Palavra de Sá

Empresa ligada ao Muralha Paulista é apontada como risco para dados sensíveis em Goiás

A empresa escolhida pelo governo de Tarcísio de Freitas (Republicanos) para fornecer parte da tecnologia do programa de videomonitoramento Muralha Paulista foi, neste ano, alvo de questionamentos de órgãos de controle em São Paulo e em Goiás. As suspeitas têm semelhanças e diferenças nos dois estados, mas, de maneira geral, os contratos com a empresa de tecnologia Paladium Corp (atualmente chamada de Pax IA) foram questionados por falta de licitação e riscos relacionados ao tratamento dos dados pessoais e biométricos da população.

Em São Paulo, após apontamentos do Tribunal de Contas do Estado, a parceria de R$ 476 milhões com a empresa — firmada sem licitação — foi rescindida “amigavelmente” em junho deste ano. Já em Goiás, a Paladium é alvo de uma ação na Justiça: o contrato de R$ 183 milhões foi suspenso por liminar, mas foi retomado em agosto após recurso da empresa.

O principal questionamento estava ligado à ausência de licitação, no entanto, os contratos nos dois estados podem ter colocado dados sensíveis da população nas mãos de uma empresa privada — que tem como sócia uma holding nos Estados Unidos.

>>>> Por que isso importa?

•        Programas de videomonitoramento com câmeras nas ruas têm se expandido nas cidades brasileiras, mas lidam com dados sensíveis da população, protegidos pela Lei Geral de Proteção de Dados

•        Caso reeleito, o governador Tarcísio de Freitas promete ampliar o Muralha Paulista para as 645 cidades do interior de São Paulo

•        Programa paulista já foi alvo de críticas por uso sem regulamentação

Os programas de videomonitoramento têm sido usados por políticos como bandeira para aprimorar mecanismos de segurança pública – a violência é o tema que mais preocupa o brasileiro, segundo pesquisas.

Lançado em 2024, o Muralha Paulista é um dos carros-chefes de Tarcísio. Em seu plano de governo para uma possível reeleição, o candidato pretende levar a tecnologia para todos os 645 municípios paulistas. Em Goiás, o vice-governador Daniel Vilela (MDB), favorito nas pesquisas, também promete a ampliação do IA Contra o Crime para cidades do interior. A iniciativa começou a ser estruturada na gestão do ex-governador Ronaldo Caiado (PSD), que concorre à presidência.

Não é a primeira vez que o Muralha Paulista é alvo de críticas. Em 2024, a Agência Pública revelou que o programa funcionou por mais de um ano e meio sem regulação. Assim, agentes com acesso ao sistema não tinham limites definidos quanto ao que podiam fazer com os dados da população. Os programas de videomonitoramento captam imagens em tempo real por meio de câmeras espalhadas em lugares públicos e cruzam com bases de dados dos cidadãos, permitindo consultas a informações sigilosas sem autorização judicial.

Agora, problema parecido segue acontecendo — mas com os dados sensíveis nas mãos de uma empresa privada.

<><> Em Goiás, dados seriam propriedade da empresa

Em maio deste ano, quando o vice-governador de Goiás, Daniel Vilela (MDB) decidiu aprimorar o programa de videomonitoramento IA Contra o Crime, o plano era ambicioso: ampliar de pouco mais de 400 para quase 5 mil o número de câmeras nas ruas, distribuídas por 194 cidades do estado. Os equipamentos seriam conectados a uma plataforma de inteligência artificial capaz de identificar placas de veículos, fazer reconhecimento facial e cruzar dados biométricos.

Segundo o Ministério Público de Goiás (MPGO), que entrou com uma ação civil pública contra a Paladium e a empresa estatal GoTech (antiga GoiásTelecom), responsável pelo contrato, uma das preocupações era com a base de dados sensíveis da população goiana, cujos sistemas de dados seriam operados, processados e tratados pela empresa privada.

