Confiança e privacidade

Estado do serviço

Esta página descreve o desenho e o código do serviço; um piloto está no ar no Google Cloud apenas com dados sintéticos, e nenhum dado real de participante foi carregado. (declaração)

Em seis frases

A Ella sabe quem participa e mantém a equipe da pesquisa separada da área de buscas e recrutamento por uma regra interna chamada muralha da China, sem nenhuma barreira técnica entre elas; nenhum dado de participante é usado para recrutar, os revisores veem valores apenas em faixas e todo acesso ao console é registrado. (verificado por teste; o trecho “A Ella sabe quem participa e mantém a equipe da pesquisa separada da área de buscas e recrutamento por uma regra interna chamada muralha da China, sem nenhuma barreira técnica entre elas; nenhum dado de participante é usado para recrutar” é declaração) Testes: apps/console/lib/route-logging.test.ts, apps/console/lib/access-log.test.ts, apps/console/lib/handlers/queues.test.ts, packages/db/src/edition-schema.test.ts, packages/db/src/workspace-rls.test.ts
Nomes, CPF e outros identificadores diretos nunca saem do navegador; são enviados um hash com chave do CPF (a chave fica com o participante e, se ele a der, com o contador que envia arquivos por ele) e os títulos de cargo, e os títulos são apagados na selagem, exceto o de um cargo sênior ainda não auditado, que fica guardado até a auditoria de um analista. (verificado por teste; o trecho “a chave fica com o participante e, se ele a der, com o contador que envia arquivos por ele” é declaração; o trecho “exceto o de um cargo sênior ainda não auditado, que fica guardado até a auditoria de um analista” é declaração) Testes: packages/standard/src/rows.test.ts, packages/standard/src/receipt.test.ts, packages/import/src/assemble.test.ts, packages/db/src/workspace-content.test.ts, apps/workspace/lib/handlers/submissions.test.ts
Todo número passa por regras publicadas e toda edição sai com uma auditoria. (verificado por teste) Testes: packages/edition/src/disclosure/ladder.property.test.ts, packages/edition/src/manifest.test.ts, packages/edition/src/build.test.ts, apps/workspace/lib/handlers/edition.test.ts
Um operador nomeado poderia contornar os controles, e todo acesso é registrado. (declaração; o trecho “todo acesso é registrado” é previsto)
O CADE não aprovou nem examinou o desenho, e a Ella não lhe formulou consulta; o desenho adota salvaguardas que o CADE já apontou em guias e decisões (dados agregados, defasados no tempo, sem planos futuros, mínimo de empresas por número), mas nenhuma autoridade o avaliou. (declaração)
Títulos de cargo e cabeçalhos de coluna, com amostras mascaradas de cada coluna, são processados por um modelo hospedado nos Estados Unidos quando a classificação por IA está ligada (no piloto está desligada); os valores de remuneração não são. (verificado por teste) Testes: packages/import/src/profile.test.ts, apps/workspace/lib/ai/completer.test.ts, apps/workspace/lib/ai/intake.test.ts

Regras de publicação

Escada de exibição de uma célula
Nível	O que aparece	Pessoas mínimas	Empresas mínimas (conjunto inteiro)	Empresas mínimas (com filtro de estágio ou porte)
0	célula bloqueada	menos que o nível 1	abaixo dos mínimos	abaixo dos mínimos
1	mediana	6	5	7
2	mediana e quartis P25 e P75	12	5	7
3	percentis P10, P25, P50, P75 e P90	15	5	7

Peso máximo de uma empresa em uma célula
Situação	Peso máximo de uma empresa
Sem filtro	25%
Com filtro de estágio ou porte	20%

Modelo de escala de liderança
Regra	Mínimo
Empresas para ajustar o modelo	25
Empresas em um estágio	7
Empresas em uma função	5
Participantes em cada par de estágio e porte	5

Prevalência de benefícios e políticas
Regra	Valor
Empresas respondendo (conjunto inteiro)	5
Empresas respondendo (com filtro)	7
Passo dos percentuais, em pontos	5
Empresas respondendo a partir das quais 0% e 100% podem aparecer	10
Maior resto bloqueado tratado como recuperável (empresas)	6

Nenhum número é publicado com menos de 5 empresas no conjunto inteiro, nem com menos de 7 empresas quando se aplica um filtro de estágio ou de porte. (verificado por teste) Testes: packages/edition/src/cells.test.ts, packages/edition/src/disclosure/ladder.property.test.ts
A mediana exige 6 pessoas, os quartis P25 e P75 exigem 12 e os percentis P10 e P90 exigem 15. (verificado por teste) Testes: packages/edition/src/disclosure/ladder.property.test.ts
Nenhuma empresa pesa mais de 25% de uma célula sem filtro nem mais de 20% de uma célula com filtro. (verificado por teste) Testes: packages/edition/src/disclosure/ladder.property.test.ts, packages/edition/src/cells.test.ts
Nas células de remuneração, só quantis são publicados, com no máximo três algarismos significativos. (verificado por teste) Testes: packages/edition/src/cells.test.ts, packages/edition/src/disclosure/ladder.property.test.ts
Contagens de empresas e de pessoas aparecem apenas em faixas. (verificado por teste) Testes: packages/edition/src/cells.test.ts, packages/edition/src/disclosure/ladder.property.test.ts
Cada linha vale por 12 meses a partir do seu mês de referência, e cada número publicado mostra a idade do dado em meses. (verificado por teste) Testes: packages/edition/src/freshness.test.ts, packages/db/src/edition-schema.test.ts
Uma célula já publicada é mantida de uma edição para a seguinte somente enquanto todas estas condições valem: a célula anterior estava publicada; menos de 3 empresas mudaram (entraram, saíram ou alteraram suas linhas) desde o conjunto que a gerou; nenhuma linha que contribuiu tem 12 meses ou mais; nenhuma empresa que contribuiu foi encerrada ou bloqueada; e o novo cálculo continua publicado e com nível igual ou maior. Se qualquer uma falha, a célula é recalculada. (verificado por teste) Testes: packages/edition/src/freshness.test.ts
O modelo de escala só é ajustado com 25 empresas ou mais; um estágio precisa de 7 empresas, uma função de 5 e cada par de estágio e porte de 5 participantes. (verificado por teste) Testes: packages/edition/src/scope.test.ts
Um percentual de benefício só é publicado quando 5 empresas respondem (7 com filtro), em múltiplos de 5 pontos. (verificado por teste) Testes: packages/edition/src/prevalence.test.ts
Em um grupo com menos de 10 empresas respondendo, nenhum percentual de 0% ou de 100% é publicado. (verificado por teste) Testes: packages/edition/src/prevalence.test.ts
Em um grupo com menos de 10 empresas respondendo, se uma opção de um conjunto exaustivo de respostas é bloqueada por mostrar 0% ou 100%, todas as opções desse conjunto são bloqueadas nesse mesmo grupo. (verificado por teste) Testes: packages/edition/src/prevalence.test.ts
Nenhum resto bloqueado de 1 a 6 empresas fica recuperável por subtração: o grupo publicado vizinho também é bloqueado. (verificado por teste) Testes: packages/edition/src/prevalence.test.ts
Cada seção do relatório só abre para a empresa que enviou o bloco correspondente (benefícios, liderança, censo completo ou censo de uma família), com mês de referência no máximo 6 meses antes do mês de referência da edição; um bloco ausente ou desatualizado fecha a seção no servidor. (verificado por teste) Testes: apps/workspace/lib/handlers/edition.test.ts
Um membro convidado com o teto de remuneração executiva não recebe resultados de liderança nem a escala (relatório e PDF) e não vê os resumos de envio do bloco de liderança; o teto é definido no convite, vale também para uma segunda passkey do mesmo membro e a aplicação não consegue alterá-lo depois, nem no membro nem no convite ainda não usado. O teto esconde o estudo de liderança e a escala; os níveis M5 e acima do censo continuam legíveis para quem tem o bloco de censo correspondente. (verificado por teste) Testes: apps/workspace/lib/handlers/edition.test.ts, apps/workspace/lib/handlers/invites.test.ts, packages/db/src/workspace-rls.test.ts
O bloco de censo completo abre todo o censo, isto é, todas as famílias e a linha de nível inteiro, mas não abre liderança nem benefícios. (verificado por teste) Testes: apps/workspace/lib/handlers/edition.test.ts
Estas regras nunca são mais rígidas do que a regra do Comp, de 7 empresas e 15 pessoas. (verificado por teste) Testes: packages/edition/src/disclosure/ladder.property.test.ts

