Política de Privacidade

A presente Política de Privacidade ("Política") tem como objeto a descrição e publicidade dos termos de utilização e tratamento de dados realizado pela sociedade GRUNN LTDA, inscrita no CNPJ sob o nº (65.596.325/0001-24) ("Grunn AI" e/ou "Nós").

1.1. Somos uma empresa fundada em 2026, que utiliza recursos de inteligência artificial para conduzir entrevistas de user research por voz, de forma assíncrona e escalável, permitindo que participantes respondam às entrevistas em momentos distintos, sem necessidade de interação simultânea, gerando relatórios de pesquisa utilizáveis pelas empresas contratantes de nossos serviços ("Contratantes") para a tomada de decisões estratégicas. Na utilização da Grunn AI, participantes das entrevistas, representantes das empresas contratantes e qualquer pessoa natural que esteja acessando o nosso site, para qualquer finalidade, serão considerados para os fins desta Política como os Usuários da nossa plataforma ("Usuários"). A Grunn AI também oferece o Diagnóstico NR-1, instrumento de apoio à identificação coletiva de fatores de riscos psicossociais relacionados ao trabalho, contratado por empregadores ("Empresa Contratante") para subsidiar a avaliação ergonômica preliminar e o inventário de riscos de seu Programa de Gerenciamento de Riscos. As regras específicas do Diagnóstico NR-1 estão na Seção 4-A e prevalecem, nesse contexto, sobre as demais cláusulas desta Política.

1.2. Com o compromisso de garantir a transparência aos visitantes do site da Grunn AI (www.grunn.ai) ("Site"), empregados, entrevistados, ou quaisquer outros indivíduos relacionados aos Usuários da Grunn AI ("Você"), apresentamos a presente Política.

1.3. A presente Política abrange todo e qualquer tratamento de dados pessoais, sejam sensíveis ou não, realizado por Nós. Temos como objetivo, por meio desta, apresentar para Você de forma clara e objetiva como suas informações e dados serão tratados, demonstrando nosso compromisso em tratar seus dados com boa-fé, transparência e responsabilidade.

2.1. Esta Política foi elaborada em conformidade com o ordenamento jurídico pátrio, em especial com a Lei Federal nº 12.965, de 23 de abril de 2014 ("Marco Civil da Internet"), com a Lei Federal nº 13.709, de 14 de agosto de 2018 ("LGPD") e com os regulamentos e orientações da Agência Nacional de Proteção de Dados ("ANPD") e, no Diagnóstico NR-1, com a Norma Regulamentadora nº 1 ("NR-1") e a Norma Regulamentadora nº 17 ("NR-17") do Ministério do Trabalho e Emprego.

2.2. Quais são os tipos de dados elencados na LGPD?

• a) Dado pessoal é toda e qualquer informação relacionada a pessoa natural identificada ou identificável, de acordo com o Art. 5, I da LGPD ("Dado Pessoal").
• b) Os dados pessoais sensíveis são aqueles relacionados à origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou a vida sexual, dado genético ou biométrico do Titular, de acordo com o Art. 5, II da LGPD ("Dado Pessoal Sensível").
• c) Dados anonimizados são aqueles que passaram por meios técnicos razoáveis e disponíveis no momento do tratamento de forma a não mais permitir a identificação do titular, de acordo com o Art. 5, III da LGPD ("Dados Anonimizados").
• d) Titular é a pessoa natural a quem se refere os dados pessoais, de acordo com o Art. 5, V da LGPD, ou seja, é Você ("Titular").

2.3. O que pode ser considerado tratamento de Dados Pessoais?

• a) É toda e qualquer operação realizada com Dados Pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração, de acordo com o Art. 5, X da LGPD ("Tratamento").

2.4. Quem são os agentes de tratamento?

• a) São as pessoas naturais ou jurídicas que realizam o Tratamento de Dados Pessoais, e elas são divididas entre controlador e operador, de acordo com o Art. 5, IX da LGPD ("Agentes de Tratamento"):
• (i) O Controlador é a pessoa natural ou jurídica, de direito público ou privado, que toma as decisões referentes ao Tratamento de Dados Pessoais, de acordo com o Art. 5, VI da LGPD ("Controlador").
• (ii) O Operador é a pessoa natural ou jurídica, de direito público ou privado, que realiza o Tratamento de Dados Pessoais em nome do Controlador, de acordo com o Art. 5, VII da LGPD ("Operador").

