Política de Privacidade

A controladora dos dados é Isha Hirayama Desenvolvimento e Terapia Ltda, inscrita no CNPJ 31.446.918/0001-92, que atua sob o nome Patryx. A responsável técnica é Patricia T. Figueiredo Hirayama, psicóloga (CRP 06/96792). O Encarregado pelo tratamento de dados (DPO) é a própria Patricia T. Figueiredo Hirayama. Para questões sobre privacidade ou para exercer seus direitos, escreva para contato@patryx.com.br.

Coletamos apenas o necessário para prestar o serviço:

• No Check gratuito: nome, e-mail, telefone/WhatsApp, empresa e as respostas ao questionário de percepção de liderança.
• Nos diagnósticos e avaliações (área logada): respostas de líderes e equipes, dados de organizações, ciclos e relatórios. Estas respostas são coletadas de forma associada a um token, sem exigir login do respondente. A coleta depende de autorização expressa do respondente, registrada com data. Nos blocos de liderados e pares, nenhuma informação que identifique o respondente é gravada junto às respostas.
• No 360 por área: quando a empresa contrata essa modalidade, os colaboradores avaliam a gestão da sua área como um todo, e não uma pessoa. As respostas não identificam quem respondeu e só aparecem somadas por grupo; grupos pequenos são juntados até atingir o número mínimo, para que ninguém seja reconhecido. As perguntas são aprovadas pela psicóloga responsável. O respondente pode se opor a participar a qualquer momento, sem prejuízo, pelo próprio link ou pelo contato desta Política. A base legal é a mesma dos demais diagnósticos (item 3).
• Em depoimentos (opcional): nome, função, nota e o texto que você escrever. São publicados no site apenas após aprovação da consultoria, e somente com sua autorização expressa.
• De consultoras e administradores: nome, e-mail e credenciais de acesso.
• De navegação: dados técnicos mínimos necessários ao funcionamento e à segurança (ex.: verificação anti-robô via Cloudflare Turnstile). Não usamos cookies de rastreamento publicitário.
• De diagnóstico técnico: quando ocorre um erro no site, registramos o código do erro, a página (sem identificadores), a versão da aplicação, um identificador de sessão e uma versão reduzida do navegador utilizado. Se você estiver autenticado, seu identificador é gravado de forma pseudonimizada. Não registramos mensagens, respostas do diagnóstico nem conteúdo digitado.
• Do quadro de pessoal da empresa cliente: quando uma empresa contrata o diagnóstico, ela nos envia o cadastro de seus empregados — nome, e-mail, função, área e a quem cada pessoa reporta. É desse cadastro que a plataforma deriva quem avalia quem. Quem informa você sobre esse envio é a sua empresa, que é quem tem contato com você. Nós tratamos esses dados apenas para operar o diagnóstico contratado: não os usamos para prospecção, não os compartilhamos com parceiros comerciais e não os cruzamos com dados de outras empresas.

Parte dos dados tratados reflete percepções sobre clima, saúde mental no trabalho e comportamento — que podem ser considerados dados sensíveis pela LGPD. Esses dados são tratados com finalidade específica (diagnóstico organizacional e desenvolvimento de liderança) e apresentados de forma agregada sempre que possível, preservando a individualidade dos respondentes.

O tratamento é segregado por finalidade: informações organizacionais não sensíveis, com base nas hipóteses do art. 7º; dados sensíveis estritamente indispensáveis ao gerenciamento de riscos psicossociais exigido pela NR-1, com fundamento no art. 11, II, “a”, sob responsabilidade da empresa empregadora; e informações sensíveis adicionais e facultativas, apenas mediante consentimento específico, destacado e revogável, nos termos do art. 11, I.

• Gerar seu resultado e relatórios — execução do serviço solicitado.
• Contato comercial (retorno sobre o Check, propostas) — mediante seu consentimento, que pode ser revogado a qualquer momento.
• Apoio a obrigações legais do cliente, como a gestão de riscos psicossociais prevista na NR-1 — cumprimento de obrigação legal e legítimo interesse.
• Segurança e prevenção a fraudes — legítimo interesse.
• Publicação de depoimentos — mediante seu consentimento, revogável a qualquer momento.
• Correção de falhas técnicas — legítimo interesse.
• Registro de reuniões com organizações clientes — legítimo interesse.

