A ocultação reversível troca cada nome por um código e guarda a correspondência num arquivo na sua máquina. Quem recebe o documento lê só códigos, e depois você os troca de volta pelos nomes. O código vale na pasta em que foi criado, e o mapa exportado é o arquivo que desfaz a proteção.
Para que serve um código reversível
Alguns documentos saem para não voltar, e basta remover o que identifica alguém. Outros têm ida e volta: um dossiê para um perito, uma revisão por um fornecedor, uma segunda opinião sobre um prontuário. A resposta precisa ser lida com os nomes.
Com a tarja preta, o laudo fala em “a pessoa tarjada na página 3”, e alguém cruza parágrafos com o original à mão. Codificar, no promptShield, troca cada valor por um código ilegível para quem está de fora. Decodificar devolve os valores a partir do registro, na sua máquina, sem consultar serviço algum.
As duas ações convivem no mesmo documento, e Ocultar continua certo para o que não precisa voltar.
Como um código é montado
Um código tem colchetes, uma letra para o tipo de dado e caracteres de preenchimento. P é pessoa, O é organização, A é endereço, E é e-mail e U é tipo desconhecido, entre outras. Ana Moraes pode virar algo como [PRKW1FJR], e o exemplo vale só pela forma.
O preenchimento depende de uma chave de cada instalação, então o mesmo nome muda de um computador para outro. O aplicativo gratuito para navegador usa o mesmo método, com a chave do navegador, e seus códigos têm a forma real do produto.
O comprimento do código acompanha o do texto substituído, e cada caractere tem a largura visual do original. No PDF, o código é ajustado ao espaço exato do original. A tabela não desalinha, e quando o perito cita “o segundo parágrafo da página 4”, você acha o mesmo trecho no original.
Isso tem um custo: o código dá uma ideia do tamanho do nome. Num documento com só duas pessoas, uma de nome curto e outra de nome longo, isso pode dizer bastante.
O código vale na pasta onde nasceu
Dentro de uma pasta, um valor conserva seu código em todos os arquivos e a cada nova detecção. Entre pastas, o mesmo valor recebe códigos diferentes de propósito, e o gerador sorteia outro quando há coincidência. Só o código adicionado à mão nas Configurações vale em toda a Biblioteca.
Já publicamos, em sete idiomas, que um valor recebia sempre o mesmo código em toda a Biblioteca. A frase estava errada, e quem confiou nela pode ter espalhado por pastas diferentes os arquivos que queria ver ligados.
Esse limite também protege. Documentos que vazam de pastas diferentes não podem ser cruzados, e um código roubado, sem o registro, não revela nada. O que precisa ser lido junto vai para a mesma pasta, e o resto fica separado.
Onde fica o mapa e qual arquivo desfaz a proteção
O mapa é o Registro de códigos: um arquivo SQLite local que nossos servidores nunca recebem. Ele não é criptografado, por decisão de projeto. Quem consegue abri-lo já tem os originais no mesmo disco, e uma senha no mapa não protegeria nada a mais.
O perigo é a exportação do registro: um JSON em texto puro, com cada código ao lado do valor original. Um documento “protegido” enviado junto com ela chega inteiramente identificado. O aplicativo a marca como sensível, e ela nunca deve ir no mesmo e-mail, pasta compartilhada ou chamado de suporte que o documento.
O art. 13, § 4º da LGPD descreve esse risco. Na pseudonimização, a informação adicional fica com o controlador, separadamente, em ambiente controlado e seguro. A exportação põe em risco esse “separadamente”. Quando há sigilo profissional, o lugar onde o mapa fica deixa de ser um detalhe técnico.
O que fica dentro do arquivo
No arquivo baixado, o texto original sai da página, em vez de ficar selecionável sob um retângulo preto. Texto alternativo, metadados, destinos nomeados e campos de formulário recebem o código ou um marcador neutro. A miniatura gerada antes da proteção é descartada, porque não dá para substituir texto numa imagem.
Nada disso compensa um valor não detectado. A detecção combina padrões para CPF (123.456.789-09), CNPJ, CEP e dados bancários com o reconhecimento de nomes e endereços. Nenhum detector local acha todos os identificadores, então um arquivo protegido só pode ser baixado depois que alguém confere os resultados em Rever.
Nas duas versões do produto, o documento não sai da sua máquina. O selo “100% offline” vale só para o aplicativo de desktop, porque o aplicativo gratuito para navegador envia um sinal anônimo quando é aberto.
Para a LGPD, codificar é pseudonimizar
Pelo art. 12 da LGPD, o dado anonimizado deixa de ser pessoal, salvo se puder ser revertido com meios próprios ou esforços razoáveis. Um documento codificado é reversível com um meio que está na sua máquina, então continua contendo dados pessoais. A fronteira entre anonimizar e pseudonimizar tem um texto só dela.
O escritório segue como controlador (art. 5º, VI). Quem trata o arquivo em nome do escritório, em regra, é operador (art. 5º, VII), e o tratamento precisa de uma base do art. 7º. Mesmo assim, um vazamento do lado do perito entrega só códigos. Um mapa que nunca saiu da sua máquina também é fácil de demonstrar, como pede o art. 6º, X.
A multa máxima do art. 52 é de 2% do faturamento no Brasil, até R$ 50 milhões por infração. No dia a dia pesam mais o sigilo do advogado (art. 34, VII da Lei nº 8.906/1994 e art. 154 do Código Penal) e o contrato com o cliente. Avaliar seu caso cabe a quem conhece esse contrato.
Perguntas que chegam antes do primeiro envio
Dado substituído por código continua sendo dado pessoal?
Continua, porque um código existe para ser revertido: é pseudonimização. Confira também o texto ao redor dos códigos, porque um cargo às vezes identifica alguém tão bem quanto o nome.
Duas pessoas diferentes podem receber o mesmo código?
Não. Cada código é único em todo o Registro de códigos, mesmo entre pastas. O que muda de uma pasta para outra é o código de uma mesma pessoa: ela recebe um código diferente em cada pasta.
Onde fica a chave para desfazer os códigos?
Na sua máquina, no Registro de códigos, que Decodificar consulta sem chamar serviço algum. Se outras pessoas usam o computador, o que protege o mapa é o controle de acesso ao computador.
O que acontece se eu exportar o Registro de códigos?
O aplicativo gera um JSON em texto puro com cada código ao lado do seu valor. Com ele, qualquer pessoa lê o documento codificado como se nunca tivesse sido protegido. Mantenha a exportação fora do e-mail do documento, da pasta do fornecedor e dos pacotes de suporte, inclusive os nossos.