Quem guarda o quê

A mesa guarda a lista de quem participa e assina os tickets de entrada; ela não recebe dados de remuneração nem linhas de remuneração. (verificado por teste) Testes: packages/db/src/desk-schema.test.ts, apps/desk/lib/handlers/claim.test.ts
O plano de dados guarda as linhas seladas e os resultados sob o apelido de cada empresa; ele não guarda o nome da empresa. (verificado por teste) Testes: packages/db/src/workspace-content.test.ts, packages/db/src/workspace-rls.test.ts
O plano de dados verifica o ticket apenas com chaves públicas da mesa e aceita somente o ticket assinado no mês corrente ou no mês anterior. (verificado por teste) Testes: packages/ticket/src/ticket.test.ts, packages/ticket/src/epoch.test.ts
Nenhuma coluna ou chave de nenhum dos dois bancos liga um ticket emitido pela mesa a um espaço de trabalho do plano de dados; a época da chave e a ordem de inserção, porém, ainda permitem estreitar a correspondência, sobretudo quando poucas empresas entram na mesma época, a quem controla os dois bancos e os registros. (declaração)
O plano de dados não guarda data, hora nem intervalo em nenhuma tabela de espaço de trabalho ou de edição; os meses são texto no formato AAAA-MM. (verificado por teste) Testes: packages/db/src/workspace-rls.test.ts
Toda tabela do plano de dados tem segurança por linha ativada e forçada. (verificado por teste) Testes: packages/db/src/workspace-rls.test.ts
Cada papel de acesso do plano de dados lê apenas o que lhe cabe. (verificado por teste) Testes: packages/db/src/workspace-rls.test.ts, packages/db/src/edition-schema.test.ts
O papel que serve os participantes lê da edição ao vivo apenas as células e os percentuais publicados (além da linha de estado da escala e do manifesto); uma célula bloqueada não existe para ele, e o relatório é idêntico com ou sem essas linhas. (verificado por teste) Testes: packages/db/src/edition-schema.test.ts, packages/edition/src/live.test.ts, apps/workspace/lib/handlers/edition-published-only.test.ts, packages/report/src/model.test.ts
O plano de dados não registra endereço IP de cliente em nenhum log de borda. (declaração)
Muralha da China: a equipe da pesquisa é separada da área de buscas e recrutamento da Ella e os dados dos participantes não são usados para recrutar; é uma regra interna da Ella e não uma barreira técnica, e quem controla os bancos e os registros da mesa e do plano de dados pode, sobretudo quando poucas empresas entram na mesma época, estreitar a correspondência entre uma empresa e o seu apelido (ver os limites conhecidos). (declaração)
Nenhuma pessoa lê o banco de produção sem um acesso excepcional registrado. (previsto)
A mesa é operada pela Ella. (declaração)
A região de hospedagem é southamerica-east1 (São Paulo). (declaração)
Toda rota de escrita (POST/PUT/PATCH/DELETE) na mesa, no espaço de trabalho e no console confere a origem do pedido antes de ler o corpo; um pedido que o navegador identifica como vindo de outra origem recebe 403 e não altera nada. (verificado por teste) Testes: packages/auth/src/request.test.ts, apps/workspace/lib/request-hardening.test.ts, apps/console/lib/request-hardening.test.ts, apps/desk/lib/request-hardening.test.ts
Os três serviços proíbem em cada resposta o enquadramento em outro site, a adivinhação de tipo e o envio de referenciador, e não deixam guardar em cache as respostas da API; cada página leva uma política de segurança de conteúdo com um valor novo a cada pedido, e a página só executa scripts que carregam esse valor ou que esses scripts carregam. (verificado por teste) Testes: packages/auth/src/headers.test.ts, apps/workspace/next.config.test.ts, apps/console/next.config.test.ts, apps/desk/next.config.test.ts, apps/workspace/proxy.test.ts, apps/console/proxy.test.ts, apps/desk/proxy.test.ts, tools/lint/csp-wiring.test.ts
Quando o endereço configurado de um serviço é https, a versão de produção ordena que o navegador use apenas https por dois anos, inclusive nos subdomínios desse endereço, e a construção da versão de produção falha se esse endereço não for https. (verificado por teste) Testes: packages/auth/src/headers.test.ts, apps/workspace/next.config.test.ts, apps/console/next.config.test.ts, apps/desk/next.config.test.ts
Os cookies de sessão, de etapa e de desafio dos três serviços levam o prefixo __Host- (só valem com Secure, no caminho / e sem Domain), e um pedido que traz dois cookies com o mesmo nome é tratado como pedido sem sessão. (verificado por teste) Testes: packages/auth/src/cookies.test.ts, apps/workspace/lib/host-cookies.test.ts, apps/console/lib/host-cookies.test.ts, apps/desk/lib/host-cookies.test.ts
Sair encerra todas as sessões abertas com a mesma chave de acesso; sessões abertas com outra chave de acesso do mesmo membro continuam até expirar (12 horas). O administrador pode remover uma chave de acesso do espaço de trabalho (encerrando imediatamente as sessões abertas com ela e recusando novos acessos), desde que permaneça ao menos uma chave de acesso ativa de administrador. (verificado por teste) Testes: apps/workspace/lib/handlers/passkeys.test.ts, packages/db/src/workspace-rls.test.ts, apps/console/lib/auth.test.ts, apps/desk/lib/handlers/admin-auth.test.ts
No console de análise, qualquer analista ativo pode validar envios e auditar títulos, mas apenas o papel de liderança pode aprovar e publicar ou rejeitar uma edição. (verificado por teste) Testes: apps/console/lib/handlers/editions.test.ts, apps/console/lib/authz-matrix.test.ts
Em ensaio com valores-isca (um valor de remuneração, um CPF, um e-mail, um nome de empresa, endereços IP, um token e um cookie) enviados a todas as rotas dos três serviços por todos os perfis de acesso, inclusive com pedidos recusados, com corpo inválido e com o banco de dados falhando, nada que as rotas escrevem no console, na saída padrão ou na saída de erro contém um valor-isca, um endereço IP, uma hora do dia ou o valor de um cabeçalho ou de um cookie; uma falha inesperada dentro do tratamento de uma rota gera um único registro com o nome da rota e o tipo do erro, sem mensagem nem pilha. Uma falha ao carregar a configuração do serviço é impressa pelo próprio framework, não traz dados de nenhum pedido e cita nomes de variáveis de configuração, nunca os valores delas. O que o framework imprime além disso, fora das rotas, não é coberto por este ensaio. (verificado por teste) Testes: apps/workspace/lib/log-denylist.test.ts, apps/console/lib/log-denylist.test.ts, apps/desk/lib/log-denylist.test.ts, tools/security/log-sink.test.ts, tools/security/safe-routes.test.ts, packages/auth/src/safe.test.ts, apps/workspace/lib/config-canary.test.ts, apps/console/lib/config-canary.test.ts, apps/desk/lib/config-canary.test.ts

