Transparência total

Ficha técnica

Formato padrão que institutos como Datafolha, Quaest e Paraná Pesquisas usam ao divulgar resultados, adaptado ao nosso modelo (online, amostra por adesão com identidade verificada e ponderação pós-coleta). Esta ficha acompanha toda divulgação pública e vai anexa ao registro no PesqEle (TSE e TRE-SE).

Versão técnica completa (sem cortes) está em docs/ficha-tecnica.md no repositório público.

Código aberto para auditoria · proteção contra abuso

Por que abrir o código numa pesquisa eleitoral? Porque a única forma honesta de provar que um sistema não fraudou resultados é deixar ele ser inspecionado por terceiros independentes. Por isso o código-fonte está público em github.com/presidencia-svg/pesquisa. Qualquer pesquisador, jornalista ou cientista político pode verificar como os votos são contados, como os cruzamentos são feitos, como a separação CPF↔voto é garantida.

Ao mesmo tempo, o código tem uma licença de uso restrito que veda:

• uso comercial ou em pesquisa eleitoral de terceira entidade;
• uso para conduzir pesquisas em nome de partido, candidato, federação ou coligação;
• uso para fraude, manipulação ou desinformação eleitoral (Lei 9.504/97, Resolução TSE 23.747/2026);
• reprodução da marca, identidade visual ou domínio pesquisa.cdlaju.com.br.

Vulnerabilidades de segurança devem ser reportadas por dpo@cdlaju.com.br, conforme a política de divulgação responsável (versão machine-readable em /.well-known/security.txt, conforme RFC 9116). Reportes de boa-fé não geram represália legal.

As duas salas

A maior fragilidade de pesquisas online é guardar CPF e voto na mesma tabela. A promessa de anonimato fica no discurso — bastaria abrir o banco e cruzar. Aqui a separação está na arquitetura, não no compromisso.

A única ponte entre as duas salas é um cookie httpOnly + secure no navegador do eleitor. O servidor gera um token aleatório, grava o hash em tokens_emitidos (sem nenhuma referência ao CPF) e entrega o token original pelo cookie. As cédulas usam o cookie pra autorizar cada voto. Quando termina, o cookie expira e a ponte some.

Auditor que abrir o banco vê duas tabelas que não se conectam. Mesmo o operador da CDL não tem como ligar um voto a um CPF.

Plano amostral

Universo: eleitorado oficial de Sergipe segundo o TSE 2026 (arquivo perfil_eleitor_secao_2026_SE, geração 14/07/2026): 1.740.124 eleitores distribuídos em 75 municípios, dos quais 1.740.116 mapeados nos estratos de ponderação (8 registros excluídos por idade inválida). Cargos em disputa: Presidente da República, Governador, 2 Senadores, 8 Deputados Federais, 24 Deputados Estaduais. Eleitor com título em outra UF informa a UF e o município do título, responde apenas sobre Presidente e recebe peso zero nos recortes estaduais; eleitor de 16–17 anos informa o número do título de eleitor (conferido, não armazenado).

Ponderação por estratos (pós-coleta)

A pesquisa não bloqueia respostas por cota: qualquer eleitor de Sergipe pode participar enquanto a coleta estiver aberta. O desequilíbrio de adesão (capital responde mais, interior menos; alguns perfis de sexo, idade e instrução respondem mais que outros) é corrigido após a coleta por ponderação nas quatro variáveis do plano amostral registrado no PesqEle: município, sexo, faixa etária e grau de instrução, tendo por parâmetro o perfil oficial do eleitorado publicado pelo TSE.

O método é o raking (ajuste proporcional iterativo): os pesos são ajustados, alternadamente, até que a amostra ponderada reproduza a distribuição do eleitorado em cada uma das quatro marginais ao mesmo tempo. Quem não informa o sexo é ajustado nas demais. O cálculo roda inteiro no banco de dados, sobre a base completa, e cada execução fica gravada com seus diagnósticos:

n_eff = (Σw)² / Σw²      (amostra efetiva de Kish)
deff  = n / n_eff          (efeito de desenho)
margem efetiva = 1,96 · √(0,25 / n_eff)

A margem efetiva é a que vale: ponderar corrige o viés de adesão mas custa precisão, e esse custo é publicado na ficha técnica ao lado da margem nominal. O resultado só é divulgado depois que o estatístico responsável (CONRE) confere e aprova a execução e a composição final da amostra é lançada no registro do TSE (art. 2º, §7º, III e IV).

