SEÇÃO 1 — INFORMAÇÕES GERAIS
Na Winx, privacidade e segurança são prioridades, e nos comprometemos com a transparência no tratamento de dados pessoais dos nossos usuários e clientes.
A presente Política de Privacidade descreve como a Winx Universe Pesquisa e Desenvolvimento Ltda. (“Winx”), inscrita no CNPJ sob o nº 41.164.639/0001-90, com sede em São Paulo/SP, coleta, utiliza, armazena, compartilha, protege e descarta dados pessoais, em conformidade com a Constituição Federal, a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018), o Regulamento Geral de Proteção de Dados europeu (GDPR — Regulamento (UE) 2016/679, quando aplicável) e as boas práticas da norma ISO/IEC 27701.
Esta política aplica-se a todos os titulares de dados que se relacionam com a Winx, incluindo: colaboradores das empresas-cliente que respondem às pesquisas, representantes das empresas-cliente, visitantes dos sites e plataformas Winx, candidatos a vagas e qualquer outro titular cujos dados sejam tratados pela Winx no exercício de suas atividades.
SEÇÃO 2 — QUAL O PAPEL DA WINX NO TRATAMENTO DOS DADOS?
A Winx atua em dois papéis, conforme o contexto. Nas pesquisas organizacionais contratadas por empresas-cliente, a empresa contratante é a Controladora dos dados e a Winx atua como Operadora, executando o tratamento conforme contrato. Nas demais atividades (como relacionamento com visitantes do site, candidatos e representantes de clientes), a Winx atua como Controladora.
SEÇÃO 3 — COMO COLETAMOS OS DADOS PESSOAIS?
- Diretamente do titular, por meio de formulários, respostas de pesquisa e canais oficiais.
- Indiretamente, por meio das empresas-cliente, via arquivo seguro (criptografado, por canal autorizado) ou integração sistêmica autenticada.
- Automaticamente, por meio de cookies e tecnologias similares (ver Seção 10).
SEÇÃO 4 — QUAIS DADOS PESSOAIS COLETAMOS?
- Identificação: nome completo, CPF, data de nascimento, gênero.
- Contato: e-mail corporativo, telefone, endereço.
- Profissionais: cargo, área, data de contratação, nível hierárquico, posição de liderança.
- Comunicações: mensagens e respostas trocadas entre o titular e a Winx.
- Respostas de pesquisa: feedbacks (anonimizados sempre que possível) sobre clima, cultura, engajamento e bem-estar.
- Dados de uso e técnicos: navegador, sistema operacional, endereço IP, identificadores de sessão, geolocalização aproximada, cookies e tecnologias similares.
Não tratamos categorias sensíveis de dados, salvo quando estritamente necessário à finalidade declarada e com base legal específica (Art. 11 da LGPD).
SEÇÃO 5 — PARA QUE FINALIDADES UTILIZAMOS OS DADOS E COM QUAIS BASES LEGAIS?
- Apurar resultados de pesquisas e produzir diagnósticos de clima, cultura, engajamento e bem-estar para as empresas-cliente, sempre por meio de relatórios agregados que protegem a confidencialidade individual.
- Promover melhorias da plataforma e dos serviços.
- Cumprir obrigações legais, regulatórias e contratuais.
Cada atividade de tratamento possui finalidade, base legal e prazo de retenção definidos e mapeados no Registro de Atividades de Tratamento (ROPA). As pesquisas de engajamento, clima, cultura e eNPS no contexto de trabalho apoiam-se no legítimo interesse da empresa-cliente, com salvaguardas documentadas; pesquisas com perguntas sensíveis (por exemplo, bem-estar e saúde) exigem consentimento adicional do respondente, registrado de forma auditável. O tratamento para finalidades não previstas nesta política somente ocorrerá mediante comunicação prévia ao titular.
SEÇÃO 6 — AS PESQUISAS SÃO ANÔNIMAS?
Sim, com exceção da pesquisa de offboarding (desligamento). Os resultados das pesquisas são apresentados às empresas-cliente exclusivamente em formato agregado e anonimizado, com grupo mínimo de 5 respondentes por recorte, o que impede a identificação individual. É vedado à empresa-cliente solicitar a identificação individual de respostas, salvo hipóteses contratualmente previstas, com base legal e comunicação aos titulares.
SEÇÃO 7 — POR QUANTO TEMPO OS DADOS FICAM ARMAZENADOS?
Os dados pessoais são retidos pelo período necessário ao cumprimento das finalidades que motivaram sua coleta e dos prazos contratuais e legais aplicáveis, conforme o Art. 15 da LGPD. Após o término do tratamento, os dados são eliminados de forma segura ou anonimizados de forma irreversível, ressalvadas as hipóteses de conservação previstas no Art. 16 da LGPD (cumprimento de obrigação legal ou regulatória, estudo por órgão de pesquisa, transferência a terceiro nos termos da lei ou uso exclusivo do controlador com dados anonimizados).
SEÇÃO 8 — DIREITOS DO TITULAR
Em conformidade com os Arts. 17 a 22 da LGPD, o titular pode exercer, a qualquer tempo, os seguintes direitos:
- Confirmação da existência de tratamento e acesso aos seus dados.
- Correção de dados incompletos, inexatos ou desatualizados.
- Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos.
- Portabilidade dos dados, quando aplicável.
- Informação sobre compartilhamentos realizados.
