Anonimização na origem
O formulário de coleta simplesmente não possui campos de identificação. Nome, telefone, documento, foto, e-mail e localização precisa nunca chegam à plataforma — não existe etapa posterior de anonimização porque o dado identificável jamais é criado.
Links individuais e revogáveis
Cada entrevistador recebe um link exclusivo. O token do link é guardado apenas como resumo criptográfico (hash SHA-256): nem a equipe da plataforma consegue reconstruir o link a partir do banco. O acesso pode ser revogado a qualquer momento pelo coordenador, invalidando o link imediatamente.
Limites de registro
Cada entrevistador tem um limite diário de registros e um intervalo mínimo entre envios, o que dificulta preenchimentos automatizados ou em rajada. Registros fora do período ou do município da rodada são recusados.
Trilha de auditoria
Criação e encerramento de rodadas, emissão e revogação de acessos e aceites de termos ficam registrados em uma trilha de auditoria com autor e data, disponível à organização contratante.
Isolamento por organização
Todo dado é segregado por organização com regras de segurança em nível de linha (RLS) no banco: uma organização nunca alcança rodadas, entrevistadores ou respostas de outra. Entrevistadores não têm acesso a resultados — apenas ao formulário de registro.
Criptografia em trânsito
Todo o tráfego usa HTTPS/TLS. Quando o aparelho está sem sinal, os registros ficam temporariamente no próprio celular do entrevistador e são enviados assim que a conexão volta, com identificador único que impede duplicidade.
Retenção e expurgo
Os registros são mantidos enquanto a rodada for útil à campanha. Após o pleito, a organização pode solicitar o expurgo definitivo dos dados do módulo; rodadas encerradas podem ser excluídas a qualquer momento pelo responsável da organização.