Meça o bem-estar sem vigiar as pessoas que está a medir.
Quinze segundos por dia para quem responde. Casos, resultados de grupo e planos de ação para quem tem a responsabilidade. Entre uns e outros está uma arquitetura que torna uma resposta individual ilegível — para um gestor, para um responsável de bem-estar, para um administrador da organização.
Como a Lurno mede o bem-estar em privado
O módulo de bem-estar da Lurno recolhe check-ins breves junto do pessoal e mostra aos responsáveis apenas aquilo que não identifica ninguém. Cada resposta é guardada contra um pseudónimo gerado com chave, e não contra um nome, e a única política de leitura sobre a tabela de check-ins corresponde ao identificador de utilizador do próprio autor — pelo que ninguém na organização consegue abrir uma resposta individual, incluindo um gestor, um responsável de bem-estar ou um administrador da organização. Os resultados de grupo só são divulgados depois de terem respondido pessoas suficientes: o limiar começa em cinco, uma organização pode aumentá-lo, e nem a organização nem a Lurno o podem baixar. Abaixo do limiar não é mostrado absolutamente nada — nem um número mais pequeno, nem uma média. O bem-estar permanece desativado até que um administrador o ative para uma organização em concreto.
- k-anonimato
- Um resultado é k-anónimo quando cada pessoa que descreve é indistinguível de pelo menos outras k−1. Aqui, k é o número de pessoas que têm de responder para que um resultado de grupo sequer apareça — com k = 5, uma equipa de quatro pessoas nunca produz um gráfico. Aplica-se a cada barra, e não apenas ao total: quatro concordo e um discordo totalmente passam uma verificação feita sobre o total e publicam depois uma barra de altura um. As células demasiado pequenas para serem publicadas são reunidas num único grupo outros em vez de desaparecerem, porque retirá-las deixaria as contagens em falta exatamente pelo número escondido.
A supressão acontece no servidor, antes de seja o que for ser serializado. Um número que chegou ao navegador já foi divulgado, faça a interface o que fizer com ele a seguir. O mesmo raciocínio percorre a segurança e a camada de relatórios.
Como é visto por dentro
Dois toques, cerca de quinze segundos
Como correu o dia e até que ponto a carga de trabalho foi comportável. Uma nota opcional que mais ninguém pode ler. Saltar um check-in não custa nada, e o texto di-lo — sem penalização de sequência, sem insistência.
- Os lembretes existem apenas dentro da aplicação. Nunca por e-mail, nunca no ecrã bloqueado, e nunca a transportar seja o que for sobre a forma como alguém respondeu.
- Ninguém é convidado sem antes aceitar uma política de participação com versão. Retirar o consentimento interrompe de imediato os check-ins seguintes.
Uma prateleira de coisas curtas e práticas
Uma pausa de dois minutos. Descontrair o maxilar. O que fazer depois de uma sessão que correu mal. Abrir um destes conteúdos não regista nada: não é escrito qualquer sinal, pelo que não há linha nenhuma a dizer quem leu o quê.
- Ao lado ficam os contactos da própria organização — uma linha de apoio, um psicólogo, um responsável pela proteção de menores. Enquanto não for acrescentado nenhum, as perguntas sobre saúde mental ficam desativadas: o produto não pergunta a ninguém como se está a aguentar sem ter para onde a encaminhar.
Três formas de falar, com regras diferentes
A Voz recolhe preocupações, ideias e perguntas sobre o funcionamento da instituição, com o anonimato definido como nunca, à escolha da pessoa ou sempre. Um pedido de apoio é alguém que decide associar o seu nome e pedir a um responsável que entre em contacto. Uma reunião individual guarda o texto mais sensível do módulo, pelo que a sua política de leitura nomeia as duas pessoas presentes e mais ninguém.
- Um item anónimo da Voz é submetido a hash sob uma chave de finalidade própria, pelo que não pode ser cruzado com os check-ins nem com os casos dessa pessoa.
