Política de uso de cookies

Os cookies são pequenos arquivos de texto que o site deixa no seu dispositivo (computador, tablet ou telefone) e que o navegador devolve a cada requisição ao mesmo site. Servem para reconhecer a sua sessão, lembrar uma preferência ou proteger um formulário. Um cookie «de sessão» desaparece quando você fecha o navegador; um «persistente» dura até a data que declara ou até que você o apague.

O armazenamento local (localStorage) é um espaço parecido do navegador, com duas diferenças: só o código da página que você está vendo o escreve e o lê, ele não viaja ao servidor com as requisições e não vence sozinho — permanece até que você ou o navegador o apaguem.

O Custodio Legal usa cookies e armazenamento local unicamente para quatro coisas:

• (a) Autenticação e segurança: manter a sua sessão iniciada, proteger os formulários contra requisições falsificadas e garantir o login com o Google ou com a Microsoft;
• (b) Preferências: lembrar o seu idioma, o seu tema (claro ou escuro) e as decisões que você já tomou, como a sua resposta ao aviso de cookies;
• (c) Medição de campanhas: saber por qual link um escritório chegou ao site. Tem duas metades e elas não se parecem. A nossa é um cookie próprio que guarda as etiquetas que o link já trazia, o nome do site de onde você veio e o endereço da página pela qual você entrou, sem nenhum identificador seu (seção 3). A outra é a etiqueta do Google Ads, que se limita ao site público e só é carregada se você aceitar a publicidade (seção 4);
• (d) Medição do uso do site público: saber, em números agregados, quais páginas e quais guias são lidas e quais são úteis, para escrevermos melhor. Quem faz isso são duas ferramentas de terceiros, descritas na seção 4: o Google Analytics 4, que só é carregado se você aceitar a análise, e o Cloudflare Web Analytics, que não escreve nenhum. Dentro do produto, o Google Analytics 4 mede um único momento, e só se você aceitou a análise: o instante em que uma conta é criada (seção 4).

Nenhuma dessas finalidades serve para ler o que você faz com os seus casos: a etiqueta do Google não é carregada em nenhuma tela do produto exceto no instante em que você acaba de criar a sua conta, e então só diz que a conta foi criada (seção 4); e o Cloudflare Web Analytics conta visitas a páginas sem ver o seu conteúdo.

Estes são todos os cookies que o Custodio Legal escreve. Nove são necessários para o que fazem e o décimo —o de medição de campanhas próprio— não leva nenhum identificador, embora, se você criar uma conta, o que ele guarda fique associado ao seu escritório (seção 3); nenhum serve para publicidade nem para seguir você fora do site.

Cookie	Para que serve	Duração
law_flow_session	Mantém a sua sessão iniciada. Leva um identificador aleatório; o servidor não guarda esse identificador, e sim uma impressão dele calculada com chave.	Até 7 dias desde que você faz login, ou até você sair da sessão.
_csrf	Protege cada formulário e cada envio contra requisições falsificadas a partir de outro site.	Até 24 horas.
lang	Lembra o idioma em que você quer ler o site e o produto.	1 ano.
flash_notice	Leva um aviso de leitura única entre um redirecionamento e a página que o exibe, por exemplo o resultado de vincular a sua conta do Google.	1 minuto; é apagado ao ser exibido.
oauth_state	Protege o login com o Google ou com a Microsoft: verifica que a resposta do fornecedor que você escolheu corresponde à requisição que saiu do seu navegador.	5 minutos.
oauth_consent	Durante o cadastro com o Google ou com a Microsoft, lembra que você marcou a aceitação dos termos e a autorização de tratamento de dados antes de sair para o fornecedor que você escolheu.	5 minutos.
oauth_link_state	Protege a vinculação da sua conta do Google a partir das configurações da sua conta.	5 minutos.
oauth_nonce	Protege o login com a Microsoft: guarda um valor aleatório, atado ao de oauth_state, que a Microsoft devolve dentro da sua resposta, e verifica que essa resposta foi emitida para esta requisição e não é uma antiga sendo reutilizada.	5 minutos.
oauth_return	Se você chegou para fazer login a partir da tela em que autoriza um assistente externo conectado por MCP, lembra a qual autorização voltar quando o login com o Google ou com a Microsoft termina. Vai atado ao valor de oauth_state e só devolve a essa tela.	5 minutos.
law_flow_attribution	Lembra por qual link você chegou, para sabermos qual campanha nossa traz escritórios. Guarda unicamente as etiquetas que o próprio link trazia no endereço (utm_source, utm_medium, utm_campaign, utm_content), o nome do site de onde você veio —não a página específica que você estava lendo nele— e o endereço da nossa página pela qual você entrou, sem o que vier depois do ponto de interrogação: /guias/consulta-de-procesos, por exemplo, para sabermos qual guia nossa traz escritórios. Não leva nenhum identificador seu: duas pessoas que chegam pelo mesmo link à mesma página escrevem exatamente o mesmo valor, de modo que ele não conta visitantes e não reconhece você se voltar. Se você criar uma conta enquanto o cookie existir, o que ele guarda é copiado para a ficha do seu escritório, e a partir desse momento fica associado a ele e a quem o cadastrou (seção 5). Só é escrito se você chegou por um link com etiquetas ou a partir de outro site, nunca se você digita o endereço; e só na primeira vez.	30 dias.

