Como tratamos os seus dados.

1. Introdução

Esta Política de Privacidade explica como coletamos, usamos, armazenamos e protegemos seus dados pessoais quando você utiliza nossa plataforma ("Serviço"). Levamos a sério a proteção da sua privacidade e o tratamento transparente dos seus dados.

Ao utilizar o Serviço, você confirma ter lido e compreendido esta política. Se não concorda com nossas práticas, por favor não utilize o Serviço.

Idioma. Esta política é publicada em português e em inglês. A versão em língua portuguesa é a única que prevalece; a versão em inglês é tradução de cortesia e, havendo divergência, omissão ou ambiguidade entre as duas, decide o texto em português. Isso não é formalidade: o documento que o art. 17, §2º da Resolução CD/ANPD nº 19/2024 manda publicar é em língua portuguesa, e é a seção 12 deste texto.

2. Papéis em proteção de dados

Nos módulos de canal de denúncias, de avaliação de riscos psicossociais (NR-1) e de pesquisa de clima organizacional, o Cliente é o controlador dos dados pessoais tratados e a Ethicos é a operadora, tratando esses dados exclusivamente por conta e ordem do Cliente e conforme as instruções por ele documentadas no contrato. É o Cliente, e não a Ethicos, quem responde perante quem denuncia, quem responde aos questionários e quem é mencionado em um relato.

Dessa repartição decorre, de forma vinculante entre as partes:

• Finalidade: cabe ao Cliente definir as finalidades e a necessidade do tratamento — instituir ou encerrar o canal, aplicar os questionários, definir o público de cada campanha e o destino de cada caso.
• Decisão sobre o caso: a triagem, a apuração dos fatos, a conclusão sobre a procedência da denúncia e a aplicação de medidas disciplinares são exclusivas do Cliente. Não investigamos denúncias, não decidimos sobre elas e não representamos o Cliente perante empregados, terceiros ou autoridades.
• Direitos do titular: os pedidos de titular relativos a esses dados são dirigidos ao Cliente, a quem compete respondê-los. Recebendo nós um pedido diretamente do titular, encaminharemos ao Cliente sem demora injustificada e o auxiliaremos com os recursos técnicos disponíveis na plataforma; não atendemos a esses pedidos por iniciativa própria, nem alteramos ou eliminamos esses dados sem determinação do Cliente, salvo quando a lei nos obrigue.
• Incidentes: identificando incidente de segurança que possa acarretar risco ou dano relevante a esses dados, comunicaremos o Cliente em até 24 (vinte e quatro) horas contadas do momento em que tomarmos conhecimento de que o incidente afetou dados pessoais, com as informações de que dispusermos nesse momento e o apoio necessário à apuração, complementando-as à medida que a apuração avançar. O prazo é curto de propósito: quem responde perante a Agência Nacional de Proteção de Dados (ANPD) e perante os titulares é o Cliente, e o regulamento lhe dá 3 (três) dias úteis contados do seu próprio conhecimento (Resolução CD/ANPD nº 15/2024, arts. 6º e 9º). Um aviso prestado "sem demora injustificada" consumiria o prazo dele. A comunicação à ANPD e aos titulares, quando devida, cabe ao Cliente, na qualidade de controlador.
• Instruções e limites: tratamos esses dados apenas para executar as funcionalidades contratadas e para cumprir obrigação legal ou regulatória que nos seja aplicável. Não utilizamos o conteúdo dos relatos nem as respostas aos questionários para finalidades próprias, aí compreendidos o desenvolvimento, o treinamento ou o aprimoramento de modelos de inteligência artificial, a construção de bases de dados aproveitáveis por outros clientes, a publicidade e a prospecção comercial. Recebendo instrução do Cliente que entendamos contrária à legislação de proteção de dados, informaremos o fato a ele.
• Término: encerrado o contrato, o Cliente pode optar pela eliminação ou pela devolução desses dados, ressalvada a retenção exigida por lei. É preciso ser exato sobre como isso acontece hoje, porque a redação usual desta cláusula sugere um botão que não existe: o Serviço não dispõe de funcionalidade de exportação nem de devolução de dados, e excluir uma organização na plataforma marca o registro como excluído sem apagar os relatos, as respostas aos questionários ou os anexos guardados. Atendemos às duas opções, mas por procedimento manual da nossa equipe, mediante solicitação escrita do Cliente, executado em até 30 (trinta) dias e confirmado por escrito. Enquanto a solicitação não for feita, esses dados permanecem armazenados.

Nos demais tratamentos — cadastro e gestão da conta, cobrança, comunicações transacionais, segurança da plataforma, formulário de contato e comunicação institucional — a Ethicos atua como controladora, e é a esses tratamentos que se referem as menções em primeira pessoa a "seus dados" ao longo deste documento.

3. Dados que coletamos

Informações de conta

Ao se cadastrar, coletamos seu nome, e-mail e senha (armazenada como hash seguro). Esses dados são necessários para criar e gerenciar sua conta.

Informações de cobrança

Ao assinar um plano pago, o pagamento é processado pela Stripe. Não armazenamos os dados do seu cartão e, na prática, também não recebemos os seus dados de cobrança: a nossa integração cria na Stripe um cliente identificado apenas pelo nome da organização e pelo identificador interno dela. É a própria Stripe quem coleta de você, na página de pagamento hospedada por ela, o e-mail, os dados do cartão e o endereço de cobrança; essas informações ficam com ela, tratadas conforme o padrão PCI DSS e a política dela, e não retornam aos nossos sistemas. Veja a Política de Privacidade da Stripe.

Dados de sessão

Usamos cookies HTTP-only e seguros contendo tokens JWT para manter sua sessão autenticada. Esses cookies não contêm dados pessoais diretamente, mas estão vinculados à sua conta. Eles são removidos automaticamente ao sair ou quando expiram. A seção 9 traz o inventário completo dos cookies, inclusive os que não são HTTP-only.