3.1. A Grunn AI tratará seus Dados Pessoais conforme descrito nos itens abaixo:

• a) Dados de identificação e contato, como nome, endereço de e-mail, número de telefone, empresa ou organização à qual o Usuário esteja vinculado, quando aplicável, dados como CPF, documento de identidade ou qualquer outro dado vinculado aos documentos do Usuário, dados financeiros, todos coletados no cadastro realizado na Plataforma ou fornecidos pela empresa Contratante, serão tratados com a finalidade de identificar o participante da entrevista, na realização das pesquisas por voz, junto à Contratante, bem como o representante da Contrato, sendo tratados também para a realização de contatos relacionados a (i) pagamentos; (ii) solicitações de recibos de prestação de serviços, quando aplicável, ou envio de notas fiscais; (iii) divulgação dos resultados das pesquisas; (iv) envio de materiais de marketing para a realização de novas entrevistas ou para a contratação de novos planos de pesquisa, para os representantes das Contratantes; ou (v) realização de outros contatos que se mostrem necessários ou pertinentes à execução do objeto da prestação de serviços. A base legal destes tratamentos é a (i) Execução de Contrato (art. 7º, V, LGPD); e (ii) o Consentimento (art. 7º, I, LGPD). No Diagnóstico NR-1 não são coletados dados de identificação ou de contato do participante (Cláusula 4-A.2).
• b) Dados coletados durante as entrevistas, como gravações de voz do participante, transcrições das respostas fornecidas, dados comportamentais (que não se enquadrem no conceito de Dado Sensível), conteúdo das respostas às perguntas realizadas na entrevista, bem como eventuais informações pessoais mencionadas pelo participante durante sua interação com a Grunn AI, serão tratados com a finalidade de viabilizar a realização das entrevistas de user research por voz, permitir o processamento das respostas por recursos de inteligência artificial, possibilitar a elaboração de análises, resumos e relatórios de pesquisa, bem como disponibilizar tais resultados à empresa Contratante para fins de avaliação de produtos, serviços, experiências de usuários e tomada de decisões estratégicas relacionadas às pesquisas conduzidas por meio da plataforma. Após o término das finalidades acima, ainda poderemos utilizar tais dados, depois de anonimizados, para a melhora dos nossos serviços e para a venda de relatórios de pesquisa para outros Contratantes, conforme Cláusula 4.3. A base legal destes tratamentos é a (i) Execução de Contrato (art. 7º, V, LGPD); e (ii) o Consentimento (art. 7º, I, LGPD). O disposto nesta alínea e na Cláusula 4.3 não se aplica ao Diagnóstico NR-1: os dados de participantes do Diagnóstico NR-1 não são utilizados para outros Contratantes, para relatórios independentes nem para qualquer finalidade diversa das previstas na Seção 4-A.
• c) Ressalvado o Diagnóstico NR-1, regido pela Seção 4-A, dados sensíveis, como origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização religiosa/política, dados referentes à saúde, dados referentes à vida sexual ou dados genéticos ou biométricos, não serão solicitados pela Grunn AI, contudo podem, eventualmente, ser obtidos através das entrevistas realizadas pelos Usuários da plataforma, de forma espontânea, ou através de solicitação da Contratante, durante a entrevista de user research por voz, e serão tratados apenas com o seu consentimento e com a finalidade específica de desenvolver os relatórios às Contratantes. Contudo, no envio dos relatórios, não serão realizadas identificações pessoais de tais respostas, impedindo que qualquer pessoa possa identificar tal Dado Sensível a você. As gravações de voz não são utilizadas para reconhecimento de locutor, autenticação ou qualquer identificação biométrica; a voz é, ainda assim, dado pessoal, e o conteúdo gravado pode conter Dados Sensíveis, que são tratados como tais. A Grunn AI adota medidas técnicas e organizacionais para minimizar o tratamento acidental de dados sensíveis, incluindo instruções à IA para não solicitar tais dados e mecanismos de revisão periódica. Caso o Titular identifique que dados sensíveis foram coletados inadvertidamente, poderá solicitar sua exclusão pelo canal indicado nesta Política. Fora do Diagnóstico NR-1, quando houver qualquer tratamento de dados sensíveis, a base legal destes tratamentos será o Consentimento (art. 11, I, LGPD).

3.2. A quantidade de informações coletadas poderá variar conforme cada caso, considerando sempre o propósito da coleta e a relação jurídica entre as partes. Os Dados Pessoais mencionados são tratados apenas em situações específicas e quando necessários para alcançar as finalidades estabelecidas nesta Política, especialmente na prestação dos serviços e na elaboração dos relatórios por nossa inteligência artificial. A Grunn AI pode coletar essas informações de diversas maneiras, seja diretamente do Titular, ou a partir de fontes publicamente acessíveis.

3.3. No exercício das nossas atividades poderá haver o Tratamento de Dados Pessoais de Crianças, Adolescentes e Idosos, sendo certo que para estes casos observaremos todas as disposições especiais previstas para estes Tratamentos, em especial a obtenção do consentimento dos responsáveis legais, sendo estes tratados da mesma forma que os Dados Sensíveis, nos termos do item 4.5 desta Política.

