Casa do Cartório
Controladora: Orya Capital Tecnologia Ltda., CNPJ 33.796.694/0001-74
Sede: Rua Schilling, 471, Vila Leopoldina, São Paulo/SP.
Versão de 8 de outubro de 2026. Vigente a partir da publicação nesta página.
Canal de privacidade: privacidade@casadocartorio.com.br. Encarregado pelo tratamento de dados pessoais: Yuri Armellei.
Esta Política explica como a Orya Capital Tecnologia Ltda. trata dados pessoais ao operar a plataforma Casa do Cartório, seus sites, áreas autenticadas, APIs, assistentes de inteligência artificial, comunicações e serviços relacionados. Ela se aplica a visitantes, usuários cadastrados, representantes e integrantes de serventias, pessoas convidadas para colaborar, pagadores, contatos comerciais e pessoas mencionadas em fontes públicas ou licenciadas usadas pela plataforma.
A Política abrange os domínios e aplicativos que apresentem um link para este documento. Serviços de terceiros acessados por links externos possuem regras próprias. Dados anonimizados de modo que não permitam identificar uma pessoa por meios razoáveis ficam fora do conceito de dado pessoal enquanto a anonimização for mantida.
Resumo: a Orya usa dados para entregar a plataforma, autenticar usuários, comprovar vínculos com serventias, enviar alertas, processar assinaturas, gerar documentos e análises, proteger o ambiente e compilar informações sobre o setor extrajudicial. Não comercializamos credenciais, documentos comprobatórios, conteúdo financeiro ou dados fornecidos em áreas privadas.
Controladora. A Orya é controladora quando define por que e como trata dados de visitantes e usuários, dados de conta, cobrança, segurança, relacionamento, melhoria do serviço e informações obtidas de fontes públicas ou licenciadas para compor seus produtos e análises.
Operadora. A Orya pode atuar como operadora quando uma serventia ou outro cliente inclui na plataforma dados de terceiros e determina as finalidades desse uso. Nessa situação, o cliente é o controlador e a Orya segue suas instruções, o contrato aplicável e a legislação. Pedidos de titulares podem ser encaminhados ao cliente responsável ou atendidos com sua participação.
Controladores independentes. Alguns fornecedores, como instituições de pagamento, podem decidir de forma independente sobre tratamentos necessários para cumprir suas próprias obrigações legais e regulatórias. As políticas desses fornecedores também se aplicam aos serviços prestados diretamente por eles.
As categorias abaixo variam conforme os recursos utilizados.
Endereço IP, data e hora, identificadores técnicos, porta lógica de origem quando disponível ou exigida, navegador, sistema operacional, idioma, páginas e recursos acessados, URL de referência, eventos de erro e registros de autenticação.
Token de sessão, identificador da conta, contexto da serventia ativa e dados necessários para prevenir fraude, abuso, acesso indevido e indisponibilidade.
E-mail, identificador de usuário, plano, perfil e papéis de acesso, datas de cadastro e login, confirmações de e-mail, eventos de recuperação e troca de senha.
A senha é processada pelo serviço de autenticação contratado. A Orya não precisa armazenar a senha em texto legível.
Nome completo, cargo ou função, telefone, e-mail, CNS da serventia, papel pretendido, vínculo solicitado, datas de vigência e permissões por módulo.
Portaria, ato de nomeação ou documento equivalente enviado para comprovar o vínculo, além de nome do arquivo, tipo, tamanho, hash de integridade, data de envio e usuário responsável.
Resultado de comparação entre o nome informado e o responsável constante de fonte oficial. Essa pontuação auxilia a análise, mas a aprovação do vínculo é humana.
Convites de equipe, e-mail convidado, papel, módulos liberados, validade do convite e histórico de concessão, alteração, suspensão ou revogação de acesso.
Preferências de benchmark, alertas, notificações e configurações da serventia.
