Política de Privacidade

O OctaPonto é um serviço de registro de ponto e gestão de RH fornecido por [RAZÃO SOCIAL], CNPJ [00.000.000/0001-00], com sede em [ENDEREÇO COMPLETO].

Para os dados dos funcionários, a empresa contratante é a controladora: é ela quem decide coletar o ponto, por quanto tempo guardar e para que usar. O OctaPonto atua como operador, tratando esses dados apenas conforme as instruções da contratante e desta política. Para os dados de quem contrata o serviço (cadastro, cobrança), o OctaPonto é o controlador.

Encarregado pelo tratamento de dados (DPO): [NOME], contato [privacidade@suaempresa.com.br].

• Identificação e vínculo: nome, e-mail, matrícula, cargo, unidade, datas de admissão e desligamento, hierarquia (liderança e gestão).
• Registros de ponto: data e hora de cada marcação, tipo (entrada, intervalo, saída), origem do registro, número sequencial (NSR) e endereço IP. Também a geolocalização do instante da marcação (latitude, longitude e margem de erro), quando o aparelho do empregado autoriza — o navegador pede permissão, e a recusa não impede o registro do ponto: a marcação é gravada do mesmo jeito, sem coordenada. Quando a empresa contrata o registro sem conexão, a marcação carrega ainda um identificador do aparelho e duas horas: a do relógio do aparelho, que é a do registro, e a do relógio do sistema no instante em que ela chegou.
• Jornada calculada: horas trabalhadas, extras, adicional noturno, atrasos, faltas, banco de horas e status do dia.
• Solicitações e documentos: pedidos de ajuste, abono, férias, desligamento e transferência, com as justificativas e os anexos enviados (por exemplo, atestados).
• Transferência entre unidades: a unidade e a equipe de destino, a data prevista, o motivo, a resposta do gestor que vai receber a pessoa e, quando a transferência exige mudança de domicílio, o registro da concordância do empregado e se ela é provisória. O pedido fica reservado ao empregado até ser aplicado pelo departamento pessoal. O gestor que vai receber a pessoa vê apenas este pedido — nome, cargo, unidade atual, destino, motivo e o que foi anexado a ele — e não tem acesso ao ponto, à jornada, ao salário nem ao histórico dela.
• Conduta e medidas disciplinares: o fato registrado pela empresa, a medida aplicada (advertência verbal, advertência escrita ou suspensão), a quantidade de dias e o dia de início quando há suspensão, o texto entregue ao empregado, as etapas do processo com data e hora e o registro da ciência — data, hora, endereço IP, navegador, um código de verificação do conteúdo e, quando o empregado se recusa a assinar, o nome de duas testemunhas. A empresa mantém ainda uma anotação interna de trabalho, escrita e guardada separada do texto entregue ao empregado, para que a decisão seja tomada com contexto. Ela é lida apenas por gestão, departamento pessoal e administração da própria empresa — não aparece na tela do empregado, não vai junto no espelho e não é lida por colegas. Pelo mesmo motivo, as etapas internas do processo não são exibidas ao empregado: ele vê o que lhe é dirigido.
• Efeito da suspensão no espelho de ponto: aplicada a suspensão, cada dia suspenso aparece no espelho com o status suspensão — e não como falta. Dias que já têm férias, atestado, afastamento, abandono, declaração de horas, desligamento ou marcação registrada impedem a aplicação; folga, folga de banco de horas e feriado sãopreservados — a suspensão não sobrescreve nenhum deles e esses dias não contam como dias cumpridos. Dia dentro de competência já fechada também não aceita suspensão.
• Enquadramento de insalubridade e periculosidade: o grau de insalubridade, a marcação de periculosidade e a existência de licença prévia para prorrogação de jornada.
• Dados cadastrais complementares, quando a empresa optar por preenchê-los: documentos, endereço, contato e dados bancários.
• Assinatura eletrônica do espelho: data, hora, IP, navegador e um código de verificação do conteúdo assinado.
• Atendimento por chat: o conteúdo das mensagens trocadas com o suporte, com autor, data e hora, e os arquivos e gravações enviados à conversa. O que entra aí é escolha de quem envia — inclusive na gravação de tela, em que o usuário decide qual janela mostrar antes de a captura começar — por isso a orientação, nos Termos, de não enviar mais dados pessoais do que o atendimento exige.
• Registros técnicos de falha: quando alguma tela ou operação do sistema apresenta erro, o próprio sistema guarda a mensagem técnica do erro, o endereço interno da tela, a data e a hora, e a identificação da empresa e do usuário que estavam usando o sistema naquele momento. Serve para descobrir o defeito e corrigi-lo — e para avisar quem foi afetado.

