As bases do SUAS não saem do computador, e o que sai está escrito aqui.

Seção 1 O perímetro

O que sai da máquina e o que nunca sai

O processamento local vale para as bases do SUAS. A operação do serviço (os dados de uso do aplicativo, os Marcos, os pacotes do território, o analytics do site e os dados da conta) troca dados de uso e de cadastro, e o assistente de IA, se a equipe o ligar, envia o resumo que ela confirmar. Os dados das famílias nunca saem.

Seção 2 Os pilares

Quatro pilares de segurança

Processamento local

As bases do SUAS são processadas no computador municipal, sem servidor de análise e sem nuvem.

Nenhuma base sai do computador

Nenhum arquivo das bases nem ficha de família é enviado à InteliSUAS ou a terceiros. Só sai um resultado resumido, e só se você ligar o assistente de IA: ele vai ao provedor que você escolheu. Cada explicação é mostrada antes do envio; as consultas aos dados, se você as ligar, não têm prévia.

Sigilo SUAS

Os dados pessoais das famílias ficam no computador do município, sob controle da equipe. O assistente de IA nunca recebe a Consulta Cadastral, listagens com nome nem mapas, e contagens pequenas viram “menos de 5”. O Cadastro Único só chega a ele em contagens, se você ligar a chave própria, desligada por padrão. A exceção é a voz, se você a ligar: o áudio sai para o provedor antes de qualquer checagem.

Controle municipal

O município decide o que carregar, quando importar e quando exportar. A plataforma nunca solicita uploads.

Seção 3 O que não promete

Transparência: o que a arquitetura não promete

Estes limites estão declarados para que ninguém seja surpreendido por eles. Nenhum anula o ganho principal: o dado pessoal não circula pela rede.

Quem tem o disco, tem os dados locais

As bases importadas não são criptografadas, e quem tem acesso ao computador tem acesso a elas. O que a arquitetura evita é que as bases circulem pela rede.

Com o mesmo login do Windows, o cofre não separa pessoas

O cofre do Windows protege por usuário do sistema. Quando a equipe divide o mesmo login, quem separa uma pessoa da outra é o PIN.

O PIN separa colegas no turno, não protege contra quem tem o arquivo

No modo computador compartilhado, o PIN só impede que um colega veja a tela. Esquecê-lo não abre nada: é preciso sair e entrar de novo com a senha da conta.

O vínculo ao computador dificulta o uso em outra máquina, mas não é uma trava absoluta

O app confere que a sessão começou neste computador, e o servidor recusa entrada, renovação e pacotes vindos de outro. Quem altera o programa contorna a conferência feita no computador, mas não a do servidor.

O assistente de IA envia o que você ligar

Com um provedor na internet, vão o resumo do gráfico, a pergunta e a conversa anterior. Se você ligar as consultas aos dados, vão os resultados delas, sem prévia. Se ligar a voz, o áudio que você grava ao ditar vai ao provedor, e o app não consegue conferi-lo antes. O app troca contagens pequenas por “menos de 5” e recusa CPF, NIS e e-mail na pergunta, mas não reconhece nome de pessoa nem endereço escrito.

Seção 4 Para o jurídico e a TI

Para o jurídico e a TI do município

Base legal

Ferramenta de apoio técnico à gestão pública, prevista nas portarias normativas do SUAS que exigem vigilância socioassistencial.

Transferência internacional?

Nenhum dado das bases do SUAS sai do computador do município, e não há transferência internacional desses dados. Se a equipe ligar o assistente de IA com um provedor no exterior, o resumo agregado que ela confirmar vai para esse provedor. Os dados de uso e de conta são descritos na Política de Privacidade.

Retenção e eliminação?

As bases importadas ficam no computador do município e podem ser apagadas a qualquer momento; a InteliSUAS não guarda cópia delas. A conta na web mantém os dados de cadastro, os dados de uso, os Marcos e as sessões até 90 dias depois do encerramento da beta gratuita (ou até você pedir a exclusão), e depois os anonimiza; o IP de cada sessão é apagado depois de 30 dias (Política de Privacidade §2.1, §2.2 e seção 5).

Quais empresas tratam dados?

Nenhum fornecedor tem acesso às bases do SUAS. A conta e os dados de uso ficam num servidor da Hostinger, empresa de hospedagem; a Cloudflare, empresa de rede e segurança, entrega as conexões com o site e com o aplicativo; a Brevo envia os e-mails da conta e, por isso, vê o endereço e o conteúdo deles. Sem o mapa do território baixado, o fundo do mapa vem do OpenStreetMap, um serviço público de mapas. O provedor do assistente de IA é escolhido e contratado pela própria equipe. Os dados públicos vêm do IBGE e do MDS.

O que a documentação permite afirmar

Base legal

Apoio técnico à gestão pública, com a documentação da ferramenta.

Metodologia

Catálogo público, e a ficha metodológica acompanha a análise no aplicativo; em algumas ela ainda está em construção.

Implementação

Análises prontas: não há montagem de indicador nem servidor a instalar.

Conectividade

Com as bases carregadas, a análise funciona sem internet depois do login e da ativação, por até 7 dias seguidos: depois disso o app pede uma conexão para confirmar o acesso. A conexão também é usada para baixar os pacotes do território e as atualizações, para enviar os dados de uso e sincronizar os Marcos.

Suporte

Direto com quem desenvolve a ferramenta.

Seção 5 Canal de segurança

Encontrou um problema de segurança?

Escreva para seguranca@intelisuas.org. Inclua, se puder: a versão do aplicativo (em Configurações › Sobre), o sistema operacional, os passos para reproduzir e o impacto que você enxerga.

Não abra uma issue pública para um problema de segurança e não inclua dados reais do SUAS numa reprodução; use dados sintéticos. Não há programa de recompensa: o retorno é a correção na janela da beta, com o crédito combinado se você quiser.