DECLARAÇÃO DO FUNDADOR
Por que Iniciei Este Ecossistema — Uma Convicção Profissional Após 28 Anos
Seus dados. Suas chaves. Suas regras.
Cada produto neste ecossistema é construído com um único compromisso arquitetônico: seus dados, suas chaves, seu controle. Sua senha nunca sai do seu dispositivo. Seus documentos nunca são armazenados. Sua chave de criptografia é somente sua. Nenhuma lei de nuvem dos EUA, nenhuma intimação de fornecedor, nenhum corretor de dados — pode alcançar o que nunca foi compartilhado.
Contexto
Por 28 anos, trabalhei na interseção de tecnologia, segurança e conformidade organizacional. Fundei a curta.solutions em 1998. Desde então, atuei como parceiro em arquitetura de TI, segurança, transformação digital e conformidade para organizações regulamentadas em 26 países — nos setores financeiro, de saúde, jurídico, governamental, de manufatura e tecnologia.
O que observei ao longo de 28 anos não é uma evolução lenta. É uma crise em câmera lenta — uma que atingiu um ponto de ruptura com a chegada da IA generativa e a proliferação global de regulamentações de privacidade sobrepostas.
Minha Convicção
Acredito que toda pessoa, organização e instituição tem o direito de compartilhar informações de forma seletiva — divulgar a um regulador apenas o que um regulador tem direito a ver, colaborar com um parceiro apenas sobre dados que foram explicitamente autorizados, participar da vida comercial e pública sem abrir mão do que deve permanecer privado.
Acredito que esse direito deve ser praticável por todos — não apenas por organizações com departamentos de conformidade e orçamentos de software empresarial. A privacidade não pode ser um privilégio de escala.
Acredito que em um mundo onde a lei dos EUA pode alcançar qualquer dado mantido por qualquer empresa dos EUA em qualquer lugar do planeta, e onde 77% dos funcionários alimentam dados sensíveis em ferramentas de IA que não controlam, a única arquitetura que pode oferecer uma garantia de privacidade significativa é aquela onde os dados nunca saem do controle do usuário em primeiro lugar. Não garantias contratuais. Não políticas de privacidade. Arquitetura técnica.
Autenticação zero-knowledge. Processamento local-primeiro. Criptografia reversível onde a chave pertence ao usuário. Operação capaz de funcionar offline. Jurisdição da UE, sem exceções. Estas não são características do produto. Elas são o padrão mínimo para qualquer ferramenta que afirme proteger dados pessoais.
E acredito que 28 anos de trabalho dentro das organizações que lidam com as informações mais sensíveis do mundo — 28 anos observando a lacuna entre a intenção regulatória e a realidade técnica se ampliar — me deram tanto a compreensão quanto a responsabilidade de iniciar o que o ecossistema ainda carece. Definir a visão, reunir a equipe certa e garantir que seja construído de acordo com o padrão que o problema exige.
O direito de anonimizar informações pessoais não é uma característica técnica. É um direito fundamental. E um direito que não pode ser exercido na prática não é direito algum.
Os Problemas que Observei
Fragmentação Regulamentar: Muitas Regras, Nenhuma Linguagem Comum
Uma organização de médio porte que opera globalmente deve navegar simultaneamente por mais de 48 leis de privacidade nacionais e regionais — GDPR, UK GDPR, CCPA, LGPD, PDPA, PIPL, DPDPA, APPI, PIPEDA e dezenas mais. 24 DPAs nacionais na UE emitem orientações vinculativas que são consistentes em princípio e divergentes na prática. O que satisfaz o BfDI alemão não satisfaz automaticamente o CNIL francês, o DPC irlandês ou o AP holandês. A sobreposição específica do setor — HIPAA, PCI-DSS, NIS2, a Lei de IA — adiciona requisitos raramente harmonizados entre si.
O resultado não é um quadro de conformidade. É um alvo em movimento com 48 alvos diferentes.
