Política de Privacidade

Versão 1.2 - Vigência: Maio de 2026 (Seção 11: Canal de Denúncias)

1. Introdução

A PrismaNR LTDA ("nós", "nosso" ou "PrismaNR") está comprometida com a proteção dos dados pessoais de todos os usuários de nossa plataforma. Esta Política de Privacidade descreve como coletamos, usamos, armazenamos e protegemos suas informações, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 - LGPD).

Ao utilizar a plataforma PrismaNR, você declara ter lido e compreendido esta Política.

2. Papéis na LGPD

Para fins da LGPD, os papéis são definidos da seguinte forma:

Papel	Responsável	Descrição
Controlador	Empresa (cliente da Consultoria)	Define as finalidades do tratamento dos dados dos funcionários
Operador	Consultoria contratante	Realiza o tratamento em nome do Controlador
Suboperador	PrismaNR LTDA	Fornece infraestrutura tecnológica para o tratamento
Suboperadores técnicos	DigitalOcean, Asaas	Prestadores de serviços contratados pela PrismaNR

3. Dados Tratados

3.1. Dados Cadastrais (Consultorias e Usuários)

• Nome, e-mail, telefone, CPF/CNPJ;
• Dados profissionais: CRP, formação acadêmica, cargo;
• Dados de acesso: logs de login, IP, dispositivo.

3.2. Dados de Respondentes (Funcionários)

• Identificadores: código anônimo interno;
• Dados demográficos: setor, unidade, tempo de empresa (sem identificação individual);
• Respostas de questionários: tratadas de forma agregada.

3.3. Dados Financeiros

• Informações de faturamento: CNPJ, endereço fiscal;
• Histórico de pagamentos.

Nota: Dados de cartão de crédito são processados exclusivamente pelo gateway de pagamento (Asaas) e não são armazenados em nossos servidores.

4. Finalidade do Tratamento

Dado	Finalidade
Dados cadastrais	Gestão de conta, suporte, comunicações
Respostas de avaliações	Geração de relatórios estatísticos agregados
Dados de uso	Melhoria da plataforma, segurança
Dados financeiros	Faturamento, conformidade fiscal

5. Base Legal

O tratamento de dados pessoais pela PrismaNR fundamenta-se nas seguintes bases legais da LGPD:

• Execução de contrato (Art. 7º, V): Prestação dos serviços contratados;
• Cumprimento de obrigação legal (Art. 7º, II): NR-1, legislação trabalhista e fiscal;
• Legítimo interesse (Art. 7º, IX): Segurança da plataforma, prevenção a fraudes;
• Consentimento (Art. 7º, I): Quando expressamente solicitado para finalidades específicas.

6. Segurança dos Dados

Implementamos medidas técnicas e organizacionais para proteger os dados pessoais:

• Criptografia: Dados em trânsito (TLS 1.3) e em repouso (AES-256);
• Controle de acesso: Autenticação robusta com tokens de sessão, permissões granulares por perfil e expiração automática por inatividade;
• Infraestrutura: Servidores em data centers DigitalOcean com certificação ISO 27001;
• Monitoramento: Logs de auditoria, rate limiting nos endpoints críticos, detecção de anomalias;
• Auditoria LGPD: Registro imutável de todo acesso a respostas individuais de funcionários (quem acessou, quando e por qual finalidade), em conformidade com o Art. 37 e Art. 46 da LGPD;
• Consentimento explícito: Respondentes precisam aceitar o termo de privacidade antes de iniciar o questionário, com registro do momento do consentimento;
• Backups: Cópias de segurança automáticas do banco de dados gerenciado, com retenção de 7 dias (DigitalOcean Managed Database).

7. Compartilhamento de Dados

Os dados pessoais podem ser compartilhados com:

Destinatário	Finalidade	Proteção
DigitalOcean	Hospedagem e processamento	Contrato de DPA, data centers seguros
Asaas	Processamento de pagamentos	PCI-DSS, LGPD compliance
Google Gemini (IA)	Geração de análises	Apenas dados agregados, sem identificação

8. Retenção de Dados

Tipo de Dado	Período de Retenção	Justificativa
Dados cadastrais	Duração do contrato + 5 anos	Obrigações fiscais e legais
Respostas de avaliações	5 anos após a avaliação	Conformidade NR-1/PGR
Relatórios gerados	20 anos	Prazo prescricional trabalhista
Logs de acesso	6 meses	Marco Civil da Internet
Dados financeiros	5 anos	Legislação fiscal

Após os períodos indicados, os dados são anonimizados ou eliminados de forma segura.

