LGPD — Lei Geral de Proteção de Dados

O Hefesto foi concebido com a privacidade como pilar de arquitetura. Cada construtora opera em um banco de dados isolado (database-per-tenant), garantindo que dados de uma organização nunca sejam acessíveis por outra. Tratamos dados pessoais com transparência, segurança e respeito aos direitos dos titulares.

A responsabilidade pelo tratamento é compartilhada conforme o papel de cada parte: a SMN Tecnologia da Informação Ltda é controladora dos dados de conta dos usuários e operadora dos dados operacionais inseridos pelas construtoras, que atuam como controladoras dos dados de seus operários, dependentes e clientes. Cada construtora pode designar, dentro da plataforma, o seu próprio Encarregado (DPO) — a plataforma admite exatamente um por organização.

Para a operação do serviço, tratamos dados pessoais de usuários e de terceiros informados pelas construtoras (operários, dependentes e clientes). As categorias incluem:

• Identificação: nome, CPF, e-mail, telefone;
• Acesso: credenciais de autenticação (armazenadas com hash seguro), registros de login e auditoria com IP truncado;
• Trabalhista e operacional: cadastros de operários (RG, CTPS, PIS, cargo, foto), contratos (salário, dados bancários), dependentes, registros de ponto com selfie e geolocalização, clientes e lançamentos financeiros.

O detalhamento completo das categorias, finalidades e operadores está na Política de Privacidade.

O tratamento de dados pessoais no Hefesto é sempre fundamentado em ao menos uma das bases legais previstas no art. 7º da LGPD:

• Execução de contrato (art. 7º, V) — criação da conta e prestação das funcionalidades da plataforma;
• Cumprimento de obrigação legal (art. 7º, II) — registros trabalhistas e previdenciários, incluindo o ponto eletrônico e sua fotografia de comprovação;
• Legítimo interesse (art. 7º, IX) — segurança da plataforma, auditoria e prevenção a fraudes;
• Consentimento (art. 7º, I) — quando aplicável, registrado de forma verificável e revogável na própria plataforma.

O art. 18 da LGPD garante aos titulares de dados os seguintes direitos, que podem ser exercidos a qualquer momento mediante requisição:

• Confirmação da existência de tratamento;
• Acesso aos dados tratados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• Portabilidade dos dados a outro fornecedor de serviço, mediante requisição expressa;
• Eliminação dos dados pessoais tratados com base no consentimento;
• Informação sobre compartilhamento com entidades públicas e privadas;
• Revogação do consentimento.

Sobre o direito de eliminação. Alguns dados permanecem conservados mesmo após o pedido de exclusão, quando a sua guarda decorre de obrigação legal ou regulatória — é o caso da folha de pagamento, dos eventos do eSocial e dos documentos fiscais, cuja conservação por 5 anos é exigida pela legislação trabalhista, previdenciária e tributária. Essa hipótese está prevista no art. 16, I, da LGPD.

Nesses casos, os dados deixam de ser utilizados para qualquer finalidade operacional e passam a ser conservados exclusivamente para o cumprimento da obrigação legal, sendo eliminados ao término do prazo.

Sobre a portabilidade. A construtora pode solicitar a exportação completa dos seus dados a qualquer momento, na área de assinatura da própria plataforma. O pacote é entregue em formato aberto e legível (planilhas CSV por tipo de registro), acompanhado dos documentos anexados, dos documentos gerados em PDF e de um manifesto com a relação completa dos arquivos. A exportação permanece disponível mesmo com pagamento em aberto ou conta suspensa, e é atendida em até 5 dias úteis.

Para exercer qualquer dos direitos listados, o titular deve enviar requisição ao nosso Encarregado de Dados pelo canal indicado na seção 9. A revogação de consentimento pode ser feita diretamente na plataforma, na área de consentimento da sua conta.

Nos termos do art. 19 da LGPD, a confirmação de existência de tratamento e o acesso aos dados são atendidos em formato simplificado imediatamente ou, por meio de declaração completa, em até 15 (quinze) dias contados da requisição. As demais solicitações são respondidas em prazo razoável, com a devida justificativa quando o atendimento não for possível.

Implementamos salvaguardas técnicas e administrativas compatíveis com o art. 46 da LGPD, incluindo:

• Isolamento de dados por construtora em bancos de dados separados;
• Transmissão criptografada via HTTPS/TLS;
• Senhas armazenadas com hash criptográfico com fator de custo elevado, nunca em texto claro;
• Verificação de senhas contra bases públicas de vazamentos, por técnica anônima;
• Controle de acesso baseado em perfis de permissão granulares, por recurso e ação;
• Exibição de dados sensíveis, como o CPF de operários, somente mediante justificativa registrada e auditada;
• Trilhas de auditoria com minimização de dados (IP truncado e hash do navegador);
• Arquivos, fotos e selfies de ponto em armazenamento de acesso privado.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados nos termos do art. 48 da LGPD, observando o prazo regulamentar de 3 (três) dias úteis previsto na Resolução CD/ANPD nº 15/2024.

A comunicação incluirá a descrição da natureza dos dados afetados, os riscos relacionados, as medidas adotadas e as recomendações aos titulares para mitigação dos efeitos.

Nos termos do art. 41 da LGPD, indicamos como Encarregado pelo Tratamento de Dados Pessoais (Data Protection Officer — DPO):

Nome: Ricardo Corrales
E-mail: privacidade-hefesto@smn.com.br
Endereço: Rua Deputado Geraldo Mariz, nº 291 - João Pessoa - PB, CEP 58042-060

Se considerar que o tratamento de seus dados pessoais viola a LGPD, você tem o direito de apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), por meio do portal oficial em gov.br/anpd.