Registros de auditoria

As ações praticadas por usuários autenticados no painel ficam registradas em uma trilha de auditoria que guarda o autor, a ação, o objeto atingido, a data e a hora e — o que é preciso dizer, porque não é óbvio — o endereço IP e o navegador (agente de usuário) de quem praticou a ação. A trilha existe para segurança, para investigação de acessos indevidos e para prestação de contas ao Cliente controlador.

Essa trilha não alcança o canal público de denúncias. Nas rotas públicas, os cabeçalhos que transportam o endereço IP, o navegador e o idioma são removidos antes de a requisição chegar ao código que trata o relato, e os campos correspondentes da trilha ficam vazios. O endereço IP ainda é lido de forma transitória, em memória, para limitar abuso automatizado — não é gravado, nem em banco de dados, nem em log de aplicação, nem no registro de acesso do gateway da API, que é configurado sem esse campo.

Comunicações por e-mail

Usamos a Resend para entregar os e-mails do Serviço. Ela recebe o endereço do destinatário, o assunto, o corpo da mensagem já montado e os metadados de entrega (horários, status). Isso abrange mais do que verificação e redefinição de senha: passam por ela o e-mail de notificação do denunciante — que guardamos cifrado e que é decifrado no instante do envio —, o texto livre escrito no formulário de contato e o nome e o e-mail das pessoas convidadas a responder às pesquisas. O aviso enviado ao denunciante é deliberadamente genérico: não menciona a empresa, a categoria nem o conteúdo do relato.

Antes de chegar à Resend, essas mensagens passam por uma fila de processamento da Amazon Web Services (Amazon SQS), com criptografia em repouso. É por isso que a seção 6 atribui à Amazon Web Services também o conteúdo das mensagens, e não apenas os anexos.

Newsletter

Se você pedir para receber a newsletter, guardamos o e-mail, a página em que o pedido foi feito, o idioma em que você lia o site e as datas do pedido, da confirmação e de um eventual cancelamento. Não guardamos endereço IP nem identificação do navegador. A finalidade é uma só: enviar a newsletter. A base legal é o seu consentimento (LGPD, art. 7º, I), e ele só existe depois que você usa o link que enviamos ao e-mail informado: preencher o formulário não basta, porque qualquer pessoa pode digitar o endereço de outra. O link vale por 48 horas; um pedido não confirmado não é consentimento e é apagado em até 7 dias. O e-mail de confirmação é entregue pela Resend, e o endereço confirmado é copiado para uma lista própria da newsletter na Resend, separada de qualquer outra lista (seção 6). Você pode cancelar a qualquer momento pela nossa página de contato; guardamos o endereço marcado como cancelado para que ele não volte à lista sem uma nova confirmação sua.

Segurança e prevenção de fraude

Usamos o Google reCAPTCHA v3 para prevenir abuso automatizado. Ele é carregado sob demanda — no instante em que uma das ações abaixo acontece, e não pela simples abertura de uma página — e atua: no envio de um relato pelo canal público; na autorização de envio de cada anexo; na consulta de nomes de membros do comitê a excluir do caso; no acesso ao acompanhamento de um relato pelo protocolo; no formulário de contato; e no acesso às pesquisas por CPF.

O reCAPTCHA v3 não é um quebra-cabeça: é um produto de pontuação comportamental. Executado no seu navegador, ele coleta o endereço IP, informações do dispositivo e do navegador e sinais de interação (movimento do mouse, ritmo de digitação, tempos), grava cookie próprio no domínio do Google e envia esse conjunto ao Google, que o trata sob a política dele. Nós não recebemos esses dados: o que chega até nós é apenas a pontuação de risco atribuída à ação. A página de política do canal público não o carrega. Veja a Política de Privacidade do Google.

Consulta de CNPJ

Nos formulários em que se cadastra uma organização — o cadastro inicial, a criação de nova empresa e o cadastro de empresa-cliente por uma gestora —, digitado um CNPJ completo, o seu próprio navegador consulta a BrasilAPI para preencher razão social e endereço. A consulta parte do seu dispositivo e não passa pelos nossos servidores: o CNPJ digitado e o seu endereço IP chegam a esse terceiro, e não a nós.

Onde os dados ficam armazenados

Os dados da plataforma — o conteúdo dos relatos do canal de denúncias, as respostas aos questionários, os dados de conta e os registros de auditoria — são gravados em um banco de dados PostgreSQL fornecido pela Neon, serviço contratado da Databricks, Inc., empresa sediada nos Estados Unidos.

Quanto à região de armazenamento, esta política assume um compromisso e não afirma um fato consumado: comprometemo-nos a manter o banco de dados de produção configurado na região brasileira (São Paulo) do provedor, e a substituir esta ressalva pela confirmação dessa configuração assim que ela for verificada e registrada. Enquanto a ressalva estiver aqui, leia a frase anterior como o compromisso que assumimos, e não como configuração já conferida. A escolha pela ressalva é deliberada: a região de um projeto é fixada na criação e não pode ser alterada depois, e publicar residência de dados sem conferência transforma um eventual erro de configuração em declaração enganosa a quem confiou no documento.

Nada disso altera a conclusão da seção 11, e é deliberado que não altere: a região de armazenamento não afasta a transferência internacional. O contrato é firmado com empresa localizada no exterior, e disponibilizar acesso a dados pessoais a um agente de tratamento localizado fora do país é, em si, uma transferência — esteja o dado gravado em São Paulo ou fora do Brasil. Por isso as seções 11 e 12 valem integralmente nos dois cenários.

Os anexos enviados junto com um relato não ficam no banco de dados: são gravados no Amazon S3, da Amazon Web Services, criptografados em repouso. A infraestrutura de aplicação — as funções que atendem às requisições, as filas de processamento e o tratamento antivírus dos anexos — também é executada na Amazon Web Services. Esses recursos estão hoje em região localizada nos Estados Unidos.

