1. Apresentação
A presente Política de Privacidade tem por finalidade informar, com clareza e transparência, como o empresa MAND DIGITAL LTDA, detentora da plataforma ÉTICA SEGURA, sistema digital destinado ao recebimento, registro, tratamento, encaminhamento e acompanhamento de relatos, denúncias e manifestações correlatas, realiza o tratamento de dados pessoais no contexto da sua operação.
Esta Política aplica-se aos usuários do sistema, incluindo, sem limitação, denunciantes identificados, denunciantes anônimos, denunciados, testemunhas, terceiros mencionados nos relatos, representantes da empresa contratante, analistas, administradores autorizados e demais pessoas cujos dados pessoais possam ser tratados em razão do uso da plataforma.
O tratamento de dados pessoais realizado no âmbito desta plataforma observará a legislação vigente, em especial a Lei nº 13.709/2018 (LGPD), bem como os princípios da finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização.
2. Definições
Para os fins desta Política, aplicam-se as seguintes definições:
Dados pessoais: informações relacionadas a pessoa natural identificada ou identificável.
Dados pessoais sensíveis: dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dado genético ou biométrico, quando vinculados a uma pessoa natural.
Titular: pessoa natural a quem se referem os dados pessoais objeto de tratamento.
Tratamento: toda operação realizada com dados pessoais, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração.
Controlador: pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais.
Operador: pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do controlador.
Canal de denúncias: ambiente físico ou digital destinado ao recebimento de relatos sobre irregularidades, condutas inadequadas, descumprimentos normativos, fraudes, assédio, discriminação, conflitos éticos, violações legais ou internas e temas correlatos.
3. Papéis e responsabilidades no tratamento
No contexto da disponibilização do sistema em modelo SaaS ou semelhante, a definição dos papéis de proteção de dados dependerá da operação contratada:
3.1. Empresa contratante do canal
Em regra, a organização cliente que define as finalidades do canal, as categorias de relatos aceitos, os fluxos internos, os responsáveis pelo recebimento e investigação e as decisões sobre as providências decorrentes do relato atua como controladora dos dados pessoais tratados por meio da plataforma.
3.2. ÉTICA SEGURA
A empresa responsável pela tecnologia e hospedagem da solução atuará, em regra, como operadora, realizando o tratamento de dados em nome da controladora, nos limites das instruções contratuais, da lei e da necessidade técnica de operação, suporte, segurança, integridade, prevenção a fraudes e rastreabilidade.
3.3. Hipóteses específicas
Em atividades próprias e autônomas, como gestão comercial, faturamento, prevenção a fraudes da própria operação, suporte técnico, segurança da infraestrutura, logs e atendimento de obrigações legais próprias, a ÉTICA SEGURA poderá atuar como controladora em relação aos dados estritamente necessários a essas finalidades. A distinção entre controlador e operador decorre da LGPD e das orientações da ANPD.
4. Quais dados podem ser tratados
O sistema poderá tratar, conforme o caso concreto, as seguintes categorias de dados:
4.1. Dados fornecidos pelo manifestante
nome;
e-mail;
telefone;
vínculo com a organização;
área, unidade, setor ou localidade;
matrícula, código interno ou outro identificador funcional, quando aplicável;
dados constantes do texto do relato.
4.2. Dados relativos ao relato
descrição dos fatos;
data, horário e local aproximado da ocorrência;
identificação de pessoas envolvidas;
menção a testemunhas;
anexos, documentos, fotos, áudios, vídeos ou outros elementos de evidência.
4.3. Dados de navegação e segurança
endereço IP;
data e hora de acesso;
identificadores de sessão;
logs técnicos;
dados de dispositivo e navegador;
trilhas de auditoria de acesso e operação.
4.4. Dados de terceiros
O denunciante poderá mencionar dados de terceiros no relato. Nesses casos, o tratamento ocorrerá na medida em que tais dados sejam pertinentes, proporcionais e necessários à apuração dos fatos.
