Política de Privacidade — Horae Track

1. Introdução e Escopo #

1.1. Esta Política de Privacidade ("Política") descreve como [RAZÃO SOCIAL DA CONTRATADA] ("Horae", "nós"), operadora da plataforma Horae Track (https://horaetrack.app e https://web.horaetrack.app), trata dados pessoais no contexto do site institucional (landing page) e da aplicação do Serviço.

1.2. Esta Política se aplica a: (a) visitantes do site https://horaetrack.app; (b) pessoas de contato de empresas interessadas no Serviço; (c) Usuários Autorizados de empresas clientes ("Contratantes") que usam a aplicação https://web.horaetrack.app; e (d) representantes das próprias Contratantes para fins de cadastro e cobrança.

1.3. Esta Política deve ser lida em conjunto com os Termos de Uso e, quando aplicável, com o Acordo de Tratamento de Dados.

2. Controlador, Operador e Encarregado (DPO) #

2.1. Controlador dos dados de cadastro e cobrança da Contratante e dos dados de visitantes do site: para os dados fornecidos diretamente pela Contratante no momento do cadastro, para os dados de cobrança, e para os dados de visitantes/leads do site institucional, a Horae atua como Controladora, nos termos do art. 5º, VI, da LGPD.

2.2. Operadora dos Dados do Cliente inseridos no uso do Serviço: para os dados inseridos pelos Usuários Autorizados no uso cotidiano do Serviço (registros de horas, descrições de atividades, valores, notas fiscais, dados cadastrais de outros Usuários Autorizados), a Horae atua como Operadora, nos termos do art. 5º, VII, da LGPD, agindo segundo as instruções da Contratante, que é a Controladora desses dados perante seus próprios funcionários/prestadores. Essa relação é detalhada no Acordo de Tratamento de Dados.

2.3. Encarregado de Proteção de Dados (DPO): [NOME DO ENCARREGADO], contatável em [E-MAIL DO ENCARREGADO — proposta: [email protected]].

3. Dados Tratados e Finalidades #

4. Bases Legais #

A tabela abaixo relaciona as bases legais da LGPD e do GDPR aplicáveis a cada finalidade de tratamento.

4.1. Quando a base legal for o consentimento, este pode ser revogado a qualquer momento, sem prejuízo da licitude do tratamento realizado antes da revogação.

5. Cookies e Tecnologias Semelhantes #

5.1. Site institucional (landing): não utiliza cookies de rastreamento ou de analytics de terceiros. As métricas de uso são coletadas por meio do Umami, ferramenta de analytics self-hosted (hospedada em infraestrutura própria), que não utiliza cookies nem identificadores persistentes, coletando apenas dados agregados e anônimos (página, idioma, eventos de clique).

5.2. Aplicação do Serviço (`web.horaetrack.app`): utiliza apenas cookies/armazenamento local estritamente necessários ao funcionamento (ex.: manutenção de sessão autenticada via Auth0), não havendo cookies de publicidade ou rastreamento comportamental de terceiros.

5.3. Por não haver cookies não essenciais, não é exibido banner de consentimento de cookies, em linha com a orientação de que tal banner é exigido apenas quando há coleta de identificadores não essenciais.

6. Compartilhamento de Dados e Suboperadores #

6.1. A Horae compartilha dados pessoais com os seguintes suboperadores e parceiros, estritamente na medida necessária à prestação do Serviço:

6.2. Hospedagem, banco de dados e arquivos: a aplicação, o banco de dados e os arquivos (ex.: PDFs de notas fiscais, logos de empresas) são hospedados em duas fases:
(a) fase de teste aberto (beta): em servidor próprio da Horae, localizado no Brasil, não havendo, nessa fase, hospedagem desses dados em provedor de nuvem público. Os serviços externos de infraestrutura utilizados nessa fase são apenas os listados na Cláusula 6.1 (incluindo o Azure Key Vault e o Azure Application Insights, nos limites ali descritos);
(b) lançamento comercial: a Horae pretende migrar a plataforma (aplicação, banco de dados e arquivos) para um provedor de nuvem corporativa, a ser escolhido entre a Microsoft Azure e a Amazon Web Services (AWS). O provedor e a região de hospedagem ainda não foram definidos;
(c) aviso prévio: antes de realizar a migração, a Horae comunicará a mudança ao Dono de cada Contratante, por e-mail e/ou por aviso destacado no Serviço, com antecedência [PRAZO DE AVISO A DEFINIR PELO JURÍDICO], e atualizará esta Política para indicar o provedor, a região e as salvaguardas aplicáveis;
(d) se o provedor ou a região escolhidos estiverem fora do Brasil, aplica-se o disposto na Cláusula 7.4.

