Esta página diz, em linguagem comum, o que acontece com os dados de quem visita este site, de quem usa o sistema e dos clientes do escritório que o usa. Ela descreve o que está construído — não o que se pretende construir. O que ainda não existe está dito como tal.
A Sigillia é um sistema de gestão para escritórios de advocacia, construído e operado por Matheus Bonat, em Curitiba, Paraná — pessoa física, com empresa em constituição. Enquanto a empresa não existir, é ele quem responde por esta política e é o canal de comunicação com os titulares e com a Autoridade Nacional de Proteção de Dados (art. 41 da LGPD; a Resolução CD/ANPD 2/2022 dispensa o agente de pequeno porte de indicar um encarregado, mas não de manter esse canal — é o e-mail no fim desta página). A indicação de um encarregado distinto vem com a empresa.
Há dois papéis distintos, e a diferença importa para saber a quem pedir o quê:
Na prática: quem é cliente de um escritório e quer saber o que existe sobre si pede ao escritório, que tem os meios de responder; a Sigillia ajuda o escritório a responder. Quem tem conta no sistema, ou visitou o site, fala diretamente com a Sigillia, pelo canal do fim desta página. O painel da infraestrutura é só do operador: o escritório não tem acesso a ele.
Este site não usa cookies, não tem ferramenta de análise de audiência e não guarda nada seu no navegador — a demonstração em /dashboard-preview lembra só o tema escolhido (claro ou escuro), no próprio navegador, e isso não sai de lá. O que existe é o registro técnico comum a qualquer servidor — endereço IP, página pedida, data e hora —, mantido pela hospedagem (Hostinger) para segurança e diagnóstico. As fontes tipográficas são carregadas dos servidores do Google (Google Fonts), que recebe o endereço IP do visitante para entregá-las; é o único terceiro que uma visita a este site alcança.
Não há cadastro aberto: uma conta só nasce por convite nominal de um escritório, e nasce mínima — sem permissão nenhuma; o titular do escritório abre depois o que cada pessoa precisa. O sistema é para a equipe do escritório e, no portal do cliente, para quem o escritório convidar a acompanhar um processo; não há conta para menor de idade. Da pessoa, o sistema guarda o nome, o e-mail de acesso, a senha (só o seu resumo criptográfico — a senha em si não é armazenada), o segundo fator (a chave que liga o aplicativo autenticador à conta — nunca o código, que muda a cada meio minuto — e a data em que o código foi digitado pela última vez; obrigatório para toda a equipe), a inscrição na OAB e o telefone quando informados, a identidade Google quando a pessoa escolhe entrar por ela, e as preferências (como receber ou não o alerta de prazo por e-mail).
O cliente do escritório também pode ter conta — no portal do cliente, se o escritório o usar. Ela nasce do mesmo jeito: só por convite do titular do escritório, que passa à pessoa, por telefone ou pessoalmente, um código de 6 dígitos; sem o código, a conta não alcança nada. O cliente entra com o e-mail e uma senha, sem o código do aplicativo autenticador, que é só da equipe; por isso, da pessoa, o sistema guarda o nome, o e-mail e a senha só como resumo criptográfico — o sistema não pede a ela o aplicativo autenticador, e por isso não guarda a chave dele — e, do lado do escritório, quem acompanha qual cliente, desde quando e até quando. A sessão parada se encerra do mesmo jeito que a da equipe, e com "manter conectado" dura no máximo 30 dias; quem esquece a senha a recupera pelo próprio e-mail. O que ela vê é escolhido processo por processo pelo titular: o número, o tribunal, a fase e os andamentos que o CNJ já publica; nunca prazos, financeiro, anotações, documentos ou processo em segredo de justiça. Para esses dados o controlador continua sendo o escritório, e a Sigillia, a operadora. O acesso termina quando o escritório o encerra, quando arquiva o cliente ou quando a pessoa deixa de acompanhar, e o registro de quem acompanhou é apagado 12 meses depois do fim — ou na hora, se o escritório excluir o cliente. A conta de entrada da pessoa (o nome, o e-mail e a senha) não sai sozinha com essa exclusão: a Sigillia a remove a pedido do escritório.