O nome e o contato informados por quem opta por se identificar, e o e-mail opcional de notificação, são cifrados pela própria aplicação antes de serem gravados, com chave que não fica no banco de dados: quem tenha acesso operacional ao banco lê esses campos como texto cifrado. É preciso ser claro sobre o limite dessa proteção — ela não alcança o corpo do relato, que é gravado em texto legível porque precisa ser lido pelo comitê de ética do Cliente.

Análise por inteligência artificial

Na geração do relatório psicossocial da NR-1, recorremos a provedores externos de inteligência artificial em três etapas. Na primeira, trechos de até 400 caracteres dos relatos recebidos pelo canal de denúncias no período são enviados a um provedor de embeddings (representações vetoriais), o que permite agrupar relatos semelhantes; o agrupamento em si é executado nos nossos próprios sistemas. Na segunda, até três trechos por grupo são enviados a um modelo de linguagem, que nomeia cada grupo temático e o descreve em uma frase. Na terceira, o sumário executivo e as ações recomendadas são redigidos a partir desses nomes e descrições, das pontuações calculadas e das categorias que os próprios denunciantes escolheram ao registrar o relato — nenhum trecho de relato é enviado nessa etapa.

Nenhum dado de identificação do denunciante é transmitido: nome, contato e e-mail de notificação são armazenados de forma criptografada e não integram o que é enviado aos provedores, que recebem apenas o texto do relato. É preciso ser claro sobre o limite dessa proteção: o texto é escrito pelo próprio denunciante e, se ele se identificar — ou identificar outra pessoa — dentro do relato, essa informação estará no trecho enviado. A plataforma não tem como desfazer isso. Também ficam fora do conjunto enviado os relatos em que o denunciante pediu restrição de acesso a alguém que integra o cadastro de usuários do Cliente. A restrição opera sobre quem a plataforma consegue identificar nesse cadastro: quando o nome indicado não corresponde a nenhum usuário cadastrado — por grafia divergente, por se tratar de pessoa sem acesso à plataforma, ou por desligamento posterior —, a restrição não alcança este envio e o relato permanece no conjunto.

Os indicadores, pontuações e demais números do relatório não são produzidos pelo modelo: são calculados de forma determinística a partir das respostas registradas. O texto narrativo gerado é verificado automaticamente: descontadas as citações a normas e a dispositivos legais, que o relatório pode legitimamente mencionar (por exemplo, NR-17, Lei nº 14.831/2024, art. 157 da CLT, ISO 45003 ou COPSOQ III), o relatório é recusado se o texto contiver algarismos — de modo que nenhum indicador, pontuação ou contagem apresentado no documento provenha do modelo. Na seção de divergências entre o canal de denúncias e o questionário, que é acessória e costuma não existir, o item que viola essa regra é descartado em vez de o relatório inteiro ser recusado. As ações recomendadas só podem apontar para dimensões do questionário efetivamente medidas.

Os provedores utilizados são dois: a Anthropic, por sua própria API, que recebe os trechos submetidos ao modelo de linguagem, e a OpenAI, que recebe os trechos submetidos à geração de embeddings. Nenhuma outra empresa recebe conteúdo de relatos para essa análise — em particular, não utilizamos o Amazon Bedrock, da Amazon Web Services, que versões anteriores desta política mencionavam. O tratamento realizado pela Anthropic e pela OpenAI é regido pelos termos e pelas políticas que cada uma publica e aos quais aderimos, os quais podem prever prazo próprio de retenção do conteúdo transmitido para finalidades de segurança e de prevenção a abuso. Não firmamos com esses provedores, até a data desta política, instrumento contratual específico que amplie as garantias previstas nos termos que cada um publica. Firmando-o, atualizaremos esta seção e a seção 11.

4. Como usamos seus dados

Nos tratamentos em que atuamos como controladora (ver seção 2), utilizamos seus dados pessoais para:

• Fornecer e manter o Serviço
• Autenticar sua identidade e gerenciar sessões
• Processar pagamentos e gerenciar assinaturas
• Enviar e-mails transacionais (verificação, redefinição de senha, recibos)
• Prevenir fraude, abuso e acessos não autorizados
• Cumprir obrigações legais (registros fiscais, requisições de autoridades)
• Melhorar a segurança e o desempenho do Serviço, a partir dos dados de conta e de uso da plataforma

Nos tratamentos em que atuamos como operadora, por conta e ordem do Cliente, tratamos os dados para:

• Operar o canal de denúncias, as avaliações psicossociais e as pesquisas de clima organizacional
• Gerar o relatório psicossocial da NR-1, com apoio de inteligência artificial (ver seção 3)

Não vendemos seus dados pessoais. Nos tratamentos em que atuamos como controladora, não os utilizamos para definir perfis (profiling). E não tomamos, a seu respeito, decisão fundada unicamente em tratamento automatizado: a seção 7.1 descreve o tratamento automatizado que o Serviço de fato executa sobre os relatos, por conta e ordem do Cliente controlador, e por que ele não produz decisão dessa natureza. O conteúdo dos relatos e as respostas aos questionários não são utilizados para aprimoramento do Serviço nem para qualquer finalidade própria da Ethicos.

Sobre publicidade, a resposta honesta não é um "não" simples, e preferimos descrevê-la a repetir a fórmula de sempre. Quem cria uma conta por cadastro próprio — e não por convite recebido de uma organização — tem hoje o seu nome e e-mail inscritos automaticamente, no mesmo instante do cadastro, em uma lista de marketing que mantemos junto à Resend. Não há, no formulário, caixa de adesão específica para isso: a única caixa existente é a de aceite dos Termos de Uso e desta Política. Também não existe hoje rotina que remova o contato dessa lista — nem mesmo quando a conta é excluída.

