1. Quem trata os dados
A operação da plataforma está associada ao CNPJ 68.328.310/0001-73. Em muitos fluxos, a empresa cliente atua como controladora dos dados de seus clientes, funcionários e candidatos, e a plataforma atua como operadora, seguindo instruções contratuais e técnicas.
Em fluxos próprios do operador master, como gestão comercial, suporte, segurança, logs administrativos e faturamento, o operador pode atuar como controlador dos dados necessários à execução dessas atividades.
2. Dados tratados
A plataforma pode tratar dados de usuários administrativos, como nome, e-mail, senha hasheada, papel, permissões, registros de login, 2FA e dispositivos confiáveis.
Também pode tratar dados importados de sistemas integrados, incluindo dados de clientes, contratos, ordens de serviço, inadimplência, contas a receber, contas a pagar, funcionários, ponto, folha e candidatos de recrutamento.
Mensagens de Telegram/Zabbix, logs técnicos e capturas temporárias de investigação podem conter dados pessoais conforme o conteúdo enviado pelos sistemas de origem.
3. Finalidades
Os dados são tratados para autenticação, autorização, isolamento multiempresa, operação de dashboards, sincronização de integrações, geração de alertas, relatórios, auditoria, segurança, suporte e melhoria do produto.
Dados de telemetria e desempenho podem ser usados para medir estabilidade, tempo de resposta e erros, respeitando as configurações de consentimento aplicáveis.
4. Compartilhamentos
A plataforma pode depender de subprocessadores e serviços externos como hospedagem, banco de dados, provedores de analytics, mensageria, IA e sistemas integrados configurados pela própria empresa cliente.
A lista definitiva de subprocessadores e sua base contratual deve ser mantida pelo operador e disponibilizada aos clientes quando aplicável.
5. Segurança
A aplicação já utiliza cookies de autenticação httpOnly, CSP, headers de segurança, autenticação em duas etapas, revogação de sessão e criptografia ou hash para segredos sensíveis em pontos relevantes.
A segurança depende também da configuração correta de variáveis de ambiente, credenciais, permissões de usuários e controles dos serviços de terceiros.
6. Retenção
Os prazos de retenção ainda precisam ser formalizados por categoria de dado. Até essa definição, os dados operacionais seguem a necessidade de execução do contrato, auditoria, segurança e cumprimento de obrigações aplicáveis.
A recomendação técnica é implementar rotinas específicas para expurgo ou anonimização de logs, capturas de proxy, candidatos antigos e dados importados quando a empresa encerrar o contrato.
7. Direitos dos titulares
Titulares podem solicitar confirmação de tratamento, acesso, correção, anonimização, bloqueio, eliminação, portabilidade, informação sobre compartilhamentos, revisão de decisões automatizadas quando aplicável e oposição nos termos da legislação.
Enquanto o fluxo automatizado não estiver implementado, solicitações devem ser encaminhadas para canal de privacidade a definir pelo operador com identificação do titular, empresa relacionada e descrição do pedido.