4.1. A Grunn AI atuará como co-controladora dos dados pessoais coletados de seus Usuários, colaboradores, empregados, sócios e candidatos, bem como de fornecedores, correspondentes e prestadores de serviços, usuários e visitantes de seu Site, usuários e visitantes das páginas da Grunn AI em redes sociais, além daqueles coletados no contexto da execução de entrevistas de user research por voz realizadas por meio da plataforma. Ou seja, a Grunn AI atuará em conjunto com as empresas Contratantes, que também serão consideradas controladoras dos dados pessoais tratados, na tomada de decisões relativas ao tratamento de seus Dados Pessoais, sendo ainda responsável por operacionalizar o atendimento às solicitações e ao exercício dos direitos dos Titulares, uma vez que os participantes das pesquisas poderão ser recrutados tanto pela Grunn AI quanto pelas próprias Contratantes. Sempre que aplicável, a Grunn AI solicitará diretamente ao titular o consentimento para o tratamento de seus dados pessoais, nos termos da LGPD.

4.2. A Grunn AI poderá, eventualmente, atuar como Operadora dos Dados Pessoais e nestes casos nossa atuação será nos limites e na forma determinada pelos Controladores. No Diagnóstico NR-1, a Grunn AI atua como controladora conjunta com a Empresa Contratante, nos termos da Cláusula 4-A.4.

4.3. A Grunn AI poderá, mesmo após o término das relações com as Contratantes, manter-se na posse dos Dados Pessoais para o cumprimento de obrigação legal ou regulatória, ou para a melhoria contínua dos seus serviços e produção de relatórios de pesquisa independentes, desde que tais dados sejam anonimizados, de acordo com padrões técnicos que impeçam a reversão da identificação, nos termos da LGPD. Trataremos os dados anonimizados para a finalidade acima descrita apenas nas hipóteses em que tivermos obtido previamente a sua autorização para o tratamento dos Dados Pessoais, ocasião em que atuaremos na qualidade de co-controladores, nos termos da LGPD. Nas situações em que atuarmos como Operadores, seguiremos as orientações e políticas da Controladora. Será garantido aos Usuários, em todos os casos, o exercício de todos os seus direitos previstos nesta Política e na LGPD, como revogação do consentimento, direitos de esclarecimentos, dentre outros. Esta Cláusula não se aplica aos dados de participantes do Diagnóstico NR-1, que seguem exclusivamente as finalidades e os prazos da Seção 4-A.

4.4. A Grunn AI tratará todos os Dados Pessoais em consonância e sempre de acordo com as bases legais previstas no Art. 7° da LGPD, e apenas com a finalidade de cumprir as suas obrigações contratuais e/ou legais, praticar todos os atos necessários para a execução dos contratos com a Contratante, promoção de suas campanhas de marketing, contratação de equipe e de fornecedores, atendimento aos seus clientes ou aos Usuários de seu site e visitantes de suas redes sociais, melhoria contínua dos seus serviços, criação de estudos e relatórios de pesquisas, bem como ou de acordo com o seu legítimo interesse ou de seus clientes, colaboradores, funcionários e fornecedores ("Finalidades"). No Diagnóstico NR-1, as finalidades e as bases legais são exclusivamente as indicadas na Cláusula 4-A.3.

4.5. Os Dados Sensíveis, por sua vez, conforme o item c), da Cláusula 3.1 desta Política, serão apenas tratados quando seus Titulares ou representantes legais assim consentirem, em razão das Finalidades acima descritas, com previsão contratual, ou quando a finalidade for de cumprimento de obrigação legal ou regulatória, exercício regular de direitos em processos judiciais, administrativos e/ou arbitral, ou, ainda, por qualquer outra hipótese prevista no Art. 11, II, da LGPD. No Diagnóstico NR-1, a base legal de cada tratamento de Dados Sensíveis é a indicada, finalidade por finalidade, na Cláusula 4-A.3.

4-A.1. O que é. O Diagnóstico NR-1 é uma conversa por voz, conduzida por inteligência artificial, sobre as condições e a organização do trabalho, contratada por um empregador ("Empresa Contratante") para identificar, de forma coletiva, fatores de riscos psicossociais relacionados ao trabalho, conforme o item 1.5.3.1.4 da NR-1. A conversa avalia o trabalho, e não a pessoa: a plataforma não produz nem entrega resultado individual sobre qualquer participante. Ela não substitui os canais de denúncia da Empresa Contratante nem constitui atendimento de saúde. Nesta Seção, "Você" é o trabalhador convidado a participar.

