Política de privacidade

Tratamos as seguintes categorias de dados pessoais:

• Dados cadastrais da conta: nome completo, CPF, e-mail e telefone, informados por você no cadastro. A senha é armazenada apenas como hash criptográfico, nunca em texto claro;
• Dados operacionais inseridos pela construtora: cadastros de operários (nome, CPF, RG, CTPS, PIS, cargo, foto, datas de admissão e demissão), contratos de trabalho (salário, jornada, dados bancários e chave PIX para pagamento), dependentes (nome, CPF e data de nascimento — inclusive de menores, para fins de imposto de renda e benefícios), clientes (CPF/CNPJ, endereço, telefones, e-mail), documentos anexados e lançamentos financeiros;
• Registro de ponto eletrônico: data e hora das marcações, fotografia (selfie) de comprovação da marcação e coordenadas de geolocalização do local do registro, quando a construtora utiliza o módulo de ponto;
• Registros de acesso e auditoria: data e hora de login e das operações realizadas, endereço IP truncado (parcialmente anonimizado) e identificador irreversível (hash) do navegador utilizado, além do histórico de aceites e revogações dos documentos legais.

Não coletamos dados de navegação para publicidade nem utilizamos ferramentas de analytics de terceiros.

Os dados pessoais são tratados para as seguintes finalidades:

• Criação, autenticação e proteção da sua conta de acesso;
• Prestação do serviço de gestão de obras, equipes, financeiro, clientes e contratos;
• Registro e comprovação de jornada de trabalho por meio do ponto eletrônico;
• Apoio ao cumprimento de obrigações trabalhistas, previdenciárias e fiscais pelas construtoras;
• Segurança da plataforma: auditoria de operações, prevenção a fraudes e a acessos não autorizados;
• Envio de comunicações transacionais por e-mail (confirmação de cadastro, convites, redefinição de senha e notificações operacionais).

Não enviamos comunicações de marketing nem comercializamos dados pessoais.

O tratamento é fundamentado nas bases legais da Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD), conforme a operação:

• Execução de contrato (art. 7º, V) — criação e manutenção da conta, prestação das funcionalidades da plataforma;
• Cumprimento de obrigação legal ou regulatória (art. 7º, II) — registros trabalhistas e previdenciários dos operários, incluindo o registro de ponto e a fotografia de comprovação da marcação exigida pela regulamentação de registradores eletrônicos de ponto;
• Legítimo interesse (art. 7º, IX) — segurança da plataforma, trilhas de auditoria, prevenção a fraudes e bloqueio de acessos indevidos;
• Consentimento (art. 7º, I) — quando aplicável, registrado de forma verificável na plataforma e revogável a qualquer momento.

Para os dados operacionais inseridos pelas construtoras, cabe a cada construtora, como controladora, assegurar a base legal do tratamento dos dados de seus operários, dependentes e clientes.

Não comercializamos dados pessoais. Compartilhamos dados apenas com fornecedores de infraestrutura que atuam como operadores, na medida necessária à prestação do serviço:

• Microsoft (Microsoft 365 / Graph): envio dos e-mails transacionais da plataforma;
• Microsoft Azure (Blob Storage): armazenamento de arquivos, fotos, documentos e selfies de ponto, em contêineres de acesso privado;
• Cloudflare (Turnstile): verificação anti-robô na tela de login;
• Have I Been Pwned: verificação de senhas contra vazamentos públicos — o serviço recebe apenas um fragmento anônimo do hash da senha (técnica de k-anonimato); nenhuma senha ou dado pessoal é enviado.

Dados também podem ser compartilhados quando exigido por lei, por ordem judicial ou por requisição de autoridade competente.

Os dados da conta são mantidos enquanto a conta estiver ativa. Encerrado o contrato, por cancelamento ou por falta de pagamento, os dados seguem o ciclo abaixo:

• Até 45 dias após o encerramento: os dados permanecem íntegros e acessíveis para exportação. Durante esse período a construtora pode reativar a conta ou extrair seus dados a qualquer momento;
• Após 45 dias: a base de dados é arquivada em cópia de segurança criptografada e removida do ambiente de produção. A restauração continua possível mediante solicitação;
• Retenção da cópia de segurança: 12 meses, contados do arquivamento.

Dados com prazo legal de guarda. Independentemente do prazo acima, os dados a seguir são conservados pelo período exigido por lei, mesmo após pedido de exclusão, com fundamento no art. 16, I, da LGPD (cumprimento de obrigação legal ou regulatória):

• Folha de pagamento, holerites e eventos do eSocial — 5 anos, em razão dos prazos de guarda trabalhista e previdenciária;
• Documentos fiscais eletrônicos e respectivos arquivos XML — 5 anos, em razão do prazo decadencial tributário;
• Registros de acesso e trilhas de auditoria — pelo prazo previsto no Marco Civil da Internet e nas normas aplicáveis.

