Política de Privacidade

Controlador (dados de cadastro de conta, faturamento e navegação no site institucional):

• ActaDP Desenvolvimento e Licenciamento de Programas de Computador Customizáveis Ltda (nome fantasia: ActaOne)
• CNPJ: 66.435.383/0001-39
• Endereço: Rua Pais Leme, 215 - Pinheiros, São Paulo/SP, 05424-150, Brasil
• Domínio oficial: https://www.actaone.com.br

Operador (dados de colaboradores tratados dentro da plataforma): a ActaOne atua como operadora sob instruções das organizações contratantes, que são as controladoras dos dados de seus próprios colaboradores.

Essa distinção é relevante: se você é colaborador de uma organização cliente e deseja exercer direitos sobre seus dados, o caminho correto é contatar o RH ou DP da sua empresa — eles são os controladores responsáveis. A ActaOne atende solicitações de titulares apenas quando não for possível identificar o controlador responsável.

• Execução de contrato (art. 7º, V): para provisionar e operar todos os módulos contratados pela organização.
• Cumprimento de obrigação legal (art. 7º, II): quando o tratamento for exigido pela legislação trabalhista, previdenciária ou ocupacional aplicável (CLT, NR-7/PCMSO, eSocial e outras).
• Tutela da saúde e exercício regular de direito (art. 11, II, "a" e "f"): para dados sensíveis de saúde de colaboradores — tipo sanguíneo, CID, condição médica, dados de afastamento por motivo de saúde e exames ocupacionais (ASO) — tratados exclusivamente no contexto da relação de trabalho e das obrigações de medicina e segurança do trabalho impostas pela legislação aplicável (CLT, NR-7/PCMSO e demais normas regulamentadoras).
• Legítimo interesse (art. 7º, IX): para segurança da plataforma, prevenção a fraudes, detecção de uso indevido, auditoria de acessos e melhoria contínua do serviço, desde que não prevaleçam sobre os direitos fundamentais dos titulares.
• Consentimento (art. 7º, I): para dados de interessados que submetem informações voluntariamente pelo formulário de contato do site institucional; para candidatos que submetem informações pela página pública de candidatura; e para cookies de análise e publicidade no site institucional, coletados via banner exibido na primeira visita.

Ao preencher o formulário de contato no site institucional, coletamos os seguintes dados, mediante consentimento explícito do titular:

• Nome: identificação do interessado.
• WhatsApp: canal principal de retorno de contato.
• E-mail (opcional): canal alternativo de contato.
• Empresa e número de colaboradores (opcionais): para contextualizar o porte da organização e adequar a abordagem comercial.
• Dados de origem (UTM): campanha, meio e fonte de acesso, quando presentes na URL, para fins de análise de desempenho de campanhas internas.
• Registro de consentimento: confirmação de que o titular autorizou o contato via WhatsApp e e-mail, registrada no momento do envio.

Base legal: consentimento explícito do titular (art. 7º, I, LGPD), registrado no momento do envio do formulário.

Finalidade: entrar em contato exclusivamente para apresentar as soluções da ActaOne, conforme autorizado pelo titular. Os dados não são utilizados para outras finalidades nem compartilhados com terceiros para fins comerciais.

Retenção: os dados são mantidos por até 2 anos a partir do cadastro, ou até a revogação do consentimento, o que ocorrer primeiro. Você pode solicitar a exclusão dos seus dados a qualquer momento pelo e-mail contato@actaone.com.br.