A promotora Leila Maria de Oliveira afirma haver violação e falta de conformidade com a Lei Geral de Proteção de Dados (LGPD). Ela destaca na ação que os acordos firmados estabelecem que “toda a tecnologia, software, código-fonte, algoritmos, arquitetura tecnológica, know-how e demais ativos intelectuais utilizados na execução do projeto permanecerão de propriedade exclusiva da Paladium”, sem compartilhamento ou cessão dos direitos a qualquer órgão público.

“Isso é grave, pois os dados privados dos cidadãos permanecerão sob a responsabilidade de uma empresa privada, sem efetivo controle estatal”, escreve Oliveira na ação, que também critica a ausência de licitação. “Em matéria de videomonitoramento inteligente com reconhecimento facial, o dano não é apenas patrimonial; ele alcança a probidade administrativa, a legalidade da atuação policial, a segurança da informação e direitos fundamentais à proteção de dados”, completa.

Como a propriedade intelectual da solução permanece sob domínio exclusivo da Paladium, em caso de rescisão ou falha de pagamento, a licença seria revogada, gerando um cenário de dependência tecnológica (“lock-in”), destaca a ação. Inclusive, na Matriz de Alocação de Riscos, elaborada por funcionários da Secretaria-Geral do governo de Goiás (SGG) antes da contratação, os técnicos avaliaram como “alto” o risco de dependência tecnológica.

A promotora destaca outro ponto de preocupação para argumentar o seu pedido de liminar de suspensão do contrato. Trata-se do fato de a Paladium ter em seu quadro societário a Paladium Holdings LLC, com sede na cidade de Wilmington, em Delaware, nos Estados Unidos, que, segundo a ação, foi “registrada perante as autoridades brasileiras na condição de investidora”.

“Dessa forma, a presença de controladora estrangeira, associada à concentração da propriedade intelectual da solução tecnológica, à ausência de garantias contratuais e à relevância estratégica dos dados tratados, reforçam a necessidade de preservação cautelar do interesse público”, escreve na ação. Segundo Oliveira, região de Delaware já foi indicada por autoridades de segurança brasileiras como um “paraíso fiscal” do crime organizado.

Oliveira menciona ainda a suspensão, no Paraná, de um pregão eletrônico para aprimoramento do programa Olho Vivo – que também usa inteligência artificial para monitoramento das ruas, veículos e pessoas. O Tribunal de Contas do Paraná suspendeu o pregão após 35 dias, destacando, entre outros pontos, o risco ao tratamento de dados pessoais sensíveis da população paranaense.

“Formalizado o contrato, o tratamento de dados biométricos e comportamentais de cidadãos passaria a ocorrer de imediato, em larga escala, sem que estejam suficientemente demonstradas as salvaguardas exigidas pela LGPD [Lei Geral de Proteção aos Dados]”, escreveu Fernando Augusto Mello Guimarães, conselheiro do Tribunal de Contas do Paraná. No estado, havia envolvimento da Paladium em apenas uma das etapas do programa, mas a empresa não participou diretamente do pregão.

A exposição de dados sensíveis para empresas privadas é um risco, na avaliação de Flávia Bernardini, professora de Ciência da Computação da Universidade Federal Fluminense, sobretudo quando há laços corporativos com empresas estrangeiras, o que compromete a soberania brasileira dos dados de seus cidadãos.

“A gente está simplesmente pegando nossos dados sensíveis de pessoas físicas brasileiras e dando para outro país, sabe-se lá para quê”, disse. “Os riscos são justamente de as pessoas não estarem cientes do porquê os dados delas estão sendo usados. Tem um risco para o cidadão e também tem um risco para a soberania nacional”, avaliou.

Visão também compartilhada pela advogada especialista em direito digital e tecnologia, Erica Costa. Segundo ela, se o contrato fosse executado pelos governos ou por empresas estatais, os caminhos do armazenamento e manuseio dos dados seriam mais claros. “A gente não sabe onde a Paladium está armazenando esses dados, por quanto tempo e se quando esse contrato acabar, como é que esses dados vão ser deletados”, analisou.