Dos acessos, há três registros. O da entrada — quem, quando, de que endereço IP — é mantido pela camada de autenticação e não é exibido a ninguém. O do último uso de cada sessão — só o horário, sem endereço IP e sem o que foi feito — existe para encerrar a sessão parada: sem "manter conectado", ela termina depois de 30 minutos sem uso, e é o próprio banco que recusa a sessão vencida. Ninguém o lê, nem o titular do escritório, e ele é apagado 31 dias depois do último uso. O que o titular do escritório lê é o registro de acesso a três coisas: a abertura de cada processo sob sigilo, cada exportação e cada download — quem, quando e o quê, sem endereço IP. O sistema não registra cada consulta de lista, de propósito: registrar tudo produziria um segundo banco de dado sensível. É esse registro que responde "quem viu o quê" onde isso importa.
Cada pessoa pode, se quiser, conectar a própria agenda do Google. É opcional, nasce desligado e se desfaz num clique. O que a Sigillia pede ao Google é o mínimo que faz o trabalho: permissão para criar uma agenda secundária chamada Sigillia dentro daquela conta, escrever nela e apagá-la, mais o endereço de e-mail — este só para a tela poder dizer em qual conta a agenda nasceu, porque conectar a conta errada é o engano mais provável deste fluxo e o sintoma é idêntico ao de não funcionar. Essa permissão não lê a agenda pessoal: ela alcança apenas as agendas que o próprio aplicativo criou. A restrição não é promessa nossa, é o limite do que o Google concede — a permissão que leria todos os compromissos da pessoa existe, tem outro nome, e não foi pedida.
Para essa agenda vão só os compromissos pelos quais a pessoa responde — prazo fatal, prazo interno, audiência e reunião —, e o evento de um processo leva o tipo e a hora: "Prazo fatal", "Audiência". Sem nome de cliente, sem número de processo, sem valor. A pessoa pode ligar, na sua própria tela, o envio também do título desses compromissos; a chave nasce desligada e a mudança fica registrada. O compromisso avulso — o que não pertence a processo nenhum — é diferente: o título dele vai sempre, porque é o texto que o próprio escritório escreveu para a própria agenda, e vai como foi escrito. Processo em segredo de justiça nunca é espelhado, com a chave ligada ou desligada, e o que for concluído sai da agenda. O espelho é de mão única: o que for editado no Google não volta para o sistema e é reescrito no envio seguinte. Deste lado ficam só a credencial de renovação, cifrada com uma chave que não existe no banco de dados, e o identificador da agenda criada; ao desconectar, a agenda que criamos é apagada daquela conta e a credencial é descartada. Cada envio entra no registro de exportação do escritório, porque mandar dado para fora é exportar, e exportação se audita.
É o que o escritório cadastra: clientes (nome, CPF ou CNPJ, contato, observações) e, quando o escritório a preenche, a qualificação que a petição inicial exige (art. 319, II do CPC: nacionalidade, estado civil, união estável, profissão, data de nascimento e endereço); processos (número, partes, vara, marca de sigilo) e as anotações na ficha deles; os arquivos do processo e do cliente — petições, procurações, contratos, provas e documentos pessoais como RG e comprovante de endereço; prazos, tarefas e a devolutiva de cada tarefa com os seus anexos; contratos de honorários e o financeiro (parcelas, o que entrou, comprovantes de pagamento); os modelos de peça que o escritório envia; mensagens de suporte. Parte disso tem proteção reforçada: o que um processo ou uma observação revela pode ser dado pessoal sensível no sentido da lei (art. 5º, II — saúde, convicção, filiação), e o que corre em segredo de justiça está sob sigilo legal. É tratado como tal: o CPF ou CNPJ do cliente — dado pessoal, e o mais exposto a abuso — é guardado cifrado, e um processo em segredo de justiça só se abre para quem tem escopo para ele, com registro de cada abertura. Quando o escritório gera uma peça a partir de um dos seus modelos, o cadastro e a qualificação do cliente — o CPF ou CNPJ por inteiro, inclusive, como a petição exige — passam a existir dentro de um documento, guardado entre os arquivos do processo; abrir esse documento pede a mesma permissão que mostra o CPF ou CNPJ completo. Dados de crianças e adolescentes só entram como parte do acervo de um processo, sob a responsabilidade do escritório (art. 14).