• Conta e acesso (Owner): nome completo, e-mail e senha (armazenada com hash). O Owner é o único papel com acesso à gestão de assinatura e à administração de operadores. Existe exatamente um Owner por organização — restrição enforçada em nível de banco de dados.
• Conta e acesso (Operador): nome completo, e-mail e senha (armazenada com hash). Sem acesso às áreas restritas ao Owner. No convite, o Owner escolhe um perfil de partida — DP (exclusivo para internos), RH, Contabilidade / Jurídico, Médico do Trabalho, Psicólogo ou Administrador adjunto — e ajusta as permissões módulo a módulo (ver, editar e excluir); qualquer módulo pode ser concedido ou revogado individualmente. O status do operador (ativo ou suspenso) é registrado no banco e refletido imediatamente no Supabase Auth — a suspensão invalida sessões ativas.
• Dados da organização (Tenant): CNPJ, razão social, nome fantasia, telefone, e-mail da empresa, e-mail de faturamento, logo, cores de branding, identificadores da assinatura no provedor de cobrança (Asaas) e metadados de UTM para rastreamento de aquisição.
• Colaboradores: dados pessoais e profissionais cadastrados pela organização — nome, CPF, data de nascimento, tipo sanguíneo, contatos, e-mail pessoal e corporativo, endereço completo, escolaridade, habilitação, quantidade de filhos, contato de emergência, condição médica quando informada, matrícula, cargo, departamento, CBO, data de admissão, períodos de experiência, tipo de contrato e salário. Opcionalmente, dados bancários para fins de pagamento: banco, agência, número de conta, tipo de conta (corrente ou poupança) e chave Pix, tratados com base no art. 7º, V (execução do contrato de trabalho) e incluídos no processo de anonimização quando solicitado. Os campos tipo sanguíneo e condição médica constituem dados sensíveis (art. 5º, II, LGPD) e são tratados com base no art. 11, II, "a" (tutela da saúde) e "f" (exercício regular de direito), nos limites das obrigações trabalhistas e de medicina do trabalho aplicáveis.
• Documentos: arquivos enviados pela organização vinculados a colaboradores (contratos, ASOs, atestados, certificados de treinamento e outros), armazenados no Cloudflare R2 com isolamento por organização (cada arquivo é prefixado pelo identificador único do workspace).
• Ausências e saúde ocupacional: registros de férias (programação, gozo, saldo, abono pecuniário), afastamentos por tipo (atestado, INSS, licença-maternidade, licença-paternidade, acidente de trabalho) com CID e CRM quando aplicável, e exames ocupacionais (ASO) com data de validade. O CID e os dados de saúde vinculados a afastamentos constituem dados sensíveis (art. 5º, II, LGPD) e são tratados com base no art. 11, II, "a" (tutela da saúde) e "f" (exercício regular de direito), exclusivamente para cumprimento das obrigações trabalhistas e de medicina do trabalho.
• Treinamentos e benefícios: participações, notas, certificados, operadoras, valores e modelos de custeio registrados pela organização.
• Folha de pagamento, eSocial e demonstrativos: proventos, descontos, bases e valores de INSS, IRRF e FGTS, 13º salário, PLR, férias, rescisão, provisões e encargos, calculados a partir dos dados de cadastro, cargo e ausências do colaborador; dados de dependentes (nome, data de nascimento, grau de parentesco, condição de invalidez e comprovação de vacinação ou frequência escolar) para fins de salário-família e dedução de IRRF; dados de pensão alimentícia (beneficiário e forma de cálculo) quando cadastrada; dados bancários do colaborador e de eventuais pensionistas para geração do arquivo de remessa bancária CNAB; e o holerite gerado a cada competência. Base legal: cumprimento de obrigação legal trabalhista e previdenciária (art. 7º, II, LGPD) e execução do contrato de trabalho (art. 7º, V). Dados de dependentes e a condição de invalidez constituem dados de terceiros e/ou sensíveis, tratados nos limites das obrigações legais aplicáveis.
• Ativos: registros de entrega e devolução de itens por colaborador, com datas e validades.
• Recrutamento: dados de candidatos inseridos manualmente ou submetidos via página pública de candidatura (nome, e-mail, telefone, LinkedIn, currículo e foto de perfil quando solicitados, além das respostas aos campos extras configurados pela organização). Avaliações internas com estrelas e notas de entrevista são criadas exclusivamente pelos operadores da organização e nunca compartilhadas com o candidato.
• Banco de Talentos (inscrição pública): quando a organização disponibiliza o link público de inscrição no banco de talentos, o candidato pode fornecer voluntariamente: dados de identificação e contato (nome, e-mail, telefone, LinkedIn), cargos de interesse (selecionados a partir do catálogo da empresa), disponibilidade de início e campos extras configurados pela organização, que podem incluir formação acadêmica, experiência profissional, endereço, idiomas e cursos ou certificações. O candidato deve aceitar explicitamente o tratamento de seus dados antes de enviar a inscrição (consentimento, art. 7º, I, LGPD). Os dados permanecem armazenados enquanto a organização mantiver o candidato no banco ou até que o próprio candidato solicite a exclusão à organização controladora. A organização contratante é a controladora responsável pelo banco de talentos; a ActaOne atua como operadora.
