Política de privacidade

Versão 1 · vigente a partir de [DATA DE PUBLICAÇÃO]

Modelo elaborado para o piloto. Antes do uso comercial, revise com o encarregado de dados (DPO) e a assessoria jurídica e preencha os campos entre colchetes.

1. Papéis

Empresa cliente — controladora: decide sobre os dados dos seus colaboradores e do seu PGR. Pedidos sobre esses dados devem ser feitos à empresa onde você trabalha (RH ou encarregado de dados dela).
[RAZÃO SOCIAL DO OPERADOR] — operadora: trata os dados em nome da empresa cliente, conforme as instruções dela. É controladora apenas dos dados de cadastro comercial (pedidos de acesso e cobrança) e dos registros de acesso à plataforma.
Encarregado de dados do operador: [NOME] — [E-MAIL].

2. Quais dados tratamos

Cadastro do colaborador: nome, CPF (guardado cifrado, com índice cego para login), e-mail (opcional), vínculo (empresa, estabelecimento, setor, função) e datas de admissão e desligamento.
Conta: senha (somente como resumo Argon2id), segredo da verificação em duas etapas (cifrado) e registros de sessão.
Participação: registro de que a pessoa participou de uma pesquisa (sem as respostas), ciência de comunicados, conclusão de treinamentos e certificados.
Pesquisas de percepção: respostas sem identificação, guardadas apenas com o setor e o dia. Não é possível ligar uma resposta a uma pessoa.
Canal de denúncias: conteúdo cifrado no aparelho de quem denuncia, legível apenas pelo comitê escolhido. A plataforma não registra IP nem horário exato do envio.
Avisos: e-mail para avisos e, no aplicativo, um identificador de aparelho para avisos push com conteúdo neutro.

A plataforma não coleta dados de saúde dos trabalhadores por padrão. A avaliação trata das condições de trabalho, não de diagnósticos individuais.

3. Para que usamos e com qual base legal

Gerenciamento de riscos ocupacionais, comunicação e capacitação dos trabalhadores: cumprimento de obrigação legal da empresa (NR-1; Lei 14.457/2022) — art. 7º, II, da LGPD.
Canal de denúncias e apuração: obrigação legal (Lei 14.457/2022) e exercício regular de direitos (art. 7º, VI).
Segurança da conta, auditoria e prevenção a fraudes: legítimo interesse (art. 7º, IX), com registros mínimos.
Cadastro comercial e cobrança: execução de contrato (art. 7º, V).

4. Compartilhamento

Não vendemos dados. Usamos fornecedores que tratam dados por nossa conta, com obrigações de segurança: hospedagem em nuvem [PROVEDOR E REGIÃO — ex.: Oracle Cloud, São Paulo], envio de e-mail [PROVEDOR] e, no aplicativo, o serviço de avisos push da Expo (que recebe apenas o identificador do aparelho e uma mensagem neutra, podendo processá-los fora do Brasil, com as salvaguardas do art. 33 da LGPD). Também atendemos a requisições de autoridades quando a lei exigir.

5. Por quanto tempo guardamos

Documentos do PGR (inventário e plano de ação publicados): pelo prazo de guarda previsto na NR-1 e na legislação aplicável (a plataforma adota 20 anos).
Pedidos de cadastro: o CPF informado é apagado na aprovação ou na recusa; os pedidos recusados são excluídos após 180 dias.
Avisos por e-mail: o texto é apagado logo após o envio; os metadados ficam por 180 dias.
Demais dados: enquanto durar o contrato com a empresa cliente e, depois, pelo prazo legal, sendo então eliminados ou anonimizados.

6. Segurança

Isolamento entre empresas no próprio banco de dados (segurança por linha), criptografia em trânsito (HTTPS) e dos dados sensíveis em repouso, verificação em duas etapas para perfis sensíveis, trilha de auditoria encadeada, cópias de segurança cifradas e acesso do operador restrito a metadados (sem acesso a pessoas, respostas ou denúncias dos clientes).

7. Seus direitos

Você pode pedir confirmação, acesso, correção, anonimização, portabilidade, eliminação e informações sobre compartilhamento (art. 18 da LGPD). Como a empresa onde você trabalha é a controladora, encaminhe o pedido a ela; o operador apoia a empresa no atendimento. Respostas anônimas de pesquisa e denúncias anônimas não podem ser associadas a você — por isso também não podem ser localizadas por pedido de titular. Você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

8. Cookies

Usamos apenas o cookie essencial de sessão (seguro, inacessível a scripts) e uma preferência local de navegação. Não usamos cookies de publicidade nem de rastreamento.

9. Contato

Dúvidas sobre esta política: [E-MAIL DO ENCARREGADO]. Atualizações relevantes serão comunicadas na plataforma.