Tarefas, obrigações, responsáveis, prazos, comentários, evidências e documentos relacionados à gestão da serventia.
Documentos criados ou editados, campos preenchidos, destinatários, instruções para redação assistida, versões, aprovações, exportações e histórico de revisão.
Dados de fechamento gerencial, receitas, despesas, folha e encargos, metas, observações, planilhas e anexos. Parte desse conteúdo pode ser dado da pessoa jurídica; ainda assim, nomes, documentos ou informações sobre pessoas físicas incluídos nos arquivos recebem proteção como dados pessoais.
URLs declaradas ou inferidas, resultados de monitoramento da presença digital da serventia, incidentes observados e resoluções registradas.
Nome do pagador, e-mail, CPF ou CNPJ quando necessário, CNS relacionado, plano, status da assinatura, período de cobrança e identificadores do cliente, assinatura e eventos no provedor de pagamento.
Dados completos do cartão são coletados e processados diretamente pelo provedor de pagamento. A Orya recebe confirmações e identificadores necessários para ativar, suspender ou cancelar o serviço.
Quando formulários comerciais, mailing, demonstração ou solicitação de amostra estiverem disponíveis, poderemos tratar nome, e-mail, telefone, cargo, organização, CNS, UF, assunto, mensagem, preferência de contato e registro do consentimento para comunicações opcionais.
Perguntas e histórico da conversa com a ARIA, modo selecionado, consultas propostas, resultados necessários para responder e conteúdo gerado.
Texto-base, campos preenchidos, instruções, contexto normativo e rascunhos usados no gerador de documentos.
Dados técnicos da chamada, como modelo utilizado, data, tamanho, códigos de erro e hashes usados para auditoria e controle de custo.
Não inclua na ARIA ou no gerador de documentos dados pessoais sensíveis, segredos profissionais, credenciais ou informações de terceiros que não sejam necessárias e legitimamente tratadas. A redação assistida é opcional no gerador de documentos, e o resultado deve ser revisado por uma pessoa.
A plataforma organiza informações sobre serventias extrajudiciais e pessoas ligadas à atividade. As fontes incluem CNJ e Justiça Aberta, Tribunais de Justiça, Receita Federal, IBGE, diários e portais oficiais, respostas a pedidos de acesso à informação, páginas publicamente acessíveis e fornecedores de dados contratados, inclusive a BigDataCorp.
Conforme a fonte e a finalidade, os dados podem incluir nome e vínculo profissional de titulares, interinos, substitutos, gestores ou sócios; contatos profissionais; CNPJ; histórico de responsáveis; informações cadastrais; e indicadores relativos à atividade da serventia. Em ambiente interno e de acesso restrito, podem existir CPF, faixa etária, estimativas econômico-financeiras, status de pessoa politicamente exposta e sinais de integridade fornecidos por fonte contratada, quando houver necessidade documentada e base legal adequada.
O fato de uma informação estar disponível ao público não afasta a LGPD. A Orya deve considerar a finalidade, a boa-fé, o interesse público que justificou a divulgação, a expectativa da pessoa, a necessidade do tratamento e o risco aos seus direitos. Campos excessivos ou incompatíveis com o produto devem ser descartados, bloqueados ou mantidos apenas em ambiente restrito.
O serviço não foi desenhado para coletar dados pessoais sensíveis definidos pela LGPD, como origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados de saúde, vida sexual, dados genéticos ou biométricos. Um arquivo enviado por usuário pode conter esse tipo de informação de forma incidental. Nesse caso, quem envia deve ter base legal e limitar o conteúdo ao estritamente necessário.
Os produtos são destinados a profissionais maiores de 18 anos. Não buscamos dados de crianças ou adolescentes para cadastro ou uso comercial. Se identificarmos coleta indevida, adotaremos medidas para restringir ou eliminar o dado, conforme o caso.
