Política de Privacidade

A Lumen Creatio Ltda., responsável pelo produto ANA360 Corporate (“ANA360”, “nós” ou “nosso”), respeita a privacidade e a autodeterminação informativa de usuários, trabalhadores, representantes de clientes e demais titulares cujos dados sejam tratados por meio da plataforma.

O ANA360 Corporate é uma solução tecnológica de apoio à gestão de riscos ocupacionais e fatores de risco psicossociais relacionados ao trabalho, incluindo coleta estruturada, consolidação de indicadores, inventários, planos de ação, ciclos de acompanhamento, dashboards e relatórios. A plataforma apoia processos de NR-1 e NR-17, mas não substitui a avaliação técnica, ergonômica, médica, jurídica ou organizacional exigida de cada empregador.

Responsável pelo produto

Lumen Creatio Ltda.

CNPJ

33.166.954/0001-28

Endereço

Av. Diógenes Ribeiro de Lima, 2991, cj. 252, Alto da Lapa, São Paulo/SP, Brasil, CEP 05083-010

Site

ana360.com

Canal geral

suporte@ana360.com

Canal de privacidade

lgpd@ana360.com

Encarregado (DPO)

Rogerio Barbosa

Quando a solicitação disser respeito a dados tratados por ordem de uma organização cliente, poderemos encaminhá-la ao respectivo controlador ou apoiá-lo no atendimento. O titular também poderá procurar diretamente a organização com a qual mantém vínculo.

• Administradores da conta, gestores, profissionais de SST, RH, compliance, jurídico, auditoria e consultores autorizados pelo cliente.
• Trabalhadores, empregados, prestadores, candidatos ou outros participantes convidados a responder instrumentos na plataforma.
• Representantes comerciais, técnicos e financeiros dos clientes e potenciais clientes.
• Usuários do site, suporte, central de atendimento e integrações autorizadas.
• Pessoas cujos dados sejam inseridos pelo cliente em registros de riscos, planos de ação, evidências ou documentos.

O produto é destinado a relações corporativas. Caso um cliente inclua crianças ou adolescentes, deverá existir avaliação específica de necessidade, melhor interesse, base legal, transparência e controles adequados antes de qualquer tratamento.

• Diretamente do titular, ao criar conta, responder instrumentos (inclusive por aplicativos de mensagens autorizados), inserir comentários ou solicitar suporte.
• Da organização cliente, por cadastro manual, importação de arquivos, APIs, diretórios corporativos ou integrações autorizadas.
• Automaticamente, por logs, cookies estritamente necessários, telemetria de segurança e eventos de uso.
• De fornecedores e parceiros necessários à contratação, autenticação, pagamento, comunicação e suporte.

O cliente é responsável pela qualidade, licitude e transparência dos dados que envia à plataforma. A ANA360 poderá recusar ou remover dados manifestamente excessivos, ilícitos ou incompatíveis com o serviço.

A base legal depende do papel exercido e do contexto. Quando atuamos como operadora, seguimos a base legal definida e documentada pelo cliente controlador; a tabela abaixo descreve o enquadramento normalmente esperado.

Consentimento não será utilizado de forma artificial para legitimar tratamento obrigatório, nem como padrão para dados de trabalhadores quando a assimetria da relação comprometer sua liberdade. Quando o consentimento for realmente apropriado, será específico, informado, demonstrável e revogável.

• Os instrumentos devem avaliar fatores relacionados ao trabalho e à organização do trabalho, evitando transformar o produto em ferramenta de diagnóstico clínico.
• Resultados individuais não devem ser apresentados a gestores quando a finalidade puder ser atendida por indicadores coletivos.
• Cortes por equipe, cargo, localidade ou característica demográfica exigem no mínimo cinco participantes e devem observar regras contra inferência por cruzamento.
• Comentários livres exigem advertência para que o participante não informe nomes, diagnósticos ou fatos pessoais desnecessários.
• Sinais de risco grave devem seguir protocolo humano e organizacional previamente definido pelo cliente; a plataforma não é canal de emergência.
• Inventários, planos e relatórios são insumos técnicos. A validação e assinatura competem aos profissionais e responsáveis legalmente habilitados.

Dashboards coletivos serão configurados para reduzir a exposição de indivíduos. Medidas podem incluir supressão de grupos pequenos, arredondamento, limitação de filtros, bloqueio de cruzamentos, generalização de categorias, atraso de publicação e revisão de comentários livres.

O limiar mínimo de agregação adotado pelo ANA360 Corporate é de cinco indivíduos. Resultados de grupos com menos de cinco participantes não serão exibidos. A plataforma também poderá suprimir resultados de grupos maiores quando filtros, cruzamentos, comentários livres ou características singulares criarem risco razoável de identificação.

Dados agregados permanecerão dados pessoais quando ainda permitirem identificar ou inferir informações sobre uma pessoa. A tentativa de reidentificação, combinação com bases externas ou uso para monitoramento individual é proibida e poderá resultar em bloqueio de acesso, auditoria e medidas contratuais.

A ANA360 pode utilizar modelos estatísticos e sistemas de inteligência artificial para classificar conteúdo, resumir respostas, identificar padrões, apoiar recomendações, elaborar minutas de relatórios e priorizar ações. Esses resultados são auxiliares, podem conter erros e devem ser revistos por pessoa qualificada antes de produzir efeitos relevantes.

• A plataforma não realiza diagnóstico médico, psicológico ou psiquiátrico.
• A plataforma não deve decidir, por si só, sobre contratação, demissão, promoção, remuneração, punição ou elegibilidade individual.
• O cliente deve assegurar revisão humana e canal de contestação quando houver decisão baseada em tratamento automatizado.
• Dados de clientes não serão usados para treinar modelos de uso geral sem base legal, transparência, autorização contratual e controles específicos.
• Fornecedores de IA somente poderão receber os dados mínimos necessários, sob contrato, segurança e regras de retenção compatíveis.

Os modelos de IA e os componentes de observabilidade podem variar conforme a infraestrutura ativa. Os provedores de IA e de observabilidade atuam como operadores ou suboperadores e tratam os dados exclusivamente em ambientes contratados e controlados pela ANA360, sob obrigações de confidencialidade, segurança e retenção, vedados o uso para finalidades próprias do fornecedor e o treinamento de modelos de uso geral. Dados pessoais e dados pessoais sensíveis não são disponibilizados a serviços de IA ou observabilidade que estejam fora desses controles. Mudanças de modelo não autorizam ampliação de finalidade, treinamento externo ou circulação de dados para ambientes não abrangidos pelos controles da ANA360.

A ANA360 não vende dados pessoais. O compartilhamento ocorre apenas na medida necessária às finalidades descritas, às instruções do cliente ou ao cumprimento de obrigação legal.

• Com a organização cliente e usuários por ela autorizados, observados perfis de acesso e regras de agregação.
• Com suboperadores de infraestrutura, banco de dados, armazenamento, autenticação, observabilidade, e-mail, mensageria, suporte e IA.
• Com assessores profissionais, auditores e seguradoras sujeitos a deveres de confidencialidade.
• Com autoridades públicas, reguladores ou terceiros, quando exigido por lei, ordem válida ou exercício regular de direitos.
• Em reorganização societária, auditoria ou operação empresarial, com salvaguardas e uso limitado.

A lista atualizada de suboperadores, sua função e local de processamento permanece disponível em ana360.com/suboperadores. Mudanças relevantes serão comunicadas conforme o contrato.

Alguns fornecedores podem processar ou permitir acesso a dados fora do Brasil. Nessas hipóteses, a ANA360 e o cliente adotarão mecanismo válido previsto na LGPD e na Resolução CD/ANPD nº 19/2024, como decisão de adequação ou cláusulas-padrão contratuais, além de medidas técnicas e organizacionais proporcionais.

A hospedagem e o processamento da solução ocorrem principalmente no Brasil e nos Estados Unidos da América, podendo determinados suboperadores, como provedores de mensageria e autenticação, tratar dados em outras localidades, conforme a lista referida na Seção 11. O suporte é prestado a partir do Brasil. Os componentes de observabilidade e inteligência artificial podem variar, mas não recebem dados pessoais ou sensíveis fora dos domínios de infraestrutura controlados pela solução. A operação em infraestrutura situada nos Estados Unidos permanece sujeita às regras de transferência internacional e às salvaguardas aplicáveis.

A ANA360 mantém programa de segurança e privacidade proporcional à natureza dos dados e aos riscos da operação. Conforme aplicável e validado no ambiente produtivo, os controles incluem:

• Segregação lógica entre clientes e controles de autorização baseados em função e menor privilégio.
• Criptografia em trânsito e em repouso, gestão de chaves e segredos fora do código-fonte.
• Autenticação forte para perfis privilegiados, revisão periódica de acessos e trilhas de auditoria.
• Cópias de segurança, continuidade, recuperação, gestão de vulnerabilidades e atualização de componentes.
• Monitoramento, resposta a incidentes, testes, registro de operações e avaliação de fornecedores.
• Confidencialidade, treinamento e responsabilização de pessoas autorizadas a tratar dados.

Nenhum sistema é absolutamente seguro. Usuários devem proteger credenciais, utilizar recursos de autenticação disponibilizados e comunicar imediatamente suspeitas de acesso indevido.

Os prazos são definidos conforme finalidade, instruções do controlador, contrato, necessidade de defesa de direitos e obrigações legais. No encerramento do contrato, os dados do cliente permanecem disponíveis por três meses para exportação e providências de transição. Encerrado esse período, são eliminados de forma definitiva e irreversível, ressalvada obrigação legal, ordem válida de preservação ou exercício regular de direitos. A conclusão do procedimento é registrada e certificada pela ANA360.

Os backups são operados exclusivamente pela ANA360 em três ciclos diários, com períodos definidos por critérios internos de segurança. O acesso é restrito e sua utilização limita-se à continuidade, recuperação e segurança da operação. Ao término da janela de três meses, a eliminação alcança as cópias do cliente mantidas nos ciclos de backup, observados os procedimentos técnicos de expiração e sobrescrita.

Durante a janela pós-contrato, o cliente deverá exportar os documentos que precise conservar, especialmente o histórico legal do PGR. A ANA360 não reterá o conteúdo indefinidamente nem eliminará dados sujeitos a obrigação legal ou ordem válida de preservação.

Nos termos da LGPD, o titular pode solicitar, conforme aplicável:

• Confirmação da existência de tratamento e acesso aos dados.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade.
• Portabilidade dos dados.
• Informações sobre compartilhamentos.
• Informação sobre a possibilidade de negar consentimento.
• Revogação do consentimento e oposição ao tratamento.
• Revisão de decisões automatizadas e peticionamento à ANPD.

A solicitação deverá permitir a verificação segura da identidade. Poderemos pedir informações adicionais estritamente necessárias, negar pedidos manifestamente infundados ou limitar a resposta quando houver segredo comercial, direito de terceiros ou obrigação legal, sempre com justificativa.

Quando a ANA360 atuar como operadora, a decisão sobre o pedido pertence ao cliente controlador. Prestaremos assistência técnica e encaminharemos a demanda sem demora indevida. Os prazos legais e regulatórios serão observados pelo agente responsável.

A plataforma pode utilizar cookies estritamente necessários para autenticação, segurança, preferências e continuidade da sessão. Cookies analíticos ou de marketing somente serão utilizados após classificação, transparência e, quando exigido, mecanismo de consentimento e recusa tão simples quanto a aceitação.

A relação detalhada de cookies, fornecedor, finalidade e duração deve constar no Painel de Cookies ou em documento específico vinculado a esta política.

Incidentes serão avaliados, contidos, investigados e documentados conforme o plano de resposta. Quando atuar como operadora, a ANA360 comunicará o cliente controlador sem demora injustificada e fornecerá as informações necessárias. Compete ao controlador avaliar e realizar as comunicações à ANPD e aos titulares.

Incidentes capazes de acarretar risco ou dano relevante devem ser comunicados pelo controlador à ANPD e aos titulares no prazo regulamentar, atualmente de três dias úteis, ressalvada legislação específica. A comunicação pública não substituirá notificações exigidas por lei.

• Usuários somente podem acessar dados necessários às suas atribuições.
• É proibido exportar, cruzar ou compartilhar dados para finalidade incompatível com a informada aos titulares.
• É proibida a tentativa de identificar participantes em resultados agregados ou retaliá-los por respostas.
• Credenciais são pessoais; contas compartilhadas e extrações massivas não autorizadas são vedadas.
• A ANA360 poderá registrar ações administrativas e suspender acessos diante de risco ou violação.

Esta política poderá ser atualizada para refletir mudanças legais, regulatórias, contratuais ou técnicas. A versão vigente indicará data e número da revisão. Alterações materiais serão comunicadas por meio adequado antes de produzirem efeitos, quando aplicável.

Esta política será interpretada conforme a legislação brasileira. Questões relativas ao tratamento de dados serão tratadas pelos canais indicados, sem prejuízo do direito de peticionar à ANPD e aos órgãos competentes. O foro contratual aplicável às relações entre ANA360 e clientes constará no contrato de licenciamento SaaS e não restringirá direitos inderrogáveis dos titulares.

• Lei nº 13.709/2018, com alterações posteriores — Lei Geral de Proteção de Dados Pessoais.
• Lei nº 12.965/2014 e Decreto nº 8.771/2016, com alterações — Marco Civil da Internet.
• Resolução CD/ANPD nº 15/2024 — Comunicação de Incidente de Segurança.
• Resolução CD/ANPD nº 18/2024 — Atuação do Encarregado.
• Resolução CD/ANPD nº 19/2024, retificada em 2025 — Transferência Internacional de Dados.
• NR-1 — Disposições Gerais e Gerenciamento de Riscos Ocupacionais, redação vigente.
• NR-17 — Ergonomia, redação vigente.
• Manual GRO/PGR da NR-1 e orientações sobre fatores de riscos psicossociais publicados pelo MTE em 2026.