Sobre a geolocalização e o perímetro da unidade. A coordenada é lida apenas no instante de cada marcação — o sistema não acompanha o empregado antes, depois, nem entre as batidas, e não há rastreamento contínuo. A empresa contratante pode contratar à parte o recurso de perímetro por unidade: ela informa um ponto central e um raio (de no mínimo 100 metros) e, quando a marcação acontece fora desse raio, o sistema avisa a liderança e a gestão e guarda o registro na auditoria, com a distância apurada. Esse aviso é meramente informativo e serve para a empresa conferir a rota de quem trabalha externamente: a marcação fora do perímetro é registrada normalmente, com a mesma validade das demais, e em nenhuma hipótese o sistema recusa, apaga ou impede o registro do ponto por causa da localização. A coordenada é informada pelo aparelho do empregado e vale como indicação, não como prova de onde a pessoa estava; qualquer consequência para o empregado depende de apuração da empresa, com direito de manifestação, e não decorre automaticamente do aviso.

Sobre o registro sem conexão e o que fica guardado no aparelho. Com esse recurso contratado, a marcação feita sem internet é gravada na memória do próprio navegador do empregado até conseguir ser enviada, junto com o nome, a matrícula, a empresa e a unidade dele — o necessário para a tela funcionar sem consultar o sistema. Nada disso sai do aparelho a não ser para o próprio OctaPonto, e a senha nunca é guardada ali. Quem tiver o aparelho em mãos e desbloqueado consegue ver esses dados, como consegue ver qualquer tela já aberta do sistema. Ao desligar o recurso, a área guardada é limpa — exceto marcações ainda não enviadas, que permanecem até chegarem ao sistema, porque apagá-las eliminaria registro de jornada.

As duas horas da marcação offline existem para que a diferença entre elas seja visível, e não para presumir má-fé de ninguém: aparelho com relógio desacertado é situação comum. A marcação offline é válida como qualquer outra e, como todas, não é apagada nem recusada pelo sistema. Quando ela chega depois do fechamento do período ou em dia lançado como não trabalhado, fica numa caixa de entrada do setor de pessoal — o empregado enxerga que ela existe e em que situação está — e a decisão de incorporá-la ou recusá-la é da empresa, por escrito e com identificação de quem decidiu.

O OctaPonto não coleta dados biométricos (impressão digital ou reconhecimento facial) nesta versão. Caso isso mude, a empresa será avisada e o tratamento dependerá de consentimento específico e destacado, na forma do art. 11 da LGPD.

Sobre os registros técnicos de falha, e o que eles não contêm. O sistema não guarda o conteúdo do que estava sendo enviado ou preenchido quando o erro aconteceu — não existe lugar para isso. Antes de gravar, a mensagem técnica passa por uma limpeza automática que substitui por marcadores genéricos qualquer CPF, CNPJ, e-mail, telefone ou valor de campo que o banco de dados tenha citado. Esses registros não são usados para avaliar, medir ou fiscalizar o empregado: eles descrevem uma falha do sistema, não uma conduta de quem estava na tela.

O enquadramento de insalubridade e periculosidade não é dado de saúde. Ele descreve o ambiente e a atividade — é o que o laudo diz do posto de trabalho — e é registrado aqui para calcular o adicional legal devido (arts. 192 e 193 da CLT) e para aplicar a regra do art. 60 sobre prorrogação de jornada em atividade insalubre. O sistema guarda apenas o grau, a marcação de periculosidade e a existência de licença prévia, informação que já consta do contracheque; não guarda laudos, exames, ASO, diagnósticos nem CID, que são dados sensíveis de saúde e permanecem com a medicina do trabalho da empresa. Atestados que o próprio empregado anexa a um pedido de abono seguem a regra dos anexos: servem apenas para justificar a ausência.

Registro de acesso assistido. Quando alguém da equipe técnica precisa ver o sistema com a visão de um usuário para resolver um chamado — o acesso assistido descrito nos Termos de Uso —, o sistema grava a sessão: o motivo escrito antes de entrar, quem entrou, qual usuário serviu de referência, a hora de início, o prazo e a hora em que terminou. Esse registro não descreve conduta de ninguém da empresa: ele descreve o que a Fornecedora fez, e existe justamente para que ela possa ser cobrada. Durante a sessão, os dados alcançados são os mesmos que aquele usuário já enxergava — o acesso assistido não abre nada além do que o perfil dele abriria.