Kit de aprovação

Minuta para revisão jurídica

Esboço de contrato de tratamento de dados

Estado desta minuta

Esta minuta ainda não passou por revisão jurídica por advogado habilitado; uma análise interna de 14 de outubro de 2026 indicou as alterações exigidas, e nenhum dado real é enviado antes da revisão. (declaração)

Partes

Partes: [Nome da empresa], controladora dos dados pessoais de seus empregados e responsável pela decisão de compartilhá-los com a pesquisa, e [Nome da Ella], controladora independente do tratamento feito na pesquisa a partir do recebimento das linhas; nenhuma das duas atua como operadora da outra, e as responsabilidades de cada uma estão distribuídas neste contrato. (declaração)

Finalidade

Finalidade: a [Nome da Ella] trata as linhas recebidas exclusivamente para validar e auditar os envios e para produzir e publicar estatísticas de remuneração agregadas sob as regras desta página; não as usa para nenhuma outra finalidade e não as cede a terceiros além dos operadores listados abaixo. (declaração)
A [Nome da Ella] assume por contrato que nenhum dado de participante é usado para recrutar, para buscas de executivos ou para qualquer serviço fora da pesquisa, e que a equipe da pesquisa é separada da área de buscas por regra interna, sem barreira técnica; a empresa pode encerrar o espaço de trabalho a qualquer momento se discordar. (declaração)

Base legal

Base legal: o compartilhamento pela [Nome da empresa] e o tratamento pela [Nome da Ella] apoiam-se no legítimo interesse (art. 7º, IX, da LGPD), documentado em teste de balanceamento que cada parte mantém e entrega à outra mediante pedido; nenhum dado pessoal sensível é tratado e não se pede consentimento aos empregados. (declaração)

Obrigações da empresa

Obrigações da [Nome da empresa]: entregar aos seus empregados, antes do primeiro envio, um aviso com o conteúdo do modelo desta página; manter o seu teste de balanceamento; enviar apenas os campos da lista permitida, apenas dados próprios e nenhuma linha de empregado menor de 18 anos; guardar a chave do hash do CPF, que a [Nome da Ella] não recebe; e responder aos pedidos dos seus empregados sobre estes dados. (declaração)

Categorias de dados

Categorias de dados, exatamente a lista permitida: pseudo_id, family, subfamily, level, track, contract_type, monthly_base, months_paid, variable_target_12m, bonus_paid_12m, plr_paid_12m, commission_paid_12m, role, reports_to_ceo, lti_pct_fully_diluted; o título de cargo, usado na correspondência e apagado na selagem, exceto o de um cargo sênior ainda não auditado, que fica guardado até a auditoria de um analista; por empresa, stage, headcount_band e sector_group. (verificado por teste; o trecho “exceto o de um cargo sênior ainda não auditado, que fica guardado até a auditoria de um analista” é declaração) Testes: packages/standard/src/rows.test.ts, packages/db/src/workspace-content.test.ts, apps/workspace/lib/handlers/submissions.test.ts
Nunca são enviados: nome, CPF, RG, PIS, e-mail, telefone, endereço, data de nascimento, dados bancários, saúde, sindicato, raça, avaliações de desempenho, texto livre, o CNPJ do empregador e os bytes brutos dos arquivos. (verificado por teste) Testes: packages/standard/src/rows.test.ts, packages/db/src/workspace-content.test.ts, packages/import/src/assemble.test.ts
O campo gender não é enviado nesta fase: a empresa pode informá-lo apenas para o Raio-X local, que roda no navegador, e ele só entrará na lista permitida quando a estatística agregada de diferença salarial entre gêneros for publicada, com novo aviso aos empregados. (declaração)

