1. Nosso compromisso
Um canal de denúncias lida, por natureza, com informações sensíveis — sobre pessoas, condutas e organizações. Por isso, o SISDEN foi projetado desde a origem com a proteção de dados como requisito de arquitetura, e não como ajuste posterior: anonimato garantido tecnicamente, isolamento de dados por empresa, acesso compartimentado e trilha de auditoria completa.
2. Papéis no tratamento de dados
| Papel (LGPD) | Quem é | Responsabilidade |
|---|---|---|
| Controladora | A empresa contratante que disponibiliza o canal de denúncias | Decide as finalidades do tratamento, conduz a apuração das denúncias e responde pelas decisões sobre os dados |
| Operadora | Valifort (SISDEN) | Trata os dados em nome da controladora, provendo a plataforma, a segurança e a infraestrutura |
| Titulares | Manifestantes identificados, pessoas citadas nas denúncias e usuários internos | Podem exercer os direitos previstos no art. 18 da LGPD |
3. Bases legais utilizadas
| Hipótese legal (art. 7º) | Aplicação no SISDEN |
|---|---|
| Obrigação legal ou regulatória (inciso II) | Canais de denúncia exigidos ou incentivados pela Lei Anticorrupção (12.846/2013), Lei 14.457/2022, Resolução CVM nº 80 e programas de integridade |
| Exercício regular de direitos (inciso VI) | Guarda de registros e evidências para defesa em processos administrativos e judiciais |
| Legítimo interesse (inciso IX) | Apuração de irregularidades e proteção da integridade corporativa da controladora |
| Consentimento (inciso I) | Identificação voluntária do manifestante, que sempre tem a alternativa do anonimato |
4. Anonimato e a LGPD
- Denúncias anônimas não recebem e-mails nem tokens de interação — não existe canal técnico que possa expor o manifestante;
- O acompanhamento é feito exclusivamente pelo protocolo
DEN-{ano}-{nº}, exibido uma única vez na tela; - Os registros de acesso da plataforma (mantidos para segurança) não são vinculados ao conteúdo de denúncias específicas.
5. Direitos dos titulares (art. 18)
Qualquer titular de dados pessoais tratados na plataforma pode solicitar:
- Confirmação da existência de tratamento e acesso aos seus dados;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
- Portabilidade dos dados, observados os segredos comercial e industrial;
- Informação sobre compartilhamentos realizados;
- Revogação do consentimento, quando esta for a base legal aplicável.
As solicitações devem ser dirigidas preferencialmente à empresa controladora do canal utilizado. Também podem ser enviadas à Valifort pelo e-mail contato@valifort.com.br — quando a decisão couber à controladora, encaminharemos a solicitação e informaremos o titular.
Vale observar que o atendimento a esses direitos pode ser ponderado com outras obrigações legais — por exemplo, a eliminação de dados pode ser recusada enquanto forem necessários à apuração em curso ou ao cumprimento de obrigação legal (art. 16 da LGPD).
6. Medidas técnicas e organizacionais
- Criptografia em trânsito: toda a plataforma opera sob HTTPS;
- Senhas com BCrypt: hash criptográfico irreversível; nenhuma senha é armazenada em texto claro;
- Tokens de uso único: a comunicação com o manifestante identificado usa links com token criptograficamente seguro (CSPRNG, 64 caracteres), de uso único e com expiração automática;
- Isolamento multi-tenant: escopo rígido de dados por empresa, validado em todas as consultas;
- Acesso compartimentado: analistas só visualizam as denúncias das fases às quais foram expressamente autorizados;
- Trilha de auditoria: registro de todos os acessos ao sistema (IP, data, usuário, ação) e histórico imutável de cada interação com a denúncia (visualização, alteração de etapa/fase/status, pareceres, atribuições);
- Anexos protegidos: arquivos armazenados fora da área pública do servidor e servidos somente a usuários autorizados;
- Hospedagem no Brasil: os dados residem em infraestrutura localizada em território nacional.
7. Retenção e eliminação
Os dados são mantidos pelo período necessário à apuração das denúncias e ao cumprimento das obrigações legais da controladora, que define os prazos de guarda conforme sua política de retenção. Encerrado o contrato com uma empresa, os dados do seu canal são devolvidos ou eliminados conforme as condições contratuais.
8. Transferência internacional
O SISDEN não realiza transferência internacional de dados pessoais: a plataforma e os dados são hospedados em infraestrutura localizada no Brasil.
9. Incidentes de segurança
Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Valifort comunicará a empresa controladora afetada em prazo compatível com as obrigações do art. 48 da LGPD, fornecendo as informações necessárias para a eventual comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares.
10. Encarregado e contato
Solicitações de titulares, dúvidas sobre proteção de dados e comunicações relacionadas à LGPD podem ser dirigidas ao canal de privacidade da Valifort: contato@valifort.com.br.
Para mais detalhes sobre como tratamos dados pessoais, consulte a Política de Privacidade.