Hubii
Práticas avançadas

Trilha de IA · Módulo 3 de 3 · Práticas avançadas

Sua conversa com a IA
tem um teto.

Chamamos isso de janela de contexto — e entender como ela enche, e como esvaziar direito, muda o resultado do que você constrói com Claude e Cursor. Teste ao lado antes de ler o resto.

Janela de contexto 0%

Tudo nítido

01Contexto

Janela de contexto

A IA não "lembra" como uma pessoa — ela relê a conversa inteira a cada resposta, dentro de um limite de tamanho. Quanto mais cheia a janela, mais ela precisa garimpar o que importa em meio ao que não importa.

  • Tarefa nova, conversa nova. Evite continuar numa thread de três dias atrás para pedir algo sem relação com o que veio antes.
  • Resuma antes de continuar. Se uma conversa ficou longa e você ainda precisa dela, peça um resumo do que foi decidido e comece um novo fio a partir daí.
  • Cole só o que importa. Um documento de 40 páginas quando você só precisa da seção 3 enche a janela à toa — e aumenta a chance de a IA se perder no meio do caminho.
02Prompt

Prompts que funcionam

O resultado reflete a instrução. Pedido vago tende a devolver resposta genérica — se essa parte for nova pra você, o Módulo 1 entra em mais detalhe na anatomia de um bom prompt.

Vago"Melhora esse texto"
Específico"Deixa esse e-mail mais direto, corta o segundo parágrafo, mantém o tom formal"

Dê o porquê, não só o quê. "Preciso disso pronto pra colar num e-mail de cliente" muda o resultado mais do que só pedir "reescreva".

03Revisão

Verificação sempre

IA erra com confiança. Trate toda resposta como rascunho de alguém competente, não como fato pronto.

  • Números, datas e nomes: confira sempre, especialmente antes de mandar pra fora.
  • Código: revise como revisaria o de qualquer colega — a IA não substitui o processo de PR da POL.08.
  • Parece certo demais? Se você não consegue explicar o porquê da resposta, pergunte de novo de outro jeito antes de confiar nela.
04Delegação
Avançado

Subagentes

Em tarefas grandes, um único fio de conversa vira um contêiner com tudo dentro: debug, revisão, escrita, pesquisa — tudo competindo pela mesma atenção.

Subagentes resolvem isso dando a cada tipo de tarefa seu próprio contexto: um "revisor" que só revisa, um "escritor de testes" que só escreve teste — cada um com prompt e ferramentas próprias, chamado pelo agente principal apenas quando necessário, sem carregar o histórico do resto.

  • Vale a pena para tarefas repetíveis e bem definidas — sempre revisar PR do mesmo jeito, sempre escrever teste do mesmo jeito.
  • Não vale a pena para tarefas que mudam de forma toda hora — aí o overhead de configurar supera o ganho.

No Claude Code, subagentes são configuráveis nativamente. A sintaxe exata muda com alguma frequência, então vale conferir a documentação oficial antes de montar o primeiro.

05Automação
Avançado

Automação de fluxos

Boa parte do valor de IA em engenharia não está no chat — está em rodar sem alguém precisar perguntar toda vez.

  • Hooks: rodam um script automaticamente antes ou depois de uma ação da IA — por exemplo, um linter depois de toda edição de arquivo.
  • Modo headless / SDK: chamam Claude a partir de um pipeline de CI, sem interface de chat — útil para triagem automática de issues, apoio à revisão de PR, geração de changelog.
  • Integrações via MCP: conectam a IA a ferramentas que o time já usa (Linear, GitHub, Slack) para ela ler e agir diretamente nelas, em vez de alguém copiar e colar contexto manualmente.

Automação bem feita continua passando pelas regras da POL.08 — revisão de código não desaparece, só a parte de "levantar o que revisar" fica automática.

06Persistência
Avançado

Contexto persistente em projetos grandes

Repetir o mesmo contexto em todo prompt novo é desperdício — e cada repetição é uma chance de esquecer algo.

