Política de privacidade

Há dois tipos de dado no ObraTool, e a Lei Geral de Proteção de Dados (Lei 13.709/2018, LGPD) trata cada um de um jeito:

• Dados da sua conta (nome, e-mail, empresa e senha de quem acessa o sistema): o ObraTool é o controlador. Decidimos como tratar esses dados, nos limites desta política.
• Dados que a sua empresa registra (obras, cronogramas, diário, fotos, documentos, compras, financeiro, pessoal de campo): a sua empresa é a controladora e o ObraTool é o operador. Tratamos esses dados só para prestar o serviço, conforme as instruções da sua empresa e os termos de uso.

Se você é mecânico, ajudante ou terceiro cadastrado como pessoal de campo, quem responde pelos seus dados é a empresa que fez o cadastro. Pedidos sobre eles devem ir primeiro a ela; se chegarem a nós, encaminhamos.

• Cadastro e acesso: nome, sobrenome, e-mail, nome da empresa, papel e áreas de acesso. A senha é guardada só como resumo criptográfico pelo serviço de autenticação; ninguém do ObraTool consegue lê-la.
• Uso do sistema: datas de acesso, quem criou ou alterou cada registro e registros técnicos do servidor (endereço IP, navegador, erros), usados para segurança e para corrigir falhas.
• Conteúdo das obras: o que a sua equipe registra, inclusive fotos, documentos, planilhas e áudios.
• Pessoal de campo: nome, função, vínculo, empresa terceirizada e o tipo e a validade de documentos como ASO e NRs. O sistema guarda só o tipo e a data de validade, não o conteúdo do exame.
• Formulário de contato do site: nome, empresa, e-mail, telefone (opcional) e o que você escrever, usados só para responder e marcar a demonstração. Base legal: procedimentos preliminares a um contrato, a seu pedido (art. 7º, V). Apagamos a seu pedido ou quando o contato não seguir adiante.
• Limite de tentativas: para evitar ataques, contamos tentativas de entrar, cadastrar e recuperar senha por endereço IP e por e-mail. Esses valores são guardados só como resumo criptográfico e apagados em até um dia.

Não vendemos dados, não usamos para publicidade e não fazemos perfil de comportamento.

• Prestar o serviço contratado (criar a conta, mostrar as obras, gerar relatórios, enviar convites e pedidos de compra por e-mail): execução de contrato (art. 7º, V).
• Segurança, prevenção de fraude e registros de acesso: legítimo interesse (art. 7º, IX) e cumprimento de obrigação legal, como a guarda de registros de acesso do Marco Civil da Internet (art. 7º, II).
• Suporte e comunicação sobre a conta (avisos do teste, mudanças nos termos): execução de contrato e legítimo interesse.
• Dados que a sua empresa registra: a base legal é definida pela sua empresa, como controladora.

Usamos fornecedores que processam dados em nosso nome, só para prestar o serviço:

• Supabase: banco de dados, autenticação e armazenamento de arquivos.
• Vercel: hospedagem do site e do sistema.
• Resend: envio de e-mails (convites, recuperação de senha, pedidos de compra ao fornecedor).

Esses fornecedores podem guardar dados em servidores fora do Brasil, inclusive nos Estados Unidos. A transferência segue o art. 33 da LGPD, com contratos que obrigam o fornecedor a proteger os dados e a usá-los só para o serviço.

Também podemos compartilhar dados quando a lei ou uma ordem judicial exigir. Pedidos de compra vão para o e-mail do fornecedor que a sua empresa cadastrou, porque é para isso que servem.

• Cada empresa só enxerga as próprias obras. O isolamento é aplicado no banco de dados, não só na tela, e é testado.
• Dentro da empresa, cada pessoa acessa só as áreas que quem administra liberou. O campo não vê valores.
• Arquivos ficam em armazenamento privado e só abrem por link temporário, gerado depois de conferir a permissão.
• Conexões sempre criptografadas (HTTPS) e dados criptografados no armazenamento do fornecedor.
• Limite de tentativas no acesso e convites que guardam só o resumo criptográfico do link.

Os dados ficam guardados enquanto a conta da empresa estiver ativa. Registros não são apagados no dia a dia: obras são arquivadas e lançamentos são cancelados, para o histórico não se perder.

Quando a empresa pede a exclusão (em Configurações), confirmamos com o owner, enviamos uma cópia dos dados se ele quiser e apagamos a organização. As cópias de segurança do provedor são substituídas no ciclo normal dele. Registros de acesso ficam pelo prazo que a lei exige.

• Sessão: cookies que mantêm você conectado. Sem eles o sistema não funciona.
• Preferências: tema claro ou escuro, a área escolhida na Visão geral, o menu recolhido e sugestões de preenchimento de campos, guardados no próprio navegador.

Pela LGPD (art. 18), você pode pedir: confirmação de que tratamos seus dados, acesso, correção, anonimização ou eliminação do que for desnecessário, portabilidade, informação sobre com quem compartilhamos, e revisão de decisões automatizadas. Também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

O seu nome você corrige em Configurações. Para o e-mail e os outros pedidos, escreva para contato@obratool.com.br. Respondemos em até 15 dias. Pedidos sobre dados registrados pela sua empresa são encaminhados a ela.

O ObraTool é para empresas e não é destinado a menores de 18 anos.

Quando esta política mudar, a data no topo muda junto. Se a mudança afetar como tratamos dados já coletados, avisamos quem administra cada empresa antes de ela valer.

ObraTool. Encarregado pelo tratamento de dados: contato@obratool.com.br.