Política de privacidade

1. Quem é quem

A Nexo GIRC é uma plataforma de preparação de programas de integridade operada pela EdTech Brasil. Nos dados que cada empresa cliente coloca na plataforma, o cliente é o controlador (decide para que e como os dados são usados) e a Nexo é a operadora (trata os dados em nome do cliente e segundo as instruções dele).

Quando você é titular de dados tratados por um cliente, pode falar com o próprio cliente ou diretamente com o encarregado da Nexo (seção 7). A Nexo encaminha ao cliente o que receber e executa o que ele determinar.

2. O que a plataforma guarda

• Contas de uso: nome, e-mail e papel de quem acessa. O acesso é só por convite e, para os papéis que escrevem, exige verificação em duas etapas.
• Conteúdo do programa de integridade: respostas de diagnóstico, riscos, controles, ações, políticas e documentos anexados como evidência, com o hash (impressão digital) de cada arquivo.
• Trilha de auditoria: quem fez o quê e quando. Ela não se apaga, porque é o que permite provar o que foi feito.
• Consulta a terceiros: descrita na seção 3.
• Uso do assistente de IA: o pedido e a resposta de cada uso ficam registrados no histórico do cliente, inclusive quando a resposta é descartada.

3. Consulta a terceiros (due diligence)

O módulo Terceiros permite que o cliente cadastre fornecedores, intermediários e parceiros pelo CNPJ e consulte fontes públicas: o cadastro do CNPJ na Receita Federal (obtido por serviços públicos de consulta) e as listas do Portal da Transparência do Governo Federal (CEIS, CNEP, CEPIM, CEAF e a lista de pessoas expostas politicamente), o Cadastro de Empregadores do Ministério do Trabalho e Emprego (a “Lista Suja” do trabalho análogo ao de escravo) e os dados abertos do Banco Central (processos sancionadores e quadros de inabilitados e proibidos).

• Dados tratados: dados da empresa (razão social, situação cadastral, atividade) e o nome dos sócios e administradores, exatamente como a Receita os publica. Os nomes são conferidos nas listas públicas. Quando só o nome coincide, a plataforma registra “possível correspondência — conferir”: nunca afirma que a pessoa consta na lista.
• Dados dos sócios guardados: nome, qualificação (por exemplo, sócio-administrador), data de entrada na sociedade e o documento exatamente como a Receita o publica — já mascarado por ela (por exemplo, apenas seis dígitos do meio do CPF). Além disso, a plataforma mascara por conta própria qualquer sequência de 11 dígitos que apareça numa resposta das fontes ou num texto digitado, trocando-a por uma marca de mascaramento antes de gravar.
• O que não é guardado: nenhum CPF completo. Também ficam de fora da Receita o e-mail, o telefone, o endereço e o capital social.
• Cadastro de Empregadores (MTE): o arquivo que o Ministério publica duas vezes por ano é baixado e mantido numa cópia na plataforma, para conferir o CNPJ da empresa (matriz e filiais, pela raiz do CNPJ) e o nome dos sócios. De cada empregador a cópia guarda o nome, o CNPJ ou o CPF mascarado e os dados da fiscalização (UF, ano da ação fiscal, número de trabalhadores, CNAE, data da decisão e datas de inclusão no cadastro); o endereço de empregador pessoa física e qualquer CPF completo não são guardados, e a cópia é substituída por inteiro a cada publicação.
• Finalidade: avaliação de integridade de terceiros (due diligence), dentro do programa de integridade do cliente.
• Base legal: legítimo interesse do controlador (LGPD, art. 7º, IX), com tratamento limitado a dados públicos e ao mínimo necessário à finalidade.
• O que o resultado significa: a plataforma consultou e registrou as fontes listadas, na data indicada; a avaliação do terceiro é do cliente. Não há atestado de idoneidade.