Os dez compartilham os mesmos atributos: HttpOnly (nenhum script da página pode lê-los), Secure (viajam só por HTTPS) e SameSite=Lax (o navegador não os envia em requisições originadas por outro site).

Além disso, guardamos no armazenamento local do seu navegador:

• theme: o tema claro ou escuro que você escolheu, no site e no produto;
• cookieConsent, cookieConsentVersion e cookieConsentDate: a sua resposta ao aviso de cookies do site público —quais finalidades você aceitou: a análise, a publicidade, as duas ou nenhuma—, a versão da pergunta que você respondeu e a data em que você respondeu. É o que evita que perguntemos de novo e o que decide se a etiqueta do Google é carregada e para quê, no site e no instante do cadastro;
• upgrade-banner-dismissed: dentro do produto, que você já fechou o aviso que convida a mudar de plano.

Nenhum desses valores viaja ao servidor. Permanecem até que você os apague nas configurações do navegador ou, no caso do cookieConsent, pelo link «Preferências de cookies» (seção 6).

Nas páginas do site público —capa, quem somos, contato, segurança, preços, vigilância judicial, guias e estes documentos legais— carregamos a etiqueta do Google Ads se você aceitar a publicidade: é o que nos permite saber qual campanha trouxe um escritório. A etiqueta do Google Ads não é carregada nas telas de login e cadastro nem em nenhuma tela do produto: a publicidade mede campanhas, não o que um advogado faz com os seus casos. O cadastro chega ao Google Ads por outro caminho, descrito no parágrafo «O cadastro» mais abaixo.

A etiqueta do Google não é carregada até você decidir. Enquanto você não tiver respondido o aviso de cookies, ou se escolher «Só essenciais» ou fechá-lo, o site não pede nenhum arquivo ao Google e não lhe envia nada: nem cookies nem pings sem cookies. O aviso pergunta separadamente duas finalidades: a análise, que é o Google Analytics 4, e a publicidade, que é o Google Ads. Quando você aceita pelo menos uma, a etiqueta é carregada com o consentimento do Google (Consent Mode v2) que corresponde ao que você aceitou: a análise concede o armazenamento de análise; a publicidade concede o armazenamento de publicidade, os dados de usuário para publicidade e a personalização de anúncios. O que você não aceitou fica negado, a redação de dados de anúncios fica ativada, e só é configurado o serviço do Google do que você aceitou: se você aceitar só a análise, a etiqueta não configura o Google Ads e não lhe envia nada.

