1. Partes e Vigência
Este Acordo é celebrado entre a RHsign, inscrita no CNPJ sob o nº 55.464.157/0001-60 ("Operadora"), e a empresa que contrata a plataforma ("Controladora"), na qualidade de empregadora ou responsável pelos dados dos colaboradores tratados na plataforma. Ele integra os Termos de Uso e vale enquanto durar a contratação, até a exclusão dos dados prevista no item 9.
2. Objeto e Finalidade
A Operadora trata dados pessoais dos colaboradores da Controladora exclusivamente para importar, organizar, distribuir e coletar a assinatura de documentos trabalhistas, conforme as funções contratadas. Qualquer tratamento fora dessa finalidade é vedado.
3. Dados e Titulares
- Titulares: colaboradores da Controladora e usuários do painel indicados por ela.
- Dados: nome, CPF, matrícula, telefone, empresa ou filial, conteúdo dos documentos enviados (que pode incluir salário e outros dados da relação de trabalho), PIN de acesso e registros de acesso e assinatura (data e hora, IP, navegador e dispositivo, hash do documento e imagem da assinatura, quando usada).
4. Obrigações da Operadora (RHsign)
- a) Tratar os dados somente conforme as instruções da Controladora, dadas pelo uso da plataforma e por este Acordo.
- b) Garantir que as pessoas autorizadas a tratar os dados estejam sob dever de confidencialidade.
- c) Adotar as medidas de segurança do item 8.
- d) Comunicar a Controladora, sem demora injustificada e em até 72 horas após tomar ciência, sobre incidente de segurança que envolva dados dos colaboradores, com as informações disponíveis para que ela cumpra suas obrigações perante a ANPD e os titulares.
- e) Auxiliar a Controladora no atendimento dos pedidos dos titulares (art. 18 da LGPD), encaminhando a ela os pedidos recebidos diretamente.
- f) Utilizar apenas os suboperadores do item 6, mantendo esta lista atualizada.
- g) Disponibilizar o backup dos documentos e excluir os dados ao término da relação, conforme o item 9.
5. Obrigações da Controladora (Cliente)
- a) Garantir que possui base legal para tratar os dados dos colaboradores e compartilhá-los com a Operadora.
- b) Manter o cadastro dos colaboradores correto e atualizado, incluindo CPF, telefone e vínculo com a empresa ou filial.
- c) Informar os colaboradores sobre o uso da plataforma para entrega e assinatura de documentos (art. 9º da LGPD).
- d) Responder perante os titulares e a ANPD como controladora dos dados.
- e) Manter a guarda legal dos documentos trabalhistas, baixando o backup quando necessário.
6. Suboperadores
A Operadora utiliza os seguintes suboperadores:
- Supabase: banco de dados e armazenamento dos arquivos, hospedados na AWS em São Paulo (Brasil).
- Vercel: hospedagem da aplicação web e processamento das requisições (funções executadas em São Paulo; empresa dos Estados Unidos).
- Amazon Web Services (AWS): guarda das cópias de segurança (backups), criptografadas, em São Paulo (Brasil).
- GitHub (Estados Unidos): execução diária da rotina de backup; os dados são criptografados antes de sair do ambiente de execução e não ficam armazenados no GitHub.
- Anthropic (Estados Unidos): inteligência artificial usada para identificar o funcionário em cada página importada em lote. Recebe apenas o texto extraído da página (por exemplo, nome, matrícula e valores), com o CPF retirado antes do envio; o arquivo PDF não é enviado.
- Hostinger (São Paulo, Brasil): servidor da integração de WhatsApp (Evolution API), que trata o número de telefone do destinatário e o texto do aviso, e serviço de e-mail usado para relatórios e avisos aos clientes.
- Asaas (Brasil): cobrança dos clientes; não recebe dados dos colaboradores.
Os avisos por WhatsApp são enviados a partir do número do próprio Controlador, pela rede do WhatsApp/Meta. Mudanças nesta lista serão publicadas nesta página, com nova versão.
7. Transferência Internacional de Dados
O banco de dados, os arquivos e os backups ficam no Brasil. Alguns suboperadores (por exemplo, Anthropic, Vercel e GitHub) processam dados nos Estados Unidos. Essas transferências observam o art. 33 da LGPD, com base nos compromissos contratuais de proteção de dados oferecidos por esses fornecedores.
8. Medidas Técnicas e Administrativas
- a) Criptografia no tráfego (TLS 1.2 ou superior) e no armazenamento, pelos provedores de infraestrutura; certificados digitais criptografados com AES-256.
- b) Separação dos dados de cada cliente por Row Level Security (RLS) no banco de dados.
- c) Controle de acesso por funções no painel, com autenticação em dois fatores disponível.
- d) Arquivos em armazenamento privado, acessados por links temporários; PIN personalizado guardado com hash e limite de tentativas de acesso no portal.
- e) Backups diários do banco e dos arquivos, criptografados antes do envio, guardados em São Paulo por até 35 dias.
- f) Registros de acesso e de operações (logs) para auditoria.
9. Término e Devolução dos Dados
Antes de encerrar a conta, a Controladora pode baixar o backup dos documentos assinados em Configurações. Após o pedido de exclusão, há uma quarentena de 90 dias, e então os dados são excluídos definitivamente; cópias de segurança criptografadas podem existir por até 35 dias depois disso. Os detalhes estão nos Termos de Uso (item 9) e na Política de Privacidade (item 8).
10. Registro das Operações de Tratamento
A Operadora mantém o registro das operações de tratamento de dados pessoais (art. 37 da LGPD), com as categorias de dados, finalidades, bases legais, prazos de guarda, suboperadores e medidas de segurança, disponível à ANPD mediante requisição e, no que couber, à Controladora mediante solicitação.