Segurança da Informação e Proteção de Dados

O responsável é a atuação profissional identificada pela marca Diego Castro Advogado, fundada em 2017 e organizada para atuar de forma 100% digital com empresas de todo o Brasil. As decisões sobre recebimento, armazenamento, acesso e descarte de informação são de responsabilidade técnica de Diego Castro, advogado inscrito na OAB/PI sob o número 15.613.

A atuação digital define o problema que esta declaração enfrenta: a informação do caso circula por canais online desde a primeira mensagem, o que dispensa deslocamento, mas exige disciplina no trato com arquivos, credenciais e comunicações. As seções seguintes informam quais disciplinas são essas e onde os limites estão.

O alcance cobre a informação enviada nos canais de contato, a informação de caso quando existe contratação, os dados de navegação no domínio e as ferramentas interativas do site. Ele não cobre ambientes de terceiros acessados a partir de links publicados aqui, como WhatsApp, Google Maps ou redes sociais, que seguem a política do respectivo responsável.

Este documento é uma declaração de compromissos e limites, não um contrato nem uma descrição de infraestrutura interna. Ele complementa a Política de Privacidade, que detalha o tratamento de dados pessoais, e a Política de Cookies, que descreve as tecnologias de armazenamento no navegador.

O mínimo necessário orienta o que pedimos. A primeira consulta deve ser objetiva, sem anexos sigilosos, senhas, chaves privadas ou documentos de terceiros desnecessários. Quando o assunto envolve informação estratégica, o NDA mútuo é assinado antes da conversa, e o diagnóstico acontece em reunião online.

A finalidade definida orienta o que fazemos com o que recebemos: responder ao contato, avaliar o caso e executar o serviço contratado. No site, a mesma regra vale para todos os tratamentos: não vendemos dados pessoais, não usamos o histórico de navegação para publicidade comportamental e não adotamos decisão automatizada com efeito jurídico sobre o visitante.

O sigilo profissional é dever do advogado previsto no Estatuto da OAB (Lei 8.906/1994) e detalhado no Código de Ética e Disciplina. Ele é anterior a esta declaração, vale antes de qualquer contratação e continua depois do encerramento do trabalho.

• mínimo necessário: pedimos apenas o que a triagem e o caso exigem;
• finalidade definida: a informação recebida serve ao assunto declarado, e nada além disso;
• sigilo profissional: a informação do caso é protegida por dever legal do advogado, não por escolha de conveniência.

O WhatsApp é atendido pela equipe, e casos jurídicos são triados e encaminhados ao advogado responsável. O e-mail oficial serve para pedidos, relatos e assuntos que exigem registro escrito, inclusive pedidos relacionados a dados pessoais.

Uma comunicação legítima do escritório faz referência a uma conversa anterior ou descreve o assunto com clareza, informa quem está escrevendo e não introduz cobrança surpresa. Pagamento está sempre vinculado a serviço com escopo definido e nota fiscal, nunca a uma mensagem isolada que pressiona para liberar algo.

Golpes de phishing usam a identidade alheia para extrair credenciais e dinheiro. Por isso, a regra do escritório é fixa e pública:

• nunca pedimos senha, código de verificação ou chave privada, por nenhum canal;
• nunca pedimos pagamento por canal não identificado ou fora do serviço contratado;
• não solicitamos instalação de programas nem acesso remoto ao seu computador para resolver problema de cobrança ou de conta;
• se uma mensagem usar o nome, o e-mail ou o número do escritório de forma diferente dos canais publicados, ignore o conteúdo e nos avise.

Quando houver dúvida, inicie você o contato pelo número e pelo endereço publicados nesta página, em vez de responder à mensagem recebida.

O primeiro contato deve ser objetivo, sem anexos sigilosos, senhas, chaves privadas ou documentos de terceiros desnecessários. A primeira consulta é uma reunião online de diagnóstico, e o NDA mútuo é assinado antes quando o assunto envolve informação estratégica. Essas regras existem para que a confidencialidade comece antes de qualquer arquivo circular.

