Whitepaper de Segurança, Anonimato e LGPD

1. Visão geral

O MBT Core é uma plataforma de pesquisas de clima organizacional e people analytics. Este documento descreve os controles de segurança, privacidade e anonimato implementados na plataforma, para avaliação por times de segurança da informação, jurídico e compliance.

Princípio central: o anonimato do respondente e o isolamento dos dados de cada organização não são configurações — são propriedades da arquitetura de dados, válidas para todos os planos.

2. Anonimato do respondente

O modelo de dados de respostas não possui coluna de identidade: nenhuma resposta é associada a usuário, e-mail ou endereço IP. A coleta é feita por link público, sem exigência de login.

• •Convites individuais registram apenas o fato de a pessoa ter respondido (para lembretes e taxa de adesão) — nunca o conteúdo da resposta. Os dois registros não se conectam.
• •Resultados agregados por grupo (departamento, nível hierárquico) só são exibidos quando o grupo atinge um número mínimo de respostas, configurável por pesquisa.
• •Os únicos atributos demográficos coletados — departamento e nível — são opcionais e informados pelo próprio respondente.

3. Isolamento multi-tenant

Cada registro carrega o identificador da organização proprietária, e políticas de Row Level Security (RLS) do PostgreSQL adicionam uma camada de proteção no próprio banco de dados, bloqueando acessos incompatíveis com a organização e o perfil autenticado — uma defesa adicional à camada de aplicação.

4. Controle de acesso por perfis (RBAC)

Quatro papéis com permissões distintas: admin, RH, gestor e colaborador.

• •Gestores acessam somente resultados agregados do próprio departamento.
• •Billing, integrações e configurações de segurança são restritos ao papel admin.
• •Contas de consultoria (multi-organização) exigem membership explícita por organização; a troca de contexto é validada no servidor.

5. Criptografia e infraestrutura

Todo o tráfego é criptografado em trânsito via TLS (HTTPS). Os dados são armazenados em PostgreSQL gerenciado (Supabase) em nuvem AWS, região dos Estados Unidos, com criptografia em repouso e backups automáticos mantidos pelo provedor de infraestrutura.

• •Backups: gerenciados pelo provedor de infraestrutura. Objetivos formais de RPO/RTO ainda não são publicados — em desenvolvimento.
• •A aplicação é entregue via Vercel, com CDN global para o conteúdo estático.

6. Controle de acesso interno e resposta a incidentes

O acesso da nossa equipe aos ambientes é limitado ao necessário para operar o serviço e atender chamados. Descrevemos abaixo o estado atual, incluindo o que ainda está em evolução — sem declarar controles que não existem.

• •Acesso administrativo segregado por papéis e restrito à operação e ao suporte.
• •Autenticação multifator (MFA) para contas administrativas internas: em implantação gradual.
• •Gestão formal de vulnerabilidades e testes de segurança periódicos por terceiros: em desenvolvimento.
• •Resposta a incidentes: tratamos incidentes com priorização por severidade e escalação humana; um prazo formal de comunicação a clientes será publicado aqui quando definido.
• •Contato de segurança: pelo formulário em mbtcore.com/enterprise ou pela Central de Ajuda.

7. Retenção, exportação e exclusão (LGPD)

• •Minimização: coletamos o mínimo necessário para o serviço funcionar.
• •Portabilidade: o admin exporta todos os dados da organização (CSV/PDF) a qualquer momento, sem chamado.
• •Retenção configurável: a organização define o prazo de armazenamento das respostas; uma rotina diária expurga automaticamente o que passou do prazo.
• •Encerramento: após o cancelamento, os dados ficam disponíveis por 30 dias para exportação e são excluídos permanentemente em seguida.
• •Fluxo de exclusão de organização alinhado ao Art. 18, VI da LGPD.

8. Auditoria

Eventos sensíveis — publicação de pesquisas, exportações, alterações de configuração — são registrados em trilha de auditoria com autor e data, acessível somente aos admins da organização.

9. Integrações

• •Webhooks de saída assinados com HMAC-SHA256 (cabeçalho X-Clima-Signature), com log de entrega por disparo.
• •API pública autenticada por chaves de API emitidas e revogáveis pela própria organização.
• •Rotas administrativas e de rotina protegidas por segredos dedicados.

10. Inteligência artificial e subprocessadores

Os recursos de IA (insights, análise de sentimento, clusters de comentários, sugestões de ação e geração de pesquisas) usam a API da OpenAI, acionada somente sob demanda pelo usuário. São enviados métricas agregadas e comentários abertos — coletados sem identificação, mas que podem conter informações pessoais escritas pelo próprio respondente; por isso orientamos os respondentes a não incluir nomes ou situações identificáveis. Não são enviados nome, e-mail, IP ou identificadores de respondente. Segundo os termos da API do provedor, os dados enviados não são usados para treinar modelos por padrão, e o provedor pode reter conteúdo por período limitado para monitorar abuso; Zero Data Retention (ZDR) ainda não está configurado. O processamento ocorre fora do Brasil (EUA), amparado pelos mecanismos contratuais do provedor.

• •Subprocessadores (lista versionada): Supabase (infra AWS) — Banco de dados e autenticação (EUA); Vercel — Hospedagem e entrega da aplicação (EUA / global (CDN)); OpenAI — Recursos de IA, acionados sob demanda (EUA); Stripe — Pagamentos e faturas (EUA / global); Resend — E-mails transacionais (convites, lembretes) (EUA); Meta — WhatsApp Cloud API — Código de login do Portal, quando habilitado (EUA / global); Focus NFe — Emissão de notas fiscais, quando aplicável (Brasil).
• •Ainda não possuímos certificações formais (ISO 27001, SOC 2); os controles descritos refletem o estado real da plataforma.

11. Supervisão humana

Pedidos relacionados a privacidade, titulares de dados e exclusão são tratados por pessoas, com fluxo de escalação. Relatórios NR-1 são validados e assinados por pessoa ou equipe designada pela organização, com conhecimento técnico adequado — quando aplicável, profissional legalmente habilitado.

12. Contato

Dúvidas técnicas do seu time de segurança podem ser enviadas pelo formulário em mbtcore.com/enterprise ou pela Central de Ajuda da plataforma. Os termos completos estão em mbtcore.com/privacy e mbtcore.com/terms.