A esse acervo o sistema acrescenta o que vem de fontes públicas do Conselho Nacional de Justiça: as comunicações dos diários oficiais, do Diário de Justiça Eletrônico Nacional (DJEN), buscadas pelas inscrições na OAB que o escritório escolhe acompanhar; e as movimentações do DataJud, lidas para todo processo do acervo que tenha número no padrão do CNJ — exceto o processo em segredo de justiça, o arquivado e o de tribunal que o DataJud não cobre. Dessas fontes entram o texto da movimentação ou da comunicação, o número do processo, o tribunal e o órgão, o tipo, a data e o link para o documento oficial. Os campos à parte que trazem nomes de partes e de advogados são descartados antes de tocar o banco; o texto da intimação, porém, entra como o diário o publicou — e o diário costuma nomear as partes. O monitoramento pago do Escavador está desligado; se um dia for ligado, vale a mesma regra: saem o número do processo ou da inscrição na OAB, entra o texto — na publicação de diário, só a janela em volta da inscrição, nunca a página inteira.
O que a Sigillia não faz com esses dados: não os vende, não os cede, não os usa para publicidade, não treina modelo nenhum com eles, e não os cruza entre escritórios — cada escritório é um espaço isolado por regra do banco de dados, não por promessa.
Nenhum sistema deste tamanho roda sozinho. Supabase, AWS, Hostinger e Resend tratam em nome da Sigillia (operadores). Cloudflare e Google tratam o que recebem sob os termos deles. O CNJ e o Escavador são fontes: recebem um número e devolvem texto público; não tratam dado em nosso nome.
| Quem | O que recebe | Para quê |
|---|---|---|
| Supabase | Todo o banco de dados, a autenticação e os arquivos, em servidores na região de São Paulo | É onde o sistema mora. Os dados ficam no Brasil. |
| AWS (Amazon Web Services) | Uma cópia dos arquivos guardados no sistema — petições, procurações, contratos, provas e documentos pessoais do cliente —, em servidores na região de São Paulo. Só os bytes: o nome do arquivo, a espécie, o processo e o cliente não saem daqui; lá cada arquivo tem por nome apenas identificadores internos, que não dizem de quem é nem do que trata. | Cópia de segurança. O provedor onde o sistema mora faz cópia do banco de dados, mas não dos arquivos — e uma petição protocolada ou uma procuração assinada não se reemitem. A cópia acompanha a remoção: o arquivo apagado aqui é apagado lá. |
| Hostinger | Os registros técnicos de acesso ao site e ao painel | Hospedagem das páginas. |
| Resend | O endereço de e-mail e o conteúdo de cada mensagem enviada: convite, recuperação de senha, os avisos do sino (a frase e a data) e as mensagens de suporte escritas pela pessoa | Envio de e-mail transacional. |
| Cloudflare | O desafio de "prova de navegador" na tela de entrada e na recuperação de senha (Turnstile), que roda numa moldura da Cloudflare, com o armazenamento dela, separado do nosso | Barrar robôs sem pedir que a pessoa decifre imagens. |
| Quando a pessoa escolhe "Entrar com o Google", o Google fica sabendo que aquela conta entrou na Sigillia e devolve o e-mail, o nome e a foto de perfil — o sistema usa o e-mail e o nome; a foto fica guardada na identidade e não aparece em lugar nenhum. Quando a pessoa conecta a agenda, recebe também os compromissos dela: tipo, data e hora; o título, nos compromissos de processo, só se ela ligar essa chave, e nos avulsos, sempre. Em toda visita a este site, recebe o endereço IP para entregar as fontes tipográficas. | Entrada por identidade própria, sem senha emitida pelo escritório; e o espelho da agenda, quando a pessoa o liga. São dois aplicativos do Google separados de propósito: revogar um não derruba o outro. | |
| CNJ (DJEN e DataJud) | O número de inscrição na OAB das pessoas que o escritório pediu para acompanhar (DJEN), e o número de cada processo do acervo que esteja no padrão do CNJ, fora os sigilosos e os arquivados (DataJud) | Consultas a bases públicas do Judiciário. São consultas, não cadastros: o CNJ não recebe nada além do número. |
| Escavador | Desligado: nada sai para o Escavador. O sistema roda sem ele, e ligá-lo depende de decisão da Sigillia e de aceite escrito do titular. Quando ligado: o número dos processos e das inscrições na OAB a acompanhar | Aviso de movimentação no mesmo dia. A conta é da Sigillia; o pedido do escritório só é ligado com aceite escrito do titular, porque os termos do Escavador não o colocam como operador de dados em nosso nome. |
O banco de dados e a cópia de segurança dos arquivos ficam no Brasil. Resend, Cloudflare e Google podem processar fora do país o pouco que recebem — um e-mail, um desafio de navegador, uma identidade que a própria pessoa escolheu usar —, com as garantias das cláusulas contratuais de proteção de dados de cada um deles (art. 33, II, "a", da LGPD, na forma da Resolução CD/ANPD 19/2024). Do acervo do escritório quase nada sai do banco para esses três, por desenho, e as duas exceções são escolhas de quem as faz: o que a própria pessoa escrever numa mensagem de suporte, que segue por e-mail como ela a escreveu, e os compromissos que ela mandar para a própria agenda do Google, se conectá-la.
