Política de Privacidade e Segurança de Dados

Versão 2026-10-27-camus-legal-v6 · Última atualização: 27 de outubro de 2026.

Em atendimento à Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD), esta Política de Privacidade e Segurança de Dados estabelece as condições gerais para o tratamento de dados pessoais relacionados ao site, à contratação, ao licenciamento, ao suporte e ao uso do software CAMUS.

Three Penguins, inscrita no CNPJ sob nº 68.948.400/0001-67, com contato eletrônico suporte@threepenguins.com.br, é a controladora, quando aplicável, dos dados relativos ao site, à contratação, à licença, ao suporte e ao relacionamento comercial descritos nesta Política.

1. Quem trata cada conjunto de dados

A privacidade e a segurança da informação são prioridades no desenvolvimento e na operação do CAMUS. O sistema foi criado para comunicação corporativa, organização de usuários internos, suporte à gestão de equipes e disponibilização de Canal de Denúncias estruturado para apoiar as rotinas relacionadas à NR-1, podendo funcionar em ambiente local ou em rede interna da empresa contratante.

Ao acessar o site, solicitar contato, contratar o software, utilizar uma licença, acionar suporte ou operar o CAMUS dentro de uma empresa, o usuário declara ciência de que os dados pessoais serão tratados conforme as finalidades descritas nesta Política, observadas as bases legais previstas na LGPD e as demais normas aplicáveis.

Para os dados fornecidos diretamente no site, em formulários de contato, e-mails, mensagens comerciais, solicitações de suporte, dados de compra, ativação, licenciamento e relacionamento com o cliente, a Three Penguins poderá atuar como controladora dos dados, definindo os meios e finalidades do tratamento necessário para atendimento, contratação, suporte, atualização e manutenção do CAMUS.

Para os dados tratados dentro do ambiente operacional da empresa contratante, incluindo usuários, departamentos, ramais, e-mails corporativos, mensagens, anexos, protocolos, permissões, registros de atendimento, registros administrativos e informações do canal de denúncias, a empresa cliente será, em regra, a controladora dos dados. Nessa condição, cabe à empresa definir finalidade, permissões, prazos de retenção, acesso interno, resposta a titulares, procedimentos de segurança, regras de backup e fluxo de tratamento dos relatos.

A Three Penguins atua como fornecedora e licenciante do CAMUS, podendo prestar suporte técnico, manutenção, orientação operacional, correção de falhas, atualizações de versão, validação de licença e atendimento comercial dentro do escopo contratado. Quando houver necessidade de acesso técnico a informações do ambiente do cliente, esse acesso deverá ocorrer de forma limitada à finalidade do atendimento solicitado e conforme as instruções da empresa responsável pelos dados.

Quando precisar tratar dados operacionais do ambiente do cliente exclusivamente para prestar suporte técnico sob instruções da empresa cliente, a Three Penguins poderá atuar como operadora, conforme o tratamento efetivamente realizado. O suporte não concede acesso automático a conversas ou denúncias.

O conteúdo das conversas e denúncias não é enviado automaticamente à API de licenciamento da Three Penguins. A operação do chat e do Canal de Denúncias ocorre na rede e nos computadores da empresa; receber suporte técnico não significa acesso automático da Three Penguins a esses conteúdos.

2. Dados coletados e finalidades

Os dados pessoais tratados podem incluir nome, e-mail, telefone, empresa, cargo ou setor, mensagens enviadas, dados necessários à contratação, informações de pagamento ou cobrança, identificação de licença, quantidade de usuários contratados, registros de suporte, informações técnicas do ambiente, dados técnicos de navegação e demais informações fornecidas voluntariamente pelo titular ou pela empresa contratante, observadas as finalidades e ferramentas descritas adiante.

