Soberania não é promessa de política: é consequência de decisões de arquitetura que você pode auditar. Esta página é a lista dessas decisões, na ordem em que um auditor as conferiria, e ela termina onde toda página de privacidade deveria começar: no que você pode verificar sem acreditar na gente.
Audite o schema: a soberania verificável
O banco permanente da SazAI guarda estrutura, medições, relações e linhagem. Ele não guarda o conteúdo dos seus documentos. O texto bruto vive num banco próprio de cada execução, ao lado dos seus arquivos, enquanto o documento existir, e nunca entra no banco permanente de conhecimento.
Isso não é política interna, é propriedade do desenho, e é verificável do jeito mais direto que existe: leia a definição das tabelas e procure a coluna que guardaria o texto do seu documento. Ela não existe. Você não precisa confiar numa página de privacidade se pode auditar o schema, e essa é a prova que a gente mais gosta de oferecer, porque ela não passa por nós.
A consequência prática vale para quem toca LGPD: análise agregada sobre o uso da plataforma acontece sem exposição de conteúdo, porque o conteúdo não está lá para ser exposto. Glossários corporativos ficam num armazenamento próprio por organização, porque terminologia é ativo e não deve conviver com a de mais ninguém.
O que sai da sua zona de controle
Numa SazAI instalada na sua infraestrutura, o sistema inteiro roda ali dentro, e o único destino externo do processamento é o modelo de linguagem que você escolheu e contratou, que pode estar dentro da sua própria zona. A aplicação não busca bibliotecas de terceiros em execução, não carrega fontes de servidores externos e não depende de nuvem alheia para funcionar. Cada dependência externa em tempo de execução é um lugar por onde um pedaço do seu tráfego, ou a informação de que ele existe, sai da sua rede; um sistema sem essas dependências não precisa prometer que não vaza por elas.
Duas bordas fazem parte da afirmação, e não são notas de rodapé dela.
A primeira é identidade. O login federado passa hoje por um provedor de identidade em nuvem. Para uma instalação que use esse login, existe portanto um segundo destino externo além do modelo, e a frase acima só é literal em duas situações: autenticação por chave de API, ou o provedor de identidade dentro da sua zona. Trazer o provedor para dentro da zona é direção declarada no roteiro da plataforma, não algo entregue hoje.
A segunda é a diferença entre executar e construir. Em execução, o sistema é fechado. A construção da imagem baixa dependências, como qualquer software construído neste século. Misturar as duas perguntas transformaria uma afirmação verdadeira numa mentira técnica na primeira vez que um auditor abrisse o arquivo de build.
O núcleo não conhece quem você é
O motor que lê e escreve documentos é cego a autenticação, cobrança e permissão: recebe identificadores já validados e executa. Quem decide o que você pode ver é uma camada acima, atravessada em toda operação. Uma falha de permissão não pode virar vazamento entre organizações por um caminho interno do motor, porque o motor não sabe que existe outra organização.
O isolamento entre clientes não é suposto: é testado com sondas que tentam ativamente atravessar a fronteira, inclusive em produção, com resultado registrado. Os arquivos ficam no espaço da sua organização, separados por locatário e por usuário, com acesso validado a cada operação. Compartilhamento entre usuários existe e é explícito: um cofre compartilhado é leitura, com a origem identificada na tela.
Exclusão como registro, não como esquecimento
Quando você exclui um documento, os campos sensíveis são apagados no próprio registro, não marcados como ocultos, e a exclusão fica gravada como evento em sequência. O documento deixa de existir para todas as superfícies, e os derivados são tratados junto com o original em vez de virarem órfãos. O sistema não apaga a memória de que apagou, e é isso que permite provar depois que a exclusão aconteceu, e quando.
Dito como forma, porque é o modelo inteiro numa linha: a exclusão apaga a metade de trabalho e deixa lápide na metade permanente. O que sobrevive é um registro sem conteúdo, com identificador, data e organização, e nenhum texto: não é uma cópia retida do seu documento, é a prova de que ele foi removido. É o que produz a frase que um comprador confere sozinho no schema: a gente sabe por onde o seu documento passou e o que foi feito com ele, e não sabe o que ele dizia.
O alcance de hoje tem um limite, dito com todas as letras: cópias de segurança feitas antes da exclusão ainda contêm o conteúdo, por uma janela de retenção de até sete dias, e uma restauração de desastre a partir de uma delas reintroduziria conteúdo já excluído. O mecanismo que fecha isso está definido, já que uma restauração pode reaplicar as exclusões gravadas depois da data daquela cópia, e ainda não está construído. Enquanto não estiver construído e medido, esta página não dirá que a exclusão alcança as cópias de segurança.