Retenção

Retenção: envios brutos são apagados na selagem; sinalizações de qualidade e recibos ficam 24 meses; hashes de ticket ficam pela época da chave mais uma; linhas seladas e somas mensais de rubrica deixam de contar nas edições 12 meses depois do mês de referência e são apagadas depois de 15 meses (uma linha de exatamente 15 meses é mantida). (verificado por teste) Testes: packages/import/src/assemble.test.ts, apps/workspace/lib/handlers/submissions.test.ts, packages/edition/src/freshness.test.ts, packages/db/src/retention-sealed.test.ts, packages/db/src/retention.test.ts
Cópias de segurança automáticas do banco, com 30 cópias automáticas retidas e recuperação a um ponto no tempo de 7 dias, estão configuradas; a [Nome da Ella] se compromete a executar e registrar uma restauração de teste ao menos uma vez por ano; nenhuma restauração foi feita ainda. (declaração)
Vigência: o contrato vale enquanto o espaço de trabalho existir; a empresa o encerra a qualquer momento em /retire; o encerramento tira as linhas do conjunto de imediato, as linhas seladas de um espaço encerrado são apagadas na execução mensal seguinte da retenção, as demais em até 15 meses do seu mês de referência, e as cópias de segurança automáticas (30 retidas) expiram com a rotação; as edições já publicadas não são refeitas. (declaração)

Operadores contratados pela Ella e transferência internacional

Operadores contratados pela [Nome da Ella]: Google Cloud (execução, banco de dados gerenciado, registros, chaves e segredos), com os dados na região de São Paulo e sob contrato de operador com o Google Cloud; o modelo de linguagem da Anthropic, hospedado nos Estados Unidos, está integrado no código e desativado no piloto, e só é ligado depois de firmadas com esse fornecedor as cláusulas-padrão contratuais da ANPD (Resolução CD/ANPD nº 19/2024) ou outro mecanismo do art. 33 da LGPD, com aviso de 30 dias às empresas participantes, que podem encerrar o espaço de trabalho antes disso. (declaração)
Os registros do sistema (logs) ficam em buckets de registros do Google Cloud cuja localização não está fixada na região de São Paulo, exceto o bucket de auditoria do plano de dados; os registros do plano de dados não trazem identidade nem apelido de participante, e os da mesa trazem o endereço de rede e a hora de quem a acessa. (declaração)
Títulos de cargo e cabeçalhos de coluna, com amostras mascaradas de cada coluna, são processados por um modelo hospedado nos Estados Unidos quando a classificação por IA está ligada (no piloto está desligada); os valores de remuneração não são. (verificado por teste) Testes: packages/import/src/profile.test.ts, apps/workspace/lib/ai/completer.test.ts, apps/workspace/lib/ai/intake.test.ts

Medidas de segurança

Toda tabela do plano de dados tem segurança por linha ativada e forçada. (verificado por teste) Testes: packages/db/src/workspace-rls.test.ts
Cada papel de acesso do plano de dados lê apenas o que lhe cabe. (verificado por teste) Testes: packages/db/src/workspace-rls.test.ts, packages/db/src/edition-schema.test.ts
O plano de dados não guarda data, hora nem intervalo em nenhuma tabela de espaço de trabalho ou de edição; os meses são texto no formato AAAA-MM. (verificado por teste) Testes: packages/db/src/workspace-rls.test.ts
O plano de dados verifica o ticket apenas com chaves públicas da mesa e aceita somente o ticket assinado no mês corrente ou no mês anterior. (verificado por teste) Testes: packages/ticket/src/ticket.test.ts, packages/ticket/src/epoch.test.ts
Nenhum número é publicado com menos de 5 empresas no conjunto inteiro, nem com menos de 7 empresas quando se aplica um filtro de estágio ou de porte. (verificado por teste) Testes: packages/edition/src/cells.test.ts, packages/edition/src/disclosure/ladder.property.test.ts
Nenhuma empresa pesa mais de 25% de uma célula sem filtro nem mais de 20% de uma célula com filtro. (verificado por teste) Testes: packages/edition/src/disclosure/ladder.property.test.ts, packages/edition/src/cells.test.ts
Cada edição vem com um manifesto assinado com Ed25519, que cobre os resumos das células publicadas, dos percentuais publicados e do modelo de escala, e um compromisso com sal sobre as células e os percentuais bloqueados e outro, com o mesmo sal, sobre as empresas desligadas na data da edição; o sal fica fora do alcance de quem participa, de modo que o papel de participante não consegue ler nem testar quais células estão bloqueadas; as contagens do manifesto continuam (ver a ressalva sobre o manifesto). (verificado por teste) Testes: packages/edition/src/manifest.test.ts, packages/edition/src/locked-commitment.test.ts, packages/db/src/edition-schema.test.ts
A chave que assina as edições fica no serviço de chaves (KMS) do Google Cloud, com proteção de software e não de hardware, porque o KMS não oferece esse algoritmo em hardware; a chave pública continua indicada nesta página, com o identificador da chave. (declaração)

Incidentes de segurança

Incidentes: cada parte comunica à ANPD e aos titulares os incidentes de segurança do seu próprio tratamento, nos termos do art. 48 da LGPD e da Resolução CD/ANPD nº 15/2024; a [Nome da Ella] avisa a [Nome da empresa], pelo canal registrado na mesa, em até 2 dias úteis depois de saber de um incidente que possa atingir as linhas desse espaço de trabalho, com o que souber sobre natureza, dados atingidos e medidas tomadas, e mantém registro de todo incidente por 5 anos. (declaração)

Confidencialidade

Confidencialidade: a [Nome da Ella] trata as linhas e os títulos de cargo como informação confidencial da empresa, acessível, no uso normal do serviço, apenas aos analistas da pesquisa, sob apelido e com valores em faixas; um operador nomeado da [Nome da Ella] pode contornar esse controle, como esta página declara; a [Nome da Ella] não entrega a nenhum terceiro, inclusive a outras participantes, dado algum de uma empresa individual, e só divulga o nome de uma participante com autorização dela. (declaração)

Evidência e auditoria

Evidência: a empresa verifica cada edição pelo manifesto assinado e pelas regras publicadas nesta página; mediante pedido, uma vez por ano, a [Nome da Ella] entrega um resumo do registro de acessos do console, sem hora do dia, e a versão vigente do seu relatório de impacto à proteção de dados. (declaração)

