Política de Privacidade

A plataforma Kobalt é operada por KOBALT TECNOLOGIA LTDA, CNPJ 68.931.544/0001-00, com sede em Porto Alegre/RS. O canal de contato para qualquer assunto desta política é contato@kobalt.com.br.

Esta política vale para duas pessoas diferentes: quem tem uma conta na plataforma, sempre vinculada a uma empresa contratante; e quem não tem conta, mas aparece nos dados que uma empresa contratante insere — funcionário, candidato, cliente ou fornecedor dela.

Na linguagem da Lei Geral de Proteção de Dados (Lei 13.709/2018), a empresa contratante é a controladora do dado que ela insere na plataforma: ela decide o que cadastra, por quê e por quanto tempo. A Kobalt é a operadora desse dado: trata-o em nome da contratante e conforme as instruções dela.

A Kobalt é controladora apenas do dado da própria conta de acesso: nome, e-mail, as empresas a que a pessoa está vinculada e o registro de entradas na plataforma.

Se você é funcionário, cliente ou fornecedor de uma empresa que usa a Kobalt e quer saber por que o seu dado está lá, a resposta é da empresa. A Kobalt encaminha o pedido a ela e ajuda no que for técnico.

Dado de conta, tratado pela Kobalt como controladora:

• nome e e-mail de quem tem acesso, e a empresa ou empresas a que a pessoa está vinculada;
• o endereço de rede (IP) de cada tentativa de entrada, usado só para limitar tentativas repetidas de login;
• a trilha de acesso: que registro de pessoa foi lido, quantos, em que empresa e em que momento.

Dado inserido pela empresa contratante, tratado pela Kobalt como operadora:

• cadastro de funcionários e candidatos, inclusive documentos enviados pela própria empresa;
• cadastro de clientes e fornecedores;
• lançamentos financeiros, de estoque, de compras e de agenda que citem pessoas.

Quando você chega ao site por um link ou anúncio marcado, guardamos essa marcação junto do seu pedido de diagnóstico, para saber qual canal trouxe o contato.

A Kobalt não pede dado que o serviço não use, e não cria perfil de comportamento de ninguém.

• prestar o serviço contratado pela empresa: as telas, os relatórios e as automações que ela ligou;
• reconhecer quem entra, manter a sessão aberta e barrar tentativas repetidas de login;
• registrar quem leu dado de pessoa, para a empresa poder auditar o próprio acesso;
• responder a pedidos de titulares e a obrigações legais;
• avisar a empresa quando houver incidente de segurança que a alcance.

A Kobalt usa provedores de infraestrutura para hospedar e operar a plataforma. Cada um recebe só o que a função dele exige. A região de cada um foi medida diretamente na conta da Kobalt no provedor.

A cópia de segurança e as conversas com o assistente do WhatsApp da Kobalt, de quem autorizou, são os dois pontos em que o dado sai do país no funcionamento normal. Esta política não esconde isso: o mecanismo jurídico da cópia de segurança ainda está em validação, e o Backblaze não recebe nada além do retrato cifrado do banco para restauração. O do assistente está no parágrafo seguinte.

Toda saída para um modelo de inteligência artificial passa por uma porta única no servidor, que nega por padrão dado de RH, documento pessoal, CPF, saúde e qualquer conteúdo não classificado. Há uma exceção, e ela é dita aqui: quando alguém escreve para o WhatsApp da própria Kobalt, a primeira resposta pede licença para usar o assistente. Só se a pessoa responder SIM, o texto da conversa vai ao modelo Claude, da Anthropic, processado nos Estados Unidos, para o assistente da Kobalt escolher a próxima resposta entre frases que a Kobalt aprovou. Sem a licença, uma pessoa da equipe responde. O nome do perfil e o número de telefone não vão; CPF, e-mail, telefone, cartão e links digitados são trocados por marcadores antes de sair. A Anthropic guarda o que recebe por até 30 dias (até 2 anos se o conteúdo for marcado por violar as regras de uso dela) e não usa esse texto para treinar modelos sem permissão expressa. A transferência para os Estados Unidos se apoia na autorização de quem escreve (Lei 13.709/2018, art. 33, VIII), pedida antes de qualquer envio e guardada com a hora; o atendimento se apoia no pedido de informação da própria pessoa (art. 7º, V). A licença pode ser retirada a qualquer momento, escrevendo PESSOA na conversa: o assistente para de ler e a equipe assume. Um provedor só entra nesta lista quando um módulo específico passar a usá-lo, e esta política é atualizada antes.