No uso interno do CAMUS, também poderão ser tratados dados operacionais necessários ao funcionamento do sistema, como cadastro de usuários, setores, permissões, histórico de conversas, arquivos enviados, registros de atividade, protocolos e informações necessárias para comunicação entre máquinas autorizadas na rede da empresa.

Para ativar e administrar licenças, o serviço de licenciamento trata dados como empresa, contato, código da licença, quantidade contratada, instalações ativadas, identificadores técnicos dos dispositivos, datas de validação, status de pagamento e referências das transações. Esses dados servem para liberar o plano contratado, controlar vagas, proteger a licença e prestar suporte, sem incluir o conteúdo de mensagens ou relatos.

3. Dados do Canal de Denúncias

O canal de denúncias pode envolver dados pessoais, dados pessoais sensíveis, informações sigilosas, relatos sobre condutas internas, documentos, evidências e comunicações relacionadas à apuração de fatos. A empresa contratante deve restringir o acesso a pessoas autorizadas, definir responsáveis pelo tratamento, orientar usuários, estabelecer critérios de retenção e adotar medidas para preservar confidencialidade, integridade e rastreabilidade dos relatos.

Quando o denunciante escolhe a modalidade anônima, o registro do relato não inclui nome, usuário, endereço IP, nome do computador, identificador da instalação ou fingerprint do dispositivo. O protocolo, o conteúdo, os anexos, os horários e o andamento permanecem disponíveis para tratamento e acompanhamento. Na modalidade identificada, o registro inclui a identidade informada pelo denunciante. Textos, anexos e logs da infraestrutura da empresa podem conter elementos que permitam identificação; por isso, o uso da modalidade anônima não dispensa cuidados de confidencialidade.

Os eventos do Canal de Denúncias podem ser replicados de forma cifrada entre máquinas autorizadas da empresa para continuidade e backup. A empresa define quem pode visualizar e tratar os relatos, quais máquinas guardam cópias e por quanto tempo os registros devem ser conservados, observadas suas obrigações legais e sua política interna.

4. Contratação, terceiros e armazenamento no navegador

O tratamento de dados pessoais poderá ocorrer para viabilizar contato comercial, demonstração, contratação, emissão de documentos, cobrança, liberação de download, ativação de licença, controle de plano contratado, limitação de usuários, suporte técnico, atualização de software, correção de bugs, manutenção de segurança, comunicação com clientes, cumprimento de obrigações legais e exercício regular de direitos.

Para dados pessoais comuns, conforme cada finalidade, as bases legais poderão incluir execução de contrato, cumprimento de obrigação legal ou regulatória, exercício regular de direitos e legítimo interesse, quando cabível. Dados pessoais sensíveis presentes em relatos exigem uma das hipóteses específicas previstas no art. 11 da LGPD; legítimo interesse, por si só, não é base para tratá-los. O consentimento será utilizado quando exigido. Para os dados operacionais sob controle da empresa cliente, cabe a ela definir e documentar a base legal adequada ao tratamento realizado.

Quando o visitante acessa o site por um link com parâmetros de campanha e inicia a contratação, a origem, o meio e o nome da campanha podem ser associados à compra para acompanhamento comercial. Esses parâmetros não incluem o conteúdo das conversas ou denúncias do CAMUS.

O site pode usar armazenamento local ou de sessão do navegador para manter a preferência de tema, o registro do aceite dos termos, os parâmetros de campanha e a continuidade da contratação. O portal de assinatura e o checkout utilizam cookies de sessão necessários para autenticação e proteção das operações. Antes do pagamento, um código temporário confirma o acesso ao e-mail que receberá a licença. A recuperação e a alteração desse endereço também exigem confirmação, sem criar uma nova licença. Esses dados não dão acesso às conversas ou denúncias guardadas no aplicativo.