• Cumprimento de obrigação legal (art. 7º, II da LGPD): o controle de jornada é exigido pelo art. 74 da CLT e regulado pela Portaria MTP 671/2021. É a base principal do registro de ponto — por isso ele não depende de consentimento do empregado.
• Execução do contrato de trabalho (art. 7º, V): apuração de horas, férias e folha.
• Legítimo interesse (art. 7º, IX): segurança do acesso e prevenção de fraude no registro, sempre de forma proporcional. É também a base do alerta de marcação fora do perímetro, que existe para conferir a rota de quem trabalha externamente — por isso o raio mínimo é de 100 metros, a leitura acontece só no instante da batida e o alerta nunca impede o registro do ponto. O empregado pode se opor a esse tratamento junto à empresa empregadora, que é a controladora.
• Legítimo interesse (art. 7º, IX), também, para manter o sistema funcionando e corrigir defeitos: é a base dos registros técnicos de falha descritos acima. Sem saber que uma tela quebrou, para quem e quantas vezes, o defeito só seria descoberto quando alguém ligasse reclamando — e, num sistema de ponto, uma tela que não abre pode virar jornada não registrada.
• Execução de contrato (art. 7º, V) e legítimo interesse (art. 7º, IX) para o acesso assistido: quem contrata suporte contrata alguém que consiga ver o problema. O que torna esse interesse legítimo não é a boa intenção, e sim os limites — motivo escrito, 30 minutos, aviso permanente na tela de quem está sendo acompanhado, ponto e fechamento em modo de leitura, tudo marcado na auditoria e a lista dos acessos aberta à empresa. Sem esses limites, o mesmo tratamento não se sustentaria.
• Execução do contrato de trabalho (art. 7º, V) e cumprimento de obrigação legal (art. 7º, II) para o registro de conduta e de medidas disciplinares: o poder disciplinar nasce do próprio contrato de trabalho, e a lei impõe limites a ele — a suspensão não pode passar de 30 dias, sob pena de rescisão (art. 474 da CLT), e repercute na jornada, que o art. 74 da CLT manda registrar. Por isso o sistema recusa medida sem fato escrito, suspensão sem dia de início, prazo fora do limite legal, suspensão sobre dia já ocupado ou competência já fechada, e alteração do que já foi comunicado ao empregado.Não é consentimento: ciência que o empregado pudesse recusar sem efeito não seria escolha livre, e a lei não pede escolha aqui — pede limite e registro.

Os registros de ponto e o espelho são mantidos por [5 anos] após o encerramento do vínculo, prazo alinhado à prescrição trabalhista (art. 7º, XXIX da Constituição) e à necessidade de prova em eventual fiscalização ou ação. Encerrado o prazo, os dados são eliminados ou anonimizados.

As conversas de suporte e seus anexos seguem prazo próprio, previsto nos Termos de Uso: ficam enquanto a conta estiver ativa e durante o prazo de exportação após o encerramento do contrato. Um anexo pode ser removido antes disso, a pedido ou por iniciativa do suporte, e a remoção fica registrada na conversa e na auditoria.

Os registros técnicos de falha têm prazo curto: a parte que identifica empresa e usuário é descartada em até [90 dias]. Fica apenas o histórico do defeito em si — que ele existiu, quantas vezes aconteceu e quando foi corrigido —, que não identifica ninguém e evita que o mesmo problema seja investigado do zero mais adiante.

Os registros de acesso assistido acompanham a auditoria da conta e não são eliminados antes dela: registro de acesso que some antes dos atos que ele explica não serviria para nada. Eles permanecem consultáveis pela empresa enquanto a conta existir.

O registro de conduta e de medidas disciplinares segue o mesmo prazo do ponto: [5 anos] após o encerramento do vínculo — é prova nas mesmas ações em que o espelho é prova. A anotação interna e o registro de ciência acompanham a medida e são eliminados junto com ela. Enquanto o prazo corre, a ciência não é editada nem apagada: ela é gravada uma vez e conferida pelo código de verificação, porque registro de ciência que pudesse ser reescrito depois não provaria nada.

No desligamento, o acesso termina e os dados ficam. O login do empregado é encerrado no mesmo ato — ele deixa de entrar no sistema a partir daquele dia —, mas nada do que ele registrou é apagado: as marcações, o espelho, as jornadas já calculadas, as solicitações e o histórico permanecem pelos prazos desta seção. São a prova de que o vínculo existiu e de como foi cumprido; apagá-los prejudicaria justamente quem saiu. O motivo e a data do desligamento passam a integrar o cadastro e seguem o mesmo prazo do ponto.