Na triagem, a equipe identifica o assunto, verifica conflito de interesses e encaminha o caso ao advogado responsável. O que não se justifica para o atendimento não entra no arquivo, e pedidos de material adicional são feitos com indicação do motivo.

Durante o caso, documentos e comunicações ficam armazenados com controle de acesso, e a informação necessária à condução do trabalho é mantida pelo prazo da relação e das normas da advocacia. O canal de troca de arquivos é definido no início do trabalho, preferindo os meios registrados aos avulsos.

Encerrado o trabalho e expirados os prazos aplicáveis, a informação que não precisa ser mantida é eliminada. O destino final da documentação pode ser definido no contrato, e pedidos do cliente nesse sentido são registrados por escrito.

A operação é organizada em torno do responsável técnico e da equipe de atendimento. O contato inicial chega à equipe, que faz a triagem; o conteúdo jurídico do caso é encaminhado ao advogado responsável, que decide sobre escopo e condução. Esse desenho reduz a superfície de exposição da informação sem criar demora artificial.

Dentro de um caso, o acesso acompanha a função: quem atende não precisa ver o documento técnico completo, e quem analisa não precisa do histórico comercial da conversa inicial. Documentos ficam armazenados com controle de acesso, e credenciais de sistemas não são compartilhadas entre pessoas.

Quando um caso exige participação de terceiros, como correspondentes ou profissionais especialistas, o compartilhamento é limitado ao necessário e acompanhado de dever de sigilo. O dever do advogado alcança as pessoas que o auxiliam, conforme o Código de Ética e Disciplina da OAB.

Comunicação, armazenamento e produção de documentos dependem de ferramentas digitais. O critério de escolha é a função: restrição de acesso por conta, possibilidade de revogação, clareza sobre onde o arquivo fica e compatibilidade com o sigilo do caso. Esta declaração não nomeia fornecedores porque a lista muda com o tempo; o que vale são os critérios.

Fornecedores atuam como operadores ou como controladores independentes, conforme o serviço prestado. Eles recebem apenas o volume necessário à execução do contrato e ficam sujeitos a obrigações de confidencialidade e segurança, como descrito na Política de Privacidade. Quando um canal novo passa a ser usado em um caso, o cliente é avisado.

Canais de mensagem rápida são úteis para alinhar agenda e dúvidas, mas não substituem o meio formal para documentos críticos do caso. Quando o assunto exige registro e confidencialidade reforçada, o trâmite acontece por escrito e, quando aplicável, com NDA assinado antes.

As medidas aplicadas ao ambiente do site incluem conexão criptografada nas páginas do domínio, controle de acesso a contas e sistemas, autenticação reforçada onde disponível e atualização de dependências. São medidas proporcionais ao porte da operação e descritas de forma completa na Política de Privacidade, que é o documento de referência para dados pessoais.

A navegação gera registros técnicos, como endereço IP, data e hora da requisição e páginas visitadas, e a medição de audiência usa o Google Analytics com identificador aleatório de navegador. O visitante pode bloquear cookies no navegador ou instalar o complemento oficial de desativação do Google Analytics, e a página funciona sem essa coleta.

Os compromissos sobre dados do site são explícitos: sem venda de dados pessoais, sem publicidade comportamental e sem decisão automatizada com efeito jurídico. Os registros de acesso a aplicações de internet seguem o previsto no Marco Civil da Internet.

A consulta de marca solicita o nome pretendido, o nome da pessoa e o telefone, grava o pedido em arquivo privado com a indicação preliminar apresentada e serve para identificar e responder à solicitação. Esses dados não são enviados à ferramenta de audiência nem utilizados para inscrição em campanhas.

O resultado da consulta é uma triagem nominal na base pública do INPI, com indicação de risco aparente. Ele não avalia o caso completo, não considera questões fáticas do uso da marca e não garante concessão do registro: a análise individual acontece na conversa com o advogado responsável.

