Transparência total

As duas salas

A maior fragilidade de pesquisas online é guardar CPF e voto na mesma tabela. A promessa de anonimato fica no discurso — bastaria abrir o banco e cruzar. Aqui a separação está na arquitetura, não no compromisso.

A única ponte entre as duas salas é um cookie httpOnly + secure no navegador do eleitor. O servidor gera um token aleatório, grava o hash em tokens_emitidos (sem nenhuma referência ao CPF) e entrega o token original pelo cookie. As cédulas usam o cookie pra autorizar cada voto. Quando termina, o cookie expira e a ponte some.

Auditor que abrir o banco vê duas tabelas que não se conectam. Mesmo o operador da CDL não tem como ligar um voto a um CPF.

Plano amostral

Universo: eleitorado oficial de Sergipe segundo o TSE, aproximadamente 1,45 milhão de eleitores distribuídos em 75 municípios. Cargos em disputa: Presidente da República, Governador, 2 Senadores, 8 Deputados Federais, 24 Deputados Estaduais.

Estratificação

• Município: cota proporcional ao eleitorado TSE de cada município. Quando uma cota se esgota, novos cadastros daquele município são bloqueados na entrada.
• Sexo, faixa etária, escolaridade: coletados durante o cadastro. Após coleta, a amostra é ponderada contra a distribuição TSE pra corrigir desbalanços — exigência da Resolução TSE 23.747/2026.

Recrutamento

Há duas portas de entrada na pesquisa, ambas validadas:

• Base CDL: ~50 mil consumidores que votaram na premiação popular Melhores do Ano da CDL Aracaju — CPFs já conhecidos, dispensa nova consulta ao SPC. Dá perfil largo de consumidor (não só associados); o viés geográfico (Aracaju concentra Melhores do Ano) é mitigado pela cota por município.
• Validação SPC Brasil: qualquer eleitor fora da base CDL é validado em consulta ao SPC pra confirmar que o CPF é real e regular.

Ambas as portas exigem em seguida a confirmação por código de 6 dígitos via WhatsApp — garante que o respondente é titular do CPF informado.

Variáveis coletadas

Sala 1 (validação) — eleitores_pesquisa

• Hash do CPF (HMAC-SHA256, jamais o número original).
• CPF mascarado (***.***.789-XX) para auditoria.
• Município (IBGE).
• Sexo, faixa etária, escolaridade.
• Flags: validado pelo SPC, validado pelo WhatsApp.
• Origem da validação: base CDL ou SPC.
• Metadados antifraude: IP, user-agent, fingerprint do dispositivo.

Sala 2 (votação) — tokens_emitidos + votos_pesquisa

• Hash do token aleatório (sem ligação com nenhum CPF).
• Cargo (Presidente, Governador, Senador, Federal, Estadual).
• Candidato ou partido escolhido.
• Método: voto numérico, branco ou "não sei".
• Hora de criação truncada pra hora cheia — análise temporal segue possível, cruzamento minuto-a-minuto que poderia identificar pessoa não.

Nada de demográfico vai pra Sala 2. Cruzamentos como "intenção entre mulheres de 25-34 em Aracaju" são feitos comparando distribuições agregadas das duas salas — nunca por linha individual.

Base legal

Anti-fraude

Camadas independentes — cada uma exige um vetor diferente pra ser quebrada. Atacar todas ao mesmo tempo é significativamente mais custoso do que ganhar a pesquisa campanha legítima.

• Validação documental: CPF tem que existir na base CDL ou passar pelo SPC Brasil. Sem isso, o cadastro nem começa.
• Validação de propriedade: código de 6 dígitos enviado por WhatsApp. Sem confirmação, não emite token de voto.
• Limite por edição: mesmo CPF não passa duas vezes na mesma edição da pesquisa.
• Cota de município: quando o município atinge a cota proporcional ao eleitorado TSE, não aceita novos cadastros dali.
• Limite por dispositivo: mesmo navegador não pode cadastrar mais de 2 CPFs (impressão digital client-side).
• Rate limit por IP: 5 tentativas em 5 minutos no mesmo endereço.
• Anti-bot: Cloudflare Turnstile no formulário de entrada.
• Análise pós-coleta: view de risco detecta clusters anômalos (mesmo IP, mesma hora, mesma intenção) pra revisão manual antes da divulgação.

K-anonymity

Mesmo sem ligação direta entre CPF e voto, células muito pequenas em cruzamentos demográficos podem reidentificar pessoas. Exemplo: se só uma mulher de 60+ em determinado município respondeu, o "voto da maioria daquela célula" é o voto dela.

Pra evitar isso, qualquer corte cruzado divulgado publicamente respeita k ≥ 30 respondentes por célula. Cruzamentos que não atingem o mínimo são suprimidos ou agregados a um nível superior (ex.: "mulheres de 60+ em Sergipe" em vez de "mulheres de 60+ em Itabaianinha"). É a mesma convenção que o IBGE adota pra microdados públicos.

Cronograma

• mai–jul/2026Desenvolvimento. Integrações reais (SPC, Meta WhatsApp, Turnstile). Contratação do estatístico CONRE.
• ago/2026Piloto fechado, com código de convite. ~50 testers. Estressa o sistema sem divulgação pública.
• ago/2026 (após piloto)Reunião com advogado eleitoral. Trava material divulgável e questionário.
• set/2026Registro no PesqEle (≥ 5 dias antes da divulgação).
• set/2026Coleta da pesquisa principal e divulgação.
• 04/out/20261º turno das eleições.

Como auditar

Toda afirmação aqui pode ser verificada por qualquer pessoa. Os caminhos:

1. Código fonte aberto. O sistema inteiro — back-end, banco, formulários, lógica anti-fraude — está publicado em repositório aberto: github.com/presidencia-svg/pesquisa ↗
2. Documento técnico completo com fórmulas, schema do banco e detalhes de implementação está em docs/metodologia.md no repositório.
3. Registro no PesqEle (TRE/SE). Após o registro formal, qualquer interessado pode consultar a ficha técnica completa diretamente no sistema oficial da Justiça Eleitoral. O número do registro será publicado aqui.
4. Pedido de dados auditáveis. Conforme o Art. 13, §§ 8º e 9º da Resolução TSE 23.747/2026, qualquer interessado pode requerer os dados e o sistema interno de controle. A CDL responde em até 2 dias úteis. Custos da inspeção, conforme a Resolução, são arcados pelo requerente.
5. Estatístico responsável. Identificado no registro PesqEle, com número CONRE ativo, declaração assinada com certificado digital.

Quem executa

Câmara de Dirigentes Lojistas de Aracaju

A CDL Aracaju foi fundada em 21 de dezembro de 1961, com Estatutos publicados no Diário Oficial do Estado de Sergipe em 10 de maio de 1962. É entidade declarada de utilidade pública pela Lei Municipal nº 63 de 6 de dezembro de 1967. Associação civil sem fins lucrativos, há mais de seis décadas representa os comerciantes lojistas e mantém serviços coletivos como o Serviço de Proteção ao Crédito.

A CDL realiza atividades de interesse público há gerações, incluindo a premiação popular Melhores do Ano. Esta pesquisa eleitoral é mais uma iniciativa nessa linha: a CDL não tem candidato, não apoia partido, não monetiza o resultado. O objetivo é colocar à disposição do público sergipano um instrumento de medição rigoroso, auditável e desinteressado politicamente.