Documento completo
Política de Privacidade
1. Quem é responsável pelos dados
O RHACT é uma plataforma de gestão de colaboradores, documentos e rotinas de Recursos Humanos. Nesta política, “empresa contratante” significa a organização que utiliza o sistema para administrar seu quadro de pessoal; “responsável pelo RHACT” significa a pessoa ou organização que fornece a plataforma.
Responsável pelo RHACT: RHACT. Contato: contato@rhact.com.br.
A empresa contratante decide quais informações de seus colaboradores serão inseridas e para quais finalidades trabalhistas serão utilizadas. Nessa condição, atua como controladora dessas operações. O fornecimento da infraestrutura e o processamento sob suas instruções podem caracterizar a atuação do RHACT como operador. Para operações decididas pelo próprio fornecedor, como gestão de contas, relacionamento comercial ou segurança do serviço, ele pode atuar como controlador.
INFORMAÇÃO A CONFIRMAR · papéis e contratos: validar essa distribuição por operação, identificar quem decide as finalidades e formalizar as instruções, responsabilidades e eventuais suboperadores. A denominação contratual, isoladamente, não define o papel exercido. Orientações da ANPD sobre agentes de tratamento.
2. Objetivo e abrangência
Esta política apresenta as categorias de dados tratadas no RHACT, seus usos, os canais para esclarecimentos e os direitos das pessoas a quem os dados se referem. Abrange a apresentação pública, a abertura de conta, a área autenticada e os recursos de gestão de pessoal identificados na plataforma.
Podem estar envolvidos representantes das empresas contratantes, administradores e demais usuários autorizados, colaboradores ativos ou desligados, dependentes e familiares mencionados nas fichas, além de profissionais identificados em documentos, como médicos responsáveis por exames.
Os usuários com acesso ao sistema não se confundem com os colaboradores cadastrados pelo RH. Não foi identificado, na análise, um portal de acesso individual para todos os colaboradores nem um módulo específico de recrutamento, candidatos ou cadastro comercial de clientes. A exceção é o pedido de demonstração da apresentação, descrito abaixo, que guarda o contato de quem pediu por 14 dias. Eventuais outros usos precisam ser informados pelo responsável.
3. Quais dados são tratados
As categorias abaixo correspondem aos campos e recursos observados. A existência de um campo não significa que todas as pessoas tenham todos esses dados cadastrados.
- Conta e acesso: nome completo, e-mail corporativo, senha informada no cadastro ou login, perfil/hierarquia, setor, situação da conta e configuração de verificação em duas etapas.
- Pedido de demonstração: nome completo, e-mail corporativo, razão social e CNPJ informados no formulário de demonstração, usados para combinar a demonstração com quem pediu.
- Identificação e contato do colaborador: nome, foto, CPF, número de registro, nascimento, e-mail, telefone, WhatsApp, estado civil, naturalidade, escolaridade e nomes da mãe e do pai.
- Documentos pessoais: RG e dados de emissão, CTPS e dados correspondentes, PIS, título eleitoral, zona e seção, CNH, categoria e validade, conforme o preenchimento da ficha.
- Endereço: logradouro, número, complemento, bairro, CEP, município e estado.
- Vínculo profissional e benefícios: setor, cargo, admissão, salário, experiência, sindicato indicado, adicionais de risco, dias e horários da jornada, intervalos, banco, agência, conta, opção e cartão de vale-transporte, tamanhos de uniforme e calçado.
- Dependentes: nome e, quando preenchidos, CPF e nascimento. Esses registros podem incluir crianças e adolescentes.
- Rotinas e saúde ocupacional: programação e histórico de férias; afastamentos, tipo, início e previsão de retorno; exames, tipo, realização, vencimento, médico, CRM, observações e anexos. A gestão de EPI relaciona colaboradores a entregas e trocas de equipamentos.
- Arquivos e folha: documentos pessoais e trabalhistas, comprovantes, contratos, ficha de registro, ASO, fotos, arquivos importados, PDFs de holerites e recortes por colaborador. O conteúdo dos anexos pode conter outras categorias de dados pessoais.
- Rastreabilidade: eventos associados a usuários, datas e horários, registros de alterações, valores anteriores e posteriores quando exibidos, histórico de importação, processamento e situação dos envios.