Só se você aceitar a publicidade —com «Aceitar todos» ou escolhendo-a— a etiqueta configura o Google Ads, e só a partir desse momento: ela escreve _gcl_au no nosso domínio, para atribuir a visita ao clique em um anúncio, e pode escrever IDE no domínio do Google para medir e personalizar anúncios. A duração deles é fixada pelo Google e publicada na sua política de cookies; no momento desta versão, _gcl_au dura 90 dias e IDE, 13 meses. A Google LLC (Estados Unidos) é responsável pelos seus próprios cookies e pelo tratamento que faz com eles, sob a sua própria política de privacidade. Não vendemos os seus dados pessoais a anunciantes nem usamos o conteúdo dos seus casos para publicidade.

Google Analytics 4. Pela mesma etiqueta —nenhum script adicional é carregado— medimos o uso do site público com o Google Analytics 4: quais páginas e quais guias são visitadas, até onde são percorridas, quais links levam a outros sites, quais vídeos são reproduzidos e quais arquivos são baixados. Deixamos desativadas de propósito a medição de buscas no site e a de interações com formulários, para que nenhum número de processo nem nenhum texto que você escreva em um formulário viaje ao Google. No site público ele só é carregado se você aceitar a análise —com «Aceitar todos» ou escolhendo-a—; sem ela nada é configurado nem enviado. Com ela, ele escreve no nosso domínio _ga, para distinguir um navegador de outro entre visitas, e _ga_<id>, para manter o estado da sessão de medição; o Google fixa a duração deles em 2 anos (documentação do Google Analytics consultada em 23 de setembro de 2026), e os navegadores podem encurtá-la. Para esta medição o Google atua como operador do tratamento em nosso nome, sob as suas condições de tratamento de dados (Data Processing Terms), que aceitamos; na conta, deixamos desativadas as quatro opções de compartilhar dados do Analytics com o Google para os seus próprios produtos e serviços, os seus modelos, o seu suporte técnico e as suas recomendações. A propriedade do Analytics está vinculada à nossa própria conta do Google Ads para vermos nela as métricas do site e para contar como conversão o cadastro descrito no parágrafo seguinte; não importamos públicos do Analytics para mostrar anúncios a você (remarketing), e o Google signals —que associa a medição a contas do Google com sessão iniciada— está desativado. Os dados de eventos e de usuário desta medição são conservados no Analytics por 14 meses, o prazo que fixamos na propriedade; passado esse prazo o Google os apaga. Os números que vemos são agregados: não os cruzamos com a sua conta do produto.

O cadastro. Dentro do produto, a etiqueta do Google é carregada em um único momento —quando você acaba de criar a sua conta, com e-mail e senha, com o Google ou com a Microsoft— e só se você aceitou a análise no aviso de cookies do site. Ela então configura o Google Analytics 4 —não a etiqueta do Google Ads— sem enviar uma visualização de página, e envia um único evento, o de cadastro (sign_up), com o método pelo qual você se cadastrou e o endereço da tela sem o que vier depois do ponto de interrogação, exceto as etiquetas de campanha do link pelo qual você chegou; nunca o seu nome, o seu e-mail nem um identificador da sua conta ou do seu escritório. Ela aplica a escolha que o aviso de cookies guardou: com a análise aceita, pode escrever ou ler _ga e _ga_<id>, os cookies descritos no parágrafo anterior; sem ela, a etiqueta não é carregada e o evento não é enviado. Importamos esse evento para a nossa conta do Google Ads como conversão, para saber qual campanha traz contas novas. Quem entra com uma conta que já existia, ou trabalha no produto, não carrega a etiqueta.

Cloudflare Web Analytics. O nosso site é servido por meio da Cloudflare, e o Cloudflare Web Analytics conta as visualizações de página de forma agregada —qual página, de qual site se chegou, com que tipo de navegador e dispositivo, quanto tempo levou para carregar— para sabermos o que é lido e se o site responde rápido. Ele não escreve cookies nem usa o armazenamento local, e não atribui nenhum identificador ao seu navegador. Como em toda requisição web, o envio leva também o seu endereço IP. A Cloudflare, Inc. (Estados Unidos) o presta como operadora do tratamento em nosso nome.