Consideramos esse comportamento incorreto e o dizemos aqui em vez de calá-lo. Comunicação de marketing depende de consentimento livre, informado e inequívoco, dado para essa finalidade específica (LGPD, art. 7º, I, e art. 8º, §§1º e 4º), e o aceite de um contrato não o supre. Enquanto o cadastro não passar a oferecer a adesão como escolha separada, (i) não enviamos comunicação de marketing a quem manifeste oposição, (ii) o pedido de remoção pode ser feito a qualquer tempo pela nossa página de contato e é atendido no prazo da seção 7, e (iii) a inscrição é interrompida assim que o consentimento passar a ser pedido. Descrever a prática não a legitima: é o que existe, dito por inteiro, até que deixe de existir.

5. Base legal do tratamento

Tratamos seus dados com base nas seguintes hipóteses legais (LGPD, arts. 7º e 11):

• Execução de contrato: tratamento necessário para fornecer o Serviço (conta, cobrança, e-mail)
• Legítimo interesse: segurança da plataforma, prevenção a fraude e melhoria do Serviço, quanto aos dados de conta e de uso; não se aplica ao conteúdo dos relatos nem às respostas aos questionários
• Cumprimento de obrigação legal: retenção de registros fiscais e de cobrança
• Consentimento: quando exigido — é o caso das comunicações de marketing, e a seção 4 descreve, sem atenuar, a inscrição automática que hoje ocorre sem ele
• Canal de denúncias, avaliação psicossocial e pesquisa de clima organizacional, inclusive a análise por inteligência artificial: nesses tratamentos atuamos como operadora, e a hipótese legal é a do Cliente, na qualidade de controlador. Ela decorre do cumprimento das obrigações que a legislação trabalhista e de saúde e segurança do trabalho lhe impõem — entre elas o canal de denúncias da Lei nº 14.457/2022 e o gerenciamento dos riscos psicossociais previsto na NR-1 (LGPD, art. 7º, II e, quanto aos dados pessoais sensíveis que o relato possa conter, art. 11, II, "a"). Quando o tratamento se destinar à apuração de um caso concreto ou à defesa em processo, aplica-se também o art. 11, II, "d", que alcança o exercício regular de direitos inclusive em contrato. Não nos apoiamos em consentimento para esses tratamentos: na relação de emprego ele não seria livre, e não alcançaria a pessoa mencionada em um relato, que não foi consultada. Também não nos apoiamos em legítimo interesse quanto ao conteúdo dos relatos: o art. 11 não contempla essa hipótese para dados pessoais sensíveis. Nas atividades em que definimos por nós mesmos a forma do tratamento — a escolha dos provedores de inteligência artificial, o recorte do trecho transmitido e a guarda dos registros de auditoria da geração —, atuamos como controladora, com fundamento no exercício regular de direitos decorrentes do contrato celebrado com o Cliente (LGPD, art. 11, II, "d", quanto aos dados sensíveis)

6. Compartilhamento de dados

Compartilhamos seus dados apenas com prestadores de serviço necessários para a operação do Serviço:

Esses provedores podem, por sua vez, recorrer a suboperadores próprios, o que configura transferência posterior. O caso mais relevante é o do banco de dados e está descrito na seção 12.

Também podemos divulgar dados quando exigido por lei, ordem judicial ou para proteger os direitos, a segurança ou a propriedade dos nossos usuários ou do público. Em caso de fusão ou aquisição, seus dados poderão ser transferidos para a entidade adquirente. Quanto aos dados tratados na qualidade de operadora, a sucessão observará o contrato firmado com o Cliente e não altera a titularidade do controle.

7. Seus direitos

Conforme a LGPD (e leis equivalentes na sua jurisdição), você tem os seguintes direitos sobre seus dados pessoais:

• Confirmação de tratamento (art. 18, I): saber se tratamos dados a seu respeito
• Acesso (art. 18, II): obter cópia dos seus dados pessoais
• Correção (art. 18, III): corrigir dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação (art. 18, IV): quanto a dados desnecessários, excessivos ou tratados em desconformidade com a lei
• Portabilidade (art. 18, V): receber seus dados em formato portável, a outro fornecedor, observados os segredos comercial e industrial
• Eliminação dos dados tratados com consentimento (art. 18, VI), ressalvadas as hipóteses de conservação do art. 16
• Informação sobre compartilhamento (art. 18, VII): saber com que entidades públicas e privadas realizamos uso compartilhado dos seus dados. A seção 6 responde a isso de forma permanente, e o pedido individual é atendido pelo canal abaixo
• Informação sobre a possibilidade de não consentir (art. 18, VIII): e sobre as consequências da negativa, nos tratamentos em que o consentimento seja a hipótese aplicável
• Revogação do consentimento (art. 18, IX, c/c art. 8º, §5º): a qualquer momento, por manifestação expressa, nos tratamentos fundados em consentimento
• Oposição (art. 18, §2º): opor-se a tratamento realizado com fundamento em hipótese de dispensa de consentimento, em caso de descumprimento da lei
• Revisão de decisões automatizadas (art. 20): solicitar a revisão de decisão tomada unicamente com base em tratamento automatizado que afete seus interesses, e receber informações claras sobre os critérios e os procedimentos utilizados (art. 20, §1º), observados os segredos comercial e industrial. Como este direito depende de haver decisão unicamente automatizada, a seção 7.1 explica o que o Serviço faz e o que não faz
• Petição perante a autoridade (art. 18, §1º): peticionar contra o controlador perante a ANPD, direito que também pode ser exercido perante os organismos de defesa do consumidor (art. 18, §8º)

Para exercer qualquer desses direitos, entre em contato pela nossa página de contato. Os pedidos de confirmação da existência de tratamento e de acesso são atendidos na forma do art. 19 da LGPD — imediatamente, em formato simplificado, ou em até 15 (quinze) dias, por declaração clara e completa. Adotamos o mesmo prazo de 15 dias para os demais pedidos. Você pode também peticionar contra o controlador perante a ANPD (LGPD, art. 18, §1º).

Esses direitos referem-se aos tratamentos em que atuamos como controladora. Quanto aos dados dos módulos de canal de denúncias, avaliação psicossocial e pesquisa de clima organizacional, o pedido deve ser dirigido à organização controladora; recebendo-o, encaminharemos a ela sem demora injustificada.