4-A.2. Dados tratados. No Diagnóstico NR-1 tratamos: (i) área, modelo de trabalho e turno informados por Você; (ii) a gravação da conversa, com a sua voz e a da inteligência artificial; (iii) a transcrição e as respostas, inclusive às perguntas complementares; (iv) as classificações atribuídas às respostas pela inteligência artificial (frequência, exposição e gravidade do dano relatado, por fator); (v) dados técnicos: tipo de dispositivo, sistema operacional, navegador, idioma, horário de início e duração; (vi) registros de acesso e segurança, incluindo endereço IP; e (vii) o registro do seu consentimento (opção, versão do aviso aceita, idioma, data e hora). As respostas podem revelar dados pessoais sensíveis, especialmente referentes à saúde, ao sofrimento psíquico, ao assédio e à violência no trabalho, e são tratadas como tais. Não coletamos nome, e-mail, telefone, matrícula nem qualquer outro identificador: o acesso se dá por um link comum a todos os participantes da avaliação, sem cadastro.

4-A.2.1. Sua voz. A sua voz é dado pessoal. No Diagnóstico NR-1 ela é captada para conduzir a conversa e transcrever as respostas, e não é utilizada para reconhecimento de locutor, autenticação, controle de duplicidade ou qualquer identificação biométrica. Depois da conversa, geramos uma cópia da gravação em que a sua voz é substituída por uma voz sintética, preservando as palavras. A gravação original, com a sua voz, é eliminada em até 7 dias após a geração dessa cópia. Se a cópia não puder ser gerada, a gravação original é eliminada em até 30 dias após o fim da conversa. A cópia é a única gravação mantida, pelo prazo indicado na Cláusula 4-A.7. Ela não é disponibilizada à Empresa Contratante nem por qualquer tela ou interface da plataforma e recebe as mesmas salvaguardas dos dados sensíveis.

4-A.3. Finalidades e bases legais. Cada tratamento do Diagnóstico NR-1 tem uma finalidade e uma base legal próprias:

• a) Avaliar coletivamente os fatores de riscos psicossociais e gerar resultados consolidados e recomendações para a Empresa Contratante cumprir a NR-1. Dados: respostas às perguntas do roteiro, classificações por fator, área, modelo de trabalho e turno. Base legal: cumprimento de obrigação legal ou regulatória (art. 7º, II, e art. 11, II, "a", da LGPD), com participação voluntária e sem qualquer consequência laboral.
• b) Captar e processar a sua voz, gravar a conversa, transcrever as respostas e tratar as respostas complementares e o conteúdo livre. Dados: voz, gravação, cópia com voz sintética, transcrição e respostas complementares. Base legal: consentimento específico e destacado (art. 11, I, da LGPD). Como a participação é exclusivamente por voz, esse consentimento é condição para participar e é informado com destaque antes da conversa (art. 9º, §3º, da LGPD). Ele serve apenas a esta finalidade e não é utilizado como base para faturamento, segurança ou qualquer outro tratamento.
• c) Demonstrar o consentimento. Dados: registro da opção, versão do aviso aceita, idioma, data e hora. Base legal: exercício regular de direitos (art. 7º, VI, e art. 11, II, "d", da LGPD), em atenção ao ônus de prova do controlador (art. 8º, §2º, da LGPD).
• d) Garantir a segurança da plataforma, prevenir abuso e diagnosticar falhas. Dados: endereço IP, dados técnicos e registros de acesso, sem o conteúdo das respostas. Base legal: legítimo interesse (art. 7º, IX, da LGPD) e Marco Civil da Internet.
• e) Controlar a cota contratada e faturar a Empresa Contratante. Dados: apenas contagens de participações, sem dado individual. Base legal: execução de contrato (art. 7º, V, da LGPD).

4-A.4. Responsáveis. No Diagnóstico NR-1, a Grunn AI e a Empresa Contratante são controladoras conjuntas dos dados dos participantes. A Empresa Contratante decide realizar a avaliação, define o público e as áreas e utiliza os resultados em seu Programa de Gerenciamento de Riscos. A Grunn AI define o instrumento, a metodologia, os fornecedores e as medidas de segurança. Você pode exercer os seus direitos perante qualquer delas: a Grunn AI é o ponto de contato para as solicitações (Cláusula 4-A.8), e a Empresa Contratante encaminha à Grunn AI as que receber. Parceiros comerciais que ofereçam o Diagnóstico NR-1 como canal de distribuição não têm acesso aos dados dos participantes. Nenhuma tela ou interface da plataforma dá acesso à gravação, nem à Empresa Contratante nem à equipe da Grunn AI. Administradores da Grunn AI podem acessar a cópia com voz sintética diretamente no armazenamento em nuvem (Microsoft Azure), com acesso nominal e exclusivamente para suporte e auditoria.

