{
  "policy_version": "1.0.0",
  "effective_date": "2026-08-25",
  "owner": "Arsenal GEO Lab",
  "scope_note": "Política operacional do laboratório; não é parecer jurídico nem afirma conformidade automática de sistemas ainda não instrumentados.",
  "publication": {
    "prohibited_fields": [
      "prompt_linked_to_person",
      "full_ip",
      "email",
      "phone",
      "reservation_id",
      "guest_name"
    ],
    "hotel_identity": "Pseudonimizada até existir consentimento específico e verificável para case nominal.",
    "named_case_requires": "Consentimento específico, separado de pesquisa, analytics e publicação anonimizada.",
    "minimum_aggregation_k": 5,
    "small_group_rule": "Grupos com k < 5 não são publicados como agregado; podem ser combinados, suprimidos ou mantidos privados.",
    "null_result_rule": "Resultado nulo, negativo, invalidado ou falha de replicação permanece no índice público."
  },
  "evidence": {
    "snapshot_required": true,
    "sha256_required": true,
    "origin_required": true,
    "capture_time_required": true,
    "allowed_privacy_classes": ["PUBLIC", "AGGREGATE", "PSEUDONYMIZED"],
    "raw_client_data_public": false
  },
  "retention": {
    "raw_operational_days": 90,
    "pseudonymized_research_months": 24,
    "public_aggregate": "Mantido enquanto o registro público existir; correções geram nova versão e preservam o histórico.",
    "deletion_request_sla_days": 30,
    "deletion_process": "Pedido verificado é registrado, dados identificáveis sob controle do Arsenal são localizados e excluídos ou anonimizados dentro do prazo operacional. Evidência pública agregada sem possibilidade razoável de reidentificação não é reclassificada como dado nominal."
  },
  "access": {
    "least_privilege": true,
    "public_by_default": false,
    "client_raw_data": "Acesso restrito às pessoas necessárias para coleta, verificação e exclusão."
  }
}