4.5. Dados sensíveis
Dependendo da natureza da denúncia, o sistema poderá tratar dados pessoais sensíveis, inclusive informações relacionadas à saúde, deficiência, vida sexual, filiação sindical, convicções, biometria, raça, religião ou outros elementos protegidos pela legislação. Nessas hipóteses, será observado regime reforçado de proteção, com limitação de acesso, necessidade estrita e salvaguardas compatíveis com o risco. A LGPD prevê disciplina específica para dados sensíveis e para o tratamento limitado à finalidade legítima e necessária.
5. Finalidades do tratamento
Os dados tratados no âmbito do sistema poderão ser utilizados para as seguintes finalidades:
I. receber, registrar, classificar, organizar e armazenar manifestações;
II. permitir o envio de denúncias identificadas ou anônimas, quando essa funcionalidade estiver habilitada;
III. viabilizar triagem, análise preliminar, investigação interna, auditoria, deliberação e encerramento de casos;
IV. permitir a comunicação com o manifestante, inclusive para solicitação de complementação ou fornecimento de protocolo de acompanhamento;
V. preservar evidências e assegurar rastreabilidade do caso;
VI. cumprir obrigações legais, regulatórias, contratuais ou ordens emanadas de autoridade competente;
VII. exercer direitos em processo judicial, administrativo, arbitral ou disciplinar;
VIII. prevenir fraudes, incidentes de segurança, acessos indevidos e manipulações indevidas da plataforma;
IX. gerar relatórios gerenciais, estatísticos e indicadores, preferencialmente de forma agregada ou anonimizada, sempre que possível;
X. melhorar a segurança, a estabilidade, a auditabilidade e a governança do sistema.
6. Bases legais aplicáveis
O tratamento de dados pessoais no contexto do canal de denúncias poderá se amparar, conforme a natureza da operação, em uma ou mais das seguintes bases legais previstas na LGPD:
cumprimento de obrigação legal ou regulatória;
execução de contrato ou de procedimentos preliminares relacionados a contrato;
exercício regular de direitos em processo judicial, administrativo ou arbitral;
proteção da vida ou da incolumidade física do titular ou de terceiro;
tutela da saúde, quando cabível e nos limites legais;
interesse legítimo do controlador ou de terceiro, observados os direitos e liberdades fundamentais do titular;
prevenção à fraude e à segurança do titular, em processos de autenticação e segurança;
consentimento, quando efetivamente necessário e juridicamente adequado.
No caso de dados pessoais sensíveis, o tratamento observará as hipóteses legais específicas da LGPD. Os direitos dos titulares e as bases legais decorrem diretamente da legislação e das orientações da ANPD.
7. Denúncias anônimas
Quando a empresa contratante optar por permitir denúncias anônimas, o sistema buscará preservar essa condição por meio de recursos técnicos e organizacionais compatíveis com a solução contratada.
A anonimidade, contudo, não constitui garantia absoluta em hipóteses excepcionais, especialmente se o próprio conteúdo do relato, os anexos, o padrão narrativo ou a conduta do usuário permitirem inferência indireta da autoria, ou ainda em caso de ordem legal válida, investigação de fraude, uso abusivo da plataforma ou limitação técnica inevitável.
Nos casos de canal anônimo, recomenda-se ao usuário que evite inserir no texto do relato elementos que o identifiquem desnecessariamente.
8. Compartilhamento de dados
Os dados poderão ser compartilhados, no limite do necessário, com:
I. pessoas autorizadas da empresa contratante responsáveis por ética, compliance, jurídico, auditoria, recursos humanos, controles internos, investigação, ou comitês específicos;
II. prestadores de serviços essenciais à hospedagem, segurança, armazenamento, suporte técnico e manutenção da plataforma;
III. consultores externos, auditores, escritórios de advocacia ou especialistas contratados para análise técnica do caso;
IV. autoridades administrativas, judiciais, policiais, regulatórias ou órgãos de controle, quando houver obrigação legal, requisição válida ou necessidade de exercício regular de direitos;
V. empresas do mesmo grupo econômico da controladora, quando necessário para gestão do caso e desde que respeitada a finalidade.
O compartilhamento observará critérios de necessidade, confidencialidade, rastreabilidade e minimização de dados.
