Política de Privacidade

Nos termos da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — LGPD), a Multi Segurança assume dois papéis distintos e bem delimitados, a depender da natureza do dado tratado:

Essa distinção é relevante porque, na qualidade de Operador, a Multi Segurança não decide sobre a finalidade do tratamento dos dados de funcionários, não os utiliza para finalidade diversa daquela instruída pela Empresa Contratante, e segue as determinações desta quanto à correção, retenção ou eliminação desses dados — sem prejuízo dos direitos que a LGPD assegura diretamente aos próprios Titulares (Seção 7).

Coletamos e processamos as seguintes categorias de dados:

Adotamos o princípio da minimização (Art. 6º, III, da LGPD): coletamos estritamente os dados necessários às finalidades acima descritas, sem solicitar informações adicionais não relacionadas à gestão de EPIs e documentos trabalhistas. O CPF e demais dados cadastrais trabalhistas coletados não constituem, por si sós, dados sensíveis nos termos do Art. 5º, II, da LGPD. O Atestado de Saúde Ocupacional (ASO), quando enviado pela Empresa Contratante para armazenamento na Plataforma, constitui dado sensível de saúdenos termos do Art. 5º, II, da LGPD; a decisão de coletar e reter esse documento é da Empresa Contratante, na qualidade de Controladora, cabendo à Plataforma unicamente seu armazenamento seguro, na qualidade de Operadora. Os demais dados trabalhistas, ainda que não sensíveis, são tratados com o mesmo rigor técnico aplicado a dados sensíveis, dado seu caráter identificador e sua relação com a relação de emprego do Titular.

O tratamento de dados pessoais na Plataforma se fundamenta nas seguintes bases legais da LGPD:

• Cumprimento de obrigação legal ou regulatória (Art. 7º, II): o controle de entrega, troca e registro de EPIs é uma exigência imperativa da Consolidação das Leis do Trabalho (CLT) e da Norma Regulamentadora NR-06 do Ministério do Trabalho e Emprego, que obrigam o empregador a documentar o fornecimento e a orientação de uso dos equipamentos de proteção individual.
• Execução de contrato (Art. 7º, V): o tratamento dos dados cadastrais da Empresa Contratante e de seus usuários é necessário à execução do contrato de prestação de serviços de software (SaaS) firmado entre a Multi Segurança e o Cliente.
• Legítimo interesse (Art. 7º, IX): para finalidades de segurança da informação, prevenção a fraudes, auditoria de acessos e melhoria contínua da Plataforma, sempre limitado ao estritamente necessário e sem prejudicar os direitos e liberdades fundamentais dos Titulares.
• Tutela da saúde e execução de políticas públicas (Art. 11, II, "a" e "f", quando aplicável): no que se refere a documentos ocupacionais como ASO, PCMSO e PGR, o tratamento se ampara na proteção da saúde e segurança do trabalhador, em procedimento realizado pela própria Empresa Contratante (ou por profissionais de saúde ocupacional por ela designados), cabendo à Plataforma unicamente o armazenamento seguro desses documentos como Operadora.

Sempre que o legítimo interesse for utilizado como base legal, a Multi Segurança realiza previamente um teste de proporcionalidade e necessidade (Legitimate Interest Assessment), avaliando a finalidade legítima do tratamento, sua necessidade e o impacto sobre os direitos e liberdades fundamentais dos titulares, nos termos do art. 10, §3º, da LGPD. A documentação desse teste é mantida pelo Encarregado de Dados e pode ser disponibilizada à ANPD ou, mediante solicitação justificada, ao próprio titular.

A Plataforma não trata dados pessoais para fins de marketing direto a funcionários, publicidade direcionada ou revenda a terceiros.

Adotamos medidas técnicas e administrativas para proteger os dados pessoais contra acessos não autorizados e situações de destruição, perda, alteração, comunicação ou difusão, entre as quais destacamos:

• Isolamento multi-tenant por Row Level Security (RLS): todas as tabelas do banco de dados possuem políticas de RLS habilitadas no nível do próprio banco (não apenas na aplicação), garantindo que uma empresa jamais consiga ler, alterar ou excluir dados de outra empresa — cada consulta é automaticamente restrita ao empresa_id vinculado à sessão autenticada do usuário, mesmo em caso de manipulação direta de requisições HTTP.
• Criptografia em trânsito e em repouso: todas as comunicações entre o navegador, a Plataforma e o banco de dados ocorrem exclusivamente via HTTPS/TLS; os dados armazenados no banco de dados e no armazenamento de arquivos são criptografados em repouso pela infraestrutura de nuvem utilizada (Supabase, sobre PostgreSQL), seguindo padrões de mercado (AES-256).
• Armazenamento privado com URLs assinadas de curta duração: documentos (ASO, certificados, contratos, fichas assinadas etc.) ficam em um repositório de arquivos privado, sem links públicos permanentes. Cada visualização ou download gera uma URL assinada, temporária (expiração em minutos) e de uso único, emitida somente após validação de que o usuário autenticado pertence à empresa proprietária do arquivo.
• Autenticação e controle de sessão: acesso à Plataforma exige autenticação via sessão segura (tokens JWT emitidos pelo provedor de autenticação), e todas as rotas do painel administrativo exigem sessão válida e vinculada a um usuário ativo, revalidada a cada operação sensível.
• Validação de integridade de arquivos enviados: uploads são validados pela assinatura binária real do arquivo (e não apenas pela extensão ou tipo informado pelo navegador), com limite de tamanho e tipos permitidos, reduzindo riscos de upload malicioso.
• Princípio do menor privilégio: credenciais privilegiadas de administração do banco de dados são utilizadas exclusivamente em rotinas de servidor específicas e nunca são expostas ao navegador do usuário.

A comunicação à ANPD observará os parâmetros definidos na Resolução CD/ANPD nº 15/2024, buscando ocorrer em prazo razoável e, sempre que tecnicamente possível, em até 3 (três) dias úteis contados da ciência do incidente pela Multi Segurança. Titulares afetados por incidentes de alto risco serão comunicados diretamente, pelos canais de contato cadastrados (e-mail ou aviso no painel administrativo), com orientações sobre medidas de proteção que podem adotar. A comunicação incluirá, no mínimo: natureza dos dados afetados, medidas técnicas e de segurança adotadas para proteção dos dados, riscos relacionados ao incidente e medidas que foram ou serão adotadas para reverter ou mitigar seus efeitos.

Os dados pessoais são mantidos pelo período de vigência do contrato de prestação de serviços firmado entre a Multi Segurança e a Empresa Contratante, acrescido do prazo adicional necessário para o cumprimento de obrigações legais, regulatórias ou trabalhistas aplicáveis (por exemplo, prazos prescricionais de ações trabalhistas e exigências documentais da legislação previdenciária), a critério e sob instrução da Empresa Contratante — que, na qualidade de Controladora dos dados de seus funcionários, é responsável por definir o prazo de guarda adequado a cada tipo de documento.

Encerrado o contrato ou mediante solicitação expressa da Empresa Contratante, os dados e documentos são eliminados de forma segura de nossa infraestrutura de produção, ressalvadas as hipóteses do Art. 16 da LGPD (cumprimento de obrigação legal, uso exclusivo do Controlador com acesso restrito, ou transferência a terceiro mediante autorização). Cópias de segurança (backups) seguem ciclo de expiração próprio e não são utilizadas para fins diversos da recuperação de desastres.

Determinados operadores subcontratados podem processar dados em infraestrutura localizada fora do território nacional. Nesses casos, a Multi Segurança exige contratualmente a adoção de salvaguardas adequadas nos termos do art. 33 da LGPD, tais como cláusulas contratuais padrão, selos, certificados de boas práticas ou nível de proteção de dados equivalente ao exigido pela legislação brasileira, garantindo que a transferência não reduza o padrão de proteção assegurado aos titulares.

Não vendemos, alugamos ou compartilhamos dados pessoais com terceiros para fins comerciais ou de marketing. O compartilhamento ocorre estritamente nas seguintes hipóteses:

• Supabase, Inc. — infraestrutura de banco de dados, autenticação e armazenamento de arquivos, sob obrigações contratuais de confidencialidade e segurança compatíveis com a LGPD. Caso o processamento envolva infraestrutura localizada fora do território nacional, tal transferência internacional observará as garantias previstas no Art. 33 da LGPD.
• Resend — envio de notificações e alertas por e-mail (ex.: vencimento de documentos e EPIs).
• Vercel Inc. — hospedagem e infraestrutura de execução (deploy) da aplicação web, sob obrigações contratuais de confidencialidade e segurança compatíveis com a LGPD.
• Google LLC (API Gemini, plano pago) — processamento por inteligência artificial para geração assistida de conteúdo textual (ex.: sugestões de pauta do Diálogo Diário de Segurança — DDS — e apoio à análise de ocorrências de inspeção), a partir de instruções e dados fornecidos pela própria Empresa Contratante através da Plataforma. Por se tratar do nível pago da API Gemini (cobrança por requisição), esses dados não são utilizados pelo fornecedor para treinamento de modelos de inteligência artificial de uso geral, nos termos das condições comerciais vigentes do provedor para essa camada de serviço.
• Determinação legal ou judicial: quando exigido por autoridade competente, mediante requisição formal e nos limites por ela estabelecidos.
• Dentro da própria Empresa Contratante: dados de um funcionário são visíveis apenas aos usuários autorizados da respectiva Empresa Contratante (seu empregador), nunca a outras empresas clientes da Plataforma.