- Empresa e representantes: razão social, CNPJ e informações de configuração da organização. Dados de pessoas naturais presentes nesses cadastros ou documentos também são abrangidos por esta política.
Conferido no código em 23/09/2026
- A senha nunca é guardada como texto: o sistema guarda só o resultado do algoritmo argon2, que não se desfaz.
Dados de saúde são sensíveis. O campo de sindicato e documentos anexados também podem revelar filiação sindical ou outras informações sensíveis, conforme seu conteúdo. Foto comum não comprova uso de reconhecimento facial ou tratamento biométrico; essa finalidade não foi identificada.
Conferido no código em 01/10/2026
- O afastamento e a falta têm um campo próprio para o CID, conferido no formato da CID-10, que só o Administrador e o Analista de RH leem. Para o gestor de setor, o campo aparece como restrito.
- ASO, atestado de afastamento e atestado de falta são categorias de saúde: só o Administrador e o Analista de RH abrem esses documentos.
- Um CID escrito em campo livre é recusado: na observação da ficha, do afastamento, do exame, da entrega de EPI e da mudança de setor ou cargo, no motivo e nas observações do desligamento, na justificativa da falta e no tipo do exame. Na importação de planilha, a observação que traz um CID é descartada com aviso.
Conferido no código em 05/10/2026
- A gestação, registrada na ficha para a garantia de emprego da gestante, é dado de saúde: só o Administrador e o Analista de RH a leem e a gravam. Para o gestor de setor, ela não aparece.
INFORMAÇÃO A CONFIRMAR: inventário integral de campos opcionais, conteúdo permitido nos anexos, dados técnicos de navegação e autenticação, metadados de arquivos e eventual utilização de biometria, inteligência artificial ou serviços externos para leitura de documentos.
4. Como os dados chegam à plataforma
Os dados são fornecidos diretamente na abertura de conta e no acesso ao sistema, inseridos pelos usuários autorizados em formulários ou incluídos por importação de arquivos e anexação de documentos. Assim, uma pessoa pode ter seus dados registrados pela empresa empregadora sem criar uma conta própria no RHACT.
A importação admite formatos apresentados na interface, como XLSX, XLS, CSV, TXT, PDF e imagens. O processamento de holerites utiliza um PDF de folha já existente; não equivale, por si só, ao cálculo da folha de pagamento. As operações no sistema também originam históricos, situações e indicadores derivados dos registros cadastrados.
INFORMAÇÃO A CONFIRMAR · coleta automática: verificar quais dados de conexão, IP, dispositivo, navegador, sessão, erros e acesso são registrados pelo servidor e por fornecedores, suas finalidades e duração. A inspeção das telas não permite concluir que esses dados não sejam coletados.
5. Para quais finalidades os dados são utilizados
- Identificar usuários, permitir autenticação e administrar permissões e vínculos com a empresa.
- Organizar a ficha do colaborador, seus documentos, dependentes, vínculo profissional e histórico.
- Acompanhar admissões, desligamentos, afastamentos, exames, férias, equipamentos e prazos associados aos registros.
- Produzir consultas, indicadores e relatórios sobre o quadro de pessoal, inclusive fichas e exportações disponibilizadas no sistema.
- Importar informações, conferir arquivos de folha, separar holerites por colaborador e acompanhar os envios realizados pelos recursos habilitados.
- Registrar operações e alterações para rastreabilidade e administrar as cópias de segurança exibidas na plataforma.
- Receber comunicações e solicitações encaminhadas ao canal de contato.
O uso de dados para publicidade comportamental, comercialização de bases, treinamento de modelos de inteligência artificial ou decisões exclusivamente automatizadas com efeitos sobre titulares não foi confirmado. INFORMAÇÃO A CONFIRMAR: declarar se alguma dessas práticas ocorre e, em caso positivo, descrever sua finalidade, alcance e fundamento antes da publicação.
6. Fundamentos jurídicos do tratamento
Uma finalidade operacional não basta, por si só, para autorizar o tratamento. O controlador deve registrar a hipótese legal adequada a cada operação, observando necessidade e proporcionalidade. Não se adota um consentimento genérico para todo o uso do sistema.
INFORMAÇÃO A CONFIRMAR · matriz de bases legais: os enquadramentos a seguir são propostas para validação pelo controlador, e não uma declaração de bases já adotadas.
- Contas, contratação e atendimento: execução de contrato ou procedimentos preliminares, quando o titular for parte; para representantes e usuários corporativos que não sejam partes do contrato, avaliar a base apropriada, como legítimo interesse devidamente fundamentado.
- Cadastro e gestão trabalhista: cumprimento de obrigações legais ou regulatórias concretamente identificadas, execução do contrato de trabalho quando necessária e exercício regular de direitos, conforme cada finalidade. Não presumir que todo campo cadastral seja legalmente obrigatório.
- Saúde ocupacional e eventual filiação sindical: avaliar as hipóteses específicas do art. 11 da LGPD, como obrigação legal/regulatória ou exercício regular de direitos, conforme o caso. Legítimo interesse não é base para dados sensíveis; não presumir que o fornecedor de software realiza tutela da saúde como um serviço de saúde.
- Segurança e auditoria: avaliar obrigação legal e/ou legítimo interesse para dados não sensíveis, com documentação da necessidade, expectativas do titular e salvaguardas. Registros que revelem dados sensíveis exigem enquadramento próprio.
- Comunicações opcionais e tecnologias não necessárias, se existentes: definir base específica e mecanismo correspondente; quando houver consentimento, ele deve ser livre, informado, específico e revogável.
Consultar a LGPD e a orientação da ANPD sobre legítimo interesse.
7. Acesso e compartilhamento
Os dados são consultados e utilizados pelos usuários autorizados da empresa, de acordo com os acessos configurados. A plataforma disponibiliza recursos de exportação e geração de arquivos, que podem produzir cópias sob responsabilidade de quem as recebe.
O controle de envios apresenta canal de e-mail e campo de erro do provedor. Isso evidencia um fluxo de envio e a previsão de interação com um serviço de entrega; não identifica o fornecedor, todas as informações transmitidas ou a confirmação de leitura pelo destinatário.
Conferido no código em 23/09/2026
- O envio de e-mail (holerites e avisos) tem um único provedor no código: o Resend. Sem ele configurado, o sistema não envia e-mail nenhum.
- A aplicação é hospedada na Vercel, na região gru1, em São Paulo.
Conferido no código e na produção em 03/10/2026
- Vercel: hospeda a aplicação. As funções rodam na região gru1, em São Paulo, e todo dado que a tela mostra ou recebe passa por elas.
- Supabase: guarda o banco de dados e os arquivos enviados ao sistema (documentos, fotos, holerites e planilhas de importação), na região sa-east-1, em São Paulo.
- Cloudflare R2: guarda as cópias de segurança do banco, cifradas, no leste da América do Norte (região ENAM). É uma transferência internacional, tratada na seção 13.
- Resend: envia os e-mails do sistema: o holerite em PDF para o colaborador, o link de troca de senha e o aviso de prazo para o usuário, o chamado de suporte, com a captura de tela anexada, e o pedido de demonstração para a equipe do RHACT. O aviso de prazo leva o nome e o setor de quem tem o prazo, o tipo do exame e a data, sem resultado nem CID. A região do domínio de envio não foi conferida.
- Fora esses quatro, o código não manda dado das empresas a nenhum serviço externo.
INFORMAÇÃO A CONFIRMAR: o contrato de tratamento com cada um desses fornecedores e, para quem guarda dado fora do Brasil, o mecanismo de transferência. Informar também eventuais integrações com contabilidade, saúde ocupacional, serviços públicos ou outros sistemas. Nenhuma integração específica deve ser presumida a partir do nome de um módulo.
Confirmar em quais situações a equipe do RHACT acessa dados de clientes para suporte e sob quais autorizações e registros. Eventuais divulgações a autoridades devem ser avaliadas conforme o fundamento jurídico e os limites da solicitação. Não foi comprovada a inexistência de outros compartilhamentos ou de comercialização de dados.
8. Armazenamento, retenção e eliminação
Os registros permanecem disponíveis nos módulos e históricos conforme a utilização do sistema. O desligamento do colaborador não equivale automaticamente à eliminação de sua ficha. Histórico de auditoria, documentos exportados e cópias de segurança também precisam ser considerados quando uma exclusão for solicitada.