Registro de reuniões com organizações clientes. Quando conduzimos reuniões de trabalho com uma organização cliente (por exemplo, abertura de projeto, devolutivas e comitês), registramos em ata a data, os participantes (nome, cargo e empresa), a pauta, as decisões e as ações combinadas, com responsável e prazo. A finalidade é documentar a prestação do serviço contratado e acompanhar o que foi combinado. A base legal é o legítimo interesse (art. 7º, IX, da LGPD). As atas são acessadas pela equipe autorizada da Patryx, que registra quem alterou cada ata e quando; a organização cliente vê apenas as atas que compartilhamos com ela. Orientamos a equipe a não registrar dado de saúde nem nome de colaborador sem necessidade. As atas ficam guardadas pelo mesmo prazo do ciclo de trabalho contratado pela organização cliente a que pertencem e são eliminadas junto com ele; a eliminação é decidida por pessoa da Patryx, nunca de forma automática.

A Patryx não vende dados pessoais. Compartilhamos dados apenas com prestadores que viabilizam o serviço, na medida necessária:

• Supabase — banco de dados e autenticação (infraestrutura hospedada na região do Brasil, sa-east-1).
• Cloudflare — entrega da aplicação e proteção anti-robô.
• Fornecedor de inteligência artificial — apoio à redação de rascunhos técnicos (narrativa do Diagnóstico de Liderança; no Diagnóstico NR-1, comentários dos gráficos, possíveis agravos à saúde associados ao trabalho e conclusão técnica; e, no módulo Reuniões, resumo, decisões e ações a partir da ata ou de uma transcrição colada ou enviada em arquivo), quando a funcionalidade estiver ativada pela organização. Nos dois diagnósticos, não são enviados nomes, e-mails, identificadores diretos nem respostas brutas. No módulo Reuniões, são enviados o texto da ata ou da transcrição, que pode conter nomes e falas de participantes, e os nomes dos participantes cadastrados na reunião. Podem ser enviadas estatísticas por setor, que em grupos pequenos podem revelar informação de uma pessoa e, nesses casos, são tratadas como dados pessoais (e sensíveis, quando revelarem saúde). O fornecedor não toma decisão profissional, e todo texto passa por revisão humana antes do relatório ou da ata oficial. O fornecedor fica fora do Brasil (transferência internacional), não autorizamos o uso dos dados para treinar modelos, e a organização pode recusar o uso de IA.
• Apoio à decisão por inteligência artificial — além da redação descrita no item anterior, a plataforma usa ferramentas de apoio à decisão: regras fixas da Patryx e o Jev, serviço de classificação da TypeSafe. Elas ordenam e sugerem (por exemplo, a prioridade de uma ação) e não escrevem texto. Toda sugestão é revisada por uma pessoa da equipe Patryx antes de valer, e nenhuma decisão é tomada só pela ferramenta. Você pode pedir a revisão de uma decisão tomada com apoio de inteligência artificial (art. 20 da LGPD) pelo e-mail contato@patryx.com.br. O Jev recebe o caso sem nomes nem identificadores diretos, fica fora do Brasil (transferência internacional, art. 33 da LGPD), e não autorizamos o uso dos dados para treinar modelos. A organização pode se opor a todo uso de inteligência artificial: nesse caso, o Jev e o fornecedor de redação não são usados, e as sugestões vêm só das regras fixas, sempre revisadas por uma pessoa. A recusa apenas da redação mantém as regras e o Jev.
• Gravação e transcrição de reuniões. Quando a reunião é gravada na plataforma ou um arquivo de áudio gravado fora dela é enviado, com o consentimento prévio dos participantes, o áudio pode ser transcrito por um fornecedor de inteligência artificial especializado em transcrição, contratado sob acordo de proteção de dados. O áudio é apagado — do nosso armazenamento e do fornecedor — imediatamente depois de obtido o texto; só o texto transcrito permanece, com a mesma guarda da ata da reunião. A transcrição está desligada por padrão e só é usada quando a organização não se opôs ao uso de inteligência artificial.

Também podemos compartilhar dados para cumprir obrigação legal ou ordem de autoridade competente.

Parceiros comerciais

A Patryx trabalha com parceiros comerciais que apresentam nossos serviços a potenciais clientes. Esses parceiros atuam como operadores: tratam dados pessoais por nossa conta e ordem, seguindo instruções documentadas em contrato, e não podem usá-los para finalidade própria, manter base de dados paralela ou repassá-los a terceiros.

Qual a finalidade e a base legal. Apresentar e comercializar os serviços da Patryx. A base é o seu consentimento, recolhido quando você preenche o Check ou o formulário de contato, e você pode retirá-lo a qualquer momento.