No site atual, o armazenamento necessário atende à navegação, ao aceite e à assinatura; parâmetros UTM informados no link podem ser associados à contratação para identificar a origem comercial. A página inicial, as páginas do CAMUS e o checkout utilizam fontes locais. As páginas institucionais de privacidade e termos de uso carregam fontes do Google Fonts, com requisições técnicas do navegador ao Google. Google Analytics e Google Ads não estão habilitados neste site. Se ferramentas de análise de desempenho, mensuração de campanhas ou conversões forem habilitadas futuramente, esta Política será atualizada com suas finalidades, dados e terceiros envolvidos. Cookies ou identificadores não essenciais exigirão avaliação da base legal e, quando aplicável, uma escolha prévia e forma simples de rever ou revogar a preferência. As configurações do navegador também permitem controlar armazenamento local e cookies.

Quando houver contratação por meio de links externos, provedores de pagamento, emissão fiscal, hospedagem de arquivos, serviços de e-mail ou ferramentas de atendimento, determinados dados poderão ser tratados por terceiros necessários à operação. Nesses casos, cada terceiro tratará os dados conforme suas próprias políticas, contratos e responsabilidades legais. O pagamento recorrente é processado pelo Asaas. No checkout próprio, os dados de pagamento são transmitidos por HTTPS à API do CAMUS, hospedada na Hostinger, que os encaminha ao Asaas. Para cartão, isso inclui nome do titular, número, validade, código de segurança, CPF/CNPJ, CEP, número do endereço e telefone. O e-mail confirmado e o endereço IP da conexão também são enviados para identificação e análise da transação. Número, validade e código de segurança do cartão, CPF/CNPJ e dados de endereço do titular não são gravados no estado, nos logs ou nos backups da aplicação CAMUS. O Asaas mantém o cartão tokenizado para as renovações autorizadas. O CAMUS registra referências da transação, meio de pagamento, valor, situação e data da autorização de recorrência.

Fornecedores e serviços confirmados

• Asaas: emissão de cobranças, pagamentos, análise de transações, tokenização de cartão e assinaturas; recebe os dados de pagamento descritos acima e as referências da transação.
• Hostinger: hospedagem do site e da API e envio transacional por SMTP; dados técnicos de acesso, dados da contratação, endereço de e-mail e conteúdo das mensagens transacionais. A infraestrutura da API transmite os dados de pagamento ao Asaas sem persistência desses dados sensíveis pela aplicação.
• Google Fonts: apresentação das fontes nas páginas institucionais de privacidade e termos de uso; dados técnicos da requisição, como endereço IP e informações do navegador. A página inicial, as páginas do CAMUS e o checkout utilizam fontes locais.

Esses serviços podem envolver tratamento de dados fora do Brasil, conforme a infraestrutura e os subprocessadores utilizados. Quando houver transferência internacional, a Three Penguins deverá observar a LGPD e os mecanismos e salvaguardas aplicáveis, inclusive a regulamentação da ANPD. Dados operacionais armazenados nos computadores da empresa cliente não são enviados automaticamente a esses fornecedores pela API de licenciamento.

5. Armazenamento, segurança e retenção

O CAMUS foi desenvolvido para permitir operação no ambiente da empresa. Assim, mensagens, usuários, departamentos, anexos, permissões, denúncias e demais registros operacionais podem permanecer armazenados em arquivos, bancos locais ou estruturas controladas pela própria empresa cliente, conforme a instalação e a configuração adotadas.

A segurança dos dados depende de controles do software e também das medidas adotadas pela empresa contratante. São exemplos de responsabilidades operacionais do cliente: proteção dos computadores, controle de acesso físico, gestão de senhas, permissões de usuários, firewall, antivírus, rede interna, backups, atualização do sistema operacional, orientação dos colaboradores e restrição de acesso ao painel administrativo.

Serão adotadas medidas técnicas e administrativas razoáveis para proteção dos dados tratados diretamente no relacionamento com o CAMUS, buscando evitar acessos não autorizados, perda, alteração, comunicação ou difusão indevida. Ainda assim, nenhum ambiente digital é isento de riscos, razão pela qual incidentes de segurança deverão ser avaliados conforme sua natureza, impacto, responsabilidades envolvidas e exigências legais aplicáveis.