Os responsáveis de bem-estar recebem uma lista de casos, não um painel
Casos com relógios de SLA
Os pedidos entram na fila do mais antigo para o mais recente, porque esperar é a parte que magoa. Uma atribuição, um estado, um nível de risco, um prazo. O aviso de incumprimento dispara uma hora antes e dispara uma só vez — de outro modo, uma varredura de cinco em cinco minutos enviaria doze avisos por hora.
Resultados de grupo, condicionados por um limiar
Pergunte a uma equipa como corre o trabalho. Uma campanha pode pedir mais privacidade do que o mínimo da organização e nunca menos, e as linhas por trás de um gráfico são ilegíveis mesmo para quem detém a permissão de resultados.
Planos de ação com proveniência
Cada plano regista a pergunta de que resultou, quantas pessoas responderam e o limiar que teve de ser cumprido antes de alguém o ver.
Alertas com um rasto de dever de cuidado
Quem foi avisado, se a mensagem chegou e se a pessoa o confirmou. A confirmação é escrita por um handler que sabe quem está a chamar, pelo que não pode ser forjada a partir de um navegador. Um alerta que o sistema tenha recusado enviar fica registado como ignorado e escala de imediato.
Um motor de regras que é dados, não código
Três formas de folha e dois combinadores: um tipo de sinal, um caminho comparado e isto aconteceu N vezes em D dias. Sem linguagem de expressões, sem eval. Um nó não reconhecido é um erro, nunca uma passagem silenciosa.
Retenção em dois relógios
Cada linha sujeita a governação leva consigo as regras de retenção em vigor quando foi escrita. Um relógio elimina a identidade e mantém o pseudónimo, para que uma tendência não se reescreva quando alguém sai; o outro remove a linha.
Três decisões, tomadas pelo seu administrador
- 01
Ative o módulo para uma organização
Desativado por omissão e ausente de todas as barras laterais até ser ativado. Num conjunto de suborganizações é ativado uma a uma — um pai não o ativa por baixo.
- 02
Defina as salvaguardas
Acrescente pelo menos um contacto de apoio, ou as perguntas sobre como a pessoa se está a aguentar mantêm-se desativadas. Depois defina o limiar: cinco é o mínimo, pode aumentá-lo e não pode baixá-lo.
- 03
Escolha as perguntas, a cadência e o público
Todo o pessoal, ou um grupo de pelo menos cinco pessoas — abaixo disso, cada resultado identifica alguém. As respostas ficam ligadas à versão do modelo, pelo que uma edição nunca altera o que já foi perguntado.
Quem pode ver o quê
Cada linha é uma política de segurança ao nível da linha no Postgres. Onde diz não, a linha nem sequer é devolvida.
| Capability | Quem respondeu | O seu gestor | Um responsável de bem-estar | Um administrador da organização |
|---|---|---|---|---|
| Uma resposta individual a um check-in, com nota e tudoA única política de leitura corresponde ao identificador de utilizador do próprio autor. | Yes | No | No | No |
| Uma distribuição de grupo abaixo do limiarNem um número mais pequeno, nem uma média, nem um gráfico a zeros. | No | No | No | No |
| Uma distribuição de grupo igual ou acima dele | No | Com a permissão de resultados | Com a permissão de resultados | Com a permissão de resultados |
| As linhas em bruto por trás de um resultadoUm caminho de leitura para o pessoal foi removido daqui em julho de 2026 — permitia a quem tinha a permissão de resultados listar, com nomes, quem tinha submetido o quê. | As suas próprias | No | No | No |
| Um item anónimo enviado através da Voz | Yes | No | O conteúdo, nunca o autor | O conteúdo, nunca o autor |
| Um pedido de apoio aberto pela própria pessoa | Yes | No | Yes | No |
| Notas de reuniões individuais | Yes | Apenas se estiver na sala | Apenas se estiver na sala | No |
O isolamento entre inquilinos em toda a plataforma assenta em 868 políticas de segurança ao nível da linha ao longo de 676 migrações — na base de dados, e não apenas na aplicação.
Perguntas que o departamento de compras faz
Veja-o com os seus próprios limiares.
Percorremos consigo um check-in, um gráfico suprimido, um caso com o relógio a correr e as políticas por baixo de tudo isto.