Portal de Conformidade · Proteção de dados
LGPD — Proteção de Dados Pessoais
Como a EBAEM trata dados pessoais no site e na plataforma, quando atua como controladora e quando atua como operadora dos entes públicos, e quais garantias oferece em cada papel.
Encarregado de dados (DPO): lgpd@ebaem.com.br · solicitações de titulares respondidas em até 15 dias
Portal de Conformidade · Política de Proteção de Dados Pessoais · Vigente desde 02/09/2026
Esta política explica como a EBAEM LTDA trata dados pessoais no site www.observatoriogestao.com.br e na plataforma Observatório de Gestão (painel.observatoriogestao.com.br), em conformidade com a Lei nº 13.709/2018 (LGPD) e com os regulamentos e orientações da Autoridade Nacional de Proteção de Dados (ANPD). O detalhamento de cada coleta, contexto por contexto, está no Aviso de Privacidade.
Dois papéis, duas responsabilidades
🏢
Controladora
A EBAEM decide as finalidades e os meios do tratamento dos dados do site (contato, propostas, credenciamento), das contas de usuário que ela mesma cadastra, do faturamento, dos canais de denúncia e LGPD e dos registros de segurança da plataforma. Também é controladora dos dados pessoais presentes nas bases públicas que a plataforma coleta (CAUC, Transferegov/SICONV, emendas, DOU).
🤝
Operadora
Quando um ente público ou consultor carrega dados na plataforma — usuários da sua equipe, documentos de prestação de contas, planilhas, anexos — a EBAEM trata esses dados apenas conforme as instruções do cliente, definidas em contrato. Nesses casos o cliente é o controlador, e a EBAEM responde pela segurança e pelo apoio ao atendimento de titulares.
Dados de acesso público. As bases oficiais monitoradas contêm dados de agentes públicos, parlamentares autores de emendas e favorecidos. Esse tratamento observa a finalidade, a boa-fé e o interesse público que justificaram a divulgação original (LGPD, art. 7º, §§ 3º e 4º) e se limita a reproduzir e organizar informação já pública, sem enriquecê-la com dados de outras origens.
Bases legais que utilizamos
| Tratamento | Base legal | Observação |
|---|---|---|
| Contato, propostas e demonstrações | Procedimentos preliminares a contrato (art. 7º, V) e legítimo interesse (art. 7º, IX) | Você pode se opor ao contato comercial a qualquer momento. |
| Contratação, faturamento e cobrança | Execução de contrato (art. 7º, V) e cumprimento de obrigação legal ou regulatória (art. 7º, II) | Documentos fiscais têm guarda obrigatória. |
| Contas de usuário, autenticação e permissões | Execução de contrato (art. 7º, V) | Na plataforma, sob instrução do cliente quando ele é o controlador. |
| Registros de acesso, logs e trilha de auditoria | Obrigação legal (art. 7º, II — Marco Civil da Internet, art. 15) e legítimo interesse na segurança (art. 7º, IX) | Registros de acesso são guardados por, no mínimo, 6 meses. |
| Canal de denúncias | Legítimo interesse (art. 7º, IX), exercício regular de direitos (art. 7º, VI) e, para dados sensíveis eventualmente relatados, art. 11, II, “a” e “d” | Relatos podem ser anônimos. |
| Solicitações de titulares | Cumprimento de obrigação legal (art. 7º, II) | Verificação de identidade antes da resposta. |
| Bases públicas monitoradas | Legítimo interesse (art. 7º, IX) e tratamento de dados de acesso público (art. 7º, § 3º) | Dados mantidos com a finalidade original de transparência. |
| Comunicações institucionais e newsletter | Consentimento (art. 7º, I) | Revogável a qualquer momento pelo link do e-mail ou pelo canal LGPD. |
| Cookies não essenciais | Consentimento (art. 7º, I) | Gerenciados pelo banner de cookies — veja a Política de Cookies. |
Finalidades
- Responder a contatos, elaborar propostas e conduzir a contratação;
- Autenticar usuários, aplicar perfis e permissões por empresa e território e registrar ações para auditoria;
- Executar as rotinas de coleta e organização das bases oficiais e gerar alertas, relatórios e indicadores;
- Faturar, cobrar e emitir documentos fiscais;
- Prestar suporte, apurar denúncias e atender solicitações de titulares;
- Cumprir obrigações legais e regulatórias e ordens de autoridades;
- Proteger o site e a plataforma contra fraudes, abusos e incidentes de segurança.