Diretamente de você, quando cria uma conta, solicita vínculo, envia arquivos, configura preferências, preenche documentos, registra dados de gestão, contrata um plano, conversa com a ARIA ou entra em contato.
De pessoas autorizadas pela mesma serventia, quando enviam convite, atribuem responsabilidade, registram uma ação ou incluem dados necessários à colaboração.
Automaticamente, durante a navegação, autenticação e uso da plataforma, por meio de registros de acesso, cookies necessários, armazenamento local do navegador e logs de segurança.
De provedores que apoiam autenticação, hospedagem, pagamento, e-mail, inteligência artificial, enriquecimento e prevenção a fraude.
De fontes públicas, oficiais ou licenciadas relacionadas ao setor extrajudicial e às pessoas que nele exercem função pública delegada ou atividade profissional.
A base legal depende do contexto. A Orya não usa consentimento como justificativa geral para tratamentos necessários ao contrato, à segurança ou ao cumprimento de obrigações. As principais operações são:
| Finalidade | O que fazemos | Base legal principal |
|---|---|---|
| Entregar a plataforma | Criar conta, autenticar, manter sessão, liberar recursos, vincular usuários e prestar suporte. | Execução de contrato e procedimentos preliminares; legítimo interesse para suporte e continuidade. |
| Comprovar vínculos | Receber e analisar pedidos, documentos e convites, evitar apropriação indevida de serventia. | Execução de contrato; legítimo interesse em segurança; exercício regular de direitos. |
| Operar recursos | Alertas, obrigações, benchmarks, documentos, fechamentos, relatórios, presença digital e preferências. | Execução de contrato; legítimo interesse; obrigação legal quando o recurso apoiar dever aplicável. |
| Processar pagamentos | Criar cobrança, ativar plano, conciliar eventos, emitir documentos e tratar inadimplência. | Execução de contrato; obrigação legal ou regulatória; exercício regular de direitos. |
| Comunicar | Mensagens transacionais, alertas solicitados, avisos de serviço e resposta a contatos. | Execução de contrato e legítimo interesse. Consentimento para marketing opcional. |
| Usar IA | Responder consultas e produzir rascunhos quando o usuário solicita o recurso. | Execução de contrato; legítimo interesse na oferta do recurso, com revisão humana e minimização. |
| Proteger e auditar | Controlar acesso, investigar falhas, prevenir abuso, manter logs e comprovar decisões. | Legítimo interesse; obrigação legal; exercício regular de direitos. |
| Compilar dados setoriais | Organizar, atualizar, comparar e disponibilizar informações sobre serventias e responsáveis. | Legítimo interesse, após teste de balanceamento; exercício regular de direitos; outras bases aplicáveis ao caso. |
| Cumprir a lei | Responder a autoridades, atender titulares, manter registros e comunicar incidentes. | Obrigação legal ou regulatória; exercício regular de direitos. |
O legítimo interesse é usado apenas para dados não sensíveis e depois de avaliar finalidade, necessidade, expectativas da pessoa, riscos e salvaguardas. O titular pode se opor ao tratamento quando houver descumprimento da LGPD. A Orya mantém registro escrito do teste de balanceamento das operações baseadas em legítimo interesse, inclusive para os dados obtidos de fornecedores licenciados, e o apresenta à ANPD quando solicitado.
Na área autenticada (app.casadocartorio.com.br) usamos apenas mecanismos necessários para autenticação e contexto de uso. No site institucional (casadocartorio.com.br) há, além disso, métricas de navegação opcionais, que só são ativadas depois da sua escolha. Nenhum desses mecanismos tem finalidade publicitária.