4-A.5. Participação confidencial e o que a Empresa Contratante recebe. A Empresa Contratante recebe apenas resultados consolidados, por fator e por área, e as recomendações do relatório. Ela não recebe gravações, transcrições, respostas individuais, trechos literais nem classificações por participante, e essa restrição é imposta tecnicamente pela plataforma. Áreas com menos de 5 entrevistas válidas não são exibidas, e os fatores assédio e eventos violentos não são detalhados por área. A plataforma não informa à Empresa Contratante quem participou, quem recusou ou o que cada pessoa respondeu. É vedado à Empresa Contratante utilizar os resultados para decisões sobre pessoas determinadas, como promoção, avaliação de desempenho, transferência, sanção disciplinar ou desligamento, ou tentar reidentificar participantes.

4-A.6. Fornecedores. Para conduzir a conversa, transcrever e classificar as respostas, gerar a cópia com voz sintética e operar a plataforma, a Grunn AI utiliza os fornecedores da Cláusula 7.2, alguns dos quais processam dados fora do Brasil, inclusive nos Estados Unidos. Os dados ficam armazenados pela Grunn AI em nuvem no Brasil (Cláusula 7.1).

4-A.7. Prazos de retenção. Os dados do Diagnóstico NR-1 são mantidos pelos seguintes prazos:

• Gravação original da conversa (com a sua voz): eliminada, com todas as suas versões, assim que a cópia com voz sintética é gerada e a transcrição é concluída, com remoção definitiva do armazenamento em até 7 dias. Se a cópia não puder ser gerada, a gravação original é eliminada em até 30 dias após o fim da conversa. Depois da eliminação, a plataforma recusa qualquer novo envio de áudio para aquela conversa.
• Cópia da gravação com voz sintética (única gravação mantida): 24 meses após o encerramento da avaliação ou 30 dias após o término do contrato com a Empresa Contratante, o que ocorrer primeiro.
• Transcrição, respostas, classificações por fator, dados de triagem (área, modelo de trabalho e turno) e dados técnicos da conversa: mesmo prazo da cópia com voz sintética.
• Registro do consentimento (opção, versão do aviso aceita, idioma, data e hora, sem conteúdo): 5 anos após a eliminação dos demais dados da conversa, para comprovação do consentimento (art. 8º, §2º, da LGPD).
• Resultados consolidados, recomendações e planos de ação, sem dados individuais: durante a vigência do contrato com a Empresa Contratante e por 5 anos após o seu término.
• Registros técnicos de aplicação e de acesso: 30 dias. Métricas de uso da plataforma: 12 meses. Rastreamento técnico das chamadas de inteligência artificial, sem conteúdo: 30 dias.
• Cópias de segurança: 14 dias (banco de dados) e 7 dias (arquivos). Uma eliminação se propaga às cópias de segurança nesses prazos.

4-A.7.1. A eliminação de dados nos sistemas da Grunn AI não alcança os dados retidos pelos fornecedores da Cláusula 7.2, que seguem os prazos dos respectivos termos e contratos.

4-A.8. Seus direitos. Você pode exercer os direitos do art. 18 da LGPD perante a Grunn AI ou a Empresa Contratante, pelo canal [email protected], sem custo. Como não coletamos a sua identificação, não pediremos documento de identidade; pela mesma razão, pode não ser possível localizar a sua participação, e o pedido será atendido com as medidas tecnicamente possíveis. A revogação do consentimento impede novos tratamentos baseados nele e alcança a gravação, a transcrição e as respostas complementares que ainda puderem ser associadas à sua participação. Depois que as suas respostas forem incorporadas a resultados consolidados, pode não ser tecnicamente possível retirar a sua contribuição do conjunto. Você pode não consentir; nesse caso, não participa da avaliação, sem qualquer consequência, e a plataforma não informa à Empresa Contratante quem participou ou recusou.

4-A.9. Inteligência artificial e decisões automatizadas. A inteligência artificial conduz a conversa e classifica as respostas por fator. A conversão dessas classificações em probabilidade, severidade e nível de risco é feita por regras determinísticas, e o resultado é apresentado apenas de forma coletiva. Nenhuma decisão sobre Você é tomada pela plataforma, e a Empresa Contratante não pode usar os resultados para decisões individuais. Você pode pedir informações sobre os critérios e os procedimentos utilizados pelo canal da Cláusula 4-A.8.

4-A.10. Vedação de outros usos. Os dados do Diagnóstico NR-1 não são utilizados pela Grunn AI para treinar modelos de inteligência artificial, compor bases de teste ou de avaliação, nem produzir relatórios para terceiros. Os fornecedores listados na Cláusula 7.2 tratam os dados apenas para prestar o serviço à Grunn AI, nas condições ali descritas.

4-A.11. Participação durante a jornada. A participação no Diagnóstico NR-1 deve ocorrer durante a jornada de trabalho. O tempo dedicado é tempo à disposição do empregador, e cabe à Empresa Contratante organizar a participação nesses termos.