Não usamos dados pessoais para decisões automatizadas com efeito jurídico sobre o titular nem para publicidade comportamental. Não vendemos dados pessoais.
Categorias de dados tratados
| Categoria | Exemplos | Origem |
|---|---|---|
| Identificação e contato | nome, e-mail, telefone, cargo, órgão ou empresa | você, seu ente ou consultor |
| Dados cadastrais e contratuais | CNPJ, razão social, endereço, dados do responsável legal, dados de faturamento | você ou o ente contratante |
| Dados de conta | login, perfil, permissões, empresas e territórios autorizados, histórico de acesso | plataforma |
| Dados técnicos | endereço IP, navegador, dispositivo, data e hora, páginas acessadas, cookies | navegação |
| Dados de pagamento | forma de pagamento, status da cobrança e identificadores gerados pelo processador; não armazenamos números completos de cartão | processador de pagamentos (Asaas) |
| Conteúdo enviado | mensagens, anexos de suporte, relatos de denúncia, documentos carregados por clientes | você ou o cliente controlador |
| Dados de acesso público | nomes de gestores, parlamentares, favorecidos e responsáveis constantes das bases oficiais | Governo Federal (CAUC, Transferegov, Portal da Transparência, DOU) |
Compartilhamento e subprocessadores
Compartilhamos dados pessoais somente com quem precisa deles para prestar o serviço, sob contrato com cláusulas de proteção de dados, ou quando a lei exige. Não cedemos dados para marketing de terceiros.
| Categoria de subprocessador | Finalidade | Dados envolvidos | Localização |
|---|---|---|---|
| Hospedagem e infraestrutura da plataforma | execução e armazenamento | todos os dados da plataforma | Brasil |
| DNS, CDN e proteção contra ataques (Cloudflare) | desempenho e segurança do site | dados técnicos de navegação | pode envolver tratamento fora do Brasil |
| Proteção anti-spam (hCaptcha) | validação dos formulários | dados técnicos de navegação | pode envolver tratamento fora do Brasil |
| Provedor de e-mail transacional | envio de protocolos, confirmações e notificações | nome, e-mail, conteúdo da mensagem | [Brasil ou exterior — conforme o provedor contratado] |
| Processamento de pagamentos (Asaas) | boleto, PIX e cartão | dados de cobrança e do pagador | Brasil |
| Armazenamento opcional em Google Drive | arquivamento de relatórios, quando configurado pelo cliente | relatórios do cliente | conta do próprio cliente |
| Autoridades públicas e órgãos de controle | cumprimento de obrigação legal ou ordem judicial | somente o que for exigido | Brasil |
A lista atualizada de subprocessadores pode ser solicitada ao encarregado. Mudanças relevantes são informadas aos clientes contratantes com antecedência.
Transferência internacional
Nossa infraestrutura principal está no Brasil. Alguns provedores (proteção do site, anti-spam, e-mail) podem tratar dados técnicos fora do país. Nesses casos a transferência se apoia nas hipóteses do art. 33 da LGPD — em especial cláusulas contratuais padrão ou garantias equivalentes previstas no regulamento de transferências internacionais da ANPD — e se restringe ao mínimo necessário.
