Política de Privacidade de Dados

1. Sobre a impulseup e esta Política

A impulseup (impulseup TECNOLOGIA LTDA,) é uma empresa que fornece solução de software em nuvem oferecida como serviço (SaaS) voltada para gestão de desenvolvimento, desempenho e engajamento de colaboradores. A solução possui os seguintes módulos: Avaliações de desempenho e experiência, PDI (Plano de Desenvolvimentos Individuais), Pesquisas, Learning, Feedbacks, Reuniões, Metas & OKRS e Remuneração Variável. A impulseup também fornece serviços de implementação e consultoria para apoiar seus clientes no uso da solução.

Esta Política de Privacidade se aplica a todas as soluções, módulos, serviços, sites e aplicativos oferecidos pela impulseup TECNOLOGIA LTDA, sob a marca impulseup ou iup. A privacidade e a proteção dos dados são nossa maior prioridade. Esta política explica como lidamos com os dados pessoais e as medidas que seguimos para mantê-los seguros.

2. Definições

• Dado Pessoal: Qualquer informação relacionada a uma pessoa natural identificada ou identificável.
• Tratamento: Toda operação realizada com dados pessoais, desde a coleta até a eliminação.
• Titular dos Dados: A pessoa a quem os dados se referem.
• Cliente ou Organização: Pessoa jurídica que contrata ou utiliza os serviços da impulseup.
• Controlador: O Cliente ou Organização é denominado no âmbito da LGPD como "controlador de dados", possuindo também a responsabilidade de proteger os dados.
• Operador: A impulseup, que processa os dados em nome do cliente para prestar o serviço contratado pelo cliente.
• LGPD: Lei Geral de Proteção de Dados (Lei nº 13.709/2018).

3. Dados Coletados e o Processo de Classificação

Coletamos dados pessoais dos usuários com o objetivo de viabilizar a oferta do serviço de plataforma de gestão de desenvolvimento, desempenho e engajamento de colaboradores.

Os titulares de dados podem incluir:

• Administradores: Pessoas pré-definidas e autorizadas para administrar a conta da organização ou cliente.
• Colaboradores: Pessoas que possuem algum vínculo com a organização mas sem privilégio de administração do sistema. São definidas pelos administradores vinculadas ao cliente ou à organização.
• Visitantes: Pessoas que acessam o site institucional, participam do teste da plataforma ou entram em contato antes de estabelecer vínculo contratual.

A seguir, descrevemos as principais categorias de dados coletados, suas finalidades e bases legais, além do tempo de retenção dos dados e o método de descarte/eliminação dos dados conforme previsto na Lei nº 13.709/2018 (LGPD):

• Dados de Cadastro, Contato e Faturamento: Nome da organização, CNPJ, endereço, telefone de contato, nome do representante legal com CPF, data de nascimento, e-mail da empresa e do representante e dados bancários da organização (apenas em casos de erros ou problemas com pagamentos).
• Titular: Administradores e colaboradores.
• Finalidade: Gerenciamento de conta, emissão de notas, comunicação contratual.
• Base Legal (Art. 7º): Execução de contrato / Obrigação legal.
• Origem dos dados: Informados pelo cliente ou representante legal.
• Compartilhamento com terceiros: Compartilhamento com subprocessadores de dados usados pela impulseup para armazenamento de dados.
• Tempo de retenção: Vigência do contrato + 5 anos (prazo fiscal).
• Eliminação: Exclusão física de documentações ou anonimização após o prazo legal.
• Dados de Configuração e Sistêmicos: Dados de avaliações, pesquisas, metas, feedbacks, PDIs e/ou dados relacionados a qualquer outra funcionalidade do sistema.
• Titular: Administradores e Colaboradores.
• Finalidade: Execução dos serviços contratados e relatórios de desempenho.
• Base Legal (Art. 7º): Execução de contrato / Legítimo interesse.
• Origem dos dados: Inseridos e definidos pelos usuários (Administradores e Colaboradores) da organização.
• Compartilhamento com terceiros: Compartilhamento com subprocessadores de dados usados pela impulseup para armazenamento de dados.
• Tempo de Retenção: Vigência do contrato e tempo de vida dos backups.
• Eliminação: Exclusão de dados ao término de vínculo contratual e esgotamento dos prazos de recuperação de backups.

