Política de privacidade

1. Quem somos e a quem esta política se aplica

O Contraprova é um produto da NOCTRA, nome fantasia de Hugo Adriano de Oliveira Desenvolvimento de Software Ltda, CNPJ 66.638.192/0001-74. Esta política explica como tratamos dados pessoais no site contraprova.noctratech.com.br e no sistema app.contraprova.noctratech.com.br, conforme a Lei 13.709/2018 (LGPD).

Há dois papéis diferentes. Nos dados que a empresa cliente coloca no sistema (relatos do canal de denúncias, planilhas de RH, PGR, usuários da gestão), a empresa cliente é a controladora e a NOCTRA é operadora: tratamos esses dados só para prestar o serviço, segundo as instruções da empresa e o contrato de tratamento de dados assinado com ela. Nos dados de quem nos procura pelo site ou pelo WhatsApp, a NOCTRA é a controladora.

2. Dados de quem usa o canal de denúncias

O relato anônimo não coleta nome, e-mail, telefone nem qualquer dado que identifique quem relatou. O sistema guarda apenas o que a pessoa escreve, o setor e o assunto escolhidos, e gera um protocolo e uma senha. Não usamos cookies de rastreamento nem ferramentas de análise no canal.

Quem escolhe se identificar informa nome e contato. Esses dados, o texto do relato e as mensagens ficam cifrados no banco, e quem apura o caso nunca recebe a identidade do denunciante. Por segurança, o sistema registra tentativas de acesso ao protocolo para bloquear quem tenta adivinhar senhas.

Pedidos sobre um relato (acesso, correção, exclusão) devem ser feitos à empresa onde o fato aconteceu, que é a controladora. Se a pessoa nos procurar, encaminhamos o pedido à empresa sem expor quem pediu além do necessário.

3. Dados que a empresa cliente envia

A empresa pode enviar o PGR e planilhas de quadro de pessoal, ponto e afastamentos. A matrícula do empregado é transformada em um código irreversível no momento da importação e não é guardada. O sistema trabalha com números agregados por setor e mês, e relatórios escondem grupos com menos de 5 pessoas.

Dados de afastamento por saúde são dados pessoais sensíveis. Só o perfil de médico do trabalho vê o capítulo da CID; o RH e a gestão nunca recebem esse código.

4. Dados de contato comercial

Quando você fala conosco pelo WhatsApp ou por e-mail, tratamos nome, empresa, contato e o que você nos enviar (inclusive o PGR do diagnóstico gratuito) para responder, fazer o diagnóstico e enviar proposta. A base legal é o procedimento preliminar a um contrato a pedido seu. O PGR enviado para diagnóstico é apagado em até 30 dias depois da entrega do resultado, se não houver contratação.

5. Usuários da área da gestão

Para quem acessa a gestão guardamos e-mail, nome, perfil, senha (só em forma de hash, nunca legível) e um registro de auditoria das ações relevantes, que não pode ser alterado nem apagado. Usamos um cookie de sessão estritamente necessário para manter o login.

6. Com quem os dados são compartilhados

Não vendemos dados. Usamos estes fornecedores, que tratam dados apenas para operar o serviço:

• Oracle Cloud Infrastructure, região São Paulo (Brasil): servidores, banco de dados e cópias de segurança.
• Cloudflare: resolução de DNS do domínio. O tráfego do sistema não passa pelos servidores dela.
• Provedor de inteligência artificial, apenas quando a leitura automática do PGR estiver habilitada para a empresa: o modelo usado é informado na proposta. No modo local, o modelo roda no servidor da empresa e nada sai da rede dela. Relatos do canal de denúncias nunca são enviados a provedor de IA.

7. Segurança

Conexões cifradas (HTTPS), dados sensíveis cifrados no banco, cada empresa em um espaço separado do banco de dados com permissões próprias, senhas em hash, bloqueio após tentativas erradas, registro de auditoria imutável e cópias de segurança diárias cifradas fora do servidor. Em caso de incidente de segurança que possa gerar risco relevante, avisamos a empresa cliente sem demora indevida para que ela cumpra suas obrigações com a ANPD e os titulares.

8. Por quanto tempo guardamos

Os dados da empresa cliente ficam guardados enquanto durar o contrato. O prazo de retenção dos relatos é definido pela empresa (padrão de 60 meses). Ao fim do contrato, a empresa pode exportar seus dados e, depois disso, os apagamos em até 90 dias, inclusive das cópias de segurança no ciclo seguinte de retenção, salvo obrigação legal de guarda.

9. Seus direitos

Você pode pedir confirmação de tratamento, acesso, correção, anonimização, portabilidade, exclusão e informação sobre compartilhamento, e pode revogar consentimento quando ele for a base legal. Para dados em que a NOCTRA é controladora, escreva para contato@noctratech.com.br. Respondemos em até 15 dias. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

10. Encarregado e contato

Encarregado pelo tratamento de dados pessoais: Hugo Adriano de Oliveira, contato@noctratech.com.br.

11. Mudanças nesta política

Quando esta política mudar, atualizamos a data acima e, se a mudança afetar dados de empresas clientes, avisamos com pelo menos 30 dias de antecedência.