| Mecanismo | Finalidade | Duração |
|---|---|---|
| cdc_sess | Cookie necessário que replica o token de acesso da sessão para que a camada de proteção do site reconheça o usuário. | Em regra, até o vencimento do token, atualmente próximo de 1 hora; pode ser renovado enquanto a sessão estiver ativa. |
| Sessão Supabase | Armazenamento local necessário para manter e renovar a autenticação no navegador. | Até o logout, vencimento ou limpeza pelo usuário, conforme a configuração do serviço de autenticação. |
| cdc_cns_ativo | Armazenamento por aba que guarda o CNS da serventia em uso. | Até o encerramento da aba ou limpeza do armazenamento de sessão. |
| casa:analytics-consent | Armazenamento local, no site institucional, que guarda sua escolha sobre as métricas de navegação. | Até você alterar a escolha ou limpar o armazenamento do navegador. |
| _ga e _ga_<ID> (Google Analytics 4) | Opcional. Métricas agregadas de navegação no site institucional (páginas vistas, origem da visita, cliques em botões). Só é ativado com sua autorização, com IP anonimizado, e os eventos não incluem CNS, nome, e-mail, telefone ou texto de formulários. | Até 2 anos, ou até você retirar a autorização. |
Você pode mudar a escolha sobre as métricas a qualquer momento em “Preferências de métricas”, no rodapé do site. Se a Orya adotar outros cookies de análise, personalização ou publicidade, atualizará esta Política e pedirá sua escolha antes de ativá-los. O navegador permite apagar ou bloquear armazenamentos, mas desabilitar os mecanismos necessários pode impedir login e áreas protegidas.
Quando você usa a ARIA ou solicita redação assistida, a Orya envia ao provedor de IA o conteúdo necessário para gerar a resposta. Isso pode incluir a conversa, o texto-base, os campos preenchidos, a instrução e resultados de consulta à base que componham o contexto. Não enviamos deliberadamente à ARIA os campos internos de CPF, renda, contato ou endereço mantidos fora das bases autorizadas ao assistente.
Respostas da ARIA têm caráter informativo. Rascunhos de documentos não são aprovados ou publicados automaticamente. A plataforma registra o modelo utilizado e dados de auditoria da geração, e exige revisão humana antes de aprovação ou uso externo quando o fluxo assim determinar.
O provedor de IA atualmente utilizado é a Anthropic, contratada por meio de sua API comercial, cujos termos vedam o uso do conteúdo enviado para treinar modelos. O provedor pode reter o conteúdo por período limitado para segurança e prevenção de abuso. O processamento ocorre fora do Brasil, nas condições da seção 9.
Compartilhamos dados somente na medida necessária para as finalidades informadas.
| Destinatário ou categoria | Finalidade do compartilhamento |
|---|---|
| Supabase | Autenticação, banco de dados, controles de acesso e armazenamento privado de arquivos. |
| Netlify | Hospedagem, distribuição do site, proteção de borda, funções de servidor e registros técnicos. |
| Stripe | Cadastro de cliente, checkout, assinatura, conciliação e portal de cobrança. O provedor recebe e protege os dados completos do meio de pagamento. |
| Resend | Envio de alertas e mensagens transacionais ao endereço configurado. |
| Anthropic | Processamento de mensagens e rascunhos quando o usuário aciona recursos de IA. |
| Métricas opcionais de navegação no site institucional (Google Analytics 4), somente com sua autorização; e-mail corporativo (Google Workspace) usado para atendimento e para o canal de privacidade. | |
| BigDataCorp | Fornecimento e validação de dados licenciados. Chaves de consulta, como CNPJ, CPF, telefone ou e-mail, podem ser transmitidas quando estritamente necessárias à busca contratada. |
| Infraestrutura e VPS | Hospedagem de ambientes internos, processamento, backups, segurança e continuidade, conforme a arquitetura vigente. |
| Consultores e autoridades | Apoio jurídico, contábil, auditoria e segurança; cumprimento de ordem ou dever legal; defesa de direitos. |
A Orya não comercializa dados de conta, credenciais, evidências de vínculo, documentos privados ou conteúdo financeiro inserido por clientes. Nosso negócio inclui oferecer acesso pago a análises e informações compiladas sobre serventias, inclusive dados pessoais profissionais provenientes de fontes públicas ou licenciadas, dentro das finalidades descritas nesta Política e com controles de acesso, minimização e atendimento aos direitos dos titulares.
