Política de Privacidade

O controlador dos dados pessoais tratados na Jornada Liderança é [PREENCHER: razão social completa], inscrita no CNPJ sob o nº [PREENCHER: CNPJ], com sede em [PREENCHER: endereço completo].

O encarregado pelo tratamento de dados pessoais (DPO), previsto no art. 41 da Lei nº 13.709/2018 — a Lei Geral de Proteção de Dados Pessoais, LGPD —, pode ser contatado em [PREENCHER: e-mail do encarregado].

A mentora que conduz um processo é quem decide o que registrar sobre ele. As empresas que eventualmente pagam a mentoria de um profissional não são controladoras desses dados, não recebem acesso à plataforma e não recebem o conteúdo do processo.

A Jornada Liderança conduz um processo de mentoria de liderança em quatro fases — enxergar a passagem, assumir a líder, conduzir gente e liderar sem dar conta de tudo. Na prática, ela faz cinco coisas:

• Aplica instrumentos. Questionários e mapas que a pessoa em mentoria responde sobre si mesma — clareza, dimensões de liderança, posicionamento, delegação, influência.
• Coleta feedback de colegas. Pessoas indicadas pela pessoa em mentoria respondem quatro perguntas abertas sobre ela, por um link, sem criar conta.
• Cruza as duas leituras. O que a pessoa diz de si e o que dizem dela são postos lado a lado, com a origem de cada afirmação visível.
• Gera documentos. Devolutivas, plano de ação e atas de sessão, em PDF, armazenados na própria plataforma.
• Organiza os encontros. A mentora publica as janelas em que aceita ser marcada, a pessoa em mentoria sugere um horário, e a mentora confirma. Quando a mentora conectou a própria agenda do Google, o encontro confirmado vira um evento na agenda dela — ver a seção sobre o Google, abaixo.

• Quem recebe a mentoria. É o titular principal, e o isolamento de dados da plataforma é construído em volta do identificador dele: nenhuma consulta a uma coleção escopada acontece sem esse identificador, tirado da sessão e nunca recebido como parâmetro.
• Quem conduz a mentoria. Cadastro, agenda de atendimento, notas de trabalho e, se ela conectar, a credencial de acesso à própria agenda do Google.
• Quem responde um feedback. Recebe um link com validade declarada, é informado antes da primeira pergunta e responde sem criar conta.
• Quem responde o diagnóstico da página pública. Nome, e-mail, quatro respostas e a data do consentimento. Não há telefone, empresa nem endereço IP, e o que você escreve no formulário não é medido nem enviado a terceiro — a medição de audiência daquela página, descrita adiante, conta visitas e não lê conteúdo.
• Terceiros citados por outra pessoa — a chefia descrita numa ata, o liderado avaliado, o interlocutor mapeado. É a categoria mais delicada desta plataforma, e tem seção própria abaixo.

Esta seção descreve integralmente o que a Jornada Liderança faz com dados de usuário do Google. Ela existe porque a plataforma pede a quem conduz a mentoria — e somente a ela — autorização para escrever na própria agenda do Google.

O escopo pedido, e o único

A plataforma solicita exatamente um escopo OAuth: https://www.googleapis.com/auth/calendar.events. Não são pedidos escopos de leitura de agenda, de disponibilidade (free/busy), de perfil, de e-mail nem de qualquer outro serviço do Google.

O que a plataforma faz com esse acesso

• Cria um evento no calendário principal da conta de quem conduz, quando ela confirma um encontro.
• Altera esse evento quando o encontro é remarcado.
• Remove esse evento quando o encontro é cancelado.
• Pede ao Google, junto da criação, a geração de uma sala de videoconferência para aquele evento. Quando o Google não a gera, o evento é criado sem ela.

O evento carrega quatro coisas e nada mais: um título no formato Mentoria · primeiro nome, o instante de início, o instante de fim e o fuso horário. Não há descrição, não há local e não há lista de participantes — o evento tem um participante só, que é a própria dona da agenda.