  • Claude: use Projects para guardar instruções e arquivos de referência que valem para todas as conversas daquele projeto, sem precisar colar de novo.
  • Cursor: use um arquivo de regras do projeto para fixar convenções de código, stack e padrões — a IA lê isso automaticamente em vez de você repetir em cada prompt.

Contexto fixo e revisado por alguém do time é mais confiável do que contexto reconstruído de memória a cada conversa nova.

Resumo de bolso

Conversa nova por tarefa Específico > genérico Cole só o essencial Revise antes de usar Contexto fixo > contexto repetido Automação não substitui revisão

A trilha completa

Módulo 1

Fundamentos

O que é IA, anatomia de prompt, iteração e onde vale a pena usar.

 Módulo 2

Segurança no dia a dia

O que pode e o que não pode ir para uma IA, e o que fazer se algo der errado.

 Módulo 3

Práticas avançadas

Janela de contexto, subagentes e automação. Você está aqui.

POL.09 · Minuta v1.0

Política de Uso Responsável de Inteligência Artificial

Responsável: Time de Engenharia e Segurança da Informação  ·  Classificação: Interna / Confidencial

Informação Confidencial. Este documento é de propriedade da Hubii e contém informações proprietárias, confidenciais ou restritas à divulgação. A divulgação, reprodução ou uso total ou parcial deste documento por terceiros não autorizados, sem consentimento prévio, é estritamente proibido.

1. Objetivo

Estabelecer diretrizes para o uso responsável de ferramentas de Inteligência Artificial ("IA") generativa pelos Usuários da Hubii, de forma a viabilizar ganhos de produtividade sem comprometer a confidencialidade, integridade e disponibilidade das informações da Hubii e de seus Clientes, em conformidade com a POL.01 - Política de Segurança da Informação, a POL.05 - Política de Privacidade de Dados e a POL.08 - Política de Desenvolvimento Seguro.

2. Abrangência

Esta Política aplica-se a todos os Usuários, conforme definidos na POL.01 (colaboradores, estagiários, prestadores de serviço, temporários e demais pessoas autorizadas a acessar informações e recursos tecnológicos da Hubii e/ou de seus Clientes), no uso de qualquer Ferramenta de IA Homologada para atividades relacionadas ao trabalho, independentemente da área ou senioridade.

3. Papéis e Responsabilidades

3.1. Responsabilidades dos Usuários

  • Classificar a informação antes de utilizá-la em qualquer Ferramenta de IA Homologada, conforme os critérios da seção 5;
  • Utilizar exclusivamente Ferramentas de IA Homologadas (seção 4), e apenas por meio de contas corporativas;
  • Relatar prontamente ao Time de Segurança da Informação qualquer uso indevido, suspeita de vazamento ou dúvida sobre o tratamento de um dado (seção 12);
  • Responder pelo uso e pelas informações inseridas em Ferramentas de IA sob sua responsabilidade, nos mesmos termos da seção 3.1 da POL.01.

3.2. Responsabilidades dos Gestores

  • Assegurar que os times sob sua gestão conheçam e cumpram esta Política;
  • Identificar necessidades de uso de IA em suas áreas e encaminhá-las ao processo de homologação (seção 9);
  • Advertir formalmente e relatar ao Time de Segurança da Informação eventuais violações, nos termos da seção 3.2 da POL.01.

3.3. Responsabilidades do Time de Segurança da Informação

  • Homologar e revisar periodicamente as Ferramentas de IA autorizadas;
  • Investigar incidentes envolvendo Ferramentas de IA, conforme a POL.04 - Plano de Resposta a Incidentes;
  • Conduzir auditorias de conformidade a esta Política (seção 13).

3.4. Responsabilidades do DPO

  • Avaliar, em conjunto com o Time de Segurança da Informação, se o uso de uma Ferramenta de IA em operações com Dados Pessoais requer Relatório de Impacto à Proteção de Dados Pessoais (RIPD), conforme a seção 4.4 da POL.05;
  • Ser o canal de escalonamento para dúvidas envolvendo Dados Pessoais e Dados Pessoais Sensíveis no contexto de uso de IA.