7.1. Tratamento automatizado e o art. 20

O Serviço executa tratamento automatizado sobre os relatos: classificação e atribuição de categoria e de prioridade, agrupamento temático por semelhança e a redação, por modelo de linguagem, do texto narrativo do relatório psicossocial da NR-1 (seção 3). Como isso costuma ser apresentado de forma vaga, convém dizer com precisão o que se segue.

Nenhuma decisão sobre uma pessoa é tomada unicamente com base em tratamento automatizado. A triagem, a apuração, a conclusão sobre a procedência de uma denúncia e qualquer medida disciplinar são atos do Cliente controlador, praticados por pessoas — a plataforma organiza e sugere, não decide (ver seção 2 e a seção 10 dos Termos de Uso). O relatório psicossocial é insumo para o profissional habilitado do Cliente, e os seus números não provêm do modelo.

A consequência prática, dita sem rodeios: o direito do art. 20 pressupõe decisão unicamente automatizada e, hoje, o Serviço não produz nenhuma. Ainda assim — e porque quem é afetado não tem como conferir isso de fora — recebemos e respondemos pedidos de revisão e de informação sobre os critérios pelo mesmo canal e no mesmo prazo dos demais direitos, e a resposta indica qual foi o tratamento automatizado aplicado e quem tomou a decisão. Se algum dia alguma decisão passar a ser inteiramente automatizada, esta seção dirá qual e garantirá a revisão antes de a mudança valer.

8. Retenção e exclusão de dados

• Contas ativas: os dados são mantidos enquanto sua conta estiver ativa
• Contas excluídas: a exclusão da conta é executada no mesmo momento do pedido, e não em até 30 dias — mas ela não apaga a linha do banco, e é isso que precisa ficar claro. Ao excluir, sobrescrevemos imediatamente o nome, o e-mail, o hash da senha e o telefone por valores que não identificam ninguém, revogamos todas as sessões ativas e substituímos o conteúdo identificável das entradas da trilha de auditoria associadas a você. O registro permanece, marcado como excluído e sem dado pessoal, para que a trilha de auditoria e as referências históricas continuem íntegras. Não existe rotina posterior que apague o registro: não há um segundo prazo de 30 dias correndo por trás, porque a eliminação do que identifica você já ocorreu
• Registros de cobrança: retidos por 5 anos conforme exigência fiscal
• Registros de aplicação e de acesso à API: retidos por 30 dias em produção. Nas rotas públicas do canal de denúncias esses registros não contêm endereço IP nem identificação do navegador (seção 3)
• Relatos do canal de denúncias, respostas aos questionários e anexos enviados: esses dados são tratados por conta e ordem do Cliente controlador, e não fixamos prazo próprio sobre eles. Hoje são mantidos por prazo indeterminado — não existe rotina automática de eliminação. Estamos definindo um prazo de retenção e o publicaremos aqui e na política do canal público quando a rotina existir. Encerrado o contrato, esses dados são eliminados ou devolvidos conforme a opção do Cliente, na forma da seção 2.
• Registros de auditoria da geração de relatórios: guardamos, para fins de rastreabilidade e de verificação do conteúdo publicado, o texto submetido ao modelo e a resposta obtida em cada geração de relatório. Esse registro não contém trechos de relatos. Esses registros são hoje mantidos por prazo indeterminado: não aplicamos a eles rotina automática de eliminação. Estamos definindo um prazo e o publicaremos nesta seção quando a rotina existir.
• Newsletter: pedidos não confirmados são apagados automaticamente em até 7 dias. Um endereço confirmado é mantido enquanto você for assinante; depois de um cancelamento, fica guardado marcado como cancelado, para impedir que volte à lista sem uma nova confirmação sua. Se preferir que ele seja apagado de vez, peça pela página de contato.

9. Cookies

Os cookies do Serviço são de dois tipos. Os essenciais, listados na tabela abaixo, são definidos sem pedir permissão porque o Serviço não funciona sem eles. Os de medição e anúncios, descritos logo depois da tabela, só são definidos se você aceitar o aviso de cookies — e nunca no canal público de denúncias. Como "apenas cookies essenciais" é uma frase que costuma esconder a lista, segue a lista inteira — inclusive os que não são HTTP-only:

Cookies de medição e anúncios (opcionais). No site institucional, nas páginas de entrada e cadastro e no painel da empresa, um aviso pergunta se você permite o Google Analytics 4 e o Google Ads. Se você aceitar, o Google define cookies no nosso domínio (_ga e _ga_*, por até 2 anos; _gcl_au, por 90 dias) para medir visitas, a origem de cada visita e conversões de campanha — por exemplo, a criação de uma conta. O endereço da página enviado ao Google é reduzido ao modelo da rota: sem parâmetros e sem nome de empresa, código de denúncia, token ou outro identificador (a página de uma denúncia chega ao Google como /[orgSlug]/denuncias/[code]). Esses dados não são usados para anúncios personalizados nem para remarketing. Se você recusar, ou enquanto não responder, nenhum script do Google Analytics ou do Google Ads é carregado, e se recusar depois de ter aceitado, os cookies acima são apagados do seu navegador. A resposta fica guardada no seu navegador (localStorage, chave ethicos-consent, que não é cookie e não é enviada a servidor algum) e pode ser alterada a qualquer momento em "Preferências de cookies", no rodapé. O canal público de denúncias nunca carrega essas ferramentas, independentemente da sua resposta. Os dados coletados por esses cookies são tratados pelo Google conforme a Política de Privacidade do Google.

Cookies de terceiros. O Google reCAPTCHA v3 grava cookie próprio no domínio do Google quando a proteção é acionada, nos pontos listados na seção 3 — isso ocorre também no canal público de denúncias, embora não na página de política do canal, que não carrega recurso externo algum. A Stripe define os cookies dela nas páginas de pagamento hospedadas por ela. Não temos controle sobre esses cookies; eles seguem as políticas de cada provedor.

10. Segurança

Adotamos medidas alinhadas ao mercado para proteger seus dados:

• Criptografia TLS para os dados em trânsito
• Senhas armazenadas com algoritmos de hash seguros
• Cookies HTTP-only e seguros para o gerenciamento da sessão do painel e para o acompanhamento de um relato, ressalvados os dois cookies que a seção 9 identifica como não sendo HTTP-only
• Controles de acesso baseados em função (RBAC)
• Criptografia dos anexos em repouso
• Substituição do nome original de cada anexo por um nome gerado — o nome que você deu ao arquivo não é gravado no banco, no armazenamento nem exibido ao comitê — e remoção dos metadados embutidos (EXIF e equivalentes) de imagens, áudio e vídeo antes de o arquivo ficar disponível, com recusa do arquivo se a remoção falhar. Há um limite que precisa ser dito: arquivos PDF dependem de o sanitizador de PDF estar disponível — havendo-o, os metadados do documento também são removidos; não havendo, o arquivo é armazenado como enviado, com os metadados que o programa de origem tiver gravado nele
• Criptografia, pela própria aplicação, do nome e do contato de quem se identifica e do e-mail opcional de notificação, com chave mantida fora do banco de dados
• Revisões de segurança periódicas

Há um limite dessas medidas que precisa ser dito, porque um provedor de banco de dados gerenciado não é um cofre fechado: pessoal do provedor de infraestrutura pode deter acesso operacional aos dados armazenados, inclusive ao corpo dos relatos, para operar, manter e dar suporte ao serviço. É por isso que os campos de identificação do denunciante são cifrados pela aplicação, e é por isso que esse acesso é tratado como transferência internacional na seção 12, e não como um detalhe de infraestrutura.

Nenhum sistema é 100% seguro. Se identificarmos um incidente de segurança que possa acarretar risco ou dano relevante aos seus dados pessoais, comunicaremos você e a ANPD (LGPD, art. 48) no prazo de 3 (três) dias úteis contados do conhecimento de que o incidente afetou dados pessoais, na forma dos arts. 6º e 9º da Resolução CD/ANPD nº 15/2024. Quanto aos tratamentos em que atuamos como operadora, comunicaremos o Cliente, a quem compete a comunicação à Agência Nacional de Proteção de Dados (ANPD) e aos titulares.

11. Transferência internacional de dados

Parte do tratamento descrito nesta política é contratada de empresas localizadas fora do Brasil, ou ocorre fora do Brasil. Duas definições do Regulamento de Transferência Internacional de Dados (Resolução CD/ANPD nº 19/2024) governam o assunto e conduzem a conclusões que é comum ver invertidas: importador é o agente de tratamento localizado em país estrangeiro que recebe os dados (art. 3º, II), e transferência é a operação pela qual um agente transmite, compartilha ou disponibiliza acesso a dados pessoais a outro (art. 3º, III). Daí decorre, de forma expressa:

• Armazenar no Brasil não encerraria o assunto. Ainda que o banco de dados da plataforma esteja armazenado em região brasileira — compromisso cuja confirmação a seção 3 ressalva —, o serviço é contratado de empresa sediada nos Estados Unidos, e o acesso remoto do fornecedor e de suas afiliadas aos dados armazenados é, ele próprio, uma transferência internacional. Não descrevemos essa operação como doméstica e ninguém deve lê-la assim. É deliberado que esta seção não dependa da região: ela vale igual nos dois cenários.
• Não há decisão de adequação aplicável. A única decisão de adequação já emitida reconhece a União Europeia e os países do Espaço Econômico Europeu (Resolução ANPD nº 32, de 26 de janeiro de 2026). Não há decisão de adequação quanto aos Estados Unidos, de modo que o art. 33, I da LGPD não está disponível para nenhuma das transferências desta política.

Dados que tratamos como controladora

Para os dados de conta, de cobrança, de comunicação transacional e de segurança da plataforma — que não são dados pessoais sensíveis —, a transferência aos provedores da seção 6 apoia-se no art. 33, IX da LGPD, que a admite quando necessária para atender às hipóteses dos incisos II, V e VI do art. 7º: no caso, a execução do contrato de que você é parte (art. 7º, V) e o cumprimento de obrigação legal ou regulatória (art. 7º, II).

Relatos do canal de denúncias e respostas aos questionários

Aqui o fundamento tem de ser outro, e esta política prefere explicar a razão disso a apresentar um fundamento confortável. O art. 33, IX remete apenas aos incisos II, V e VI do art. 7º; ele não faz nenhuma remissão ao art. 11, que é o artigo que autoriza o tratamento de dados pessoais sensíveis. E, como a seção 5 já reconhece, o conteúdo de um relato pode revelar dados sensíveis e é nessa qualidade que o tratamos (art. 11, II, "a" e "d", combinados com o art. 11, §1º). Não nos apoiamos, portanto, no art. 33, IX quanto ao conteúdo dos relatos e às respostas aos questionários. Também não nos apoiamos no consentimento do art. 33, VIII: na relação de emprego ele não seria livre, e não alcançaria a pessoa mencionada em um relato, que não foi consultada.

O instrumento adequado é o do art. 33, II, "b" — as cláusulas-padrão contratuais aprovadas pela ANPD (Anexo II da Resolução CD/ANPD nº 19/2024), que o art. 16 do Regulamento manda adotar integral e sem alteração, em instrumento firmado entre exportador e importador. Esta política identificará, provedor a provedor, o instrumento adotado e a data em que foi firmado. Enquanto um provedor não estiver identificado nesta seção, a adoção das cláusulas-padrão quanto a ele não está comprovada — o que existe é o acordo de tratamento de dados que o próprio provedor publica, que não as substitui. Nesta data, nenhum provedor está identificado nesta seção.