Sobre o que vem das APIs do Google e o que vai para elas vale um compromisso escrito deles, e assumido aqui: o uso e a transferência, pela Sigillia, de informações recebidas das APIs do Google obedecem à Política de Dados do Usuário dos Serviços de API do Google, inclusive aos requisitos de Uso Limitado. No original: "Sigillia's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements." Na prática, é o que já está dito acima: esses dados servem só à função que a pessoa pediu, não são vendidos, não alimentam publicidade e não treinam modelo de inteligência artificial.
| Regra | Vale para | Prazo |
|---|---|---|
| R-1 | O cliente do escritório, com a qualificação e os documentos pessoais dele | 5 anos após o encerramento do último processo dele (ou do último contrato, se nunca houve processo) |
| R-2 | O processo e tudo que o segue: ficha, anotações, movimentações, publicações vinculadas, prazos ligados e os arquivos do processo, inclusive as peças geradas | 5 anos após o arquivamento. Os arquivos não começam a contar enquanto o processo corre. |
| R-3 | Contratos, rateios, parcelas pagas, acertos, comprovantes | 5 anos após o fim do exercício fiscal. Parcela pendente não expira: ainda é dívida. |
| R-4 | O operacional: tarefas encerradas e os anexos da entrega delas, avisos, mensagens de suporte, convites encerrados, publicações não vinculadas, prazos avulsos, metas vencidas e a origem do cliente (indicação, site, anúncio) | 12 meses. Um processo automático apaga todo dia o que passou, e registra quantos itens saíram — nunca o conteúdo. O titular lê esse registro. |
| R-5 | Os registros de acesso e de alteração | O maior prazo entre os dados a que se referem, e nunca menos que 5 anos. O registro que diz "quem mexeu" não pode sumir antes do dado. |
Hoje o apagamento automático existe para a regra R-4. As regras de cinco anos ainda não têm rotina automática — não há nada a apagar por elas antes de 2031 — e serão aplicadas antes do primeiro vencimento. Quando um escritório encerra o contrato, o acesso de todos é cortado na hora; o acervo é entregue em formato aberto antes disso, sem carência — hoje pela Sigillia, a pedido, porque ainda não há botão para isso —, e depois segue os prazos acima até sair.
Esses prazos são o máximo, não o mínimo. O escritório, que é o controlador, pode excluir antes: o titular do escritório exclui um cliente ou um processo — primeiro o arquiva, depois confirma a exclusão com um código novo do aplicativo autenticador. A exclusão é definitiva: não há lixeira, e o sistema não a desfaz. Com o processo saem a ficha, as anotações, as movimentações, as publicações ligadas a ele, os prazos e as tarefas; com o cliente, a qualificação e o registro de quem o acompanhava no portal. Três coisas ficam. O registro do ato — quem excluiu, quando, e que era um cliente ou um processo —, sem o conteúdo: nem nome, nem documento, nem número. O financeiro: o cliente com contrato ou parcela não é excluído, fica arquivado, porque guardar o financeiro pelo prazo fiscal é obrigação legal (art. 16, I). E a cópia diária de segurança do banco de dados, que ainda contém o que foi excluído até ser substituída pelas cópias seguintes, no ciclo da plataforma, e que só serve para restaurar o sistema. Um cliente ou um processo com arquivos guardados só é excluído depois de cada arquivo ser removido, um a um — e a remoção alcança também a cópia dos arquivos no segundo provedor.
Cada escritório é um espaço separado por políticas de acesso no próprio banco de dados. A tela não decide quem vê o quê; o banco decide.