3.5. Responsabilidades do Time de Engenharia

  • Validar tecnicamente novas Ferramentas de IA de apoio ao desenvolvimento de software antes de sua homologação;
  • Garantir que o uso de Ferramentas de IA no ciclo de desenvolvimento observe os controles da POL.08 (revisão de código, SAST, gestão de segredos, entre outros).

4. Ferramentas de IA Homologadas

Atualmente, as seguintes Ferramentas de IA estão homologadas para uso corporativo na Hubii:

FerramentaUso principalPúblico
Claude (Anthropic)Escrita, análise e estruturação de dados, resumo de documentos, apoio a decisões operacionaisTodos os Usuários
CursorDesenvolvimento de software (geração e refatoração de código assistida por IA)Time de Engenharia

O uso de qualquer outra ferramenta de IA generativa para atividades de trabalho — incluindo versões gratuitas ou pessoais de ferramentas já homologadas — não é permitido sem passar pelo processo da seção 9. O uso deve ocorrer exclusivamente por meio de contas corporativas, nunca em contas pessoais.

5. Classificação da Informação e Regras de Uso

Esta Política adota a mesma classificação definida na seção 13 da POL.01: Pública, Interna, Confidencial e Restrita. Conforme a POL.01, os Dados de Clientes são sempre classificados como Confidenciais e Restritos, recebendo tratamento especial de proteção à confidencialidade.

ClassificaçãoPode ser inserido em Ferramenta de IA?Como
PúblicaSimSem restrições
InternaSim, com bom sensoEvitar detalhes estratégicos sensíveis do negócio
ConfidencialSomente anonimizado ou mascaradoRemover identificação do Cliente, valores reais e identificadores únicos antes do uso
Restrita (inclui todo Dado de Cliente e qualquer Dado Pessoal, conforme POL.05)Não, exceto Dado Pessoal simples estritamente necessário e anonimizadoDado Pessoal Sensível (POL.05, seção 5) nunca deve ser inserido, em nenhuma hipótese

Regra prática: se a informação, ao vazar, geraria obrigação de notificação a um Cliente, à ANPD (conforme POL.05) ou violação contratual, ela não deve ser inserida em nenhuma Ferramenta de IA sem anonimização prévia e sem aprovação do Gestor e do DPO.

6. Diretrizes por Perfil

6.1. Desenvolvedores (Cursor)

O uso do Cursor não substitui nenhum controle previsto na POL.08. Em especial:

  • Código gerado por IA segue o mesmo fluxo de revisão de Pull Request da seção 4.3 da POL.08 (mínimo de dois revisores, incluindo um membro do Time de Segurança da Informação para mudanças críticas) e passa pelas mesmas ferramentas de SAST;
  • Segredos, credenciais e strings de conexão nunca devem ser inseridos no chat do Cursor ou de qualquer Ferramenta de IA — permanecem exclusivamente no vault de segredos definido na seção 4.5 da POL.08 (GCP Secret Manager, Keeper Secrets Manager ou HashiCorp Vault);
  • Repositórios ou trechos de código de Clientes só podem ser processados por Ferramentas de IA se o contrato com o Cliente permitir expressamente o uso de ferramentas de terceiros no desenvolvimento; na dúvida, consultar o Gestor e o Jurídico antes de indexar o repositório;
  • Conforme a seção 4.5 da POL.08, é proibido usar dados reais e sensíveis em ambientes de desenvolvimento e teste — o mesmo vale para exemplos usados em prompts: utilizar sempre dados sintéticos ou anonimizados;
  • Configurar exclusões de indexação (ex.: .cursorignore) para arquivos de configuração, .env, certificados e fixtures de teste com dados de Cliente.