• Dados Pessoais, Demográficos e Relações de Trabalho: Nome, e-mail, Área, Cargo, relações de hierarquia e/ou qualquer outro dado inserido pelo Administrador (Ex.: matrícula, Idade, local, unidade, escolaridade e ou semelhantes).

• Titular: Administradores e Colaboradores.
• Finalidade: Análises organizacionais e relatórios agregados.
• Base Legal (Art. 7º): Legítimo interesse / Consentimento (dados opcionais).
• Origem dos dados: Inseridos e definidos pelos usuários (Administradores e Colaboradores) da organização.
• Compartilhamento com terceiros:Compartilhamento com subprocessadores de dados usados pela impulseup para armazenamento de dados.
• Tempo de retenção: Até a revogação do consentimento ou encerramento do contrato e tempo de retenção de backups.
• Eliminação: Exclusão a pedido do titular e exclusão de dados ao término de vínculo contratual e esgotamento dos prazos de recuperação de backups.

• Suporte e Outras Interações: Mensagens de chat, registros de suporte, e-mails, depoimentos e semelhantes.

• Titular: Administradores e colaboradores.
• Finalidade: Atendimento e histórico de comunicações.
• Base Legal (Art. 7º): Execução de contrato / Consentimento (para depoimentos).
• Origem dos dados: Canais de atendimento de suporte e comunicação direta com parceiros e consultores .
• Compartilhamento com terceiros: Ferramentas de atendimento e gerenciamento de tickets usados pela impulseup.
• Tempo de Retenção: 2 anos após encerramento de vínculo legal/contratual.
• Eliminação: Exclusão mediante solicitação de titulares.

• Dados de Marketing e Relacionamento Comercial:

• Titular: Visitantes, potenciais clientes, administradores.
• Finalidade: Prospecção comercial, relacionamento e comunicação de produtos.
• Base Legal (Art. 7º): Consentimento / Legítimo interesse
• Origem dos dados: Formulários, landing pages, eventos e campanhas.
• Compartilhamento com terceiros: Ferramentas de CRM e e-mail marketing.
• Tempo de retenção: Até revogação do consentimento.
• Eliminação: Exclusão mediante solicitação de titulares.

4. Com Quem Compartilhamos os Dados

Não compartilhamos dados pessoais com terceiros para fins de marketing ou qualquer outra finalidade não detalhada aqui. Os demais tipos de dados podem ser usados conforme legítimo interesse, necessidade de contrato e consentimento.

• Aqui na nossa Central de Ajuda, temos uma lista de todos os subprocessadores de dados, listando todos os sistemas citados no item 3 desta documentação e demais sistemas usados pela impulseup.

O compartilhamento de dados ocorre apenas nas seguintes situações:

• Com Nossos Provedores de Serviços: Utilizamos serviços de terceiros para infraestrutura, pagamento e suporte, sempre com um acordo contratual (DPA - Contrato de Processamento de Dados) que garante a proteção dos dados.
• Em Caso de Mudança de Propriedade: Se a estrutura da nossa empresa mudar, os dados podem ser transferidos para o novo proprietário para garantir a continuidade do serviço.
• Quando Exigido por Lei: Se formos obrigados por lei a divulgar dados, faremos esforços para notificá-lo com antecedência, se permitido.
• Com Consentimento Expresso: Em outras ocasiões, podemos solicitar permissão para compartilhar dados específicos, desde que haja consentimento para tal finalidade.
• Uso de Nome e Logotipos: Podemos utilizar o nome e o logotipo da sua organização para nos ajudar a promover nossos serviços. Nós não identificamos nenhum indivíduo sem o consentimento expresso. Se você não quiser que esses dados sejam usados dessa maneira, entre em contato com nossos canais de atendimento para desativar o uso.

