Política de Privacidade — Crisarium
Versão 1.3 · vigente desde 05/10/2026
Esta política explica como a Segurança em Jogo LTDA trata dados pessoais no Crisarium, o simulador de crise cibernética para lideranças. Ela vale para o site, a partida gratuita, o certificado e, quando disponíveis, os planos pagos. Os trechos marcados como (planos pagos) passam a valer quando esses recursos forem lançados.
1. Quem somos e como falar conosco
O Crisarium é uma marca da Segurança em Jogo LTDA, que é a empresa responsável pelo tratamento dos seus dados.
| Item | Informação |
|---|---|
| Razão social | Segurança em Jogo LTDA |
| CNPJ | 58.907.118/0001-88 |
| Endereço | Rua Paes Leme, 215, Conj. 1713, Pinheiros, São Paulo - SP, Brasil, CEP 05424-150 |
| Marca do produto | Crisarium — crisarium.com |
| Encarregado pelo tratamento de dados (DPO) | Paulo R. Barbosa |
| Canal de privacidade | privacidade@segurancaemjogo.com.br |
O canal de privacidade recebe pedidos de titulares, dúvidas sobre esta política e comunicações de autoridades. Ele é atendido pelo encarregado.
2. A quem esta política se aplica
Somos controladores dos dados de quem visita o site, joga a partida gratuita, recebe o certificado, contrata um plano ou administra a conta de uma organização. Nessas situações, nós decidimos como e por que os dados são tratados, e esta política descreve tudo isso.
(planos pagos) Quando uma organização contrata o Crisarium e convida seus executivos para um exercício, a organização é a controladora e nós atuamos como operadores, tratando os dados em nome dela e conforme as instruções dela. Isso vale para:
- a lista de participantes (nome, e-mail e papel);
- as decisões, justificativas e tempos de resposta dos participantes;
- os relatórios individuais e de grupo;
- o plano de gestão de crise enviado para medir a aderência;
- os dados de calibragem financeira informados pela organização.
Nesse caso, as regras de tratamento estão no Acordo de Processamento de Dados celebrado com a organização, publicado em crisarium.com/acordo-de-dados. Antes da primeira rodada, cada participante vê uma tela que informa o que é registrado, quem terá acesso e por quanto tempo. Pedidos sobre esses dados devem ser dirigidos preferencialmente à organização que fez o convite. Se chegarem a nós, encaminharemos a ela e apoiaremos a resposta.
3. Dados que tratamos, para quê e com qual base legal
Coletamos apenas o necessário para cada atividade. Não tratamos dados pessoais sensíveis e não pedimos documentos de identificação.
| Atividade | Dados | Finalidade | Base legal — LGPD | Base legal — GDPR |
|---|---|---|---|---|
| Jogar a partida gratuita | Papel escolhido, decisões, tempos de resposta, idioma, identificador técnico da partida | Executar a simulação e calcular o resultado | Execução de contrato (art. 7º, V) | Art. 6(1)(b) |
| Cadastro na tela de resultado | Nome, cargo, empresa e e-mail | Entregar o resultado, emitir o certificado e criar sua conta | Execução de contrato (art. 7º, V) | Art. 6(1)(b) |
| Contato comercial | Nome, cargo, empresa e e-mail | Apresentar os planos pagos a profissionais que concluíram a simulação | Legítimo interesse (art. 7º, IX, e art. 10) | Somente com consentimento — art. 6(1)(a) |
| Novidades por e-mail | Enviar conteúdo e novidades do Crisarium | Consentimento (art. 7º, I), opcional e revogável | Art. 6(1)(a) | |
| Conta do jogador | E-mail, histórico de partidas e certificados | Dar acesso por link enviado ao seu e-mail, sem senha | Execução de contrato (art. 7º, V) | Art. 6(1)(b) |
| (planos pagos) Conta do administrador | Nome, e-mail, organização, credenciais e segundo fator | Gerir a conta, as licenças e as sessões | Execução de contrato (art. 7º, V) | Art. 6(1)(b) |
| (planos pagos) Pagamento e faturamento | Razão social, CNPJ ou número fiscal, endereço de cobrança, contato financeiro | Cobrar, emitir nota fiscal e cumprir obrigações fiscais | Execução de contrato e obrigação legal (art. 7º, II e V) | Art. 6(1)(b) e (c) |