6.2. Usuários de Negócio e Operações (Claude)

  • Antes de inserir uma planilha, e-mail, print de tela ou documento no Claude, verificar se há Dado Pessoal, identificação de Cliente ou valor contratual real — em caso positivo, anonimizar antes (ex.: substituir nomes por "Cliente A", valores por faixas);
  • É permitido pedir à ferramenta para estruturar, resumir ou analisar dados já anonimizados;
  • Não é permitido inserir bases de dados completas de operação de um Cliente para "pedir uma análise geral" sem anonimização prévia;
  • Prints de tela de sistemas de Clientes devem ter dados identificáveis cobertos antes do envio.

7. Configurações Técnicas Obrigatórias

  • Uso exclusivo de contas corporativas, com SSO e autenticação multifator, conforme os padrões da seção 11 da POL.01;
  • Ativação, quando disponível no plano contratado, de configurações de retenção mínima de dados e de não utilização do conteúdo para treinamento dos modelos dos fornecedores — a confirmar junto ao contrato/DPA vigente com cada fornecedor;
  • Provisionamento e revogação de acesso às Ferramentas de IA seguem o mesmo fluxo de revisão de acessos (a cada 6 meses) e revogação imediata no desligamento, previstos nas seções 5 e 6 da POL.01.

8. Proibições Explícitas

Independentemente da classificação da informação, é sempre proibido:

  • Inserir Dado Pessoal Sensível (conforme definição da POL.05) em qualquer Ferramenta de IA;
  • Compartilhar credenciais, chaves de API, tokens ou certificados com qualquer Ferramenta de IA;
  • Utilizar dado de um Cliente como contexto ou exemplo em trabalho para outro Cliente;
  • Utilizar Ferramentas de IA não homologadas para qualquer informação classificada como Interna ou superior;
  • Publicar prompts ou resultados de IA contendo informação Confidencial ou Restrita em canais abertos.

9. Homologação de Novas Ferramentas de IA

  1. Solicitação formal ao Time de Segurança da Informação, com justificativa de uso e, quando aplicável, validação técnica do Time de Engenharia (seção 3.5);
  2. Avaliação da política de retenção e treinamento de modelo do fornecedor, certificações de segurança (ex.: SOC 2, ISO 27001) e disponibilidade de contrato corporativo com cláusula de proteção de dados (DPA);
  3. Avaliação, em conjunto com o DPO, sobre a necessidade de RIPD, conforme a seção 4.4 da POL.05, sempre que houver qualquer possibilidade de tratamento de Dados Pessoais;
  4. Piloto restrito com dados fictícios ou anonimizados;
  5. Aprovação e inclusão na lista de Ferramentas de IA Homologadas (seção 4).

O uso de ferramenta não homologada para dado Confidencial ou Restrito de Cliente é tratado como Incidente de Segurança da Informação, conforme a seção 12.

10. Privacidade por Projeto e RIPD

Iniciativas que envolvam o uso de Ferramentas de IA para tratar, ainda que indiretamente, Dados Pessoais de Clientes, colaboradores ou terceiros devem observar a Política de Privacidade por Projeto referenciada na seção 4.2 da POL.05. Como o uso de uma Ferramenta de IA de terceiro configura, para fins de tratamento de dados, compartilhamento com um terceiro, a elaboração de RIPD é obrigatória sempre que o uso envolver Dado Pessoal Sensível ou dado de menores, conforme os critérios da seção 4.4 da POL.05 — motivo pelo qual esses dados nunca devem ser inseridos em Ferramentas de IA (seção 8).

11. Treinamento e Conscientização

  • Onboarding: toda nova contratação recebe treinamento sobre esta Política antes de obter acesso às Ferramentas de IA Homologadas;
  • Reforço periódico (mínimo semestral) com exemplos práticos de uso adequado e inadequado, alinhado ao calendário de treinamentos de segurança da POL.01 e de desenvolvimento seguro da POL.08;
  • Canais de dúvida: [email protected] (dúvidas gerais de segurança) e [email protected] (dúvidas envolvendo Dados Pessoais).