• Admissão por link (autopreenchimento): quando a organização gera um link de admissão e o candidato preenche o formulário público, são coletados: dados pessoais (nome, CPF, data de nascimento, tipo sanguíneo), contato (telefones e e-mail pessoal), contato de emergência, endereço completo, dados demográficos (escolaridade, habilitação, filhos) e condição médica quando informada voluntariamente. Esses dados ficam armazenados temporariamente na plataforma até a aprovação da admissão pela organização. A base legal para os dados não sensíveis é a execução de pré-contrato (art. 7º, V, LGPD) — o candidato preenche o formulário como etapa do processo de contratação iniciado pela organização contratante, que é a controladora responsável. Os campos tipo sanguíneo e condição médica, quando informados voluntariamente, constituem dados sensíveis e são tratados com base no art. 11, II, "a" (tutela da saúde) e "f" (exercício regular de direito).
• Mural: celebrações publicadas pela organização, reconhecimentos enviados entre colegas (texto, autor e destinatário, sujeitos à moderação do RH e ao aceite do destinatário) e comentários nas publicações. A divulgação do aniversário do colaborador (primeiro nome, dia e mês, sem ano nem idade) e da foto de perfil no Mural depende de autorização expressa do próprio colaborador, que vem desligada por padrão e pode ser revogada a qualquer momento, com efeito imediato. O acesso do colaborador ocorre pelo Portal do Colaborador, com autenticação em dois fatores.
• Assinatura eletrônica de documentos (avançada e, quando a organização possui certificado digital próprio cadastrado, ICP-Brasil): quando a organização envia um documento para assinatura, são tratados os seguintes dados: (a) dados de identificação do signatário — nome completo e e-mail cadastrado do colaborador; (b) dados de autenticação — token de acesso único vinculado ao envio e código OTP de 6 dígitos enviado ao e-mail do colaborador, armazenado exclusivamente como hash SHA-256 e descartado após uso ou expiração (15 minutos); (c) dados do ato de assinatura — timestamp com fuso horário, endereço IP, user agent do dispositivo utilizado; (d) integridade do documento — hash SHA-256 do PDF original e do PDF final, este último, quando a organização tem certificado digital cadastrado, com uma assinatura digital PAdES-BES embutida, feita com o certificado ICP-Brasil (e-CNPJ A1) da própria organização (ver o item sobre o certificado digital da organização, a seguir); (e) arquivo certificado — PDF com página de certificação incorporada, contendo todos os dados acima, armazenado no Cloudflare R2 com isolamento por organização. No ato da assinatura, o PDF certificado é enviado automaticamente por e-mail a ambas as partes (colaborador e operador). A base legal para o tratamento é o cumprimento de obrigação legal (CLT e legislação trabalhista) e o legítimo interesse da organização na comprovação da relação de trabalho. A trilha de auditoria de assinaturas é imutável e segue o mesmo fluxo de expurgo dos demais dados do workspace, conforme a Seção 9.
• Certificado digital da organização: quando o Owner cadastra o certificado ICP-Brasil (e-CNPJ A1) da organização em Minha Empresa, são tratados: (a) arquivo do certificado, contendo a chave privada e a cadeia de certificação, armazenado de forma cifrada (Seção 7); (b) dados descritivos do certificado extraídos no envio, como razão social, CNPJ, número de série, impressão digital, emissor e período de validade, além de nome e CPF do responsável pelo certificado quando constarem dele; (c) registros de uso e de gestão, com data e hora, finalidade (assinatura de documento ou transmissão ao eSocial), usuário ou rotina responsável e endereço IP, mantidos em trilha de auditoria imutável consultável pela organização. A senha do arquivo é usada apenas no momento do envio, para validá-lo, e nunca é armazenada. Finalidade: assinar digitalmente documentos e transmitir eventos ao eSocial em nome da organização, e nada além disso. Base legal: execução do contrato (art. 7º, V, LGPD) e, no caso da transmissão ao eSocial, cumprimento de obrigação legal (art. 7º, II). O cadastro do certificado é de responsabilidade da organização, que pode removê-lo ou substituí-lo a qualquer momento; sem certificado vigente, a transmissão ao eSocial não está disponível e os documentos seguem apenas com a assinatura eletrônica avançada.
• Portal do Colaborador: quando o colaborador acessa o portal, são tratados: nome completo, e-mail e senha (armazenada com hash). O colaborador cria a própria senha no primeiro acesso. São também registrados tokens de sessão e logs das interações realizadas (solicitações submetidas, documentos acessados).
• Avaliação de Desempenho e PDI: resultados de ciclos avaliativos (pontuações e respostas de autoavaliação, avaliação do gestor e avaliação por pares), vinculados ao colaborador avaliado e aos avaliadores; metas e planos de desenvolvimento individual com registro de progresso. Dados de avaliação por pares identificam tanto o avaliado quanto os avaliadores, salvo quando a organização configurar anonimização das avaliações. Base legal: execução do contrato de trabalho (art. 7º, V) e legítimo interesse da organização (art. 7º, IX, LGPD).
• Pesquisa de Clima: respostas aos questionários configurados pela organização. As respostas são armazenadas com vínculo ao colaborador respondente; a exibição dos resultados à organização pode ser anônima ou identificada conforme configuração da pesquisa. A organização contratante é responsável pela adequação legal dos questionários, incluindo a definição da base legal aplicável quando as perguntas envolverem dados sensíveis (art. 5º, II, LGPD), como indicadores de saúde mental ou condição física dos respondentes. Base legal padrão: legítimo interesse organizacional (art. 7º, IX, LGPD).
