POLÍTICA DE PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS

PLATAFORMA MEUCPTO

Versão 1.0 — 01/10/2026

1. INTRODUÇÃO E ESCOPO

1.1. Esta Política de Privacidade e Proteção de Dados Pessoais ("Política") descreve de forma clara e objetiva como o MeuCPTO — plataforma de segurança comportamental com inteligência artificial, composta pelo aplicativo MeuCPTO (disponível para Android e iOS), pelo painel web de gestão e pelo site institucional (conjuntamente, a "Plataforma") — realiza a coleta, o uso, o armazenamento, o compartilhamento, a segurança e a eliminação de dados pessoais.

1.2. O tratamento de dados pessoais descrito nesta Política observa a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — "LGPD"), o Marco Civil da Internet (Lei nº 12.965/2014) e as demais normas aplicáveis, bem como os princípios de privacidade desde a concepção (privacy by design) e as diretrizes de segurança OWASP.

1.3. Esta Política aplica-se a: (i) visitantes do site institucional; (ii) pessoas que preenchem formulários do site (agendamento de demonstração, recebimento de materiais e conteúdos); (iii) Usuários da Plataforma — observadores, gestores e administradores autorizados pelos Clientes; e (iv) representantes legais e contatos comerciais de Clientes, parceiros e fornecedores.

1.4. Esta Política integra os Termos de Uso da Plataforma e deve ser lida em conjunto com eles. Ao acessar ou utilizar a Plataforma, o titular declara ter lido e compreendido as condições aqui descritas.

2. DO CONTROLADOR E DO ENCARREGADO (DPO)

2.1. Controlador. A Plataforma é operada por Comportamento – Consultoria em Recursos Humanos Ltda., pessoa jurídica de direito privado, inscrita no CNPJ sob o nº 02.164.107/0001-09, com sede em R. Dr. Faivre, 750 – Centro – Curitiba – PR ("MeuCPTO").

2.2. Canal oficial de contato do controlador: contato@meucpto.com.br.

2.3. Encarregado de Proteção de Dados (DPO). O tratamento de dados pessoais conta com Encarregado (DPO) nomeado nos termos dos arts. 41 e 48, § 1º, da LGPD, responsável por atuar como canal de comunicação entre o controlador, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD):

Nome: Mauricio Bertoldi;
E-mail: mauricio@wa.adv.br;

2.4. Papéis no tratamento. Em relação ao site institucional e aos formulários de contato, o MeuCPTO atua como CONTROLADOR dos dados pessoais. Em relação ao ambiente da Plataforma contratada, o Cliente (empresa contratante) atua como CONTROLADOR dos dados pessoais tratados — inclusive dos Observadores e das pessoas envolvidas em suas operações —, cabendo a ele definir as finalidades, verificar e documentar as bases legais e informar os titulares. Nessas hipóteses, o MeuCPTO atua como OPERADOR, tratando os dados conforme as instruções do Cliente, os Termos de Uso e a legislação aplicável.

3. DEFINIÇÕES

Para os fins desta Política, considera-se:

a) "Cliente": empresa contratante da Plataforma;
b) "Usuário": pessoa física autorizada pelo Cliente a operar a Plataforma, incluindo observadores, gestores e administradores;
c) "Observador": Usuário que registra observações no aplicativo;
d) "OAC (Observação e Abordagem Comportamental)": prática de observação e registro de comportamentos seguros e de risco no ambiente de trabalho;
e) "Relato": texto livre produzido pelo Observador descrevendo, com as próprias palavras, o que presenciou;
f) "ICS (Índice de Comportamento Seguro)": indicador de 0 a 100 calculado pelo algoritmo da Plataforma a partir das observações;
g) "Ativadores": fatores que explicam por que pessoas agem de forma insegura mesmo conhecendo o risco, organizados em cinco categorias (social, cognitiva, psicológica, fisiológica e organizacional);
h) "IA": recursos de inteligência artificial da Plataforma destinados à análise de relatos, à identificação de comportamentos e ativadores, ao cálculo do ICS e da confiabilidade dos dados e à sugestão de planos de ação;
i) "Conteúdos": dados, relatos, observações, textos, imagens e demais informações inseridas na Plataforma pelo Cliente e pelos Usuários;
j) "Titular": pessoa física a quem se referem os dados pessoais objeto de tratamento;
k) "Cookies": pequenos arquivos armazenados no dispositivo do usuário, utilizados para funcionamento, medição e personalização de experiências digitais.