INFORMAÇÃO A CONFIRMAR · localização: a região do domínio de envio de e-mail e o lugar de onde a equipe do RHACT acessa os dados para suporte.
INFORMAÇÃO A CONFIRMAR · calendário de retenção: estabelecer prazos e critérios separados para contas e pedidos de cadastro, fichas, documentos trabalhistas, exames e atestados, holerites, importações, logs, solicitações de privacidade e backups, inclusive após término do contrato. Identificar a obrigação ou necessidade que justifica cada período.
Na conta analisada, a tela de backup informa retenção de 30 dias, marcos mensais por 12 meses e backups manuais sem vencimento automático. Esses valores são evidências da configuração exibida, não uma regra validada para todos os clientes. Confirmar execução da rotina, expurgo, tratamento de backups manuais e prevenção de reintrodução de dados eliminados após restauração.
Registros de acesso à aplicação devem ser avaliados separadamente dos logs de negócio; verificar o enquadramento no art. 15 do Marco Civil da Internet, que prevê guarda por seis meses para provedores enquadrados, além de hipóteses legais de preservação.
Conferido no código em 23/09/2026
- Arquivos de importação que não viraram cadastro são apagados por uma rotina diária depois de 24 horas.
- Pedidos de demonstração são apagados por uma rotina diária 14 dias depois do pedido. A cópia que chega por e-mail à equipe segue na caixa de entrada, fora dessa rotina.
- Pedidos de acesso que não foram atendidos são apagados por uma rotina diária 14 dias depois do pedido, com a senha cifrada que guardam.
- As regras de retenção do backup no código são 30 dias, marcos mensais por 12 meses e backups manuais sem vencimento automático.
Conferido no código e na produção em 03/10/2026
- O banco de dados e os arquivos enviados ao sistema ficam em São Paulo (Supabase, região sa-east-1), e a aplicação roda em São Paulo (Vercel, região gru1).
- As cópias de segurança do banco ficam fora do Brasil, no leste da América do Norte (Cloudflare R2, região ENAM). Cada cópia leva o banco inteiro, e não os arquivos enviados ao sistema.
9. Proteção e segurança
Foram identificados acesso por HTTPS, autenticação por e-mail e senha, gestão de usuários e hierarquias, opção de verificação em duas etapas, histórico de ações e painel de backups. A existência desses controles não demonstra que a verificação em duas etapas esteja obrigatória para todos nem comprova, isoladamente, a eficácia de toda a segurança da plataforma.
Conferido no código em 23/09/2026 e revisto em 03/10/2026
- Senhas guardadas com argon2, e nunca em texto.
- Toda consulta ao banco é presa à empresa de quem está conectado: uma empresa não alcança os dados de outra. A exceção é a transferência entre empresas de um mesmo grupo, em que o histórico da pessoa vai com ela.
- O gestor de setor vê apenas o próprio setor. A ficha esconde dele o salário e o dado bancário, mas a CTPS, o contrato e a ficha de registro, que trazem a remuneração, ele abre. Da saúde, vê quem está afastado, o tipo do afastamento e quando vence cada exame, sem o CID e sem os documentos de ASO e atestado.
- A sessão vive num cookie inacessível a scripts (HttpOnly), enviado só por HTTPS em produção, que vence em 12 horas.
- Documentos saem por uma rota do próprio sistema, que confere a cada pedido se quem pede pode vê-los. Não existe link direto para o arquivo, e um link da página que vaze não abre nada sem a sessão de quem tem acesso.
- As cópias de segurança são cifradas com AES-256-GCM quando a chave de cifra está configurada.
- O histórico de operações só aceita inclusão: um gatilho no banco recusa alteração e exclusão. As exceções são a anonimização pedida pelo titular, o autor removido, que fica sem nome, e a exclusão da empresa inteira.
Conferido no código e na produção em 03/10/2026
- O site só abre por HTTPS, e o domínio de produção instrui o navegador a recusar HTTP por dois anos (HSTS).
- A conexão da aplicação com o banco é cifrada: a publicação em produção é recusada quando o endereço do banco não exige cifra.
- A chave de cifra das cópias de segurança está configurada em produção: as 35 cópias feitas entre 06/09 e 03/10/2026 saíram cifradas com AES-256-GCM.
