Política de Privacidade

1. Introdução e alcance

Esta política descreve como a Cost & Profitability Consulting, Lda. (NIF 509495389), que atua sob o nome CostCtrl, com sede no Porto, Portugal (a seguir "nós", "nosso" ou "a empresa"), coleta, usa, armazena, compartilha e protege dados pessoais obtidos por meio do site costandprofitability.com, das nossas ferramentas de diagnóstico (incluindo o Profit Check), dos nossos serviços e de qualquer comunicação relacionada.

Ela vale para visitantes, usuários, clientes e contatos profissionais que acessam o site, respondem aos nossos diagnósticos, assinam nossas comunicações, participam dos nossos eventos ou de outra forma se relacionam conosco. Vale independentemente do país, inclusive Brasil, Espaço Econômico Europeu, Reino Unido e demais jurisdições.

Duas leis se aplicam ao mesmo tempo, e não uma no lugar da outra. Somos um controlador estabelecido em Portugal, então o Regulamento (UE) 2016/679 (GDPR) e a Lei portuguesa n.º 58/2019 se aplicam ao nosso tratamento. Quando o titular dos dados está no Brasil, ou quando os dados são coletados no território brasileiro, a LGPD também se aplica, por força do seu artigo 3.º. Onde as duas leis divergem, seguimos a exigência mais protetiva. Os pontos em que isso é concreto, e não retórico, são o prazo de resposta (a LGPD é mais curta), a autoridade competente (ANPD além da CNPD) e a base legal, que a LGPD lista no artigo 7.º com redação própria.

Quando nos baseamos no consentimento, ele é pedido no momento da coleta, de forma destacada, e pode ser retirado a qualquer momento.

3. Dados que coletamos

3.1 Dados de identificação e contato

Quando você responde a um diagnóstico, solicita uma conversa, assina nossas comunicações ou entra em contato, podemos coletar: nome completo, e-mail, telefone, cargo, empresa, número de funcionários, setor de atuação e país.

3.2 Dados de diagnóstico

Quando você conclui o Profit Check ou outra ferramenta de diagnóstico, coletamos: suas respostas a cada pergunta, as pontuações calculadas por dimensão, a pontuação geral e a classificação de risco, a data, a hora e a duração do preenchimento, o idioma usado e qualquer comentário livre que você acrescente.

3.3 Dados técnicos e de uso

Quando você visita o site, coletamos automaticamente: endereço IP, tipo e versão do navegador, sistema operacional, tipo de dispositivo, páginas visitadas e tempo em cada uma, site ou origem de referência, e interações com as ferramentas de diagnóstico (taxas de conclusão, pontos de abandono).

3.4 Dados de comunicação

Quando você fala conosco, guardamos: o conteúdo de e-mails, mensagens e formulários, os registros de reuniões ou chamadas (com o seu conhecimento) e suas preferências de comunicação de marketing.

3.5 Dados de relacionamento comercial

Para clientes e contatos comerciais, também podemos coletar: dados de faturamento, histórico de contratos e notas de reuniões ou workshops.

3.6 Informações de fontes públicas e de terceiros

Para desenvolvimento comercial, coletamos informações profissionais limitadas sobre pessoas que ocupam funções de finanças, controladoria e operações em organizações que possam precisar dos nossos serviços. Coletamos isso apenas de fontes profissionais publicamente disponíveis: comunicações a investidores da própria empresa, releases à imprensa, vagas publicadas, arquivamentos regulatórios oficiais e editais públicos.

As informações se limitam a nome, cargo, empregador e a fonte pública onde as encontramos. Não coletamos dados de contato pessoais, atividade pessoal em redes sociais nem qualquer informação sobre sua vida fora do trabalho. Não compramos listas de contatos de corretores de dados e não montamos perfis de pessoas. Qualquer pontuação ou priorização se aplica a uma organização e às suas atividades anunciadas publicamente, nunca a uma pessoa.

Nossa base legal é o legítimo interesse, previsto no artigo 6(1)(f) do GDPR e no artigo 7.º, IX, da LGPD, especificamente o interesse em oferecer um serviço profissional relevante a organizações que indicaram publicamente estar trabalhando em custos e rentabilidade. Realizamos e documentamos a avaliação de balanceamento (o legitimate interest assessment), que fornecemos mediante pedido. A LGPD reforça esse ponto: o artigo 10.º, §3.º, permite que a ANPD solicite o relatório de impacto quando o tratamento se funda no legítimo interesse.

Guardamos essas informações por no máximo 100 dias contados do evento público que as originou; depois disso são apagadas automaticamente, salvo se tiverem passado a integrar um relacionamento ativo com cliente. Quando entramos em contato pela primeira vez usando informações obtidas assim, dizemos onde as encontramos, como exige o artigo 14 do GDPR. Você pode se opor a qualquer momento escrevendo para [email protected]; nós paramos e incluímos você em uma lista permanente de supressão.