5. Transferência Internacional de Dados

Possuímos dados armazenados baseados em nossa lista de subprocessadores de dados. Nessa listagem está definido o país onde o dado é tratado e sua atividade de processamento. Essa lista é atualizada caso haja quaisquer alterações ou mudanças de subprocessadores.

Como atividade principal os servidores da impulseup estão localizados na Virginia, EUA, na plataforma em nuvem do Heroku, gerenciada pelo Heroku e pela Amazon AWS, que possuem certificações como ISO 27001 e SOC 2/SSAE 16/ISAE 3402. Mais informações em https://www.heroku.com/policy/security.

Em caso de dúvida de finalidade de processamento de dados, acesse o item 3 deste documento ou entre em contato com nossos canais de atendimento, listados no item 9 se necessário.

6. Período de Retenção e o Processo de Descarte Seguro de Dados

Esta política tem como objetivo estabelecer diretrizes claras e um cronograma formal para a retenção e o descarte seguro de dados pessoais e corporativos tratados pela empresa impulseup dentro de seu sistema impulseup após contratação do serviço de software. A sua implementação visa garantir a conformidade com a LGPD (Princípio da Necessidade), otimizar o armazenamento, e minimizar os riscos associados à retenção de dados por um período superior ao necessário.

• Retenção de Dados no Sistema : A exclusão dos dados não é automática. Ao término do contrato, o Controlador pode solicitar a exclusão. Após a solicitação, os dados permanecem em ambiente de produção por um período de 90 dias, após o qual são permanentemente excluídos de forma irreversível.
• Dados em Backups: Mantemos sistemas de backup por segurança por pelo menos 3 meses. Os dados excluídos da produção permanecerão nessas cópias até que sejam substituídos, não sendo possível desvinculá-los.
• Retenção de Dados Temporários em arquivos recebidos: Arquivos temporários para operações de suporte, como planilhas de atualização, a depender da sua importância, são salvos exclusivamente em uma pasta segura e de acesso restrito em drive corporativo, não sendo armazenados em outros locais. Imediatamente após a conclusão da tarefa, o arquivo é permanentemente excluído.

• Princípios Fundamentais:

• Finalidade e Necessidade: Os dados serão retidos apenas pelo tempo necessário para cumprir as finalidades para as quais foram coletados, ou para atender a obrigações legais, regulatórias ou contratuais.

• Minimização de Dados: Manteremos apenas os dados estritamente necessários, evitando o acúmulo de informações desnecessárias.

• Segurança no Descarte: O descarte de dados será realizado por métodos seguros que impeçam a recuperação posterior das informações.

• Responsabilização: A conformidade com esta política é responsabilidade de todos os colaboradores, com a supervisão do DPO e dos líderes de departamento.

• Processo de Descarte Seguro:

• Dados Digitais: O descarte será realizado através de métodos de exclusão permanente que impedem a recuperação dos dados, como a sobreposição de dados (data overwriting) ou a destruição criptográfica. Para serviços em nuvem, confiamos nos procedimentos de exclusão certificados de nossos provedores.

• Dados Físicos (se aplicável): Qualquer documento físico contendo dados pessoais será destruído por meio de fragmentação.

• Suspensão da Retenção (Legal Hold):

• Em caso de litígio, investigação ou auditoria, o Departamento Jurídico poderá emitir uma notificação de "Legal Hold". Ao receber esta notificação, o descarte programado de quaisquer dados abrangidos pela notificação será imediatamente suspenso até que o Legal Hold seja formalmente liberado.