12. Incidentes Envolvendo Ferramentas de IA

Qualquer suspeita de uso indevido — por exemplo, inserção não anonimizada de dado de Cliente ou de Dado Pessoal Sensível em uma Ferramenta de IA — deve ser reportada imediatamente:

  • Ao Gestor e ao Time de Segurança da Informação, pelo e-mail [email protected], para tratamento conforme a POL.04 - Plano de Resposta a Incidentes;
  • Ao DPO, pelo e-mail [email protected], sempre que houver Dado Pessoal envolvido, observando o SLA de 36 horas úteis para comunicação de Incidentes de Violação de Dados Pessoais definido na POL.05.

A denúncia pode ser anônima e não haverá retaliação, nos mesmos termos previstos na POL.05.

13. Auditoria e Conformidade

  • Revisões semestrais de aderência a esta Política, conduzidas pelo Time de Segurança da Informação, podendo ser combinadas com as revisões de aderência à POL.08;
  • Métricas de acompanhamento sugeridas: número de Usuários com acesso ativo às Ferramentas de IA Homologadas, número de incidentes reportados, percentual de colaboradores treinados;
  • Uso indevido de Ferramentas de IA caracteriza incidente de segurança da informação e está sujeito às sanções previstas na seção 19 da POL.01 e na seção 6 da POL.05, podendo resultar em advertência, suspensão de acesso ou rescisão contratual por justa causa, conforme a gravidade.

14. Integração com Outras Políticas

  • Classificação da informação: POL.01, seção 13;
  • Tratamento de Dados Pessoais, direitos dos titulares e RIPD: POL.05;
  • Controles de desenvolvimento seguro aplicáveis ao uso do Cursor: POL.08;
  • Resposta a incidentes: POL.04.

15. Casos Omissos

Situações não previstas nesta Política devem ser encaminhadas ao Time de Segurança da Informação ([email protected]) antes da realização de qualquer atividade que possa representar risco às informações da Hubii ou de seus Clientes, nos mesmos termos da seção 18 da POL.01.

16. Definições

Ferramenta de IA Homologada: ferramenta de Inteligência Artificial generativa formalmente aprovada pelo Time de Segurança da Informação para uso corporativo, conforme o processo da seção 9.

IA Generativa: sistema de Inteligência Artificial capaz de gerar texto, código, imagem ou outro conteúdo a partir de instruções em linguagem natural ("prompts").

Prompt: instrução ou conjunto de informações fornecidas por um Usuário a uma Ferramenta de IA para obter um resultado.

Anonimização: processo pelo qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo.

Dados pessoais, Dados pessoais sensíveis, Titular, Tratamento, ANPD, Incidente de Violação de Dados Pessoais: conforme definições da POL.05, seção 5.

Incidente de Segurança da Informação: conforme definição da POL.01, seção 21.

17. Disposições Finais

Esta Política entra em vigor na data de sua publicação, revogando e substituindo qualquer comunicação anterior sobre uso de Ferramentas de IA na Hubii, e deve ser revisada anualmente ou sempre que uma nova Ferramenta de IA for homologada ou houver mudança relevante nos termos contratuais dos fornecedores. Esta Política deve estar disponível e ser divulgada a todos os colaboradores e prestadores de serviço da Hubii.

18. Histórico de Revisões

VersãoDataResponsávelDescrição
1.003/07/2026Engenharia e Segurança da InformaçãoCriação do documento

Esta é a versão em português do documento completo. A minuta original, incluindo a versão em inglês, está no arquivo da Política publicada.

Guia Prático · Claude e Cursor

Guia Prático de Uso de IA — Hubii

Resumo prático da POL.09 — Política de Uso Responsável de IA. Em caso de dúvida ou situação não coberta aqui, a política completa é a referência oficial.

A regra de ouro

Se um dado, ao vazar, geraria um problema com um Cliente, com a ANPD ou uma violação de contrato — ele não entra em nenhuma IA sem estar anonimizado.

Isso vale para Claude, Cursor e qualquer outra ferramenta. Na dúvida, trate como se não pudesse.