4-A.12. Aviso específico e registro do consentimento. Antes da conversa, a plataforma apresenta um Aviso de Privacidade específico do Diagnóstico NR-1, com as informações desta Seção, e colhe, separadamente e sem marcação prévia, (i) a aceitação dos Termos de Uso, (ii) a ciência do Aviso e desta Política e (iii) o consentimento para a gravação e o uso da sua voz e das suas respostas, inclusive informações sensíveis. A conversa só começa com os três registros. Nada é gravado antes disso, e recusar é simplesmente fechar a página. A versão do Aviso aceita, a data e a hora ficam registradas, e a Empresa Contratante não tem acesso a quem aceitou ou recusou.

5.1. Nós armazenaremos os Dados Pessoais coletados somente pelo tempo necessário para o cumprimento das Finalidades para as quais foram coletadas e de acordo com os requisitos legais aplicáveis a cada caso. No Diagnóstico NR-1, os prazos por categoria de dado estão na Cláusula 4-A.7.

5.2. A Grunn AI empregará todos os esforços para a manutenção e segurança dos Dados Pessoais armazenados, sendo implementados os procedimentos e sistemas necessários ao adimplemento dos padrões de segurança vinculados às melhores práticas do mercado.

5.3. É necessário destacar que nenhum tratamento de Dados Pessoais é absolutamente seguro. Assim, a Grunn AI não se responsabiliza, em nenhuma hipótese, por danos causados pelo uso indevido do Site por Você. Além disso, a Grunn AI não se responsabiliza por culpa exclusiva de terceiros, como em caso de ataque de hackers ou crackers, ou por sua culpa exclusiva, como na hipótese em que Você mesmo transferiu seus dados a terceiro. Em todos os casos, Declaramos que a Grunn AI adota camadas de segurança e proteção em conformidade com os padrões técnicos exigidos pelas autoridades competentes, bem como observa e implementa as melhores práticas de mercado no que se refere à legislação de proteção de dados pessoais. Alternativamente, na hipótese de violação de qualquer obrigação legal que venha a causar danos a Você, a Grunn AI se responsabilizará nos termos dos artigos 42 e seguintes da Lei Geral de Proteção de Dados Pessoais (LGPD).

5.4. Na hipótese de violação dos Dados Pessoais, Sensíveis ou não, a Grunn AI tomará todas as medidas necessárias para impedir ou reduzir quaisquer danos, incluindo informar, de prontidão, à Você, e à ANPD, se necessário, sobre a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos direitos e liberdades pessoais do Titular dos Dados Pessoais, nos termos previstos na LGPD. No Diagnóstico NR-1, como não mantemos dados de contato dos participantes, a comunicação aos titulares afetados será feita por meio da Empresa Contratante e de aviso no Site, nos prazos da regulamentação da ANPD.

6.1. A Grunn AI poderá realizar o compartilhamento dos dados pessoais com terceiros com as Finalidades descritas no item 4.4. desta Política, sempre de forma compatível com as referidas Finalidades e utilizando a mínima quantidade de dados necessários para tal.

6.1.1. Sempre que possível os Dados Pessoais serão anonimizados antes do compartilhamento.

6.2. Os terceiros serão considerados Operadores dos Dados Pessoais que tiverem acesso e a Grunn AI, a Controladora, e observarão o disposto nesta Política e na legislação vigente para executarem o referido Tratamento. No Diagnóstico NR-1, a Grunn AI e a Empresa Contratante são controladoras conjuntas (Cláusula 4-A.4), e os fornecedores da Cláusula 7.2 são Operadores.

6.3. Os terceiros serão quaisquer pessoas, jurídicas ou naturais, que se mostrem necessárias para a execução das Finalidades, como, mas não se limitando a, empresas terceirizadas de inteligência artificial, provedores de infraestrutura e armazenamento em nuvem, prestadores de serviços de processamento de dados, ferramentas de análise e geração de relatórios, bem como outros fornecedores de tecnologia que apoiem o funcionamento, a manutenção e a melhoria da plataforma, sempre observadas as disposições desta Política e da LGPD. A relação nominal dos fornecedores que tratam dados fora do Brasil, com as respectivas finalidades, está na Cláusula 7.2.

6.4. A Grunn AI poderá compartilhar Dados Sensíveis desde que com as finalidades e/ou autorizações descritas no item 4.5. desta Política. No Diagnóstico NR-1, a Empresa Contratante recebe apenas os resultados consolidados descritos na Cláusula 4-A.5.

6.5. Por fim, a Grunn AI poderá compartilhar dados de Titulares mediante ordem judicial, administrativa ou arbitral, ou em cumprimento a requerimento de autoridades públicas ou reguladoras competentes.