| Segurança e prevenção de abuso | Endereço IP convertido em código irreversível, registros de acesso, código irreversível do e-mail | Limitar tentativas, impedir robôs, garantir uma partida gratuita por e-mail e proteger a plataforma | Legítimo interesse (art. 7º, IX) e obrigação legal (Marco Civil, art. 15) | Art. 6(1)(f) e (c) |
| Atendimento e pedidos de titulares | Dados do pedido e da comunicação | Responder a você e cumprir a lei | Obrigação legal e exercício regular de direitos (art. 7º, II e VI) | Art. 6(1)(c) e (f) |
| Melhoria do produto | Dados agregados de uso, como taxa de conclusão por rodada | Entender onde a simulação pode melhorar | Legítimo interesse (art. 7º, IX) | Art. 6(1)(f) |
Cadastro e contato comercial. O cadastro é necessário para entregar o resultado e o certificado. Ele não é um consentimento para receber publicidade. Você pode se opor ao contato comercial a qualquer momento, pelo link de descadastro ou pelo canal de privacidade. Para pessoas na União Europeia, só enviamos contato comercial por e-mail com consentimento prévio.
Normativo de gestão de crise (planos pagos). O documento enviado pela organização é usado apenas para extrair as regras que medem a aderência. Depois que o administrador valida essas regras, o arquivo original é descartado e permanece só a estrutura validada: quem age, o que deve fazer, quando e em que ordem.
4. Certificado e página pública de verificação
O certificado de participação traz um código de verificação. Qualquer pessoa com esse código acessa uma página pública que mostra apenas nome, empresa, cenário, papel jogado e data. Cargo, e-mail e resultado nunca aparecem nessa página, e o certificado não contém pontuação.
- Nome e empresa são os informados por você no cadastro, e o certificado avisa isso.
- A página de verificação não é indexada por mecanismos de busca.
- Você pode pedir a despublicação a qualquer momento pelo canal de privacidade. A página deixa de existir e o código passa a indicar "não encontrado".
Compartilhamento no LinkedIn. Se você usar o botão de publicação, o LinkedIn recebe o link da página de verificação e monta a prévia a partir dela. O que acontece depois disso na sua publicação segue a política de privacidade do LinkedIn, que atua como controlador independente.
5. Inteligência artificial, pontuação e decisões automatizadas
A IA narra, mas não avalia. Os personagens que respondem pelos papéis não ocupados por pessoas são inteligência artificial, e isso é indicado na tela. A IA escreve falas e escolhe entre as opções disponíveis nesses papéis. Ela não atribui pontos a ninguém.
A pontuação é determinística. Cada decisão move quatro medidores (financeiro, regulatório e legal, reputacional e operacional) segundo uma matriz fixa, definida antes da partida e igual para todos. O mesmo caminho produz sempre o mesmo resultado.
O que o resultado mostra.
- Partida gratuita: até três pontos fortes e o cumprimento dos prazos de resposta. Nenhuma nota ou posição é exibida.
- (planos pagos) Relatório individual: o quanto a pessoa alcançou do melhor desfecho possível no próprio papel, considerando as decisões disponíveis em cada momento. Uma decisão é avaliada pelo que se sabia na hora, nunca pelo que se descobriu depois.
- (planos pagos) Relatório de grupo: o resultado da organização em quatro dimensões separadas, divergências entre áreas, tempos de resposta e ausências.
Seus direitos sobre esse resultado. O relatório individual é um perfil profissional calculado de forma automatizada. Você pode pedir informações claras sobre os critérios usados e a revisão do resultado (LGPD, art. 20; GDPR, arts. 15 e 22). Explicaremos a lógica e os fatores que pesaram nas suas decisões. Os valores exatos da matriz são segredo comercial e não são divulgados, como a própria LGPD permite (art. 20, §1º).
Uso do relatório pela organização (planos pagos). O Crisarium é um instrumento de treinamento e de teste do plano de crise. Os Termos de Uso proíbem que a organização use o relatório como base exclusiva para decisões de contratação, promoção, remuneração ou desligamento.
