Privacidade como engenharia, não cláusula contratual.
Pilares técnicos
Anonimato estrutural
Sem IP, user-agent, fingerprint ou referência ao token no registro da resposta. Mesmo um dump completo não permite re-identificação.
N mínimo por setor
Scores aparecem apenas a partir de N≥5 respostas por setor (configurável). Setores com base amostral baixa ficam ocultos.
Criptografia em tudo
TLS 1.3 com HSTS preload em trânsito. Postgres at-rest cifrado (Neon). Armazenamento de arquivos com encryption no R2.
Tokens descartáveis
Cada token é único por setor, válido até a campanha encerrar + 7 dias de graça. Marcado como usado em transação separada da resposta.
Multi-tenant isolado
Organization_id em toda tabela tenant-scoped, helper withOrg em toda query, Postgres RLS habilitada como rede de segurança.
Logs sem payload
Estrutura {event, org_id, sector_id, campaign_id}. Nunca answers. Sem console.log de resposta em produção, por contrato e por revisão de código.
Conformidade LGPD
DPA (Data Processing Agreement)
Anexo aos Termos de Uso. Você é controlador, somos operador. Compromissos contratuais sobre sub-operadores, incidentes, retenção e suporte a direitos do titular.
Retenção configurável
Default: respostas individuais por 18 meses, agregados (scores) por 5 anos. Configurável por organização. Hard-delete em cascata via endpoint administrativo.
Direitos do titular
Como o questionário é estruturalmente anônimo, não há titular identificável. Para contas e leads, atendemos solicitações pela página de Contato (tópico LGPD / DPO) em até 15 dias.
Notificação de incidente
Em caso de incidente envolvendo dados pessoais, notificamos a ANPD e titulares afetados conforme exigências legais, com a maior brevidade.
Infraestrutura
- BRBanco de dados: Postgres 16 no Neon, região
sa-east-1(São Paulo). Backups automáticos diários, retenção 30 dias. - EU/USArmazenamento de arquivos: Cloudflare R2 (S3-compatível), encryption em repouso, presigned URLs com expiração curta.
- Auto-scaleAplicação: Railway, deploy via Docker standalone Next.js, healthcheck automático, restart on failure.
- HardeningHTTP headers: HSTS preload, X-Frame-Options SAMEORIGIN, Permissions-Policy restritivo (camera/microfone/geolocalização desabilitados).
- AuthAutenticação: Auth.js v5 com bcrypt (cost 12), JWT com rotação, sessão de 30 dias. SSO/SAML/SCIM no plano Corporativo.
Quer ler nossa Política completa?
Política de Privacidade · Termos de Uso · Detalhamento LGPD.