1. Papéis
Neste acordo, a empresa cliente é a controladora dos dados pessoais dos seus trabalhadores e usuários cadastrados no sistema, e Marca da Hora, e-mail contato@marcadahora.com.br é a operadora, que trata esses dados em nome da cliente (LGPD, art. 5º, VI e VII). Este acordo faz parte dos termos de uso e vale enquanto houver dados da cliente conosco.
2. Objeto, finalidade e duração
| Finalidade | registro eletrônico e tratamento de ponto, geração do comprovante, espelho, banco de horas, arquivos fiscais (AFD, AEJ), ATTR, exportações e relatórios, conforme a CLT, art. 74, e a Portaria MTP nº 671/2021 |
|---|---|
| Titulares | trabalhadores da cliente e usuários de gestão cadastrados por ela |
| Dados | nome, CPF, matrícula, cargo, admissão, desligamento, setor, horário contratual, categoria eSocial, e-mail; marcações (data, hora, NSR), comprovantes, tratamentos, afastamentos, banco de horas; foto e localização da marcação, precisão, distância até o setor, justificativa; IP e aparelho; inscrição para notificações; ciência do termo de uso de foto e localização |
| Dados sensíveis | não tratamos dados sensíveis para as finalidades do serviço. A foto não é usada para reconhecimento facial ou identificação biométrica. O motivo de afastamento é guardado como o código da Tabela 18 do eSocial; a cliente não deve escrever diagnóstico, CID ou dados de saúde na observação, nem anexar documentos médicos. |
| Duração | enquanto vigorar o contrato e até o fim do prazo de guarda do item 8 |
3. Nossas obrigações como operadora
- Tratar os dados somente conforme as instruções da cliente, que são as configurações e ações feitas por ela no sistema, estes termos e as instruções escritas enviadas pelo responsável pela empresa. Se uma instrução nos parecer contrária à lei, avisamos a cliente.
- Não usar os dados para finalidade própria, não vendê-los e não compartilhá-los, exceto com os suboperadores do item 5 ou por ordem de autoridade (neste caso, avisamos a cliente, se a lei permitir).
- Garantir que as pessoas que acessam os dados estejam obrigadas a sigilo e só acessem o necessário.
- Manter as medidas de segurança do item 4.
- Ajudar a cliente a atender os pedidos dos titulares (acesso, correção, informação), encaminhando em até 2 dias úteis os pedidos que chegarem a nós.
- Comunicar à cliente, em até 48 horas depois de confirmado, qualquer incidente de segurança que envolva os dados dela, com a natureza dos dados, os titulares afetados, as medidas tomadas e os riscos, para que ela possa comunicar a ANPD e os titulares no prazo de 3 dias úteis (Resolução CD/ANPD nº 15/2024).
- Ajudar a cliente, com as informações que tivermos, no registro das operações de tratamento, no relatório de impacto e em fiscalizações da ANPD. O sistema oferece modelos desses documentos, já preenchidos com os dados da empresa.
- Guardar o registro dos acessos e das operações feitas no sistema.
- Liberar uma pessoa em mais de uma empresa do grupo (inclusive a visão do grupo, que consulta todas) somente a pedido do responsável de cada empresa envolvida, já que cada empresa é controladora dos dados dos próprios trabalhadores.
4. Medidas de segurança
- Conexão cifrada (HTTPS) e senhas guardadas de forma irreversível.
- Fotos cifradas no servidor; acesso a elas só por usuários autorizados, com registro.
- Marcações somente de inclusão, com hash encadeado e permissões do banco de dados que impedem alteração e exclusão.
- Acesso separado por empresa, perfil e setor; registro de acessos guardado por 6 meses.
- Backups diários cifrados, guardados no Brasil, com teste periódico de restauração.
- Servidores no Brasil, atualizações de segurança e monitoramento da disponibilidade e do relógio.
5. Suboperadores
A cliente autoriza o uso dos fornecedores abaixo. Avisamos com 30 dias de antecedência a inclusão ou troca de fornecedor que trate dados dos trabalhadores; a cliente pode se opor com motivo e, não havendo solução, cancelar sem multa. Exigimos dos suboperadores obrigações de proteção de dados equivalentes às deste acordo.
| Serviço | Fornecedor | Onde | Dados |
|---|---|---|---|
| Hospedagem do sistema, banco de dados e backups | Hostinger (VPS em São Paulo) | Brasil | todos os dados do sistema |
| Armazenamento dos backups (cifrados) | Magalu Cloud Object Storage | Brasil | cópia cifrada de todos os dados; o fornecedor não tem a senha |
| Envio de e-mails (comprovantes, avisos e acesso) | Brasil | nome, e-mail e conteúdo da mensagem | |
| Entrega das notificações no celular e no navegador | Serviço de notificações do navegador do usuário (Google, Apple ou Mozilla) | Estados Unidos e outros | endereço técnico da inscrição; o conteúdo da notificação vai cifrado |
| Mapa e busca de endereço do setor | OpenStreetMap Foundation | Reino Unido e outros | endereço digitado na busca e IP de quem usa o mapa (somente gestores; a localização dos trabalhadores não é enviada) |
6. Transferência internacional
Os dados dos trabalhadores, fotos, localizações e backups ficam no Brasil. Só saem do país os dados técnicos indicados no item 5, necessários para entregar notificações e mostrar o mapa aos gestores (LGPD, art. 33, IX).
7. Obrigações da cliente como controladora
- Ter base legal para o tratamento e informar os trabalhadores (o sistema exibe o termo de ciência sobre foto e localização a cada trabalhador e guarda o registro).
- Documentar a avaliação de legítimo interesse para foto e localização e, quando necessário, o relatório de impacto (LGPD, arts. 10, § 3º, e 38), e manter o registro das operações (art. 37).
- Indicar o seu encarregado ou canal de atendimento aos titulares (art. 41), responder aos pedidos deles e comunicar incidentes à ANPD e aos titulares quando for o caso.
- Cadastrar só os dados necessários e não inserir dados sensíveis desnecessários.
8. Fim do tratamento
Os dados de cada trabalhador ficam guardados, sem alteração, durante o vínculo e por 5 anos após o desligamento (a partir dos 18 anos, para quem saiu menor, CLT art. 440). Encerrado o contrato da cliente, os dados ficam disponíveis para consulta e exportação durante 5 anos. Terminado o prazo que vencer primeiro para cada trabalhador, os dados são eliminados automaticamente (marcações, comprovantes, fotos, localização, tratamentos, afastamentos) e o cadastro fica anônimo, com registro da eliminação (LGPD, art. 16). A eliminação não ocorre enquanto a cliente indicar processo em andamento no cadastro do trabalhador. A pedido da cliente, antes da eliminação, entregamos os arquivos fiscais e os dados em formato de uso comum.
9. Auditoria e responsabilidade
A cliente pode pedir, uma vez por ano ou após incidente, informações escritas que demonstrem o cumprimento deste acordo. Cada parte responde pelos danos que causar por descumprir a LGPD ou este acordo, nos termos dos arts. 42 a 45 da LGPD.
Contato para assuntos de dados pessoais: privacidade@marcadahora.com.br.