- O segredo da verificação em duas etapas é guardado cifrado. O banco e os arquivos enviados ao sistema não têm cifra própria da aplicação: a cifra em repouso, se houver, é a do provedor, e não foi conferida.
- A verificação em duas etapas é opcional, e só o Administrador e o Analista de RH podem ligá-la; o gestor de setor não tem a opção. Para a equipe do RHACT, no painel de operação, ela é obrigatória, e só deixa de ser pedida no aparelho em que um código já foi conferido.
- Sair encerra a sessão no servidor, e trocar a senha encerra as outras sessões abertas da pessoa.
- Para reconstituir um incidente existem a trilha de auditoria, que só aceita inclusão, o registro de cada entrada no sistema com o IP de origem, e o registro de cada abertura de documento, de holerite e de ficha.
INFORMAÇÃO A CONFIRMAR: a cifra em repouso do banco e dos arquivos no provedor, gestão das chaves, monitoramento, testes periódicos de restauração, gestão de vulnerabilidades e procedimentos internos de acesso.
O acesso de uma pessoa autorizada deve respeitar a finalidade de suas atividades. Não é possível prometer ausência absoluta de incidentes. Em caso de suspeita, utilize o canal da seção 17 e evite enviar senhas ou anexos sensíveis no primeiro contato.
Plano escrito em 05/10/2026
- Existe um plano de resposta a incidentes escrito, com quem coordena, como se contém, como se avalia e como se comunica, e um registro de cada incidente, inclusive dos que não forem comunicados.
- Nos dados dos colaboradores, que a empresa contratante controla, o RHACT avisa a empresa por escrito em até 24 horas de saber do incidente, mesmo sem a avaliação pronta, e entrega a ela a trilha das pessoas dela. A comunicação à ANPD e aos titulares cabe à empresa, nos requisitos e prazos do Regulamento de Comunicação de Incidente de Segurança.
- Nos dados que são do próprio RHACT, as contas de quem usa o sistema e o registro de entradas com o IP de origem, quem comunica a ANPD e os titulares é o RHACT.
10. Direitos dos titulares
Nos termos aplicáveis, o titular pode solicitar confirmação e acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados irregularmente; portabilidade conforme regulamentação; informações sobre compartilhamento e sobre a possibilidade de não consentir; revogação do consentimento; eliminação de dados tratados com consentimento, ressalvadas as exceções legais; oposição ao tratamento realizado com dispensa de consentimento em caso de descumprimento da lei; e revisão de decisões tomadas unicamente por tratamento automatizado que afetem seus interesses.
Esses direitos não significam exclusão irrestrita de documentos sujeitos a conservação legal. Também é possível recorrer à ANPD e, quando aplicável, aos órgãos de defesa do consumidor. Conheça os direitos apresentados pela ANPD.
11. Como fazer uma solicitação
Escreva para contato@rhact.com.br, com o assunto “Privacidade e dados pessoais”, informando seu nome, um contato para resposta, sua relação com a plataforma, a empresa relacionada quando pertinente e o pedido de forma objetiva.
Não envie sua senha. Evite encaminhar documentos completos, laudos ou informações de terceiros sem necessidade. A validação da identidade ou da representação deve ser proporcional ao pedido e ocorrer por procedimento seguro.
Se os dados foram cadastrados pelo seu empregador, você pode procurar diretamente o RH ou o canal de privacidade dessa empresa. Quando o RHACT atuar como operador, a decisão sobre o atendimento depende do controlador, com a cooperação necessária do fornecedor. O canal não deve exigir que o colaborador tenha uma conta no sistema.
O exercício dos direitos é gratuito. A confirmação e o acesso possuem, na LGPD, previsão de resposta simplificada imediata ou declaração completa em até 15 dias; outros pedidos e situações devem observar os prazos legalmente aplicáveis. Eventual impossibilidade de atendimento deve ser explicada. Orientações da ANPD.
INFORMAÇÃO A CONFIRMAR: responsável por monitorar o e-mail, registro de solicitações, validação de identidade, encaminhamento ao controlador, eventual regime regulatório diferenciado aplicável e meios seguros de entrega das respostas. A inspeção identificou troca de senha na conta e ações administrativas sobre cadastros, mas não comprovou um fluxo de autoexclusão pelo titular.