Procurada, a Pax IA respondeu que o armazenamento e a governança dos dados ficam sob responsabilidade da empresa estatal e que a empresa “atua exclusivamente como operadora dos dados, seguindo as determinações do poder público”. Destaca ainda que, por obrigação contratual, todos os dados são armazenados no território nacional.

“Como é padrão no país, o uso de reconhecimento facial é restrito à localização de pessoas com mandado de prisão em aberto e de pessoas desaparecidas, e o acesso é limitado a policiais com perfil de inteligência formalmente autorizados. A Pax utiliza a mesma tecnologia de reconhecimento facial adotada pela Polícia Federal”, afirma a nota da empresa, destacando que nenhuma decisão é tomada pela plataforma: toda identificação exige confirmação humana de agente público, registrada e auditável.

A Pax diz ainda que “os projetos preveem inúmeras salvaguardas relativas ao tratamento de dados”, o que inclui a implementação de política de segurança da informação (com exclusão periódica de dados), adoção de criptografia, controle de acesso baseado em perfis, autenticação multifator, e auditorias regulares de conformidade com a LGPD, entre outras.

Questionado pela reportagem, o governo de Goiás respondeu pela Gootech, e disse que os dados captados “ficarão armazenados no Brasil”, por meio de um data center contratado pela estatal. Além disso, “todo acesso é monitorado pelo sistema e logs de acesso são guardados, de tal forma que toda ação praticada no sistema seja rastreável”. “É importante salientar também que os dados não ficam armazenados indefinidamente: os dados brutos são descartados após 15 dias de armazenamento”, diz a nota.

O governo do Paraná disse que os questionamentos feitos pelo Tribunal de Contas do Estado relacionados ao processo de licitação para a ampliação do projeto, que prevê a aquisição de aproximadamente 20 mil novas câmeras, estão sendo respondidos pela Superintendência-Geral de Governança de Serviços e Dados.

<><> Em São Paulo, plano apresentado era ‘genérico demais’

Em São Paulo, a empresa chegou ao Muralha Paulista por meio de uma parceria com a empresa estatal Companhia de Processamento de Dados do Estado de São Paulo (Prodesp), em uma contratação que ocorreu por dispensa de licitação. O governo paulista, na ocasião, destinou R$ 476 milhões à estatal para aprimorar o programa. A Prodesp, por sua vez, terceirizou a execução do serviço e subcontratou a Paladium para fornecer a tecnologia.

O Tribunal de Contas do Estado de São Paulo (TCE-SP) abriu uma apuração após denúncias de supostas irregularidades na contratação, que foi firmada por meio de uma “parceria em oportunidade de negócio”.

Na avaliação do conselheiro Dimas Ramalho, do TCE, o plano de negócios apresentado à parceria era “genérico demais”: não definia com clareza como os recursos seriam divididos entre a estatal e a Paladium, tampouco estabelecia critérios técnicos para determinar essa divisão.

A falta de detalhamento compromete princípios como a transparência e a boa gestão de recursos públicos, segundo Ramalho. “Nesse sentido, haveria opacidade financeira e pouca transparência em relação ao real contorno e conteúdo jurídico do ajuste, impedindo o adequado controle e o exercício de mecanismos de governança”, argumentou no relatório do TCE-SP.

Assim como levantado pelos especialistas ouvidos pela Pública, o conselheiro também alertou para o risco de a Prodesp atuar apenas como uma “mera intermediária” entre o governo paulista e a empresa privada, permitindo que a Paladium tivesse acesso a vantagens que, segundo ele, deveriam ser restritas a órgãos públicos.

Diante dos questionamentos, o TCE-SP notificou a Prodesp, a Paladium e a SSP. Na sequência, no dia 11 de junho, a pasta de segurança anunciou o fim do acordo por meio de uma “rescisão amigável”. Após a rescisão, o caso foi arquivado pelo Tribunal de Contas.