• Canal de Denúncias: quando o módulo está ativo, o canal recebe denúncias por dois caminhos. (a) Link público, sem autenticação: são coletados apenas categoria, título e descrição do relato — nenhum dado de identificação é coletado, mesmo quando o denunciante opta por "identificada", pois o formulário público não solicita nome ou contato. (b) Portal do Colaborador, autenticado: o colaborador escolhe entre denúncia identificada (o registro é vinculado ao seu cadastro — nome e cargo ficam visíveis ao operador responsável) ou anônima (o registro nunca é vinculado à identidade do colaborador, mesmo estando autenticado no momento do envio; um PIN de 6 dígitos definido pelo próprio denunciante, armazenado apenas como hash, permite acompanhar o andamento sem expor sua identidade). Em ambos os caminhos, o conteúdo é classificado automaticamente por IA (categoria e severidade sugeridas — ver item "Inteligência Artificial" abaixo). Base legal: cumprimento de obrigação legal (mecanismos de prevenção e combate ao assédio previstos na Lei 14.457/2022) e legítimo interesse da organização na apuração de irregularidades internas (art. 7º, IX, LGPD).
• Inteligência Artificial (Análise IA): diversos módulos da plataforma (Colaboradores, Ausências, Solicitações, Recrutamento, Treinamentos, Pesquisa de Clima, Avaliação de Desempenho, Canal de Denúncias, Ponto Online e outros) oferecem recursos de análise e sugestão gerados por IA. Para gerar esses resultados, o conteúdo relevante do módulo (por exemplo, o texto de uma denúncia, respostas de uma pesquisa de clima ou dados de ausências) é enviado à Anthropic (modelos Claude), suboperadora contratada exclusivamente para processamento de linguagem natural. A Anthropic processa os dados apenas para gerar a resposta solicitada e, conforme sua política comercial de API, não utiliza esses dados para treinar seus modelos. O uso desses recursos consome créditos de IA, conforme descrito nos Termos de Uso. Base legal: legítimo interesse da organização (art. 7º, IX, LGPD) e execução do contrato, quando o recurso for parte de um módulo contratado.
• Ponto Online: quando o módulo Ponto Online está ativo, são coletados a cada marcação: (a) desafio de gesto — mecanismo de prova de vivacidade usado em toda verificação: pede ao colaborador um movimento específico (ex.: virar a cabeça); os frames são processados por um microsserviço próprio da ActaOne, hospedado no Google Cloud (Cloud Run, biblioteca MediaPipe), e a evidência é enviada ao Cloudflare R2 e mantida por até 90 dias, conforme a Seção 9; (b) comparação facial — a cada verificação, o frame do desafio de gesto é comparado sob demanda com a foto de referência do colaborador (armazenada no Cloudflare R2, ver Seção 9) pela AWS Rekognition (CompareFaces); a AWS não armazena nenhuma imagem nem mantém um perfil biométrico — recebe as duas imagens, devolve um resultado de similaridade e descarta tudo em seguida; (c) geolocalização — latitude e longitude no momento do registro, obtida via API do navegador/dispositivo; (d) dados da marcação — timestamp, tipo de registro (entrada, saída ou pausa) e identificador do dispositivo. Os dados biométricos (frames do desafio de gesto e a foto de referência usada na comparação facial) constituem dados sensíveis (art. 5º, II, LGPD) e são tratados, assim como a geolocalização, com base no cumprimento de obrigação legal (CLT, art. 74 — obrigatoriedade do controle de jornada para empresas com mais de 20 empregados) e na execução do contrato de trabalho (art. 7º, V, LGPD) — não consentimento: dentro da relação de emprego, o consentimento é considerado viciado pela assimetria entre as partes. No cadastro da foto de referência, o colaborador passa por uma tela de ciência específica sobre esse tratamento (versionada e registrada, nos mesmos moldes desta Política), que cumpre a exigência de transparência do art. 9º da LGPD sem se apresentar como uma autorização revogável. A organização contratante é a controladora responsável pelo uso do módulo; a ActaOne atua como operadora.
• Trilha de auditoria: registro imutável e automático de toda operação de inserção, alteração ou exclusão em qualquer tabela da plataforma, com snapshot completo do estado anterior e posterior (em JSON), identificação do operador responsável e timestamp. Gerado via Database Triggers — não pode ser alterado ou excluído pelos usuários da plataforma.
• Presença e sessão: dados de presença online (user_id, tenant_id, último acesso), usados para indicadores de presença em tempo real e para atualização do campo last_login_at da organização, utilizado na detecção de inatividade para fins de encerramento de conta.
• Indicadores de integridade: a plataforma gera e armazena indicadores internos de uso por organização, baseados em padrões de atividade (frequência de acesso, volume de operações), qualidade dos dados cadastrados (consistência e completude dos registros) e interações com a interface. Esses indicadores são utilizados exclusivamente para detecção automatizada de uso indevido, prevenção a fraudes e proteção da plataforma, nos termos da Seção 5. Os indicadores não são expostos aos usuários.
• Cookies e rastreamento: a plataforma (app.actaone.com.br) utiliza apenas cookies estritamente necessários para autenticação e segurança. O site institucional (actaone.com.br) utiliza Google Analytics (GA4) e Meta Pixel, ativados exclusivamente após consentimento explícito do visitante obtido pelo banner de cookies exibido na primeira visita (art. 7º, I, LGPD). Esses serviços podem compartilhar informações com Google LLC e Meta Platforms, respectivamente, conforme suas políticas de privacidade. O site institucional também registra métricas internas de navegação (página, origem/UTM da campanha, referenciador) associadas a um identificador de sessão aleatório guardado no navegador, sem uso de cookie e sem compartilhamento com terceiros, com base no legítimo interesse do controlador (art. 7º, IX, LGPD) — ver detalhes na Seção 12.