Duas observações práticas. A primeira: o Cliente controlador pode, a qualquer tempo e sem justificar-se, solicitar a desativação da análise por inteligência artificial para a sua organização, hipótese em que nenhum conteúdo dela é transmitido à Anthropic ou à OpenAI — com a consequência, descrita nos Termos de Uso, de que o relatório psicossocial da NR-1 deixa de ser gerado. É preciso dizer como isso é feito, porque a palavra "desativação" sugere um interruptor que o Cliente não tem: não existe hoje, na plataforma, tela, configuração ou chamada que o Cliente possa usar para desligar a análise. O mecanismo que impede a transmissão existe e funciona, mas quem o aciona é a nossa equipe, por intervenção registrada, atendendo ao pedido em até 5 (cinco) dias úteis e confirmando-o por escrito. Enquanto for assim, é assim que está escrito aqui.

A segunda: essa opção não existe quanto ao banco de dados e à infraestrutura. Sem eles não há Serviço, e a transferência descrita na seção 12 é inseparável da prestação.

Registre-se, por fim, o que decorrerá da adoção das cláusulas-padrão: alterações nas garantias apresentadas como suficientes para a transferência deverão ser comunicadas à ANPD (LGPD, art. 36), e o Capítulo V da LGPD, que rege esta seção, compreende os arts. 33 a 36.

12. Transferência internacional — informações do art. 17, §2º da Resolução nº 19/2024

Esta seção é o documento em língua portuguesa que o art. 17, §2º do Regulamento de Transferência Internacional de Dados (Resolução CD/ANPD nº 19/2024) manda publicar. O §3º do mesmo artigo admite que ele seja integrado à Política de Privacidade, de forma destacada e de fácil acesso, e é o que fazemos aqui; ele pode ser citado pelo endereço desta página seguido de #transferencia-internacional.

Forma, duração, finalidade específica e país de destino (art. 17, §2º, I e II)

Uma precisão sobre a Amazon Web Services: desde 2020 ela contrata com clientes brasileiros por meio de entidade sediada no Brasil, mas a região de infraestrutura em que o Serviço é executado está nos Estados Unidos, e é o destino dos dados que caracteriza a transferência. Migrar essa infraestrutura para a região brasileira eliminaria esta linha; enquanto não ocorrer, ela fica aqui.

Identificação e contatos do exportador e do controlador (art. 17, §2º, III)

Exportadora em todas as operações acima: Systera LTDA, inscrita no CNPJ sob o nº 54.216.998/0001-95, com sede na Rua Jacob Wellner, 112, Vista Alegre, Curitiba/PR, CEP 80810-350. Canal de atendimento ao titular: nossa página de contato.

Quanto aos relatos do canal de denúncias, às respostas aos questionários e aos anexos, o controlador é a organização que contratou o Serviço e a Ethicos é operadora (seção 2); nessas operações somos exportadora na condição de operadora. O dever de publicação do art. 17, §2º é do controlador, e esta seção é publicada para que o Cliente controlador disponha das informações necessárias para cumpri-lo e para que o titular possa consultá-las diretamente, sem depender disso.

Uso compartilhado de dados e finalidade (art. 17, §2º, IV)

Fora dos provedores relacionados acima e na seção 6, não compartilhamos esses dados com outros controladores. Dentro da organização contratante, o conteúdo dos relatos é acessível ao comitê de ética e às demais pessoas a quem ela der acesso ao painel; quando o canal é operado por uma empresa gestora — uma clínica ou consultoria —, a equipe dessa gestora também o acessa, na condição de operadora da empresa-cliente. Não vendemos dados pessoais, não os utilizamos para publicidade e não os utilizamos para treinar ou aprimorar modelos de inteligência artificial.

Transferências posteriores

Os importadores podem, por sua vez, recorrer a suboperadores próprios. O caso que mais importa aqui é o do banco de dados: a lista de subprocessadores publicada pela Neon remete à lista do grupo Databricks, que, na data desta política, relaciona cerca de duas dezenas de empresas afiliadas em países como Estados Unidos, Índia, Sérvia, Israel, Arábia Saudita, Singapura e Japão, sem restrição quanto ao local do tratamento nas linhas relativas a essas afiliadas. Em termos concretos: pessoal de suporte do grupo, em qualquer desses países, pode deter acesso operacional à base em que os relatos estão armazenados. A região de armazenamento não altera isso — nem a brasileira a que nos comprometemos na seção 3, nem qualquer outra —, e não temos hoje resposta melhor a essa pergunta do que o próprio contrato.

Responsabilidades e medidas de segurança (art. 17, §2º, V)

• Controlador: define as finalidades e a necessidade do tratamento e responde perante o titular. Nos módulos de canal de denúncias, avaliação psicossocial e pesquisa de clima organizacional, é a organização contratante; nos tratamentos de conta, cobrança e segurança, é a Ethicos.
• Exportadora (Ethicos): seleciona os importadores, limita o que lhes é transmitido, responde perante o Cliente pelos suboperadores que contrata e presta ao controlador as informações necessárias ao atendimento de pedidos de titular, à comunicação de incidentes e ao cumprimento de determinações da ANPD.
• Importadores: tratam os dados nos limites da finalidade específica indicada na tabela acima e das obrigações do instrumento que reger a transferência.
• Medidas de segurança: criptografia TLS em trânsito; criptografia dos anexos em repouso; criptografia aplicacional do nome, do contato e do e-mail de notificação de quem denuncia, com chave mantida fora do banco de dados; controles de acesso baseados em função; trilha de auditoria; e as demais medidas da seção 10.

Direitos do titular e meios de exercício (art. 17, §2º, VI)

Os direitos previstos na LGPD e a forma de exercê-los estão na seção 7, e o canal de fácil acesso é a nossa página de contato. Além deles, o art. 17, caput e §1º do Regulamento assegura ao titular receber a íntegra das cláusulas utilizadas para a transferência, no prazo de 15 (quinze) dias, ressalvados os segredos comercial e industrial — pedidos nesse sentido são recebidos pelo mesmo canal e atendidos nesse prazo; quando a operação for daquelas em que somos operadora, o pedido é encaminhado também ao Cliente controlador.