O Custodio Legal é oferecido na Argentina, no Brasil, na Colômbia, na Costa Rica, no Equador, na República Dominicana e no Uruguai. O uso de cookies rege-se pela Ley 25.326 e seu Decreto 1558/2001 na Argentina, pela Lei nº 13.709/2018 (LGPD) no Brasil, pela Ley 1581 de 2012 e o Decreto 1377 de 2013 na Colômbia, pela Ley N° 8968 e seu Reglamento (Decreto Ejecutivo N° 37554-JP) na Costa Rica, pela LOPDP e seu Reglamento no Equador, pela Ley núm. 172-13 na República Dominicana, e pela Ley N° 18.331 e sua modificativa, a Ley N° 19.670, no Uruguai.

Os nove primeiros cookies próprios da seção 3 e o armazenamento local não exigem o seu consentimento: são necessários para prestar o serviço que você mesmo pede —fazer login, proteger os seus envios, ler o site no seu idioma— (LOPDP, artigo 7, numeral 5) e, no caso da sessão e da sua conta, estão cobertos pela autorização de tratamento de dados que você concede ao se cadastrar (Ley 1581 de 2012, artigo 9). Sozinhos, eles não dizem quem você é: levam um identificador aleatório ou um código de idioma. Você pode apagá-los pelo navegador; sem eles o login e os formulários deixam de funcionar.

O décimo, law_flow_attribution, também não o exige, e convém dizer exatamente por quê. Enquanto vive só no seu navegador, ele guarda as etiquetas que o próprio link pelo qual você chegou já trazia escritas no endereço, o nome do site de onde você veio e o endereço da nossa página pela qual você entrou; não contém nenhum identificador, não distingue o seu navegador do de ninguém mais e não permite reconhecer você nem dentro nem fora do site. Mas, se você criar uma conta enquanto ele existir, esse conteúdo é guardado junto à ficha do seu escritório, e a partir desse momento é um dado associado a ele e a quem o cadastrou: por qual link chegou. Nós o usamos para saber quais publicações nossas trazem escritórios; só o funil interno de administração o lê, ele não é enviado ao Google nem a nenhum terceiro e não é usado para publicidade. Esse uso fica dentro da autorização que você concede ao se cadastrar e segue as regras da Política de Tratamento de Dados Pessoais. Você pode apagar o cookie pelo navegador antes de se cadastrar e não perderá nada: ele não intervém em nenhum serviço.

A etiqueta do Google da seção 4 —o Google Analytics 4 e o Google Ads— só é carregada com o seu consentimento prévio, expresso e informado, que você concede separadamente para cada finalidade: a análise para o Google Analytics 4 e a publicidade para o Google Ads (Ley 1581 de 2012, artigo 9; LOPDP, artigos 7, numeral 1, e 8). Antes de você decidir nada é carregado nem enviado, porque nem todas as leis dos sete países nos dão para esse envio uma base diferente do seu consentimento. Escolher «Só essenciais» ou fechar o aviso não concede nenhum dos dois, e nesse estado a etiqueta não é carregada. Você pode retirar o consentimento a qualquer momento (seção 6); a retirada não afeta o que foi tratado enquanto ele esteve vigente.

O Cloudflare Web Analytics não escreve nada no seu dispositivo —não deixa cookies nem usa o armazenamento local—, de modo que a regra dos cookies não pede o seu consentimento. Isso não quer dizer que ele não trate dados: cada envio leva o seu endereço IP, como toda requisição web. O que o fundamenta é um interesse legítimo em saber quais páginas do site são lidas e se respondem bem, e o que o limita é o que recebemos: só números agregados de visualizações de página, sem nenhum identificador do seu navegador e sem nada que sirva para reconhecer você. A Cloudflare o presta como operadora por nossa conta (seção 4).

