Política de Privacidade

Esta Política de Privacidade descreve como a NLConsulting ("NLC", "nós") coleta, usa, armazena e protege dados pessoais no âmbito da plataforma Risk Management ("Plataforma", "Sistema"), em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — LGPD).

1. Quem somos e nossos papéis

A Plataforma é oferecida pela NLConsulting como solução de software (SaaS) para gestão de riscos corporativos, contratada por empresas clientes ("Empresa Cliente", "Organização"). Para fins da LGPD, atuamos em dois papéis distintos:

• Operadora (processadora): em relação aos dados inseridos pela Organização na Plataforma sobre sua própria operação (riscos, controles, planos de ação e dados de colaboradores da Organização mencionados nesses registros) — tratamos esses dados exclusivamente conforme as instruções e finalidades definidas pela própria Organização, que é a Controladora desses dados.
• Controladora: em relação aos dados de cadastro e de uso da própria conta de cada usuário da Plataforma (nome, e-mail, papel de acesso, registros de login e auditoria) — decidimos as finalidades e meios de tratamento desses dados, descritos nesta política.

O detalhamento contratual de responsabilidades entre NLC (Operadora) e cada Organização (Controladora) consta do contrato de prestação de serviços firmado entre as partes.

2. Quais dados pessoais coletamos

• Dados de cadastro: nome, e-mail e senha (armazenada de forma criptografada, nunca em texto plano).
• Dados de perfil de acesso: papel/função na Organização (ex.: Administrador, Gestor, Dono de Risco) e quais empresas/tenants o usuário pode acessar.
• Dados de uso e segurança: data e hora de acesso, endereço IP, navegador e dispositivo utilizado, e um histórico das ações realizadas na Plataforma (trilha de auditoria) — coletados para segurança, prevenção a fraudes e cumprimento de obrigação legal.
• Dados inseridos pela Organização: nomes e cargos de colaboradores eventualmente mencionados como responsáveis por riscos, controles ou ações (ex.: "Gestor do risco", "Responsável pelo controle") — esses dados são de titularidade e responsabilidade da Organização Controladora, não coletados diretamente pela NLC do respectivo titular.

Não coletamos dados sensíveis (origem racial, convicção religiosa, dados de saúde etc.) nem dados de crianças e adolescentes.

3. Para quais finalidades e com qual base legal

• Prestação do serviço contratado (criar e manter sua conta, controlar permissões de acesso) — execução de contrato (Art. 7º, V).
• Segurança da informação e prevenção a incidentes (registro de IP/dispositivo/ações) — legítimo interesse (Art. 7º, IX) e cumprimento de obrigação legal (Art. 7º, II).
• Funcionalidades de inteligência artificial (sínteses executivas, sugestões de texto) — execução de contrato, com dados da Organização enviados a um fornecedor de IA conforme descrito na Seção 5.
• Comunicações operacionais (convites, códigos de verificação, avisos sobre a conta) — execução de contrato.
• Cumprimento de obrigações legais e regulatórias, incluindo atendimento a requisições de autoridades — cumprimento de obrigação legal (Art. 7º, II).

4. Isolamento entre empresas clientes (multi-tenancy)

A Plataforma é multiempresa: diversas Organizações usam a mesma infraestrutura, mas os dados de cada uma são isolados por controles técnicos no nível do banco de dados (Row Level Security), que impedem — mesmo em caso de falha de uma camada de permissão da aplicação — que uma Organização visualize ou acesse dados de outra. Esse isolamento é parte da arquitetura desde a concepção do sistema (privacy by design, Art. 46).

5. Com quem compartilhamos dados (operadores/subprocessadores)

Utilizamos os seguintes fornecedores para operar a Plataforma, todos sob obrigações contratuais de confidencialidade e segurança:

• Supabase — banco de dados, autenticação e armazenamento de arquivos.
• Vercel — hospedagem da aplicação web.
• Anthropic — processamento de linguagem natural para as funcionalidades de inteligência artificial (sínteses e sugestões); apenas os dados necessários para gerar cada resposta são enviados, sem retenção para treinamento de modelos por parte do fornecedor conforme seus termos comerciais.
• Resend — envio de e-mails transacionais (convites de acesso, códigos de verificação).

Esses fornecedores podem processar dados em servidores localizados fora do Brasil. Nesses casos, a transferência observa as hipóteses e salvaguardas previstas nos Art. 33 e seguintes da LGPD. Não vendemos nem compartilhamos dados pessoais para fins de publicidade de terceiros.

6. Por quanto tempo guardamos os dados

Os dados de conta são mantidos enquanto durar o contrato entre a NLC e a Organização e o vínculo do usuário com ela. Registros de auditoria e segurança podem ser retidos por período adicional necessário para cumprir obrigações legais ou para exercício regular de direitos em processos judiciais, administrativos ou arbitrais, após o que são eliminados ou anonimizados.

7. Segurança da informação

• Conexões criptografadas (HTTPS/TLS) em todo o tráfego entre o navegador e a Plataforma.
• Dados em repouso armazenados de forma criptografada pela infraestrutura do provedor de banco de dados.
• Controle de acesso baseado em papéis (RBAC), com permissões específicas por função.
• Trilha de auditoria completa (quem fez o quê, quando, de qual IP e dispositivo).
• Isolamento técnico de dados entre empresas clientes (Seção 4).

8. Seus direitos como titular de dados

Nos termos do Art. 18 da LGPD, você pode solicitar, a qualquer momento:

• Confirmação da existência de tratamento e acesso aos seus dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Exportação (portabilidade) dos seus dados pessoais em formato estruturado;
• Exclusão dos seus dados pessoais, observadas as retenções legais obrigatórias;
• Informação sobre com quem seus dados são compartilhados;
• Revogação do consentimento, quando aplicável.

Você pode exercer a maioria desses direitos diretamente em Minha Conta, dentro da Plataforma, que oferece exportação e exclusão dos seus dados de forma self-service. Para qualquer outra solicitação, ou dúvida sobre este documento, entre em contato com nosso Encarregado de Dados (DPO).

9. Encarregado de Dados (DPO)

Rafael Pina, Gerente — e-mail de contato: dpo@nlconsulting.com.br.

10. Alterações desta política

Podemos atualizar esta Política periodicamente. Mudanças relevantes serão comunicadas aos usuários e exigirão novo aceite no próximo acesso. A versão vigente e sua data de início estão sempre indicadas no topo desta página.