4. DADOS PESSOAIS COLETADOS

4.1. Site institucional e formulários. O MeuCPTO, na condição de controlador, coleta: (i) dados de identificação e contato informados voluntariamente em formulários (nome, e-mail, empresa, cargo, telefone e conteúdo da mensagem); (ii) dados de navegação (endereço IP, tipo de dispositivo, navegador, sistema operacional, páginas visitadas e tempo de permanência), coletados por meio de cookies e registros de acesso.

4.2. Ambiente da Plataforma. No ambiente contratado pelo Cliente, o MeuCPTO, na condição de operador, trata: (i) nome e e-mail profissional dos Usuários, utilizados exclusivamente para identificação, autenticação de acesso, atribuição de observações e comunicações operacionais do serviço; (ii) credenciais de acesso; (iii) registros técnicos e de auditoria (data e hora de acessos e sincronizações); e (iv) os Conteúdos inseridos pelo Cliente e pelos Usuários (relatos de observações, textos e imagens), que não identificam pessoas por si mesmos, salvo se o Cliente inserir dados pessoais em seu conteúdo.

4.3. Dados de pessoas observadas. A Plataforma NÃO coleta, NÃO armazena e NÃO identifica dados pessoais das pessoas observadas em campo. Caso o Cliente insira dados pessoais no conteúdo dos relatos, aplicam-se as responsabilidades do Cliente, na condição de controlador, previstas nos Termos de Uso.

4.4. Dados sensíveis. A Plataforma não solicita e não destina campos para coleta de dados pessoais sensíveis (origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, dados biométricos ou genéticos). O Cliente deve orientar seus Usuários a não inserir dados dessa natureza nos relatos, salvo obrigação legal aplicável à sua operação, hipótese em que assumirá o papel de controlador e as respectivas obrigações.

5. BASES LEGAIS PARA O TRATAMENTO

5.1. Os dados pessoais são tratados com fundamento nas hipóteses legais do art. 7º da LGPD, conforme o contexto:

a) Consentimento: envio de conteúdos, materiais e comunicações de marketing; utilização de cookies não essenciais, quando aplicável;
b) Execução de contrato: criação e gestão de contas de Usuários, prestação do serviço contratado, cálculo de indicadores, geração de relatórios, suporte e comunicações operacionais;
c) Legítimo interesse: segurança da informação, prevenção a fraudes e acessos não autorizados, melhoria da Plataforma, proteção de direitos e defesa em processos judiciais ou administrativos;
d) Cumprimento de obrigação legal ou regulatória: conservação de registros de acesso e atendimento a autoridades competentes;
e) Exercício regular de direitos: defesa de direitos do MeuCPTO e dos Clientes em processos judiciais, administrativos ou arbitrais.

5.2. No papel de operador, o MeuCPTO trata os dados pessoais do ambiente da Plataforma com base nas instruções do controlador Cliente, que responde pela validade da base legal correspondente.

6. FINALIDADES DO TRATAMENTO

6.1. Os dados pessoais coletados são tratados exclusivamente para as seguintes finalidades:

a) identificação, autenticação e gestão de acessos à Plataforma;
b) registro, classificação e análise de observações e relatos de abordagens comportamentais;
c) cálculo do ICS e da confiabilidade dos dados, por observação, por célula (área, unidade) e pela operação;
d) geração de relatórios, avisos e alertas configurados pelo Cliente, inclusive com exportação para Excel;
e) sugestão de planos de ação pela IA, sujeitos a revisão humana;
f) resposta a contatos, agendamento de demonstrações e envio de materiais e conteúdos solicitados;
g) prestação de suporte técnico e atendimento a solicitações;
h) segurança da informação, prevenção a fraudes e bloqueio de acessos suspeitos;
i) cumprimento de obrigações legais e regulatórias e exercício regular de direitos;
j) aprimoramento da Plataforma, geração de bases estatísticas e treinamento da IA, mediante anonimização dos dados, quando aplicável.

6.2. Os dados não serão tratados para finalidades distintas das descritas nesta Política, salvo mediante nova base legal ou consentimento do titular.

