Política de Privacidade

A presente Política de Privacidade foi elaborada em conformidade com a Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais — "LGPD"), com o Marco Civil da Internet (Lei nº 12.965/2014), com o Decreto nº 8.771/2016 e com as orientações publicadas pela Autoridade Nacional de Proteção de Dados (ANPD), em especial o Guia Orientativo de Legítimo Interesse (fev/2024) e o Guia Orientativo sobre Cookies.

Esta Política tem por finalidade informar, com transparência, como a BRSA realiza o tratamento de dados pessoais coletados em seus canais digitais. Ao acessar o site brsa.com.br e demais propriedades digitais da BRSA, o titular declara estar ciente das condições aqui descritas.

1. Do Controlador e do Encarregado pelo Tratamento de Dados

Para os fins desta Política, considera-se Controlador (art. 5º, VI, LGPD) a pessoa jurídica a quem competem as decisões referentes ao tratamento de dados pessoais:

O Encarregado pelo Tratamento de Dados Pessoais (Data Protection Officer — DPO), nos termos do art. 41 da LGPD, é o canal de comunicação entre o Controlador, os titulares de dados e a ANPD. Solicitações relativas a dados pessoais devem ser direcionadas ao e-mail acima indicado, sendo respondidas no prazo de até 15 (quinze) dias (art. 19, II, LGPD).

2. Definições

Para a correta interpretação desta Política, adotam-se as definições legais constantes do art. 5º da LGPD, dentre as quais se destacam:

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato, dado referente à saúde ou à vida sexual, dado genético ou biométrico.
• Titular: pessoa natural a quem se referem os dados pessoais.
• Tratamento: toda operação realizada com dados pessoais (coleta, uso, acesso, transmissão, armazenamento, eliminação, etc.).
• Operador: pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do Controlador.
• Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.
• Legítimo interesse: hipótese legal que autoriza o tratamento de dados pessoais (não sensíveis) quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto se prevalecerem direitos e liberdades fundamentais do titular (art. 7º, IX, LGPD).

3. Dados Pessoais Coletados e Finalidades

A BRSA coleta dados pessoais estritamente necessários ao cumprimento das finalidades a seguir descritas, observados os princípios da finalidade, adequação, necessidade e minimização (art. 6º, LGPD). Para cada categoria de dado, indicamos a base legal aplicável.

3.1. Dados coletados via formulários de contato

3.2. Dados coletados para Newsletter e materiais ricos

3.3. Cookies e tecnologias de rastreamento

A BRSA utiliza cookies e tecnologias similares (pixels, tags, identificadores de dispositivo) para garantir o funcionamento do site, mensurar audiência, otimizar a experiência e veicular comunicações de marketing direcionadas.

Tipos de cookies utilizados:

• Estritamente necessários: indispensáveis ao funcionamento do site. Não exigem consentimento (legítimo interesse, art. 7º, IX).
• Desempenho e analytics: coletam informações agregadas (Google Analytics 4, ferramentas de heatmap). Base legal: consentimento.
• Marketing e publicidade: mensuração de campanhas e remarketing (Meta Pixel, LinkedIn Insight Tag). Base legal: consentimento.

O titular gerencia suas preferências por meio do banner de cookies exibido no primeiro acesso, bem como das configurações de seu navegador. A revogação do consentimento poderá impactar funcionalidades do site.

3.4. Atendimento via WhatsApp e canais de chat

3.5. Dados de candidatos a vagas (Trabalhe Conosco)

3.6. Identificação Corporativa via Endereço IP (B2B Deanonymization)

O que é: a BRSA utiliza tecnologia de identificação corporativa baseada em endereço IP (IP deanonymization, também chamada de reverse IP lookup ou visitor identification) para identificar a empresa proprietária do bloco de IP a partir do qual um acesso ao site foi originado.

Dados tratados: endereço IP, nome da empresa associada ao IP (razão social, CNPJ, domínio), setor econômico, porte e localização geográfica aproximada da organização, dados de navegação agregados (páginas visitadas, tempo, origem).

Finalidade: (i) inteligência comercial B2B; (ii) Account-Based Marketing (ABM) — mensuração de campanhas dirigidas a contas-alvo; (iii) priorização e personalização de ações comerciais; (iv) análise agregada de mercado.

Base legal: legítimo interesse do controlador (art. 7º, IX, e art. 10, I, LGPD), considerando que (i) o tratamento se restringe a informações de pessoa jurídica; (ii) não há identificação de pessoa natural específica; (iii) o tratamento é proporcional, necessário e adequado às finalidades de inteligência comercial B2B; e (iv) a BRSA conduziu Teste de Balanceamento (LIA) documentado conforme metodologia da ANPD (Guia de fev/2024).

Por que isso é razoavelmente esperado: a identificação corporativa via IP é prática disseminada e pública no mercado B2B, oferecida por plataformas globais como HubSpot, 6sense, Clearbit, RB2B e Leadfeeder. A BRSA utiliza especificamente os recursos de Tracking Code e Enrichment Products do HubSpot para esta finalidade. Profissionais que atuam em funções de marketing, vendas e tecnologia (público-alvo deste site) razoavelmente esperam essa prática em sites institucionais B2B.