A celebração dos contratos por meio de estatais intermediadoras – como aconteceu em São Paulo e Goiás – é classificada pelo professor André Saddy, do curso de Direito Administrativo da Universidade Federal Fluminense (UFF), como “triangulação contratual”: uma empresa pública é contratada pelo estado para prestar determinado serviço e, posteriormente, subcontrata uma empresa privada para executar a parte dela.

A manobra não é irregular. “A legislação não impede uma subcontratação de uma empresa privada para a prestação de um serviço, mas ela estabelece, dependendo da natureza do serviço, percentuais”, explicou Saddy.

O problema, no caso de Goiás, estaria na proporção do valor repassado à empresa de tecnologia. A estatal GoTech recebeu R$ 304 milhões do governo e, posteriormente, firmou contrato sem licitação com a Paladium, para a qual repassou quase 60% do valor. Segundo o MPGO, a subcontratação feita pela estatal goiana não poderia ultrapassar os 30% do valor total.

Por meio de sua assessoria de imprensa, a Pax AI afirmou que, em São Paulo, “todos os procedimentos abertos – perante o Tribunal de Contas do Estado e o Ministério Público – foram arquivados, sem que houvesse qualquer constatação de irregularidade.” A nota afirma ainda que não recebeu nenhum valor referente a esta parceria, já que “a remuneração dependia do efetivo desenvolvimento e comercialização da solução tecnológica” e que cabia à Prodesp.

Em nota, o Governo de Goiás disse que “não há subcontratação”. O caso, portanto, seria “uma parceria estratégica vinculada a oportunidade de negócio para, em comunhão de esforços e de forma associativa”. A resposta ressaltou ainda que “na oportunidade de negócio, a relação é eminentemente associativa, regulada pelas regras do direito privado, de forma horizontal e coordenada”.

Por meio de nota, a Secretaria de Segurança Pública respondeu que “cancelou em junho o contrato administrativo com a Prodesp para prestação de serviços de tecnologia do programa Muralha Paulista”, e que não houve ônus para a pasta. O órgão afirmou ainda que o cancelamento atendeu a razões técnicas listadas em despacho e que o Tribunal de Contas do Estado arquivou as representações relacionadas.

<><> Capital da empresa se multiplicou em poucos meses

A Paladium foi fundada em julho de 2024 com capital social de R$ 20. No entanto, segundo os dados da empresa consultados na Junta Comercial do Estado de São Paulo (Jucesp), o capital saltou para R$ 212 milhões em dois anos, após a entrada da Paladium Holdings LLC, o aporte de empresas de tecnologia do Vale do Silício nos EUA e os três contratos firmados no Brasil.

Três meses após a sua fundação, a empresa trocou a sua equipe de sócios, chegando ao seu atual administrador, o empresário David Peixoto dos Santos e a Paladium Holdings LLC, empresa sediada em Wilmington, Delaware (EUA), cuja sócia majoritária, representada no Brasil por Sylvia Weiss Chan.

Desde então, a sócia sediada nos EUA passou a injetar e redistribuir capital em uma cadência constante, com aportes de R$ 38 milhões e R$ 50 milhões em novembro e dezembro de 2025, respectivamente. O salto expressivo veio em janeiro de 2026, quando o capital saltou para R$ 140,2 milhões. Hoje, a empresa acumula R$ 212 milhões.

A expansão financeira e o crescimento da Paladium permitiram uma contratação de peso: o ex-delegado da Polícia Federal e ex-secretário de Segurança Pública do Rio Grande do Sul, Sandro Caron em dezembro de 2025

Em meio às investigações que corriam em São Paulo, Paraná e Goiás, a empresa conquistou um aporte de 40 milhões de dólares (R$ 206 milhões) de fundos da Greenoaks e Benchmark, empresas do Vale do Silício, o principal polo tecnológico do mundo que abriga as Big Techs como Google e a Meta.

 

Fonte: Por Rafael Custódio, em Agência Pública