Política de Privacidade

1. Introdução

Esta Política explica como o ChatTST coleta, usa, armazena e protege dados pessoais e sensíveis de usuários e colaboradores conforme a LGPD (Lei nº 13.709/2018).

Esta Política descreve os tratamentos realizados pelo ChatTST; as bases legais de cada um estão na Seção 4.

Papéis no Tratamento (Controlador e Operador)

O tratamento de dados envolve dois papéis distintos previstos na LGPD:

• ChatTST como controlador: quanto aos dados de cadastro do usuário/cliente, de cobrança e de uso da plataforma (logs), necessários para prestar e administrar o serviço.
• ChatTST como operador: quanto aos dados inseridos pelo cliente em seu workspace (notadamente dados de colaboradores, exames e documentos). Nesse caso, o cliente é o controlador e o ChatTST trata os dados conforme as instruções e finalidades do cliente, exclusivamente para a execução do serviço.

Importante: Como controlador dos dados de colaboradores, é responsabilidade do cliente verificar a base legal, obter consentimento quando exigível e cumprir os deveres de controlador em relação aos titulares, em especial quanto aos dados pessoais sensíveis de saúde ocupacional.

2. Dados Coletados

O ChatTST coleta:

2.1. Dados do Usuário (TST/Empresa)

• nome, e-mail, telefone
• senha criptografada
• dados de acesso e uso (logs)
• registro do aceite dos Termos de Uso e desta Política: versão aceita, data, endereço IP e navegador
• chave PIX (para parceiros do programa de indicação)

2.2. Dados de Colaboradores (sensíveis)

• nome, CPF, cargo
• exames e documentos ocupacionais
• EPIs, integrações e histórico de atividades
• informações de saúde vinculadas aos exames

(Tratamento permitido pela LGPD para fins de segurança e saúde ocupacional.)

2.3. Interações

• mensagens enviadas pelo chatbot
• resumos automáticos das conversas com o assistente
• documentos anexados para extração de cadastro
• anexos e imagens

2.4. Cookies e Navegação

• endereço IP
• informações de dispositivo
• páginas visitadas
• dados de métricas (ex.: Google Analytics)

Usamos o Google Analytics 4 nas páginas públicas do site para entender quantas pessoas chegam, por onde navegam e quais botões usam. A medição fica configurada com anonimização do endereço IP, e o script do Google só é carregado no seu navegador depois que você aceita os cookies no aviso exibido na primeira visita. Enquanto não houver aceite, nenhuma informação é enviada ao Google. Para revogar, apague os dados do site ChatTST no seu navegador: o aviso reaparece e a medição fica desligada até um novo aceite.

Dentro da plataforma, para usuários autenticados, também medimos o uso do sistema: quais módulos são abertos e quais ações são concluídas. Essa medição usa um identificador pseudônimo, gerado a partir do seu cadastro por um cálculo que não pode ser revertido fora dos nossos servidores, acompanhado apenas do plano contratado e do seu papel no workspace. Nome, e-mail, CPF, CNPJ, conteúdo de documentos e dados de colaboradores nunca são enviados. O tratamento se apoia na execução do contrato e no legítimo interesse de manter e melhorar o serviço. Para pedir a exclusão desses registros, escreva para suporte@chattst.com.br.

3. Finalidades do Tratamento

Tratamos dados para:

• gestão de atividades, APRs, documentos e colaboradores
• cumprimento de obrigações legais de SST
• geração de relatórios
• envio de mensagens e lembretes
• funcionamento do chatbot
• segurança e prevenção de fraudes
• suporte ao usuário
• programa de indicação e pagamento de comissões
• adequação das Funcionalidades de IA ao seu espaço de trabalho (Memória do Workspace)
• aprimoramento das sugestões e automações da Plataforma a partir de padrões anonimizados (Aprendizado Operacional)

4. Base Legal

A coleta e o tratamento se fundamentam em:

• Execução de contrato (art. 7º, V da LGPD)
• Cumprimento de obrigação legal (art. 7º, II)
• Proteção da saúde e segurança do trabalho (art. 11, II, "f")
• Legítimo interesse para melhorias e segurança do sistema
• Legítimo interesse (art. 7º, IX e art. 10) para a operação de anonimizar dados no Aprendizado Operacional, com direito de oposição (Seção 8)

5. Compartilhamento de Dados

Os operadores abaixo processam dados por nossa conta, cada um na finalidade indicada:

• Anthropic (Claude): provedor primário de IA, usado no assistente, na geração, na auditoria, na extração de documentos e no aprendizado. Processa nos Estados Unidos.
• OpenAI: IA em pontos legados da Plataforma. Processa nos Estados Unidos.
• Supabase (AWS, São Paulo): banco de dados e arquivos. Processa no Brasil.
• Fly.io (São Paulo): hospedagem da aplicação. Processa no Brasil.
• Asaas: cobrança por boleto, PIX e cartão. Processa no Brasil.
• Stripe: cobrança de assinaturas contratadas antes da migração. Processa nos Estados Unidos.
• Provedor de e-mail transacional (Postmark ou Resend, conforme a configuração): envio dos e-mails do sistema. Processa nos Estados Unidos.
• Crisp: chat de suporte dentro do sistema, identificando o usuário logado. Processa na União Europeia.
• Google Analytics 4: medição do site e do uso por módulo, conforme a Seção 2.4. Processa nos Estados Unidos.

