Opere enquanto cumpre

Foi publicada em dezembro de 2024 e é plenamente exigível desde 1º de dezembro de 2026, após vinte e quatro meses de adequação. As sanções chegam a 20.000 UTM por infrações gravíssimas e a 4% da receita anual em caso de reincidência. A Agência pode ainda ordenar a suspensão do tratamento e publicar um registro nacional de sanções.

É o inventário de como sua organização trata dados pessoais: finalidade, base legal, categorias de dados, prazos de conservação e destinatários. A lei exige mantê-lo atualizado. Na BRAINLOF ele é gerado e mantido vivo a partir do seu mapa de dados e da operação diária, sem refazê-lo a cada vez.

Obriga especialmente serviços essenciais e Operadores de Importância Vital a implementar um SGSI, designar um encarregado de cibersegurança, gerenciar riscos e reportar incidentes à ANCI em um prazo máximo de três horas. Já está em vigor e não tem período de carência.

Menos do que parece. Durante os primeiros doze meses de vigência, as empresas de menor porte recebem advertência por escrito em vez de multa pelas primeiras infrações. Isso termina em dezembro de 2027, e a advertência não dispensa a correção nem protege contra uma reclamação do titular.

Uma consultoria entrega documentos; a fiscalização revisa operações. A BRAINLOF deixa evidência operacional rastreável por artigo de lei e monitoramento contínuo, em vez de um relatório que perde validade. E deixa capacidade instalada na sua equipe em vez de levar o conhecimento embora ao terminar o projeto.

O motor é agnóstico: ISO 27001, 27005, 9001 e 14001, NIST CSF, CIS, Normas Chilenas e marcos próprios, além das leis chilenas 21.719, 21.663 e 20.584. Os marcos se cruzam entre si para que um controle avaliado responda a todas as normas que o exigem.

A ANCI designa os OIV por resolução e publica a lista. O primeiro processo foi encerrado em 24 de julho de 2026. Se sua instituição foi designada, você é notificado e passa a ter obrigações reforçadas exigíveis de imediato: SGSI, encarregado de cibersegurança, gestão de riscos e reporte de incidentes em três horas, com multas de até 40.000 UTM.

Sim, e é o caminho pelo qual mais organizações descobrem que têm obrigações. A Lei 21.663 empurra os OIV a exigir padrões de sua cadeia de fornecedores, então você vai receber questionários de segurança e cláusulas contratuais que antes não existiam. Respondê-los com evidência e não com promessas é hoje um requisito para continuar vendendo a eles.

Não. A camada de inteligência artificial está desacoplada da lógica de negócio e opera com isolamento estrito por organização: nem o usuário nem o modelo acessam dados fora do tenant e do papel da sessão. Seus dados não alimentam modelos nem são usados para melhorar o serviço de outros clientes.

Separando quem encontra de quem redige. A detecção funciona com regras fixas e auditáveis sobre os dados que sua organização já tem carregados, e cada achado aponta os registros concretos que o originam. Só então a IA propõe o risco redigido, e uma pessoa o aceita, edita ou descarta.

A certificação atesta um momento; a fiscalização pergunta pela operação contínua. A plataforma mantém o SGSI vivo entre auditorias, cruza seu marco atual com as leis 21.719 e 21.663 sem levantar os mesmos controles de novo, e deixa o dossiê pronto para a auditoria de manutenção sem reconstruí-lo.

Sim. O motor é agnóstico: além dos marcos incluídos, você pode definir marcos próprios com seus controles, seus documentos exigidos e sua periodicidade, e cruzá-los com as normas externas para que um controle avaliado responda a todas de uma vez.

Documentos com criptografia de envelope e chave própria por organização em armazenamento privado, isolamento estrito entre organizações, controle de acesso por papel, sessões de curta duração, registro de acessos e defesas contra o OWASP Top 10. A plataforma opera sobre infraestrutura de hosting com certificação SOC 2 tipo II e ISO 27001.

Você não precisa ser especialista: a IA traz o marco com seus controles, documentos e atividades, e orienta passo a passo. O que uma consultoria tradicional leva meses se reduz a semanas. A implantação é feita por um consultor certificado da rede, na matéria que sua norma exige.

Atendem 24×7 seus clientes, pacientes, estudantes ou fornecedores por chat, voz ou portal; executam o fluxo do serviço com as regras da sua organização; escalam para uma pessoa quando o caso passa do limiar que sua equipe definiu; e deixam a interação registrada com base legal e consentimento. Não tomam decisões clínicas, financeiras nem sancionatórias.

Sim. A Lei 21.719 regula as decisões automatizadas que afetam pessoas: exigem base legal, informação ao titular e direito de oposição. A BRAINLOF permite inventariar seus sistemas de IA, designar um responsável por cada um, registrar as decisões e definir o que o modelo resolve e o que uma pessoa assina.

Sim. O histórico de conformidade é seu e é exportado em formato de auditoria quando você pedir. Sua permanência deveria ser uma decisão, não um custo de saída.

Sim, de duas formas diferentes: certificamos parceiros que implantam a plataforma em seus clientes, e acordamos canal com redes que incorporam muitas organizações de uma vez. São assinados separadamente porque são relações distintas.

A Lei 21.719 exige designar responsáveis pelo tratamento e, em determinados casos, um encarregado de prevenção com funções específicas. Mesmo que você não fosse obrigado, ter alguém designado com escopo escrito é a primeira coisa que uma fiscalização revisa. Se não tiver quem nomear, a rede de parceiros presta o papel de forma externa.

A plataforma registra o incidente com sua taxonomia, ativa os prazos correspondentes e monta o dossiê de notificação. O que não se pode improvisar é o anterior: ter o mapa de dados, o inventário de ativos e o canal de comunicação definidos antes do incidente. Esse é o trabalho que a plataforma deixa pronto.

Hoje a operação acontece dentro da plataforma e a evidência se origina ali, não importada de fora. As integrações nativas com provedores de identidade, nuvem e SIEM, junto com o login único e a API pública, estão em desenvolvimento. Dizemos assim porque é a lacuna mais citada frente às suítes internacionais.

O assistente da plataforma é para a sua equipe: orienta a configuração e explica o que se registra em cada campo, e só vê a documentação disponível para aquele perfil — não acessa seus dados nem executa ações. Os agentes de serviço são para seus clientes: atendem 24×7, resolvem trâmites completos e deixam a evidência de cada interação.

Uma organização matriz governa suas filiais ou associados com isolamento estrito: cada uma opera com sua marca, seus dados e sua própria chave de criptografia, enquanto a matriz consolida o estado do grupo. É a mesma arquitetura que sustenta o programa de canal, e já está construída.

Sim. O diagnóstico de exposição à Lei 21.719 é gratuito, leva quatro minutos e devolve suas lacunas priorizadas com o artigo que as obriga. Se você avançar, esse resultado é o ponto de partida da configuração, e a demonstração é feita com um processo real seu em vez de uma apresentação de produto.