5. Uso do nome e do logotipo da sua empresa

5.1 Sem o seu consentimento. Nunca identificaremos publicamente sua empresa por nome, logotipo ou qualquer informação que permita reconhecê-la, em conexão com pontuações, resultados ou recomendações específicas.

5.2 Com o seu consentimento explícito por escrito (por e-mail, formulário de consentimento ou caixa de seleção), podemos: incluir o nome e o logotipo da sua empresa na nossa lista de clientes; citar sua empresa em estudos de caso e depoimentos; usar o nome em propostas e apresentações para demonstrar experiência.

5.3 Referências anonimizadas. Podemos mencionar um participante de forma anonimizada (por exemplo, "uma indústria de médio porte em Portugal, com 85 funcionários") sem consentimento específico, desde que a descrição não permita identificação razoável. Se a combinação de setor, porte e geografia puder revelar a identidade a um leitor informado, pediremos consentimento antes de publicar.

5.4 Retirada do consentimento. Você pode retirar o consentimento a qualquer momento escrevendo para [email protected]. Removeremos as informações identificadoras em até 30 dias, exceto quando a remoção for tecnicamente inviável (material impresso já em circulação, publicações de terceiros).

7. Compartilhamento de dados e terceiros

7.1 Prestadores e operadores. Contratamos prestadores que tratam dados por nossa conta. Na data da última atualização desta página, são: o provedor de hospedagem do site (InMotion Hosting, Estados Unidos, com as salvaguardas de transferência aplicáveis); Cloudflare, Inc. (Estados Unidos), para entrega, cache e segurança do site; Google Ireland Limited, para o Google Analytics 4 e para o reCAPTCHA, usado para proteger nossos formulários contra envios automatizados; Microsoft Corporation, para o Microsoft Clarity, que grava sessões somente depois do seu consentimento (veja a seção 10); LinkedIn Ireland, para medir nossas campanhas publicitárias; Plausible Analytics, para medição de audiência sem cookies; além de um provedor de envio de e-mails e de ferramentas de CRM e faturamento. Todos estão vinculados por contrato que os obriga a tratar dados apenas conforme nossas instruções e a adotar medidas de segurança adequadas.

7.2 Parceiros. Quando oferecemos uma versão co-branded de uma ferramenta de diagnóstico com um parceiro, podemos compartilhar seus dados de contato e resultados com esse parceiro, mas apenas se você tiver sido claramente informado, no momento da coleta, de que o diagnóstico é co-branded e de que os dados serão compartilhados com o parceiro nomeado.

7.3 Assessores profissionais. Podemos compartilhar dados com nossos assessores jurídicos, contábeis ou de seguros quando necessário à condução do negócio.

7.4 Exigências legais e regulatórias. Podemos divulgar dados quando exigido por lei, regulamento, ordem judicial ou solicitação governamental, ou quando acreditarmos de boa-fé que a divulgação é necessária para proteger nossos direitos ou a segurança de pessoas.

7.5 Operações societárias. Em caso de fusão, aquisição, reorganização ou venda de ativos, seus dados pessoais podem ser transferidos à entidade sucessora, sujeitos às mesmas proteções descritas aqui.

Não vendemos seus dados pessoais. A venda de benchmarks anonimizados e agregados descrita nas seções 4.2 e 6.3 não constitui venda de dados pessoais.

Direito específico da LGPD. O artigo 18, VII, da LGPD dá a você o direito de ser informado sobre as entidades públicas e privadas com as quais compartilhamos seus dados. A lista acima é a resposta padrão a esse pedido; se quiser a informação referente especificamente aos seus dados, escreva para nós.

9. Retenção de dados

Guardamos dados pessoais apenas pelo tempo necessário às finalidades da coleta, ou pelo prazo exigido por lei.

9.1 Respostas individuais de diagnóstico: até 36 meses a partir do preenchimento. Depois disso, são apagadas ou irreversivelmente anonimizadas e incorporadas à base agregada de benchmark.

9.2 Dados de contato: pela duração do relacionamento comercial, mais 24 meses. Para assinantes de marketing: até o cancelamento da assinatura, mais 12 meses (para manter listas de supressão e registros de consentimento).

9.3 Dados anonimizados e agregados: mantidos por prazo indeterminado, pois deixaram de ser dados pessoais.

9.4 Registros financeiros e de faturamento: 10 anos, conforme a legislação fiscal e comercial portuguesa (Código do IRC, artigo 123).

9.5 Logs de servidor: até 12 meses.

9.6 Dados de cookies: no máximo 13 meses, conforme orientação do Comitê Europeu de Proteção de Dados.

9.7 Registros de consentimento (quando e como foi obtido): pela duração do consentimento, mais 5 anos, para demonstrar conformidade.

