Política de Privacidade

O GesTime é um serviço de registro de ponto e gestão de RH fornecido por [RAZÃO SOCIAL], CNPJ [00.000.000/0001-00], com sede em [ENDEREÇO COMPLETO].

Para os dados dos funcionários, a empresa contratante é a controladora: é ela quem decide coletar o ponto, por quanto tempo guardar e para que usar. O GesTime atua como operador, tratando esses dados apenas conforme as instruções da contratante e desta política. Para os dados de quem contrata o serviço (cadastro, cobrança), o GesTime é o controlador.

Encarregado pelo tratamento de dados (DPO): [NOME], contato [privacidade@suaempresa.com.br].

• Identificação e vínculo: nome, e-mail, matrícula, cargo, unidade, datas de admissão e desligamento, hierarquia (liderança e gestão).
• Registros de ponto: data e hora de cada marcação, tipo (entrada, intervalo, saída), origem do registro, número sequencial (NSR) e endereço IP. Também a geolocalização do instante da marcação (latitude, longitude e margem de erro), quando o aparelho do empregado autoriza — o navegador pede permissão, e a recusa não impede o registro do ponto: a marcação é gravada do mesmo jeito, sem coordenada. Quando a empresa contrata o registro sem conexão, a marcação carrega ainda um identificador do aparelho e duas horas: a do relógio do aparelho, que é a do registro, e a do relógio do sistema no instante em que ela chegou.
• Jornada calculada: horas trabalhadas, extras, adicional noturno, atrasos, faltas, banco de horas e status do dia.
• Solicitações e documentos: pedidos de ajuste, abono, férias e desligamento, com as justificativas e os anexos enviados (por exemplo, atestados).
• Enquadramento de insalubridade e periculosidade: o grau de insalubridade, a marcação de periculosidade e a existência de licença prévia para prorrogação de jornada.
• Dados cadastrais complementares, quando a empresa optar por preenchê-los: documentos, endereço, contato e dados bancários.
• Assinatura eletrônica do espelho: data, hora, IP, navegador e um código de verificação do conteúdo assinado.
• Atendimento por chat: o conteúdo das mensagens trocadas com o suporte, com autor, data e hora, e os arquivos e gravações enviados à conversa. O que entra aí é escolha de quem envia — inclusive na gravação de tela, em que o usuário decide qual janela mostrar antes de a captura começar — por isso a orientação, nos Termos, de não enviar mais dados pessoais do que o atendimento exige.
• Registros técnicos de falha: quando alguma tela ou operação do sistema apresenta erro, o próprio sistema guarda a mensagem técnica do erro, o endereço interno da tela, a data e a hora, e a identificação da empresa e do usuário que estavam usando o sistema naquele momento. Serve para descobrir o defeito e corrigi-lo — e para avisar quem foi afetado.

Sobre a geolocalização e o perímetro da unidade. A coordenada é lida apenas no instante de cada marcação — o sistema não acompanha o empregado antes, depois, nem entre as batidas, e não há rastreamento contínuo. A empresa contratante pode contratar à parte o recurso de perímetro por unidade: ela informa um ponto central e um raio (de no mínimo 100 metros) e, quando a marcação acontece fora desse raio, o sistema avisa a liderança e a gestão e guarda o registro na auditoria, com a distância apurada. Esse aviso é meramente informativo e serve para a empresa conferir a rota de quem trabalha externamente: a marcação fora do perímetro é registrada normalmente, com a mesma validade das demais, e em nenhuma hipótese o sistema recusa, apaga ou impede o registro do ponto por causa da localização. A coordenada é informada pelo aparelho do empregado e vale como indicação, não como prova de onde a pessoa estava; qualquer consequência para o empregado depende de apuração da empresa, com direito de manifestação, e não decorre automaticamente do aviso.

Sobre o registro sem conexão e o que fica guardado no aparelho. Com esse recurso contratado, a marcação feita sem internet é gravada na memória do próprio navegador do empregado até conseguir ser enviada, junto com o nome, a matrícula, a empresa e a unidade dele — o necessário para a tela funcionar sem consultar o sistema. Nada disso sai do aparelho a não ser para o próprio GesTime, e a senha nunca é guardada ali. Quem tiver o aparelho em mãos e desbloqueado consegue ver esses dados, como consegue ver qualquer tela já aberta do sistema. Ao desligar o recurso, a área guardada é limpa — exceto marcações ainda não enviadas, que permanecem até chegarem ao sistema, porque apagá-las eliminaria registro de jornada.

