RIPD — Relatório de Impacto à Proteção de Dados
Avaliação de risco das duas operações mais sensíveis do valmor.net.br: o estúdio de IA com transferência internacional e a medição de audiência por legítimo interesse.
Relatório previsto no art. 38 da LGPD. Cobre as duas operações de maior risco do site; as demais são de baixo risco e estão descritas no registro de tratamento.
- Controlador: Arvore da Vida Comercio e Confeccoes de Roupas Masculinas, Femininas e Infantis Ltda — CNPJ 07.865.795/0001-40
- Encarregado: Valmor Martins do Nascimento
- Data: 26/07/2026
Operação A — Estúdio de IA com transferência internacional
A.1 Descrição
Usuários escrevem texto livre e enviam arquivos para gerar respostas e imagens. O conteúdo é transmitido a provedores de IA no exterior, processado e devolvido. Conversas e imagens ficam guardadas na conta do titular.
Provedores e jurisdições: OpenAI, Anthropic, Google, NVIDIA, fal.ai, Ideogram, Brave (Estados Unidos); DeepSeek e Z.ai/Qwen (China).
A.2 Necessidade e proporcionalidade
A finalidade — oferecer criação assistida — não é alcançável sem processamento por modelo de linguagem, e não existe provedor equivalente no Brasil. A alternativa seria não oferecer o serviço.
A proporcionalidade se sustenta porque: o titular escolhe o que enviar, o uso é opcional dentro do site, e o conteúdo não é usado para nenhuma finalidade secundária nossa.
A.3 Riscos identificados
| Risco | Probabilidade | Impacto | Avaliação |
|---|---|---|---|
| Titular envia dado pessoal de terceiro (nome, documento de cliente) | Média | Alto | Alto |
| Titular envia dado sensível sobre si (saúde, opinião, biometria) | Média | Alto | Alto |
| Provedor usar o conteúdo para treinar modelo | Baixa | Médio | Médio |
| Jurisdição sem decisão de adequação (China) — acesso estatal | Baixa | Alto | Médio-alto |
| Vazamento de arte autoral enviada para personalização | Baixa | Médio | Médio |
| Acesso indevido às conversas guardadas | Baixa | Alto | Médio |
A.4 Medidas adotadas
- Consentimento específico e destacado (art. 33, VIII) exigido antes do primeiro envio, com aviso que nomeia os países e destaca a China como jurisdição sem decisão de adequação da ANPD.
- Aplicação no servidor:
/api/ai/chate/api/ai/imagerespondem 428 sem o aceite. O consentimento não é decorativo — não há caminho que o contorne, nem chamando a API diretamente. - Registro do aceite em
user_consents, append-only, com a versão da política vigente — prova de sob qual texto o titular consentiu. - Revogação a qualquer momento em Conta → Ajustes → Privacidade.
- Orientação explícita, no modal e nos Termos, para não enviar dados sensíveis, documentos ou dados de terceiros.
- IP não é registrado na telemetria de IA (coluna removida na migration 047).
- Conteúdo das conversas não é gravado nos logs técnicos.
- Conversas e imagens sob RLS; eliminação imediata pelo titular.
- Arquivos enviados no chat em prefixo privado de Storage, servidos por proxy com autorização por acesso.
A.5 Risco residual
Médio. O principal vetor remanescente é comportamental: o titular pode enviar dado sensível apesar do aviso. Não há forma técnica de impedir sem inspecionar o conteúdo — o que seria, em si, um tratamento mais invasivo.
Mitigação adicional a avaliar: aviso permanente sob o campo de entrada (já previsto) e detecção heurística de padrões de CPF/cartão no cliente, sem enviar nada ao servidor.
A.6 Reavaliação
A cada inclusão de provedor novo ou mudança de jurisdição. Provedor ausente de
src/lib/privacy/data-residency.ts é tratado como estrangeiro por padrão
(fail-safe) — pede consentimento a mais, nunca a menos.
Operação B — Medição de audiência por legítimo interesse
B.1 Descrição
Cada página visitada gera um registro em page_views com caminho, referrer,
país/cidade/região (do edge da Cloudflare), navegador, sistema, dispositivo,
idioma, resolução e um identificador de sessão que expira ao fechar a aba.
B.2 Teste de balanceamento (art. 10)
Legítimo interesse. Entender quais conteúdos e produtos são procurados para priorizar melhorias. Interesse concreto e específico, não genérico.
Necessidade. Não há meio menos invasivo de obter o dado. Já reduzimos ao mínimo: sem IP, sem User-Agent bruto, sem identificador persistente entre sessões, sem cruzamento com base externa.
Expectativa legítima do titular. Medição de audiência primeira-parte é prática esperada em qualquer site. O que frustraria a expectativa seria compartilhar com anunciantes — o que não fazemos, nem temos meio de fazer, já que nenhum terceiro recebe esses dados.
Direitos e liberdades. O risco de identificação é baixo mas não nulo: a combinação cidade + navegador + resolução + timezone tem poder de fingerprinting sobre um visitante raro. Por isso a retenção é curta e a recusa é trivial.
B.3 Salvaguardas
- Recusa em um clique no aviso da primeira visita, com peso visual idêntico ao de aceitar. Diferenciar seria dark pattern e contaminaria a validade da escolha.
- Aplicada no servidor (
/api/analytics/pageview), não só no navegador — é o que torna a recusa auditável. - Identificador de sessão em
sessionStorage, some ao fechar a aba, e só é criado depois do gate: quem recusou não recebe nem id. - Retenção máxima de 14 meses, com eliminação automática semanal.
- Zero rastreadores de terceiros: sem Google Analytics, Meta Pixel ou Sentry.
B.4 Risco residual
Baixo. Dado de baixa sensibilidade, sem compartilhamento, com retenção curta e opt-out efetivo dos dois lados.
B.5 Decisão registrada
A recusa falha aberta: cookie ausente ou corrompido conta como legítimo interesse ativo, e o aviso reaparece. A alternativa (falhar fechada) zeraria a medição em silêncio a cada bug de cookie, sem que ninguém percebesse. Como o tratamento é de baixo risco e a recusa explícita é sempre respeitada, o balanceamento favorece falhar aberta.
Conclusão
Ambas as operações são consideradas adequadas com as medidas descritas. A Operação A permanece a de maior atenção e deve ser reavaliada a cada mudança no conjunto de provedores.