O Monstro do Papel: Acordos que Ninguém Lê, Controles que Ninguém Verifica
As organizações mantêm acordos de processamento de dados com centenas de subprocessadores, Cláusulas Contratuais Padrão que chegam a mais de 30 páginas por relação de transferência, Registros de Atividades de Processamento, DPIAs, TIAs, LIAs — cada um exigindo entrada técnica que a maioria das equipes jurídicas não pode verificar de forma independente. Na prática: as organizações assinam o que precisam assinar, arquivam o que precisam arquivar e esperam que a realidade técnica corresponda à descrição contratual. O monstro do papel gera a aparência de conformidade. Raramente gera a substância dela.
Inadequação Técnica: As Ferramentas Não Correspondem à Obrigação
A detecção de PII baseada em IA generativa é não determinística. O mesmo documento processado duas vezes produz resultados diferentes. Fundamentalmente incompatível com a conformidade — onde você deve demonstrar, de forma reprodutível e verificável, que dados específicos foram detectados e tratados corretamente.
Microsoft Presidio, spaCy, Stanza — plataformas de engenharia, não ferramentas de conformidade. Implantar em produção requer escrever reconhecedores personalizados para cada tipo de entidade e idioma, construir pipelines de pré/pós-processamento, integrar com formatos de documentos, manter tudo à medida que as regulamentações evoluem. Tipicamente 30–80 horas de tempo de engenharia especializado antes que um único documento seja processado. A maioria das organizações não possui essa expertise internamente.
Um número pessoal em um contrato de trabalho sueco, um Steuer-ID em um formulário fiscal alemão, um PESEL em um documento de seguro polonês, um Codice Fiscale em uma fatura italiana — cada um requer não apenas detecção de linguagem, mas reconhecimento de entidade ciente do tipo de documento. Modelos de linguagem treinados predominantemente em inglês produzem uma taxa de erro de 69% em PII em texto não inglês. A lei não faz distinção por linguagem.
Microsoft Purview, AWS Macie, Google Cloud DLP — caros, requerem conectividade com a nuvem, aprisionam as organizações. Mais criticamente: todos têm sede nos EUA. O CLOUD Act de 2018 os obriga a divulgar dados em qualquer lugar do mundo mediante um pedido válido do governo dos EUA. A Seção 702 da FISA permite a coleta de inteligência sem mandados individuais. O Schrems II invalidou o Escudo de Privacidade UE-EUA exatamente por essa razão. Um contrato anual de seis dígitos com um provedor de nuvem dos EUA não produz processamento de dados em conformidade com o GDPR.
O Problema da IA Descontrolada: O Mercado Não Tem Resposta
77% dos funcionários compartilham informações sensíveis de trabalho com ferramentas de IA pelo menos semanalmente. 34,8% de todos os inputs de ferramentas de IA contêm informações que qualificam como sensíveis sob pelo menos um quadro de privacidade. Os funcionários usam ChatGPT, Copilot, Claude, Gemini para redigir contratos, resumir notas, analisar planilhas — constantemente, automaticamente, sem consciência do que estão colando em um prompt.
Sistemas DLP tradicionais não conseguem entender o conteúdo semântico de um prompt em linguagem natural. Eles não conseguem distinguir um desenvolvedor pedindo a uma IA para explicar um padrão de código de um desenvolvedor colando um banco de dados de produção de 50.000 registros na mesma janela. Os modelos de IA processam tudo. Eles não oferecem proteção, não dão avisos, não têm trilha de auditoria na qual um DPO possa confiar.
O que falta é a camada técnica que torna a política aplicável na prática. Essa camada não existe no mercado em nenhum ponto de preço que uma organização de médio porte possa pagar, em qualquer forma que funcione com as ferramentas de IA que os funcionários realmente usam. Esta é uma das lacunas que este ecossistema foi criado para fechar.
A Lacuna de Acessibilidade: Conformidade como um Privilégio de Escala
Um praticante solo, uma organização comunitária, uma pequena autoridade pública, uma instituição de pesquisa — cada um sujeito ao mesmo GDPR, ao mesmo direito à exclusão, à mesma obrigação de notificação de violação que um banco global — mas sem a equipe jurídica, os recursos de engenharia ou o orçamento de software empresarial para implementá-los corretamente. O ecossistema de conformidade atendeu adequadamente, embora de forma cara, grandes organizações. Atendeu a todos os outros com um mandato e sem meios práticos de satisfazê-lo.