Os provedores de IA não usam o conteúdo enviado pela API para treinar modelos e o retêm por prazo limitado (a Anthropic, por até 30 dias). Nenhum operador usa seus dados para fins próprios.

6. Armazenamento e Segurança

Utilizamos:

• criptografia de senha
• protocolos HTTPS
• controles de acesso
• logs de segurança
• backups monitorados

Banco de dados, arquivos e aplicação ficam em servidores em São Paulo. Os provedores de inteligência artificial, de e-mail e de pagamento por cartão processam dados nos Estados Unidos; essa transferência internacional se apoia em cláusulas contratuais desses provedores, nos termos do art. 33 da LGPD. Aplicamos criptografia em trânsito e em repouso, controle de acesso e segregação por espaço de trabalho.

7. Retenção e Exclusão de Dados

Após cancelamento da conta:

• dados são mantidos por 6 meses
• após isso, são apagados de forma definitiva

Os sinais brutos usados pela Memória do Workspace são apagados 90 dias depois de processados.

O usuário pode solicitar exclusão imediata.

8. Direitos do Titular

Você pode solicitar a qualquer momento:

• confirmação de tratamento
• acesso aos dados
• correção
• anonimização
• portabilidade
• revogação do consentimento
• exclusão
• oposição ao Aprendizado Operacional (Seção 9.3), por e-mail ao suporte, sem prejuízo ao uso da Plataforma
• exclusão de itens da Memória do Workspace na tela "Aprendizado da IA"

Pedidos de colaboradores (titulares cujos dados o cliente insere na Plataforma) são encaminhados ao cliente, que é o controlador desses dados, com apoio do ChatTST.

Basta enviar e-mail para: suporte@chattst.com.br

9. Uso da IA

9.1. O que a IA processa

Perguntas ao assistente, dados e documentos do espaço de trabalho (empresas, GRO, colaboradores, vencimentos), documentos anexados para extração de cadastro e o conteúdo usado na geração e na auditoria de documentos. A IA também consulta as Normas Regulamentadoras (NRs) de Segurança do Trabalho. O processamento acontece nos provedores listados na Seção 5.

9.2. Memória do Workspace

A Plataforma registra, a partir das ações dos usuários do seu espaço de trabalho (edições em documentos gerados, correções e dispensas de apontamentos de auditoria, documentos anexados e pedidos explícitos), preferências de estrutura, redação e layout, calibrações do auditor e informações recorrentes do próprio cliente, e as aplica só dentro desse espaço de trabalho. As conversas com o assistente são resumidas automaticamente para manter o contexto entre sessões, e o resumo fica guardado junto da conversa.

Base legal: execução do contrato (art. 7º, V). O cliente é o controlador e o ChatTST o operador. Os itens registrados ficam visíveis em "Aprendizado da IA", com as evidências, e podem ser excluídos por administradores do espaço de trabalho a qualquer momento. Os sinais brutos que os originam são apagados 90 dias depois de processados.

9.3. Aprendizado Operacional (anonimizado)

O ChatTST extrai, a partir dos dados de todos os clientes, padrões técnicos anonimizados sobre correlações de Segurança e Saúde no Trabalho, para aprimorar as sugestões e automações da Plataforma. Só entram padrões recorrentes em vários clientes; o resultado não carrega nomes, CNPJs, endereços, dados de colaboradores nem qualquer elemento que identifique o cliente ou uma pessoa; exemplos são reescritos com dados fictícios e verificados contra vazamento; e nenhuma alteração entra na Plataforma sem revisão humana.

Importante: A base legal da operação de anonimizar é o legítimo interesse (art. 7º, IX e art. 10). Dados anonimizados deixam de ser dados pessoais (art. 12). Você pode se opor: peça pelo e-mail do suporte e o seu espaço de trabalho fica fora desse processo, sem qualquer prejuízo ao uso da Plataforma.

9.4. O que o ChatTST não faz

Não treina nem ajusta modelos de linguagem, próprios ou de terceiros, com os seus dados; não vende, cede ou usa dados para publicidade.

Importante: As respostas da IA têm caráter orientativo e não substituem o profissional habilitado nem a consulta à legislação oficial vigente (Termos de Uso, Seção 5).

10. Alterações nesta Política

Esta Política é versionada, com número e data de vigência. Alterações materiais (que criem obrigações, restrinjam direitos, alterem finalidades de tratamento de dados, preços, limites ou o escopo do serviço) serão comunicadas por e-mail e por aviso dentro da Plataforma.

Importante: Havendo alteração material, o acesso passa a depender de novo aceite eletrônico da versão vigente. Quem não concordar poderá encerrar a assinatura, nos termos da Seção 18 dos Termos de Uso. Alterações não materiais (correções, esclarecimentos, dados de contato ou de fornecedores) passam a valer na publicação.

11. Contato

Para dúvidas ou solicitações LGPD:

DPO: Kauan Gabriel Borotto
E-mail: suporte@chattst.com.br