A Multi Segurança mantém lista atualizada de seus operadores subcontratados e a disponibiliza ao titular ou à Empresa Contratante mediante solicitação ao Encarregado de Dados. Qualquer novo operador que venha a tratar dados pessoais dos titulares estará sujeito às mesmas exigências contratuais de proteção de dados aqui descritas (art. 28 da LGPD).

Nos termos do Art. 18 da LGPD, o Titular dos dados (funcionário) ou a Empresa Contratante, em seu nome ou no de seus colaboradores, podem solicitar a qualquer momento:

• Confirmação da existência de tratamento de dados pessoais;
• Acesso aos dados pessoais tratados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• Portabilidade dos dados a outro fornecedor de serviço, observados os segredos comercial e industrial;
• Eliminação dos dados pessoais tratados com o consentimento do Titular, quando aplicável;
• Informação sobre as entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;
• Informação sobre a possibilidade de não fornecer consentimento e as consequências da negativa;
• Revogação do consentimento, quando o tratamento tiver esse fundamento.

Quando o tratamento tiver como base o consentimento do titular, este poderá revogá-lo a qualquer momento, de forma gratuita e facilitada, mediante solicitação ao Encarregado de Dados pelo canal indicado na Seção 8 ou, quando disponível, diretamente nas configurações da Plataforma. A revogação não afeta a licitude do tratamento realizado com base no consentimento antes de sua retirada.

Solicitações relativas a dados de funcionários (nos quais a Multi Segurança atua como Operador) serão encaminhadas à respectiva Empresa Contratante para deliberação, por ser esta a Controladora responsável pela decisão final, salvo nos casos em que a própria LGPD assegure atendimento direto pelo Operador. Em qualquer caso, o canal de contato abaixo está disponível para recepção e triagem de todas as solicitações.

Para exercer os direitos descritos nesta Política, esclarecer dúvidas sobre o tratamento de dados pessoais ou reportar um incidente de segurança, entre em contato com o Encarregado de Proteção de Dados (DPO) da Multi Segurança:

Buscamos responder a toda solicitação legítima dentro dos prazos estabelecidos pela LGPD e pela ANPD.

Para assegurar que a solicitação seja atendida exclusivamente ao próprio titular ou a seu representante legalmente constituído, a Multi Segurança poderá solicitar documentos ou informações adicionais que permitam confirmar a identidade do requerente antes de processar pedidos relacionados aos direitos previstos na Seção 7. O prazo de resposta previsto em lei passa a correr a partir da confirmação da identidade do solicitante, e não da data do pedido inicial.

A Plataforma destina-se exclusivamente ao uso corporativo (B2B) por empresas e seus colaboradores maiores de idade, em conformidade com a legislação trabalhista brasileira, que veda o trabalho de menores de 18 anos em atividades insalubres ou perigosas que exijam uso de EPI, ressalvadas as hipóteses de aprendiz e menor aprendiz previstas em lei, tratadas com o mesmo rigor de proteção de dados aplicável aos demais funcionários.

Esta Política de Privacidade pode ser atualizada periodicamente para refletir melhorias na Plataforma, mudanças legais ou regulatórias, ou aprimoramentos em nossas práticas de segurança. A data da última atualização consta no topo desta página. Alterações materiais serão comunicadas às Empresas Contratantes por e-mail ou aviso no painel administrativo.

Esta Política é regida pelas leis da República Federativa do Brasil, em especial a Lei nº 13.709/2018 (LGPD) e a Consolidação das Leis do Trabalho (CLT). Fica eleito o foro da comarca da sede da Multi Segurança para dirimir quaisquer controvérsias decorrentes desta Política, com renúncia a qualquer outro, por mais privilegiado que seja.