A Resposta do Ecossistema — Uma Plataforma, Múltiplas Expressões
A plataforma guarda-chuva e ponto de acesso principal. Detecção de PII híbrida de camada dupla (260+ entidades, 48 idiomas, 121 predefinições de conformidade) em todos os modelos de implantação — SaaS, nuvem privada gerenciada e autogerenciada. Todos os produtos derivados compartilham o mesmo mecanismo de detecção e o mesmo princípio fundador: poder nas mãos do usuário.
Edição empresarial com air-gap. 390+ entidades, 317 padrões regex personalizados, processamento 100% offline, OCR de imagem em 37 idiomas. Zero dependência da nuvem — os dados nunca saem do dispositivo.
Plataforma de PII em nuvem com o maior acesso. Extensão do Chrome para interceptação de IA em tempo real, Servidor MCP, Add-in do Office, criptografia reversível. Grátis até €29/mês — conformidade para todos os orçamentos.
Desktop-primeiro, totalmente local. Presidio sidecar no dispositivo, 7 formatos de documento + OCR, processamento em lote, cofre criptografado. Licença perpétua única — sem assinaturas, sem nuvem, totalmente offline após a ativação.
Plataforma de demonstração pública instantânea. Nenhuma conta necessária — cole texto, anonimizar imediatamente, veja o mecanismo em ação. A forma mais rápida de experimentar o que o ecossistema faz.
Plataforma Guarda-Chuva — SaaS · Nuvem Privada Gerenciada · Autogerenciada · 3 modelos de implantação
- //As organizações relatam que 67% dos desenvolvedores expuseram acidentalmente segredos no código — regex determinístico captura o que NLP perde e vice-versa
- //A detecção de IA de propósito geral alcança uma taxa de erro de 69% em texto não inglês — a camada dupla com spaCy + XLM-RoBERTa fecha a lacuna em todos os 48 idiomas
- //A redação inconsistente entre equipes é a #1 citada em auditorias ICO e DPA — predefinições impõem comportamento de detecção idêntico entre todos os usuários, todas as sessões
- //95% das violações de dados de 2024 estão ligadas a erro humano — predefinições compartilhadas eliminam as decisões de configuração por pessoa que criam variação
- //Pilhas de PII de múltiplos fornecedores criam lacunas na trilha de auditoria — mais de 60% das organizações que usam 3+ ferramentas de PII relatam falhas de reconciliação entre ferramentas
- //Fragmentação de formato: as organizações processam PDF, DOCX, XLSX, CSV, JSON simultaneamente — cada formato anteriormente exigia uma abordagem separada, uma ferramenta separada, um registro de auditoria separado
- //Ferramentas de PII empresariais custam de $50.000 a $500.000/ano — organizações com restrições de custo historicamente não tiveram opção alguma
- //O CLOUD Act + a Seção 702 da FISA significam que o processamento "em conformidade com o GDPR" hospedado nos EUA é uma ficção contratual — a hospedagem apenas na UE remove essa exposição completamente
Edição Empresarial com Air-Gap — 390+ entidades · 317 regex personalizados · 100% offline · OCR de Imagem
- //PII específica da indústria — códigos de instalações nucleares, números de serviço militar, IDs internos proprietários — não cobertos por nenhuma ferramenta comercial; reconhecedores personalizados exigem semanas de engenharia especializada em Presidio bruto
- //A incompletude da cobertura é o teto de detecção: nenhuma ferramenta geral cobre todos os tipos de PII, todos os idiomas, todos os formatos — 317 padrões curados fecham as lacunas que frameworks prontos não conseguem
- //O paradoxo do fornecedor: para proteger a PII, você deve compartilhá-la com um fornecedor. O processamento em nuvem exige confiar no processador — uma contradição arquitetônica para organizações que lidam com os dados mais sensíveis
- //Ambientes com air-gap (defesa, inteligência, infraestrutura crítica, laboratórios de pesquisa) não podem usar ferramentas dependentes da nuvem a qualquer preço — o primeiro offline remove completamente a barreira arquitetônica
- //Microsoft Purview explicitamente não consegue escanear JPEG/PNG — PII de texto em capturas de tela é completamente invisível para a pilha DLP empresarial por design
- //O malware SparkCat (iOS/Android, Dez 2025) usou OCR para roubar frases de recuperação de carteiras de criptomoedas de capturas de tela — PII de texto baseada em imagem é um alvo de ataque ativo, não um risco teórico
