Política de privacidade e termos de uso publicados, com base legal por dado (E17-T03) #92

Hoje o produto está no ar em https://leia-snowy.vercel.app e não tem política de privacidade nem termos de uso. Enquanto isso, quem manda um documento de verdade é risco, não validação.

Depende da decisão da #68, que escolhe a rota do art. 11 da LGPD. O insumo de fato já existe: docs/DATA-MAP.md lista cada dado que existe em linha de código, com finalidade, quem vê e prazo.

Por que isso não dá para contornar

Não é papelada. Três coisas dependem do texto e não existem sem ele:

• A tela antes do envio (E17-T04) resume este texto. Sem o texto, ela não tem o que resumir.
• A rotina de retenção (E17-T15) apaga dado no prazo que este texto declarar. Sem prazo declarado, a rotina não tem número, e o mapa fica dizendo "indefinido" para sempre.
• O art. 41 exige encarregado nomeado com canal de resposta. É uma pessoa com um endereço que responde, não uma seção do documento.

Passo a passo

1. Decidir a Base legal: documento jurídico é dado sensível, então é art. 11 e não art. 7 #68 primeiro. A rota do art. 11 muda o texto inteiro: se for o inciso I, a tela precisa de consentimento específico e destacado antes do envio; se for o II, "d", dispensa consentimento e o texto explica por quê. Sem isso, escrever a política é escrever duas vezes.

2. Fechar os prazos, um por linha do DATA-MAP. São decisão, não pesquisa. A pesquisa do projeto propõe 5 anos para o registro de consentimento e "enquanto durar o mandato + 5 anos" (Lei 8.906 art. 25) para o documento, mas isso foi escrito para um produto em que o advogado era o controlador. No caminho em que a cidadã envia sozinha, não há mandato nenhum, e o prazo precisa de outra régua.

3. Nomear o encarregado e o canal. Nome, endereço de resposta e prazo de resposta.

4. Escrever docs/PRIVACY.md e docs/TERMS.md em linguagem simples, no mesmo nível de leitura do resto do produto, com: base legal por dado, prazo por dado, encarregado, direitos do titular e como exercê-los, transferência internacional (o texto extraído sai para o Groq, que retém em buckets nos EUA, sem decisão de adequação da ANPD — ver Base legal: documento jurídico é dado sensível, então é art. 11 e não art. 7 #68), e o que a LeIA não faz: não dá consultoria jurídica, não prevê resultado, não substitui advogado.

5. Publicar. Entradas novas na lista DOCS de apps/web/lib/docs.ts, cópia por apps/web/scripts/sync-docs.mjs e link no rodapé de apps/web/app/page.tsx, que hoje só aponta /docs.

6. Travar com teste. O rodapé linka os dois; os dois existem em content/docs; e a lista de dados do DATA-MAP não tem linha sem base legal nem sem prazo.

Trabalhando sozinho

Os passos 4 e 5 eu escrevo e publico. Os passos 1, 2 e 3 são decisão sua, com validação de advogado depois. O caminho que não trava: eu escrevo a minuta com a recomendação e o porquê de cada escolha, marcada como pendente de validação jurídica, você decide, e leva o texto pronto para o advogado revisar em vez de pedir que ele escreva do zero.

Pronto quando: quem audita abre o produto sem falar com ninguém e encontra os dois textos linkados no rodapé, com a base legal de cada dado nomeada por artigo, o prazo de cada um e o encarregado com canal.