Política de privacidade.

1.1. O que é um dado pessoal e por que ele importa

Um dado pessoal é qualquer informação que identifique ou permita identificar uma pessoa. Nome, e-mail, CPF, endereço, número de telefone: tudo isso é dado pessoal. Há também os dados sensíveis — uma categoria especial que inclui informações sobre raça ou etnia, orientação sexual, identidade de gênero, deficiências, convicções religiosas ou políticas e dados de saúde. Esses dados recebem proteção redobrada, porque sua exposição pode gerar discriminação ou dano.

A Lei Geral de Proteção de Dados Pessoais (LGPD)¹ estabelece que cada pessoa é titular dos seus próprios dados. Isso significa que você tem o direito de saber o que fazemos com eles, para que os usamos e por quanto tempo os guardamos. E, em muitos casos, de pedir que os excluamos.

1. Lei nº 13.709, de 14 de agosto de 2018 (LGPD). A lei regula o tratamento de dados pessoais por pessoas físicas ou jurídicas, de direito público ou privado, e estabelece os direitos dos titulares e as obrigações dos agentes de tratamento. ↩

1.2. Quais dados coletamos e em que contextos

A Companhia de Impacto coleta dados em diferentes momentos, sempre com ciência da pessoa titular. Os contextos mais comuns são:

• Se você é membro de um dos nossos espaços de coworking, coletamos os dados necessários para formalizar o contrato de prestação de serviços: nome completo, endereço (de pessoa física ou jurídica), CPF ou CNPJ, telefone e e-mail. Nenhum desses dados é compartilhado com terceiros fora do necessário para a execução do contrato.
• Se você é participante de um programa de aceleração, geração de renda ou inclusão produtiva contratado por empresa privada, coletamos, além dos dados de identificação e contato, dados sensíveis necessários para mensuração de impacto: raça, orientação sexual, identidade de gênero, deficiência e dados econômicos relevantes para o programa. Esses dados são coletados em diferentes momentos da jornada, sempre com consentimento explícito, e são anonimizados antes de qualquer análise estatística.
• Se você é participante de um programa em parceria com governo, a Companhia de Impacto atua como controladora conjunta dos dados, e não como operadora principal. O tratamento observa os mesmos princípios desta política, mas as especificidades de cada programa estão descritas nos termos de cada contrato.
• Se você é a empresa contratante de um dos nossos programas ou projetos de impacto, coletamos os dados necessários para formalização do contrato: razão social, CNPJ, CPF do representante legal, endereço e contatos do time financeiro e técnico.
• Se você é mentor ou mentora de um dos nossos programas, coletamos nome, sobrenome, meios de contato, área de atuação e, quando fornecidos voluntariamente, dados de perfil como raça, orientação sexual, identidade de gênero e deficiência. Esses dados são usados para o melhor matchmaking possível entre mentor e mentorado.
• Se você é cliente do Seu PêJota, coletamos os dados necessários para prestar os serviços de endereço fiscal e contabilidade: nome, CPF, CNPJ, endereço, telefone, e-mail e as informações fiscais e contábeis da sua empresa.
• Se você assinou nossa newsletter ou preencheu um formulário de captação de leads, coletamos nome e e-mail para envio de comunicações de interesse. Você pode cancelar esse recebimento a qualquer momento, de forma simples, pelo link de descadastro presente em qualquer e-mail.

1.3. Para que usamos cada dado e qual o fundamento legal

A LGPD exige que todo tratamento de dados tenha uma base legal. Ou seja, uma razão prevista em lei que autorize o uso. Não usamos dados por conveniência. Usamos porque há uma finalidade legítima e um fundamento legal que a sustenta.

Dados de identificação e contato de clientes e contratantes são tratados com fundamento na execução de contrato² — são necessários para que possamos prestar o serviço acordado.

Dados de leads e assinantes de comunicações são tratados com fundamento no legítimo interesse³, quando há expectativa razoável de que a pessoa deseja receber aquele tipo de comunicação. Nesse caso, garantimos o direito de opt-out fácil e imediato em toda comunicação enviada.

Dados sensíveis de participantes de programas de impacto são tratados com fundamento no consentimento explícito⁴. O preenchimento desses campos nunca é condição para participação no programa. Quem optar por não declarar não será prejudicado.

Dados tratados para fins de mensuração de impacto, prestação de contas em editais e relatórios institucionais são processados com base no exercício regular de direitos⁵, decorrente da participação da Companhia em programas de fomento e certificação.