As demais ferramentas seguem a mesma lógica de aviso prévio sobre entrada, saída e limite, resumida na tabela abaixo. Nenhuma delas substitui a análise jurídica do caso concreto.

A continuidade é tratada como obrigação profissional, não como argumento comercial. O compromisso é concreto: a informação de caso não fica restrita a um único equipamento ou conta, cópias de trabalho existem enquanto o caso está ativo e o acesso é verificado quando o canal ou o dispositivo muda.

Se uma perda ocorrer, o trabalho é reconstituído a partir do que está armazenado, e o cliente é informado sobre o impacto, se houver, nos prazos combinados. Contratos são entregues em 3 a 10 dias úteis, e demandas urgentes, como notificação judicial, vazamento de dados ou conta bloqueada, têm prioridade em atendimento de até 24h úteis. A continuidade existe para sustentar esses compromissos, não para anunciá-los.

Esta declaração não descreve a infraestrutura interna em detalhe técnico, porque o detalhe muda conforme a ferramenta evolui. O que fica registrado é o compromisso verificável no relacionamento: informação disponível durante o caso, prazo informado e comunicação direta quando algo falha.

Ao identificar um incidente, a primeira providência é conter: revogar acesso comprometido, bloquear canal afetado e preservar registros para entender o que aconteceu. Na sequência, avaliamos a natureza dos dados envolvidos, o volume, os titulares afetados e o risco concreto de dano.

Quando o incidente puder acarretar risco ou dano relevante, a comunicação é feita à Autoridade Nacional de Proteção de Dados e aos titulares afetados, no prazo e na forma da regulamentação, com descrição dos dados atingidos, informações sobre os envolvidos, medidas adotadas e recomendações de proteção.

Cliente com caso ativo é avisado pelo canal do caso, com informação direta sobre o que foi afetado e o que muda no cronograma. Demandas urgentes decorrentes do incidente, como vazamento de dados ou conta bloqueada, seguem a prioridade de até 24h úteis já descrita nesta declaração.

Se você identificar comportamento estranho em nossas comunicações ou suspeitar de golpe usando a identidade do escritório, relate pelos canais da seção 12: esse tipo de alerta é parte do controle.

O art. 48 da LGPD prevê comunicação de incidentes com risco relevante; o prazo e o conteúdo da comunicação seguem a regulamentação da ANPD vigente no momento do incidente.

As medidas do lado do escritório não alcançam a sua caixa de entrada nem o seu dispositivo. Por isso, as precauções já orientadas na Política de Privacidade valem aqui de novo: confira o endereço do remetente antes de responder, desconfie de cobrança recebida por canal diferente dos oficiais e mantenha o navegador e o sistema atualizados.

No primeiro contato, você ajuda a proteger o próprio caso com uma mensagem objetiva, sem anexos sigilosos, senhas, chaves privadas ou documentos de terceiros desnecessários. Se o assunto envolver informação estratégica, o NDA mútuo é assinado antes de o conteúdo circular, e a conversa acontece em reunião online de diagnóstico.

Cuidados simples reduzem o vetor mais comum de incidentes, que é a mensagem enganosa que alguém responde sem conferir. Eles protegem você, protegem o caso e diminuem a chance de uma informação sensível começar a circular no lugar errado.

Três tipos de relato interessam ao escritório: falha de segurança no site ou nas ferramentas, comunicação fraudulenta usando o nome, o e-mail ou o número do escritório e suspeita de incidente com dados percebida no contato. Qualquer pessoa pode enviar o relato, sem cadastro e sem custo.

Descreva o que aconteceu, onde e quando, com o passo a passo que reproduz o problema e a página ou o canal envolvido. Não envie exploração funcional de falha, senha, código de verificação ou documento sensível: o relato precisa demonstrar o problema, não produzir outro.

• descrição objetiva do problema e do impacto observado;
• URL, canal e horário em que o comportamento apareceu;
• passo a passo para reproduzir, sem incluir dado de terceiro;
• meio de contato para retorno, se você quiser resposta.