- Revogação do consentimento, quando essa for a base legal do tratamento.
- Revisão humana de decisões automatizadas que afetem seus interesses (Art. 20 da LGPD).
- Apresentação de reclamação à ANPD ou autoridade competente.
Para exercer seus direitos, envie mensagem ao Encarregado (DPO) pelo e-mail dpo@winx.ai, indicando o direito pretendido. A Winx pode solicitar informações adicionais para confirmar a identidade do solicitante. Nas pesquisas em que a Winx atua como operadora, as solicitações podem também ser encaminhadas ao Encarregado da empresa-cliente.
SEÇÃO 9 — OS DADOS SÃO COMPARTILHADOS COM TERCEIROS?
A Winx não vende dados pessoais. Os compartilhamentos ocorrem apenas nas hipóteses abaixo, sempre mediante contrato com cláusulas de proteção de dados e em obediência ao princípio da finalidade:
- Operadores essenciais à prestação dos serviços, como provedores de infraestrutura em nuvem (AWS), envio de e-mails transacionais e ferramentas de produtividade, todos sob contrato de proteção de dados.
- Empresas-cliente: recebem somente dados agregados e anonimizados resultantes das pesquisas (mínimo de 5 respondentes por agrupamento).
- Autoridades públicas e órgãos reguladores, por determinação legal ou judicial.
- Movimentações societárias, como fusão, aquisição, cisão ou reorganização.
- Defesa de direitos da Winx em processos administrativos, judiciais ou arbitrais.
SEÇÃO 10 — COOKIES E TECNOLOGIAS SIMILARES
A Winx utiliza cookies próprios e de terceiros para finalidades funcionais, analíticas e, mediante consentimento, de marketing. O banner de cookies da plataforma permite aceitar, recusar ou gerenciar preferências de forma granular. Cookies estritamente necessários garantem o funcionamento da plataforma e não exigem consentimento; cookies analíticos medem o uso agregado, com possibilidade de opt-out; cookies de marketing dependem de consentimento expresso (opt-in).
SEÇÃO 11 — TRANSFERÊNCIA INTERNACIONAL DE DADOS
A Winx utiliza infraestrutura em nuvem da AWS na região us-east-1 (Estados Unidos). Todas as transferências internacionais adotam as salvaguardas do Art. 33 da LGPD, incluindo cláusulas contratuais padrão, acordos de processamento de dados (DPA) e certificações reconhecidas do provedor (ISO/IEC 27001, 27017, 27018 e SOC 2 Type II). Quando envolvidos dados de titulares da União Europeia, aplicam-se adicionalmente as Standard Contractual Clauses (SCCs) europeias e medidas suplementares, como criptografia e pseudonimização.
SEÇÃO 12 — SEGURANÇA DOS DADOS
A Winx adota medidas técnicas e administrativas alinhadas às normas ISO/IEC 27001 e ISO/IEC 27701, incluindo:
- Criptografia em trânsito (TLS 1.2+) e em repouso (AES-256).
- Controle de acesso pelo princípio do menor privilégio, com autenticação multifator (MFA) obrigatória em 100% dos acessos.
- Segregação dos dados de cada cliente no ambiente da plataforma.
- Monitoramento contínuo de segurança e detecção de ameaças, com auditoria completa das operações.
- Testes de intrusão (pentests) anuais realizados por empresa independente.
- Plano de recuperação de desastres testado anualmente e gestão de incidentes com prazos de resposta definidos.
SEÇÃO 13 — USO DE INTELIGÊNCIA ARTIFICIAL E DECISÕES AUTOMATIZADAS
A Winx pode utilizar modelos de inteligência artificial para apoiar a geração de insights a partir de dados de pesquisa, sempre conforme sua Política de Uso de IA, que prevê anonimização prévia, criptografia, lista de ferramentas aprovadas, supervisão humana e avaliação de impacto específica. Sempre que houver decisão automatizada que afete os interesses do titular, este pode solicitar revisão por humano qualificado pelo canal dpo@winx.ai.
SEÇÃO 14 — COMUNICAÇÃO DE INCIDENTES
Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Winx comunicará, sem demora razoável, a ANPD e os titulares afetados, nos termos do Art. 48 da LGPD e dos regulamentos da ANPD, informando a natureza dos dados afetados, os titulares envolvidos, as medidas de segurança adotadas, os riscos relacionados e as ações de mitigação.
SEÇÃO 15 — ENCARREGADO DE PROTEÇÃO DE DADOS (DPO)
A Winx designou um Encarregado de Proteção de Dados (DPO), responsável por atender solicitações de titulares e da ANPD, prestar esclarecimentos e orientar colaboradores e contratados sobre as práticas de proteção de dados.
- Nome: Olimar Ferraz
- E-mail: dpo@winx.ai
SEÇÃO 16 — ALTERAÇÕES NESTA POLÍTICA
Esta política pode ser revisada e atualizada a qualquer tempo. Alterações relevantes serão comunicadas aos titulares pelos canais oficiais e refletidas no histórico de versões. O uso continuado dos serviços após a publicação da nova versão será considerado aceite das alterações, ressalvadas as hipóteses em que se exija novo consentimento expresso.
SEÇÃO 17 — JURISDIÇÃO E LEI APLICÁVEL
Esta política é regida pelas leis da República Federativa do Brasil. Fica eleito o Foro da Comarca de São Paulo/SP como competente para dirimir quaisquer controvérsias dela decorrentes.