7.1. Os Dados Pessoais são armazenados principalmente no Brasil, em nuvem da Microsoft Azure (região Brazil South), inclusive o banco de dados, as gravações e os arquivos da plataforma. Os fornecedores listados na Cláusula 7.2 tratam dados fora do Brasil, nas condições ali descritas.

7.2. Os fornecedores abaixo tratam Dados Pessoais fora do Brasil por conta da Grunn AI, como Operadores, nas finalidades e com os dados indicados:

• Microsoft Corporation, Azure OpenAI Service (região East US 2, Estados Unidos): recebe o áudio da conversa em tempo real, para conduzir a entrevista e transcrever as respostas, e, depois da conversa, as transcrições e respostas, para extração, classificação por fator e sínteses do relatório. A Microsoft não utiliza esses dados para treinar ou aprimorar modelos, não os disponibiliza à OpenAI e não os armazena nos modelos, que são sem estado. Amostras sinalizadas pelo sistema de monitoramento de abuso da Microsoft podem ser retidas temporariamente por ela, com acesso restrito, para revisão.
• Microsoft Corporation, Azure Monitor (Log Analytics e Application Insights, região East US 2, Estados Unidos): registros técnicos de aplicação e de acesso, incluindo endereço IP, sem conteúdo de entrevista, mantidos por 30 dias.
• Eleven Labs Inc. (Estados Unidos): recebe o áudio do canal do participante, depois da conversa, para transcrição de maior qualidade, que alimenta a extração e a análise das respostas, em todos os tipos de pesquisa. No Diagnóstico NR-1, recebe o mesmo áudio também para gerar a cópia da gravação com voz sintética, que substitui a gravação original. O tratamento pelo fornecedor segue os seus termos de serviço e de tratamento de dados.
• Langfuse GmbH (Langfuse Cloud, instância nos Estados Unidos): rastreamento técnico das chamadas de inteligência artificial (identificadores técnicos, modelo, contagens, tokens e latência) e versionamento dos roteiros. Não recebe o áudio, a transcrição nem o conteúdo das respostas.
• Mixpanel, Inc. (Estados Unidos): métricas de uso da plataforma, nas condições da Cláusula 8.2.3.
• Resend, Inc. (Estados Unidos) e Azure Communication Services (Microsoft Corporation): envio de e-mails transacionais aos usuários da plataforma, como links de acesso e notificações, com nome, e-mail e conteúdo da mensagem. Não são utilizados com participantes do Diagnóstico NR-1, dos quais não coletamos e-mail.
• Slack Technologies, LLC (Salesforce, Estados Unidos): notificações internas à equipe da Grunn AI sobre novos contatos comerciais (nome, e-mail, telefone e CNPJ informados no formulário) e sobre relatos de problema técnico enviados durante uma entrevista (descrição escrita pelo participante e dados técnicos da sessão, sem identificação do participante).
• Cloudflare, Inc. (rede global, sede nos Estados Unidos): proteção e distribuição do tráfego dos sites e aplicações (dados de conexão, incluindo endereço IP) e verificação anti-robô nos formulários.
• Google LLC e Microsoft Corporation (Estados Unidos): ferramentas de análise do Site, nas condições das Cláusulas 7.3 e 8.2.1.

7.3. Adicionalmente, dados de navegação no Site coletados pelas ferramentas de análise descritas na Cláusula 8.2.1 (Google Analytics, do Google LLC, e Microsoft Clarity, da Microsoft Corporation) poderão ser processados em servidores localizados no exterior, nos termos do art. 33 da LGPD, observadas garantias de proteção equivalentes às exigidas pela legislação brasileira.

7.4. As transferências internacionais desta Seção ocorrem com fundamento no art. 33 da LGPD, mediante os termos contratuais e os adendos de tratamento de dados de cada fornecedor, que preveem obrigações de segurança, confidencialidade e limitação de uso aos fins do serviço. A Grunn AI mantém registro atualizado dos fornecedores, das finalidades e dos instrumentos de cada transferência e acompanha a sua adequação às cláusulas-padrão aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024).

8.1. Ao utilizar o Site da Grunn AI, Você reconhece que nós fazemos o uso de cookies de acordo com as condições aqui descritas.

8.2. A Grunn AI utiliza três tipos de cookies em seu Site, quais sejam: (i) Cookies estritamente necessários: que são aqueles essenciais para permitir a navegação no Site da Grunn AI. Sem esses cookies, a navegação no Site poderá ser afetada. (ii) Cookies funcionais: coletam informações anônimas e não podem rastrear seus movimentos em outros sites. Permitem que o Site armazene informações já inseridas, para que possa oferecer funções aprimoradas e mais personalizadas. (iii) Cookies de desempenho: permite a coleta de dados relacionados ao desempenho comercial da Grunn AI, como quanto tempo o usuário passa na página, em quais "links" ele clica, etc.