Finalidade: avaliação de integridade de terceiro (due diligence). Base legal: legítimo interesse do controlador (LGPD, art. 7º, IX). Sócios são consultados apenas pelo nome que a Receita Federal publica; nenhum CPF completo é guardado.

4. Com quem os dados passam

Para funcionar, a plataforma usa os provedores abaixo (suboperadores), que tratam os dados só para prestar o serviço à Nexo:

• Supabase — banco de dados, autenticação e armazenamento dos arquivos de evidência. Os dados ficam hospedados em São Paulo (Brasil).
• Vercel — hospedagem da aplicação. O processamento roda em São Paulo; a rede de entrega de conteúdo e os registros técnicos de acesso podem passar por servidores fora do Brasil.
• Resend — envio dos e-mails da plataforma (convites, link de acesso e avisos de prazo), pela região de São Paulo.
• OpenRouter e Anthropic — assistente de inteligência artificial (modelo Claude). Quando quem gerencia o cliente pede uma sugestão ou uma explicação, ou faz uma pergunta em “Pergunte às fontes”, o servidor da plataforma envia ao OpenRouter, que repassa à Anthropic, só o necessário para aquele pedido: o texto da política ou do modelo de política, a pergunta do diagnóstico, os itens das bibliotecas curadas, as lacunas e os riscos do cliente, o perfil da organização sem CNPJ, razão social nem nome do responsável, os registros públicos de um achado de terceiro sem nome de pessoa nem CPF, e a pergunta digitada em “Pergunte às fontes”, com os trechos dos textos oficiais usados para respondê-la. A plataforma pede que essa pergunta não traga dado pessoal e mascara CPF e CNPJ antes do envio. O processamento do assistente acontece fora do Brasil.

Todas essas empresas têm sede nos Estados Unidos. Quando houver transferência internacional de dados, ela segue as hipóteses do art. 33 da LGPD.

Na consulta a terceiros (seção 3), o CNPJ consultado é enviado à BrasilAPI, ao minhareceita.org e à OpenCNPJ (serviços comunitários que repetem o cadastro público da Receita Federal; as duas últimas só quando a anterior não responde), e o CNPJ e os nomes dos sócios são enviados ao Portal da Transparência (Controladoria-Geral da União). O CNPJ da empresa é enviado também à API de dados abertos do Banco Central do Brasil; do cadastro de inabilitados e proibidos do Banco Central a plataforma baixa os quadros públicos e compara os nomes por conta própria, sem enviar o nome de nenhum sócio. O Cadastro de Empregadores do MTE é apenas baixado do portal do Ministério: nenhum dado é enviado.

5. Por quanto tempo e como se elimina

• Durante o contrato, os dados do cliente ficam disponíveis a ele.
• Encerrado o contrato, o expurgo ocorre em até 30 dias, salvo instrução do controlador.
• O expurgo é por anonimização: saem nomes, textos e arquivos; ficam a estrutura probatória (datas, hashes, situação das consultas) e a trilha de auditoria, que deixam de identificar pessoas. Nos terceiros, saem a razão social, as observações, os nomes dos sócios e o resultado bruto das fontes; ficam o CNPJ, as datas e a situação de cada consulta.
• Cópias de segurança são mantidas por 35 dias e depois descartadas.

6. Seus direitos

A LGPD (art. 18) garante ao titular, entre outros, confirmação do tratamento, acesso, correção, anonimização ou eliminação de dados desnecessários e informação sobre compartilhamento. O pedido pode ser feito ao controlador (o cliente da Nexo) ou ao encarregado da Nexo (seção 7), que o encaminha ao controlador; quem decide é o controlador, e a Nexo cumpre o que ele determinar em até 15 dias do pedido formalizado. Isso vale também para quem não é cliente — por exemplo, o sócio de um fornecedor que foi consultado. Dado vindo de fonte pública se corrige na fonte: a plataforma só repete o que foi publicado e a data em que consultou.

7. Contato

Encarregado pelo tratamento de dados pessoais: projetos@edtechbrasil.com.br