12. Cookies e tecnologias semelhantes
Cookies e outros mecanismos no navegador podem ser utilizados para manter sessões, preferências ou medir uso.
Conferido no código em 23/09/2026
- rh_sessao: mantém a sessão depois do login, por até 12 horas, inacessível a scripts.
- rh_2fa: guarda por 5 minutos a etapa intermediária da verificação em duas etapas.
- No navegador ficam só preferências de tela (tema e menu) e o lote de importação em andamento, no armazenamento local.
- O sistema não carrega scripts de análise, publicidade ou monitoramento de terceiros.
INFORMAÇÃO A CONFIRMAR: registros de acesso mantidos no servidor pela hospedagem e pelos fornecedores, que não passam pelo navegador, com finalidade e duração. Os cookies rh_operacao e rh_operacao_maquina são do console interno da equipe e não se aplicam a clientes.
Se houver tecnologias opcionais baseadas em consentimento, a implementação deverá oferecer escolhas reais, informação prévia e revogação acessível. A configuração do navegador permite limitar cookies, mas o bloqueio de mecanismos necessários pode afetar o login; isso não substitui a gestão adequada das tecnologias opcionais pelo responsável. Guia da ANPD sobre cookies.
13. Transferências internacionais
INFORMAÇÃO A CONFIRMAR: o mecanismo jurídico que ampara a transferência das cópias de segurança (art. 33 da LGPD), ou a decisão de trazê-las para o Brasil; a região do domínio de envio de e-mail; e se alguém da equipe do RHACT acessa os dados a partir do exterior.
Conferido no código e na produção em 03/10/2026
- Há uma transferência internacional conhecida: as cópias de segurança do banco ficam no Cloudflare R2, no leste da América do Norte (região ENAM). Cada cópia leva o banco inteiro, inclusive dados de saúde e de dependentes, e sai cifrada com AES-256-GCM. A chave de cifra não fica junto das cópias: a aplicação a lê do ambiente da hospedagem.
Caso ocorram transferências internacionais, identificar os países ou destinos, agentes envolvidos, categorias e finalidades, período aplicável e mecanismo jurídico utilizado, com as informações e garantias exigidas pela LGPD e pelo regulamento pertinente. Não declarar inexistência de transferência nem uso de cláusulas-padrão sem comprovação. Regulamento da ANPD sobre transferências internacionais.
Conferido no código em 23/09/2026
- O único provedor de e-mail do sistema é o Resend. A região configurada para o domínio de envio precisa ser confirmada, porque dela depende se há transferência internacional.
14. Proteção de crianças, adolescentes e dependentes
Dados de colaboradores e suas famílias. O RHACT permite que as empresas contratantes organizem informações de seus funcionários e colaboradores, de seus dependentes e de familiares mencionados nas fichas cadastrais. Esses dados são fornecidos pela empresa ou por pessoas autorizadas por ela, para as finalidades de gestão de RH descritas nesta política. O cadastro de dependentes pode incluir crianças e adolescentes; também pode haver colaboradores adolescentes em vínculos de trabalho permitidos por lei.
Responsabilidade da empresa contratante. Cabe à empresa identificar a base legal adequada, informar os titulares sobre o uso de seus dados e inserir apenas informações necessárias às finalidades legítimas do cadastro. Quando atuar como operador, o RHACT deverá tratar essas informações conforme as instruções lícitas da empresa, os termos contratuais aplicáveis e a legislação. O envio de dados à plataforma não substitui a necessidade de uma base legal válida nem afasta as responsabilidades de cada agente de tratamento.
Cuidado especial com crianças e adolescentes. O tratamento desses dados deve priorizar o melhor interesse de cada criança ou adolescente, respeitando sua privacidade e seus direitos. A coleta deve ser limitada ao necessário, e o acesso deve se restringir às pessoas que precisam das informações para exercer suas atribuições. Quando a base legal utilizada para tratar dados de crianças for o consentimento, ele deverá ser específico, destacado e fornecido por pelo menos um dos pais ou pelo responsável legal, observados os demais requisitos aplicáveis. Outras bases legais podem ser utilizadas quando cabíveis, sempre com avaliação do melhor interesse. Orientação da ANPD sobre crianças e adolescentes.