• Autenticar usuários e controlar acessos por papel (Owner/Operador) e por permissão granular de cada operador (perfil de partida — DP, RH, Contabilidade/Jurídico, Médico do Trabalho, Psicólogo ou Administrador adjunto — mais ajuste módulo a módulo: ver, editar e excluir), com restrições enforçadas em banco de dados e camada de autenticação.
• Operar todos os módulos contratados: colaboradores, agenda, fluxos, recrutamento, treinamentos, benefícios, ausências, ativos, cargos, políticas, solicitações, folha de pagamento e eSocial, demonstrativos, alertas, auditoria, relatórios, portal do colaborador, avaliações de desempenho, PDI, pesquisas de clima, canal de denúncias e Ponto Online (controle de jornada com verificação biométrica e geolocalização).
• Gerar dashboards com indicadores em tempo real e relatórios exportáveis em PDF por módulo.
• Receber, apurar e responder denúncias internas de assédio, discriminação, fraude e demais irregularidades, preservando o anonimato do denunciante quando essa opção for escolhida.
• Processar recursos de Análise IA (resumos e sugestões) mediante envio do conteúdo relevante à Anthropic, consumindo créditos de IA conforme o plano contratado.
• Emitir alertas automáticos antecipados sobre vencimentos de documentos, treinamentos, ASOs e ativos.
• Manter trilha de auditoria imutável para rastreabilidade e conformidade trabalhista.
• Processar assinaturas eletrônicas avançadas (Lei 14.063/2020, Art. 4º, II): autenticar o colaborador signatário via token único e OTP, registrar trilha de auditoria imutável do ato de assinatura, aplicar, quando a organização tiver cadastrado o próprio certificado digital, a assinatura digital ICP-Brasil da organização (PAdES-BES) sobre o PDF final e notificar ambas as partes por e-mail.
• Guardar com segurança o certificado digital cadastrado pela organização, utilizá-lo exclusivamente para assinar documentos e transmitir eventos ao eSocial em nome dela, e monitorar sua validade para avisar o Owner antes do vencimento.
• Operar o Portal do Colaborador, permitindo acesso autenticado com e-mail e senha para consulta de dados próprios, submissão de solicitações ao DP, acesso a holerites e documentos, e participação em pesquisas e avaliações.
• Conduzir ciclos de avaliação de desempenho, PDI e pesquisas de clima conforme configurados pela organização, consolidando resultados e disponibilizando relatórios para operadores autorizados.
• Processar pagamentos e emitir NFS-e via integração com Asaas.
• Detectar inatividade de conta para fins de aplicação da política de retenção e exclusão automatizada de dados.
• Monitorar padrões de uso e qualidade dos dados cadastrados para detecção automatizada de comportamento incompatível com o uso regular do serviço, prevenção a fraudes e proteção da integridade da plataforma, com base no legítimo interesse (art. 7º, IX, LGPD).
• Verificar a validade e situação cadastral de CNPJs informados no momento do cadastro, mediante consulta automatizada a bases públicas da Receita Federal.
• Garantir segurança, integridade e disponibilidade da plataforma.

