Política de Privacidade

1. Dois papéis diferentes

A LGPD separa quem decide sobre o tratamento (controlador) de quem o executa por conta de outro (operador). Na Normaa os dois papéis existem, e a diferença importa:

• Sobre os dados da sua conta (seu nome, e-mail, dados da empresa, cobrança), a Normaa é controladora.
• Sobre os dados dos seus funcionários, a Normaa é operadora. Quem decide cadastrar cada funcionário, o que registrar sobre ele e por quanto tempo manter é a sua empresa: a base legal desse tratamento é sua, e normalmente decorre da execução do contrato de trabalho e do cumprimento de obrigação legal do empregador.

2. Dados que tratamos

Da sua conta

• Nome, e-mail e senha (armazenada apenas como hash, nunca em texto legível)
• Nome, CNPJ e setor da empresa
• Dados de cobrança processados pela Stripe. Não recebemos número de cartão
• Registros de acesso: endereço IP, data e hora, necessários por segurança

Dos seus funcionários

Registrados por você, sob sua responsabilidade:

• Nome, CPF, RG, PIS e número da CTPS
• Data de nascimento, data de admissão e data de fim do contrato de experiência
• Cargo, departamento, salário, tipo de contrato e jornada semanal
• E-mail e telefone
• Histórico de eventos: advertências, suspensões, ocorrências, férias, afastamentos e documentos gerados

Do simulador público

Quem usa o simulador da página inicial sem ter conta informa a situação em texto livre e, para ver o resultado, um e-mail. Guardamos os dois, junto do endereço IP, para responder e para limitar uso abusivo da ferramenta.

3. Para que usamos

• Operar a plataforma: cadastro, cálculo, geração de documento, alertas e assistente
• Cobrar a assinatura e emitir comprovantes
• Enviar alertas operacionais que você configurou, e comunicados sobre o serviço
• Entender como o produto é usado, de forma agregada, para melhorá-lo
• Cumprir obrigações legais e apurar incidentes de segurança

Não vendemos dados pessoais e não os usamos para treinar modelos de linguagem.

4. Inteligência computacional e o assistente

O assistente e a avaliação da qualidade dos registros disciplinares usam um modelo operado pelo Google (Gemini). Isso significa que trechos da conversa são enviados a esse serviço para processamento, e, no chat vinculado a um funcionário, também nome, cargo, data de admissão, salário, tipo de contrato e a contagem de advertências.

Esse envio é o mínimo necessário para a resposta e é feito sob contrato que veda o uso do conteúdo para treinar modelos. Ainda assim, é um compartilhamento com terceiro, e por isso está descrito aqui em vez de escondido numa cláusula genérica.

5. Com quem compartilhamos

Apenas com os prestadores necessários para o serviço funcionar, listados abaixo. Cada um recebe o mínimo necessário e está sujeito a obrigações contratuais de segurança e confidencialidade.

• Supabase (Estados Unidos): Banco de dados, autenticação e armazenamento dos documentos gerados. Dados: Todos os dados da conta e dos funcionários cadastrados.
• Google (Gemini) (Estados Unidos): Assistente trabalhista, avaliação de qualidade dos registros disciplinares e busca na base legal. Dados: Trechos da conversa e, no chat por funcionário, nome, cargo, data de admissão, salário, tipo de contrato e contagem de advertências.
• Vercel (Estados Unidos): Hospedagem da aplicação. Dados: Dados em trânsito e registros de acesso (IP, user agent).
• Stripe (Estados Unidos): Processamento de pagamento das assinaturas. Dados: Nome, e-mail e dados de cobrança. A Normaa não recebe nem armazena número de cartão.
• PostHog (União Europeia): Métricas de uso do produto. Dados: Eventos de navegação e identificador da conta. Não recebe dado de funcionário.
• Resend (Estados Unidos): Envio dos alertas por e-mail, quando o canal está ativado. Dados: E-mail do destinatário e o conteúdo do alerta, que inclui o nome do funcionário.

Também podemos compartilhar dados quando houver obrigação legal ou ordem judicial.

6. Transferência internacional

Parte dos prestadores acima opera fora do Brasil, como indicado na lista. Essas transferências ocorrem com base nas hipóteses da LGPD para transferência internacional, incluindo cláusulas contratuais de proteção firmadas com cada prestador.

7. Por quanto tempo guardamos

• Dados da conta e dos funcionários: enquanto a conta existir. Excluir a conta em Configurações → Zona de perigo apaga esses dados de forma definitiva.
• Registros de acesso: 6 meses, conforme o Marco Civil da Internet.
• Dados de cobrança: pelo prazo exigido pela legislação fiscal.
• Leads do simulador público: até 12 meses, ou até o pedido de exclusão.

Documentos gerados ficam em armazenamento privado e só são acessíveis por link temporário assinado, gerado no momento em que você abre o arquivo.

8. Segurança

Os dados trafegam cifrados. O isolamento entre empresas é aplicado no próprio banco de dados, por políticas de acesso por linha, e não apenas na aplicação: uma consulta feita por uma conta não alcança dado de outra empresa. O acesso administrativo é restrito ao necessário para operar o serviço.

Nenhum sistema é imune. Em caso de incidente com risco relevante, comunicamos os titulares e a ANPD nos prazos aplicáveis.

9. Seus direitos

A LGPD garante ao titular confirmação de tratamento, acesso, correção, anonimização, portabilidade, informação sobre compartilhamento, revogação de consentimento e eliminação dos dados tratados com base em consentimento.

Você pode exercer boa parte deles sozinho: exportar todos os dados em Configurações → Exportar dados, corrigir cadastros nas próprias telas e excluir a conta em Zona de perigo. Para o restante, escreva para privacidade@normaa.com.br.

Se você é funcionário de uma empresa cliente e quer acessar ou corrigir seus dados, o pedido deve ser dirigido ao seu empregador, que é o controlador. Se chegar até nós, encaminharemos a ele e avisaremos você.

10. Cookies

Usamos cookies necessários para manter sua sessão e cookies de medição de uso do produto, que não identificam funcionários nem leem o conteúdo dos seus registros.

11. Alterações

Mudanças materiais são comunicadas por e-mail e dentro da plataforma. A versão vigente é a publicada nesta página, com a data de atualização no topo.

12. Contato

Encarregado de dados (DPO): privacidade@normaa.com.br. Ver também os Termos de Uso.