Política de Privacidade

1. Escopo e agentes de tratamento

O SGS é operado por a operadora identificada no instrumento contratual aplicável, com sede em endereço informado no contrato comercial vigente. A qualificação jurídica como controlador ou operador depende da atividade de tratamento concretamente desempenhada em cada operação.

Para o cenário de operador, a empresa contratante é a controladora. Pedidos de titulares relacionados a esses dados devem ser encaminhados preferencialmente ao controlador.

2. Categorias de dados tratados

Tratamos apenas os dados adequados, pertinentes e necessários para prestar o serviço, manter a segurança do ambiente e cumprir obrigações contratuais, legais e regulatórias (princípio da necessidade, Art. 6, III, LGPD).

• Dados cadastrais e profissionais: nome, CPF, e-mail, cargo, matrícula ou identificadores internos.
• Credenciais de acesso: hash de senha, tokens de sessão, dados de MFA/segurança e sinais de dispositivo.
• Registros operacionais de SST: treinamentos, APRs, PTAs, checklists, CATs, evidências fotográficas.
• Dados de saúde ocupacional (dados sensíveis): exames médicos, laudos, atestados e resultados de avaliações (Art. 11 LGPD).
• Logs de acesso: endereço IP, User-Agent, carimbos de data/hora e eventos de auditoria.
• Dados de suporte: chamados, trocas de e-mail e interações comerciais ligadas ao uso da plataforma.
• Dados de IA (quando habilitado): perguntas e respostas ao assistente SST, com minimização e pseudonimização antes do envio ao modelo quando tecnicamente viável.

3. Dados sensíveis de saúde ocupacional (Art. 11, LGPD)

O SGS pode processar dados de saúde inseridos pelo Cliente, como exames médicos periódicos, atestados, CATs (Comunicações de Acidente de Trabalho) e laudos ocupacionais. Esses dados são classificados como dados sensíveis nos termos do art. 5, II e do art. 11 da LGPD.

• Base legal aplicável:execução de contrato no contexto de saúde ocupacional (Art. 11, II, “b”) e cumprimento de obrigação legal (Art. 11, II, “a”), conforme NR-7 e demais normas regulamentadoras.
• Acesso restrito: os dados de saúde são acessíveis apenas a usuários autorizados pelo Cliente dentro da mesma organização (isolamento multi-tenant por RLS).
• Anonimização em IA: quando funcionalidades de IA são habilitadas, dados de saúde são anonimizados e sanitizados antes de qualquer envio ao provedor de modelo.
• Retenção: conforme legislação trabalhista e de saúde ocupacional aplicável, e instrução do controlador (Cliente).

4. Finalidades e bases legais

As bases legais variam conforme o contexto de uso e o papel exercido.

5. Suboperadores e cadeia de processamento

Não comercializamos dados pessoais. Compartilhamos dados apenas com suboperadores necessários para a execução do serviço. A contratação, região, retenção e salvaguardas de cada provedor devem ser mantidas em evidência operacional antes de qualquer declaração de conformidade plena.

O backend mantém um registro técnico consultável em /privacy-governance/subprocessors, usado para governança interna e revisão periódica de DPA, transferência internacional e risco por categoria de dado.

Também podemos compartilhar dados com autoridades públicas, órgãos regulatórios ou terceiros legitimados quando exigido por lei, ordem judicial ou investigação formal.

6. Transferências internacionais (Art. 33, LGPD)

Alguns suboperadores processam dados fora do Brasil. Conforme a tabela acima, adotamos as seguintes salvaguardas para cada transferência:

• Cláusulas Contratuais Padrão (SCCs): para provedores em jurisdições sem decisão de adequação formal da ANPD.
• Acordos de Processamento de Dados (DPAs): mantidos ou exigidos conforme o provedor, o contrato aplicável e a criticidade do tratamento.
• Minimização técnica: dados de saúde e PII sensível são anonimizados ou pseudonimizados antes de qualquer transmissão internacional quando tecnicamente viável.
• Certificações reconhecidas: preferência a provedores com SOC 2 Type II, ISO 27001 ou equivalente.