Dúvidas e exercício de direitos. Se você é titular dos dados, pai, mãe ou responsável legal, procure o RH da empresa que realizou o cadastro para solicitar esclarecimentos, acesso, correção ou exclusão, quando cabível. Você também pode entrar em contato pelo endereço contato@rhact.com.br para orientações sobre o tratamento na plataforma. A análise de cada solicitação deve respeitar a representação legal, a segurança dos dados e as obrigações de conservação aplicáveis, conforme as Seções 10 e 11 desta política.
INFORMAÇÃO A CONFIRMAR: validar os termos contratuais e as instruções de tratamento, o público efetivamente cadastrado, os campos e documentos necessários de dependentes, as bases legais por finalidade, os perfis autorizados e os procedimentos de atendimento aos responsáveis legais. Confirmar também a eventual aplicação do ECA Digital (Lei nº 15.211/2025), considerando o direcionamento ou acesso provável do serviço por menores; a presença de dependentes no cadastro, isoladamente, não determina esse enquadramento. Informações oficiais sobre o ECA Digital.
15. Cuidados de quem utiliza o sistema
Usuários autorizados devem manter as informações corretas, utilizar apenas os dados necessários às suas atribuições, preservar credenciais, respeitar permissões e proteger arquivos baixados ou encaminhados. Cadastros de terceiros precisam ter finalidade e fundamento legítimos.
Os formulários de exames e afastamentos orientam a não inserir diagnóstico ou CID nas observações. Esse cuidado também deve alcançar anexos: envie somente o documento necessário e verifique se ele expõe informações excessivas. O campo de sindicato deve ser avaliado conforme sua finalidade real, sem assumir que toda informação sindical seja necessária.
Antes de enviar holerites ou exportar fichas, confira destinatários e conteúdo. Comunique suspeitas de acesso indevido. Essas responsabilidades não afastam os deveres legais da empresa controladora, do fornecedor e de outros agentes de tratamento.
16. Alterações desta política
Esta política deverá acompanhar mudanças efetivas nos tratamentos de dados e nas obrigações aplicáveis. A versão disponibilizada ao público deve indicar sua data e permitir a compreensão das alterações relevantes. Uma atualização do documento não autoriza automaticamente novas finalidades incompatíveis com as anteriormente informadas.
INFORMAÇÃO A CONFIRMAR: procedimento de aprovação, guarda das versões anteriores e forma de comunicação de alterações relevantes aos usuários e aos titulares sem conta. Quando uma mudança exigir consentimento, a simples continuidade de uso não será tratada como autorização genérica.
17. Contato de privacidade
Canal indicado pelo responsável para esta política: contato@rhact.com.br.
Use esse canal para dúvidas sobre tratamento, solicitações de direitos ou comunicação de suspeitas relacionadas a dados pessoais. Para registros administrados pela empresa empregadora, procure também seu RH ou canal de privacidade.
Encarregado pelo tratamento de dados pessoais: o próprio RHACT, designado como pessoa jurídica, como permite a Resolução CD/ANPD nº 18/2024. O contato do encarregado é o mesmo canal desta seção, contato@rhact.com.br. Orientações da ANPD sobre o encarregado.
18. Atualização e situação desta versão
Última atualização: 6 de outubro de 2026. Versão: 1.1 para revisão.
Esta redação foi preparada com base na navegação pública e autenticada do RHACT e nos recursos observados, sem auditoria do código-fonte, da infraestrutura ou dos contratos com fornecedores. As informações pendentes estão sinalizadas no próprio documento, conforme solicitado pelo responsável.
Antes de apresentá-la como política vigente, preencher as pendências, validar os fundamentos e procedimentos com os responsáveis jurídico e técnico, conferir sua correspondência com a operação e definir a data de vigência. A publicação do texto não substitui a implementação das práticas nele descritas.
Em 23 de setembro de 2026, parte das pendências técnicas foi conferida no código-fonte do sistema e está marcada como “Conferido no código”. As demais continuam marcadas como “Informação a confirmar”.
Em 3 de outubro de 2026, onde cada fornecedor guarda os dados, a cifra das cópias de segurança e a da conexão com o banco foram conferidas também na produção, e estão marcadas como “Conferido no código e na produção”.
Em 6 de outubro de 2026, a identificação do responsável pelo RHACT e o encarregado foram preenchidos, e o CNPJ foi conferido no cadastro da Receita Federal.