Política de privacidade

Última atualização: 29 de outubro de 2026

Esta política explica quais dados pessoais o Leis Brasil trata, para quê e por quanto tempo, nos termos da Lei Geral de Proteção de Dados (Lei nº 13.709/2018, LGPD). Ela vale para o site leisbrasil.com, o servidor MCP em /mcp e a API em /api.

Quem é o controlador

O controlador dos dados é Paulo A. J. Rodrigues Junior, pessoa física, responsável pelo Leis Brasil. Para qualquer pedido sobre dados pessoais, escreva para [email protected].

Em resumo

• Não há cadastro para o uso gratuito. O site só usa um cookie de sessão, e apenas para quem entra na conta de assinante.
• O servidor registra o IP e o endereço de cada requisição por 14 dias, para segurança e para aplicar o limite de consultas.
• Assinantes informam nome, e-mail e CPF ou CNPJ. Os dados de cartão ficam com o Asaas, intermediador de pagamento, nunca com o Leis Brasil.
• Nenhum dado é vendido nem usado para publicidade.

O que tratamos de quem usa o Serviço

• Registros de acesso: endereço IP, data e hora, rota acessada, código de resposta e identificação do programa cliente (User-Agent). Base legal: legítimo interesse em proteger o Serviço e prevenir abuso (art. 7º, IX).
• Termos pesquisados: na API, a consulta faz parte do endereço da requisição (por exemplo, /api/buscar?consulta=...); no MCP, a ferramenta chamada e os argumentos enviados (a consulta e o caminho da norma) vão no corpo da requisição. Os dois aparecem nos registros de acesso, junto com o tempo de resposta e a mensagem de erro, quando houver. Não coloque dados pessoais, nomes de clientes ou informações sigilosas nas buscas.
• Controle do limite de consultas: o IP, ou o bloco de rede no IPv6, fica na memória do servidor apenas pelo tempo necessário para contar as consultas do último minuto e não é gravado em disco por esse mecanismo.
• Estatísticas agregadas: o servidor contabiliza por hora o volume de acessos, as rotas mais usadas e o país de origem das requisições, para dimensionar o Serviço. Essas estatísticas são guardadas por até 30 dias.

O que tratamos de quem assina

• Dados de cadastro e de cobrança: nome ou razão social, e-mail, CPF ou CNPJ (que é o login da conta) e o histórico das cobranças e dos pagamentos.
• Senha da conta: guardada apenas como resumo irreversível (Argon2id). Ninguém, nem o responsável pelo Serviço, consegue ver a senha.
• Dados de pagamento: número de cartão, dados bancários e similares são informados diretamente ao intermediador de pagamento, no ambiente dele. O Leis Brasil recebe apenas a confirmação do pagamento.
• Chave de API: é guardado somente um resumo criptográfico (SHA-256) da chave, junto com o nome da assinatura, as datas de criação e de revogação e o limite contratado. A chave original não fica armazenada.
• Mensagens: os e-mails trocados com o suporte.

Base legal: execução do contrato (art. 7º, V), cumprimento de obrigação legal ou fiscal (art. 7º, II) e exercício regular de direitos (art. 7º, VI).

Com quem os dados são compartilhados

Somente com quem é necessário para o Serviço funcionar:

• Cloudflare: todo o tráfego passa pela Cloudflare, que protege o site contra ataques e entrega as páginas, conforme a política de privacidade dela.
• Asaas Gestão Financeira S.A.: intermediador de pagamento, recebe o nome, o e-mail e o CPF ou CNPJ para emitir as cobranças recorrentes e enviar os avisos de cobrança.
• Autoridades públicas: quando a lei ou uma ordem judicial exigir.

Transferência internacional

A Cloudflare pode processar dados fora do Brasil. Essa transferência ocorre para viabilizar o Serviço, com base no art. 33 da LGPD e nas garantias contratuais desse provedor.

Cookies

O site não usa cookies de publicidade nem de rastreamento. O único cookie é o de sessão (__Host-sessao), criado quando o assinante entra na conta. Ele é estritamente necessário para manter o login, vale por 7 dias, só trafega por HTTPS, não pode ser lido por scripts e é apagado ao sair. A API e o MCP não usam cookies: a identificação do assinante é feita apenas pela chave enviada no cabeçalho Authorization.

Por quanto tempo guardamos

• Registros de acesso: 14 dias. Depois disso são descartados no ciclo de rotação, salvo quando precisarem ser preservados para apurar um incidente ou atender ordem judicial.
• Estatísticas agregadas: até 30 dias.
• Cadastro e cobranças: enquanto a assinatura estiver ativa e, depois, pelo prazo exigido pela legislação fiscal e civil.
• Resumo da chave de API: enquanto a assinatura existir. A chave revogada é mantida apenas como registro, sem permitir acesso.
• Sessões e links de senha: a sessão expira em 7 dias e o link para definir a senha, em 24 horas. Os dois são guardados apenas como resumo irreversível.

Segurança

A conexão é sempre criptografada (HTTPS). As chaves de API, as senhas e as sessões são guardadas apenas como resumo irreversível, e tentativas seguidas de login com senha errada bloqueiam a conta temporariamente. O servidor não expõe caminhos internos nem dados de outros usuários nas respostas, e o acesso administrativo é restrito ao responsável pelo Serviço. Se houver um incidente de segurança com risco relevante aos titulares, ele será comunicado à ANPD e aos afetados, como prevê o art. 48 da LGPD. As condutas proibidas, inclusive a proibição de pentest, estão nos Termos de serviço.

Seus direitos

Pelo art. 18 da LGPD, você pode pedir confirmação de que tratamos seus dados, acesso, correção, anonimização, bloqueio ou eliminação do que for desnecessário, portabilidade, informação sobre compartilhamento e revogação do consentimento, quando ele for a base do tratamento. Envie o pedido para [email protected]. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

Alterações

Esta política pode ser atualizada. A versão vigente é sempre a publicada nesta página, com a data no topo. Mudanças relevantes são comunicadas aos assinantes por e-mail.