Acordo de Tratamento de Dados (DPA)
Última atualização: 13 de junho de 2026
Este Acordo de Tratamento de Dados (Data Processing Agreement) integra o contrato do canal de denúncias NearOne Trust e disciplina o tratamento de dados pessoais realizado por SHIFT+G (CNPJ 37.915.641/0001-86) em nome da empresa contratante, conforme a LGPD (Lei 13.709/2018).
1. Papéis das partes
No contexto dos dados inseridos no canal de denúncias:
Controladora: a empresa contratante, que decide as finalidades e os meios do tratamento das denúncias e da apuração.
Operadora: SHIFT+G (NearOne Trust), que trata os dados exclusivamente em nome da controladora e segundo suas instruções documentadas.
2. Objeto e escopo do tratamento
Finalidade: recebimento, triagem, gestão e apuração de denúncias e produção de evidência para conformidade com a Lei 14.457/2022 e a NR-1.
Natureza: armazenamento, organização, classificação assistida por IA, comunicação por protocolo e geração de relatórios.
Categorias de titulares: denunciantes (identificados ou anônimos), pessoas citadas nos relatos e membros do comitê de apuração.
Categorias de dados: conteúdo dos relatos, categoria e severidade, mensagens de acompanhamento e, quando aplicável, dados de identificação fornecidos voluntariamente.
Duração: enquanto vigorar o contrato e pelos prazos legais de guarda aplicáveis.
3. Anonimato por arquitetura
Quando o denunciante opta pelo modo anônimo, a identidade é separada do relato e descartada antes da gravação. Não há tabela, log ou backup que permita reidentificação — nem pela controladora, nem pela operadora. Essa limitação técnica é uma medida de proteção e não pode ser revertida.
4. Obrigações da operadora
Tratar os dados apenas conforme as instruções documentadas da controladora e este DPA.
Garantir confidencialidade, com acesso restrito por papel e necessidade.
Adotar medidas técnicas e organizacionais de segurança adequadas (seção 6).
Não utilizar dados de denúncia para treinar modelos de inteligência artificial nem para qualquer finalidade própria.
Apoiar a controladora no atendimento aos direitos dos titulares e a autoridades, na medida do tecnicamente possível.
5. Subprocessadores
A controladora autoriza, de forma geral, o uso de subprocessadores de infraestrutura (provedores de nuvem e serviços de suporte à operação), submetidos a obrigações de proteção de dados equivalentes às deste DPA. Alterações relevantes na lista de subprocessadores são comunicadas com antecedência razoável, facultada a oposição motivada.
6. Segurança da informação
Criptografia de dados em trânsito e em repouso.
Controle de acesso por papel e segregação de ambientes.
Trilha de auditoria de cada ação (quem viu, quando, o que mudou).
Monitoramento contínuo e gestão de vulnerabilidades.
7. Incidentes de segurança
Em caso de incidente que possa acarretar risco aos titulares, a operadora notifica a controladora sem demora injustificada, com as informações disponíveis para que esta avalie a comunicação à ANPD e aos titulares, nos termos da LGPD.
8. Direitos dos titulares
Os direitos dos titulares são exercidos perante a controladora. A operadora fornece os meios técnicos razoáveis para apoiar o atendimento, observada a impossibilidade técnica intencional de reidentificar relatos anônimos.
9. Auditoria e due diligence
A documentação de segurança e conformidade está disponível para due diligence do jurídico da controladora na nossa Central de Segurança.
10. Devolução e eliminação
Encerrado o contrato, a controladora pode solicitar a exportação dos dados e do histórico do canal. Após o prazo legal de guarda, os dados são eliminados ou anonimizados de forma segura.
11. Vigência e contato
Este DPA acompanha a vigência do contrato. Para assuntos de proteção de dados, contate o Encarregado de Dados (DPO) pelo canal dpo@nearone.com.br.