GOV-009: Política de Privacidade e Proteção de Dados

1. Identificação e versão

Campo	Informação
Empresa (controladora)	VESPARIUM™ Tech Ltda., CNPJ 22.396.108/0001-88
Sede	Rua Manoel Lopes Filho, 51, Cortina D’Ampezzo, São José do Rio Preto/SP, CEP 15082-418
Código	GOV-009
Versão	1.1, que substitui a versão 1.0 (a versão 1.0 substituiu a “Política de Privacidade” publicada em junho de 2026)
Situação	Aprovado
Data de elaboração	29/10/2026 (versão 1.1: 30/10/2026)
Data de aprovação	30/10/2026
Responsável	Thiago Galbiatti Vespa, sócio administrador
Classificação	Pública
Próxima revisão	12 meses após a aprovação, ou antes, se mudar algum tratamento

Histórico de revisões

Versão	Data	Descrição	Responsável
Original	06/2026	Política de Privacidade original do site	Thiago Galbiatti Vespa
0.1	29/10/2026	Reescrita como GOV-009: inclui todos os tratamentos do site, canal de denúncias, operadores, retenção e incidentes	Thiago Galbiatti Vespa
1.0	29/10/2026	Aprovação pela administração (termo REG-01)	Thiago Galbiatti Vespa
1.1	30/10/2026	Operadores nomeados (inclusão de Twilio SendGrid e Google Workspace); tratamentos fora do site, inclusive dados de empregados; retenção correspondente	Thiago Galbiatti Vespa

2. Objetivo e abrangência

Explicar como a VESPARIUM™ Tech Ltda. (“Vesparium”) trata dados pessoais e estabelecer as regras internas de proteção de dados. Aplica-se:

• ao site vesparium.tech e seus formulários e áreas de acesso;
• ao relacionamento com clientes, participantes de treinamentos, leitores, fornecedores e parceiros;
• aos dados de empregados e de outras pessoas que trabalham para a Vesparium;
• às comunicações por e-mail e videoconferência e aos documentos de trabalho;
• aos dados pessoais tratados pela Vesparium em projetos de clientes, nos quais normalmente atua como operadora, seguindo as instruções do cliente controlador e o contrato.

3. Referências normativas

• Lei nº 13.709/2018 (LGPD), especialmente arts. 6º (princípios), 7º e 11 (bases legais), 15 e 16 (término e conservação), 18 e 19 (direitos e prazos de atendimento), 33 (transferência internacional), 37 (registro das operações), 41 (encarregado), 46 a 49 (segurança e incidentes) e 50 (boas práticas).
• Resolução CD/ANPD nº 2/2022 (agentes de tratamento de pequeno porte), com as alterações da Resolução CD/ANPD nº 15/2024.
• Resolução CD/ANPD nº 15/2024 (Regulamento de Comunicação de Incidente de Segurança).
• Resolução CD/ANPD nº 18/2024 (Regulamento do encarregado).
• Lei nº 12.965/2014 (Marco Civil da Internet), art. 15 (guarda de registros de acesso).
• ISO/IEC 27001:2022, como referência de boas práticas de segurança da informação. A Vesparium não é certificada nessa norma.

4. Definições

Adotam-se as definições do art. 5º da LGPD, em especial: dado pessoal, dado pessoal sensível, titular, controlador, operador, encarregado, tratamento, anonimização e incidente de segurança.

5. Diretrizes e regras

5.1 Princípios

A Vesparium trata dados pessoais com finalidade específica e informada, apenas na medida necessária, com transparência, segurança e prestação de contas, e nunca de forma discriminatória (LGPD, art. 6º).

5.2 Dados tratados, finalidades e bases legais

No site:

Origem	Dados	Finalidade	Base legal (LGPD, art. 7º)
Formulário de contato	Nome, e-mail, mensagem	Responder à solicitação	IX: legítimo interesse; V: procedimentos preliminares a contrato, quando a mensagem tratar de contratação
Formulário de frameworks	Nome, e-mail, frameworks escolhidos	Enviar os materiais solicitados	I: consentimento
Pedido de proposta de treinamento	Nome, e-mail, organização, cargo, setor, porte da organização, formato desejado, mensagem	Elaborar e enviar proposta comercial	V: procedimentos preliminares a contrato, a pedido do titular
Materiais complementares de livros	Nome, e-mail	Enviar os materiais solicitados	I: consentimento
Área de leitores (resgate por código)	Nome, e-mail, código de acesso, data do último acesso e número de acessos	Liberar e controlar o acesso ao conteúdo adquirido	V: execução de contrato
Plano de carreira (acesso concedido)	Nome, e-mail, área, data do último acesso e número de acessos	Liberar e controlar o acesso ao conteúdo	V: execução de contrato ou procedimentos preliminares
Canal de denúncias	Conteúdo do relato e, somente se o denunciante quiser, nome e contato	Receber e apurar denúncias (GOV-003)	IX: legítimo interesse; VI: exercício regular de direitos
Dados técnicos de navegação	Endereço IP, data e hora, página acessada, navegador	Segurança, prevenção de abuso e funcionamento do site	IX: legítimo interesse

A Vesparium não usa cookies de publicidade, pixels de anúncios nem ferramentas de analytics. O site pode usar cookies estritamente necessários de segurança, definidos pelo provedor de rede de distribuição (Cloudflare). A área administrativa usa um cookie de sessão apenas para o administrador.