6.3. A Horae pode compartilhar dados pessoais adicionalmente: (a) com autoridades públicas, mediante ordem judicial ou requisição legal válida; (b) em caso de reorganização societária (fusão, aquisição), com o devido aviso; (c) com prestadores de serviço de suporte técnico, sob obrigação contratual de confidencialidade e segurança equivalente à desta Política.

6.4. A Horae não vende dados pessoais a terceiros.

7. Transferência Internacional de Dados #

7.1. Os suboperadores listados na Cláusula 6.1 estão localizados ou processam dados fora do Brasil (Estados Unidos). Essas transferências internacionais são realizadas com base no art. 33 da LGPD, mediante: (a) cláusulas contratuais padrão equivalentes às aprovadas pela Autoridade Nacional de Proteção de Dados (ANPD), nos termos da Resolução CD/ANPD nº 19/2024; e/ou (b) garantias contratuais de nível de proteção adequado firmadas com cada suboperador.

7.2. Para Contratantes sujeitas ao GDPR/UK GDPR, as transferências de dados pessoais para fora do Espaço Econômico Europeu/Reino Unido são realizadas com base no Capítulo V do GDPR, mediante Cláusulas Contratuais Padrão (Standard Contractual Clauses — SCCs) da Comissão Europeia (ou o International Data Transfer Addendum do UK ICO, conforme aplicável), firmadas com os suboperadores relevantes, complementadas por avaliação de impacto de transferência quando exigida.

7.3. Mais detalhes sobre as salvaguardas de transferência internacional aplicáveis a uma Contratante específica podem ser solicitados ao Encarregado (Cláusula 2.3).

7.4. Caso, por ocasião da migração descrita na Cláusula 6.2(b), os dados hospedados na plataforma passem a ser armazenados ou tratados fora do Brasil, a transferência internacional correspondente deverá observar o art. 33 da LGPD e a Resolução CD/ANPD nº 19/2024, com o mecanismo de transferência a ser adotado [MECANISMO A DEFINIR — PENDENTE DE PARECER JURÍDICO], e esta Política será atualizada antes da migração. Se a região escolhida for no Brasil, essa transferência não ocorrerá em razão da hospedagem.

8. Retenção de Dados #

8.1. Dados de cadastro e de cobrança da Contratante são mantidos durante toda a vigência da Conta e pelo prazo adicional necessário ao cumprimento de obrigações legais (ex.: fiscais, cíveis), observados os prazos prescricionais aplicáveis.

8.2. Os Dados do Cliente (dados de uso do Serviço) são mantidos durante a vigência da Conta e, após o encerramento, pelo prazo de retenção descrito na Cláusula 7.3 dos Termos de Uso (proposta: 90 dias), findo o qual podem ser excluídos, ressalvadas obrigações legais de guarda.

8.3. Dados de contato/lista de espera do site institucional são mantidos pelo prazo necessário à finalidade de contato, ou até solicitação de exclusão pelo titular.

9. Segurança da Informação #

9.1. A Horae adota medidas técnicas e administrativas razoáveis para proteger os dados pessoais, incluindo, no que for aplicável ao estágio atual do Serviço:
(a) criptografia em trânsito (HTTPS/TLS) em todas as comunicações entre cliente e servidor;
(b) controle de acesso baseado em papéis (owner, manager, finance, contractor) e autenticação via Auth0;
(c) firewall e proteção contra ataques (WAF) por meio do Cloudflare;
(d) rotinas de backup do banco de dados e dos arquivos armazenados.

9.2. Nenhum sistema é absolutamente seguro. A Horae não garante proteção absoluta contra todo e qualquer incidente, mas se compromete a adotar medidas proporcionais ao risco e a seguir o procedimento de resposta a incidentes descrito na Cláusula 11.

9.3. [Nota ao advogado/produto: esta cláusula deve ser mantida estritamente alinhada ao que de fato existe em produção — não descrever certificação, criptografia em repouso ou controle que ainda não tenha sido implementado.]

