Sumário em uma frase
Tratamos apenas o mínimo necessário para você cumprir a NR-6 (entrega de EPI), armazenamos o nome dos funcionários de forma pseudonimizada (HMAC com salt secreto + 4 últimos do CPF), nunca vendemos dados, e atendemos qualquer direito do titular em até 15 dias.
1. Quem é o controlador e quem é o operador
A empresa cliente que assina o serviço é a controladora dos dados de seus funcionários (LGPD art. 5º VI). O EPI Cepea atua como operador (art. 5º VII), tratando os dados exclusivamente conforme as instruções contratuais e os requisitos legais aplicáveis (NR-6 + CLT).
2. Que dados tratamos
Do usuário do sistema (admin/RH da empresa)
- Nome completo, CPF, e-mail, telefone (opcional);
- Senha (armazenada como hash bcrypt — nunca em texto puro);
- Logs de acesso: IP, user-agent, data e hora.
Dos funcionários cadastrados pelo cliente
- Nome completo — armazenado como HMAC-SHA256(salt, nome+CPF), em que salt é uma chave secreta mantida fora do banco. Nem dump do banco permite reidentificação.
- CPF — armazenamos apenas os 4 últimos dígitos em texto puro (para identificação operacional). Os 7 primeiros dígitos não ficam no banco.
- Apelido — opcional, escolhido pela empresa para exibição no histórico (ex.: “Maria S.”).
- Função, CBO, setor, data de admissão;
- EPIs atribuídos, datas de entrega, próximas trocas;
- Rubrica/assinatura eletrônica — desenhada em canvas HTML5, anexada ao PDF do termo de entrega. Embora seja dado biométrico (art. 5º II da LGPD, considerado sensível), seu tratamento se enquadra no art. 11 II “a” (cumprimento de obrigação legal pelo controlador — NR-6) e está limitado ao mínimo necessário para a prova de recebimento.
3. Bases legais aplicáveis
- Cumprimento de obrigação legal (art. 7º II e art. 11 II “a”) — NR-6 obriga registro de entrega de EPI;
- Execução de contrato (art. 7º V) — necessário para a prestação do serviço SaaS;
- Legítimo interesse (art. 7º IX) — logs de segurança e detecção de fraude, balanceados com expectativas do titular.
4. Por quanto tempo guardamos
| Dado | Prazo de retenção | Justificativa |
|---|---|---|
| Termo de entrega de EPI (PDF assinado) | 5 anos após a entrega | NR-6 + CLT — comprovação para fiscalização |
| Cadastro de funcionário | 5 anos após desligamento | Mesmo prazo do termo correspondente |
| Logs de acesso e auditoria | 1 ano | Marco Civil da Internet + segurança |
| Dados de pagamento | 5 anos após a última transação | Código Tributário |
| Conta encerrada (sem dados retidos por lei) | 30 dias para exportação + remoção | LGPD art. 16 |
5. Com quem compartilhamos
Apenas com subprocessadores estritamente necessários para entregar o serviço, todos vinculados por contrato a padrões equivalentes ao nosso:
- AWS — hospedagem do backend (São Paulo).
- Cloudflare — CDN, túnel de roteamento e armazenamento R2 dos PDFs (transferência internacional possível, com cláusulas padrão).
- Neon — banco PostgreSQL serverless (São Paulo).
- Mercado Pago — processamento de pagamentos. Dados de cartão nunca trafegam pelos nossos servidores.
- Resend — envio transacional de e-mails (Estados Unidos, com cláusulas padrão).
Não vendemos, alugamos ou compartilhamos dados para fins de marketing.
6. Direitos do titular dos dados
Conforme o art. 18 da LGPD, você (ou o funcionário cadastrado pelo cliente) pode solicitar a qualquer momento:
- Confirmação da existência de tratamento;
- Acesso aos dados;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação dos dados desnecessários, excessivos ou tratados em desconformidade;
- Portabilidade;
- Eliminação dos dados tratados com base em consentimento;
- Informação sobre compartilhamento;
- Revogação do consentimento.
Solicitações devem ser enviadas para abritta@cepea.org. Respondemos em até 15 dias, conforme prazo legal.
7. Como protegemos os dados
- Criptografia TLS 1.3 em todo tráfego;
- Criptografia em repouso no banco de dados e no R2;
- Isolamento multi-tenant rigoroso: cada query do banco filtra pelo tenant do usuário autenticado;
- Senhas com bcrypt cost 12; salt único por usuário;
- Hash de nomes com HMAC-SHA256 + salt server-side (não é “SHA-256 simples” — atacante com dump do banco não consegue reverter sem a chave secreta);
- Rate-limit em login (60/min) e cadastro (30/min) por IP, com CF-Connecting-IP para identificar o IP real do cliente;
- CSP, HSTS, X-Frame-Options e demais cabeçalhos de segurança ativos;
- Logs de auditoria com IP, usuário e ação para cada operação relevante;
- Backups diários do banco com retenção de 30 dias;
- Container Docker isolado, sem dependências cruzadas com outros sistemas.
8. Incidentes de segurança
Em caso de incidente que afete dados pessoais, comunicaremos o cliente (controlador) em até 48 horas após confirmação, com descrição da natureza, dados afetados e medidas de contenção. O cliente, por sua vez, é responsável por comunicar a ANPD e os titulares conforme o art. 48 da LGPD.
9. Cookies
Usamos exclusivamente cookies estritamente necessários para autenticação e segurança (token JWT em localStorage, não em cookie). Não usamos cookies de marketing, analytics ou rastreamento de terceiros — portanto não há banner de consentimento.
10. Encarregado de Dados (DPO)
Dr. Renato Abritta Zacarias
E-mail: abritta@cepea.org
11. Atualizações desta política
Mudanças materiais são comunicadas com 30 dias de antecedência por e-mail ao administrador da conta. A versão sempre vigente é a publicada nesta página.