Também poderemos compartilhar informações em reorganização societária, investimento, fusão, aquisição ou venda de ativos, sob dever de confidencialidade e continuidade das obrigações de proteção.
Alguns fornecedores ou seus subprocessadores podem tratar dados fora do Brasil, ainda que a infraestrutura principal use região brasileira. Nesses casos, a Orya deve limitar a transferência ao necessário, informar as categorias envolvidas, avaliar o país e o fornecedor e adotar mecanismo permitido pela LGPD e pela regulamentação da ANPD, como cláusulas-padrão contratuais, decisão de adequação ou outra hipótese válida.
Situação atual dos principais fornecedores:
| Fornecedor | Onde os dados são tratados |
|---|---|
| Supabase (banco de dados, autenticação e arquivos) | Brasil (região São Paulo). |
| BigDataCorp | Brasil. |
| Netlify (hospedagem e funções) | Estados Unidos e rede global de distribuição. |
| Stripe (pagamentos) | Estados Unidos e outros países da rede do provedor. |
| Resend (envio de e-mails) | Envio pela região São Paulo; empresa e suporte nos Estados Unidos. |
| Anthropic (inteligência artificial) | Estados Unidos. |
| Google (métricas opcionais e e-mail corporativo) | Estados Unidos e outros países da rede do provedor. |
Para as transferências ao exterior, a Orya adota as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024) ou outro mecanismo previsto no art. 33 da LGPD, conforme o contrato de cada fornecedor. Informações adicionais podem ser solicitadas pelo canal de privacidade.
Guardamos dados pelo período necessário à finalidade e às obrigações aplicáveis. Depois disso, eliminamos, anonimizamos ou restringimos o acesso, salvo quando a lei autorizar ou exigir conservação. Os critérios são:
| Categoria | Prazo ou critério |
|---|---|
| Conta e perfil | Enquanto a conta estiver ativa. Após exclusão, dados podem permanecer pelo prazo necessário a cumprir obrigação ou defender direitos. A exclusão da conta não apaga automaticamente registros empresariais da serventia que outros usuários precisam manter. |
| Sessão | Até o vencimento, logout ou revogação. O token de acesso usado no cookie necessário tem vida curta e pode ser renovado durante sessão ativa. |
| Registros de acesso | Pelo prazo legal aplicável. Para provedor de aplicação sujeito ao art. 15 do Marco Civil da Internet, ao menos 6 meses, sob sigilo e segurança. |
| Evidência de vínculo aprovada | Enquanto o vínculo estiver ativo e, por até 5 anos após a revogação, para defesa em eventual disputa sobre o acesso à serventia. |
| Pedido de vínculo rejeitado | Documento comprobatório: até 90 dias após a decisão. Registro mínimo da decisão (CNS, data, resultado): até 5 anos. |
| Dados contratuais, cobrança e fiscais | Durante o contrato e pelos prazos legais, fiscais, regulatórios ou prescricionais aplicáveis, que podem variar conforme o documento e a obrigação. |
| Documentos e dados de gestão | Enquanto o serviço e a finalidade da serventia exigirem, conforme configurações do cliente, deveres profissionais e prazos legais. Após o encerramento da Assinatura, ficam disponíveis por até 12 meses para reativação e exportação e, depois, são eliminados ou anonimizados, salvo obrigação legal de conservação. |
| Auditoria e segurança | Durante o período necessário para investigar, prevenir abuso e defender direitos. Registros de incidentes sujeitos à Resolução CD/ANPD nº 15/2024 devem ser mantidos por pelo menos 5 anos. |
| Marketing | Até a revogação do consentimento ou oposição. Contatos sem interação por 24 meses são removidos da base de comunicações opcionais. |
| Fontes públicas e licenciadas | Enquanto a finalidade legítima permanecer, a fonte continuar pertinente e o tratamento passar por revisões de necessidade, qualidade e oposição. Dados desatualizados devem ser corrigidos, sinalizados ou removidos. |
| Backups | Podem conservar cópias por ciclo limitado, com acesso restrito e sem uso rotineiro, até sobrescrita segura, em ciclo de até 90 dias. Dados eliminados da base principal deixam de existir nos backups ao fim desse ciclo. |
Adotamos medidas técnicas e organizacionais proporcionais ao risco, como autenticação, controle de acesso por função e serventia, regras de segurança por linha no banco, armazenamento privado, links temporários para arquivos, HTTPS, registros de auditoria, validação de tipo e tamanho de anexos, gestão de segredos e separação entre bases externas e internas.