7. COOKIES E TECNOLOGIAS SIMILARES

7.1. O site institucional utiliza cookies e tecnologias similares para as seguintes categorias:

a) Essenciais: necessários ao funcionamento do site (segurança, sessão, preferências básicas) e dispensáveis de consentimento;
b) Analíticos e de desempenho: coletam informações sobre a forma de uso do site (páginas visitadas, tempo de permanência, origem do acesso) para a melhoria da experiência;
c) Funcionalidades e marketing: associados a incorporações de conteúdo de terceiros (vídeos, redes sociais) e a campanhas de comunicação, quando utilizados.

7.2. O titular pode gerenciar ou desativar cookies nas configurações de seu navegador. A desativação de cookies essenciais pode afetar o funcionamento do site.

7.3. O uso continuado do site após a configuração dos cookies no navegador representa a ciência do titular quanto às práticas descritas nesta seção.

8. COMPARTILHAMENTO DE DADOS PESSOAIS

8.1. Os dados pessoais não são vendidos, alugados nem cedidos a terceiros para finalidades próprias.

8.2. O compartilhamento ocorre apenas nas seguintes hipóteses:

a) Provedores de infraestrutura de hospedagem: a Plataforma é hospedada na Hostgator, que disponibiliza a infraestrutura de servidores e os recursos de segurança descritos na seção 10; o site institucional é hospedado na Hostinger; e os serviços de análise por IA são executados em servidor da KingHost;
b) Prestadores de serviços: fornecedores de e-mail, suporte, ferramentas tecnológicas e serviços de IA (por exemplo, os provedores dos modelos de linguagem e da transcrição de áudio utilizados nas análises de IA, atualmente Anthropic e OpenAI, o serviço de envio de e-mails Brevo e a ferramenta de relacionamento e marketing RD Station), contratados sob obrigações contratuais equivalentes de proteção de dados;
c) Empresas do mesmo grupo econômico ou do ecossistema de parcerias (CuidaTech), quando necessário à prestação do serviço ou ao cumprimento de obrigações contratuais;
d) Autoridades públicas: nos casos previstos em lei ou determinação legal, judicial ou regulatória;
e) Operações societárias: em hipótese de fusão, aquisição ou reorganização, resguardado o sigilo e comunicada a mudança de controlador.

8.3. No ambiente da Plataforma, os Conteúdos inseridos pelo Cliente pertencem a este e não são compartilhados com outros Clientes, permanecendo em banco de dados exclusivo da operação do Cliente.

9. TRANSFERÊNCIA INTERNACIONAL DE DADOS

9.1. Os provedores de hospedagem (Hostgator, da Plataforma, e Hostinger, do site institucional) podem operar data centers no exterior. Além disso, os provedores de inteligência artificial (Anthropic, para a análise dos textos dos relatos, e OpenAI, para a transcrição de relatos gravados em áudio) tratam essas informações nos Estados Unidos, e o serviço de envio de e-mails (Brevo) trata os endereços de e-mail na União Europeia. Essas situações podem caracterizar transferência internacional de dados, nos termos do art. 33 da LGPD.

9.2. Eventuais transferências internacionais observarão as hipóteses legais admitidas, com garantias contratuais adequadas, incluindo, quando aplicável, as cláusulas-padrão contratuais aprovadas pela ANPD e a verificação do país de destino.

10. SEGURANÇA DA INFORMAÇÃO

10.1. O MeuCPTO adota medidas técnicas e administrativas razoáveis e adequadas à proteção dos dados pessoais contra acessos não autorizados e contra situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, nos termos do art. 46 da LGPD.

10.2. Mecanismos de segurança da infraestrutura de hospedagem (Hostgator). A hospedagem da Plataforma conta com os seguintes recursos disponibilizados pelo provedor:

a) Certificado SSL/TLS (HTTPS): criptografia dos dados em trânsito entre o dispositivo do usuário e os servidores, garantindo confidencialidade e integridade das comunicações;
b) Firewall e regras de segurança personalizadas, com o módulo ModSecurity (WAF — Web Application Firewall), para filtragem de tráfego malicioso e proteção contra exploração de vulnerabilidades;
c) Proteção contra ataques DDoS, mitigando tentativas de sobrecarga e indisponibilidade;
d) Monitoramento de rede contínuo (24 horas por dia, 7 dias por semana), com detecção de anomalias e resposta a incidentes;
e) Recursos de backup e de proteção contra malware, que contribuem para a disponibilidade e a recuperação de informações;
f) Data center em ambiente fisicamente controlado, com acesso restrito e área protegida.

