Política de Privacidade e Proteção de Dados

Aviso preliminar e como ler este documento

Esta Política de Privacidade (“Política”) descreve como a TrustMosaic trata dados pessoais.

Distinção fundamental de papéis. A TrustMosaic atua sob dois papéis distintos definidos pela LGPD, conforme o tipo de dado tratado:

• Como Controladora — os dados que a própria TrustMosaic decide coletar e para quais finalidades (cadastro de interessados no site, criação de conta, registros de uso e cobrança).
• Como Operadora — os dados que os clientes corporativos inserem ou processam dentro da plataforma no exercício de suas próprias atividades (papéis de trabalho, evidências, dados de pessoas investigadas, relatos de denúncia, checagem de conflito). Nesses casos, quem determina a finalidade e os meios é o cliente, que é o Controlador; a TrustMosaic trata os dados estritamente conforme as instruções dele.

Por que isso importa para você: Se você é um titular cujos dados foram inseridos na plataforma por uma organização cliente da TrustMosaic, o responsável por decidir o tratamento e atender seus direitos é, em regra, essa organização — não a TrustMosaic. Encaminharemos sua solicitação ao cliente controlador.

1. Quem somos e a quem esta Política se aplica

1.1. Identificação

A TrustMosaic é uma empresa de tecnologia que desenvolve e oferece uma plataforma modular de Governança, Risco, Conformidade (GRC) e forense corporativa, em modelo SaaS, destinada a organizações no Brasil e na América Latina.

• Controladora: TrustMosaic, plataforma de GRC e forense corporativa. Os dados cadastrais completos (razão social, CNPJ e endereço) serão publicados nesta Política assim que a constituição societária for concluída.
• Canal de privacidade: contato@trustmosaic.com.br, com o assunto “Privacidade”.
• Encarregado (DPO): até a nomeação formal, as solicitações de titulares são recebidas e respondidas pelo canal de privacidade acima, nos prazos da LGPD.

Prevalência do contrato. Caso você utilize a plataforma como parte de uma relação entre a TrustMosaic e uma organização contratante (o “Cliente”), o Contrato de Assinatura (MSA) e seus anexos — incluindo o Acordo de Tratamento de Dados (DPA) — firmados com essa organização prevalecerão sobre esta Política em caso de sobreposição ou conflito, naquilo que for aplicável à relação contratual.

1.2. A quem se aplica

• Visitantes e interessados — pessoas que navegam no site, preenchem formulários ou solicitam contato.
• Usuários da plataforma — pessoas vinculadas às organizações clientes que acessam a plataforma (administradores, auditores, gestores, usuários convidados, auditores externos).
• Terceiros referenciados nos dados de clientes — pessoas cujos dados são inseridos ou processados na plataforma por uma organização cliente, sem que necessariamente interajam com a TrustMosaic. Em relação a esses dados, a TrustMosaic atua como Operadora.

Funcionários e candidatos. Se você é funcionário, prestador ou candidato a vaga na TrustMosaic, o tratamento dos seus dados nesse contexto é descrito em aviso de privacidade próprio, comunicado separadamente, e não por esta Política.

2. Quais dados pessoais tratamos

2.1. Dados tratados como Controladora

• Dados de contato e identificação: nome, e-mail corporativo, telefone, cargo, empresa.
• Dados de conta: credenciais, identificador de usuário, perfil de acesso, configurações.
• Dados de uso e técnicos: endereço IP, registros de acesso (logs), dispositivo, navegador, data/hora, ações realizadas.
• Dados de cobrança: faturamento, histórico de assinaturas e consumo de créditos.
• Cookies e identificadores: conforme a Seção 7 e a Política de Cookies.

2.2. Dados tratados como Operadora (inseridos pelos clientes)

No exercício das atividades de GRC, auditoria, forense e conformidade, as organizações clientes podem inserir na plataforma dados pessoais de terceiros. A TrustMosaic não determina quais dados são inseridos nem para qual finalidade; processa-os conforme as instruções do cliente controlador e os termos do Acordo de Tratamento de Dados (Seção 11). Categorias típicas:

• Dados constantes de papéis de trabalho e evidências (nomes, cargos, documentos e demais dados contidos em arquivos carregados pelo cliente).
• Dados de checagem de conflito de interesses (CPF, CNPJ, razão social, vínculos societários, obtidos de bases públicas como a Receita Federal, por instrução do cliente).
• Dados de investigações e forense, sujeitos a compartimentação total.
• Dados de relatos e denúncias (identidade de relatores quando não anônimos, envolvidos e terceiros mencionados).