7. Retenção, descarte e exportação

Os dados são mantidos pelo tempo necessário para cumprir a finalidade, respeitar obrigações legais e garantir a continuidade operacional.

Ao término do contrato, o Cliente tem até 30 dias para exportar seus dados. Após esse prazo, os dados são bloqueados, eliminados ou anonimizados conforme viabilidade técnica, obrigação legal, backups, storage e retenções exigidas por lei.

A matriz técnica de retenção e o checklist operacional de offboarding são mantidos em /privacy-governance/retention-matrix e /privacy-governance/tenant-offboarding-checklist, incluindo itens ainda dependentes de evidência de storage, backup ou contrato.

8. Cookies e tecnologias semelhantes

Utilizamos apenas cookies estritamente necessários para autenticação, segurança e continuidade de sessão. Não utilizamos cookies de rastreamento, publicidade ou analytics de terceiros.

Para detalhes completos, acesse nossa Política de Cookies.

9. Direitos dos titulares (Art. 18, LGPD)

Os direitos abaixo podem ser exercidos contra o controlador competente. Quando a SGS atuar como operadora, auxiliaremos o Cliente na execução desses pedidos dentro dos limites do contrato.

• Confirmação da existência de tratamento e acesso aos dados pessoais (Art. 18, I e II).
• Correção de dados incompletos, inexatos ou desatualizados (Art. 18, III).
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados sem base legal (Art. 18, IV).
• Portabilidade a outro fornecedor, observados segredo comercial e requisitos técnicos aplicáveis (Art. 18, V).
• Eliminação dos dados tratados com base no consentimento (Art. 18, VI).
• Informação sobre compartilhamentos, bases legais e consequências de eventual negativa (Art. 18, VII e VIII).
• Revogação do consentimento e oposição, nas hipóteses admitidas pela LGPD (Art. 18, IX e §2º).
• Revisão de decisões automatizadas relevantes que afetem interesses do titular (Art. 20).

Para dados diretamente controlados por nós, envie sua solicitação para canal de privacidade informado ao administrador da organização. Respondemos em até 15 dias úteis.

10. Segurança da informação e resposta a incidentes

Adotamos medidas técnicas e administrativas compatíveis com o risco da operação, observando boas práticas de mercado e monitoramento contínuo.

• Criptografia TLS 1.2+ em trânsito, criptografia gerenciada dos provedores de infraestrutura e proteção específica para identificadores sensíveis como CPF quando aplicável.
• Controles de sessão, cookies httpOnly/Secure/SameSite=Strict e isolamento multi-tenant por Row Level Security (RLS) no banco.
• Trilha de auditoria imutável, monitoramento contínuo, rate limiting e proteção Cloudflare contra ataques automatizados.
• Princípio de privilégios mínimos, segregação de ambientes, backups governados e procedimentos de continuidade.
• Resposta a incidentes: contenção, análise forense, comunicação ao controlador e, quando exigido por lei, notificação à ANPD e aos titulares.

Em caso de incidente com potencial de risco ou dano relevante, aplicaremos medidas de contenção, análise forense e comunicação ao controlador e às autoridades competentes. Notificação à ANPD ocorrerá dentro do prazo legal aplicável.

11. Atualizações desta política

Esta política pode ser revisada para refletir mudanças legais, operacionais ou tecnológicas. Alterações relevantes serão comunicadas pelos canais adequados com antecedência razoável. A versão vigente é sempre identificada pelo número de versão no cabeçalho desta página.

12. Encarregado de Proteção de Dados (DPO) e contato

Nosso Encarregado de Proteção de Dados (Encarregado de Proteção de Dados (DPO)) pode ser contactado pelos seguintes canais:

• Canal de privacidade: canal de privacidade informado ao administrador da organização

O titular também pode peticionar perante a Autoridade Nacional de Proteção de Dados (ANPD) pelos canais oficiais em www.gov.br/anpd.