Peso maior que 1 indica estrato sub-representado na adesão; menor que 1, super-representado. O tamanho amostral total não muda — só o peso de cada resposta. Como a amostra é por adesão, a margem de erro publicada é indicativa, calculada como se a amostra fosse probabilística. Os diagnósticos da execução (n efetivo, deff, pesos extremos) ficam públicos após o registro no PesqEle.

Variáveis do plano amostral

Município, sexo, faixa etária e grau de instrução vêm do cadastro: sexo e data de nascimento da base cadastral (base CDL ou consulta ao SPC Brasil) — o sexo é perguntado só quando o cadastro não traz, e a origem fica registrada; a faixa etária nunca é perguntada. A escolaridade é informada em 4 opções (não estudei/só sei ler e escrever; fundamental; médio; superior) e agregada em 3 estratos como no TSE. A faixa de renda(salários mínimos; com “não sei” e “prefiro não informar”) descreve a composição da amostra por nível econômico e não entra na ponderação — conforme a Res.-TSE 23.600/2019 (red. Res.-TSE 23.747/2026), art. 2º, § 7º, III e IV.

Recrutamento

A amostra é por autosseleção: participa quem quer, dentro da janela de coleta. Duas origens de convite/entrada, ambas validadas:

• Convite por WhatsApp às bases da CDL Aracaju (participantes da premiação Melhores do Ano e da 1ª edição), com base no legítimo interesse (LGPD, art. 7º, IX) e opção de saída (“responda SAIR”). Quem já consta na base CDL dispensa nova consulta ao SPC. O viés de adesão (Aracaju concentra a base) é corrigido pela ponderação pós-coleta descrita acima.
• Divulgação aberta: qualquer eleitor fora da base CDL entra pelo link público e é validado em consulta cadastral ao SPC Brasil, que confirma que o CPF existe e está regular e devolve data de nascimento e sexo (quando disponível).

Em qualquer origem o cadastro exige verificação humana (Cloudflare Turnstile) e confirmação por código de 6 dígitos via WhatsApp — garante que o respondente é titular do número informado. O cadastro não é permitido em navegação anônima / privada do navegador. Eleitor com título em outra UF responde só sobre Presidente; eleitor de 16–17 anos informa o título de eleitor.

Variáveis coletadas

Sala 1 (validação) — eleitores_pesquisa

• Hash do CPF (HMAC-SHA256, jamais o número original).
• CPF mascarado (***.***.789-XX) para auditoria.
• Nome, WhatsApp, UF e município do título (IBGE).
• Sexo (com a origem: cadastro ou informado), faixa etária, escolaridade, faixa de renda.
• Dados devolvidos pela consulta cadastral ao SPC Brasil (situação do CPF, data de nascimento, nome da mãe, estado civil, endereço, payload bruto).
• Flags: validado pelo SPC, validado pelo WhatsApp; origem: base CDL ou SPC.
• Opt-in para receber os resultados por WhatsApp.
• Metadados para auditoria: IP, user-agent, fingerprint do dispositivo — apenas registrados (não bloqueiam), apagados após 6 meses.

Sala 2 (votação) — tokens_emitidos + votos_pesquisa

• Hash do token aleatório (sem ligação com nenhum CPF).
• Cargo (Presidente, Governador, Senador, Federal, Estadual).
• Candidato ou partido escolhido.
• Método: voto numérico, branco ou “não sei”.
• Hora de criação truncada pra hora cheia — análise temporal segue possível, cruzamento minuto-a-minuto que poderia identificar pessoa não.