Direitos dos titulares e exclusão

Pedidos de titulares: a [Nome da empresa] recebe e responde aos pedidos de seus empregados (arts. 18 e 19 da LGPD); como a [Nome da Ella] não recebe nome nem CPF e trata as linhas sob apelido, a correção ou a exclusão de uma linha é feita pela empresa, que reenvia o bloco sem ela ou encerra o espaço de trabalho, e a [Nome da Ella] responde em até 15 dias ao que a empresa lhe pedir para cumprir um pedido de titular. (declaração)
O administrador pode encerrar o espaço de trabalho por dentro, em /retire, ou com um código de recuperação; depois disso o login é recusado. (verificado por teste) Testes: apps/workspace/lib/handlers/recover-retire.test.ts
O encerramento tira as linhas do espaço de trabalho do conjunto de imediato; as edições já publicadas não são refeitas. (verificado por teste) Testes: packages/edition/src/build.test.ts, packages/db/src/retention-sealed.test.ts, packages/db/src/edition-schema.test.ts
Os títulos de cargo ainda não confirmados são apagados quando um envio é rejeitado ou quando o espaço de trabalho é encerrado. (verificado por teste) Testes: apps/workspace/lib/handlers/submissions.test.ts

Responsabilidade

Responsabilidade: perante os titulares, cada controladora responde pelos danos do tratamento em que estiver diretamente envolvida, de forma solidária quando a lei assim determina (art. 42, § 1º, II, da LGPD); entre si, cada parte responde pelos danos que causar no seu próprio tratamento, e limites de indenização, lei aplicável e foro são fixados no contrato assinado, não nesta página. (declaração)

Concorrência

Concorrência: a empresa envia apenas dados próprios e já praticados, nunca planos de reajuste, orçamentos ou intenções de contratação; não usa a pesquisa para combinar salários, benefícios ou contratações com outras empresas nem tenta identificar os dados de outra participante; a [Nome da Ella] publica só estatísticas agregadas sob as regras desta página e nunca entrega a uma participante dados de outra. (declaração)
Abertura: qualquer empresa com CNPJ válido pode participar depois da verificação da mesa (conferência do CNPJ, assinatura do representante legal no termo de participação e um único espaço de trabalho por grupo econômico); a [Nome da Ella] não seleciona nem exclui participantes por serem concorrentes de outra e só recusa por falha nessa verificação, duplicidade de grupo econômico, descumprimento deste contrato ou limite de capacidade divulgado nesta página, aplicado por ordem de verificação e nunca por escolha de concorrente. (declaração)

Minuta para revisão jurídica

Respostas de segurança para compras

Onde os dados ficam hospedados?

O plano de dados guarda as linhas seladas e os resultados sob o apelido de cada empresa; ele não guarda o nome da empresa. (verificado por teste) Testes: packages/db/src/workspace-content.test.ts, packages/db/src/workspace-rls.test.ts
A região de hospedagem é southamerica-east1 (São Paulo). (declaração)
Os registros do sistema (logs) ficam em buckets de registros do Google Cloud cuja localização não está fixada na região de São Paulo, exceto o bucket de auditoria do plano de dados; os registros do plano de dados não trazem identidade nem apelido de participante, e os da mesa trazem o endereço de rede e a hora de quem a acessa. (declaração)

Quem pode ler os dados de produção?

Toda tabela do plano de dados tem segurança por linha ativada e forçada. (verificado por teste) Testes: packages/db/src/workspace-rls.test.ts
Cada papel de acesso do plano de dados lê apenas o que lhe cabe. (verificado por teste) Testes: packages/db/src/workspace-rls.test.ts, packages/db/src/edition-schema.test.ts
Nenhuma pessoa tem acesso rotineiro ao banco de produção; a concessão de um acesso excepcional fica registrada nos logs de auditoria, as consultas feitas com ele não são registradas no banco, e nada técnico impede o proprietário do projeto de conceder a si mesmo esse acesso. (declaração)

Que dados saem do navegador?

Nomes, CPF e outros identificadores diretos nunca saem do navegador; são enviados um hash com chave do CPF (a chave fica com o participante e, se ele a der, com o contador que envia arquivos por ele) e os títulos de cargo, e os títulos são apagados na selagem, exceto o de um cargo sênior ainda não auditado, que fica guardado até a auditoria de um analista. (verificado por teste; o trecho “a chave fica com o participante e, se ele a der, com o contador que envia arquivos por ele” é declaração; o trecho “exceto o de um cargo sênior ainda não auditado, que fica guardado até a auditoria de um analista” é declaração) Testes: packages/standard/src/rows.test.ts, packages/standard/src/receipt.test.ts, packages/import/src/assemble.test.ts, packages/db/src/workspace-content.test.ts, apps/workspace/lib/handlers/submissions.test.ts
Nunca são enviados: nome, CPF, RG, PIS, e-mail, telefone, endereço, data de nascimento, dados bancários, saúde, sindicato, raça, avaliações de desempenho, texto livre, o CNPJ do empregador e os bytes brutos dos arquivos. (verificado por teste) Testes: packages/standard/src/rows.test.ts, packages/db/src/workspace-content.test.ts, packages/import/src/assemble.test.ts

Como os identificadores diretos são protegidos?

O código pseudo_id é um hash do CPF com uma chave que fica com a empresa (e com o contador, se a empresa lhe der a chave de envio); a Ella não consegue voltar do código ao CPF. (verificado por teste) Testes: packages/standard/src/pseudo.test.ts, apps/workspace/lib/kit.test.ts, apps/workspace/lib/handlers/upload-keys.test.ts

Os acessos são registrados?

A Ella sabe quem participa e mantém a equipe da pesquisa separada da área de buscas e recrutamento por uma regra interna chamada muralha da China, sem nenhuma barreira técnica entre elas; nenhum dado de participante é usado para recrutar, os revisores veem valores apenas em faixas e todo acesso ao console é registrado. (verificado por teste; o trecho “A Ella sabe quem participa e mantém a equipe da pesquisa separada da área de buscas e recrutamento por uma regra interna chamada muralha da China, sem nenhuma barreira técnica entre elas; nenhum dado de participante é usado para recrutar” é declaração) Testes: apps/console/lib/route-logging.test.ts, apps/console/lib/access-log.test.ts, apps/console/lib/handlers/queues.test.ts, packages/db/src/edition-schema.test.ts, packages/db/src/workspace-rls.test.ts
Um operador nomeado poderia contornar os controles, e todo acesso é registrado. (declaração; o trecho “todo acesso é registrado” é previsto)

Há endereço IP ou horário nos registros?

O plano de dados não guarda data, hora nem intervalo em nenhuma tabela de espaço de trabalho ou de edição; os meses são texto no formato AAAA-MM. (verificado por teste) Testes: packages/db/src/workspace-rls.test.ts
O plano de dados não registra endereço IP de cliente em nenhum log de borda. (declaração)

Quem opera o serviço e quem pode, tecnicamente, ligar a empresa ao apelido?