As duas horas da marcação offline existem para que a diferença entre elas seja visível, e não para presumir má-fé de ninguém: aparelho com relógio desacertado é situação comum. A marcação offline é válida como qualquer outra e, como todas, não é apagada nem recusada pelo sistema. Quando ela chega depois do fechamento do período ou em dia lançado como não trabalhado, fica numa caixa de entrada do setor de pessoal — o empregado enxerga que ela existe e em que situação está — e a decisão de incorporá-la ou recusá-la é da empresa, por escrito e com identificação de quem decidiu.

O GesTime não coleta dados biométricos (impressão digital ou reconhecimento facial) nesta versão. Caso isso mude, a empresa será avisada e o tratamento dependerá de consentimento específico e destacado, na forma do art. 11 da LGPD.

Sobre os registros técnicos de falha, e o que eles não contêm. O sistema não guarda o conteúdo do que estava sendo enviado ou preenchido quando o erro aconteceu — não existe lugar para isso. Antes de gravar, a mensagem técnica passa por uma limpeza automática que substitui por marcadores genéricos qualquer CPF, CNPJ, e-mail, telefone ou valor de campo que o banco de dados tenha citado. Esses registros não são usados para avaliar, medir ou fiscalizar o empregado: eles descrevem uma falha do sistema, não uma conduta de quem estava na tela.

O enquadramento de insalubridade e periculosidade não é dado de saúde. Ele descreve o ambiente e a atividade — é o que o laudo diz do posto de trabalho — e é registrado aqui para calcular o adicional legal devido (arts. 192 e 193 da CLT) e para aplicar a regra do art. 60 sobre prorrogação de jornada em atividade insalubre. O sistema guarda apenas o grau, a marcação de periculosidade e a existência de licença prévia, informação que já consta do contracheque; não guarda laudos, exames, ASO, diagnósticos nem CID, que são dados sensíveis de saúde e permanecem com a medicina do trabalho da empresa. Atestados que o próprio empregado anexa a um pedido de abono seguem a regra dos anexos: servem apenas para justificar a ausência.

Registro de acesso assistido. Quando alguém da equipe técnica precisa ver o sistema com a visão de um usuário para resolver um chamado — o acesso assistido descrito nos Termos de Uso —, o sistema grava a sessão: o motivo escrito antes de entrar, quem entrou, qual usuário serviu de referência, a hora de início, o prazo e a hora em que terminou. Esse registro não descreve conduta de ninguém da empresa: ele descreve o que a Fornecedora fez, e existe justamente para que ela possa ser cobrada. Durante a sessão, os dados alcançados são os mesmos que aquele usuário já enxergava — o acesso assistido não abre nada além do que o perfil dele abriria.

• Cumprimento de obrigação legal (art. 7º, II da LGPD): o controle de jornada é exigido pelo art. 74 da CLT e regulado pela Portaria MTP 671/2021. É a base principal do registro de ponto — por isso ele não depende de consentimento do empregado.
• Execução do contrato de trabalho (art. 7º, V): apuração de horas, férias e folha.
• Legítimo interesse (art. 7º, IX): segurança do acesso e prevenção de fraude no registro, sempre de forma proporcional. É também a base do alerta de marcação fora do perímetro, que existe para conferir a rota de quem trabalha externamente — por isso o raio mínimo é de 100 metros, a leitura acontece só no instante da batida e o alerta nunca impede o registro do ponto. O empregado pode se opor a esse tratamento junto à empresa empregadora, que é a controladora.
• Legítimo interesse (art. 7º, IX), também, para manter o sistema funcionando e corrigir defeitos: é a base dos registros técnicos de falha descritos acima. Sem saber que uma tela quebrou, para quem e quantas vezes, o defeito só seria descoberto quando alguém ligasse reclamando — e, num sistema de ponto, uma tela que não abre pode virar jornada não registrada.
• Execução de contrato (art. 7º, V) e legítimo interesse (art. 7º, IX) para o acesso assistido: quem contrata suporte contrata alguém que consiga ver o problema. O que torna esse interesse legítimo não é a boa intenção, e sim os limites — motivo escrito, 30 minutos, aviso permanente na tela de quem está sendo acompanhado, ponto e fechamento em modo de leitura, tudo marcado na auditoria e a lista dos acessos aberta à empresa. Sem esses limites, o mesmo tratamento não se sustentaria.

