LGPD na plataforma BeSafe

01Em uma página

Versão 2.0, vigente desde 1º de outubro de 2026. Este documento explica como o tratamento de dados da plataforma se organiza sob a Lei nº 13.709/2018 e o que precisa estar decidido antes de o primeiro disparo sair.

A divisão de papéis é o centro de tudo: a empresa cliente é a controladora e a BeSafe é a operadora. Quem responde perante o colaborador e perante a Autoridade Nacional de Proteção de Dados pelo programa é a empresa.

Há dois tipos de titular: a empresa que contrata, com quem a BeSafe tem contrato, e o colaborador dela, cujos dados a BeSafe trata sem ter contrato com ele. O segundo caso é o que exige mais cuidado, e é o que a LGPD mira aqui.

A base legal usual do disparo simulado é o legítimo interesse do controlador em segurança da informação, e ela depende de duas coisas: a avaliação documentada pela empresa e o aviso prévio às pessoas de que o programa existe.

A pessoa que cai não é culpada, e o produto não existe para ranquear funcionário. Isso é regra de produto, e por isso está escrito aqui.

Os resumos deste documento existem para facilitar a leitura e não têm valor contratual: em caso de divergência, vale o texto completo de cada seção.

Aviso necessário: este documento descreve a estrutura que a LGPD exige, foi redigido a partir de modelos editoriais e não substitui a análise de um advogado. Ele precisa de revisão jurídica antes do lançamento, e o desenho de cada programa precisa passar pelo jurídico da empresa contratante. [DADO AUSENTE: revisão jurídica, com nome, OAB e data]

02Quem é controladora e quem é operadora

A empresa cliente é a controladora, no sentido do artigo 5º, inciso VI, da LGPD: ela decide testar os próprios processos, importa a base de funcionários, define para quem, quando e por qual canal os disparos saem, e decide o que fazer com as métricas.

A BeSafe é a operadora, no sentido do inciso VII: executa o tratamento em nome da controladora e conforme instruções documentadas dela. Não define a finalidade, não escolhe os alvos e não usa a base para outra coisa.

O colaborador é titular dos dados tratados e não tem contrato com a BeSafe. É por isso que o pedido dele é endereçado à empresa dele: é onde a lei coloca a responsabilidade, não uma preferência da BeSafe.

Essa divisão não é formalidade de contrato. Ela define quem responde perante o titular e perante a Autoridade, e por isso fica registrada por escrito antes de qualquer disparo.

Os dados do contrato, da cobrança e dos usuários administradores seguem caminho diferente: nesses, a BeSafe é a controladora. São dois tratamentos, com donos diferentes, dentro do mesmo produto.

03Quais dados a plataforma trata

Dados importados pelo administrador: nome, e-mail corporativo, telefone e os demais dados de contato corporativos necessários para a mensagem chegar pelo canal escolhido. A importação se limita a dado de contato corporativo, porque a finalidade não exige mais que isso.

Dados gerados pelo uso: se a pessoa clicou, quando, por qual canal a mensagem saiu, qual módulo e qual vídeo ela assistiu em seguida e qual é o progresso dela. Esses dados existem no nível da pessoa, porque é isso que permite abrir o vídeo certo no segundo do clique e mostrar a cada um o próprio percurso.

Conteúdo digitado no assistente de inteligência artificial, pelo administrador ou pelo colaborador.

Nada disso é dado pessoal sensível na definição do artigo 5º, inciso II. Ainda assim é dado de alta expectativa: a mensagem engana de propósito e o registro mostra alguém errando. Tratar como banal seria errado.

Minimização, como manda o artigo 6º, inciso III: entra só o que a finalidade exige, pelo tempo acordado, com acesso restrito a quem precisa conduzir o programa.

04Base legal do disparo simulado

A base legal mais usada para o disparo simulado é o legítimo interesse do controlador em garantir a segurança da informação e prevenir fraude, no artigo 7º, inciso IX, combinado com o artigo 10 da LGPD.

Quem escolhe e sustenta essa base é a controladora, não a BeSafe. Cabe a ela documentar a avaliação: a finalidade concreta, a necessidade do tratamento, a adequação do meio e a ponderação com os direitos e as expectativas dos titulares, com as medidas que reduzem o impacto.

Consentimento não é base adequada aqui, e isso não é conveniência: na relação de trabalho o desequilíbrio entre as partes compromete a livre manifestação de vontade, e consentimento que a pessoa não pode recusar sem custo não é consentimento.