O titular pode, ainda, peticionar contra o controlador perante a Agência Nacional de Proteção de Dados (ANPD).

13. Crianças e adolescentes

O cadastro de conta no painel exige 18 anos, e quanto a ele o Serviço não se destina a menores. Parar aqui, porém, seria escrever uma frase confortável e falsa, porque o canal de denúncias é outra coisa: ele é um endereço aberto, sem login, instituído pelo Cliente para todas as pessoas que trabalham nele — o que inclui aprendizes e estagiários entre 14 e 18 anos, adolescentes na definição do art. 2º da Lei nº 8.069/1990, e exatamente a população que a NR-1 e a Lei nº 14.457/2022 têm em vista. Um canal de assédio que declarasse não aceitar o trabalhador adolescente falharia na primeira pessoa que deveria proteger.

Por isso, sem rodeio: o canal aceita relatos de adolescentes, e esses dados são tratados no melhor interesse deles, como manda o art. 14 da LGPD. A hipótese legal é a mesma da seção 5 — o cumprimento, pelo Cliente controlador, das obrigações de saúde, segurança e prevenção e enfrentamento do assédio (art. 7º, II e, quanto aos dados sensíveis, art. 11, II, "a" e "d") —, e não o consentimento dos pais: o art. 14, §1º reserva esse consentimento ao tratamento de dados de crianças, e condicionar a denúncia de um adolescente à autorização de um responsável destruiria o anonimato que é a razão de ser do canal e poderia devolver o caso a quem o adolescente quer denunciar. O art. 14, §4º também é observado, e com folga: o canal não condiciona o registro do relato ao fornecimento de dado pessoal algum — não exige nenhum.

O Serviço não se destina a crianças (menores de 12 anos) e elas não são público de nenhum módulo. Verificando que dados de uma criança nos foram fornecidos fora das hipóteses do art. 14, §3º, comunicaremos o Cliente controlador e, salvo determinação em contrário dele ou da lei, esses dados serão eliminados. As informações desta política são redigidas para serem compreendidas também por quem tem essa idade; havendo dúvida, o canal da seção 15 responde.

14. Alterações desta política

Podemos atualizar esta Política de Privacidade periodicamente. A data de "Última atualização" no topo desta página indica a revisão vigente; ela não é digitada à mão, e sim gerada a partir da versão publicada junto com o próprio texto, de modo que não pode ficar defasada em relação ao que você está lendo.

Sobre aviso prévio, é preciso corrigir o que versões anteriores desta política prometiam. Não dispomos hoje de rotina que avise você, por e-mail ou dentro do Serviço, de uma alteração desta política, com 30 dias de antecedência ou com qualquer outro prazo. Não há registro de qual versão desta política cada pessoa leu, e a alteração passa a valer com a publicação. O que oferecemos, e que é verdadeiro: a data acima, a descrição em primeira pessoa do que mudou quando a mudança for relevante, e o canal da seção 15 para perguntar. Construída a rotina de aviso, esta seção passará a descrevê-la e a prometer o prazo — não antes.

15. Controlador e contato

O controlador dos dados pessoais de que trata esta política, nos tratamentos indicados na seção 2 como sendo de nossa titularidade, é Systera LTDA, inscrita no CNPJ sob o nº 54.216.998/0001-95, com sede na Rua Jacob Wellner, 112, Vista Alegre, Curitiba/PR, CEP 80810-350.

Nos tratamentos em que atuamos como operadora — canal de denúncias, avaliação psicossocial e pesquisa de clima organizacional —, o controlador é a organização que contratou o Serviço, e é a ela que os pedidos de titular devem ser dirigidos, conforme a seção 2.

Se tiver dúvidas sobre esta Política de Privacidade ou quiser exercer seus direitos como titular dos dados, entre em contato pela nossa página de contato. É por esse canal que recebemos os pedidos de titular, as reclamações em matéria de proteção de dados e as comunicações da ANPD, e é ele o canal de fácil acesso a que se refere o art. 17, §2º, VI da Resolução CD/ANPD nº 19/2024.

Encarregado pelo tratamento de dados pessoais

Esta seção diz o que é, e não o que seria conveniente. A Ethicos não tem, nesta data, encarregado pelo tratamento de dados pessoais indicado, e nada nesta política deve ser lido como se tivesse. O canal de contato indicado acima é o meio de comunicação com o titular e exerce as funções do art. 41, §2º, I — aceitar reclamações e comunicações, prestar esclarecimentos e adotar providências —, mas um canal não é um encarregado, e chamá-lo assim seria falso.

Também não invocamos a dispensa de indicação dos agentes de tratamento de pequeno porte, e a razão precisa ser registrada, porque ela é o próprio diagnóstico do serviço que prestamos. O art. 11 da Resolução CD/ANPD nº 2/2022 dispensa esses agentes de indicar encarregado, e o §1º permite substituí-lo por um canal de comunicação — mas o art. 3º, I do mesmo regulamento exclui do tratamento diferenciado o agente que realize tratamento de alto risco, assim considerado, pelo art. 4º, o que reúna ao menos um critério geral e um específico. Reunimos ambos, e não marginalmente: tratamento que pode afetar significativamente interesses e direitos fundamentais (art. 4º, I, "b", e §2º, que menciona expressamente discriminação e violação à imagem e à reputação) e utilização de dados pessoais sensíveis e de dados de adolescentes (art. 4º, II, "d"). Um canal de denúncias de assédio é o exemplo, não a exceção.

A conclusão que daí decorre é a que está escrita: o art. 41 da LGPD nos é integralmente aplicável, a indicação do encarregado é devida, e a identidade e o contato dele devem ser divulgados publicamente, de forma clara e objetiva (art. 41, §1º). Até que a indicação ocorra e seja publicada aqui, este é um ponto de não conformidade que preferimos declarar a disfarçar, e os pedidos, reclamações e comunicações da ANPD continuam sendo recebidos e respondidos pelo canal desta seção.