Política de Privacidade

1 Quem é o controlador

O controlador dos dados pessoais descritos nesta política, isto é, quem decide por que e como eles são usados, é a empresa abaixo. Onde este texto diz “nós” ou “Gestia”, é ela.

2 Lei aplicável

Tratamos dados pessoais de acordo com a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018). Este site e nossos serviços são voltados a empresas e às pessoas que trabalham nelas.

3 Encarregado (DPO)

Nosso encarregado pelo tratamento de dados pessoais, previsto no art. 41 da LGPD, é o canal para qualquer dúvida, pedido ou reclamação sobre seus dados. Ele também é o ponto de contato com a ANPD.

4 Os dados que coletamos

Coletamos só o que precisamos. Não existe coleta escondida neste site.

Não coletamos dados pessoais sensíveis (como saúde, biometria ou opinião política) nem dados de cartão de pagamento neste site.

5 Finalidades e bases legais

A LGPD exige que todo uso de dados pessoais tenha uma finalidade específica e uma base legal do art. 7º. Estas são as nossas, completas.

A caixa de comunicações é opcional e vem desmarcada. Você recebe o relatório de qualquer jeito. Você pode retirar o consentimento a qualquer momento, sem que isso afete o que foi feito antes.

Onde usamos o legítimo interesse, avaliamos o equilíbrio entre o nosso interesse e os seus direitos, e mantemos essa avaliação sob revisão. Você pode se opor a esse uso a qualquer momento (veja seus direitos) e pode nos pedir o resumo da avaliação.

Não vendemos seus dados pessoais e nunca venderemos. Também não os compartilhamos com redes de publicidade nem com corretores de dados.

6 Análise automatizada

O relatório do diagnóstico é produzido e enviado automaticamente. Suas respostas são pontuadas nas áreas de maturidade que medimos e um modelo de IA escreve a análise do relatório a partir delas. Ninguém da Gestia revisa o relatório antes de ele chegar a você.

O modelo de IA recebe suas respostas às perguntas do diagnóstico, inclusive as duas escritas, e o porte e o setor da empresa. Ele não recebe seu nome, seu e-mail, o nome da empresa, o estado, seu cargo, seu telefone nem o prazo em que você pretende agir. Isso é verificado por testes automatizados no nosso sistema.

O relatório é uma orientação para você ler, não uma decisão sobre você. Não tomamos, de forma exclusivamente automatizada, decisões que gerem efeitos jurídicos ou que afetem você de modo semelhante. Nos termos do art. 20 da LGPD, você pode pedir a revisão do tratamento automatizado e informações sobre os critérios usados. Se quiser que uma pessoa da Gestia olhe suas respostas e o relatório gerado, é só pedir, sem custo.

7 Cookies e registros de acesso

Não usamos Google Analytics, pixels de publicidade, rastreadores de redes sociais, gravação de sessão, mapas de calor nem qualquer análise de terceiros. Não guardamos nada no armazenamento local ou de sessão do seu navegador. Nenhum script de terceiros roda nas nossas páginas.

O que existe são os registros de acesso do servidor, descritos na seção 4 e com prazo na seção 10. Se um dia introduzirmos análise de audiência ou qualquer cookie não essencial, pediremos seu consentimento antes de ele ser ativado e atualizaremos esta política primeiro.

8 Operadores e compartilhamento

A lista de empresas que tocam nos seus dados é curta de propósito. Cada uma atua como operadora, seguindo nossas instruções, e nenhuma pode usar seus dados para fins próprios.

Podemos também revelar dados pessoais quando a lei exigir, por ordem de autoridade competente, ou para exercer ou defender direitos em processos. Se a Gestia for vendida ou reorganizada, seus dados podem ser transferidos junto, e esta política continua valendo até você ser avisado do contrário.

9 Onde ficam os dados e transferência internacional

Quando você envia um formulário, suas respostas seguem, por conexão criptografada, pela rede da Cloudflare até o nosso servidor, no Brasil, onde ficam armazenadas. Para produzir e entregar o relatório e para falar com você, cópias de parte desses dados vão para os operadores da seção 8, vários deles nos Estados Unidos. Também guardamos uma cópia de segurança criptografada dos nossos bancos de dados no Cloudflare R2, nos Estados Unidos, criptografada no nosso servidor antes de sair dele e sem que a Cloudflare tenha a chave. Isso é uma transferência internacional de dados pessoais, regulada pelo art. 33 da LGPD.