Pra atender o relatório complementar exigido pelo art. 2º, § 7º, III e IV da Res.-TSE 23.600/2019 (red. Res.-TSE 23.747/2026) e permitir narrativa tipo “intenção entre mulheres de 25-34 em Aracaju”, a Sala 2 carrega uma cópia controlada dos atributos demográficos (sexo, faixa etária, escolaridade, renda, município) sem o cpf_hash. O voto continua impossível de ligar a um CPF específico, mas cruzamentos agregados ficam disponíveis para análise.

Toda exibição agregada por cruzamento demográfico aplica a regra de k-anonymity descrita abaixo — células com menos de 30 respondentes são suprimidas ou agregadas a um nível superior.

Base legal

Anti-fraude

Camadas independentes — cada uma exige um vetor diferente pra ser quebrada. Atacar todas ao mesmo tempo é significativamente mais custoso do que ganhar a pesquisa campanha legítima.

• Validação documental: CPF tem que existir na base CDL ou na consulta cadastral ao SPC Brasil (que devolve a situação cadastral do CPF), com situação regular e idade mínima de 16 anos. Sem isso, o cadastro nem começa.
• Validação de propriedade do número: código de 6 dígitos enviado por WhatsApp. Sem confirmação, não emite token de voto.
• Voto único por CPF e por WhatsApp: duas travas independentes no banco de dados (hash irreversível do CPF e número confirmado). Quem repete em qualquer uma é bloqueado.
• Ponderação por estratos: a projeção final aplica pesos por município, sexo, faixa etária e instrução contra o eleitorado do TSE, evitando que excesso de adesão de uma região ou de um perfil distorça o resultado; o custo em precisão sai na margem efetiva.
• Registro de tentativas por endereço de rede: cada tentativa de cadastro fica registrada com IP, user-agent e fingerprint do dispositivo — sem bloqueio automático e sem limite de CPFs por aparelho. Esses sinais alimentam a análise pós-coleta.
• Sem navegação anônima no cadastro: o servidor recusa o cadastro em janela anônima/privada do navegador.
• Anti-bot externo: verificação humana via provedor especializado (Cloudflare Turnstile) na entrada do formulário.
• Janela de coleta: fora do período da edição (13/09/2026 00h00 a 20/09/2026 23h59, horário de Aracaju) nenhum código é enviado nem voto é gravado — a trava é no servidor, não na tela.
• Análise pós-coleta: rotinas internas detectam clusters anômalos (concentração temporal, IP, padrão de resposta) pra revisão antes da divulgação.

Os critérios da análise pós-coleta (quais padrões marcam um cluster pra revisão) não são publicados: divulgá-los viraria receita pra fraude. O auditor formal com credencial pode ver tudo em detalhe — ver Como auditar abaixo.

K-anonymity

Mesmo sem ligação direta entre CPF e voto, células muito pequenas em cruzamentos demográficos podem reidentificar pessoas. Exemplo: se só uma mulher de 60+ em determinado município respondeu, o “voto da maioria daquela célula” é o voto dela.

Pra evitar isso, qualquer corte cruzado divulgado publicamente respeita k ≥ 30 respondentes por célula. Cruzamentos que não atingem o mínimo são suprimidos ou agregados a um nível superior (ex.: “mulheres de 60+ em Sergipe” em vez de “mulheres de 60+ em Itabaianinha”). É a mesma convenção que o IBGE adota pra microdados públicos.

Cronograma

• mai–jul/2026Desenvolvimento. Integrações reais (SPC, Meta WhatsApp, Turnstile). Contratação do estatístico CONRE.
• ago/2026Piloto fechado, com código de convite. ~50 testers. Estressa o sistema sem divulgação pública.
• ago/2026 (após piloto)Reunião com advogado eleitoral. Trava material divulgável e questionário.
• 22/ago/20261ª edição — registro no PesqEle (TSE e TRE-SE).
• 01–03/set/20261ª edição — coleta.
• 04/set/20261ª edição — divulgação dos resultados.
• 07/set/20261ª edição — divulgação suspensa por decisão judicial (TRE-SE).
• 13–20/set/20262ª edição — coleta (13/09 00h00 a 20/09 23h59, horário de Aracaju).
• Registro PesqEle2ª edição — pendente: será feito quando a amostra alcançar 20 mil eleitores e sempre antes de qualquer divulgação (TSE e TRE-SE).
• Divulgação2ª edição — após o registro e o prazo legal, nesta página (pesquisa.cdlaju.com.br/resultados) e nos canais da CDL Aracaju.
• 04/out/20261º turno das eleições.