Encerrados esses prazos, os dados são eliminados de forma definitiva e irreversível.

Onde ficam as cópias. As cópias de segurança são armazenadas em servidores localizados no Brasil, em ambiente segregado do ambiente de produção, com criptografia em repouso e controle de acesso restrito.

Avisos prévios. Antes de qualquer remoção definitiva, a construtora é notificada por e-mail com 7 dias e com 1 dia de antecedência, sempre com instruções de como exportar os dados.

Conta de usuário. No encerramento, a conta é desativada — e não apagada fisicamente de imediato — para preservar a integridade das trilhas de auditoria e dos vínculos históricos com as construtoras.

Os registros de aceite e revogação de consentimento são conservados de forma imutável, como prova do cumprimento da LGPD (art. 8º, § 2º).

Você pode solicitar a eliminação dos seus dados pessoais pelo canal indicado na seção 10. A eliminação será realizada, ou devidamente justificada, sempre que não houver obrigação legal ou regulatória que exija a conservação.

Adotamos medidas técnicas e organizacionais para proteger os dados pessoais contra acesso não autorizado, alteração, divulgação ou destruição, incluindo:

• Isolamento dos dados de cada construtora em banco de dados exclusivo (database-per-tenant);
• Comunicação criptografada via HTTPS, com política HSTS em produção;
• Senhas armazenadas com hash criptográfico com fator de custo elevado, nunca em texto claro;
• Cookies de sessão protegidos (HttpOnly e restrição de contexto);
• Controle de acesso por perfis de permissão granulares, por recurso e ação;
• Bloqueio temporário de conta após tentativas consecutivas de login malsucedidas;
• Exibição do CPF de operários somente mediante justificativa registrada e auditada;
• Trilhas de auditoria com minimização de dados (IP truncado e hash do navegador);
• Arquivos, fotos e selfies de ponto em armazenamento de acesso privado.

Nos termos da LGPD, você tem direito a:

• Confirmar a existência de tratamento de seus dados;
• Acessar os dados que tratamos sobre você;
• Solicitar correção de dados incompletos, inexatos ou desatualizados;
• Solicitar a anonimização, bloqueio ou eliminação de dados desnecessários;
• Solicitar portabilidade dos seus dados;
• Revogar o consentimento, quando aplicável.

A revogação do consentimento pode ser feita diretamente na plataforma, na área de consentimento da sua conta, onde também fica disponível o histórico completo de aceites e revogações. Para os demais direitos, entre em contato pelo canal indicado na seção 10.

Como exercer a portabilidade. A construtora pode solicitar a exportação completa dos seus dados a qualquer momento, na área de assinatura da própria plataforma. A solicitação é processada automaticamente e o pacote é disponibilizado por link seguro com prazo de validade.

O pacote contém os dados em formato aberto e legível (planilhas CSV por tipo de registro), os documentos e imagens anexados, os documentos gerados pela plataforma em PDF e um manifesto com a relação completa dos arquivos.

A exportação permanece disponível mesmo com pagamento em aberto ou conta suspensa. O prazo legal de atendimento é de 15 dias (art. 18, §3º, da LGPD); nosso prazo interno é de até 5 dias úteis.

Após o arquivamento da base, a solicitação deve ser feita por e-mail ao suporte, com identificação do responsável legal pela construtora, e é atendida em até 5 dias úteis.

Utilizamos apenas cookies estritamente necessários ao funcionamento da plataforma. Não utilizamos cookies de publicidade, analytics ou rastreamento de terceiros.

• hefesto.token — cookie de autenticação da sessão. Protegido contra acesso por scripts (HttpOnly) e restrito ao contexto do site. Expira em algumas horas ou, se você marcar "lembrar de mim" no login, após período estendido;
• hefesto.session — cookie essencial de sessão do servidor, expirado automaticamente após breve período de inatividade;
• Cookie antifalsificação — protege os formulários contra requisições forjadas (CSRF);
• Cloudflare Turnstile — a verificação anti-robô exibida na tela de login pode definir cookies próprios do serviço, limitados a essa finalidade.

Por serem essenciais, esses cookies não dependem de consentimento. Você pode gerenciá-los ou removê-los pelas configurações do seu navegador, mas o bloqueio impede o funcionamento do login e da sessão.

Para dúvidas, solicitações ou exercício de direitos relacionados à privacidade, entre em contato com nosso Encarregado de Dados (DPO):

Nome: Ricardo Corrales
E-mail: privacidade-hefesto@smn.com.br
Endereço: Rua Deputado Geraldo Mariz, nº 291 - João Pessoa - PB, CEP 58042-060