Incidentes envolvendo dados sob responsabilidade da Three Penguins serão avaliados e, quando exigido pela legislação aplicável, comunicados à autoridade competente e aos titulares afetados. Em incidentes relativos aos dados operacionais controlados pela empresa cliente, a responsabilidade pela avaliação e comunicação caberá à controladora, sem prejuízo do apoio técnico que a Three Penguins possa prestar.

Os dados serão mantidos pelo tempo necessário ao cumprimento das finalidades informadas, ao atendimento de obrigações legais ou regulatórias, ao exercício regular de direitos, à prestação de suporte, à manutenção do contrato, à prevenção de fraudes e à preservação de registros necessários à segurança e à auditoria. No ambiente interno do cliente, os prazos de guarda e exclusão deverão observar a política da própria empresa controladora.

• Contratação e faturamento: comprovantes, pagamentos, versão e horário do aceite e referências da compra são mantidos para execução contratual, obrigações legais e defesa de direitos, enquanto essas finalidades exigirem.
• Licenciamento: empresa, contato, licença e ativações são mantidos durante o vínculo e, depois, enquanto necessários para obrigações legais, prevenção de fraude e defesa de direitos.
• Suporte e auditoria: solicitações, entregas de e-mail e registros de segurança são mantidos pelo tempo necessário ao atendimento, à investigação de falhas, à segurança e à defesa de direitos; não há prazo único para todas as categorias.
• Sessões e códigos temporários: os códigos de confirmação de e-mail expiram em 10 minutos. No gerenciamento da assinatura, a sessão expira em 30 minutos; no checkout, a sessão tem prazo curto suficiente para concluir a contratação. A expiração da credencial não implica exclusão imediata dos registros necessários à auditoria e à segurança.
• Dados operacionais do cliente: mensagens, anexos e denúncias permanecem sob a política de guarda da empresa controladora. O CAMUS executa rotina local que remove o conteúdo dos anexos de mensagens após 60 dias, quando o aplicativo está em funcionamento, mantendo os metadados da mensagem. A retenção de denúncias encerradas pode ser configurada; arquivamento visual não equivale, por si só, à exclusão dos dados.

6. Direitos dos titulares

Nos termos da LGPD, o titular dos dados poderá solicitar confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio, eliminação, portabilidade, informação sobre compartilhamento, revogação de consentimento e revisão de decisões, quando aplicável. Quando a solicitação envolver dados operacionais mantidos no ambiente da empresa contratante, o pedido deverá ser direcionado ao respectivo controlador dos dados.

Para exercer direitos sobre dados de contratação, licença ou suporte tratados pela Three Penguins, escreva para suporte@threepenguins.com.br. Para dados operacionais, conversas ou relatos mantidos pela empresa cliente, procure o canal de privacidade da respectiva empresa. A Three Penguins poderá orientar tecnicamente a empresa quando uma solicitação depender de dados locais sob seu controle.

7. Compartilhamento, alterações e contato

O compartilhamento de dados pessoais somente deverá ocorrer quando necessário para execução do contrato, prestação de suporte, cumprimento de obrigação legal ou regulatória, exercício regular de direitos, prevenção de fraudes, proteção da segurança do software, atendimento a autoridades competentes ou por solicitação da empresa controladora.

Esta Política poderá ser atualizada para refletir alterações legais, evolução do produto, mudanças em recursos de licenciamento, novos meios de contratação, ajustes de segurança, melhorias operacionais ou modificações nos canais de atendimento. A versão publicada no site será considerada a versão vigente.

Dúvidas sobre privacidade, segurança de dados, suporte, licenciamento ou tratamento de dados pessoais no contexto do CAMUS podem ser enviadas para suporte@threepenguins.com.br.