Privacy Architecture — Pulso

Versão: 1.4 — FINAL (18/08/2026)

Status: Documento técnico/comercial. Não requer assinatura. Serve como referência para Política de Privacidade, NDA e materiais de vendas.

Premissa

Pulso opera no terreno mais sensível do mercado de capitais: tese de investimento, decisões de comitê, atas, valuations, side letters, dados financeiros de startups, due diligence multidisciplinar. Tudo isso é estritamente confidencial — por contrato e, para os Clientes que atuam como gestores de recursos, também pelos deveres fiduciários e regulatórios próprios da atividade desses Clientes.

Ao mesmo tempo, Pulso é uma plataforma de agentes autônomos de IA — e parte do valor entregue depende de aprendizado contínuo: o que funciona, o que não funciona, padrões setoriais, benchmarks de mercado.

Esta arquitetura responde à pergunta: como aprender com tudo o que acontece na plataforma sem comprometer a privacidade de nenhum cliente?

4 Camadas de Dado

Camada 1 — Pública (base Tibiriçá)

O que entra: Startups descobertas por scraping/busca em fontes públicas (PitchBook, Crunchbase, LinkedIn, valor.com.br, neofeed, Distrito, Cubo, etc.). Dados que já estão na internet.

Visibilidade: Global. Todos os tenants Pulso veem os mesmos dados.

Como aprende: Direta — texto literal armazenado na base.

Justificativa de privacidade: Esses dados não pertencem a nenhum cliente. Eles existem na rede pública. Pulso apenas os organiza, indexa e qualifica via screening (rubrica Morgan AI).

Status: ✅ Implementado (agente Aruanã AI — `/settings/platform-scout`).

Camada 2 — Padrões anonimizados (com opt-in)

O que entra: Insights extraídos das decisões agregadas, nunca dados literais. Exemplos:

```

"Healthtech B2B com churn >15% e LTV/CAC <2 → rejeição em 80% dos casos"

"Fintech LatAm com fundadores ex-bancos tradicionais → screening pass rate 65%"

"Deal com TRL <4 e burn >R$ 500k/mês → write-down em 70% dos casos em 18m"

```

Visibilidade: Cross-tenant opt-in granular:

• Tenant pode optar por contribuir com padrões (default OFF)
• Tenant pode optar por receber padrões (default ON pra valor imediato)

Como aprende: Diferencial privacy + k-anonymity.

• k-anonymity ≥ 10: padrão só é publicado quando ao menos 10 tenants distintos contribuíram com casos similares. Antes disso, fica em fila.
• Diferencial privacy ε ≤ 1.0: ruído matemático adicionado às estatísticas. Mesmo com acesso total à base, não é possível identificar contribuição individual de um tenant.
• Sem identificadores: nenhum padrão referencia nome de empresa, deal, fundo, vertical-microniche, ou qualquer atributo que torne 1 caso único.

Justificativa de privacidade: Mathematical guarantees, not promises.

Status: ⚠️ Especificado, não implementado ainda. Sem data prevista de implementação.

Camada 3 — Privada do tenant

O que entra: Tudo que vem dos clientes — docs uploaded, valuations, atas, decisões, notas, comentários, redlines, feedback humano nos checkpoints, configurações de fundos, todos os artifacts (DOCX/XLSX/PPTX) gerados.

Visibilidade: Apenas o tenant emissor. Pulso staff (founder Sandro) tem acesso administrativo apenas pra suporte mediante consentimento explícito do cliente, com audit log.

Como aprende: RAG (Retrieval-Augmented Generation) sobre o próprio corpus do tenant. Quando o agente responde a uma pergunta no deal X do tenant A, ele pode buscar contexto em outros deals do mesmo tenant A. Nunca cross-tenant.

Justificativa de privacidade: Isolamento físico no banco (campo `orgId` em todas as tabelas com índice obrigatório). Verificação de tenant em toda query via middleware.

Status: ✅ Implementado.

Camada 4 — Per-tenant fine-tune (premium)

O que entra: Estilo de redação, terminologia interna, prompts customizados, benchmarks proprietários do cliente.

Visibilidade: Apenas o tenant emissor. Treinamento isolado.

Como aprende: Adapter LoRA por tenant. Modelo base (Claude/GPT) fica imutável; o adapter é o que customiza por cliente. Adapter nunca é compartilhado nem agregado.

Justificativa de privacidade: Adapter binário fica em VPC ou storage dedicado do tenant. Nunca volta pro Pulso.

Status: ⚠️ Roadmap longo (2027+). Disponível só pra Enterprise tier.

Exceção crítica: scouting pré-aprovação

Regra

> Tudo que é levantado durante scouting (Stage 1 do CVC/VC) ANTES da aprovação do user vai para a Camada 1 (base global Pulso/Tibiriçá, agente Aruanã AI). Após a aprovação do user, tudo fica trancado na Camada 3.

Justificativa

• Scouting trabalha com dados públicos (web scraping, fontes abertas). Não é informação proprietária do cliente — é informação de mercado.
• A decisão do cliente sobre cada startup (aprovar / rejeitar / watchlist) não vai pra base global — fica privada.
• O que vai pra base global é apenas o fato de que a startup existe + dados públicos coletados. Nenhum tenant aprende quem viu, quem aprovou, quem rejeitou.

Impacto prático

Quando outro tenant (org B) busca scouting na mesma vertical, ele encontra a startup X que A já tinha visto. Mas:

• ❌ B não vê que A já tinha encontrado X
• ❌ B não vê o que A decidiu sobre X
• ❌ B não vê notas/comentários de A sobre X
• ❌ B não vê quais filtros ou termos de busca A usou pra chegar em X
• ✅ B vê apenas os dados públicos de X (já indexados)

Compromissos por contrato

A Política de Privacidade e o NDA Mútuo formalizarão estes compromissos:

1. Camadas 1, 2, 3, 4 são imutáveis sem comunicação prévia ao cliente (60 dias) e sem direito de rescisão sem multa.

2. Cliente sempre pode:

- Listar todos os dados pessoais armazenados (LGPD art. 18 IV)

- Solicitar exclusão (art. 18 VI), mantida apenas obrigação de retenção legal (fiscal e contábil)

- Revogar consentimentos a qualquer momento (art. 18 IX)

- Portabilidade (art. 18 V) — exportar todos os dados em formato estruturado

3. Audit trail completo de quem acessou o quê, quando, por que.

4. Notificação de incidente em até 24h após detecção (art. 48).

5. Sub-processadores divulgados publicamente (Anthropic, Vercel, Neon, etc.) — ver `subprocessors.md` (a criar).

Glossário

• Tenant: organização cliente (Org no schema Prisma, identificada por `orgId`).
• Sub-processador: serviço terceirizado que processa dados em nome do Pulso (controller). Ex: Anthropic processa prompts; Vercel hospeda app; Neon hospeda DB.
• k-anonymity: técnica que garante que cada registro publicado é indistinguível de pelo menos k-1 outros.
• Diferencial privacy: técnica matemática que garante que adicionar/remover 1 indivíduo do dataset não muda significativamente o output de uma query agregada.
• LoRA: Low-Rank Adaptation. Técnica de fine-tune leve onde só pequenas matrizes são treinadas, em vez do modelo inteiro.

Referências

• LGPD: Lei 13.709/2018
• GDPR: Regulamento (UE) 2016/679
• Apple Differential Privacy: https://www.apple.com/privacy/docs/Differential_Privacy_Overview.pdf
• Microsoft Presidio (PII detection): https://github.com/microsoft/presidio
• Pulso Código de Ética (`code-of-ethics-client.md`, docs internos)

Histórico de Versões