Acordo de Processamento de Dados (DPA)

1. Papéis das partes

A CONTRATANTE atua como Controladora dos dados pessoais cadastrados na plataforma (colaboradores, gestores, atestados etc.). A EpiControl atua como Operadora, tratando dados exclusivamente conforme instruções e finalidades definidas pela CONTRATANTE.

2. Dados tratados

• Identificação: nome, CPF, RG, matrícula, cargo, setor, filial.
• Contato: e-mail, telefone.
• Saúde ocupacional: PCMSO, atestados médicos com CID, treinamentos, ASOs.
• Operacionais: entregas de EPI, empréstimos, assinaturas eletrônicas, fotos de itens.

3. Finalidades

Os dados são tratados exclusivamente para: (a) cumprimento de obrigações legais e regulatórias de SST; (b) rastreabilidade de EPIs e ferramental; (c) gestão de saúde ocupacional; (d) geração de documentos legalmente exigíveis (recibos, ordens, comprovantes).

4. Base legal

Cumprimento de obrigação legal (art. 7º, II da LGPD — Normas Regulamentadoras do MTP), execução de contrato (art. 7º, V) e legítimo interesse do empregador (art. 7º, IX).

5. Medidas técnicas e organizacionais

• Criptografia em trânsito (TLS 1.2+) e em repouso.
• Isolamento por empresa via Row-Level Security no banco de dados.
• Autenticação com senha forte + 2FA opcional (TOTP).
• Proteção contra senhas vazadas via HIBP.
• Log de auditoria de ações sensíveis, acessível ao Diretor.
• Backups automáticos diários com retenção de 30 dias.

6. Suboperadores

A EpiControl utiliza os seguintes suboperadores, autorizados pela CONTRATANTE:

• Supabase / AWS (São Paulo, BR): hospedagem de banco de dados e storage.
• Cloudflare: CDN, proteção DDoS.
• Lovable: hospedagem da aplicação.

Alterações na lista de suboperadores serão comunicadas com 30 dias de antecedência via e-mail e no painel do sistema.

7. Direitos do titular

A CONTRATANTE pode exercer todos os direitos previstos no art. 18 da LGPD diretamente pelo sistema, na aba Privacidade e Dados: confirmação, acesso, correção, portabilidade, eliminação e informações sobre uso compartilhado. Solicitações de titulares individuais devem ser encaminhadas primeiro à Controladora (CONTRATANTE); a EpiControl auxilia tecnicamente.

8. Retenção e eliminação

Dados operacionais são mantidos durante toda a vigência do contrato. Após o cancelamento:

• 30 dias para exportação pela CONTRATANTE.
• Documentos SST são mantidos pelo prazo legal mínimo (NR-7: 20 anos após desligamento do colaborador).
• Demais dados são excluídos ou anonimizados em até 90 dias.

9. Incidentes de segurança

Em caso de incidente que possa causar risco ou dano relevante aos titulares, a EpiControl notificará a CONTRATANTE em até 72 horas com as informações previstas no art. 48, §1º da LGPD.

10. Encarregado (DPO)

Contato do Encarregado de Proteção de Dados: dpo@epicontrol.com.br.