As transferências são feitas com base em uma das hipóteses do art. 33: quando necessária à execução de procedimentos preliminares relacionados a contrato a pedido do titular (art. 33, IX, combinado com o art. 7º, V), como no envio do relatório que você pediu, e mediante cláusulas contratuais padrão ou outras garantias reconhecidas pela regulamentação da ANPD, incluindo a Resolução CD/ANPD nº 19/2024, nos demais casos.

Você pode nos pedir a qualquer momento informações sobre as garantias que se aplicam aos seus dados.

10 Por quanto tempo guardamos (retenção)

Não guardamos dados pessoais para sempre. Quando o prazo acaba, apagamos os dados ou os anonimizamos de forma irreversível.

Fazemos uma cópia de segurança (backup) diária dos nossos bancos de dados (diagnósticos, contatos e consentimentos). Ela fica guardada no nosso servidor, no Brasil, com acesso restrito, por 30 dias. Uma cópia criptografada dela, criptografada no nosso servidor antes de sair dele e com a chave apenas com a Gestia, fica armazenada no Cloudflare R2, nos Estados Unidos, e é apagada automaticamente após 30 dias, período em que fica protegida contra exclusão ou alteração. Assim, quando apagamos seus dados, seja no fim do prazo ou a seu pedido, eles também somem de todos os backups em até 30 dias.

Você pode pedir a eliminação antes do prazo. Veja a próxima seção.

11 Direitos do titular

O art. 18 da LGPD garante direitos reais e exigíveis sobre seus dados. Exercê-los é gratuito e nunca trataremos você de modo diferente por isso. Para usar qualquer um deles, escreva para [email protected]. Você pode:

• Confirmar que tratamos dados seus;
• Acessar os dados que temos sobre você;
• Corrigir dados incompletos, inexatos ou desatualizados;
• Pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• Pedir a portabilidade dos dados a outro fornecedor, nos termos da regulamentação da ANPD;
• Pedir a eliminação dos dados tratados com base no seu consentimento;
• Saber com quem compartilhamos seus dados: a resposta está na seção 8;
• Saber as consequências de não consentir: nenhuma para o relatório, que você recebe com ou sem a caixa marcada;
• Retirar o consentimento a qualquer momento;
• Opor-se ao tratamento feito com base em legítimo interesse. Se você se opuser ao contato comercial, paramos de imediato;
• Pedir a revisão de tratamento automatizado (art. 20), como descrito na seção 6.

Respondemos em até 15 dias, prazo do art. 19 da LGPD. Podemos precisar confirmar quem você é antes de agir, para que ninguém obtenha seus dados se passando por você.

12 Reclamações e a ANPD

Venha primeiro a nós, em [email protected]: a maioria dos problemas se resolve mais rápido direto. Mas você pode reclamar à autoridade a qualquer momento, sem precisar da nossa permissão ou participação.

13 Segurança

Protegemos seus dados com medidas adequadas ao nosso porte e à sensibilidade do que guardamos:

• tudo o que você envia por este site trafega por conexão criptografada (HTTPS/TLS);
• o acesso aos dados enviados é limitado a quem precisa deles para trabalhar;
• os formulários têm proteção contra spam e limite de envios, que descartam envios automatizados;
• as cópias de segurança ficam em diretório de acesso restrito no nosso servidor e são apagadas após 30 dias; a cópia enviada ao Cloudflare R2 é criptografada por nós antes de sair do servidor, só nós temos a chave, e ela é apagada automaticamente após 30 dias;
• mantemos o número de sistemas que guardam seus dados deliberadamente pequeno, porque a menor superfície de ataque é a que não existe.

Nenhum sistema é perfeitamente seguro. Se um incidente de segurança puder acarretar risco ou dano relevante a você, avisaremos você e a ANPD, como a lei exige.

14 Crianças e adolescentes

Este site é voltado a empresas e profissionais. Não é dirigido a crianças e adolescentes e não coletamos conscientemente dados de menores de 18 anos. Se você acha que um menor nos enviou dados, escreva para o encarregado e apagaremos.

15 Histórico de versões

Quando mudamos esta política, atualizamos o número da versão e a data. Se a mudança afetar de modo relevante seus direitos ou o modo como usamos seus dados, avisamos você diretamente antes de ela valer, quando tivermos como falar com você.