DOSSIÊ DE DILIGÊNCIA
Porte e enquadramento, garantias contratuais, invariantes de arquitetura, tratamento de dado, subprocessadores, marco legal aplicável e o escopo que recusamos. Sem material de venda.
// todo o conteúdo deste dossiê está publicado em zthex.com. Nada aqui promete mais do que a página pública promete.
Este documento não substitui o acordo de tratamento de dados nem o contrato. Documentação nominal e anexos técnicos são entregues sob acordo de confidencialidade, na diligência prévia.
ZTHEX.COM/GOVERNANCAQuem somos, para efeito de diligência
Fornecedor de tecnologia, pequeno porte, operação digital e distribuída, sem infraestrutura física própria.
Isso importa para o seu processo de qualificação: pela regra de proporcionalidade da cadeia de valor europeia, empresa sujeita à CSRD não pode exigir de fornecedor com até mil funcionários mais informação de sustentabilidade do que a prevista no padrão voluntário para empresas menores. Adotamos esse padrão por ser o proporcional à nossa realidade e o reconhecido por quem precisa reportar.
// não alegamos conformidade com padrão desenhado para empresa de dez mil funcionários. Alegamos o que a nossa realidade sustenta, no formato que a sua auditoria aceita.
Certificações: o que temos e o que não temos
// fornecedor que exibe selo que não tem é o primeiro risco de diligência que o seu time deveria procurar.
Estrutura de governança
As seis garantias contratuais
O que a Zthex garante por contrato, não por política interna. Cada item abaixo é cláusula, e cada um é verificável durante o ciclo.
A existência do contrato é confidencial. A Zthex não publica cliente, logotipo nem depoimento.
Não é configuração de privacidade: o campo de identidade não existe nos sistemas. Nenhum achado é rastreável de volta a quem falou, nem internamente.
Nenhum dado — bruto, estruturado ou agregado — treina ou ajusta modelo, próprio ou de terceiro. Vale também para os subprocessadores.
Dado hospedado onde a legislação local ou o contrato do cliente exigir, incluindo território nacional.
Cada acesso, cada classificação e cada retorno automático tem trilha — inclusive as ações que o próprio sistema tomou sozinho.
A camada estruturada é do cliente e sai em formato aberto. Nada fica retido depois do fim do ciclo, e não há cobrança que continue.
// as quatro garantias operacionais que sustentam as cláusulas acima — sem atribuição, consentimento por ação, canal sensível à parte e conformidade por região — estão publicadas em zthex.com/seguranca.
Invariantes de arquitetura
Propriedades do sistema, não configurações de conta. Nenhuma delas depende de escolha do cliente, e nenhuma pode ser desligada a pedido.
// a régua adotada é a de alto risco do AI Act europeu: supervisão humana em decisão sensível, aviso claro a quem participa, registro auditável do que o sistema fez e por quê — como fundação técnica, não como adendo jurídico.
Tratamento de dado e papéis
O cliente define o escopo do ciclo e responde pela operação. A Zthex trata o dado em nome dele, sob acordo de tratamento de dados. Quem participa da conversa decide participar, a cada retorno.
Quatro destinos possíveis
Todo trecho de conversa termina em um destes quatro lugares. Nada fica em suspenso.
fato específico, com contexto suficiente para ser verificável. Entra no grafo com origem etiquetada.
o conteúdo importa, a identidade não. Nome de terceiro vira descrição de padrão antes de qualquer gravação.
ambíguo ou ironia. Entra separado, não gera achado sozinho, e espera confirmação de outra fonte.
não vira registro nenhum, em lugar nenhum.
Doze categorias de descarte
Decididas antes da primeira conversa — não improvisadas depois.
Triangulação e grau declarado
A checagem de três fontes — conversa, política e registro dos sistemas — é o padrão. Quando não há acesso a sistema (legado sem exportação limpa, ciclo inicial sem liberação, escopo que exclui essa camada), o ciclo opera em duas fontes, pelo método de triangulação já validado pela pesquisa social. O rótulo do achado nomeia o método e o grau em uso — não existe achado sem dizer de onde veio.
Subprocessadores e regra de alteração
Quem mais toca o dado tratado em nome do cliente, para que serve, e onde fica. Por categoria; os nomes específicos vêm sob acordo de confidencialidade.
Nomes específicos são informados sob acordo de confidencialidade, na diligência prévia à contratação, e constam do acordo de tratamento de dados.
Alteração de subprocessador é comunicada com 30 dias de antecedência, com direito de objeção fundamentada. Objeção não resolvida faculta ao cliente rescindir sem penalidade.
Nenhum recebe resposta individual atribuída a pessoa, porque essa informação não é produzida. Nenhum recebe dado de cliente para treinar modelo. Nenhum recebe acesso a dado de outro cliente.
// publicar a lista nominal exporia arquitetura sem benefício para o cliente. A informação existe, é completa, e é entregue a quem contrata.
Marco legal, por tema e jurisdição
O quadro regulatório observado. Onde a lei ainda não existe, isso é declarado — com o padrão adotado enquanto ela não vem.
Brasil — em tramitação. O PL 2338/2023 foi aprovado por unanimidade no Senado em dezembro de 2024 e segue na Câmara dos Deputados. Adota o modelo europeu: classificação por nível de risco, direito à transparência, à explicação e à contestação, criação de sistema nacional de governança, e sanção de até R$ 50 milhões por infração.
Enquanto não é lei, o padrão adotado é o mais alto. Sistema aplicado a contexto de trabalho é tratado pela régua de alto risco do AI Act europeu: supervisão humana em decisão sensível, aviso claro a quem participa, registro auditável, e proibição absoluta de reconhecimento de emoção por biometria.
Setores com regulação própria: o Conselho Nacional de Justiça possui normativa sobre transparência, rastreabilidade e auditoria em uso de IA no Judiciário — relevante em contratação com tribunais.
// antecipar o padrão mais alto reduz risco em todas as jurisdições e evita retrabalho quando a lei brasileira entrar em vigor.
O que recusamos, documentação e contato
Escopo cujo propósito seja justificar corte de pessoal, identificar indivíduo para punição, contornar consulta a representação de trabalhadores, ou produzir insumo para processo disciplinar.
// a recusa é informada na primeira conversa e registrada.
Documentação disponível na diligência prévia
Mediante acordo de confidencialidade:
// campo de controle para o seu processo interno. A Zthex não retém cópia preenchida deste documento.
Fornecedor pequeno não precisa parecer grande. Precisa ser verificável.
Versão 1.0 · 2026 · revisada a cada alteração de subprocessador, política ou marco legal.