Extração de regras do normativo (planos pagos). Um modelo de linguagem lê o documento enviado e propõe regras. Nenhuma regra é usada sem revisão e validação pelo administrador da organização.
Treinamento de modelos. Nenhum dado seu ou da sua organização é usado para treinar modelos de inteligência artificial, nossos ou de terceiros.
6. Com quem compartilhamos
Não vendemos dados pessoais. Compartilhamos apenas com fornecedores que tornam o serviço possível, sob contrato e com obrigações de proteção de dados, e somente o necessário para cada função.
| Fornecedor | País da empresa | Função | Onde os dados ficam |
|---|---|---|---|
| Supabase Inc. | EUA | Banco de dados e autenticação | São Paulo, Brasil |
| Vercel Inc. | EUA | Hospedagem e entrega da aplicação | Processamento em São Paulo; rede de entrega global |
| Anthropic PBC | EUA | IA dos personagens e (planos pagos) extração de regras do normativo | EUA — sem uso para treinamento |
| Hostinger International Ltd. | Chipre (União Europeia) | E-mail corporativo, canal de privacidade e envio de links de acesso, convites e avisos | Brasil |
| Contabilizei | Brasil | (planos pagos) Contabilidade, emissão de nota fiscal e cobrança por boleto e Pix (Cobre PJ) | Brasil |
| Stripe Brasil Soluções de Pagamento – Instituição de Pagamento Ltda. | Brasil | (planos pagos) Pagamento por cartão de clientes no exterior | Brasil e EUA |
(planos pagos) Não teremos acesso aos dados do seu cartão.
A lista de fornecedores é mantida atualizada nesta política. Avisaremos os clientes dos planos pagos antes de incluir um novo fornecedor que trate dados deles.
Também podemos compartilhar dados quando a lei exigir, por ordem judicial ou pedido de autoridade competente, ou para defender direitos em processo judicial, administrativo ou arbitral. Em caso de venda ou reorganização da empresa, os dados podem ser transferidos ao sucessor, que continuará obrigado por esta política.
7. Transferência internacional
O banco de dados do Crisarium fica no Brasil, em São Paulo. Alguns fornecedores listados acima são empresas estrangeiras e podem tratar dados fora do Brasil, principalmente nos Estados Unidos.
- Do Brasil para outros países: para países da União Europeia, valemo-nos da decisão de adequação da ANPD (Resolução CD/ANPD nº 32/2026); para os demais, como os Estados Unidos, usamos as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024) ou outro mecanismo previsto no art. 33 da LGPD.
- Da União Europeia para o Brasil: o Brasil tem decisão de adequação da Comissão Europeia, e a ANPD reconheceu reciprocamente a União Europeia (Resolução CD/ANPD nº 32/2026). Dados de pessoas na UE armazenados no Brasil contam com esse reconhecimento.
- (planos pagos) Organizações que exijam armazenamento na União Europeia podem solicitar essa opção no plano anual, quando disponível.
Você pode pedir, pelo canal de privacidade, informações sobre o mecanismo usado em cada transferência.
8. Por quanto tempo guardamos
Guardamos cada dado apenas pelo tempo necessário à finalidade ou exigido por lei. Depois disso, o dado é excluído ou anonimizado.
| Dado | Prazo |
|---|---|
| Cadastro, partidas gratuitas, conta do jogador e certificado | 24 meses após a última atividade, ou antes, a seu pedido |
| Contato comercial | Até você se opor, respeitado o limite de 24 meses sem atividade |
| Novidades por e-mail | Até você revogar o consentimento |
| Registros de acesso à aplicação | 6 meses (Marco Civil da Internet, art. 15) |
| IP convertido em código irreversível, para limitar tentativas | 24 horas |
| Código irreversível do e-mail, para a regra de uma partida gratuita por e-mail | 24 meses após a partida |
| (planos pagos) Normativo de gestão de crise, arquivo original | Descartado após a validação das regras pelo administrador |
| (planos pagos) Dados de sessão: participantes, decisões, relatórios, regras validadas | Conforme definido pela organização; padrão de 12 meses após o fim do contrato |
| (planos pagos) Dados de faturamento e notas fiscais | 5 anos, pela legislação fiscal |
| Cópias de segurança | Até 90 dias, criptografadas; exclusões feitas na base se refletem quando a cópia expira |
Ao pedir a exclusão, mantemos apenas o código irreversível do seu e-mail, para impedir o reuso da partida gratuita, e o que a lei obriga a guardar.