2. Art. 7º, V, da LGPD: tratamento necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular. ↩
3. Art. 7º, IX, da LGPD: legítimo interesse do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais. ↩
4. Art. 11, I, da LGPD: tratamento de dados sensíveis com consentimento do titular, de forma específica e destacada, para finalidades determinadas. ↩
5. Art. 11, II, d, da LGPD: exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral. ↩

1.4. Com quem compartilhamos e sob quais condições

A Companhia de Impacto não vende dados. Não aluga dados. Não compartilha dados com fins publicitários de terceiros.

O compartilhamento ocorre em situações específicas: com empresas contratantes de programas, nos limites necessários à execução do programa e com ciência do participante; com parceiros operacionais que precisam tratar dados para nos prestar serviços (como plataformas de gestão de CRM ou automação de marketing), sempre mediante contrato que exige as mesmas medidas de proteção que adotamos; e com autoridades públicas, quando exigido por lei ou ordem judicial.

A Companhia de Impacto detém poder de uso sobre as marcas Impact Hub São Paulo, Impact Hub Floripa, Impact Hub Porto Alegre, e Impact Hub Cuiabá operando sempre em parceria com o Impact Hub global e a Associação Impact Hub Brasil. Em projetos realizados sob essas marcas, o compartilhamento de dados atende às especificidades de cada projeto, respeitando esta política.

1.5. Para onde seus dados viajam: transferência internacional

A Companhia de Impacto utiliza ferramentas cujos servidores estão fora do Brasil. O Google Workspace (plataforma de e-mail, documentos e calendário) armazena dados em servidores nos Estados Unidos. O Active Campaign, usado para automação de marketing e envio de newsletters, também opera fora do território nacional. O TLDV, ferramenta de transcrição e registro de reuniões, pode processar dados em servidores internacionais.

Toda transferência internacional de dados observa o Regulamento de Transferência Internacional de Dados Pessoais da ANPD⁶, que entrou em vigor em 2024. As transferências estão amparadas por cláusulas contratuais padrão, pela adequação do país destinatário ou por outros mecanismos previstos na regulamentação vigente.

Antes de adotar qualquer nova ferramenta que implique transferência internacional de dados, a Encarregada de Dados da Companhia realiza avaliação de adequação.

6. Resolução CD/ANPD nº 19, de 23 de agosto de 2024 (Regulamento de Transferência Internacional de Dados Pessoais). Disponível em: www.gov.br/anpd. ↩

1.6. Inteligência artificial e decisões automatizadas

A Companhia de Impacto utiliza ferramentas de inteligência artificial e automação no seu cotidiano operacional. O uso dessas ferramentas pode envolver o processamento de dados pessoais. Por exemplo, transcrições de reuniões pelo TLDV ou segmentação de contatos pelo Active Campaign (CRM).

Quando qualquer dessas ferramentas for usada de forma que produza uma decisão com efeito jurídico ou impacto significativo sobre uma pessoa, como a definição de elegibilidade a um programa ou a segmentação para comunicações, garantimos que o titular tenha o direito de solicitar revisão humana dessa decisão, conforme previsto no art. 20 da LGPD⁷.

Nenhuma decisão sobre participação em programas, elegibilidade a oportunidades ou restrição de acesso é tomada de forma exclusivamente automatizada, sem possibilidade de revisão.

7. Art. 20 da LGPD: o titular dos dados tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade. ↩

1.7. Dados de crianças e adolescentes

Alguns dos nossos programas trabalham com jovens, e parte deles pode ser menor de 18 anos — por exemplo, iniciativas de inclusão produtiva e formação. Quando isso acontece, o tratamento de dados de menores recebe cuidados adicionais.

O tratamento é sempre feito no melhor interesse da criança e do adolescente. A coleta de dados de crianças (até 12 anos incompletos) depende de consentimento específico e destacado de pelo menos um dos pais ou do responsável legal. Coletamos apenas o mínimo necessário para a atividade e nunca usamos dados de menores para publicidade ou definição de perfil (art. 14 da LGPD).

Se você é responsável e quer saber quais dados tratamos sobre a criança ou adolescente sob sua responsabilidade — ou pedir a exclusão deles —, fale com nossa Encarregada de Dados (seção 1.12).

1.8. Por quanto tempo mantemos seus dados

Os dados pessoais são mantidos pelo tempo estritamente necessário para cumprir a finalidade para a qual foram coletados. Após esse prazo, o consentimento deve ser renovado e o banco de dados deve ser atualizado.