Dados sensíveis e de menores: a plataforma pode, conforme o uso pelo cliente, conter dados pessoais sensíveis (LGPD, art. 5º, II). Quando a TrustMosaic atua como Operadora, a responsabilidade pela base legal adequada é do cliente controlador. A TrustMosaic não direciona seus serviços a crianças e adolescentes nem coleta intencionalmente, como Controladora, dados de menores de 18 anos.

3. Para que usamos os dados e com qual base legal

Como Controladora, a TrustMosaic trata dados com base nas hipóteses da LGPD (art. 7º e, quando aplicável, art. 11):

• Criar, manter e dar suporte à conta e ao serviço — execução de contrato (art. 7º, V).
• Faturamento e gestão financeira — execução de contrato e obrigação legal/fiscal (art. 7º, V e II).
• Segurança, prevenção a fraudes e logs — legítimo interesse e obrigação legal (art. 7º, IX e II).
• Melhoria e desenvolvimento de produtos — legítimo interesse (art. 7º, IX).
• Comunicações comerciais e marketing — consentimento ou legítimo interesse (art. 7º, I ou IX).
• Atendimento a titulares e autoridades — obrigação legal e exercício de direitos (art. 7º, II e VI).
• Defesa em processos — exercício regular de direitos (art. 7º, VI).

Tratamentos baseados em legítimo interesse contam com salvaguardas e garantia do direito de oposição. O consentimento pode ser revogado a qualquer tempo, sem prejuízo dos tratamentos já realizados.

Como Operadora: para os dados inseridos pelos clientes (Seção 2.2), a finalidade e a base legal cabem ao cliente controlador. A TrustMosaic trata esses dados exclusivamente para executar o serviço conforme as instruções documentadas do cliente e o Acordo de Tratamento de Dados.

4. Seus direitos como titular

A LGPD assegura, entre outros (art. 18): confirmação e acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários ou em desconformidade; portabilidade; eliminação de dados tratados com base no consentimento; informação sobre compartilhamento; revogação do consentimento; e revisão de decisões automatizadas, quando aplicável.

4.1. Como exercer

Solicitações podem ser dirigidas ao canal de privacidade indicado na Seção 1. Poderemos solicitar informações para confirmar sua identidade antes de atender, como medida de segurança.

4.2. Limites e o fluxo quando atuamos como Operadora

Ponto essencial: se seus dados foram inseridos na plataforma por uma organização cliente, a TrustMosaic não tem autonomia para alterar, excluir ou divulgar esses dados por conta própria. Encaminharemos sua solicitação ao cliente controlador, responsável por decidir sobre ela, e apoiaremos o atendimento conforme nossas obrigações como Operadora. Recomendamos direcionar a solicitação diretamente à organização que detém a relação com você.

Atenção a obrigações legais e investigações. Determinados dados não podem ser eliminados mediante simples pedido do titular, em razão de obrigação legal ou regulatória de retenção, por estarem sujeitos a retenção durante investigação ou apuração ativa, ou por integrarem trilha de auditoria de integridade. Nessas hipóteses, a obrigação legal e a preservação de evidência prevalecem sobre o pedido de eliminação, nos termos da LGPD.

5. Com quem compartilhamos dados

A TrustMosaic não vende dados pessoais. O compartilhamento ocorre apenas quando necessário ao serviço e ao cumprimento de obrigações, com deveres de confidencialidade e segurança:

• Fornecedores de tecnologia — infraestrutura em nuvem, processamento e armazenamento, contratados como operadores.
• Subcontratados — pagamento, autenticação, comunicação e suporte estritamente necessários.
• Fontes públicas — bases oficiais consultadas por instrução do cliente (ex.: Receita Federal).
• Autoridades e obrigações legais — quando exigido por lei, ordem judicial ou autoridade, ou para exercício regular de direitos.
• Operações societárias — fusões ou aquisições, mediante salvaguardas e comunicação adequada.

Os fornecedores que atuam como operadores são submetidos a obrigações contratuais de proteção de dados compatíveis com esta Política e com a LGPD.

6. Armazenamento e transferência internacional

A TrustMosaic prioriza o armazenamento e processamento em infraestrutura localizada no Brasil. Havendo transferência internacional — por exemplo, para fornecedores de tecnologia —, esta observará as hipóteses e salvaguardas da LGPD (arts. 33 a 36), como cláusulas contratuais adequadas e garantias de nível de proteção compatível.

7. Cookies e tecnologias de rastreamento

O site institucional e a plataforma utilizam cookies e tecnologias semelhantes para viabilizar funcionalidades essenciais, lembrar preferências, garantir segurança e, mediante consentimento quando aplicável, medir audiência e desempenho. O detalhamento das categorias e a forma de gerenciá-las constam da Política de Cookies, disponível no site. A desativação de cookies necessários pode afetar o funcionamento dos serviços.