• Revisão e Manutenção:

• Esta política será revisada anualmente pelo DPO, ou sempre que houver mudanças significativas na legislação ou nas operações da empresa, para garantir sua contínua adequação e eficácia.

7. Como Protegemos Informações e Nosso Ciclo de Segurança

Incorporamos a segurança em todas as partes do nosso negócio, seguindo diretrizes e melhores práticas como a ISO 27001.

• Em Caso de Violação de Segurança:
• Entraremos em contato no prazo de 48 horas após a identificação da violação, confirmando se os dados estão em risco.
• Forneceremos orientações para mitigar possíveis danos.
• Forneceremos um relatório escrito em até uma semana detalhando as causas, as ações tomadas e as medidas preventivas futuras.

8. Política de Cookies

O uso de cookies não essenciais (analíticos e de publicidade) depende do consentimento do usuário, conforme a Lei Geral de Proteção de Dados (LGPD). O usuário pode gerenciar ou revogar o consentimento a qualquer momento, por meio do banner de cookies ou das configurações do navegador. Visitantes que acessam o site ou que iniciam o teste da plataforma devem aceitar os cookies essenciais para utilização da plataforma.

• Cookies Essenciais: Fundamentais para o funcionamento da plataforma.
• Cookies de Desempenho e Análise: Coletam informações anônimas para nos ajudar a melhorar o serviço.
• Controle: Pode optar por não receber anúncios direcionados em http://www.youronlinechoices.eu (UE) ou http://preferences-mgr.truste.com/ (resto do mundo), ou limpar os cookies do navegador.

9. Direitos e o Processo de Atendimento a Requisições (DSR)

Os Administradores e ou Colaboradores que possuem dados coletados na impulseup podem, a qualquer momento, solicitar alteração, exportação ou exclusão.

• Papel do Controlador: Reforçamos que a impulseup não atua como controladora dos dados, nesse cenário, a responsabilidade por permissões de alteração ou fornecimento de dados e informações é delegada ao administrador. Dessa forma, quando um pedido chega a nossos canais de atendimento, esse pedido será analisado para autenticação do solicitante e formalizado para adequação das solicitações se necessário. Em alguns casos, será necessária a permissão e o consentimento do administrador para atividades de alteração ou fornecimento de dados.
• Canais de Solicitação:
• Contato Direto com o DPO: Para questões formais de privacidade, envie um e-mail para nosso Encarregado de Dados (DPO). Segue o contato: dpo@impulseup.com
• Time de Suporte: Para solicitações de rotina, como correção de dados, pode ser acionado diretamente nossa equipe de suporte via e-mail (suporte@impulseup.com) ou chat (localizado dentro do sistema impulseup).
• Processo de Atendimento via Suporte:
• Abertura do Chamado: Ao contatar o Suporte, um ticket é aberto em nosso sistema de atendimento, e o solicitante receberá um número para acompanhar sua solicitação.
• Atuação e Reporte: A equipe de Suporte realizará as correções e reportará a solicitação ao nosso DPO para garantir o registro e a conformidade.
• Acompanhamento: Deve ser utilizado o portal de suporte para acompanhar o status da sua solicitação.

• Papéis e Responsabilidades:

• Encarregado de Dados (DPO): É o ponto focal e responsável final pelo processo. Supervisiona a triagem, validação e resposta a todas as requisições. Atua diretamente em casos complexos e é o canal de comunicação com a ANPD.

• Equipe de Suporte: Atua como a primeira linha de atendimento. É responsável por identificar, registrar e encaminhar as requisições recebidas para o DPO, além de comunicar-se com o titular em casos de baixa complexidade, sempre sob supervisão do DPO.

• Equipe de Infraestrutura/Desenvolvimento: Responsável por executar as ações técnicas necessárias para atender às requisições (ex: extração de dados, anonimização, exclusão de registros), mediante solicitação e validação do DPO.