Não vendemos dados pessoais. Não utilizamos dados de colaboradores para finalidades alheias à operação do serviço contratado.

Não compartilhamos dados com terceiros fora das finalidades descritas. Para operar o serviço, utilizamos os seguintes suboperadores, sob obrigações contratuais de confidencialidade e segurança:

• Amazon Web Services (AWS Rekognition): comparação facial (CompareFaces) entre o frame do desafio de gesto e a foto de referência do colaborador, exclusivamente para o módulo Ponto Online. A comparação é feita sob demanda a cada verificação: a AWS recebe as duas imagens, devolve um resultado de similaridade e não armazena nada — nenhuma imagem, nenhum perfil biométrico. Dados processados pela AWS conforme sua Política de Privacidade. Utilizado apenas por organizações com o módulo Ponto Online ativo.
• Google Cloud Platform (Cloud Run): hospedagem dos microsserviços próprios da ActaOne responsáveis pela transmissão do eSocial, pelo desafio de gesto do Ponto Online (mecanismo de prova de vivacidade via MediaPipe, ver Seção 4), pela transcodificação de vídeos de treinamento e pelo monitoramento de legislação trabalhista. Dados processados pelo Google conforme sua Política de Privacidade.
• Anthropic (modelos Claude): processamento de linguagem natural para os recursos de Análise IA disponíveis em diversos módulos da plataforma (Colaboradores, Ausências, Solicitações, Recrutamento, Treinamentos, Pesquisa de Clima, Avaliação de Desempenho, Canal de Denúncias, Ponto Online e outros). Dados processados pela Anthropic conforme sua Política de Privacidade.
• Supabase: banco de dados PostgreSQL e autenticação.
• Vercel: hospedagem e execução da aplicação web.
• Asaas: processamento de pagamentos, gestão de assinaturas e emissão de NFS-e.
• Resend: envio de e-mails transacionais (convites, notificações e alertas).
• Cloudflare R2: armazenamento de arquivos (documentos, avatares, anexos, logos) e CDN.
• Cloudflare: CDN, proteção e distribuição de conteúdo.
• BrasilAPI: consulta de dados públicos de CNPJ junto à Receita Federal para validação cadastral no momento da criação de conta.
• Ambiente Nacional do eSocial (Governo Federal): quando a organização utiliza o módulo de Folha e eSocial, os eventos trabalhistas, previdenciários e de folha de pagamento (admissão, afastamentos, remuneração, desligamento, fechamento de competência e demais eventos exigidos) são transmitidos ao Ambiente Nacional do eSocial, sob responsabilidade da organização empregadora e em cumprimento de obrigação legal (Decreto 8.373/2014 e legislação correlata). Não é um compartilhamento comercial — é a prestação de contas do empregador ao poder público.
• Google LLC (Google Analytics GA4): análise de navegação no site institucional (actaone.com.br), ativado exclusivamente após consentimento explícito do visitante via banner de cookies. Dados processados pelo Google conforme sua Política de Privacidade.
• Meta Platforms (Meta Pixel): mensuração de campanhas publicitárias e retargeting no site institucional (actaone.com.br), ativado exclusivamente após consentimento explícito do visitante via banner de cookies. Dados processados pela Meta conforme sua Política de Privacidade.

Parte desses provedores pode armazenar dados em servidores localizados fora do Brasil. Nesses casos, adotamos salvaguardas adequadas conforme exigido pela LGPD. Podemos divulgar dados quando exigido por lei, ordem judicial ou autoridade competente, nos limites da obrigação legal aplicável.

• Comunicação cifrada via TLS em todos os canais; criptografia em repouso para dados sensíveis e credenciais.
• Isolamento de dados por organização (Row Level Security) enforçado diretamente no banco de dados — nenhum tenant acessa dados de outro.
• Controle de acesso por papel (Owner/Operador) e perfil de acesso (interno ou externo) com restrições imutáveis: role, status, vínculo de organização e e-mail não podem ser alterados diretamente pelo usuário. Operadores externos enxergam exclusivamente os módulos permitidos pelo perfil definido no convite.
• Restrição de vínculo único: cada usuário pode estar ativo em apenas um workspace por vez, enforçado por constraint no banco de dados, impedindo acessos simultâneos a múltiplas organizações.
• Suspensão de operador invalida imediatamente a sessão ativa via banimento no Supabase Auth, sem dependência de expiração de JWT.
• Arquivos armazenados no Cloudflare R2 com isolamento por tenant aplicado a cada chamada de upload/download. Acesso aos arquivos exige URLs assinadas com expiração curta — URLs diretas sem autenticação não são possíveis.
• Trilha de auditoria imutável gerada via Database Triggers, sem possibilidade de alteração ou exclusão pela camada de aplicação.
• Certificado digital da organização armazenado em cofre próprio, com criptografia em envelope (AES-256-GCM, chave individual por certificado protegida por chave-mestra mantida fora do banco de dados), acesso restrito ao servidor e sem nenhuma funcionalidade que exiba o conteúdo do certificado a usuários da organização ou à equipe da ActaOne. O material é decifrado apenas em memória, no instante de cada uso autorizado, e cada uso é registrado em trilha de auditoria imutável encadeada por hash, consultável pela organização. O envio, a substituição e a remoção exigem confirmação com segundo fator recente. A remoção ou substituição apaga do banco de dados o material cifrado e a chave individual dele (destruição criptográfica); cópias de segurança do provedor, que só o contêm cifrado e sem acesso à chave-mestra, são eliminadas no ciclo de retenção dos backups descrito na Seção 9.
• Verificação automatizada de CNPJ no momento do cadastro, aceitando exclusivamente CNPJs com situação cadastral ativa na Receita Federal.
• Proteção contra bots e automação abusiva via Cloudflare Turnstile nos formulários de autenticação (login e recuperação de senha).
• Monitoramento automatizado de padrões de uso para detecção de comportamento anômalo, com possibilidade de suspensão preventiva de workspaces quando identificada atividade incompatível com o uso regular do serviço.

A plataforma oferece a funcionalidade de remoção de dados pessoais de colaboradores, acessível pelo Owner na aba de auditoria de cada colaborador. Ao acionar essa funcionalidade, são removidos ou substituídos permanentemente:

• Todos os campos de identificação pessoal do registro do colaborador: nome, CPF, foto, data de nascimento, tipo sanguíneo, contatos, endereço completo, escolaridade, habilitação, quantidade de filhos, observações, condição médica e dados bancários (banco, agência, conta e chave Pix).
• Arquivos físicos anexados ao colaborador no Cloudflare R2 (documentos, avatares e anexos da linha do tempo).
• Nome, CPF e dados bancários de eventuais beneficiários de pensão alimentícia vinculados ao colaborador.
• Texto livre que possa conter identificação de terceiros: descrições e nomes de arquivo da linha do tempo do colaborador, e motivo/observações do histórico de cargos.
• Os mesmos campos de identificação pessoal, removidos retroativamente da trilha de auditoria (função sanitize_auditoria_pii), preservando apenas o registro estrutural das operações.