9.8 Dados de desenvolvimento comercial de fontes públicas: no máximo 100 dias a partir do evento público que os originou, depois apagados automaticamente, salvo se tiverem passado a integrar um relacionamento ativo com cliente.

11. Seus direitos

11.1 Direitos sob a LGPD (titulares no Brasil)

O artigo 18 da LGPD garante a você o direito de obter, a qualquer momento e mediante requisição:

I. confirmação da existência de tratamento;
II. acesso aos dados;
III. correção de dados incompletos, inexatos ou desatualizados;
IV. anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
V. portabilidade a outro fornecedor de serviço ou produto;
VI. eliminação dos dados tratados com o seu consentimento, ressalvadas as hipóteses do artigo 16;
VII. informação sobre as entidades públicas e privadas com as quais compartilhamos seus dados;
VIII. informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
IX. revogação do consentimento, nos termos do artigo 8.º, §5.º.

Você também pode peticionar diretamente à ANPD (artigo 18, §1.º) e opor-se a tratamento fundado em uma das hipóteses de dispensa de consentimento, em caso de descumprimento da lei (artigo 18, §2.º).

11.2 Direitos sob o GDPR

Acesso (artigo 15). Confirmar se tratamos seus dados e receber uma cópia em formato estruturado e de uso corrente.

Retificação (artigo 16). Corrigir dados inexatos ou incompletos.

Apagamento (artigo 17). Pedir a exclusão quando os dados não forem mais necessários, quando você retirar o consentimento ou quando o tratamento for ilícito. Não se aplica a dados anonimizados nem a dados cuja retenção seja exigida por lei.

Limitação (artigo 18). Pedir que restrinjamos o uso dos dados em determinadas circunstâncias.

Portabilidade (artigo 20). Receber seus dados em formato legível por máquina e transmiti-los a outro controlador.

Oposição (artigo 21). Opor-se a tratamento baseado em legítimo interesse. Encerraremos o tratamento salvo se demonstrarmos motivos legítimos imperiosos que prevaleçam sobre os seus interesses.

Oposição a marketing direto. Quando a oposição for a marketing direto, incluindo o contato comercial descrito na seção 3.6, o direito é absoluto sob o artigo 21(2) do GDPR. Paramos, sem exercício de balanceamento, e registramos a sua oposição para que seja respeitada no futuro.

Decisão automatizada (artigo 22). Nossas ferramentas de diagnóstico produzem pontuações e recomendações automatizadas. Elas têm caráter informativo e consultivo e não constituem decisões com efeitos jurídicos ou impacto significativo sobre você. Você pode pedir revisão humana de qualquer resultado automatizado. O artigo 20 da LGPD garante o mesmo direito de revisão.

Retirada do consentimento. Quando nos baseamos no consentimento, você pode retirá-lo a qualquer momento, sem afetar a licitude do tratamento anterior.

11.3 Como exercer

Escreva para [email protected]. Verificaremos sua identidade antes de processar o pedido. Respondemos em até 15 dias (LGPD) ou 30 dias (GDPR); para titulares no Brasil usamos o prazo de 15 dias. Pedidos complexos sob o GDPR podem exigir prorrogação de até 60 dias adicionais, sobre a qual informaremos você e o motivo.

13. Comunicação de incidentes de segurança

Em caso de violação de dados pessoais com risco provável aos seus direitos e liberdades, notificaremos a autoridade de controle competente (CNPD, em Portugal) sem demora injustificada e, quando viável, em até 72 horas do conhecimento do incidente. Quando o risco for elevado, também comunicaremos você diretamente e sem demora injustificada.

Para titulares no Brasil, o artigo 48 da LGPD exige que o controlador comunique à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. Faremos essa comunicação em prazo razoável, conforme a regulamentação da ANPD em vigor no momento do incidente.

15. Links para sites de terceiros

Nosso site contém links para sites, plataformas e serviços de terceiros (LinkedIn, CostCtrl.com, ferramentas de agendamento, processadores de pagamento). Não somos responsáveis pelas práticas de privacidade desses terceiros. Recomendamos que você leia as políticas deles antes de fornecer dados pessoais.

17. Autoridades de controle

Se a nossa resposta não o satisfizer, você tem o direito de apresentar reclamação a uma autoridade de controle:

Brasil: Autoridade Nacional de Proteção de Dados (ANPD).
Portugal, onde estamos estabelecidos: Comissão Nacional de Proteção de Dados (CNPD).
Outros países da UE ou do EEE: a autoridade do seu país de residência. A lista está em edpb.europa.eu.

19. Lei aplicável e foro

Esta política é regida pelas leis de Portugal e da União Europeia. Os litígios dela decorrentes ficam sujeitos à jurisdição exclusiva dos tribunais do Porto, Portugal, sem prejuízo do seu direito de apresentar reclamação a uma autoridade de controle, incluindo a ANPD, ou de recorrer aos tribunais do seu domicílio.