O que a plataforma não faz

• Não lê a agenda de ninguém. A disponibilidade não é descoberta no Google: ela é declarada dentro da plataforma, pela própria mentora. Nenhum evento, título ou horário existente na conta dela é lido, listado ou copiado.
• Não convida ninguém. Nenhuma pessoa em mentoria é participante de evento criado pela plataforma, e toda escrita é feita com sendUpdates=none, de modo que o Google não dispara notificação para ninguém.
• Não escreve na agenda de quem recebe mentoria. Nenhum calendário externo de uma pessoa em mentoria recebe escrita da plataforma. Ela recebe data, hora e o endereço da sala pelos canais da própria plataforma, que são neutros.
• Não guarda cópia da agenda. Do lado da plataforma ficam apenas o identificador do evento criado e o endereço da sala de videoconferência.

A credencial

O refresh token devolvido pelo Google é gravado cifrado em repouso, com AES-256-GCM. Ele não é devolvido por rota alguma, não aparece em nenhuma tela, não entra na exportação de dados e não é registrado em log. O token de acesso de curta duração não é armazenado: é pedido ao Google a cada operação.

Quem conduz pode desconectar a agenda a qualquer momento, na própria tela de integrações. Desconectar avisa o Google e apaga a credencial guardada. Os eventos que já existem na agenda dela permanecem lá, porque são dela. A autorização também pode ser revogada diretamente na conta Google, em myaccount.google.com/permissions.

Divulgação de Uso Limitado

O uso e a transferência, pela Jornada Liderança, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado (Limited Use). Em particular:

• Os dados recebidos das APIs do Google são usados apenas para prover e melhorar funcionalidades visíveis e proeminentes na interface da plataforma — no caso, o registro do encontro confirmado na agenda de quem conduz.
• Esses dados não são usados nem transferidos para publicidade de qualquer espécie, inclusive publicidade personalizada, segmentada ou de reengajamento.
• Esses dados não são vendidos nem transferidos a terceiros, salvo nas hipóteses admitidas pela própria política do Google: para prover ou melhorar a funcionalidade, com o consentimento do usuário; por motivos de segurança, como a investigação de abuso; para cumprir a lei aplicável; ou no contexto de uma fusão, aquisição ou venda de ativos, mediante aviso prévio.
• Esses dados não são usados para desenvolver, aprimorar ou treinar modelos de inteligência artificial ou de aprendizado de máquina generalizados.
• Nenhuma pessoa lê esses dados, salvo com concordância afirmativa e específica do próprio usuário, por necessidade de segurança, por exigência legal, ou quando os dados estiverem agregados e anonimizados para operações internas.

Toda comunicação externa acontece sobre TLS. Além disso, os conteúdos mais sensíveis são cifrados campo a campo, em repouso, com AES-256-GCM: a cifra é feita pela aplicação antes de o dado chegar ao banco, de modo que uma cópia do banco não entrega o conteúdo.

Entram nessa cifra:

• o corpo das atas de sessão e a transcrição do encontro;
• as respostas do feedback de colegas;
• as respostas dos instrumentos de perfil comportamental, leitura do PDA, mapa de influência, matriz da delegação e avaliação de desenvolvimento;
• os rascunhos desses instrumentos guardados no servidor;
• o nome, o e-mail e as respostas do diagnóstico enviado pela página pública;
• o nome original de todo arquivo anexado — ele pode nomear um terceiro, e por isso não vira nome de nada nem acompanha o arquivo baixado;
• os textos livres em torno de um encontro: o motivo de um pedido de remarcação, o motivo de um cancelamento e o motivo de um horário recusado;
• a credencial de acesso à agenda do Google.

A plataforma não guarda senhas: a autenticação é feita por um provedor de identidade externo. O token de sessão vive num cookie httpOnly, nunca no navegador em armazenamento acessível por script. Tokens de convite são guardados apenas como hash. Arquivos são servidos somente após verificação de titularidade, nunca por endereço público.