9. Como protegemos os dados
Adotamos medidas técnicas e administrativas proporcionais ao risco de cada dado. As principais são:
- Acesso sem senha para jogadores e participantes: link de uso único, com validade curta, enviado ao seu e-mail.
- Segundo fator obrigatório para administradores e para o acesso interno da equipe.
- Isolamento entre organizações no próprio banco de dados, com teste automatizado que tenta ler dados de outra organização a cada mudança.
- Nosso acesso interno não alcança o conteúdo dos clientes: normativos e respostas individuais só são acessados a pedido formal da organização, com registro.
- Minimização: o normativo original é descartado após a validação; IPs são guardados só como código irreversível.
- Arquivos enviados: aceitamos só formatos de texto, conferidos pelo conteúdo. O arquivo nunca é executado nem aberto por pessoas: é convertido em texto e descartado logo em seguida, sem ser guardado nem disponibilizado para download.
- Registros de auditoria de acessos administrativos, exportações e exclusões.
- Plano de resposta a incidentes próprio e exercitado. Se um incidente puder gerar risco ou dano relevante, comunicaremos você e as autoridades competentes nos prazos legais.
Pesquisadores de segurança podem relatar vulnerabilidades pelo canal indicado em crisarium.com/.well-known/security.txt.
10. Seus direitos
Você pode, a qualquer momento e sem custo:
- confirmar se tratamos seus dados e ter acesso a eles;
- corrigir dados incompletos, inexatos ou desatualizados;
- pedir anonimização, bloqueio ou exclusão de dados desnecessários ou tratados em desacordo com a lei;
- receber seus dados em formato estruturado (portabilidade);
- excluir sua conta e seus dados, observados os prazos legais da seção 8;
- saber com quem compartilhamos seus dados;
- revogar o consentimento dado para as novidades por e-mail;
- opor-se ao tratamento baseado em legítimo interesse, inclusive ao contato comercial;
- pedir revisão e explicação de resultado calculado de forma automatizada (seção 5);
- apresentar reclamação à Agência Nacional de Proteção de Dados (ANPD) ou, se você estiver na União Europeia, à autoridade de proteção de dados do seu país.
Como pedir. Envie um e-mail para privacidade@segurancaemjogo.com.br a partir do endereço cadastrado. Se o pedido vier de outro endereço, podemos pedir uma confirmação simples de identidade. A exclusão da conta também estará disponível na área do jogador.
Prazo de resposta. Respondemos em até 15 dias. Para pessoas na União Europeia, o prazo máximo é de um mês, conforme o GDPR.
(planos pagos) Se você participou de um exercício a convite de uma organização, ela é a controladora desses dados (seção 2). Encaminharemos seu pedido a ela.
11. Cookies, comunicações e idade mínima
Cookies. Usamos apenas cookies e armazenamento local essenciais: manter sua sessão, lembrar o idioma e proteger contra abuso. Não usamos cookies de publicidade nem ferramentas de análise de terceiros. Se isso mudar, pediremos seu consentimento antes.
Comunicações. Enviamos e-mails necessários ao serviço, como links de acesso, convites e avisos de rodada. Esses e-mails nunca pedem senha nem dados de pagamento. Nos planos pagos, um convite legítimo pode ser conferido na página de verificação de convites do Crisarium, sem clicar no link recebido. E-mails comerciais sempre trazem opção de descadastro.
Idade mínima. O Crisarium é destinado a profissionais e não deve ser usado por menores de 18 anos. Se identificarmos dados de menor, eles serão excluídos.
12. Alterações desta política
Podemos atualizar esta política quando o serviço ou a legislação mudarem. A versão vigente e a data da última atualização ficam sempre nesta página. Mudanças relevantes serão avisadas por e-mail ou na plataforma antes de entrarem em vigor. A versão vigente fica publicada em crisarium.com/privacidade.
Versão 1.3 · vigente desde 05/10/2026.