Não vendemos dados. O compartilhamento se limita ao necessário para o serviço funcionar:

• Infraestrutura: Supabase (banco de dados e autenticação) e Vercel (hospedagem da aplicação), na condição de suboperadores.
• Gateway de pagamento (Asaas): para emitir o boleto ou o Pix da mensalidade, ele recebe os dados da empresa contratante — razão social, CNPJ, o e-mail de cobrança indicado por ela e o valor, o vencimento e a descrição da fatura —, na condição de suboperador. Nenhum dado de funcionário trafega por aí: marcação, jornada, espelho, remuneração e cadastro não saem do sistema por esse caminho.
• Envio de e-mail (Resend): os avisos de cobrança e as demais mensagens automáticas saem por esse serviço, que recebe o endereço e o nome do contato de cobrança da empresa e o conteúdo da própria mensagem (número da fatura, competência, valor, vencimento e o link de pagamento), na condição de suboperador. Também aqui nenhum dado de funcionário é enviado.
• A própria empresa contratante, por meio dos perfis autorizados (liderança, gestão e departamento pessoal), sempre respeitando a hierarquia configurada.
• Autoridades, quando houver requisição legal ou obrigação de apresentar o controle de jornada.
• A equipe de atendimento do OctaPonto, quando a empresa abre uma conversa no chat de suporte: ali ela enxerga o que foi escrito, anexado e gravado naquela conversa, e nada além disso é acessado por causa dela — ressalvado o acesso assistido descrito abaixo, que depende de chamado e tem regras próprias.
• A equipe técnica do OctaPonto, nos registros de falha: para consertar um defeito é preciso ver a mensagem de erro e saber quem foi atingido — senão não há como avisar as empresas afetadas. O que ela enxerga aí é o que está descrito no item 2, e nada mais da conta é aberto por causa disso.
• A equipe técnica do OctaPonto, no acesso assistido, quando é preciso ver a tela como o usuário a vê para resolver o chamado dele. É o compartilhamento mais amplo desta lista — durante aquela meia hora, a pessoa autorizada enxerga o que aquele perfil enxerga — e por isso é o mais cercado: motivo escrito antes, prazo curto, faixa de aviso na tela de quem está sendo acompanhado, ponto e fechamento em leitura, cada ato marcado na auditoria e a relação dos acessos aberta à empresa a qualquer momento.

Os dados trafegam cifrados (HTTPS) e ficam isolados por empresa no banco, com regras de acesso aplicadas na própria base — de modo que um usuário de uma empresa não alcança dados de outra, nem um líder alcança quem está fora da equipe dele. Senhas são armazenadas com algoritmo de hash pelo provedor de autenticação; ninguém, nem o suporte, as visualiza. As marcações recebem número sequencial e código de verificação, de forma que alteração posterior seja detectável.

Os limites do acesso assistido não são promessa de conduta: são regras aplicadas na própria base de dados. O prazo derruba a sessão sem depender de ninguém; a proibição de alterar ponto e fechamento é verificada no banco, e não na tela; a marca de que um ato aconteceu durante um acesso assistido é gravada no mesmo instante do ato, e não depois. É o que permite que a empresa confira, sozinha, o que aconteceu na conta dela.

O empregado pode pedir confirmação de tratamento, acesso, correção, portabilidade, informação sobre compartilhamentos e, quando cabível, eliminação (art. 18 da LGPD). Como a controladora é a empresa empregadora, o pedido deve ser dirigido a ela — o RH/DP tem as ferramentas no sistema para atender. O OctaPonto apoia a empresa nesse atendimento.

Parte desses direitos já está disponível no próprio sistema: o empregado consulta o espelho, baixa o comprovante de cada marcação e abre solicitação de correção.

Depois do desligamento, o acesso pela própria tela deixa de existir — o login é encerrado no ato. Os dados continuam guardados, e o direito de acesso continua inteiro: o pedido é dirigido à empresa empregadora, que é a controladora e tem no sistema o espelho, os comprovantes e o histórico do período trabalhado para entregar. Recomendamos que a empresa entregue esse material já no desligamento.

Na ação disciplinar, o empregado tem acesso no sistema ao que lhe diz respeito: o fato, a medida, os dias e o dia de início, o texto que lhe foi entregue e o próprio registro de ciência (art. 18, II da LGPD). A anotação interna e as etapas internas do processo não são exibidas a ele. Isso é limite de circulação, não negativa de direito: o pedido de acesso a esse conteúdo vai à empresa empregadora, que é a controladora e decide o que entregar, observado o segredo de negócio (art. 19, §1º da LGPD). O que o OctaPonto garante é que essa anotação não circula sozinha — não aparece na tela do empregado, não acompanha o espelho e não é lida por colegas.

Esta política pode ser atualizada quando houver mudança relevante no serviço. A data de atualização acima é sempre a da última revisão, e mudanças significativas são comunicadas à empresa contratante.