A mesa é operada pela Ella. (declaração)
Nenhuma coluna ou chave de nenhum dos dois bancos liga um ticket emitido pela mesa a um espaço de trabalho do plano de dados; a época da chave e a ordem de inserção, porém, ainda permitem estreitar a correspondência, sobretudo quando poucas empresas entram na mesma época, a quem controla os dois bancos e os registros. (declaração)
Muralha da China: a equipe da pesquisa é separada da área de buscas e recrutamento da Ella e os dados dos participantes não são usados para recrutar; é uma regra interna da Ella e não uma barreira técnica, e quem controla os bancos e os registros da mesa e do plano de dados pode, sobretudo quando poucas empresas entram na mesma época, estreitar a correspondência entre uma empresa e o seu apelido (ver os limites conhecidos). (declaração)

Como as estatísticas evitam identificar uma empresa?

Nenhum número é publicado com menos de 5 empresas no conjunto inteiro, nem com menos de 7 empresas quando se aplica um filtro de estágio ou de porte. (verificado por teste) Testes: packages/edition/src/cells.test.ts, packages/edition/src/disclosure/ladder.property.test.ts
A mediana exige 6 pessoas, os quartis P25 e P75 exigem 12 e os percentis P10 e P90 exigem 15. (verificado por teste) Testes: packages/edition/src/disclosure/ladder.property.test.ts
Nenhuma empresa pesa mais de 25% de uma célula sem filtro nem mais de 20% de uma célula com filtro. (verificado por teste) Testes: packages/edition/src/disclosure/ladder.property.test.ts, packages/edition/src/cells.test.ts
Contagens de empresas e de pessoas aparecem apenas em faixas. (verificado por teste) Testes: packages/edition/src/cells.test.ts, packages/edition/src/disclosure/ladder.property.test.ts

Como se verifica uma edição publicada?

Cada edição vem com um manifesto assinado com Ed25519, que cobre os resumos das células publicadas, dos percentuais publicados e do modelo de escala, e um compromisso com sal sobre as células e os percentuais bloqueados e outro, com o mesmo sal, sobre as empresas desligadas na data da edição; o sal fica fora do alcance de quem participa, de modo que o papel de participante não consegue ler nem testar quais células estão bloqueadas; as contagens do manifesto continuam (ver a ressalva sobre o manifesto). (verificado por teste) Testes: packages/edition/src/manifest.test.ts, packages/edition/src/locked-commitment.test.ts, packages/db/src/edition-schema.test.ts
A chave que assina as edições fica no serviço de chaves (KMS) do Google Cloud, com proteção de software e não de hardware, porque o KMS não oferece esse algoritmo em hardware; a chave pública continua indicada nesta página, com o identificador da chave. (declaração)

Um modelo de inteligência artificial vê os dados?

Títulos de cargo e cabeçalhos de coluna, com amostras mascaradas de cada coluna, são processados por um modelo hospedado nos Estados Unidos quando a classificação por IA está ligada (no piloto está desligada); os valores de remuneração não são. (verificado por teste) Testes: packages/import/src/profile.test.ts, apps/workspace/lib/ai/completer.test.ts, apps/workspace/lib/ai/intake.test.ts
Operadores contratados pela [Nome da Ella]: Google Cloud (execução, banco de dados gerenciado, registros, chaves e segredos), com os dados na região de São Paulo e sob contrato de operador com o Google Cloud; o modelo de linguagem da Anthropic, hospedado nos Estados Unidos, está integrado no código e desativado no piloto, e só é ligado depois de firmadas com esse fornecedor as cláusulas-padrão contratuais da ANPD (Resolução CD/ANPD nº 19/2024) ou outro mecanismo do art. 33 da LGPD, com aviso de 30 dias às empresas participantes, que podem encerrar o espaço de trabalho antes disso. (declaração)

Como a empresa sai e por quanto tempo os dados ficam?

O administrador pode encerrar o espaço de trabalho por dentro, em /retire, ou com um código de recuperação; depois disso o login é recusado. (verificado por teste) Testes: apps/workspace/lib/handlers/recover-retire.test.ts
O encerramento tira as linhas do espaço de trabalho do conjunto de imediato; as edições já publicadas não são refeitas. (verificado por teste) Testes: packages/edition/src/build.test.ts, packages/db/src/retention-sealed.test.ts, packages/db/src/edition-schema.test.ts
Cada linha vale por 12 meses a partir do seu mês de referência, e cada número publicado mostra a idade do dado em meses. (verificado por teste) Testes: packages/edition/src/freshness.test.ts, packages/db/src/edition-schema.test.ts

Como incidentes de segurança são comunicados?

Incidentes: cada parte comunica à ANPD e aos titulares os incidentes de segurança do seu próprio tratamento, nos termos do art. 48 da LGPD e da Resolução CD/ANPD nº 15/2024; a [Nome da Ella] avisa a [Nome da empresa], pelo canal registrado na mesa, em até 2 dias úteis depois de saber de um incidente que possa atingir as linhas desse espaço de trabalho, com o que souber sobre natureza, dados atingidos e medidas tomadas, e mantém registro de todo incidente por 5 anos. (declaração)

Quem é o encarregado de dados da Ella e como contatá-lo?

O encarregado pelo tratamento de dados pessoais da Ella é Deli Matsuo; contato: dpo@ellaexecutivesearch.com. (declaração)

A solução foi aprovada por algum órgão ou examinada por advogados?

O CADE não aprovou nem examinou o desenho, e a Ella não lhe formulou consulta; o desenho adota salvaguardas que o CADE já apontou em guias e decisões (dados agregados, defasados no tempo, sem planos futuros, mínimo de empresas por número), mas nenhuma autoridade o avaliou. (declaração)
Esta minuta ainda não passou por revisão jurídica por advogado habilitado; uma análise interna de 14 de outubro de 2026 indicou as alterações exigidas, e nenhum dado real é enviado antes da revisão. (declaração)

Minuta para revisão jurídica

Modelo de aviso aos empregados

Estado desta minuta

Esta minuta ainda não passou por revisão jurídica por advogado habilitado; uma análise interna de 14 de outubro de 2026 indicou as alterações exigidas, e nenhum dado real é enviado antes da revisão. (declaração)

Quem participa

A [Nome da empresa] participa de uma pesquisa de remuneração comparativa conduzida pela [Nome da Ella]; a [Nome da empresa] é a controladora dos seus dados e decide o que envia, e a [Nome da Ella] é a controladora independente do que recebe. (declaração)