Você tem quatro formas de decidir:

• (1) O aviso de cookies que aparece na primeira vez em que você visita o site público: «Aceitar todos» aceita a análise e a publicidade; «Escolher» deixa você aceitar só uma das duas; «Só essenciais» e fechar o aviso não aceitam nenhuma e a etiqueta do Google não é carregada. Se mudarmos o que o aviso pergunta, perguntaremos de novo: uma resposta dada a uma pergunta anterior deixa de valer e, enquanto você não responder a nova, a etiqueta não é carregada;
• (2) O link «Preferências de cookies», no rodapé de todas as páginas do site público: ele apaga a resposta guardada no seu navegador, volta a exibir o aviso para que você decida de novo e, se a etiqueta do Google estava carregada, comunica a ela que as suas quatro finalidades ficam negadas e deixa de enviar a cada serviço a partir daquele instante. É a forma de retirar o consentimento que você deu. Os cookies que o Google já tiver escrito permanecem no seu navegador até vencerem ou até que você os apague nas configurações dele, que é onde eles vivem;
• (3) As configurações do seu navegador, que permitem ver, apagar e bloquear cookies site por site;
• (4) Uma extensão do navegador para gerenciar cookies.

Bloquear os cookies próprios da seção 3 impede fazer login e usar os formulários.

Cada cookie dura o que a seção 3 declara e nem um dia mais: o de sessão, até 7 dias ou até você sair da sessão; o de proteção de formulários, até 24 horas; o de idioma, 1 ano; o de medição de campanhas próprio, 30 dias; os do login com o Google ou com a Microsoft, 5 minutos; o aviso de leitura única, 1 minuto. Os dados que o Google Analytics 4 coleta com o seu consentimento são conservados por 14 meses (seção 4). O armazenamento local não vence sozinho. O cookie de sessão leva um identificador aleatório que o servidor não conserva em claro, e todos os cookies próprios viajam só por HTTPS e fora do alcance dos scripts da página.