8.2.1. Entre os Cookies de desempenho, o Site utiliza as ferramentas Google Analytics 4 (Google LLC), para métricas de audiência e navegação, e Microsoft Clarity (Microsoft Corporation), para mapas de calor e gravação de sessões de navegação, com mascaramento dos dados digitados em formulários. Tais ferramentas somente são ativadas após o seu consentimento, manifestado por meio do banner de cookies exibido no Site. A exceção é a página do Diagnóstico NR-1 (grunn.ai/ifood-beneficios-nr1), que não exibe o banner nem utiliza o Microsoft Clarity: nela, o Google Analytics 4 conta visitas e interações com a página (cliques, uso do simulador e do checklist e envio de formulários), sem cookies, sem armazenar identificadores no seu navegador, sem registrar o que é digitado nos formulários e sem sinais de publicidade.

8.2.2. Você pode revogar o consentimento a qualquer momento por meio do link "Cookies" disponível no rodapé do Site, sem prejuízo à sua navegação.

8.2.3. Nos ambientes de entrevista e na área logada da plataforma, a Grunn AI utiliza o Mixpanel (Mixpanel, Inc., Estados Unidos) para métricas de uso, como telas visitadas e etapas concluídas. No ambiente de entrevista, o Mixpanel opera com identificador aleatório renovado a cada acesso, sem armazenar identificadores no seu navegador entre acessos, sem endereço IP, sem dados de identificação e sem o conteúdo das respostas. Na área logada, recebe um identificador interno do usuário e o domínio do e-mail corporativo, sem o endereço de e-mail e sem endereço IP. Essas métricas não são utilizadas para publicidade.

8.3. Se Você não concordar com o uso desses cookies, Você pode desativá-los a qualquer momento, ajustando as configurações do seu navegador. Os navegadores são diferentes, portanto, consulte o menu de configurações do seu navegador para obter instruções sobre como alterar suas preferências de cookies. Se Você optar por não receber cookies, o Site pode não funcionar corretamente e alguns recursos podem ficar indisponíveis.

9.1. Em caso de dúvida, ou ainda se quiser exercer qualquer um de seus direitos na qualidade de Titular dos Dados Pessoais, mencionados no Artigo 17 e seguintes da LGPD, Você poderá entrar em contato com a Grunn AI pelo e-mail ([email protected]).

9.2. O exercício dos direitos mencionados no item 9.1. desta Política deve ser realizado exclusivamente pelo Titular dos Dados Pessoais. Assim, a Grunn AI poderá solicitar informações e/ou documentos que comprovem sua identidade. No Diagnóstico NR-1, em que não coletamos a identificação do participante, aplica-se a Cláusula 4-A.8 e não será exigida comprovação de identidade.

9.3. Em caso de solicitação, a Grunn AI gozará de tempo hábil para a resposta. Você deve estar ciente de que poderão ocorrer eventuais atrasos no atendimento por fatores justificáveis.

9.4. Nós, ainda, nos reservarmos o direito de realizar a rejeição de sua requisição por motivos formais (por exemplo, caso não seja comprovada a sua identidade) ou legais (a exemplo do pedido de eliminação de dados que podem ser mantidos por força legal). Em qualquer hipótese de negativa ou atraso, Nós apresentaremos os motivos para o não atendimento/atraso.

9.5. O exercício de quaisquer dos direitos, em especial a eliminação e revogação do consentimento, por Você, sempre que possível, não retira a legalidade do Tratamento dos Dados Pessoais por nós já realizado, e informaremos para Você, pelo mesmo canal em que a solicitação foi feita, a nova base legal que justifica a continuidade e novos tratamentos de Dados Pessoais.

9.6. Encarregado. A Grunn AI indicou como encarregado pelo tratamento de dados pessoais Bruno de Oliveira Ivamoto, que pode ser contatado pelo e-mail [email protected] para qualquer assunto relacionado a esta Política, ao exercício de direitos e às comunicações com a ANPD.

10.1. Esta Política de Privacidade da Grunn AI foi publicada em 1/3/2026, atualizada em 17/7/2026 para detalhar as ferramentas de análise utilizadas no Site e o respectivo mecanismo de consentimento, e atualizada em 14/9/2026 para incluir o Diagnóstico NR-1 (Seção 4-A), a relação dos fornecedores que tratam dados fora do Brasil, os prazos de retenção por categoria e a identificação do encarregado.

10.2. A presente Política poderá ser alterada a qualquer momento devido a uma atualização normativa, por uma diretiva da ANPD, ou por mudanças nas diretrizes e procedimentos da Grunn AI, cabendo à Você se manter atualizado das disposições e conteúdo desta.

10.3. Os eventuais litígios, oriundos da presente Política de Privacidade, deverão ser apresentados no foro de Campinas/SP.