quem perde o celular com o autenticador precisa do suporte para voltar a entrar. Não existe recuperação que a própria pessoa dispare, e isso é de propósito — seria o caminho por onde uma senha roubada viraria acesso.

• Os dados de cada escritório ficam separados dentro da base de dados, e a separação é conferida em toda leitura e em toda gravação — não depende da tela.
• Essas regras são testadas automaticamente a cada mudança proposta no sistema, com dois escritórios de teste.
• Dentro do escritório, todos veem a carteira inteira: ninguém perde prazo por não enxergar. O que muda de pessoa para pessoa é o que ela pode alterar — confirmar ou cancelar um prazo é ato de advogado ou de administrador.
• Ninguém da equipe é apagado. Quem sai é desativado, perde o acesso na hora, e o registro do que fez continua.

Limite: o único acesso sem login é o link de assinatura de agenda que o próprio escritório gera. Ele leva uma versão resumida dos compromissos, sem anotações e sem nome de cliente, e ao gerar um link novo o anterior para de funcionar na hora.

• Toda alteração em prazos, processos, clientes, casos, tarefas, audiências, feriados, suspensões, tipos de prazo e equipe fica registrada com quem fez, quando e como estava antes.
• Nenhuma conta do sistema consegue alterar ou apagar esse registro — nem as das pessoas do escritório, nem a chave de serviço usada pelos robôs.
• O histórico dos avisos (qual aviso saiu, por qual canal e a que horas) também nunca é apagado: é a prova de que o sistema avisou.
• Os registros técnicos de funcionamento dos robôs são apagados depois de 90 dias; os de falha ficam um ano.

Limites: a proteção do registro só cai se quem administra a infraestrutura a desligar de propósito, e restaurar uma cópia de segurança o devolve ao estado daquela cópia. O registro guarda alterações, não leituras — o sistema não sabe dizer quem apenas abriu uma tela. E a triagem das publicações (descartar ou vincular a um processo) ainda não entra nesse registro.

• A base de dados é copiada automaticamente todos os dias pelo provedor, e ficam guardadas as cópias de cerca de sete dias.
• Duas vezes, em 20/08/2026 e 31/08/2026, uma cópia completa dos dados foi restaurada num ambiente separado, com zero erro e a contagem de cada tabela conferida com a de produção.

Limites: esses ensaios usaram uma cópia tirada na hora; a restauração da cópia diária do provedor ainda não foi ensaiada, e o tempo dela não foi medido. Numa restauração, as chaves de acesso aos serviços e parte da configuração são repostas à mão, por um roteiro escrito. Voltar à cópia da madrugada pode custar até um dia de trabalho — as triagens e confirmações daquele dia; as publicações em si podem ser buscadas de novo no diário oficial. E a restauração de um único escritório, sem mexer nos outros, está escrita mas ainda não foi ensaiada.

• Um vigia que roda fora da infraestrutura principal, em outro provedor, confere de hora em hora se a busca de publicações, o envio dos avisos e os demais robôs estão funcionando, escritório por escritório.
• Quando algo para — ou quando o próprio sistema sai do ar — ele avisa o suporte sem depender do sistema vigiado. E manda um sinal de vida toda semana: se o sinal não chega, é o vigia que caiu.
• Em toda tela, o escritório vê quando foi a última busca de publicações.

Limite: o vigia confere se o sistema está funcionando; ele não detecta invasão nem acesso indevido. Um incidente desse tipo chegaria por aviso de fora.

• A base de dados, com tudo o que o escritório guarda, fica em São Paulo.
• O aplicativo roda na região de São Paulo da Vercel.

Limite: essas empresas, e as demais da lista abaixo, são estrangeiras. Os dados ficam guardados no Brasil, mas elas podem acessá-los de fora para operar o serviço, e os envios de e-mail, WhatsApp, agenda e a leitura por inteligência artificial podem ser processados fora do país.

São as empresas que tratam dados por conta do Radar para que o serviço funcione — os suboperadores. A cada mudança no sistema, um teste automático confere esta lista contra os serviços que o código de fato chama.

Além deles, o Radar consulta fontes públicas da Justiça — o Diário de Justiça Eletrônico Nacional, do Conselho Nacional de Justiça, e consultas públicas de tribunais —, informando o número da OAB, o nome dos advogados e os números dos processos da carteira. Essas fontes não são suboperadores: são de onde vêm as publicações e os andamentos.

O que faz. Lê cada publicação nova e sugere uma ação — criar prazo, arquivar ou revisar —, o tipo de prazo e, se houver, a audiência designada, com os trechos em que se baseou e o grau de confiança.

O que nunca faz.

• Nunca cria nem confirma prazo. A sugestão só preenche a tela de triagem; quem confirma é sempre um advogado ou administrador do escritório.
• Nunca sugere prazo em dobro: o dobro alonga o prazo, e quem o marca é o advogado.
• Nunca grava feriado nem suspensão no calendário, e nenhum robô do sistema grava. O que os robôs detectam vira proposta, que um advogado aprova ou recusa.
• Se a inteligência artificial estiver fora do ar, a sugestão sai de regras fixas, e a tela diz de onde ela veio.

Os dados. O que ela recebe está na lista acima (Anthropic). Pelos Termos Comerciais da Anthropic, vigentes desde 17/06/2025, a Anthropic não pode treinar modelos com o conteúdo que o Radar envia a ela. Pela política de retenção dela, o que é enviado é apagado em até 30 dias — salvo quando o conteúdo é sinalizado por violar as regras de uso dela, ou quando a lei exigir que seja guardado. Fontes consultadas em 26/09/2026.

Limite: essas duas garantias são da Anthropic, pelos termos dela; o Radar não tem como conferi-las por dentro.

• Em Processos, Prazos, Casos e Clientes, qualquer pessoa do escritório baixa uma planilha com o que está na tela — com os dados completos, inclusive de processos em segredo de justiça (a tela avisa antes).
• A pedido do escritório, o suporte entrega num arquivo único os processos, publicações, prazos com a memória do cálculo, tarefas, casos, clientes, audiências, partes, andamentos, calendário, avisos, a equipe e o registro de alterações. A entrega fica registrada, com o motivo.
• Ao encerrar o contrato, o acesso é cortado primeiro, mas a busca de publicações e os avisos continuam até a data combinada, para que nenhuma intimação se perca na mudança. Os robôs só param depois, e o sistema se recusa a pará-los enquanto houver prazo em aberto.

Limites: ficam fora desse arquivo os comentários das tarefas, as listas de verificação das tarefas, as notas e a linha do tempo dos casos, as etapas do funil, os vínculos de cliente com caso, os vínculos de cliente com processo (vai só o cliente principal de cada processo), as declarações de calendário conferido sem feriado, as propostas do vigia do calendário, as configurações do escritório, os processos descartados na descoberta, as recusas de publicação de advogado com o mesmo nome e as planilhas importadas e o relatório de cada importação — parte disso aparece apenas dentro do registro de alterações. O arquivo é gerado para carteiras de até 5.000 registros de cada tipo; acima disso ele é recusado — nunca entregue pela metade — até esse caminho ser ampliado. E hoje não existe exclusão definitiva dos dados de um escritório: nenhuma conta do sistema apaga o registro de alterações, por desenho. O destino dos dados ao fim do contrato é matéria do contrato de tratamento de dados.

O contrato de tratamento de dados — o acordo entre o escritório e o fornecedor do Radar sobre como os dados da carteira são tratados, nos termos da Lei Geral de Proteção de Dados — está em preparação.