O registro histórico e as métricas do workspace são mantidos de forma anônima. A anonimização é irreversível.

Dados relacionados ao colaborador em outros módulos — avaliações de desempenho, PDI, pesquisas de clima, solicitações e assinaturas eletrônicas — são mantidos com o identificador do registro do colaborador, que passa a não conter dados pessoais identificáveis após a anonimização. O vínculo histórico e operacional é preservado de forma anônima para fins de integridade dos registros da organização.

Os dados da organização e de seus colaboradores são mantidos enquanto a assinatura estiver ativa. Os prazos de retenção e expurgo seguem dois fluxos distintos:

• Cancelamento explícito pelo Owner: ao solicitar a exclusão do workspace, o encerramento é agendado para o fim do período já pago da assinatura, com prazo mínimo de 7 dias contados a partir da solicitação. Durante esse intervalo, o workspace permanece em funcionamento e o Owner pode exportar todos os dados pelo botão "Exportar meus dados". O Owner pode cancelar a exclusão agendada a qualquer momento antes da data. Quando a data chega, o expurgo é executado automaticamente. Não há retenção pós-encerramento — todo o tempo de retenção é o próprio período pago somado aos dias mínimos de cortesia.
• Inadimplência: a suspensão é decidida por tempo, nunca por quantidade de tentativas de cobrança. Após 10 dias corridos contados da primeira falha de pagamento, o acesso é suspenso para todos os usuários. A partir daí, a organização tem até 90 dias contados do vencimento original da fatura que deu início à inadimplência para regularizar (atualizar o cartão pelo painel) e recuperar o acesso integralmente. Sem regularização nesse prazo, o expurgo automático é executado, independentemente de qualquer comunicação da operadora de cobrança. Durante a janela de suspensão, o acesso aos dados pelo painel está bloqueado — o Owner deve regularizar para acessar.

O processo de exclusão automatizada remove dados do banco de dados (PostgreSQL/Supabase), arquivos do Cloudflare R2 (todos os prefixos do tenant em ambos os buckets — documentos, currículos, anexos de fluxo, avatares, logos, assets) e contas de autenticação (Supabase Auth) vinculadas exclusivamente ao workspace. Um job de reconciliação executado de hora em hora garante o reprocessamento em caso de falha técnica parcial. Após a confirmação do expurgo, a recuperação é impossível.

A trilha de auditoria (auditoria_logs) é excluída integralmente junto com os demais dados do tenant no processo de expurgo — não há retenção seletiva da trilha após o encerramento.

Certificado digital da organização: mantido cifrado enquanto estiver cadastrado. É apagado do banco de dados quando o Owner o remove ou o substitui e, em qualquer caso, no expurgo do workspace; as cópias de segurança do provedor o mantêm somente cifrado e saem no ciclo de retenção descrito em Backups, abaixo. A trilha de auditoria de uso do certificado, por ser imutável, permanece enquanto o workspace existir e é excluída junto com os demais dados do tenant no expurgo.

Retenção fiscal: registros de pagamento (historico_pagamentos) e Notas Fiscais de Serviço Eletrônicas emitidas pela ActaOne contra o contratante (notas_fiscais) não são apagados no expurgo do workspace. Por obrigação contábil-tributária, esses registros são preservados pelo prazo legal exigido (5 anos), com o vínculo ao tenant zerado após a exclusão (campo tenant_id definido como nulo). Esses registros são contábeis da ActaOne e não contêm dados de colaboradores nem dados operacionais de DP — apenas valor cobrado, plano contratado, data de pagamento, razão social e CNPJ do tomador.

Backups: a infraestrutura do Supabase mantém backups point-in-time conforme a política do provedor (tipicamente 7 dias). Após esse período, mesmo dados expurgados não podem ser recuperados via restore. Cloudflare R2 não mantém versões históricas nesse projeto.

Retenção específica do Ponto Online: a evidência do desafio de gesto (os frames usados tanto para a prova de vivacidade quanto para a comparação facial via AWS Rekognition) é mantida por até 90 dias após a marcação e apagada automaticamente por rotina diária — a própria AWS não armazena nada, conforme a Seção 6. A foto de referência biométrica do colaborador é mantida enquanto ele estiver ativo no módulo e por até 30 dias após o desligamento, também apagada automaticamente. Já o registro da marcação em si (ponto_registros — data, hora, tipo e geolocalização, sem a foto) não tem expurgo próprio: segue o mesmo ciclo de vida do workspace descrito nesta Seção. A guarda desses registros pelo prazo mínimo exigido pela legislação trabalhista (5 anos, prudencialmente até 7) após o encerramento do contrato de trabalho ou do workspace é responsabilidade da organização contratante — a CLT atribui esse dever ao empregador, não à plataforma. Recomenda-se fortemente a exportação dos registros de ponto antes de qualquer cancelamento ou período prolongado de inadimplência, pelo botão "Exportar meus dados" disponível durante o período de exclusão agendada.