Salvaguardas: a BRSA adota as seguintes medidas para proteger os direitos dos titulares:

• Tratamento restrito à identificação de pessoa jurídica.
• Vedação expressa de correspondência (matching) entre IP corporativo e dados pessoais de pessoa natural sem consentimento ou outra base legal aplicável.
• Descarte de IPs não identificáveis (residenciais, genéricos).
• Acesso aos dados restrito à equipe comercial e de marketing autenticada.
• Logs de auditoria sobre quem acessa os dados.
• Aceite do DPA do HubSpot (legal.hubspot.com/dpa), Seção 10 (Controller-to-Controller Terms), aplicável à funcionalidade de deanonymização.
• Retenção limitada (vide Seção 6) e eliminação ou anonimização após o prazo.

4. Compartilhamento de Dados com Terceiros

A BRSA poderá compartilhar dados pessoais com as seguintes categorias de terceiros, sempre observando os princípios de necessidade e minimização, e mediante contratos que assegurem padrões adequados de proteção:

• Operadores e provedores de tecnologia: HubSpot (CRM, automação de marketing e tracking code) e Google Workspace (e-mail e armazenamento), com base em DPA assinado pela BRSA. Detalhes: legal.hubspot.com/dpa.
• Plataformas de marketing digital: Google (Analytics, Ads), Meta (Facebook, Instagram), LinkedIn, com finalidade exclusiva de mensuração e veiculação de campanhas.
• Autoridades públicas: quando exigido por lei, ordem judicial ou requisição administrativa fundamentada (art. 7º, II, e art. 11, II, "a", LGPD).
• Sucessores legais: em hipóteses de operações societárias (fusão, aquisição, cisão), observada a notificação aos titulares e a manutenção das mesmas finalidades.

A BRSA não comercializa dados pessoais e não os compartilha com terceiros para finalidades incompatíveis com aquelas declaradas nesta Política.

5. Transferência Internacional de Dados

Algumas das ferramentas utilizadas pela BRSA são fornecidas por empresas sediadas no exterior, o que pode implicar transferência internacional de dados pessoais (art. 33, LGPD). Essa transferência observa as hipóteses legais autorizadas, mediante:

• Cláusulas contratuais padrão com os operadores internacionais.
• Adesão a frameworks de proteção reconhecidos internacionalmente (ex.: certificações ISO, SOC 2).
• Avaliação prévia do nível de proteção do país de destino, conforme deliberações da ANPD.

6. Prazo de Retenção dos Dados

Os dados pessoais são mantidos pelo tempo estritamente necessário ao cumprimento das finalidades para as quais foram coletados:

Findos os prazos, os dados são eliminados ou anonimizados, ressalvadas as hipóteses de conservação previstas no art. 16 da LGPD.

7. Direitos do Titular

Nos termos do art. 18 da LGPD, você possui os seguintes direitos:

• Confirmação da existência de tratamento de seus dados pessoais.
• Acesso aos dados pessoais tratados.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
• Portabilidade dos dados a outro fornecedor, observada a regulamentação da ANPD.
• Eliminação dos dados pessoais tratados com base em consentimento, ressalvadas as hipóteses do art. 16.
• Informação sobre as entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados.
• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa.
• Revogação do consentimento, a qualquer momento, por procedimento gratuito e facilitado.
• Oposição a tratamento realizado com fundamento em hipótese de dispensa de consentimento (como o legítimo interesse descrito na Seção 3.6), em caso de descumprimento da LGPD.
• Petição perante a ANPD em caso de não atendimento.

A BRSA poderá solicitar informações adicionais para confirmação da identidade do titular, evitando o atendimento de solicitações fraudulentas.

8. Segurança da Informação

A BRSA adota medidas técnicas e administrativas aptas a proteger os dados pessoais (art. 46, LGPD), incluindo:

• Criptografia em trânsito (TLS/SSL) e, quando aplicável, em repouso.
• Controle de acesso baseado em perfis e princípio do menor privilégio.
• Registros de log e trilhas de auditoria.
• Política interna de segurança da informação e treinamentos periódicos.
• Backups regulares e plano de continuidade.
• Avaliação periódica de fornecedores e operadores.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a BRSA comunicará a ANPD e os titulares afetados em prazo razoável (art. 48, LGPD).

9. Tratamento de Dados de Crianças e Adolescentes

O site e os serviços da BRSA destinam-se ao público B2B (business to business), não sendo direcionados a crianças ou adolescentes. A BRSA não coleta, conscientemente, dados de pessoas menores de 18 anos. Caso identifique tratamento inadvertido, procederá à eliminação imediata dos dados, observado o art. 14 da LGPD e o Enunciado nº 1/2023 da ANPD.

10. Alterações desta Política

Esta Política poderá ser atualizada a qualquer tempo. Alterações materiais serão comunicadas com destaque no site e, quando aplicável, por e-mail. A versão vigente é sempre identificada pela data indicada no início do documento.

11. Legislação Aplicável e Foro

Esta Política é regida pelas leis da República Federativa do Brasil. Fica eleito o foro da Comarca de Campinas, Estado de São Paulo, para dirimir quaisquer controvérsias decorrentes desta Política, com renúncia expressa a qualquer outro, por mais privilegiado que seja.

12. Canal de Contato com o Encarregado

Para o exercício dos direitos previstos no art. 18 da LGPD, esclarecimento de dúvidas, comunicação de incidentes ou qualquer demanda relacionada a dados pessoais, entre em contato com o Encarregado: