Normas e compliance
Matriz de aderência
Para cada norma, o requisito e como a plataforma atende. A Ouvidus é alinhada a estas normas e não tem certificação ISO.
A plataforma oferece os meios; a conformidade do programa de cada organização depende também das suas políticas e da sua operação.
Lei nº 13.709/2018 (LGPD)
Proteção de dados pessoais. A organização cliente é a controladora; a STAFF é a operadora.
- Art. 6ºPrincípios: finalidade, necessidade, segurança, prevenção e transparência.
- Como a plataforma atende
- O formulário pede só o necessário; a identificação é opcional nas denúncias e na Ouvidoria.
- O portal não grava o endereço IP de quem relata.
- Os anexos perdem os dados ocultos de autoria e localização antes da gravação.
- Os dados não são usados para outra finalidade, nem para treinar inteligência artificial.
- Art. 16Eliminação dos dados ao fim do tratamento.
- Como a plataforma atende
- Prazo de guarda por canal, com padrão de 5 anos (Ouvidoria e Privacidade) e 8 anos (Denúncias) depois da conclusão.
- Ao fim do prazo, anonimização automática, mantendo só os números.
- O Master bloqueia o descarte do caso com processo em curso, com motivo registrado.
- Art. 18Direitos do titular.
- Como a plataforma atende
- Canal de Privacidade com os pedidos do art. 18: confirmação, acesso, correção, eliminação, portabilidade, informação sobre compartilhamento, revogação do consentimento e oposição.
- Verificação da identidade de quem pede antes de qualquer resposta.
- Levantamento dos dados por sistema e registro da forma de entrega.
- Art. 19Prazo para a resposta ao titular.
- Como a plataforma atende
- Prazo de até 15 dias, que a configuração não deixa ampliar.
- Contagem em dias úteis ou corridos, conforme o contrato, com alertas antes do vencimento.
- Prazo suspenso enquanto se aguarda complemento do titular, com registro.
- Art. 37Registro das operações de tratamento.
- Como a plataforma atende
- Trilha de auditoria com cada ação relevante: abertura, consulta da identidade, aprovação, envio, exportação e alteração de configuração.
- Registro de quem viu cada caso, com data e hora.
- Art. 41Encarregado pelo tratamento de dados.
- Como a plataforma atende
- Nome e e-mail do encarregado da organização publicados no portal do canal.
- Papel próprio de encarregado de dados na equipe.
- Art. 46Medidas de segurança.
- Como a plataforma atende
- Verificação em duas etapas obrigatória, cifragem com chave própria de cada organização e separação dos dados no banco.
- Trilha encadeada, antivírus nos anexos e cópias de segurança diárias cifradas.
- Lista completa na página de segurança.
- Art. 48Comunicação de incidente de segurança.
- Como a plataforma atende
- Registro do incidente na página Qualidade, com responsável e caso de origem.
- Incidente de segurança gera a comunicação ao gestor do contratante e ao encarregado, para revisão e aprovação.
- A decisão de comunicar a autoridade nacional e os titulares é do controlador; a plataforma registra e documenta.
ISO 37002:2021
Gestão de denúncias (whistleblowing). Referência de boa prática; a plataforma é alinhada às suas etapas.
- Recebimento do relato
- Como a plataforma atende
- Portal aberto a qualquer pessoa, QR Code por unidade, e-mail e casos recebidos pela equipe.
- Anonimato opcional.
- Protocolo e chave de acesso para acompanhar o caso e conversar com a equipe sem se identificar.
- Avaliação
- Como a plataforma atende
- Admissibilidade e gravidade decididas pelo Master, com registro.
- Prazo de análise inicial configurável no canal.
- Pedido de esclarecimento a quem relatou pela própria plataforma.
- Tratamento
- Como a plataforma atende
- Designação de comitê, com termo de confidencialidade assinado antes de ver o caso.
- Oitivas, evidências com resumo SHA-256 do arquivo original e relatório técnico em versões numeradas.
- Registro de providências urgentes, como a proteção de quem relatou.
- Conclusão
- Como a plataforma atende
- Decisão pelo Master ou por instância colegiada de pelo menos três pessoas, por maioria.
- Resposta registrada e disponível a quem relatou pela consulta do protocolo.
- Confidencialidade
- Como a plataforma atende
- Denúncias em base separada, com acesso só do Master e de quem ele designa.
- Quem é citado como envolvido nunca tem acesso, mesmo designado.
- E-mails levam só o número do caso, nunca o conteúdo.
- Proteção contra retaliação
- Como a plataforma atende
- Anonimato, sem gravação do endereço IP e com limpeza dos dados ocultos dos anexos.
- Categoria própria para relatar retaliação.
- Impedimento declarado pelo próprio membro do comitê, com aviso imediato ao Master.
ISO 37001:2016
Sistemas de gestão antissuborno. A plataforma atende às cláusulas de canal e de investigação.
- 8.9 - Levantamento de preocupações
- Como a plataforma atende
- Canal para relatar suspeita de suborno, com categoria própria (corrupção ou suborno).
- Relato anônimo ou identificado, com sigilo da identidade.
- Acesso restrito e registrado.
- 8.10 - Investigação e tratamento
- Como a plataforma atende
- Apuração por comitê designado, sem vínculo com os envolvidos.
- Evidências, oitivas e relatório guardados no caso, com trilha.
- Deliberação e providências registradas.
ISO 37301:2021
Sistemas de gestão de compliance. A plataforma atende às cláusulas de canal e de investigação.
- 8.3 - Levantamento de preocupações
- Como a plataforma atende
- Canal aberto a colaboradores, fornecedores e público externo.
- Anonimato opcional, confidencialidade e proteção de quem relata.
- Documentos do canal publicados no portal depois de aprovados pela organização.
- 8.4 - Processos de investigação
- Como a plataforma atende
- Fluxo de apuração com prazos, designação, termo de confidencialidade e impedimento.
- Registros completos do caso, exportáveis para auditoria.
Lei nº 12.846/2013 e Decreto nº 11.129/2022
Lei Anticorrupção e seu regulamento. O programa de integridade é avaliado também pelos canais de denúncia.
- Lei nº 12.846/2013, art. 7º, VIIIMecanismos de integridade e incentivo à denúncia de irregularidades.
- Como a plataforma atende
- Canal de Denúncias público, divulgado pelo portal e por QR Code.
- Indicadores e relatórios do canal para o programa de integridade.
- Decreto nº 11.129/2022, art. 57, XCanais de denúncia abertos e divulgados, tratamento das denúncias e proteção do denunciante de boa-fé.
- Como a plataforma atende
- Portal aberto a funcionários e terceiros, sem senha.
- Fluxo completo de tratamento, da admissibilidade à deliberação.
- Anonimato, sigilo da identidade e acesso restrito.
- Decreto nº 11.129/2022, art. 57, XIMedidas disciplinares em caso de violação.
- Como a plataforma atende
- A deliberação registra a decisão e as providências.
- A aplicação da medida cabe à organização.
Lei nº 14.457/2022
Prevenção e combate ao assédio sexual e a outras formas de violência no trabalho (art. 23).
- Art. 23, IRegras de conduta nas normas internas.
- Como a plataforma atende
- Código de conduta e política do canal publicados no portal, depois de aprovados.
- Art. 23, IIProcedimentos para receber, acompanhar e apurar denúncias, com anonimato.
- Como a plataforma atende
- Categorias próprias para assédio moral, assédio sexual e discriminação.
- Anonimato opcional e acompanhamento pelo protocolo.
- Apuração com sigilo e decisão registrada.
- Art. 23, III e IVTemas na CIPA e capacitação.
- Como a plataforma atende
- Ficam a cargo da organização. A plataforma fornece os números do canal para essas ações.
Lei nº 13.460/2017
Participação, proteção e defesa dos direitos do usuário dos serviços públicos.
- Art. 10Identificação sem exigências que inibam a manifestação; identidade protegida.
- Como a plataforma atende
- Identificação opcional na Ouvidoria.
- Identidade cifrada e visível só à equipe responsável.
- Art. 12Recepção, comprovante, análise, decisão final e ciência ao usuário.
- Como a plataforma atende
- Protocolo e chave entregues no registro.
- Análise, despachos às áreas e resposta conclusiva aprovada por uma pessoa.
- Ciência pela consulta do protocolo e, quando a pessoa informa e-mail, por link seguro.
- Art. 16Prazo para a decisão final, prorrogável uma vez de forma justificada.
- Como a plataforma atende
- Prazo e prorrogação configuráveis no canal, em dias úteis ou corridos, conforme o contrato.
- Fundamento do prazo exibido na ficha do caso.
Leis estaduais de ouvidoria
Exemplo: Lei nº 16.420/2018, de Pernambuco. Cada organização configura o canal conforme a lei que a alcança.
- Prazo e contagem próprios
- Como a plataforma atende
- Cada canal aceita contagem própria, como 20 dias corridos prorrogáveis por 10.
- A lei ou o contrato que fundamenta o prazo aparece na ficha do caso.
- Feriados da organização entram na contagem.
- Identificação não obrigatória e recebimento sem recusa
- Como a plataforma atende
- Identificação opcional.
- Registro de casos recebidos por qualquer meio, com a data de recebimento.
Programa Pró-Ética (CGU)
Iniciativa da Controladoria-Geral da União que avalia programas de integridade de empresas.
- Canal de denúncias com garantia de anonimato e de não retaliação
- Como a plataforma atende
- Canal de Denúncias com anonimato opcional, base separada e acesso restrito.
- Registro de providências de proteção de quem relatou.
- A adesão ao programa e a avaliação são da organização.