9. Transferência internacional de dados
Caso a infraestrutura tecnológica, o provedor de hospedagem, o sistema de backup, o serviço de e-mail transacional, o serviço antifraude ou outro fornecedor relevante realize tratamento fora do território nacional, a transferência internacional será efetuada em conformidade com a LGPD e com as orientações da ANPD, mediante mecanismos jurídicos e contratuais adequados. A ANPD dispõe sobre direitos, proteção do titular e mecanismos de governança relacionados ao tratamento e à supervisão regulatória.
10. Retenção e descarte
Os dados pessoais tratados por meio do canal serão armazenados pelo período necessário para:
atendimento da finalidade do relato;
condução de apuração, investigação, auditoria ou processo correlato;
cumprimento de obrigação legal, regulatória ou contratual;
preservação de evidências;
exercício regular de direitos.
Encerrada a necessidade, os dados serão eliminados, anonimizados ou mantidos de forma bloqueada, conforme a base legal aplicável e a necessidade de conservação.
Os registros de acesso e logs poderão ser mantidos na forma e pelo prazo compatíveis com a legislação aplicável, a segurança da plataforma e a rastreabilidade exigida para auditoria e prevenção a incidentes. O Marco Civil da Internet disciplina guarda e disponibilização de registros em ambiente digital.
11. Direitos dos titulares
Nos termos da LGPD, o titular poderá exercer, quando aplicável e observadas as limitações legais do caso concreto, direitos como:
confirmação da existência de tratamento;
acesso aos dados;
correção de dados incompletos, inexatos ou desatualizados;
anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
portabilidade, quando cabível;
informação sobre compartilhamentos;
informação sobre consentimento, quando essa base legal for utilizada;
revogação do consentimento, quando aplicável;
oposição a tratamento irregular;
revisão de decisões automatizadas, quando cabível.
Em contexto de investigação, sigilo, preservação de direitos de terceiros, prevenção à fraude, segredo empresarial, proteção do processo apuratório e obrigações legais poderão justificar restrições parciais ou postergação de atendimento, sempre dentro dos limites legais. A LGPD e a ANPD reconhecem os direitos do titular, mas o seu exercício depende do contexto jurídico do tratamento.
12. Segurança da informação
A plataforma adota medidas técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados, destruição, perda, alteração, comunicação indevida ou qualquer forma de tratamento inadequado ou ilícito.
Entre as medidas que poderão ser adotadas, conforme a arquitetura do sistema, incluem-se:
controle de acesso por perfil;
autenticação;
trilhas de auditoria;
segregação de ambientes;
criptografia em trânsito e, quando aplicável, em repouso;
rotinas de backup;
monitoramento de eventos;
gestão de vulnerabilidades;
políticas de confidencialidade;
restrição de acesso a casos por necessidade funcional.
13. Cookies e tecnologias correlatas
A plataforma poderá utilizar cookies e tecnologias equivalentes estritamente necessários ao funcionamento, à segurança, à autenticação, ao balanceamento de carga, à manutenção de sessão e à melhoria controlada da experiência do usuário.
Cookies não essenciais, quando existentes, deverão observar base legal adequada e configuração transparente.
14. Menores de idade
O sistema não é destinado ao uso infantil. Caso haja tratamento de dados de adolescentes ou outras hipóteses sensíveis, este ocorrerá nos limites legais e conforme a natureza da denúncia.
15. Incidentes de segurança
Na hipótese de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, serão adotadas as medidas cabíveis de contenção, apuração, registro e comunicação, inclusive à autoridade competente e aos titulares quando exigido pela legislação aplicável. A ANPD mantém canal e orientação específica para comunicação de incidentes relevantes.
16. Encarregado e canal de contato
As solicitações relativas a privacidade e proteção de dados poderão ser encaminhadas para:
Operadora tecnológica: MAND DIGITAL LTDA / [email protected]
17. Atualizações
Esta Política poderá ser alterada a qualquer tempo para refletir mudanças legislativas, regulatórias, contratuais, técnicas ou operacionais. A versão vigente será sempre aquela disponibilizada na plataforma.