Há outras hipóteses possíveis conforme o caso concreto, como o cumprimento de obrigação legal ou regulatória de segurança a que a empresa esteja sujeita. A escolha precisa ser confirmada pelo jurídico da empresa contratante: esta página não decide isso por ela.

05Aviso prévio: o que a empresa precisa ter dito antes

O que sustenta a ponderação de legítimo interesse é o aviso prévio. Antes do primeiro disparo, as pessoas da organização precisam saber que a empresa mantém um programa de teste e de treinamento em segurança, por política interna, contrato de trabalho, comunicação formal ou treinamento de integração.

Surpresa é a mensagem específica, não a existência do programa. Essa distinção é o que separa um teste legítimo de uma pegadinha com dados pessoais.

O aviso precisa dizer, em linguagem simples: qual é a finalidade, quais dados são usados, que a plataforma registra quem clica, que o resultado não é usado como avaliação de desempenho e a quem a pessoa pode se dirigir para exercer direitos.

A BeSafe não substitui esse aviso, porque ele vem da empresa. O que a plataforma faz é dizer, na hora, o que acabou de acontecer, e abrir o treinamento.

06A pessoa que cai não é culpada

A pessoa que cai num disparo não é tratada como culpada. É regra de produto, não gentileza: quem se sente réu esconde o erro, e programa em que o erro é escondido não protege ninguém.

A plataforma não produz nota, placar, ranking nem classificação individual de colaborador, e não alimenta avaliação de desempenho.

A tela do clique diz o que aconteceu, quais dados da empresa foram comprometidos e quais poderiam ter sido, e abre o vídeo do módulo correspondente. O material ensina sem transformar quem errou em réu.

O que a empresa faz com as métricas é decisão dela, como controladora. Por isso o contrato e a política interna devem registrar o limite: o dado do programa não serve de base para medida disciplinar nem para avaliação de desempenho. Sem esse limite escrito, a ponderação de legítimo interesse fica mais frágil.

07Suboperadores e o direito da controladora

Para executar o serviço, a BeSafe depende de terceiros, que atuam como suboperadores do tratamento feito em nome da controladora. As categorias são quatro: provedores dos canais de mensagem (e-mail, Slack, Teams, Outlook e WhatsApp); infraestrutura de hospedagem e de envio; fornecedores de APIs de inteligência de ameaças; e provedores de modelos de linguagem e de decisão para o assistente.

A controladora tem o direito de saber quem são esses suboperadores, de ser avisada antes de uma inclusão ou troca e de se opor a uma inclusão com justificativa. Esse direito precisa estar escrito no contrato, com o canal e o prazo do aviso.

Cada suboperador é contratado para tratar os dados apenas conforme as instruções recebidas e para a finalidade do serviço, com obrigação de confidencialidade e de segurança.

[DADO AUSENTE: lista nominal e atualizada dos suboperadores, com finalidade, país e instrumento contratual, publicada em endereço fixo] [DADO AUSENTE: prazo de aviso prévio à controladora antes de incluir ou trocar suboperador]

08Modelos de inteligência artificial como suboperadores

O assistente da plataforma funciona sobre dois modelos de terceiros: um que gera texto e outro que devolve decisão tipada: classificar, pontuar, responder sim ou não. A divisão existe por custo e desempenho.

A consequência de privacidade é esta: o que o administrador ou o colaborador digita no assistente sai da infraestrutura da BeSafe e vai para esses provedores. Isso é tratamento de dado pessoal sempre que o texto contiver dado pessoal, e é por isso que está declarado aqui e na Política de Privacidade.

O que o assistente faz: ajuda a descrever a operação, montar o plano, configurar o sistema, organizar disparos e responder dúvida. O que ele não faz: avaliar colaborador, decidir sanção, classificar pessoa ou produzir recomendação sobre a situação de alguém.

Por isso, sobre o artigo 20 da LGPD, a resposta é direta: não há decisão automatizada sobre o titular nessa camada. As decisões tipadas que o modelo devolve são sobre configuração e conteúdo.

Orientação de uso que vale repetir: não insira no assistente dado pessoal que a conversa não exija. Um pedido de ajuda para configurar disparo não precisa de nome de cliente, documento de terceiro, dado de saúde, credencial nem chave de acesso.