Dados de contratos são mantidos pelo prazo contratual e, após o encerramento, pelo período necessário para o cumprimento de obrigações legais e fiscais — em geral, cinco anos. Dados de participantes de programas são mantidos enquanto o programa estiver ativo e pelo período necessário para prestação de contas ao contratante e a editais de fomento. Dados de leads e assinantes de comunicações são mantidos enquanto o interesse de recebimento for ativo, sendo removidos de listas ativas após o descadastro e excluídos quando pedidos expressamente.

Dados anonimizados, nos quais não é mais possível identificar a pessoa titular, podem ser mantidos por prazo indeterminado para fins estatísticos, conforme arts. 12 e 16 da LGPD.

1.9. Como protegemos o que você nos confiou

A Companhia de Impacto adota medidas técnicas e administrativas proporcionais ao risco para proteger os dados pessoais contra acesso não autorizado, perda, alteração, divulgação ou destruição.

Entre as medidas adotadas estão: controle de acesso por perfil, com concessão de acesso apenas a quem precisa tratar determinado dado; uso de senhas fortes e autenticação em dois fatores nos sistemas críticos; criptografia em trânsito e em repouso para dados sensíveis; treinamento periódico de colaboradores sobre boas práticas de proteção de dados; e contratação de fornecedores com cláusulas de segurança compatíveis com esta política.

Em caso de incidente de segurança que possa gerar risco ou dano a titulares, como um vazamento de dados, a Companhia seguirá o Plano de Resposta a Incidentes interno e notificará a ANPD no prazo de até 3 dias úteis a contar da ciência do incidente⁸, além de comunicar os titulares afetados quando o risco ou dano for relevante.

8. Art. 48 da LGPD: o controlador deverá comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. O prazo de 3 dias úteis é estabelecido pela Resolução CD/ANPD nº 15, de 24 de abril de 2024 (Regulamento de Comunicação de Incidente de Segurança). ↩

1.10. Seus direitos como titular e como exercê-los

A LGPD garante a você, como titular de dados, um conjunto de direitos que pode exercer a qualquer momento. São eles:

• confirmar se tratamos seus dados; acessar os dados que temos sobre você; corrigir dados incorretos ou desatualizados;
• solicitar a exclusão de dados coletados com base em consentimento; revogar o consentimento dado;
• pedir a portabilidade dos seus dados para outro fornecedor;
• saber com quais terceiros compartilhamos seus dados;
• solicitar revisão de decisões tomadas de forma automatizada;
• opor-se a tratamentos feitos com base no legítimo interesse, quando entender que seus direitos devem prevalecer;
• peticionar à Autoridade Nacional de Proteção de Dados (ANPD) caso considere que seus direitos não foram atendidos, além de poder reclamar diretamente conosco.

Para exercer qualquer desses direitos, basta entrar em contato com nossa Encarregada de Dados pelo canal indicado na seção 1.12. Podemos solicitar informações para confirmar sua identidade antes de atender ao pedido — essa é uma precaução para evitar que dados de uma pessoa sejam entregues a terceiros.

Se você recebe comunicações nossas com base em legítimo interesse e deseja deixar de recebê-las, o descadastro é simples e imediato: basta clicar no link de cancelamento presente em qualquer e-mail enviado pela Companhia, ou entrar em contato com a Encarregada de Dados.

1.11. Cookies: o que são, para que usamos e como controlá-los

Cookies são pequenos arquivos armazenados no seu navegador quando você visita um site. Eles permitem que o site lembre suas preferências, melhore sua experiência e, em alguns casos, ofereça conteúdo personalizado.

Usamos cookies para três finalidades principais: cookies estritamente necessários para o funcionamento do site (como manter sua sessão ativa); cookies analíticos, que nos ajudam a entender como as páginas são usadas (com ferramentas como o Google Analytics); e cookies de marketing, que permitem oferecer conteúdo relevante em outras plataformas.

Os cookies de análise e marketing só são ativados com o seu consentimento. No banner de cookies exibido na sua primeira visita, as opções de aceitar e rejeitar têm o mesmo destaque visual — não usamos padrões de design que induzam aceitação. Você pode alterar suas preferências a qualquer momento acessando as configurações de cookies no rodapé do site.

Algumas das nossas páginas incorporam conteúdo de terceiros, como vídeos do YouTube. Esses conteúdos podem carregar cookies próprios dos seus fornecedores. Recomendamos a consulta às políticas de privacidade desses terceiros.

1.12. Como falar com a Encarregada de Dados

Esta política pode ser atualizada a qualquer momento para refletir mudanças nas nossas práticas ou na legislação aplicável. A versão vigente estará sempre disponível no rodapé dos nossos sites, com indicação da data da última atualização.