Para que serve

Para que serve: a empresa compara a sua remuneração com o mercado para definir salários e benefícios, e a [Nome da Ella] produz estatísticas agregadas de mercado; a pesquisa não toma nem apoia decisões automatizadas sobre você. (declaração)
Base legal: legítimo interesse da empresa e da pesquisa (art. 7º, IX, da LGPD), com os dados reduzidos ao mínimo; não se pede o seu consentimento, e você pode se opor ao tratamento se entender que ele descumpre a LGPD, pelo canal indicado em Contato. (declaração)

O que é enviado

O que pode ser enviado, por pessoa: pseudo_id, family, subfamily, level, track, contract_type, monthly_base, months_paid, variable_target_12m, bonus_paid_12m, plr_paid_12m, commission_paid_12m, role, reports_to_ceo, lti_pct_fully_diluted. (verificado por teste) Testes: packages/standard/src/rows.test.ts, packages/db/src/workspace-content.test.ts
O código pseudo_id é um hash do CPF com uma chave que fica com a empresa (e com o contador, se a empresa lhe der a chave de envio); a Ella não consegue voltar do código ao CPF. (verificado por teste) Testes: packages/standard/src/pseudo.test.ts, apps/workspace/lib/kit.test.ts, apps/workspace/lib/handlers/upload-keys.test.ts
Títulos de cargo e cabeçalhos de coluna, com amostras mascaradas de cada coluna, são processados por um modelo hospedado nos Estados Unidos quando a classificação por IA está ligada (no piloto está desligada); os valores de remuneração não são. (verificado por teste) Testes: packages/import/src/profile.test.ts, apps/workspace/lib/ai/completer.test.ts, apps/workspace/lib/ai/intake.test.ts

O que não é enviado

O que não é enviado: nome, CPF, RG, PIS, e-mail, telefone, endereço, data de nascimento, dados bancários, saúde, sindicato, raça e avaliações de desempenho. (verificado por teste) Testes: packages/standard/src/rows.test.ts, packages/db/src/workspace-content.test.ts
O texto do título do seu cargo é usado para encaixá-lo na arquitetura de cargos e é apagado na selagem (um hash com chave do título fica na memória de correspondências do espaço de trabalho), exceto o de um cargo sênior ainda não auditado, que fica guardado até a auditoria de um analista. (verificado por teste; o trecho “exceto o de um cargo sênior ainda não auditado, que fica guardado até a auditoria de um analista” é declaração) Testes: packages/import/src/assemble.test.ts, apps/workspace/lib/handlers/submissions.test.ts
O campo gender não é enviado nesta fase: a empresa pode informá-lo apenas para o Raio-X local, que roda no navegador, e ele só entrará na lista permitida quando a estatística agregada de diferença salarial entre gêneros for publicada, com novo aviso aos empregados. (declaração)

Onde ficam os dados

O plano de dados guarda as linhas seladas e os resultados sob o apelido de cada empresa; ele não guarda o nome da empresa. (verificado por teste) Testes: packages/db/src/workspace-content.test.ts, packages/db/src/workspace-rls.test.ts
A região de hospedagem é southamerica-east1 (São Paulo). (declaração)
Nenhum nome de pessoa é enviado nem publicado; os resultados saem apenas agregados. (declaração)

Por quanto tempo

Por quanto tempo: cada linha deixa de contar nas estatísticas 12 meses depois do seu mês de referência e é apagada em até 15 meses; a empresa pode encerrar a participação a qualquer momento, e as edições já publicadas não são refeitas. (declaração)

Como os resultados aparecem

Nenhum número é publicado com menos de 5 empresas no conjunto inteiro, nem com menos de 7 empresas quando se aplica um filtro de estágio ou de porte. (verificado por teste) Testes: packages/edition/src/cells.test.ts, packages/edition/src/disclosure/ladder.property.test.ts
Contagens de empresas e de pessoas aparecem apenas em faixas. (verificado por teste) Testes: packages/edition/src/cells.test.ts, packages/edition/src/disclosure/ladder.property.test.ts

Seus direitos

Seus direitos (art. 18 da LGPD): confirmar que seus dados foram enviados, acessá-los, corrigi-los, pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, pedir a portabilidade, saber com quem foram compartilhados e opor-se ao tratamento se entender que ele descumpre a LGPD; o pedido é gratuito, vai ao canal indicado em Contato, e você também pode peticionar à ANPD. (declaração)

Contato

Contato: dúvidas e pedidos vão ao encarregado de dados da [Nome da empresa], cujo contato está no aviso de privacidade da empresa, ou ao seu departamento de pessoas; a empresa os atende e, quando precisa, aciona a [Nome da Ella], que não recebe o seu nome nem o seu CPF. (declaração)

Recibo

Antes e depois de cada envio, o navegador mostra um recibo com os campos enviados e o número de linhas. (verificado por teste) Testes: apps/workspace/lib/import/flow.test.ts, packages/standard/src/receipt.test.ts
Os recibos dos envios ficam em /submissions, com o número de linhas, a lista de campos e o resumo (hash) de cada envio. (verificado por teste) Testes: apps/workspace/lib/handlers/submissions.test.ts, packages/standard/src/receipt.test.ts

Apagar

O administrador pode encerrar o espaço de trabalho por dentro, em /retire, ou com um código de recuperação; depois disso o login é recusado. (verificado por teste) Testes: apps/workspace/lib/handlers/recover-retire.test.ts
O encerramento tira as linhas do espaço de trabalho do conjunto de imediato; as edições já publicadas não são refeitas. (verificado por teste) Testes: packages/edition/src/build.test.ts, packages/db/src/retention-sealed.test.ts, packages/db/src/edition-schema.test.ts
Os títulos de cargo ainda não confirmados são apagados quando um envio é rejeitado ou quando o espaço de trabalho é encerrado. (verificado por teste) Testes: apps/workspace/lib/handlers/submissions.test.ts
Cada espaço de trabalho recebe oito códigos de recuperação; um código válido abre um novo cadastro de chave de acesso e é consumido. (verificado por teste) Testes: apps/workspace/lib/handlers/redeem.test.ts, apps/workspace/lib/handlers/recover-retire.test.ts
O arquivo do kit de recuperação guarda a chave do hash do CPF; a Ella não recebe essa chave nem consegue recuperá-la, e quem a perde não reproduz os mesmos identificadores pseudônimos. A chave de envio do contador, que só pode enviar arquivos, também carrega a chave do hash. (verificado por teste) Testes: apps/workspace/lib/kit.test.ts, packages/core/src/recovery.test.ts, packages/standard/src/pseudo.test.ts, apps/workspace/lib/handlers/upload-keys.test.ts
Se o ticket se perde, o administrador encerra o espaço de trabalho por dentro, em /retire, quando ainda consegue entrar; a mesa só emite um novo ticket mediante declaração assinada do representante legal de que o espaço de trabalho antigo foi encerrado ou não pode mais ser acessado. Se não foi encerrado, as linhas antigas ficam no conjunto até a regra de 12 meses expirá-las. (declaração)

