Política de Resposta a Incidentes envolvendo Dados Pessoais

1. Objetivo

Estabelecer como a Inngage Soluções em Engajamento de Usuários Ltda. ("Inngage") identifica, classifica, contém, comunica e documenta incidentes que comprometam a confidencialidade, a integridade ou a disponibilidade de dados pessoais que estejam sob sua posse ou aos quais tenha acesso, em conformidade com a Lei 13.709/2018 (LGPD) e com a Resolução CD/ANPD nº 15/2024.

2. Abrangência

Aplica-se a todos os colaboradores, prestadores de serviço e parceiros da Inngage, e a todos os sistemas, ambientes e processos que tratem dados pessoais — incluindo a plataforma Inngage Context Cloud, o Cortex (operação interna), os agentes de IA e os suboperadores contratados.

3. Papéis

Papel	Responsabilidade
Encarregado (DPO) — Raphael Senna e Silva	Ponto central: recebe o reporte, avalia se há dado pessoal envolvido, coordena o Time de Governança, decide sobre notificações, guarda a documentação. Contato: dpo@inngage.com.br
Time de Governança	Encarregado (coordena) + Jurídico + responsável por Tecnologia/Segurança + Diretoria + membros convocados conforme o caso. Conduz investigação, classificação e plano de ação.
Liderança	Recebe o reporte do colaborador e aciona o Encarregado no prazo.
Colaborador	Reporta qualquer incidente ou suspeita assim que tomar conhecimento.

4. Definições essenciais

• Incidente: qualquer evento, suspeita ou ameaça que comprometa confidencialidade, integridade ou disponibilidade de dados pessoais — inclui acesso não autorizado, perda, alteração, exposição, indisponibilidade e desvio de finalidade.
• Incidente relevante (Res. ANPD 15/2024): aquele que pode acarretar risco ou dano relevante aos titulares, considerando dados sensíveis, menores, idosos, dados financeiros, credenciais, grande volume ou potencial de dano material/moral.
• Controlador / Operador: na maioria dos tratamentos a Inngage atua como Operadora em nome de seus clientes (controladores). É Controladora apenas dos dados de seus próprios leads, clientes (pessoas de contato), colaboradores e usuários do painel.

5. Procedimento e prazos

Etapa	Prazo	Responsável
1. Reporte — por e-mail corporativo a dpo@inngage.com.br e à liderança, com tudo o que se sabe (o que, quando, onde, quem, evidências)	Até 24h do conhecimento	Colaborador
2. Triagem — confirma se há dado pessoal envolvido, define o papel da Inngage (controladora/operadora), abre registro no Cortex	Até 24h do reporte	Encarregado
3. Contenção imediata — isolar origem, revogar credenciais, bloquear acessos, preservar logs e evidências	Imediato, em paralelo à triagem	Tecnologia
4. Comunicação preliminar aos clientes afetados (quando a Inngage é operadora)	Até 72h do conhecimento, ou prazo menor previsto no contrato	Encarregado + Jurídico
5. Investigação e classificação — reunião do Time de Governança	Até 48h da triagem	Time de Governança
6. Plano de ação — erradicação, recuperação, notificações	Até 72h da reunião	Time de Governança
7. Notificação à ANPD e aos titulares — quando o incidente for relevante	3 dias úteis do conhecimento (Res. 15/2024); pode ser preliminar e complementada em 20 dias úteis	Encarregado
8. Relatório de incidente	Até 10 dias úteis do encerramento	Encarregado
9. Melhoria de processos	30 dias do encerramento	Áreas envolvidas

Sempre que contrato, lei ou regulação fixar prazo menor, prevalece o menor.

6. Classificação do incidente

Avaliar e registrar:

1. Pilar afetado — confidencialidade (acesso/vazamento), integridade (alteração/perda), disponibilidade (indisponibilidade).
2. Natureza dos dados — comum, sensível, de menores, credenciais, financeiro.
3. Volume — quantidade de titulares e registros.
4. Impacto aos titulares — potencial de dano material ou moral.
5. Impacto à Inngage e aos clientes — operacional, contratual, reputacional.

Resultado: Baixo / Médio / Alto / Crítico. Alto e Crítico presumem incidente relevante para fins de notificação à ANPD, salvo avaliação fundamentada em contrário.

7. Conteúdo mínimo das notificações

Toda notificação (cliente controlador, ANPD ou titulares) contém:

1. Descrição da natureza dos dados afetados
2. Titulares envolvidos (categorias e quantidade estimada)
3. Medidas técnicas e de segurança adotadas antes e depois, resguardados segredos comercial e industrial
4. Riscos relacionados ao incidente
5. Motivos da demora, se a comunicação não foi imediata
6. Medidas adotadas para reverter ou mitigar os efeitos
7. Nome e contato do Encarregado

Quando a Inngage é operadora, a notificação à ANPD e aos titulares é decisão do cliente controlador; a Inngage fornece as informações acima no prazo da etapa 4 e presta todo o suporte à decisão.

8. Documentação e retenção

Todo incidente é registrado no Cortex (área de Proteção de Dados) desde a triagem, com trilha de ações. O Relatório de Incidente segue o modelo padrão e é arquivado pelo Encarregado por 5 anos.

9. Proibições

• Interferir, obstruir ou dissuadir qualquer pessoa de reportar um incidente.
• Retaliar quem reporta ou investiga de boa-fé.
• Agir fora da coordenação do Time de Governança: medidas tomadas sem sua orientação são de responsabilidade exclusiva de quem as tomou.

Violações são apuradas por Proteção de Dados, Jurídico e Diretoria e podem gerar sanções internas, contratuais e legais.

10. Canal de reporte

dpo@inngage.com.br — para dúvidas, reportes e denúncias. A Inngage garante confidencialidade, possibilidade de anonimato e não retaliação de quem reporta de boa-fé, ainda que o relato não se confirme como incidente.

11. Revisão

Revisada anualmente ou quando houver mudança legal, regulatória ou operacional relevante.

Versão	Data	Alteração
1	01/09/2021	Publicação inicial
3	16/06/2023	Revisão
4	26/10/2026	Prazos da Res. ANPD 15/2024; papel operador/controlador explícito; comunicação a clientes em 72h; registro no Cortex; escopo ampliado para Context Cloud, Cortex, agentes de IA e suboperadores