Toda conta da equipe do escritório exige o código do aplicativo autenticador, matriculado no primeiro acesso e pedido de novo a cada sete dias. A pessoa não consegue desligá-lo. Quem perde o aplicativo não recupera sozinho: o administrador remove o fator depois de confirmar por ligação, e a remoção fica registrada e avisa o titular. O cliente do portal, que só consulta o que o escritório liberou, entra com e-mail e senha.
O CPF ou CNPJ do cliente é guardado cifrado, com a chave fora da tabela, e é recortado no servidor: sem a permissão, o número não sai do banco. A busca por documento não expõe o número. Numa peça gerada a partir de modelo ele aparece por inteiro, como a petição exige — e abrir a peça pede a mesma permissão.
Abrir um processo em segredo de justiça exige escopo para ele e deixa registro: quem, quando, qual. Exportar dados e abrir ou baixar qualquer arquivo também ficam registrados — antes de o endereço de download existir.
Os registros de acesso e de alteração só aceitam inserção: nem o titular edita ou apaga uma linha. O titular os lê — e lê também o que o expurgo apagou e o que o escritório excluiu: que houve, quem e quando, sem o conteúdo.
Nenhum arquivo é público. Um comprovante, um documento do processo ou do cliente, um anexo de tarefa, um modelo ou uma peça gerada só é entregue por um endereço assinado que vale 60 segundos, depois de o banco confirmar quem pediu.
O banco tem cópia diária de segurança, e os arquivos têm cópia própria, num segundo provedor. A restauração foi ensaiada em 16 de setembro de 2026, antes de o primeiro escritório entrar, e se repete a cada três meses, com a data registrada; o próximo ensaio parte da cópia diária baixada da plataforma. Cópia que nunca foi restaurada é esperança, não cópia.
O ambiente de teste usa só dado fictício e nunca consulta o CNJ nem o Escavador. O financeiro nunca acompanha o compartilhamento de um processo com um parceiro.
A LGPD (art. 18) garante ao titular: a confirmação de que há tratamento; o acesso aos dados; a correção do que estiver incompleto, inexato ou desatualizado; a anonimização, o bloqueio ou a eliminação do que for desnecessário, excessivo ou tratado fora da lei; a portabilidade; a eliminação dos dados tratados com o seu consentimento; a informação sobre com quem os dados foram compartilhados; a informação sobre a possibilidade de não consentir e sobre as consequências disso; a revogação do consentimento; e a oposição a um tratamento feito sem consentimento, quando ele descumprir a lei. Quem não for atendido pode peticionar à Autoridade Nacional de Proteção de Dados.
O acervo responde ao escritório, que é o controlador dele. O sistema exporta em formato aberto (CSV) o que tem tela para isso — hoje, o relatório por período, que leva contagens e somas por área, sem nome, documento ou número de processo —, e cada exportação fica registrada, porque sair também é um acesso. A exportação da base de clientes ainda não tem botão; quando tiver, exigirá um código novo do aplicativo autenticador e será registrada como as demais. A entrega do acervo completo, no encerramento do contrato ou quando o titular pedir, é feita pela Sigillia em formato aberto, sem carência e sem pedido formal.
O site e o sistema não usam cookies próprios. O sistema guarda no armazenamento do navegador a sessão — até fechar a aba ou até 30 minutos sem uso, o que vier primeiro; ou, quando a pessoa marca "manter conectado neste computador" (que vem sempre desmarcado), por até 30 dias; só a autenticação, e para a equipe o segundo fator continua sendo pedido a cada sete dias — e conveniências de tela, como o tema escolhido, que não identificam ninguém. Nada disso sai do navegador. O desafio do Turnstile, na tela de entrada, roda numa moldura da Cloudflare, com o armazenamento dela.
Um incidente de segurança que possa causar risco ou dano relevante aos titulares é comunicado à Autoridade Nacional de Proteção de Dados em até três dias úteis a partir de quando se soube dele (art. 48 da LGPD e Resolução CD/ANPD 15/2024) — e, no mesmo passo, a quem ele atinge: diretamente a quem tem conta ou visitou o site, e ao escritório, na hora, para que ele avise os clientes dele. A comunicação diz o que se sabe, o que foi feito e o que falta.
Esta página muda quando o sistema muda. Toda versão traz a data; uma mudança que altere o que é coletado, com quem é compartilhado ou por quanto tempo fica é avisada por e-mail ao titular de cada escritório antes de valer.
Versão 6 · 10 de outubro de 2026