- //Aumento de 300% nas violações de dados baseadas em nuvem entre 2022 e 2024 — zero-knowledge significa que uma violação em nossos servidores não expõe nada, porque nada é armazenado
- //Certificado ISO 27001:2022 com testes de penetração de pilha completa regulares — a postura de segurança que a aquisição regulamentada exige é documentada, verificada e auditada de forma independente
Plataforma de PII em Nuvem — Grátis até €29/mês · Extensão do Chrome · Servidor MCP · Add-in do Office
- //8,5% de todos os prompts de LLM contêm PII — a interceptação em tempo real antes da submissão é a única prevenção que funciona; a detecção posterior perde a única janela que importa
- //DLP tradicionais disparam após os dados terem deixado a organização — a Extensão do Chrome intercepta no ponto de entrada, antes que qualquer modelo receba ou processe conteúdo sensível
- //A detecção de IA generativa é não determinística — o mesmo documento produz resultados diferentes em execuções diferentes; nenhum sistema probabilístico pode formar a base de uma defesa regulatória
- //Presidio sozinho perde entidades dependentes de contexto; XLM-RoBERTa sozinho gera falsos positivos em linguagem jurídica formal — uma terceira camada de classificação de postura elimina os falsos positivos que fazem as equipes de conformidade desconfiar das ferramentas automatizadas
- //Descoberta legal, solicitações de acesso a registros médicos, auditoria regulatória — dados anonimizados devem às vezes ser desanonimizados pela parte autorizada e somente por ela; métodos irreversíveis tornam isso impossível
- //A chave de sessão do usuário nunca sai de seu dispositivo — não nossos servidores, não nenhuma nuvem, não nenhum subprocessador. O direito de reverter a anonimização pertence ao usuário, não a nós.
- //Um praticante solo enfrenta a mesma obrigação de direito à exclusão do GDPR que um banco global — mas sem um departamento de conformidade ou um orçamento de software empresarial de €500K/ano
- //764 organizações da UE estão simultaneamente sob investigação por falhas no direito à exclusão — não porque pretendiam violar; porque as ferramentas para cumprir estavam precificadas além de seu alcance
Desktop-Primeiro · Processamento 100% Local · 7 Formatos de Documento + OCR · Licença Única
- //Aumento de 300% nas violações de dados baseadas em nuvem entre 2022 e 2024 — dados que nunca entram na nuvem não podem ser expostos em uma violação na nuvem
- //O CLOUD Act + FISA tornam o processamento hospedado nos EUA legalmente incerto para organizações da UE — o processamento local elimina todo o problema de transferência transfronteiriça garantindo que nenhuma transferência ocorra
- //A fragmentação de formato força as organizações a manter várias ferramentas — cada ferramenta cria uma política de detecção separada, um registro de auditoria separado, um modo de falha separado
- //Arquivos de log são a superfície de PII negligenciada — desenvolvedores se concentram em bancos de dados, mas logs contêm chaves de API, IDs de usuários, endereços IP; CSV e JSON são suportados nativamente junto com documentos estruturados
- //Ambientes de produção com air-gap — andares de manufatura, instalações governamentais seguras, laboratórios de pesquisa — não podem tolerar uma verificação de licença que exige acesso à rede; ativação única e, em seguida, operação totalmente offline é a única arquitetura viável
- //Licenças perpétuas sem dependência recorrente de SaaS: o usuário possui sua instalação; um cancelamento de assinatura de fornecedor não pode desativar uma ferramenta em um momento crítico de processamento
- //Reconstruções de pipeline dbt destroem políticas de mascaramento em dados CSV/JSON — EDPB 2024 esclarece que isso viola o Art. 5(1)(a) do GDPR; armazenamento em cofre com histórico criptografado significa que cada arquivo processado tem um registro auditável e recuperável
- //Organizações que processam milhares de documentos legados para conformidade com o direito à exclusão do GDPR precisam de capacidade em lote — não um limite de 5 arquivos por dia de SaaS que torna a tarefa operacionalmente impossível
A Escala do Problema
Essas não são falhas isoladas. Elas são resultados sistêmicos de um ambiente de conformidade que superou sua própria infraestrutura.