Política de Privacidade
Versão 1.0 — vigente desde [A PREENCHER] vigencia
Esta Política explica como a plataforma CapyMed SST, mantida por [A PREENCHER] razaoSocial, inscrita no CNPJ sob o nº [A PREENCHER] cnpj, com sede em [A PREENCHER] endereco ("nós"), trata dados pessoais, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados — LGPD) e com o Marco Civil da Internet (Lei nº 12.965/2014).
1. Dois papéis diferentes
A plataforma é um software de gestão de Saúde e Segurança do Trabalho (SST) usado por empresas, clínicas, consultorias e profissionais de SST ("Clientes"). Por isso, atuamos em dois papéis:
- Como controladores, quando tratamos os dados de quem cria e usa uma conta na plataforma (nome, e-mail, registros de acesso), para prestar o serviço, manter a segurança e cumprir a lei. Esta Política trata principalmente desse papel.
- Como operadores, quando tratamos, por conta e conforme as instruções do Cliente, os dados que o Cliente cadastra sobre trabalhadores e empresas atendidas (por exemplo: cadastros de funcionários, ASOs, exames, atestados, acidentes, fichas de EPI). Nesse caso, o Cliente é o controlador e decide a finalidade e a base legal. Esse tratamento é regido pelo Acordo de Tratamento de Dados. Titulares desses dados (por exemplo, trabalhadores) devem dirigir seus pedidos primeiro à empresa ou clínica responsável; se nos procurarem, encaminharemos o pedido ao Cliente.
2. Dados que tratamos como controladores
- Cadastro da conta: nome, e-mail e senha. A senha nunca é armazenada em texto: guardamos apenas um resumo criptográfico irreversível (PBKDF2-SHA256).
- Segurança da conta: configuração da verificação em duas etapas (o segredo é armazenado cifrado), códigos de recuperação (armazenados apenas como resumo criptográfico) e sessões ativas.
- Registros de acesso: data e hora, endereço IP e identificação do navegador ou dispositivo em eventos como login, falhas de login, alteração de senha e ativação de MFA.
- Dados comerciais: dados do contrato, plano e limites de uso da conta do Cliente.
- Comunicações: mensagens que você nos envia.
Não usamos ferramentas de publicidade, rastreamento de terceiros nem perfis de marketing. Não vendemos dados pessoais.
3. Finalidades e bases legais
| Finalidade | Base legal (LGPD) |
|---|---|
| Criar e manter a conta, autenticar o acesso e prestar o serviço contratado | Execução de contrato (art. 7º, V) |
| Enviar e-mails transacionais (confirmação de cadastro, recuperação de senha, alertas de segurança) | Execução de contrato (art. 7º, V) |
| Guardar registros de acesso à aplicação por, no mínimo, 6 meses | Cumprimento de obrigação legal (art. 7º, II; Marco Civil, art. 15) |
| Prevenir fraudes e acessos indevidos, limitar tentativas de login e investigar incidentes | Legítimo interesse (art. 7º, IX) e garantia da prevenção à fraude e à segurança do titular (art. 11, II, "g") |
| Exercer direitos em processos judiciais, administrativos ou arbitrais | Exercício regular de direitos (art. 7º, VI) |
4. Cookies e armazenamento no navegador
Usamos apenas um cookie estritamente necessário, `__Host-sst_session`, que mantém você conectado. Ele é protegido (`HttpOnly`, `Secure`, `SameSite`) e expira em até 30 dias, ou após 7 dias sem uso.
Para permitir o uso em campo sem internet, a plataforma também guarda no seu dispositivo (IndexedDB, armazenamento local e cache do aplicativo) uma cópia dos registros que você acessa e dos registros feitos offline ainda não sincronizados. Ao sair da conta pela página "Minha conta", esses dados são apagados do dispositivo. Em aparelhos compartilhados, sempre saia da conta ao terminar.
Como não usamos cookies de publicidade ou de análise, não exibimos banner de consentimento de cookies.
5. Compartilhamento
Compartilhamos dados apenas com:
- Cloudflare, Inc. — hospedagem da aplicação, banco de dados, armazenamento de arquivos, cópias de segurança e envio de e-mails transacionais.
- Serviços públicos de consulta de CNPJ (BrasilAPI, CNPJ.ws, OpenCNPJ) — quando o usuário pede o preenchimento automático de uma empresa, enviamos somente o número do CNPJ consultado.
- Autoridades públicas, quando houver obrigação legal ou ordem judicial.
6. Transferência internacional
Os servidores da Cloudflare que armazenam os dados ficam principalmente nos Estados Unidos. A transferência é feita com base no art. 33 da LGPD, mediante garantias contratuais do fornecedor, e com as medidas de segurança descritas abaixo.
7. Por quanto tempo guardamos
- Dados da conta: enquanto a conta existir. Após o encerramento, são excluídos em até 90 dias, salvo obrigação legal de guarda.
- Registros de acesso: 12 meses. A lei exige no mínimo 6 meses.
- Sessões de login: até 30 dias.
- Links de confirmação e de redefinição de senha: de 1 a 24 horas, e só podem ser usados uma vez.
- Cópias de segurança: cifradas, mantidas por até 90 dias. O banco permite restauração pontual dos últimos 30 dias.
8. Segurança
Adotamos, entre outras medidas:
- conexão sempre criptografada (HTTPS, TLS 1.2 ou superior);
- senhas com resumo criptográfico forte;
- verificação em duas etapas, obrigatória para acesso a dados de saúde e para a administração da conta;
- limite de tentativas de login;
- proteção contra falsificação de requisições entre sites;
- isolamento dos dados de cada Cliente;
- permissões por perfil e trilha de auditoria de acesso a dados médicos;
- backups diários cifrados (AES-256).
Nenhum sistema é totalmente imune a falhas. Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos os titulares afetados e a Autoridade Nacional de Proteção de Dados (ANPD), nos termos da regulamentação vigente.
9. Seus direitos
Nos termos do art. 18 da LGPD, você pode pedir:
- confirmação de que tratamos seus dados e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
- portabilidade;
- informação sobre compartilhamentos;
- revisão de decisões automatizadas;
- eliminação, quando aplicável.
Você mesmo pode alterar sua senha, ver as sessões ativas e encerrá-las, e consultar o histórico de acessos em Minha conta. Para os demais pedidos, escreva ao Encarregado. Responderemos em até 15 dias. Você também pode apresentar reclamação à ANPD (www.gov.br/anpd).
10. Encarregado (DPO)
[A PREENCHER] encarregadoNome — [A PREENCHER] encarregadoEmail
11. Crianças e adolescentes
A plataforma é destinada a uso profissional e não é dirigida a menores de 18 anos.
12. Alterações
Podemos atualizar esta Política. A versão vigente estará sempre em https://app.capymed.bid/privacidade. Mudanças relevantes serão avisadas por e-mail ou na própria plataforma.