Nos registros de operação (logs) ficam a rota, o papel, a duração, o código de resposta e o identificador interno do titular. Nunca nome, e-mail, telefone, corpo de resposta de instrumento, ata, transcrição ou conteúdo enviado a modelo de linguagem. Logs de aplicação são mantidos por 90 dias.

Há ainda uma trilha de auditoria, que registra o ato e nunca o conteúdo: quem fez, quando, sobre qual recurso, qual operação e de que valor para que valor — sempre dentro de um vocabulário fechado e curto —, mais o endereço IP e o identificador da requisição. Ela não guarda nome, e-mail, telefone nem uma linha do que foi escrito, é somente-inserção — não há como alterá-la nem apagá-la — e vive na mesma transação do ato que registra: se a linha não grava, o ato não acontece.

Três coisas nascem de um modelo de linguagem: o rascunho de ata a partir da transcrição do encontro, a consolidação por tema do feedback de colegas, e o cruzamento entre a leitura de perfil e esse feedback.

Nenhuma delas vira registro sozinha. Todas entram como sugestão pendente de aprovação de quem conduz, com quem aprovou e quando registrados; a edição humana preserva o texto original do modelo ao lado do texto final. Falha do modelo nunca bloqueia nada — o preenchimento manual continua disponível. E o texto que contém dado de terceiro nunca compõe um pedido ao modelo cujo resultado se destine a outra pessoa.

O processamento é feito pela API da Anthropic. Nenhum dado tratado nesta plataforma é usado para treinar modelos, e a instalação registra, de cada chamada, apenas o modelo, a contagem de tokens, o custo e o desfecho — nunca o conteúdo enviado. A condição contratual de não-retenção junto ao provedor deve ser conferida e mantida por quem opera a instância: [PREENCHER: confirmação do contrato de não-retenção com o provedor de IA].

Quatro registros deste produto podem descrever alguém que não tem conta e nunca consentiu: a ata de uma sessão, o mapa de influência, a matriz da delegação e a avaliação de desenvolvimento de um liderado. O tratamento se apoia em legítimo interesse, e vem com contrapartidas construídas no produto:

• Não vira cadastro. A pessoa citada permanece no texto: não ganha perfil, não é pesquisável por nome e não tem histórico agregado entre sessões. É o que separa este produto de um dossiê.
• A ata é duas. A de registro é nota de trabalho de quem escreveu, com acesso exclusivo dela, com nomes e sem PDF. A compartilhada nasce dela por revisão humana, sem terceiro identificável, e é a que a pessoa em mentoria lê e baixa.
• Não circula. Registro com dado de terceiro não é exportado nem enviado por canal externo sem decisão explícita, caso a caso.
• Retenção revisada. O encerramento do processo abre uma revisão em que quem escreveu decide, ata a ata, manter com justificativa ou apagar.

Se você foi citado num registro desta plataforma e quer exercer seus direitos como titular, escreva para [PREENCHER: e-mail do encarregado]. Como esses registros não são pesquisáveis por nome — por decisão de projeto, justamente para não construir perfis —, o atendimento depende de informações que permitam localizar o registro.

A Jornada Liderança não vende dados pessoais e não os compartilha para publicidade. Os operadores abaixo tratam dados por conta e ordem do controlador, no estritamente necessário para o serviço funcionar:

• Logto — provedor de identidade: autenticação e credenciais de acesso.
• Provedor de infraestrutura — servidores, banco de dados e armazenamento de arquivos: [PREENCHER: provedor e localização dos servidores].
• Anthropic — processamento dos rascunhos gerados por modelo de linguagem, quando a instalação tem essa funcionalidade ligada.
• Google — criação do evento na agenda de quem conduz, quando ela conectou a agenda, nos termos da seção específica acima.
• Resend — envio de convites, lembretes e avisos por e-mail.
• Meta / WhatsApp — apenas quando a pessoa aceitou explicitamente esse canal, e apenas para as mensagens que ele carrega.

Anthropic e Google tratam dados fora do Brasil. Essa transferência internacional acontece nos termos do capítulo V da LGPD, com base nas garantias contratuais oferecidas por esses fornecedores: [PREENCHER: instrumento de transferência internacional adotado].