Os fornecedores ainda não estão contratados, e por isso os nomes não aparecem aqui como se o contrato existisse. [DADO AUSENTE: provedor do modelo de texto, com nome, país e instrumento contratual] [DADO AUSENTE: provedor do modelo de decisão, com nome, país e instrumento contratual] [DADO AUSENTE: vedação contratual ao uso do conteúdo enviado para treinar modelos] [DADO AUSENTE: prazo de retenção do conteúdo pelo provedor]

Enquanto esses pontos não estiverem fechados e informados à controladora, ligar o assistente sobre base de produção de cliente é uma decisão de risco que precisa ser tomada de propósito, por escrito, por quem responde pelo produto.

09Transferência internacional

Parte dos fornecedores está fora do Brasil. É o caso dos provedores dos modelos de inteligência artificial, do processador de pagamento e dos provedores de fonte tipográfica do site.

A LGPD só admite transferência internacional nas hipóteses do artigo 33, com as salvaguardas da Resolução CD/ANPD nº 19/2024, entre elas as cláusulas contratuais padrão aprovadas pela Autoridade. A salvaguarda precisa existir antes de o dado sair do país.

Para cliente corporativo, essa é uma das primeiras perguntas da área de privacidade, junto com a pergunta sobre onde o dado fica armazenado.

[DADO AUSENTE: país de destino por fornecedor] [DADO AUSENTE: instrumento de transferência internacional adotado] [DADO AUSENTE: país em que os dados da plataforma ficam armazenados]

10Direitos dos titulares e quem atende

O colaborador alcançado por um disparo mantém todos os direitos do artigo 18 da LGPD: confirmação, acesso, correção, anonimização, bloqueio ou eliminação, portabilidade, informação sobre compartilhamento e oposição a tratamento baseado em legítimo interesse.

O pedido é endereçado à controladora, que é a empresa dele. A BeSafe, como operadora, recebe o encaminhamento e apoia o atendimento dentro do prazo do artigo 19, que é de até quinze dias para a resposta completa.

Se você recebeu uma mensagem desta plataforma e quer entender o tratamento, o caminho mais curto é a área de segurança da informação ou de pessoas da sua empresa. O formulário de contato desta página também recebe o pedido e o encaminha.

A oposição ao tratamento é decidida pela controladora, porque é ela que sustenta o legítimo interesse. A BeSafe cumpre a instrução que receber, inclusive para remover alguém da base.

11Retenção, devolução e eliminação

O prazo de guarda é definido pela controladora e escrito no contrato. A BeSafe não decide guardar por mais tempo do que foi instruído.

Ao fim do contrato, os dados são devolvidos ou eliminados conforme a instrução da controladora, salvo obrigação legal de guarda. Registro de acesso à aplicação segue o prazo de seis meses do artigo 15 do Marco Civil da Internet.

[DADO AUSENTE: prazo padrão de retenção da base e dos dados de uso] [DADO AUSENTE: prazo de devolução ou eliminação após o encerramento do contrato] [DADO AUSENTE: prazo de retenção do histórico do assistente]

12Incidentes de segurança

Havendo incidente de segurança com dados tratados em nome de uma empresa cliente, a BeSafe comunica a controladora sem demora injustificada, com as informações necessárias para que ela avalie o risco e cumpra o artigo 48 da LGPD e a Resolução CD/ANPD nº 15/2024.

Quem comunica a Autoridade Nacional de Proteção de Dados e os titulares é a controladora, porque a obrigação é dela. A BeSafe fornece o que for preciso para isso e registra o ocorrido.

[DADO AUSENTE: prazo contratual para a comunicação do incidente à controladora e canal de contato de emergência]

13O que precisa estar acordado antes do primeiro disparo

Há uma lista curta de coisas que precisam estar escritas antes do primeiro disparo, e nenhuma delas é formalidade.

Papéis: a empresa como controladora e a BeSafe como operadora, com as instruções documentadas e os limites de uso da base.

Base legal e avaliação de legítimo interesse documentadas pela empresa, com o aviso prévio às pessoas já feito.

Limite de uso escrito: o resultado do programa não serve de avaliação de desempenho nem de base para medida disciplinar.

Prazos de retenção, de devolução e de eliminação, e o que acontece ao fim do contrato.

Suboperadores: a lista, o aviso prévio de inclusão ou troca e o direito de oposição.

Transferência internacional: quais fornecedores, quais países e qual salvaguarda.

Incidentes: prazo de comunicação à controladora e canal de emergência.

Esta lista descreve a estrutura que a LGPD exige. Ela não substitui o contrato nem o parecer do jurídico da empresa contratante, que deve validar o desenho antes do primeiro disparo.