Verificar uma edição

Cada edição vem com um manifesto assinado com Ed25519, que cobre os resumos das células publicadas, dos percentuais publicados e do modelo de escala, e um compromisso com sal sobre as células e os percentuais bloqueados e outro, com o mesmo sal, sobre as empresas desligadas na data da edição; o sal fica fora do alcance de quem participa, de modo que o papel de participante não consegue ler nem testar quais células estão bloqueadas; as contagens do manifesto continuam (ver a ressalva sobre o manifesto). (verificado por teste) Testes: packages/edition/src/manifest.test.ts, packages/edition/src/locked-commitment.test.ts, packages/db/src/edition-schema.test.ts

Passo 1: com uma sessão aberta, baixe o manifesto em /api/edition/manifest; ele traz o corpo canônico, o hash em hexadecimal, a assinatura em hexadecimal e o identificador da chave. (verificado por teste) Testes: apps/workspace/lib/handlers/edition.test.ts
Passo 2: calcule o SHA-256 do corpo canônico, em UTF-8, e compare com o hash recebido. (verificado por teste) Testes: apps/workspace/lib/handlers/edition.test.ts, packages/edition/src/manifest.test.ts
Passo 3: verifique a assinatura Ed25519 contra a chave pública impressa abaixo e confira que o identificador da chave é o mesmo do manifesto; a assinatura cobre os 32 bytes do hash SHA-256 (o valor decodificado do hexadecimal), não o texto hexadecimal. (verificado por teste) Testes: apps/workspace/lib/handlers/edition.test.ts, packages/edition/src/manifest.test.ts

Chave pública de assinatura

{
  "kty": "OKP",
  "crv": "Ed25519",
  "x": "BmozaXedFgfvIhyzQLr4_kGyz1o7iSrcbx_7i3WC40Y"
}

Identificador da chave: a747904c338a181a

A chave que assina as edições fica no serviço de chaves (KMS) do Google Cloud, com proteção de software e não de hardware, porque o KMS não oferece esse algoritmo em hardware; a chave pública continua indicada nesta página, com o identificador da chave. (declaração)
Se um número armazenado foi alterado depois da assinatura, ou se o manifesto foi alterado e a assinatura não confere com o mesmo identificador de chave, ou se os números não correspondem aos resumos assinados, o relatório recusa a edição inteira e não mostra nenhum número. Uma edição assinada com outra chave é mostrada com o aviso “chave diferente da chave desta edição”: quem participa deve comparar o identificador da chave impresso nesta página com o da auditoria do relatório. (verificado por teste) Testes: apps/workspace/lib/handlers/edition.test.ts

Limites conhecidos

Quando um participante sai (ou suas linhas completam 12 meses) entre duas edições, a célula afetada é recalculada com a diferença de uma empresa; nos testes, 6,7% das linhas ficaram limitadas (20 de 300), contra um limite de regressão de 7,5%. (limite conhecido)
Quando 3 ou mais empresas entram e a grade de escala é reajustada, quem consegue calcular a alavancagem do modelo limita 11,4% das linhas que entraram (45 de 395), contra um limite de 20%; um atacante sem acesso ao modelo limita 2,8% (11 de 395), contra um limite de 6%. (limite conhecido)
Os percentuais de benefícios são recalculados a cada edição e nunca mantidos de uma edição para a seguinte; por isso a saída de um participante pode deslocá-los. (limite conhecido)
O teste do canário é uma proteção contra regressões, não uma garantia de privacidade; ele cobre ataques escolhidos de antemão e não prova segurança contra os que não contém. (limite conhecido)
Um espaço de trabalho perdido continua no conjunto até que a regra de 12 meses expire as suas linhas. (limite conhecido)
Quando poucas empresas resgatam tickets na mesma época de chave, a época ainda estreita a correspondência entre uma empresa e o seu apelido. (limite conhecido)
Um atacante pode esgotar o limite de tentativas com credenciais desconhecidas; um login válido de um analista ativo não é recusado pelo limitador. (limite conhecido)
As contagens da auditoria são por edição e não por participante: quem lê apenas benefícios também vê a contagem de células publicadas do censo da edição. (limite conhecido)
O manifesto assinado inclui contagens de células por edição, também as de liderança; é público para quem participa, porque só assim a assinatura pode ser verificada. As contagens ainda revelam existência em casos extremos: quando as células bloqueadas de um escopo são zero, toda célula ausente desse escopo não tem dados; e a soma de percentuais publicados e bloqueados, 121 vezes (1 + número de estágios + número de faixas de porte presentes), revela quantas faixas de porte têm empresas que oferecem benefícios. (limite conhecido)
O teto de remuneração executiva esconde o estudo de liderança, não os níveis M5 e acima do censo. (limite conhecido)
Um membro com o teto ainda vê no manifesto as contagens de células de liderança e o estado da escala (ajustada ou bloqueada); o teto esconde resultados, não o que o administrador mostra em uma tela. (limite conhecido)
Os resumos de envios bloqueados e de apelidos aposentados vão assinados no manifesto, mas o participante não os confere nesta página nem no relatório. (limite conhecido)
A página e o PDF formatam os valores guardados e não corrigem um cubo errado: uma célula guardada com erro é mostrada como está guardada. (limite conhecido)
O título de um cargo sênior (nível M5 ou acima, ou E) ainda não auditado fica guardado até que um analista o audite no console; é o único título que sobrevive à selagem. (limite conhecido)
A ordem de inserção das linhas (xmin e ctid) nos dois bancos permite casar posições a quem controle os dois bancos ao mesmo tempo. (limite conhecido)
Um revisor ainda pode reconhecer uma empresa pelo que ela envia; por isso vê valores apenas em faixas. (limite conhecido)
Quem envia o bloco de liderança passa a ver também a remuneração variável e o incentivo de longo prazo de outras empresas; isso é do desenho, salvo o teto de remuneração executiva do membro, e enquanto o bloco de liderança estiver em dia (mês de referência no máximo 6 meses antes do mês de referência da edição). (limite conhecido)