• Prazos de Atendimento (SLAs) A impulseup se compromete a seguir os seguintes prazos, contados a partir do recebimento da requisição:

• Confirmação de Recebimento: Até 2 dias úteis.

• Resposta a Solicitações Simples (confirmação da existência do tratamento): Em formato simplificado, de forma imediata. Se não for possível, em até 5 dias úteis.

• Resposta a Solicitações Complexas (acesso integral aos dados, portabilidade, eliminação): Em até 15 dias corridos, conforme Art. 19 da LGPD.

10. Responsabilidades como Controlador de Dados

O administrador, atuará como "Controlador de Dados" e tem responsabilidades como:

• Ter políticas claras sobre como os dados serão usados, compartilhados e excluídos, e compartilhá-las com a organização.
• Garantir que possui uma base legal (ex: contrato de trabalho ou consentimento) para coletar dados dos colaboradores.
• Gerenciar os dados com segurança, como proteger os detalhes de login.
• Recomendamos dar acesso de administrador a 2 ou mais usuários para garantir a continuidade em caso de ausência.
• Responder a solicitações de dados dos colaboradores da organização contando com total apoio da impulseup.

11. Cultura de Segurança: Governança, Equipe e Educação Contínua

• Nossa Estrutura e Contatos:
• Área de Segurança da Informação (SI): Equipe técnica responsável pelo monitoramento e proteção da plataforma. Contato: si@impulseup.com.
• Time de Suporte: Canal para dúvidas e solicitações de correção de dados. Contato: suporte@impulseup.com ou via chat.
• Encarregado de Proteção de Dados (DPO): Atua como o guardião da privacidade e ponto de contato oficial.
• Nome do DPO: Bruno Silva Soares Coelho
• Contato: dpo@impulseup.com
• Nosso Programa de Treinamento: Oferecemos um treinamento anual obrigatório para 100% dos colaboradores, cobrindo Segurança da Informação, LGPD, Desenvolvimento Seguro, Resposta a Incidentes e nosso Código de Ética.

12. Segurança de Menores de Idade

Nossos serviços não são destinados e não devem ser utilizados por menores de idade (pessoas com até 14 anos). Não permitimos e/ou coletamos dados pessoais de menores. Se descobrirmos que isso ocorreu, poderemos excluir essas informações sem aviso prévio.

13. Alterações em Nossa Política de Privacidade

Podemos alterar esta política ocasionalmente e identificamos as alterações nesta página. Em caso de mudanças significativas, enviaremos um aviso a todos os titulares de conta (Administradores e Colaboradores com dados cadastrados na plataforma impulseup).

Dessa forma, com o objetivo de manter a Política de Privacidade sempre atual, refletindo as práticas de tratamento de dados da empresa, as mudanças na legislação e as expectativas dos titulares dos dados, seguimos um fluxo de adequamento para as atualizações:

• Responsáveis pelo processo:

• Encarregado de Proteção de Dados (DPO): Líder do processo (Bruno Silva Soares Coelho - dpo@impulseup.com).

• Departamento Jurídico/Compliance: Responsável pela revisão e validação legal.

• Departamento de TI/Segurança: Responsável pela validação técnica das práticas descritas. (si@impulseup.com)

• Departamento de Marketing/Comunicação: Responsável pela comunicação das alterações aos usuários. (contato@impulseup.com)

• Etapas do Fluxo:

• Gatilho para Revisão (Início do Fluxo) - A revisão da Política de Privacidade pode ser iniciada por diversos motivos:
• Elaboração da Minuta (Rascunho).

• Revisão Multidisciplinar - A minuta é enviada para os departamentos responsáveis.

• Aprovação Formal.

• Implementação e Comunicação.

• Arquivamento (Fim do Fluxo).

14. Contato

Para qualquer dúvida sobre esta política, entre em contato com nosso Encarregado de Dados (DPO), Bruno Silva Soares Coelho, pelo e-mail dpo@impulseup.com