Há um segundo caminho, e ele é dito aqui porque existe: quando a Kobalt opera os dados a pedido do contratante com apoio de inteligência artificial, o dado que identifica a pessoa é substituído por um código antes de entrar na ferramenta. Nome, CPF, e-mail, telefone, endereço e data de nascimento viram código; o que descreve o trabalho — valores, horas, datas, produtos — continua inteiro, porque é dele que o trabalho precisa. A conversa é limpa em até 24 horas e apagada em 15 dias.

O isolamento entre empresas é feito no banco de dados, linha a linha, por regras de segurança que impedem uma empresa de ler o registro de outra, mesmo que uma tela tenha defeito. Essas regras são auditadas.

A equipe da Kobalt acessa dado de contratante só no mínimo necessário para o trabalho autorizado. Toda leitura de dado de pessoa, por quem quer que seja, fica registrada em trilha: qual tabela, quantos registros, quem leu, de que empresa e quando. A trilha nunca guarda o conteúdo lido.

• toda comunicação é cifrada (HTTPS), e o navegador é instruído a nunca usar conexão aberta com a Kobalt por dois anos;
• a página só executa código que ela mesma assinou, o que barra scripts injetados;
• a plataforma não pode ser embutida em site de terceiros;
• a sessão é um cookie assinado pelo servidor, inacessível a scripts da página;
• a Kobalt tem roteiro escrito de incidente: detectar, conter, preservar evidência e avisar a empresa afetada.

A página de Segurança detalha cada um desses pontos com o número medido e a data da medição — inclusive o que a Kobalt mediu e ainda não pode afirmar.

A Kobalt usa só cookies necessários ao funcionamento, e por isso não pede consentimento para eles:

• kobalt_sessao — mantém a pessoa conectada por até 30 dias;
• kobalt_perfil — lembra a última empresa aberta;
• kobalt_portal_sessao — sessão do portal de operação de caixa e entregas, por até 7 dias.

Não há cookie de publicidade nem de análise de audiência. O desafio anti-robô da Cloudflare, quando aparece na tela de login ou no cadastro do Prestadores, roda no quadro do próprio provedor.

• funcionário desligado: cinco anos após o desligamento. Depois disso a identidade é anonimizada (nome, documentos, contato); o registro contábil e trabalhista fica, sem a pessoa, porque folha e imposto precisam dele;
• candidato não contratado: seis meses após o cadastro, com a mesma anonimização;
• cliente da agenda de atendimentos: o prazo em meses definido para a agenda da empresa (60 meses onde a empresa não definiu outro), contado da última compra ou atendimento;
• dado de conta: enquanto a conta existir. A empresa contratante pode pedir a remoção de uma conta a qualquer momento.

Os prazos de funcionário e de candidato são cumpridos por uma rotina automática diária, que registra o que anonimizou.

A lei garante ao titular confirmar se há tratamento, acessar o dado, corrigir, anonimizar ou eliminar, pedir portabilidade, saber com quem foi compartilhado e revogar consentimento quando ele for a base do tratamento.

O pedido chega por contato@kobalt.com.br. A Kobalt responde em até 15 dias. Quando a controladora for a empresa contratante, a Kobalt encaminha o pedido a ela no mesmo prazo e executa a parte técnica.

A empresa contratante tem, dentro da plataforma, os comandos de exportar tudo o que existe de uma pessoa e de anonimizá-la a pedido. Os dois deixam trilha de quem pediu e quando, e o pedido de anonimização é guardado fora do banco, para ser reaplicado se um backup anterior a ele for restaurado.

O encarregado (artigo 41 da LGPD) é Breno Soto Vieira. Canal: contato@kobalt.com.br.

Esta página traz a data da versão vigente e o histórico das alterações. Mudança que amplie o uso do dado ou acrescente um provedor entra aqui antes de valer. Os Termos de Uso completam esta política.