8. Por quanto tempo guardamos os dados

Os dados são retidos pelo tempo necessário às finalidades e às obrigações legais, regulatórias e contratuais. A retenção é definida por tipo de dado, não de forma uniforme por cliente.

• Dados de conta e relação contratual: durante a vigência do contrato e pelos prazos legais subsequentes.
• Trilha de auditoria e registros de integridade: no mínimo 5 (cinco) anos, conforme exigências aplicáveis.
• Logs de acesso e segurança: conforme prazos legais e necessidade de segurança.
• Dados sob obrigação legal/regulatória de guarda: pelo prazo legal específico, que prevalece sobre pedido de eliminação.
• Dados sob investigação ou apuração ativa: retidos enquanto durar a apuração (retenção por bloqueio).
• Dados de marketing (consentimento): até a revogação ou inatividade prolongada.

Encerrado o prazo e ausente fundamento legal para guarda, os dados são eliminados ou anonimizados de forma segura, inclusive por eliminação criptográfica (crypto-shredding) quando aplicável.

Prevalência da obrigação legal: havendo conflito entre pedido de eliminação do titular e obrigação legal de retenção, preservação de evidência em apuração ativa ou manutenção da trilha de auditoria, prevalecerá a obrigação legal ou a necessidade de preservação, nos limites estritamente necessários.

9. Como protegemos os dados

A TrustMosaic adota medidas técnicas e organizacionais contra acessos não autorizados e situações de destruição, perda, alteração ou difusão indevidas, incluindo:

• criptografia em trânsito e em repouso, com gestão de chaves dedicada;
• controle de acesso baseado em perfis e em contexto, com mínimo privilégio;
• isolamento de dados entre clientes (multi-tenancy) e compartimentação reforçada para investigações forenses;
• trilhas de auditoria imutáveis e registros de integridade;
• autenticação reforçada e verificações adicionais para operações sensíveis;
• processos de resposta a incidentes e de continuidade/recuperação.

Nenhum sistema é absolutamente imune a riscos. A TrustMosaic empenha esforços compatíveis com as boas práticas de mercado e a natureza dos dados, mas não pode garantir segurança absoluta. As medidas evoluem com o produto.

10. Incidentes de segurança

Na hipótese de incidente que possa acarretar risco ou dano relevante, a TrustMosaic adotará as providências cabíveis. Quando atuar como Controladora, comunicará a ANPD e os titulares afetados, nos termos e prazos da LGPD. Quando atuar como Operadora, comunicará o cliente controlador para que este conduza as notificações sob sua responsabilidade.

11. Tratamento como Operadora e Acordo de Tratamento de Dados

Para os dados que os clientes inserem na plataforma, a relação entre a TrustMosaic (Operadora) e o cliente (Controlador) é regida pelo Contrato de Assinatura (MSA) e pelo Acordo de Tratamento de Dados (DPA) específico, que detalha: finalidades e instruções, subcontratados (suboperadores), medidas de segurança, deveres de cooperação, atendimento a direitos de titulares, tratamento de incidentes e devolução ou eliminação de dados ao término.

12. Alterações nesta Política

Por sermos uma empresa em desenvolvimento contínuo, esta Política poderá ser atualizada para refletir novas funcionalidades, exigências legais ou melhores práticas. A versão vigente será sempre publicada com indicação de data. Alterações relevantes serão comunicadas por meios adequados. O uso continuado dos serviços após a vigência de uma nova versão implica ciência das condições aplicáveis, ressalvadas as hipóteses que exijam novo consentimento.

13. Encarregado, autoridade e foro

Dúvidas, solicitações e reclamações podem ser dirigidas ao Encarregado pelo canal indicado na Seção 1. O titular também pode peticionar à ANPD. Esta Política é regida pelas leis brasileiras, em especial pela LGPD.

14. Definições

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Dado sensível: dado sobre origem racial/étnica, convicção religiosa, opinião política, saúde, vida sexual, dado genético/biométrico, entre outros.
• Titular: pessoa natural a quem se referem os dados.
• Controlador: quem decide sobre o tratamento.
• Operador: quem trata dados em nome do controlador.
• Encarregado (DPO): pessoa indicada como canal entre controlador, titulares e ANPD.
• Tratamento: qualquer operação com dados pessoais.
• MSA / Contrato de Assinatura: contrato principal firmado entre a TrustMosaic e o Cliente.
• DPA / Acordo de Tratamento de Dados: anexo do MSA que rege o tratamento de dados pessoais entre Cliente (controlador) e TrustMosaic (operadora).