9. Direitos do Titular

Conforme a LGPD, você tem direito a:

• Acesso: Solicitar cópia dos seus dados pessoais;
• Correção: Atualizar dados incompletos ou incorretos;
• Anonimização/Bloqueio: Solicitar tratamento restrito;
• Eliminação: Requerer exclusão de dados desnecessários;
• Portabilidade: Receber seus dados em formato estruturado;
• Revogação do consentimento: Quando o tratamento for baseado em consentimento;
• Informação: Saber com quem seus dados foram compartilhados.

Para exercer seus direitos, entre em contato pelo e-mail: contato@prismanr.com.br

Responderemos em até 15 dias úteis, conforme previsto na LGPD.

10. Encarregado de Dados (DPO)

Para questões relacionadas à proteção de dados pessoais, entre em contato através do e-mail:

contato@prismanr.com.br

11. Canal de Denúncias (Add-on opcional)

Esta seção complementa a presente Política e aplica-se exclusivamente aos Clientes que tenham contratado o módulo opcional Canal de Denúncias (Lei nº 14.457/2022).

11.1. Dados tratados no canal

No contexto do Canal de Denúncias, os dados tratados pela PrismaNR limitam-se a:

• Conteúdo da denúncia (texto livre, descrição do ocorrido) — fornecido voluntariamente pelo denunciante;
• Anexos opcionais (imagem, áudio, documento) — fornecidos voluntariamente pelo denunciante;
• Token de acompanhamento de 32 caracteres aleatórios, entregue exclusivamente ao denunciante;
• Histórico imutável das transições de status, registrando data, hora e operador responsável.

A PrismaNR não coleta o endereço IP, o User-Agent, geolocalização ou qualquer outro dado de identificação do denunciante. O canal é estruturalmente anônimo.

11.2. Bases legais

O tratamento dos dados das denúncias fundamenta-se nas seguintes hipóteses legais previstas na Lei nº 13.709/2018 (LGPD):

• Art. 7º, II — cumprimento de obrigação legal, considerando a Lei nº 14.457/2022 e o Decreto nº 11.815/2023;
• Art. 7º, IX — legítimo interesse, para apuração de conduta no ambiente de trabalho.

11.3. Papéis na LGPD

No âmbito do Canal de Denúncias, a Empresa Contratante (ou a Consultoria, conforme a modalidade) atua como Controladora dos dados das denúncias. A PrismaNR atua como Operadora, limitando-se às atividades técnicas de recepção, armazenamento auditável, controle de acesso pelos operadores designados e geração de relatórios trimestrais agregados.

11.4. Retenção

Os dados do Canal de Denúncias são retidos pelo prazo de 5 (cinco) anos contados do encerramento da denúncia, conforme exigência da legislação trabalhista. Após esse prazo, os dados são definitivamente eliminados, salvo determinação judicial ou administrativa em contrário.

11.5. Token e impossibilidade de recuperação

Pela natureza anônima do canal, a PrismaNR não armazena qualquer correlação entre a identidade do denunciante e o token de acompanhamento. Em consequência, a perda do token pelo denunciante torna o acompanhamento daquela denúncia específica permanentemente inacessível. Trata-se de característica inerente e indissociável ao modelo anônimo exigido pela Lei nº 14.457/2022.

11.6. Subprocessadores

Para a prestação do módulo Canal de Denúncias, a PrismaNR utiliza os mesmos subprocessadores listados na Seção 7 desta Política (DigitalOcean para hospedagem em território brasileiro e Mailgun para envio de notificações), sem ampliação do escopo de compartilhamento.

12. Foro

Fica eleito o Foro da Comarca de São Paulo, Estado de São Paulo, para dirimir quaisquer questões relacionadas a esta Política de Privacidade, com renúncia expressa a qualquer outro, por mais privilegiado que seja.

13. Atualizações

Esta Política de Privacidade pode ser atualizada periodicamente. Alterações significativas serão comunicadas por e-mail ou através de aviso na plataforma. Recomendamos a revisão periódica deste documento.