Segurança e sigilo profissional desde a conceção

Para gerar respostas, Amara usa modelos da OpenAI e da Anthropic através dos seus serviços profissionais: recebem apenas a informação necessária para cada tarefa e não a usam para treinar modelos. Lista de subcontratantes (em espanhol).

• Acesso com a sua conta: email e palavra-passe ou conta Google. Sem utilizadores partilhados.
• Permissões por escritório, equipa e utilizador, aplicadas no servidor e não apenas no ecrã.
• Escritórios isolados entre si. Numa rede, cada escritório partilha apenas o que decide.
• Cifragem em trânsito (HTTPS obrigatório) e cifragem da base de dados.
• Análise de segurança automática antes de publicar cada nova versão da aplicação.
• Infraestrutura protegida pela rede da Cloudflare contra ataques de negação de serviço.
• Pseudonimização e anonimização dos documentos antes de os incorporar na biblioteca.

Em Portugal, o tratamento de dados pessoais rege-se pelo RGPD e pela Lei n.º 58/2019, de 8 de agosto (Diário da República), que assegura a sua execução, sob a supervisão da CNPD. Amara atua como subcontratante e o escritório como responsável pelo tratamento.

O sigilo profissional do advogado (artigo 92.º do Estatuto da Ordem dos Advogados) é o ponto de partida: Amara prepara e propõe, o advogado revê e decide, e nenhum dado do escritório é usado para treinar modelos. A certificação ISO/IEC 27001 está em curso e não a apresentamos como obtida.

Não. Os processos, documentos, notas e a memória de Amara não são usados para treinar modelos. Os fornecedores de modelos de IA recebem, através dos seus serviços profissionais, apenas a informação necessária para cada tarefa e também não a usam para treinar. A base de dados e os ficheiros ficam na Amazon Web Services, em Paris.

Quando incorpora documentos na biblioteca do escritório, escolhe como tratar os dados pessoais:

• Pseudonimização: os nomes e dados identificativos são substituídos por códigos e só quem tem a chave pode voltar a identificar as pessoas. Continuam a ser dados pessoais nos termos do RGPD.
• Anonimização: os dados identificativos são eliminados de forma irreversível e ninguém pode voltar a identificar as pessoas.

O escritório é o responsável pelo tratamento: decide que dados dos seus clientes carrega em Amara e para quê. Amara atua como subcontratante, trata esses dados por conta do escritório e dentro de um acordo de subcontratação conforme ao RGPD. Os fornecedores que intervêm no serviço constam da lista pública de subcontratantes.

Na prática, o escritório mantém o controlo: cada advogado tem a sua conta, as permissões atribuem-se por escritório, equipa e utilizador, e o escritório decide que processos e documentos se partilham. Numa rede de escritórios, cada escritório guarda a sua informação e só partilha o que decide.

Seja qual for a ferramenta, estas são as perguntas que um advogado deve fazer antes de lhe confiar informação sujeita a sigilo profissional:

1. Onde ficam os dados? País, fornecedor e lista de subcontratantes. Em Amara: União Europeia, com a lista publicada.
2. Os dados treinam modelos? Peça que fique por escrito. Em Amara: não.
3. Há acordo de subcontratação? Em Amara: sim, conforme ao RGPD.
4. Cada advogado tem a sua conta? Evite utilizadores partilhados e confirme que as permissões se aplicam no servidor.
5. A informação circula cifrada? Em Amara: HTTPS obrigatório e base de dados cifrada.
6. Pode pseudonimizar ou anonimizar? Faça-o antes de partilhar documentos. Também pode usar as ferramentas gratuitas para anonimizar documentos.
7. Quem revê o resultado? Abra cada fonte citada e confirme-a antes de a usar numa peça. A decisão e a assinatura são sempre do advogado.

Se encontrar uma vulnerabilidade, escreva para seguridad@amaralegal.ai com a descrição, os passos para a reproduzir e o URL afetado. Respondemos por escrito. Também em security.txt.