10.3. Medidas de segurança da Plataforma. Adicionalmente, o MeuCPTO adota:

a) Autenticação por credenciais individuais, pessoais e intransferíveis, com vedação ao compartilhamento entre Usuários;
b) Controle de acesso baseado em perfis e permissões (observadores, gestores e administradores), definidos pelo Cliente;
c) Bloqueio preventivo de acessos considerados suspeitos;
d) Armazenamento das informações em banco de dados exclusivo da operação de cada Cliente;
e) Diretrizes de desenvolvimento seguro baseadas nas recomendações OWASP e aplicação de privacidade desde a concepção (privacy by design);
f) Restrição do acesso da IA a ambientes controlados: para realizar as análises, a IA do MeuCPTO utiliza modelos de linguagem de provedor especializado, contratado por meio de interface de programação (API), ao qual são enviados somente o texto do relato e as referências da metodologia necessárias à análise, sem nome, e-mail ou outros dados de identificação dos Usuários; quando o Observador opta por gravar o relato em áudio, a gravação é enviada a provedor especializado de transcrição, que a converte em texto, e não é armazenada pela Plataforma após a transcrição; os provedores tratam essas informações apenas para devolver a transcrição e a análise, conforme condições contratuais que vedam o seu uso para treinamento de modelos; e os resultados são armazenados de forma segura, em ambiente restrito, na base de dados exclusiva da operação do Cliente, sem compartilhamento com outros Clientes;
g) Registros técnicos e de auditoria para rastreabilidade de acessos e operações.

10.4. Incidentes de segurança. Em caso de incidente relevante que possa acarretar risco relevante e dano aos titulares, o MeuCPTO comunicará o Cliente e, quando cabível, a ANPD e os titulares, nos termos do art. 48 da LGPD e da regulamentação aplicável, indicando as medidas de mitigação adotadas.

10.5. Nenhum sistema é absolutamente seguro. O titular contribui para a segurança mantendo suas credenciais em sigilo e notificando imediatamente o MeuCPTO em caso de uso não autorizado de sua conta.

10.6. Backups. A Plataforma utiliza sistema de backups contratado junto à empresa Acronis, provedora internacional reconhecida em soluções de ciberproteção, backup em nuvem e recuperação de desastres. As rotinas de backup são executadas duas vezes ao dia, com armazenamento em ambiente de nuvem gerenciado pela Acronis, e destinam-se à segurança, à proteção e à recuperação de dados em caso de incidentes, falhas de infraestrutura, perdas acidentais ou situações de indisponibilidade. Os backups integram o conjunto de medidas técnicas e administrativas adotadas para a proteção dos dados pessoais, nos termos do art. 46 da LGPD, contribuindo para a integridade, a disponibilidade e a continuidade operacional da Plataforma. Os dados mantidos em backup observam as mesmas garantias de confidencialidade e de proteção aplicáveis ao ambiente de produção, sendo eliminados ou anonimizados conforme os critérios e prazos estabelecidos na seção 11 desta Política.

11. ARMAZENAMENTO, RETENÇÃO E ELIMINAÇÃO

11.1. Os dados pessoais são armazenados em ambiente controlado e tratados pelo prazo necessário ao cumprimento das finalidades descritas nesta Política, observados os seguintes critérios:

a) Dados de formulários do site: pelo tempo necessário ao atendimento da solicitação e, quando houver consentimento para comunicações, até a sua revogação;
b) Registros de acesso (logs): conservados por, no mínimo, 6 (seis) meses, nos termos do art. 15 do Marco Civil da Internet;
c) Dados do ambiente da Plataforma: tratados durante a vigência do contrato de licença de uso;
d) Encerrado o contrato: os dados serão disponibilizados para exportação pelo Cliente pelo prazo acordado e, após esse período, eliminados de forma segura, ressalvado o dever legal de conservação;
e) Dados anonimizados: a Plataforma poderá anonimizar os dados coletados e utilizá-los para bases estatísticas, melhorias da própria Plataforma e treinamento da IA, sem possibilidade de vinculação ao titular.

11.2. A eliminação será realizada por meios que assegurem a impossibilidade de restauração dos dados, salvo hipóteses de conservação legal ou de dados anonimizados.

