01 · Seção
Quais dados coletamos
Coletamos as categorias de dados pessoais necessárias para operar a plataforma SIM e cumprir obrigações regulatórias do setor de SST:
- Conta: nome, e-mail corporativo, cargo dentro da consultoria, senha (armazenada como hash bcrypt — nunca em texto puro).
- Cobrança: razão social, CNPJ, endereço fiscal e responsável financeiro — usados exclusivamente na emissão de NFSe via Asaas.
- Operacional: dados das empresas-cliente da consultoria (CNPJ, CNAE, unidades, funcionários, ASOs, exames) inseridos por você na plataforma.
- Uso: logs de acesso, IP, user-agent, ações realizadas no Serviço, usados para auditoria, segurança e melhoria contínua.
- Pagamento: processado integralmente pelo gateway Asaas. Nunca armazenamos dados de cartão no SIM.
02 · Seção
Como usamos seus dados
Os dados pessoais são utilizados para:
- Fornecer, operar e manter a plataforma SIM e seus módulos contratados;
- Processar cobranças e emitir notas fiscais via gateway homologado;
- Transmitir eventos do eSocial (S-2210, S-2220, S-2240) ao governo em nome dos clientes da sua consultoria;
- Enviar comunicações transacionais (confirmações, alertas de prazo, recuperação de senha);
- Detectar fraude, abuso e comportamentos suspeitos;
- Cumprir obrigações legais, fiscais e regulatórias do setor de SST.
03 · Seção
Com quem compartilhamos
Compartilhamos dados pessoais apenas com operadores estritamente necessários para a execução do Serviço, sob contrato com cláusulas de proteção de dados:
- Asaas: processamento de pagamentos e emissão automática de NFSe.
- SOC: integração para sincronização de funcionários, ASOs e exames (apenas para clientes que ativam o módulo Integração SOC).
- Receita Federal / eSocial: transmissão de eventos S-2210, S-2220 e S-2240 (obrigação legal do empregador).
- Resend: envio de e-mails transacionais com PII redacted.
- Sentry: error tracking sem PII — apenas IDs opacos (ULIDs) sem nome, e-mail ou CPF.
- BetterStack: logs operacionais com PII automaticamente redacted no ingest.
Nunca vendemos, alugamos ou cedemos dados pessoais para fins de marketing de terceiros.
04 · Seção
Seus direitos (LGPD)
De acordo com a Lei Geral de Proteção de Dados (Lei 13.709/2018), você tem direito a:
- Confirmação da existência de tratamento dos seus dados;
- Acesso aos dados que mantemos sobre você;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários;
- Portabilidade para outro fornecedor mediante requisição expressa;
- Eliminação dos dados tratados com base no consentimento;
- Informação sobre entidades públicas e privadas com as quais compartilhamos dados;
- Revogação do consentimento a qualquer momento.
Solicitações são respondidas em até 15 dias úteis. Para exercer qualquer direito, escreva para dpo@ecosunset.com.br.
05 · Seção
Isolamento entre tenants
O SIM é uma plataforma multi-tenant. Cada consultoria opera em um tenant isolado, e dados de uma consultoria nunca são acessíveis por outra. O isolamento é aplicado em camada de banco de dados via extensão do Prisma Client que injeta automaticamente o filtro de tenant em todas as queries de modelos sensíveis.
Bypasses (operações de manutenção, jobs administrativos) são auditados em log imutável e requerem permissão explícita.
06 · Seção
Retenção de dados
Mantemos seus dados pessoais enquanto a sua conta SIM estiver ativa. Após o cancelamento:
- Você tem 60 dias para exportar dados via interface ou API;
- Em até 30 dias após esse prazo, anonimizamos ou eliminamos os dados;
- Mantemos o necessário para obrigações legais — notas fiscais emitidas, eventos do eSocial transmitidos, logs de auditoria — pelo prazo previsto na legislação aplicável (até 10 anos para documentos fiscais).
08 · Seção
Segurança
Aplicamos medidas técnicas e organizacionais para proteger seus dados:
- Criptografia em trânsito (TLS 1.3) e em repouso para backups;
- Hash bcrypt para senhas, com fator de custo 12;
- Isolamento por tenant aplicado no banco via extensão do Prisma Client;
- Logs com PII automaticamente redacted no ingest;
- Rate-limit e proteção contra força bruta nos endpoints de autenticação;
- Auditoria de acessos administrativos e bypasses operacionais;
- Backups diários cifrados com retenção de 30 dias.
09 · Seção
Transferência internacional
A plataforma SIM é hospedada em infraestrutura localizada no Brasil. Transferências internacionais ocorrem apenas para subprocessadores específicos (ex.: Sentry, com servidores nos EUA), sempre via cláusulas contratuais padrão (SCCs) ou outro mecanismo previsto no Capítulo V da LGPD. A lista atualizada de subprocessadores fica disponível mediante solicitação ao DPO.
10 · Seção
Crianças e adolescentes
O SIM é uma ferramenta B2B destinada a profissionais de SST e RH. Não coletamos deliberadamente dados de menores de 18 anos. Caso identifiquemos coleta inadvertida, eliminaremos os dados imediatamente.
11 · Seção
Alterações nesta política
Atualizações relevantes serão comunicadas com no mínimo 15 dias de antecedência, por e-mail e dentro do próprio Serviço. A data da última atualização aparece no topo deste documento.
12 · Seção
Contato (DPO)
Para exercer qualquer direito da LGPD, tirar dúvidas sobre o tratamento dos seus dados ou reportar incidentes, fale com o nosso encarregado de proteção de dados em dpo@ecosunset.com.br.