A versão vigente desta política é a 0.0.14, em vigor desde 30 de outubro de 2026. A 0.0.14 nomeia o login com a Microsoft, que o produto oferece ao lado do login com o Google: acrescenta à seção 3 o cookie oauth_nonce, necessário e de 5 minutos, que protege esse login, e diz que oauth_state e oauth_consent também servem para ele. Nomeia além disso oauth_return, que o login com o Google já escrevia para voltar à autorização de um assistente externo e que esta política não nomeava; serve do mesmo modo para o da Microsoft. Não muda o que o aviso de cookies lhe pergunta, nenhum cookie de medição ou de publicidade nem nenhuma duração. Substitui a 0.0.13, de 11 de outubro de 2026. A 0.0.13 deixa de carregar a etiqueta do Google antes de você decidir: até esta versão ela era carregada no site público com o consentimento negado e enviava ao Google pings sem cookies com o seu endereço IP, a página, a página de origem e o navegador, e agora nada é carregado nem enviado até você aceitar uma finalidade (seções 4 e 5). E separa o que o aviso de cookies lhe pergunta em duas finalidades, a análise e a publicidade, que você pode aceitar uma sem a outra (seções 3, 4 e 6). Como muda o que o aviso lhe pergunta, ele volta a perguntar mesmo que você já tivesse respondido. Não acrescenta nenhum cookie nem muda nenhuma duração. Substitui a 0.0.12, de 10 de outubro de 2026. A 0.0.12 corrige duas afirmações da seção 5. A primeira dizia que o law_flow_attribution não trata dados pessoais seus e não pode ser cruzado com nada; não é assim quando você cria uma conta enquanto o cookie existe, porque o conteúdo dele é guardado junto à ficha do seu escritório, e agora a política diz isso nas seções 3 e 5. A segunda fundamentava o Cloudflare Web Analytics só em não escrever nada no seu dispositivo; agora diz também que ele trata o seu endereço IP e em que esse tratamento se fundamenta. Não acrescenta nenhum cookie, não muda nenhuma duração e não muda o que o aviso de cookies lhe pergunta. Substitui a 0.0.11, de 1 de outubro de 2026. A 0.0.11 descreve na seção 4 o único momento em que a etiqueta do Google é carregada dentro do produto —o instante em que uma conta é criada, para enviar ao Google Analytics 4 o evento de cadastro sob o mesmo consentimento— e corrige as frases das seções 2 e 4 que diziam que ela não era carregada em nenhuma tela do produto. Não acrescenta nenhum cookie, não muda nenhuma duração e não muda o que o aviso de cookies lhe pergunta. Substitui a 0.0.10, de 23 de setembro de 2026. A 0.0.10 acrescenta a finalidade (d) da seção 2, a medição agregada do uso do site público, e descreve na seção 4 as duas ferramentas que a fazem: o Google Analytics 4, que viaja pela mesma etiqueta do Google e sob o mesmo consentimento, e só com ele escreve _ga e _ga_<id>; e o Cloudflare Web Analytics, que não escreve cookies nem usa o armazenamento local. Retira a frase que dizia que nenhuma ferramenta de terceiros media a navegação, que já não era verdadeira: o Cloudflare Web Analytics media o site sem que a política o nomeasse. Substitui a 0.0.9, de 18 de setembro de 2026. A 0.0.9 precisa o que o cookie próprio law_flow_attribution guarda: soma às etiquetas e ao nome do site de referência o endereço da nossa página pela qual você entrou, sem a parte que segue o ponto de interrogação. Não acrescenta nenhum cookie, não muda nenhuma duração, não cria nenhuma finalidade nova e não leva nenhum identificador seu: duas pessoas que entram pela mesma página escrevem o mesmo valor. Substituiu a 0.0.8, de 16 de setembro de 2026. A 0.0.8 acrescenta o Brasil à base legal e ao âmbito da seção 5 —a Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais—, porque o Serviço é oferecido agora em sete países. Não muda nem um cookie, nem uma duração, nem uma finalidade. Substituiu a 0.0.7, de 13 de setembro de 2026. A 0.0.7 soma a Argentina à base legal e ao âmbito da seção 5 —a Ley 25.326 e seu Decreto 1558/2001—, porque o Serviço é oferecido agora em seis países. Não muda nem um cookie, nem uma duração, nem uma finalidade. Substitui a 0.0.6, de 12 de setembro de 2026. A 0.0.6 soma o Uruguai à base legal e ao âmbito da seção 5 —a Ley N° 18.331 e sua modificativa, a Ley N° 19.670—, porque o Serviço é oferecido agora em cinco países. Não muda nem um cookie, nem uma duração, nem uma finalidade. Substitui a 0.0.5, de 10 de setembro de 2026, a 0.0.4, de 8 de setembro de 2026, a 0.0.3, de 4 de setembro de 2026, a 0.0.2, de 4 de setembro de 2026, e a 0.0.1, vigente desde abril de 2026. A 0.0.5 soma a Costa Rica à base legal e ao âmbito da seção 5 —a Ley N° 8968 e seu Reglamento, Decreto Ejecutivo N° 37554-JP—, que o texto já nomeava sem que a versão tivesse se movido com ele, e nomeia as quatro normas como a sua fonte as publica também na tradução para o inglês, onde as da Colômbia e do Equador estavam traduzidas. Não muda nem um cookie, nem uma duração, nem uma finalidade. A 0.0.4 declara o cookie próprio law_flow_attribution, que lembra por qual link você chegou durante 30 dias sem levar nenhum identificador seu, e precisa a finalidade (c) da seção 2, que até agora descrevia apenas a metade de terceiros. A 0.0.3 retira o cookie law_flow_impersonate_restore e a duração de uma hora da sessão de suporte: a função que os criava —o acesso de suporte com a identidade de um usuário do escritório— deixou de existir, de modo que nenhum dos dois é mais escrito em nenhum navegador. A 0.0.2 nomeou cada cookie próprio com a sua finalidade, duração e atributos, declara o armazenamento local, retira a menção a cookies de análise e de desempenho que não existem, corrige a base legal dos cookies necessários, descreve o que a etiqueta do Google envia antes de você decidir e acrescenta o link «Preferências de cookies» como meio para retirar o consentimento. Podemos atualizar esta política para refletir mudanças nas nossas práticas ou na legislação; cada versão nova é publicada aqui com a sua data e o seu número, e as mudanças importantes são comunicadas por meio da plataforma.

Esta política é redigida em espanhol; em caso de divergência com as suas traduções, prevalece a versão em espanhol. Para perguntas sobre ela, ou para exercer os seus direitos de acesso, retificação, cancelamento e oposição conforme a Política de Tratamento de Dados Pessoais, escreva para [email protected].