Os registros de ponto e o espelho são mantidos por [5 anos] após o encerramento do vínculo, prazo alinhado à prescrição trabalhista (art. 7º, XXIX da Constituição) e à necessidade de prova em eventual fiscalização ou ação. Encerrado o prazo, os dados são eliminados ou anonimizados.

As conversas de suporte e seus anexos seguem prazo próprio, previsto nos Termos de Uso: ficam enquanto a conta estiver ativa e durante o prazo de exportação após o encerramento do contrato. Um anexo pode ser removido antes disso, a pedido ou por iniciativa do suporte, e a remoção fica registrada na conversa e na auditoria.

Os registros técnicos de falha têm prazo curto: a parte que identifica empresa e usuário é descartada em até [90 dias]. Fica apenas o histórico do defeito em si — que ele existiu, quantas vezes aconteceu e quando foi corrigido —, que não identifica ninguém e evita que o mesmo problema seja investigado do zero mais adiante.

Os registros de acesso assistido acompanham a auditoria da conta e não são eliminados antes dela: registro de acesso que some antes dos atos que ele explica não serviria para nada. Eles permanecem consultáveis pela empresa enquanto a conta existir.

Não vendemos dados. O compartilhamento se limita ao necessário para o serviço funcionar:

• Infraestrutura: Supabase (banco de dados e autenticação) e Vercel (hospedagem da aplicação), na condição de suboperadores.
• A própria empresa contratante, por meio dos perfis autorizados (liderança, gestão e departamento pessoal), sempre respeitando a hierarquia configurada.
• Autoridades, quando houver requisição legal ou obrigação de apresentar o controle de jornada.
• A equipe de atendimento do GesTime, quando a empresa abre uma conversa no chat de suporte: ali ela enxerga o que foi escrito, anexado e gravado naquela conversa, e nada além disso é acessado por causa dela — ressalvado o acesso assistido descrito abaixo, que depende de chamado e tem regras próprias.
• A equipe técnica do GesTime, nos registros de falha: para consertar um defeito é preciso ver a mensagem de erro e saber quem foi atingido — senão não há como avisar as empresas afetadas. O que ela enxerga aí é o que está descrito no item 2, e nada mais da conta é aberto por causa disso.
• A equipe técnica do GesTime, no acesso assistido, quando é preciso ver a tela como o usuário a vê para resolver o chamado dele. É o compartilhamento mais amplo desta lista — durante aquela meia hora, a pessoa autorizada enxerga o que aquele perfil enxerga — e por isso é o mais cercado: motivo escrito antes, prazo curto, faixa de aviso na tela de quem está sendo acompanhado, ponto e fechamento em leitura, cada ato marcado na auditoria e a relação dos acessos aberta à empresa a qualquer momento.

Os dados trafegam cifrados (HTTPS) e ficam isolados por empresa no banco, com regras de acesso aplicadas na própria base — de modo que um usuário de uma empresa não alcança dados de outra, nem um líder alcança quem está fora da equipe dele. Senhas são armazenadas com algoritmo de hash pelo provedor de autenticação; ninguém, nem o suporte, as visualiza. As marcações recebem número sequencial e código de verificação, de forma que alteração posterior seja detectável.

Os limites do acesso assistido não são promessa de conduta: são regras aplicadas na própria base de dados. O prazo derruba a sessão sem depender de ninguém; a proibição de alterar ponto e fechamento é verificada no banco, e não na tela; a marca de que um ato aconteceu durante um acesso assistido é gravada no mesmo instante do ato, e não depois. É o que permite que a empresa confira, sozinha, o que aconteceu na conta dela.

O empregado pode pedir confirmação de tratamento, acesso, correção, portabilidade, informação sobre compartilhamentos e, quando cabível, eliminação (art. 18 da LGPD). Como a controladora é a empresa empregadora, o pedido deve ser dirigido a ela — o RH/DP tem as ferramentas no sistema para atender. O GesTime apoia a empresa nesse atendimento.

Parte desses direitos já está disponível no próprio sistema: o empregado consulta o espelho, baixa o comprovante de cada marcação e abre solicitação de correção.

Esta política pode ser atualizada quando houver mudança relevante no serviço. A data de atualização acima é sempre a da última revisão, e mudanças significativas são comunicadas à empresa contratante.