O Owner pode solicitar a exclusão do workspace pelo painel (Configurações → Empresa → Excluir Workspace), mediante confirmação explícita do nome da organização. A solicitação agenda a exclusão para o fim do período já pago da assinatura (mínimo 7 dias) — não é executada imediatamente. Durante esse intervalo, o Owner mantém acesso normal, pode exportar todos os dados pelo botão "Exportar meus dados" e pode cancelar a exclusão a qualquer momento antes da data agendada.

Quando a data agendada chega, um job diário marca o tenant como pendente de expurgo, um Database Trigger dispara a Edge Function de expurgo via pg_net, e o processo remove sequencialmente: assinatura Asaas → arquivos no Cloudflare R2 → tabelas do banco de dados → contas no Supabase Auth. Após a conclusão, a recuperação é impossível, exceto pelos registros fiscais retidos por obrigação legal (ver Seção 9).

Em conformidade com os artigos 17 a 22 da LGPD, você pode solicitar:

• Confirmação da existência de tratamento dos seus dados;
• Acesso aos dados que mantemos sobre você;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• Portabilidade dos dados a outro fornecedor;
• Informação sobre compartilhamentos realizados;
• Revogação de consentimento, quando o tratamento tiver essa base legal.

Solicitações devem ser enviadas ao nosso Encarregado (DPO): contato@actaone.com.br. Responderemos em até 15 dias úteis.

Se você é colaborador de uma organização cliente, recomendamos contatar primeiro o RH ou DP da sua empresa — eles são os controladores responsáveis e o caminho mais direto para atender sua solicitação.

A plataforma (app.actaone.com.br) utiliza exclusivamente cookies estritamente necessários para autenticação, manutenção de sessão e segurança. Não são utilizados cookies de publicidade comportamental na plataforma.

O site institucional (actaone.com.br) utiliza as seguintes ferramentas de rastreamento, ativadas somente após consentimento explícito do visitante (art. 7º, I, LGPD), obtido pelo banner de cookies exibido na primeira visita:

• Google Analytics (GA4): coleta dados de navegação anonimizados (páginas visitadas, origem do tráfego, tempo de sessão) para análise de desempenho do site. Os dados são processados pelo Google LLC conforme sua Política de Privacidade.
• Meta Pixel: registra visitas ao site para mensuração de campanhas publicitárias, retargeting e criação de audiências no Meta Business. Com a correspondência avançada ativada, dados informados voluntariamente em formulários (nome, e-mail e telefone) são hasheados localmente e enviados ao Meta para melhorar a atribuição de conversões — nenhum dado é enviado em texto puro. Os dados são processados pela Meta Platforms conforme sua Política de Privacidade.

Caso opte por não consentir, nenhuma dessas ferramentas é carregada. Você pode alterar sua preferência a qualquer momento limpando os dados do navegador para que o banner seja exibido novamente, ou desativando cookies de terceiros nas configurações do navegador.

Independentemente dessa escolha, o site institucional também registra métricas internas de produto e marketing (página visitada, origem/campanha de UTM, referenciador) enviadas diretamente ao próprio backend da ActaOne, sem compartilhamento com terceiros. Esse registro usa um identificador de sessão aleatório guardado em sessionStorage (não é cookie e é apagado ao fechar a aba), não coleta dado pessoal identificável e tem como base legal o legítimo interesse do controlador (art. 7º, IX, e art. 10, LGPD) para entender o desempenho do próprio site, dispensando consentimento prévio nos termos do art. 8º, §4º.

Esta Política pode ser atualizada para refletir mudanças legais, operacionais ou de funcionalidades. As alterações entram em vigor após publicação nesta página, com atualização da data indicada no topo. O uso continuado da plataforma implica aceitação das alterações.

O Encarregado pelo Tratamento de Dados Pessoais (DPO) da ActaOne, nos termos do art. 41 da LGPD, é Daniel Miranda Moreira. Para exercer direitos de titular, tirar dúvidas sobre esta Política ou comunicar um incidente, entre em contato por:

• E-mail: contato@actaone.com.br (assunto: LGPD / Encarregado)
• Site: https://www.actaone.com.br

As solicitações são respondidas no prazo legal aplicável, em regra em até 15 dias. Se você é colaborador de uma organização cliente, o controlador dos seus dados é a sua empresa — o pedido deve ser dirigido primeiro ao RH ou DP dela (ver Seção 1).

Ao utilizar a plataforma ActaOne, você declara ter lido e concordar com os termos desta Política de Privacidade.