10. Direitos dos Titulares #

10.1. Nos termos da LGPD (art. 18) e, quando aplicável, do GDPR (arts. 15 a 22), o titular dos dados pessoais pode solicitar:
(a) confirmação da existência de tratamento;
(b) acesso aos dados;
(c) correção de dados incompletos, inexatos ou desatualizados;
(d) anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
(e) portabilidade dos dados a outro fornecedor de serviço;
(f) eliminação dos dados tratados com base no consentimento;
(g) informação sobre entidades com as quais os dados foram compartilhados;
(h) revogação do consentimento, quando essa for a base legal aplicável;
(i) oposição a tratamento realizado com base em legítimo interesse, quando aplicável;
(j) revisão de decisões automatizadas, quando aplicável.

10.2. Solicitações podem ser enviadas para [E-MAIL DO ENCARREGADO]. A Horae responderá em até 15 (quinze) dias, prazo que pode ser prorrogado uma vez por igual período mediante justificativa, em linha com o prazo de referência da LGPD.

10.3. Quando o titular for Usuário Autorizado de uma Contratante e o dado em questão for Dado do Cliente tratado pela Horae como Operadora, a solicitação pode ser encaminhada à própria Contratante (Controladora) ou à Horae, que a reencaminhará à Contratante quando apropriado, nos termos do Acordo de Tratamento de Dados.

11. Dados de Menores #

11.1. O Serviço é destinado a uso empresarial (B2B) por profissionais maiores de idade no exercício de atividade laboral ou de prestação de serviços, e não é direcionado a crianças ou adolescentes. A Horae não coleta intencionalmente dados de menores de 18 anos.

11.2. Caso se identifique a coleta inadvertida de dados de um menor, a Horae tomará medidas para excluir tais dados, mediante contato pelo canal da Cláusula 10.2.

12. Incidentes de Segurança #

12.1. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Horae: (a) adotará medidas para conter e remediar o incidente; (b) comunicará a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em prazo razoável, nos termos do art. 48 da LGPD, quando o incidente acarretar risco ou dano relevante; (c) quando aplicável a Contratantes sujeitas ao GDPR, comunicará a autoridade de proteção de dados competente em até 72 (setenta e duas) horas da ciência do incidente, nos termos do art. 33 do GDPR.

12.2. Contratantes que atuem como Controladoras de Dados do Cliente serão notificadas pela Horae em prazo compatível com o estabelecido no Acordo de Tratamento de Dados (proposta: 48 horas), para que possam cumprir suas próprias obrigações de notificação.

13. Alterações a esta Política #

13.1. Esta Política pode ser atualizada periodicamente. Alterações materiais serão comunicadas por e-mail ao Dono da Contratante e/ou por aviso destacado no Serviço, com indicação da data de vigência.

14. Aviso Específico — Residentes da Califórnia (CCPA/CPRA) #

14.1. Caso a Horae trate dados pessoais de residentes da Califórnia (Estados Unidos) na qualidade de "business" nos termos do California Consumer Privacy Act, com as alterações do California Privacy Rights Act ("CCPA/CPRA"), tais titulares podem ter direito a: (a) saber quais categorias de dados pessoais são coletadas e com quais finalidades; (b) solicitar acesso e cópia dos dados; (c) solicitar a exclusão de dados pessoais, nas hipóteses legais; (d) solicitar a correção de dados imprecisos; (e) optar por não ter seus dados "vendidos" ou "compartilhados" (a Horae declara que não vende nem compartilha dados pessoais para fins de publicidade direcionada, nos termos definidos pelo CCPA/CPRA); e (f) não sofrer tratamento discriminatório por exercer esses direitos.

14.2. Solicitações de residentes da Califórnia podem ser enviadas pelo mesmo canal da Cláusula 10.2.

15. Contato #

Para exercer direitos de titular, tirar dúvidas sobre este documento ou sobre o tratamento de dados pessoais, contate:

Encarregado de Proteção de Dados (DPO): [NOME DO ENCARREGADO]
E-mail: [E-MAIL DO ENCARREGADO]
Contato geral: [email protected]

[RAZÃO SOCIAL DA CONTRATADA]
CNPJ: [CNPJ]
Endereço: [ENDEREÇO COMPLETO DA SEDE]