Dados podem ainda ser fornecidos a autoridades quando houver obrigação legal ou ordem judicial.

A plataforma não usa cookies de publicidade e não há pixel de rede social em página alguma. Dentro da área que exige login não há medição de audiência nenhuma— nenhum script de terceiro é carregado ali, porque o próprio endereço de uma página dessa área diria que alguém está em mentoria.

Nas quatro páginas públicas — a inicial, o diagnóstico, esta política e os Termos — existe medição de audiência com o Google Analytics, e ela só funciona se você permitir. Enquanto você não responder ao convite que aparece na primeira visita, nada é carregado: nenhum script do Google é baixado, nenhum cookie de medição é criado e nenhuma informação sai deste site. Se você recusar, isso continua valendo para sempre; se permitir, o Google recebe a página visitada, a origem do acesso e dados técnicos do navegador, com o endereço IP truncado por ele.

A permissão é revogável a qualquer momento, e é tão simples quanto concedê-la:

Os cookies estritamente necessários seguem os mesmos: o cookie da sessão autenticada, marcado httpOnly, e um cookie curto que guarda para onde levar a pessoa depois do login. Sua escolha sobre a medição não é guardada em cookie — ela fica no armazenamento do seu próprio navegador e não chega até nós.

Isso não quer dizer que nada seja registrado: atos sensíveis dentro da plataforma deixam linha na trilha de auditoria, com o endereço IP de quem os praticou, como descrito acima. Rastreamento, aqui, quer dizer perfilamento de comportamento para fins comerciais — e disso não há nada.

• Respostas de instrumentos e documentos gerados: enquanto a pessoa quiser. Os documentos são o histórico do trabalho pago, e o acesso de leitura da pessoa em mentoria termina 90 dias depois do encerramento do processo. Esse prazo não apaga nada e não alcança a exportação, que continua disponível ao titular depois dele.
• Atas e transcrições: o encerramento do processo abre uma revisão em que quem as escreveu decide, uma a uma, manter com justificativa ou apagar. Nada é apagado por decurso de prazo. A plataforma insiste com quem precisa decidir; ela não apaga sozinha. Existe, na base de código, um mecanismo de expurgo que encerra a retenção, e ele nasce desarmado: sem uma configuração explícita de quem opera a instância, ele não apaga nada, e mesmo armado exige aviso prévio e é vencido pela decisão humana.
• Diagnóstico respondido na página pública: sem prazo, e nada é apagado por relógio. Ele sai por um de três caminhos, todos decididos por uma pessoa: quem respondeu apaga pelo link que recebeu, a mentora apaga ao decidir que não haverá mentoria, ou a mentoria começa e o registro passa a ter titular.
• Convites de feedback: o link expira em 21 dias; o registro do convite acompanha o processo.
• Trilha de auditoria: 5 anos, fora do alcance da exclusão — é ela que prova que a própria exclusão aconteceu.
• Logs de aplicação: 90 dias.
• Aceite de canal intrusivo: enquanto o canal estiver ligado. Retirar o aceite apaga o número no mesmo ato e preserva a data em que o aceite foi dado.

O art. 18 da LGPD garante a você confirmação da existência de tratamento, acesso, correção, anonimização ou bloqueio de dados desnecessários, portabilidade, informação sobre compartilhamento, informação sobre a possibilidade de negar consentimento, revogação do consentimento e eliminação dos dados tratados com base nele. Dois desses direitos são botões dentro da plataforma:

Exportação

Quem recebe mentoria pode, a qualquer momento e sem pedir a ninguém, baixar um pacote com os próprios dados. Ele é montado na hora, não expira, não depende de aprovação e continua disponível mesmo depois de o processo ser encerrado e de o prazo de leitura de 90 dias ter passado. Entram nele o cadastro, as respostas dos instrumentos que a pessoa respondeu, os documentos em PDF, a série de medição, a síntese aprovada do feedback, as prioridades, as lacunas e as ações aceitas, as tarefas e os mapas que ela mesma escreveu.

Duas coisas ficam de fora, e a própria exportação explica por quê. A ata de registro, porque ela não é dado da pessoa: é a nota de trabalho de quem conduz, e fala de terceiros. E a resposta literal de um colega no feedback, porque ela é do respondente, entregue sob promessa de que a identidade dele não acompanharia o texto — o conteúdo chega à pessoa avaliada por um caminho só, dentro da consolidação revisada e aprovada por quem conduz.

Exclusão a pedido

A exclusão apaga tudo o que carrega o identificador da pessoa: as respostas, os documentos, os mapas, as tarefas, as atas do processo dela e os arquivos armazenados. Ela acontece numa única transação — ou tudo sai, ou nada sai. Antes de qualquer confirmação, a tela oferece o pacote da exportação: ninguém apaga sem ter visto que havia um caminho para levar os próprios dados.

Duas coisas sobrevivem, e as duas têm motivo. A trilha de auditoria, que registra o ato e nunca o conteúdo — não há nela nome, e-mail nem uma linha do que a pessoa escreveu — e que apagada apagaria a prova de que a própria exclusão aconteceu. E uma marca mínima do registro: identificador interno, provedor, situação e data, sem nome, sem e-mail e sem texto, para que o identificador nunca seja reaproveitado.

A exclusão pode ser executada pela própria pessoa ou por quem conduz a mentoria dela, enquanto o vínculo estiver ativo, e sempre com uma confirmação digitada — a pessoa digita APAGAR MEUS DADOS; quem conduz digita o nome de quem será apagado, como ele está no cadastro. O papel administrativo da plataforma não alcança conteúdo de mentoria e não executa essa exclusão. A remoção da identidade no provedor de autenticação acontece logo depois, fora da transação, e o resultado aparece no recibo que a pessoa lê.

Quem respondeu o diagnóstico na página pública, e por isso não tem conta, apaga o que enviou pelo link que recebeu por e-mail, a qualquer momento e sem precisar explicar nada.

Para exercer qualquer outro direito, ou para ser atendido fora da plataforma, escreva para [PREENCHER: e-mail do encarregado]. Você também pode peticionar perante a Autoridade Nacional de Proteção de Dados (ANPD).

Para parte do público desta plataforma, estar em mentoria é informação sensível de carreira. Por isso a discrição é requisito de projeto, e não cortesia:

• nenhum assunto de e-mail, remetente ou prévia de notificação revela o vínculo;
• na tela inicial de um celular, o aplicativo instalado aparece com rótulo curto e ícone sem palavra;
• as páginas internas não são indexadas por buscadores e não servem descrição alguma na prévia de um link;
• o evento criado na agenda do Google é criado sem notificar ninguém e sem convidado.

A comparação, na plataforma, é sempre da pessoa com ela mesma. Não existe ranking entre pessoas em mentoria, e a empresa que paga não recebe acesso ao conteúdo.

A plataforma se destina a profissionais em exercício de liderança e não é dirigida a menores de 18 anos. A Jornada Liderança não coleta dados de crianças ou adolescentes de forma consciente. Se você identificar um cadastro nessa situação, escreva para [PREENCHER: e-mail do encarregado] para que ele seja apagado.

Havendo incidente de segurança com risco relevante aos titulares, o controlador comunica a ANPD e as pessoas afetadas, nos termos do art. 48 da LGPD. Um incidente aqui pode atingir três grupos — quem recebe mentoria, quem respondeu um feedback e quem foi citado num registro sem saber. O terceiro grupo é considerado na comunicação, ainda que ele não tenha cadastro na plataforma.

Mudanças relevantes são comunicadas dentro da plataforma antes de passarem a valer. Se a forma como a plataforma usa dados recebidos das APIs do Google mudar, os usuários serão notificados e solicitados a consentir com a política atualizada antes de o novo uso acontecer. A data de vigência no topo desta página é sempre a da versão em vigor.

Leia também os Termos de Serviço da Jornada Liderança.