Nenhum sistema é imune a falhas. Se ocorrer incidente que possa causar risco ou dano relevante, a Orya avaliará o evento, adotará medidas de contenção e comunicará a ANPD e os titulares nos casos e prazos aplicáveis. Relatos de incidentes ou vulnerabilidades podem ser enviados para privacidade@casadocartorio.com.br.
Nos casos em que a Orya for controladora, você poderá solicitar, conforme a LGPD:
A pontuação usada para auxiliar pedidos de vínculo não aprova ou rejeita a solicitação sozinha. Uma pessoa analisa o documento e registra a decisão.
Para proteger você e terceiros, podemos pedir informações para confirmar sua identidade e o alcance do pedido. A confirmação e o acesso simplificado serão atendidos imediatamente quando possível; declarações completas, com origem, critérios e finalidade, serão fornecidas em até 15 dias, contados do pedido (art. 19, II, da LGPD). Se não pudermos atender integralmente, explicaremos a razão.
Você pode pedir a indicação da fonte, correção, atualização, oposição, restrição ou eliminação de dados pessoais associados à sua atividade profissional. Avaliaremos o pedido considerando a origem, a finalidade que justificou a divulgação, a necessidade do tratamento, direitos de terceiros e obrigações de preservação. A exclusão na plataforma não altera automaticamente a publicação mantida pelo órgão ou site de origem; por isso, também pode ser necessário contatar a fonte.
Envie sua solicitação para privacidade@casadocartorio.com.br. Informe seu nome, meio de contato, relação com a Orya ou a serventia e o direito que deseja exercer. Não envie cópia integral de documento pessoal no primeiro contato; pediremos apenas o necessário para validar a identidade.
Controladora: Orya Capital Tecnologia Ltda., CNPJ 33.796.694/0001-74, Rua Schilling, 471, Vila Leopoldina, São Paulo/SP. Encarregado pelo tratamento de dados pessoais: Yuri Armellei, pelo e-mail privacidade@casadocartorio.com.br.
Se a resposta não resolver a questão, você poderá apresentar petição à Autoridade Nacional de Proteção de Dados, observando o procedimento disponível no portal da ANPD.
Podemos atualizar esta Política para refletir mudanças legais, tecnológicas ou operacionais. A versão vigente indicará a data de atualização. Quando uma alteração afetar de modo relevante as expectativas dos titulares, usaremos meios adequados para destacá-la, como aviso no site, na conta ou por e-mail.
Esta Política considerou as seguintes fontes oficiais:
Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais
Lei nº 12.965/2014, Marco Civil da Internet
ANPD: direitos dos titulares
ANPD: Guia Orientativo de Cookies e Proteção de Dados Pessoais
ANPD: Guia Orientativo sobre Legítimo Interesse
Resolução CD/ANPD nº 15/2024, comunicação de incidente de segurança
Resolução CD/ANPD nº 19/2024, transferência internacional de dados
ANPD: Guia Orientativo sobre atuação do encarregado