Privacidade e uso

Gêmeos estatísticos, não de indivíduos

A população do Brasil Sintético é feita de gêmeos digitais estatísticos. As pessoas sintéticas reproduzem a composição de cada área de ponderação, município e UF, a partir de dados públicos: os microdados da amostra do Censo 2010, que não trazem nome, endereço nem identificador de quem respondeu, ajustados aos totais do Censo 2022. Nenhuma delas é uma pessoa identificável, e a plataforma não faz gêmeo de indivíduo nomeado. Como cada pessoa é construída está em Metodologia.

A regra dos 5

Nenhum número publicado descreve menos de 5 pessoas:

uma célula com 1 a 4 pessoas numa área é retida (primaria);
uma célula que revelaria uma retida por diferença com um total que o Censo publica também é retida (complementar).

As células retidas nunca entram nos achados nem em nenhum número servido (O resultado). A regra vale para todo resultado e não pode ser desligada por pedido.

Conteúdo eleitoral

A plataforma não simula conteúdo eleitoral: candidatos, partidos, votos ou eleições. É uma política da casa.

Todo texto livre do pedido (nome, descricao e grupo_comparacao) é conferido antes de qualquer reserva. Um texto eleitoral é recusado com 422 invalid_request e o código electoral_content, sem gastar crédito.
Onde o texto de uma mensagem entra na plataforma, ele passa pela mesma conferência e, se for eleitoral, nunca vira mensagem simulável.
Nesta versão, a simulação recebe a mensagem só como identificador (stim_id), pela API, pelo MCP e pelo chat: o texto de uma mensagem sua nunca vira mensagem simulável. O que você escreve no chat segue a seção O chat e os documentos do projeto.

O que guardamos do seu pedido

O cenário enviado, uma vez por organização, endereçado pelo hash dele.
O registro do job: hashes, referências, créditos e máquinas, nunca dados de pessoas.
O resultado, no armazenamento privado da plataforma.

Tudo isso fica guardado por 365 dias depois do job, para que ele possa ser refeito byte a byte. Antes disso, você pode apagar os dados de um job a qualquer momento depois que ele terminar. Ao fim dos 365 dias, a plataforma apaga esses dados sozinha. Um admin ou dono também pode apagar um projeto inteiro, e um dono, a organização, com 7 dias para desfazer.

As simulações rodam em máquinas dedicadas, uma por job, sem acesso à rede.

O chat e os documentos do projeto

O que vai ao modelo de linguagem: o texto das mensagens do chat, os documentos que você anexa ou que o assistente lê, e o que as ferramentas devolvem (cotações, achados, perfil da cidade). Nunca registros da população sintética.
Onde é processado: num provedor de nuvem, em regiões que podem ficar fora do Brasil. O provedor processa o texto só para responder: não o guarda, não o usa para treinar modelos e não o repassa ao fornecedor do modelo. A conta da plataforma no provedor está em retenção zero: um modelo que exigisse guardar o texto não responderia.
O que guardamos: as conversas e os documentos ficam no projeto, no armazenamento da plataforma, até que você os apague no chat.
Se você não quiser: não use o chat. A Nova simulação do app, a API e o MCP não enviam o seu texto a modelo de linguagem.

A base de clientes do seu projeto

A calibração pode partir da base de interação dos seus clientes: uma linha por cliente ou por evento, com a data e o município. Ela é dado pessoal dos seus clientes. Você é o controlador desses dados, e a plataforma é a operadora: faz com eles só o que este serviço precisa.

Antes da primeira base: um dono ou admin da organização aceita, no app, o Acordo de tratamento de dados, que vale para toda a organização. Até lá, uma base não é aceita.
Como guardamos: o arquivo como você enviou, cifrado, no armazenamento da plataforma, no Brasil, na pasta do seu projeto. Ele nunca entra nos dados da população sintética nem em outro projeto.
Até quando: até um membro do projeto apagar a base em Contexto do projeto → Bases de clientes. Apagar remove o arquivo para sempre, junto com as séries montadas a partir dela que nenhuma calibração usou. O registro guarda o nome do arquivo, quem apagou e quando.
Quem lê: o código da plataforma, quando um membro do projeto pede o perfil da base ou a série. Cada leitura fica registrada: quem, quando e para quê.
O que o assistente do chat vê: os nomes e os tipos das colunas, as contagens, o intervalo das colunas de data só até o mês (numa data de nascimento, o dia seria o de uma pessoa), os valores de uma coluna de poucos valores, como o tipo de evento ou o sexo, e a série agregada, inclusive por faixa etária e sexo. Uma coluna de CEP é lida só pelo código, para colocar cada pessoa numa área de ponderação; o assistente nunca vê um CEP, e a tabela que converte CEP em área vem do CNEFE do IBGE, que é pública. Ele nunca vê a linha de uma pessoa nem um valor que a identifique, então nada disso vai ao modelo de linguagem.
O que entra na calibração: só a série agregada por período e município, com o piso de 5 pessoas. A série de uma calibração que rodou fica com o job e segue a retenção dele, mesmo depois de a base ser apagada.
Não envie a base como documento do chat: um documento vai inteiro ao modelo de linguagem. Como proteção, a plataforma recusa a planilha anexada no chat que tem, nas primeiras linhas, uma coluna de CPF, e-mail, telefone ou nome, ou que passa de 5.000 linhas, e aponta para a área Bases de clientes. A conferência é automática e não pega toda base, então a regra continua sendo usar a área de bases.

Para dúvidas sobre dados pessoais e a LGPD, escreva para contato@brasilsintetico.com. A Política de privacidade traz as regras completas.