Retenção e descarte
| Dados | Prazo | Critério |
|---|---|---|
| Contatos, propostas e demonstrações | até 2 anos após o último contato | interesse legítimo no relacionamento comercial |
| Contratos, notas fiscais e cobranças | 5 anos após o término do contrato, ou prazo legal maior | obrigações fiscais e prescrição |
| Contas de usuário e dados carregados por clientes | durante a vigência do contrato e por 90 dias após o encerramento, para exportação | depois, eliminação ou anonimização, salvo obrigação legal |
| Registros de acesso (logs) | mínimo de 6 meses | Marco Civil da Internet, art. 15 |
| Trilha de auditoria da plataforma | conforme a política de retenção configurada, com expurgo controlado | segurança e prestação de contas |
| Denúncias e apurações | enquanto durar a apuração e pelo prazo prescricional aplicável | exercício regular de direitos |
| Solicitações de titulares | 5 anos após a conclusão | comprovação do atendimento |
Ao fim do prazo, os dados são eliminados de forma segura ou anonimizados. Backups seguem ciclo próprio de rotação e são descartados no prazo definido na Política de Segurança da Informação.
Segurança
Criptografia em trânsito e de segredos em repouso, autenticação com múltiplos fatores, controle de acesso por perfil, empresa e território, trilha de auditoria, backups, segregação de ambientes e gestão de vulnerabilidades. Os controles estão descritos na Política de Segurança da Informação.
Direitos do titular (art. 18)
- Confirmação da existência de tratamento;
- Acesso aos dados;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
- Portabilidade a outro fornecedor de serviço ou produto;
- Eliminação dos dados tratados com base no consentimento;
- Informação sobre as entidades com as quais os dados foram compartilhados;
- Informação sobre a possibilidade de não consentir e as consequências da negativa;
- Revogação do consentimento e oposição ao tratamento;
- Revisão de decisões tomadas unicamente com base em tratamento automatizado (art. 20).
Como exercer. Pelo formulário de Solicitações LGPD, com protocolo e resposta em até 15 dias (art. 19, II). Se você é usuário da plataforma por meio de um ente ou consultor cliente, encaminhamos o pedido ao controlador e apoiamos a resposta. Você também pode apresentar petição à ANPD.
Encarregado (DPO)
Encarregado: Sr. Sanclé Albuquerque — lgpd@ebaem.com.br. Nomeado nos termos do art. 41 da LGPD, recebe reclamações e comunicações de titulares e da ANPD, orienta colaboradores sobre as práticas de proteção de dados e conduz o registro das operações de tratamento (art. 37) e, quando exigido, o relatório de impacto à proteção de dados (art. 38).
Incidentes de segurança
Todo incidente que possa afetar dados pessoais é tratado conforme o plano de resposta da Política de Segurança da Informação:
- registro, contenção e preservação de evidências;
- avaliação da natureza, dos titulares e dos dados afetados e do risco a direitos e liberdades;
- comunicação à ANPD e aos titulares quando houver risco ou dano relevante, em até 3 dias úteis a partir do conhecimento (LGPD, art. 48; Resolução CD/ANPD nº 15/2024);
- comunicação ao cliente controlador sem demora injustificada, com as informações necessárias para que ele cumpra suas próprias obrigações;
- registro do incidente e das lições aprendidas, com revisão dos controles.
Governança e prestação de contas
- Registro das operações de tratamento mantido e revisado anualmente;
- Relatório de impacto à proteção de dados para tratamentos de maior risco;
- Cláusulas de proteção de dados em contratos com clientes, credenciados e subprocessadores;
- Treinamento periódico de colaboradores e credenciados;
- Privacidade desde a concepção nas novas funcionalidades da plataforma.
Alterações
Esta política pode ser atualizada para refletir mudanças legais, regulatórias ou do serviço. A versão vigente é sempre a publicada nesta página, com a data indicada no início do documento; mudanças relevantes são comunicadas aos clientes e, quando cabível, aos titulares.
Política aprovada pela direção da EBAEM LTDA. Versão vigente desde 02/09/2026; revisão anual, ou antes diante de mudança legal, de produto ou incidente relevante.