Fora do site:

Tratamento	Dados	Finalidade	Base legal
Clientes, propostas e contratos	Nome, cargo, e-mail, telefone e dados contratuais dos representantes	Execução de contratos e faturamento	Art. 7º, V: execução de contrato; II: obrigação legal (fiscal)
Participantes de treinamentos	Dados de identificação e contato; presença e avaliações, quando houver	Execução do treinamento e emissão de certificados	Art. 7º, V: execução de contrato
E-mail e videoconferência	Nome, e-mail, conteúdo das mensagens e das reuniões	Comunicação profissional	Art. 7º, V: execução de contrato; IX: legítimo interesse
Empregados	Dados cadastrais, documentos, dados bancários, jornada, remuneração e dependentes; dados de saúde dos exames ocupacionais	Contrato de trabalho, folha de pagamento, eSocial, saúde e segurança do trabalho	Art. 7º, V e II; para dados de saúde, art. 11, II, “a” (obrigação legal)
Fornecedores e parceiros	Dados de sócios e representantes consultados em cadastros públicos	Diligência de integridade (GOV-005)	Art. 7º, IX: legítimo interesse

A Vesparium não solicita dados pessoais sensíveis nos formulários do site. Se o denunciante incluir dados sensíveis no relato, eles serão tratados apenas na medida necessária para a apuração. Dados de saúde de empregados são tratados apenas para cumprir obrigações trabalhistas e de saúde ocupacional, com acesso restrito.

5.3 Compartilhamento e operadores

A Vesparium não vende nem aluga dados pessoais. Os dados podem ser tratados pelos seguintes operadores, apenas para as finalidades acima:

Operador / terceiro	Função	Observação
Amazon Web Services (AWS)	Hospedagem do site e dos registros dos formulários	Servidor virtual com acesso restrito.
Cloudflare	Rede de distribuição, proteção contra ataques e verificação anti-robô (Turnstile)	Transferência internacional (Seção 5.4).
Twilio (SendGrid)	Envio dos e-mails do site, incluindo o conteúdo dos formulários; no canal de denúncias, apenas o aviso com o número do protocolo	Transferência internacional (Seção 5.4).
Google (Google Workspace)	E-mail corporativo, armazenamento de documentos (Google Drive) e videoconferência (Google Meet)	Transferência internacional (Seção 5.4).
Escritório de contabilidade	Contabilidade, folha de pagamento e obrigações fiscais e trabalhistas	Prestador no Brasil, com dever de confidencialidade.
VLibras (Governo Federal)	Tradução de conteúdo para Libras, carregada no navegador do visitante na versão em português	O componente é carregado de servidores do governo federal. Não é carregado no canal de denúncias.

Documentos de clientes, propostas, contratos e treinamentos são mantidos em equipamento da Vesparium, com cópia de segurança no Google Drive. Em projetos de clientes, os dados permanecem no ambiente do cliente (Seção 5.10).

Dados também podem ser compartilhados com autoridades públicas, quando houver obrigação legal (por exemplo, emissão de nota fiscal e eSocial) ou ordem judicial, ou para o exercício regular de direitos.

5.4 Transferência internacional

Cloudflare, Twilio (SendGrid) e Google podem processar dados fora do Brasil, e a AWS também, conforme a região do serviço. A Vesparium só utiliza operadores que ofereçam garantias de proteção compatíveis com a LGPD, nas hipóteses do art. 33.

5.5 Retenção (prazos definidos pela empresa, salvo indicação de norma)

Dados	Prazo de guarda
Contatos, pedidos de materiais e de propostas sem contratação	24 meses após a última interação
Dados de clientes e contratos	Duração do contrato e, depois, pelos prazos legais (fiscais, contábeis e de defesa em processos)
Participantes de treinamentos	Duração do contrato e 5 anos, para comprovação de certificados
Dados de empregados	Prazos legais trabalhistas e previdenciários
Acessos à área de leitores e ao plano de carreira	Enquanto o acesso estiver ativo e 12 meses após a revogação
Denúncias	5 anos após o encerramento do caso (GOV-003)
Registros de incidentes de segurança	No mínimo 5 anos a partir do registro (Resolução CD/ANPD nº 15/2024, art. 10)
Registros de acesso ao site (data, hora e endereço IP)	6 meses, sob sigilo (Marco Civil da Internet, Lei nº 12.965/2014, art. 15). Exceção: as requisições do canal de denúncias não são registradas, para proteger a identidade de quem denuncia (GOV-003).

Encerrado o prazo, os dados são eliminados ou anonimizados, salvo as hipóteses de conservação do art. 16 da LGPD.

5.6 Direitos dos titulares

O titular pode, a qualquer momento e gratuitamente (LGPD, art. 18):

1. confirmar a existência de tratamento;
2. acessar seus dados;
3. corrigir dados incompletos, inexatos ou desatualizados;
4. solicitar anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
5. solicitar a portabilidade;
6. solicitar a eliminação dos dados tratados com base no consentimento;
7. saber com quem seus dados foram compartilhados;
8. saber da possibilidade de não consentir e suas consequências;
9. revogar o consentimento.

O titular também pode apresentar petição à Autoridade Nacional de Proteção de Dados (ANPD).

Como exercer: pelo e-mail [email protected]. A Vesparium pode pedir informações para confirmar a identidade do titular antes de atender. A confirmação de existência ou o acesso em formato simplificado são fornecidos de imediato, quando possível; a declaração completa, no prazo do art. 19, II, da LGPD, observados os prazos diferenciados para agentes de pequeno porte, se aplicáveis.

5.7 Encarregado e canal de comunicação

A Vesparium não indicou encarregado pelo tratamento de dados pessoais. Caso se enquadre como agente de tratamento de pequeno porte, a Resolução CD/ANPD nº 2/2022 (art. 11) dispensa essa indicação, desde que mantido canal de comunicação com o titular. A Vesparium mantém esse canal em qualquer caso.

Canal de comunicação com o titular: [email protected], sob responsabilidade do sócio administrador.

5.8 Segurança

A Vesparium adota medidas técnicas e administrativas de segurança proporcionais ao seu porte e ao risco dos tratamentos, como comunicação cifrada, controle de acesso aos registros e proteção contra envios automatizados. As medidas específicas do canal de denúncias estão descritas na GOV-003.

Detalhes de configuração de segurança não são publicados.

5.9 Incidentes de segurança

1. Todo colaborador deve comunicar imediatamente ao Responsável pelo Programa qualquer suspeita de incidente.
2. O incidente é avaliado, contido e registrado, mesmo que não precise ser comunicado.
3. Se puder acarretar risco ou dano relevante aos titulares, é comunicado à ANPD e aos titulares (LGPD, art. 48), nos prazos da Resolução CD/ANPD nº 15/2024: 3 dias úteis do conhecimento de que o incidente afetou dados pessoais, contados em dobro para agentes de pequeno porte.
4. O registro do incidente é guardado por, no mínimo, 5 anos.
5. Quando a Vesparium atuar como operadora, comunica o incidente ao cliente controlador sem demora, conforme o contrato.

5.10 Dados de clientes em projetos (Vesparium como operadora)

• Tratamento somente conforme instruções documentadas do cliente e o contrato.
• Acesso restrito às pessoas do projeto, com dever de confidencialidade.
• Proibido inserir dados pessoais de clientes em ferramentas de inteligência artificial não autorizadas (GOV-002, 6.8).
• Devolução ou eliminação dos dados ao final do contrato, conforme instrução do cliente.

6. Responsabilidades

Papel	Responsabilidades
Sócio administrador	Responder pelo canal com o titular; aprovar esta política; decidir comunicações de incidentes.
Responsável pelo Programa	Manter o registro das operações de tratamento; revisar esta política sempre que um tratamento mudar; conduzir a resposta a incidentes.
Colaboradores	Tratar dados conforme esta política; comunicar incidentes.

7. Procedimentos operacionais

1. Novo tratamento (novo formulário, nova ferramenta, novo operador): antes de entrar em produção, atualizar a Seção 5.2 ou 5.3 e o registro das operações.
2. Atendimento ao titular: registrar a solicitação, confirmar a identidade, atender e registrar a resposta.
3. Eliminação periódica: verificar semestralmente os prazos da Seção 5.5 e eliminar ou anonimizar os dados vencidos.
4. Incidentes: seguir a Seção 5.9.

8. Registros e evidências

• Registro das operações de tratamento de dados (LGPD, art. 37), em modelo simplificado, se aplicável a agente de pequeno porte.
• Registro de solicitações de titulares.
• Registro de incidentes de segurança.
• Contratos com operadores, com cláusulas de proteção de dados.

9. Tratamento de descumprimentos

Conforme a GOV-001, Seção 9, sem prejuízo das responsabilidades previstas na LGPD.

10. Revisão e atualização

Revisão anual e sempre que houver novo tratamento, novo operador ou mudança regulatória. A data da última atualização é exibida no topo da página publicada.

11. Aprovação pela administração

Nome	Cargo	Data	Assinatura
Thiago Galbiatti Vespa	Sócio administrador	30/10/2026	Conforme termo de aprovação da versão 1.1