Política de Privacidade

Política de Privacidade da Plataforma ComplyBR

> Controlador dos dados: ComplyBR · CNPJ 68.736.377/0001-47 > Encarregado (DPO): Encarregado de Proteção de Dados · contato@complybr.com > Última atualização: 08 de setembro de 2026

Esta Política explica como tratamos dados pessoais no âmbito da plataforma ComplyBR, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — "LGPD").

1. Quais dados tratamos

Conta e acesso

• Nome, e-mail e papel (proprietário, gestor ou colaborador);
• CPF do colaborador, quando o cadastro é feito pelo gestor da empresa (inclusive em contas gerenciadas sem e-mail pessoal);
• Credenciais de autenticação, gerenciadas pelo provedor Supabase Auth (senhas armazenadas exclusivamente de forma criptografada e irreversível pelo provedor).

Canal de Denúncias

• Relato, categoria escolhida e anexos;
• Se a denúncia é identificada: nome, e-mail e telefone informados;
• Se a denúncia é anônima: nenhum identificador pessoal é gravado. O endereço IP de conexão não é gravado no relato nem nas evidências. Para acompanhamento, protegemos as credenciais de protocolo e senha de maneira criptográfica e irreversível, o que não permite recuperar a senha nem identificar o denunciante;
• Controles de segurança e limite de acesso: utilizam chaves pseudo-anonimizadas de forma irreversível, com expiração automática em até 24 horas.

Conformidade e provas

• Registros de assinatura de políticas: impressão digital criptográfica inviolável (hash) que comprova o texto efetivamente exibido, versão assinada, data/hora, IP e navegador;
• Conclusões de treinamentos: nota do questionário, datas e validade (certificados válidos por 24 meses);
• Trilha de auditoria de eventos sensíveis (ex.: mudança de status de denúncia, com autor, data e origem).

Uso da plataforma

• Logs técnicos de segurança (IP, user-agent) associados a eventos auditados.

Cobrança

• Dados de assinatura e faturamento são tratados pelo Stripe; não armazenamos números de cartão em nossos sistemas.

2. Para que usamos (finalidades) e bases legais

• Criar e operar a conta da empresa e o acesso dos usuários: Execução de contrato
• Receber, custodiar e viabilizar a apuração de denúncias: Execução de contrato; cumprimento de obrigação legal/regulatória do Cliente
• Registrar assinaturas e certificados como prova de conformidade: Execução de contrato; interesse legítimo
• Prevenir fraudes e proteger a segurança da Plataforma (logs, limites de acesso): Interesse legítimo
• Processar pagamentos e gerenciar assinaturas: Execução de contrato
• Enviar comunicações transacionais (convites, lembretes, avisos de nova denúncia): Execução de contrato

Não vendemos dados pessoais e não os utilizamos para publicidade comportamental.

3. Sigilo do Canal de Denúncias

• Denúncias anônimas chegam ao gestor da empresa como "Denunciante Anônimo", sem nome, e-mail ou vinculação a conta;
• O par protocolo + senha é conhecido somente pelo denunciante; a senha jamais trafega ou fica armazenada em texto puro (sendo protegida de forma irreversível como descrito acima);
• E-mails de aviso de nova denúncia não contêm categoria, texto ou anexo do relato — apenas a informação de que há um caso aguardando no painel;
• Imagens recebidas têm metadados de rastreamento removidos; PDFs têm metadados de documento limpos; todo anexo recebe um selo de integridade criptográfica para garantir a integridade.

4. Compartilhamento com operadores

Compartilhamos o mínimo necessário com prestadores que atuam como operadores de dados, sob contrato com cláusulas de proteção:

• Supabase — infraestrutura, autenticação, banco e armazenamento de arquivos;
• Stripe — pagamentos e gestão de assinaturas;
• Resend — envio de e-mails transacionais;
• Sentry — diagnóstico técnico de erros (quando habilitado).

Esses serviços podem processar dados fora do Brasil; nesses casos, exigimos cláusulas contratuais padrão e medidas complementares. Autoridades públicas somente mediante ordem legal válida.

5. Retenção

• Assinaturas de políticas e certificados: mantidos durante a validade de 24 meses e, após isso, preservados como histórico/prova enquanto durarem obrigações legais ou defesa judicial da empresa Cliente;
• Denúncias: conservadas pelo prazo necessário ao tratamento do caso e aos prazos legais aplicáveis ao Cliente;
• Fila de e-mails: registros removidos após o envio (ou registro da falha);
• Controles de taxa e rate limiting: registros pseudo-anonimizados de controle de tráfego descartados automaticamente em até 24 horas;
• Evidências não vinculadas (órfãs): arquivos temporários sem denúncia finalizada são eliminados em até 24 horas por rotina de limpeza automatizada;
• Solicitações de eliminação de colaboradores desligados são atendidas com anonimização dos registros de prova (mantém-se a existência do aceite, sem o dado pessoal), preservando a validade do histórico de conformidade.

6. Seus direitos (titulares)

Você pode solicitar, a qualquer momento, junto ao Encarregado (contato@complybr.com) ou pelo suporte (contato@complybr.com): confirmação de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, portabilidade (quando aplicável) e informação sobre compartilhamentos.

Respondemos em prazo compatível com a LGPD e podemos pedir comprovação de identidade para proteger sua conta.

7. Segurança

• Tráfego protegido por TLS;
• Controle de acesso por papéis (owner/manager/employee) combinado com políticas de linha (Row Level Security) no banco de dados — cada empresa só acessa os próprios dados;
• Senhas armazenadas de forma criptografada irreversível pelo provedor de autenticação; credenciais de protocolo de denúncia protegidas com os mais altos padrões de criptografia;
• Eventos sensíveis registrados em trilha de auditoria interna.

Nenhum sistema é absolutamente imune; em caso de incidente relevante, notificaremos titulares e a ANPD conforme a lei.

8. Armazenamento local no seu navegador

Usamos armazenamento local (localStorage) apenas para: sua preferência de tema (claro/escuro) e a atribuição de indicação de afiliado (código ?ref=) entre a primeira visita e o cadastro. Não utilizamos cookies de rastreamento publicitário.

9. Alterações desta Política

Alterações serão publicadas nesta página com nova data de atualização e, quando o impacto para os titulares for significativo, comunicaremos também por e-mail ou aviso na Plataforma.