Como auditar

A pesquisa foi desenhada para ser verificável em três níveis de acesso. Escolha o que cabe no seu papel:

Caminhos detalhados

1. Código fonte aberto. Back-end, banco, formulários, lógica de validação — tudo publicado em repositório auditável: github.com/presidencia-svg/pesquisa ↗. Uso comercial restrito por licença específica.
2. Documento técnico completo com fórmulas, estrutura conceitual do banco e detalhes de implementação está em docs/metodologia.md no repositório.
3. Política de segurança e disclosure. Vulnerabilidades podem ser reportadas conforme SECURITY.md. Reportes de boa-fé não geram represália legal. Formato machine-readable em /.well-known/security.txt (RFC 9116).
4. Registro no PesqEle (TSE e TRE-SE). Toda edição é registrada na Justiça Eleitoral antes de qualquer divulgação (Lei 9.504/97, art. 33: ao menos 5 dias antes). Os números, a data do registro, o período de coleta da edição em curso e o caminho pra conferir estão logo abaixo.

   Justiça Eleitoral

   Registro no PesqEle antes de qualquer divulgação

   Situação

   Coleta em andamento · registro pendente

   Período de coleta

   —

   Contratante e realizadora

   CDL Aracaju · CNPJ 13.045.935/0001-36

   Estatístico responsável

   A designar (será informado no registro no PesqEle)

   A Lei 9.504/97 (art. 33, § 1º) exige o registro da pesquisa na Justiça Eleitoral até cinco dias antes da divulgação (Res.-TSE 23.600/2019, com a redação da Res.-TSE 23.747/2026). O registro desta edição no PesqEle (TSE e TRE-SE) será feito quando a amostra alcançar 20 mil eleitores — e sempre antes de qualquer divulgação — com o questionário, o plano amostral, o período de coleta e o sistema de controle exatamente como aplicados. Nenhum resultado será publicado antes de decorrido esse prazo. Quando o registro for feito, os números e a data aparecem aqui.

   Qualquer interessado pode conferir os registros e a ficha técnica no sistema PesqEle, pela consulta pública da Justiça Eleitoral: Consulta às pesquisas registradas (tse.jus.br).

5. Pedido de dados auditáveis (Res. TSE 23.747/2026, art. 13, §§ 8º e 9º). Qualquer interessado pode requerer os dados consolidados e o sistema interno de controle. A CDL responde em até 2 dias úteis. Custos da inspeção, conforme a Resolução, são arcados pelo requerente.
6. Estatístico responsável. Danilio Silva Santos, CONRE 8223 (o mesmo da 1ª edição), identificado no registro PesqEle, com declaração assinada com certificado digital.
7. Encarregada de Dados (DPO). Claudimara Fontes Carvalho, designada pela ata 001/2026-EXT de 26/05/2026. Atende solicitações da LGPD pelo e-mail dpo@cdlaju.com.br.

Quem executa

Câmara de Dirigentes Lojistas de Aracaju

A CDL Aracaju foi fundada em 21 de dezembro de 1961, com Estatutos publicados no Diário Oficial do Estado de Sergipe em 10 de maio de 1962. É entidade declarada de utilidade pública pela Lei Municipal nº 63 de 6 de dezembro de 1967. Associação civil sem fins lucrativos, há mais de seis décadas representa os comerciantes lojistas e mantém serviços coletivos como o Serviço de Proteção ao Crédito.

A CDL realiza atividades de interesse público há gerações, incluindo a premiação popular Melhores do Ano. Esta pesquisa eleitoral é mais uma iniciativa nessa linha: a CDL não tem candidato, não apoia partido, não monetiza o resultado. O objetivo é colocar à disposição do público sergipano um instrumento de medição rigoroso, auditável e desinteressado politicamente.