Encarregado de Dados

Canal oficial do Encarregado.

Última atualização: 30 de abril de 2026

Em cumprimento ao art. 41 da Lei Geral de Proteção de Dados (LGPD), a Anamnese Tech Inova Simples (controladora dos dados tratados na plataforma Qual é o CID?) mantém um Encarregado pelo Tratamento de Dados Pessoais (DPO), responsável por atuar como canal de comunicação entre a empresa, os titulares de dados e a Autoridade Nacional de Proteção de Dados (ANPD).

Como falar com o Encarregado

O que o Encarregado pode te ajudar a resolver

• Exercer qualquer direito garantido pela LGPD (confirmação, acesso, correção, portabilidade, eliminação, anonimização, revogação de consentimento).
• Esclarecer dúvidas sobre como seus dados estão sendo tratados.
• Comunicar incidentes de segurança envolvendo dados pessoais.
• Receber reclamações e fazer solicitações formais.

Como fazer uma solicitação

Para agilizar o atendimento, inclua na sua mensagem:

• Nome completo e e-mail que você usa na Plataforma (se aplicável).
• Descrição clara da solicitação (qual direito você quer exercer ou qual dúvida tem).
• Documento de identificação válido — pedimos para garantir que a informação seja entregue apenas ao titular correto.

Respondemos em até 15 dias corridos conforme previsto pela LGPD. Pedidos complexos podem exigir prazo maior; neste caso, justificamos formalmente.

Se não ficar satisfeito com a resposta

Você também pode registrar uma reclamação junto à Autoridade Nacional de Proteção de Dados (ANPD) pelo portal oficial gov.br/anpd.

Programa de Divulgação Responsável de Vulnerabilidades

Pesquisadores de segurança que encontrarem falhas na Plataforma podem nos reportar de forma privada e coordenada. Tratamos toda comunicação como confidencial até que a correção esteja publicada e acordamos divulgação conjunta sempre que possível.

Escopo

Domínios cobertos pelo programa:

• qualeocid.com e www.qualeocid.com — aplicação web pública.
• api.qualeocid.com — API HTTP autenticada.
• Infraestrutura de e-mail transacional (envio/recebimento) operada pela Plataforma.

Fora do escopo

• Engenharia social, phishing contra colaboradores ou clientes, ataques físicos.
• Negação de serviço (DoS/DDoS) volumétrico ou ataques distribuídos.
• Scans automatizados que gerem ruído sem prova de impacto explorável.
• Vulnerabilidades em serviços de terceiros (AbacatePay, Anthropic, Resend, Contabo, ImprovMX) — reporte diretamente ao fornecedor.
• Ataques que exijam acesso físico ao dispositivo do usuário ou comprometimento prévio da rede.
• Falta de cabeçalho de segurança sem demonstração de exploração concreta.

Regras de conduta

• Use somente dados de teste criados por você. Não acesse, baixe, modifique ou divulgue dados de outros tenants ou usuários.
• Pare a investigação assim que conseguir confirmar a vulnerabilidade — não escale, não persista acesso, não exfiltre dados.
• Respeite os limites de taxa da plataforma. Não automatize tentativas em volume capaz de afetar disponibilidade para clientes legítimos.
• Não divulgue publicamente a falha antes de termos publicado a correção, com janela mínima de coordenação de 90 dias a partir do reporte (ou prazo menor combinado por escrito).

Compromisso da Plataforma (safe harbor)

Para pesquisadores que sigam de boa-fé as regras acima, a Qual é o CID? compromete-se a:

• Não tomar medidas civis ou criminais contra atividades de pesquisa que respeitem o escopo, a conduta e a janela de divulgação coordenada deste programa.
• Tratar o reporte como confidencial enquanto durar a coordenação.
• Reconhecer publicamente, com a permissão do pesquisador, a contribuição em uma página de agradecimentos (/dpo/hall-of-fame, em construção).

Atualmente o programa não oferece recompensa monetária. Se um futuro modelo remunerado for instituído, será publicado nesta página antes de qualquer pagamento.

O que incluir no reporte

• Descrição clara da vulnerabilidade e do impacto potencial.
• Passos reproduzíveis (PoC mínima, sem exfiltração de dados reais).
• Endereço(s) afetado(s), data e hora do teste, e seu IP de origem (para correlação em log).
• Sugestão de mitigação, se possível — opcional.
• Como você gostaria de ser creditado (nome, alias, anônimo).

Prazo de resposta

• Triagem inicial: até 5 dias úteis.
• Análise técnica + decisão de aceite: até 15 dias corridos a partir da triagem.
• Correção em produção: conforme severidade — críticos em até 7 dias, altos em 30 dias, médios e baixos no ciclo regular de release.

Outros recursos

• Política de Privacidade — quais dados tratamos e com que finalidade.
• Termos de Uso — regras de uso da Plataforma.