Checklist de 10 segundos antes de colar algo numa IA

  • Isso tem nome, CPF, e-mail ou qualquer dado que identifique uma pessoa real?
  • Isso identifica um Cliente específico (nome, contrato, volume, valor real)?
  • Isso é uma senha, chave de API, token ou credencial?
  • Estou numa conta corporativa (não pessoal)?
  • Estou usando uma ferramenta da lista homologada (Claude ou Cursor)?

Se marcou "sim" em qualquer uma das três primeiras e não anonimizou o dado antes — não cole.

O que pode ir para a IA

SituaçãoPode?Como fazer
Texto público, documentação, conteúdo de marketing✅ SimLivre
Processo interno, código nosso sem dado de Cliente✅ SimCom bom senso, sem detalhe estratégico sensível
Planilha, contrato ou dado de Cliente⚠️ Só anonimizadoTroque nome do Cliente por "Cliente A", valores reais por faixas
CPF, dado de saúde, dado pessoal sensível de qualquer pessoa❌ NuncaNão existe versão "anonimizada aceitável" — simplesmente não entra
Senha, chave de API, token, string de conexão❌ NuncaFica no cofre de senhas / vault, nunca no chat

Exemplos do dia a dia

Você quer analisar atrasos de entrega de um Cliente

Evite"Aqui está a planilha completa de entregas da [Nome do Cliente], me diz onde estão os atrasos."
Prefira"Aqui está uma planilha de entregas com Cliente renomeado para 'Cliente A' e datas mantidas — me ajuda a identificar padrões de atraso?"

Você está debugando um erro em produção

Evite"Esse endpoint está dando erro, aqui está o log completo com os tokens e o payload do usuário."
Prefira"Esse endpoint está dando erro 500, aqui está o log com os campos sensíveis substituídos por [REDACTED] — me ajuda a entender a causa?"

Você quer ajuda para escrever um e-mail para um Cliente

Tranquilo"Me ajuda a escrever um e-mail explicando um atraso na entrega, tom profissional e empático." — sem dado sensível envolvido.

Se você usa Cursor (desenvolvimento)

  • Código sugerido pela IA passa pela mesma revisão de Pull Request de sempre — a IA não pula etapa de revisão nem de segurança.
  • .env, certificados, chaves e fixtures com dado de Cliente ficam fora da indexação (.cursorignore).
  • Nunca cole string de conexão, token ou senha real no chat "só para debugar" — use um valor fake com o mesmo formato.
  • Repositório de Cliente só entra no Cursor se o contrato permitir uso de ferramentas de IA no desenvolvimento — na dúvida, pergunte ao gestor antes de indexar.
  • Dado real de produção não entra em ambiente de dev/teste nem em prompt — use dado sintético.

Se algo der errado

Colou um dado sensível por engano? Aja assim, sem enrolação:

  1. Avise seu gestor e o time de Segurança da Informação: [email protected]
  2. Se envolveu dado pessoal (de Cliente, colaborador ou qualquer pessoa física), avise também o DPO: [email protected]
  3. Não tente "consertar sozinho" apagando a conversa — o time precisa saber para avaliar o risco real.

Ninguém é punido por reportar rápido. A demora em avisar é que cria problema maior.

Perguntas rápidas

Posso usar o ChatGPT ou outra IA que não seja Claude/Cursor?
Não, para atividades de trabalho. Só ferramentas homologadas. Se você acha que outra ferramenta seria útil, peça a homologação ao time de Segurança da Informação.

Posso usar minha conta pessoal do Claude no trabalho?
Não. Sempre a conta corporativa — é isso que garante as proteções contratuais de dados.

E se eu não tiver certeza se o dado é sensível?
Trate como sensível. Anonimize ou pergunte antes.

Posso pedir para a IA escrever código de um projeto de Cliente?
Só se o contrato desse Cliente permitir uso de ferramentas de IA no desenvolvimento. Confirme com seu gestor.

Dúvidas que este guia não cobre → consulte a POL.09 ou escreva para [email protected]. Documento original: Guia_Pratico_Uso_de_IA.md.