O que o parceiro vê. Por padrão, apenas os dados de contato de quem ele mesmo indicou e o andamento da conversa comercial. Ele não tem acesso ao conteúdo do seu Check nem a qualquer resultado, salvo se duas condições ocorrerem ao mesmo tempo:

• você autorizar o compartilhamento, no consentimento específico e opcional que aparece quando você acessa o Check por um link de parceiro; e
• a Patryx aprovar essa liberação, caso a caso, com prazo de validade.

Recusar essa autorização não impede você de responder o Check nem de ver o seu resultado.

O que o parceiro nunca vê. Respostas individuais, dados de avaliações 360° e informações de outras pessoas ou organizações.

Registro e revogação. A plataforma registra os acessos do parceiro ao material do seu Check. Você pode revogar a autorização a qualquer momento pelo canal de contato indicado nesta Política; a revogação vale para usos futuros.

Download de materiais comerciais. Quando você, parceiro, baixa um material do nosso acervo (apresentação, proposta ou documento), registramos quem baixou, qual arquivo e quando, por 5 (cinco) anos, prorrogáveis apenas com justificativa registrada (por exemplo, disputa ou ordem judicial), para segurança e auditoria, controle de versão e acompanhamento de uso dos materiais. Esse registro é acessado apenas por pessoas autorizadas da Patryx. A base legal é o legítimo interesse (art. 7º, IX, da LGPD): é dado não sensível relativo à sua própria atuação como parceiro, não dado do titular que você atende.

Transferência internacional. Embora o banco de dados esteja hospedado no Brasil, a aplicação é entregue por rede global e nossos fornecedores possuem acesso administrativo fora do país. Isso caracteriza transferência internacional de dados, para a qual adotamos as salvaguardas previstas na legislação aplicável.

Mantemos os dados apenas pelo tempo necessário às finalidades acima. Dados de contato de leads são mantidos por até 2 anos após o último contato. Relatórios assinados por profissional responsável têm guarda mínima de 5 anos a contar do último registro do serviço; vencido o prazo, passam por análise documentada que decide entre o descarte seguro e a prorrogação da guarda. Registros técnicos de erro são eliminados em até 30 dias, ou em até 90 dias quando vinculados a incidente ainda em apuração. Depoimentos são mantidos enquanto publicados; após a remoção, conservamos apenas o registro mínimo que comprova a autorização. O cadastro de pessoal enviado pela empresa cliente é mantido enquanto durar o contrato com ela e eliminado após o encerramento. Encerradas a finalidade e as obrigações legais, os dados são eliminados ou anonimizados.

Registros de acesso. Como provedora de aplicação de internet, a Patryx guarda por 6 (seis) meses os registros de acesso à plataforma — data, hora, endereço IP e, quando necessária, a porta lógica de origem —, inclusive de quem acessa sem conta, conforme o Marco Civil da Internet (art. 15) e o Decreto nº 8.771/2016 (art. 15-A). Esses registros ficam em camada separada dos questionários e das respostas, não guardam o que a pessoa respondeu nem o link usado, só são acessados por pessoas autorizadas, com auditoria, e são eliminados ao fim do prazo ordinário, ressalvada obrigação legal, requerimento cautelar válido ou ordem judicial de preservação aplicável.

Você pode, a qualquer momento, solicitar:

• confirmação da existência de tratamento e acesso aos seus dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários;
• portabilidade e informação sobre compartilhamento;
• revogação do consentimento e eliminação dos dados tratados com base nele.

Para exercer seus direitos, escreva para contato@patryx.com.br. Respondemos em até 15 dias. Para confirmar sua identidade, podemos pedir informações que só você teria — nunca documentos além do necessário.

Revogação do consentimento. Você pode revogar a qualquer momento pelo canal de contato acima. A revogação impede novos tratamentos baseados no consentimento, inclusive o uso das suas respostas em ciclos e relatórios futuros. Tratamentos realizados antes da revogação permanecem válidos.

Decisão automatizada. O sistema calcula pontuações automaticamente, mas o relatório só é emitido após análise da psicóloga responsável, que pode corrigir dados, desconsiderar resultados inconsistentes e impedir a emissão. Você pode pedir esclarecimentos e reanálise técnica pelo canal de contato. Caso algum resultado venha a ser usado em decisão tomada unicamente de forma automatizada que afete seus interesses, fica assegurado o direito de revisão previsto no art. 20 da LGPD.

Adotamos medidas técnicas e organizacionais para proteger os dados, como controle de acesso por papéis, isolamento por organização, verificação anti-robô e regras que tornam os relatórios assinados imutáveis. Nenhum sistema é 100% infalível, mas trabalhamos continuamente para reduzir riscos.

Podemos atualizar esta Política periodicamente. A versão vigente é sempre a publicada nesta página, com a data de atualização indicada no topo.