Remover tudo de uma vez e desativar a conta pela interface também não está construído; o encerramento é feito por nós a pedido, com o mesmo alcance descrito acima. O nome que vai valer quando entrar é o correto: apaga o seu conteúdo e desativa a sua conta, porque o rastro de quem acessou o sistema permanece.
Portabilidade: o que sai com você
Os seus arquivos sempre foram seus, e devolvê-los não é mérito de ninguém. O que interessa é o que foi construído sobre eles: a organização, as relações entre original e derivados, as medições, o histórico. Esse corpo de conhecimento é materializado como um cofre de arquivos de texto simples com links entre eles: consultável por fora, exportado a pedido, e funcional fora daqui, numa ferramenta de notas comum, no seu computador ou no seu servidor.
O mesmo conhecimento é acessível por interface de programação e pelo protocolo que agentes de IA usam para conectar ferramentas, então os seus próprios agentes podem consultar o cofre sem passar pela nossa interface. Um produto que só é útil por dentro dele mesmo prende por dependência; este prefere prender por valor.
Duas coisas ditas antes que você descubra: a troca de idioma é da nossa camada de exibição, então você leva o cofre no idioma em que foi escrito; e a portabilidade ainda não tem demonstração publicada que qualquer pessoa reproduza sem falar com a gente. Até lá, é conversa de diligência: peça a exportação numa avaliação, abra o resultado na sua ferramenta, e verifique com as suas mãos.
A borda, declarada por nós
Traduzir e examinar exigem enviar texto a um modelo de linguagem, e o que acontece do lado de lá depende do provedor contratado, não da nossa arquitetura. O regime de retenção do provedor é matéria de contrato com ele, e a resposta correta para uma área de privacidade é o contrato, não uma frase nossa. Numa instalação sua, o provedor é escolha sua.
E o que esta página não afirma, de propósito: não somos certificados em nenhuma norma, e o nosso histórico de decisões e registros serve como evidência de controle sem que a gente afirme que fecha um requisito formal específico do seu setor. Traga o requisito e a resposta vem item a item, caso a caso. O recibo de cada entrega, e onde ele termina, está em confie.
O que medimos nas páginas públicas
Os sites públicos (sazai.app e ui.sazai.app) usam Google Analytics 4 para entender quais páginas são visitadas, quais áreas despertam interesse e de onde os visitantes vêm: visualizações de página, cliques nas seções de produto, idioma e tipo de dispositivo. A medição fica desligada por padrão e só ativa depois que você aceita o aviso de consentimento. Todas as requisições passam pelo nosso próprio domínio; endereços IP são anonimizados; não usamos recursos de publicidade nem rastreamento entre sites.
Se você recusar, ou simplesmente ignorar o aviso, nada é medido. As páginas funcionam identicamente de qualquer forma.
O que nunca fazemos no cofre
O produto autenticado, seu cofre, carrega zero analytics. Nenhum script de rastreamento, nenhum beacon, nenhuma requisição a terceiros. Os únicos cookies presentes são os de sessão, que mantêm você conectado. O uso do produto é contabilizado pela nossa medição interna, que existe para cobrança e capacidade: registra ações, nunca conteúdo, e nunca sai da nossa infraestrutura.
Sua conta e identidade
O login é feito pelo nosso provedor de identidade (Zitadel), opcionalmente através da conta Microsoft da sua organização. Guardamos o mínimo: seu nome, e-mail e o tenant ao qual seu convite vincula você. O acesso a um cofre é concedido apenas por convite.
Cookies
| Cookie | Finalidade | Superfície |
|---|---|---|
| Escolha de consentimento | Lembra se você aceitou ou recusou a medição | Páginas públicas |
| Sessão | Mantém você conectado | Cofre |
| Preferências | Escolha de idioma e tema | Todas as superfícies |
Nenhum cookie de publicidade. Nenhum identificador entre sites.
Infraestrutura
A SazAI roda na Amazon Web Services (Estados Unidos). Todo o tráfego é criptografado em trânsito; os workspaces dos tenants são isolados entre si. Para organizações que exigem, a SazAI também é oferecida como instalação dedicada e autocontida na infraestrutura do próprio cliente, com as propriedades descritas no topo desta página.
Seus direitos sob a LGPD
A Lei Geral de Proteção de Dados (Lei 13.709/2018) garante a você acessar os dados que mantemos sobre você, corrigi-los, excluí-los, recebê-los em formato portável e revogar o consentimento a qualquer momento. Revogar o consentimento de medição é imediato: recuse em qualquer página pública. Para o restante, escreva para contato.
Solicitações de privacidade: ask@sazai.app · SazAI · Rua dos Tijolos Amarelos, 42 Última atualização: 2026-09-04.