12. DIREITOS DOS TITULARES

12.1. Nos termos do art. 18 da LGPD, o titular de dados pessoais tem direito a solicitar ao controlador:

a) a confirmação da existência de tratamento;
b) o acesso aos dados;
c) a correção de dados incompletos, inexatos ou desatualizados;
d) a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
e) a portabilidade dos dados a outro fornecedor de serviço ou produto, observados os segredos comercial e industrial;
f) a eliminação dos dados tratados com base no consentimento;
g) a informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;
h) a informação sobre a possibilidade de não fornecer o consentimento e sobre as consequências da negativa;
i) a revogação do consentimento.

12.2. Como exercer os direitos. As solicitações relativas aos dados tratados diretamente pelo MeuCPTO (site, formulários e comunicações) devem ser encaminhadas ao canal contato@meucpto.com.br ou ao Encarregado (DPO), que responderá em prazo compatível com a regulamentação da ANPD, incluindo o prazo de até 15 (quinze) dias para solicitações de acesso, quando aplicável.

12.3. Titulares de dados tratados no ambiente da Plataforma (por exemplo, Observadores de Clientes) devem dirigir suas solicitações diretamente ao Cliente, na condição de controlador, que contará com o apoio do MeuCPTO, na condição de operador, para atendê-las no prazo legal.

12.4. O atendimento às solicitações poderá ser condicionado à verificação da identidade do requerente, para proteção dos próprios titulares.

13. DECISÕES AUTOMATIZADAS E USO DE INTELIGÊNCIA ARTIFICIAL

13.1. A IA do MeuCPTO analisa os relatos com as próprias palavras dos Observadores, identifica comportamentos de risco e ativadores, calcula o ICS e a confiabilidade dos dados e sugere planos de ação, sempre acompanhados da evidência correspondente no relato. Quando o relato é gravado em áudio, a fala é primeiro convertida em texto, que o Observador revisa antes da análise.

13.2. Nenhuma decisão que produza efeitos sobre trabalhadores — inclusive de natureza disciplinar, discriminatória ou restritiva de direitos — será tomada de forma exclusivamente automatizada, nos termos do art. 20 da LGPD. A revisão humana integra o método, e a decisão final sobre medidas de prevenção cabe exclusivamente ao Cliente.

13.3. O titular que se sentir afetado por decisão baseada em tratamento automatizado poderá solicitar a revisão dessa decisão e informações sobre os critérios e procedimentos utilizados, por meio dos canais de contato indicados nesta Política.

13.4. Os resultados gerados pela IA constituem apoio à gestão e à tomada de decisão, não constituindo parecer técnico, laudo, atestado, certificação ou garantia de resultado.

14. COMUNICAÇÕES E MARKETING

14.1. O envio de conteúdos, materiais e comunicações de marketing depende do consentimento do titular, que poderá revogá-lo a qualquer momento, sem ônus, por meio dos canais de contato indicados nesta Política ou do mecanismo de descadastro disponível nas próprias comunicações.

14.2. As comunicações operacionais do serviço (avisos, alertas, notificações do aplicativo e do painel) não dependem de consentimento, por serem necessárias à execução do contrato.

15. ALTERAÇÕES DESTA POLÍTICA

15.1. Esta Política poderá ser alterada a qualquer tempo, por motivo técnico, legal ou comercial, mediante publicação da versão atualizada nesta página, com indicação da data da última atualização.

15.2. As alterações relevantes serão comunicadas pelos canais usuais, com antecedência razoável quando aplicável. O uso continuado da Plataforma após a publicação implica a aceitação da versão vigente.

16. CONTATO

16.1. Canais oficiais para assuntos relacionados a esta Política:

MeuCPTO (controlador — site e comunicações): contato@meucpto.com.br;
Encarregado de Proteção de Dados (DPO): Mauricio Bertoldi — mauricio@wa.adv.br;
Titulares de dados tratados no ambiente da Plataforma: canal de contato do Cliente contratante.

17. DISPOSIÇÕES FINAIS

17.1. Esta Política é regida pelas leis brasileiras, em especial a LGPD (Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014) e o Código de Defesa do Consumidor, quando aplicável.

17.2. A declaração de nulidade de qualquer disposição não prejudica a validade das demais. A tolerância quanto ao descumprimento de qualquer cláusula não implica renúncia de direitos.

17.3. Esta Política, os Termos de Uso e o contrato de licença de uso formam o conjunto das condições de uso da Plataforma.

Última atualização: 01/10/2026

MeuCPTO — contato@meucpto.com.br — DPO: mauricio@wa.adv.br