Política de Privacidade

Vigente desde: 26/09/2026

Esta Política de Privacidade explica como a YiQ Tecnologia e Sistemas Ltda. (CNPJ 19.925.713/0001-94), doravante "YiQ", coleta, usa, armazena e protege dados pessoais no âmbito da plataforma YiQ, um sistema de gestão de Saúde e Segurança do Trabalho (SST) contratado por empresas ("Empresa Cliente" ou "Grupo/Cliente") para uso por seus colaboradores e prepostos.

1. Dois papéis diferentes: quando a YiQ é "operadora" e quando é "controladora"

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD) distingue quem decide como e por que os dados são tratados ("controlador") de quem trata os dados por conta de outro ("operador"). Na plataforma YiQ:

• Para os dados de colaboradores da Empresa Cliente (nome, CPF, cargo, setor, exames ocupacionais/ASO, treinamentos, EPIs, certificados digitais e demais registros de SST), a Empresa Cliente é a controladora — é ela quem decide quais colaboradores cadastrar e para quais finalidades os dados serão usados dentro da própria empresa. A YiQ atua como operadora, tratando esses dados somente conforme as instruções e finalidades definidas pela Empresa Cliente e pela legislação trabalhista/SST aplicável (Normas Regulamentadoras do Ministério do Trabalho e Emprego).
• Para os dados da própria conta de acesso ao sistema (nome e e-mail de quem faz login, dados cadastrais da Empresa Cliente como contratante, e, quando aplicável, dados de cobrança da assinatura), a YiQ é a controladora.

2. Quais dados são tratados

• Dados de conta: nome, e-mail e senha (armazenada de forma criptografada) de quem acessa o sistema.
• Dados da Empresa Cliente: razão social, CNPJ e demais dados cadastrais informados no sistema.
• Dados de colaboradores: nome, CPF, cargo, setor, função, e demais informações cadastradas pela Empresa Cliente para gestão de SST.
• Dados de saúde ocupacional (dado sensível): resultados e datas de exames (ASO), aptidão/inaptidão, histórico toxicológico e demais registros exigidos pelas Normas Regulamentadoras (como a NR-7).
• Certificados digitais: a plataforma permite o upload de certificados digitais (.pfx) usados para a transmissão de eventos ao eSocial. A senha do certificado nunca é armazenada em banco de dados, em arquivo ou em log — ela é usada apenas em memória, no momento exato da transmissão, e descartada logo em seguida.
• Dados de cobrança: quando a assinatura paga estiver em operação, dados como CNPJ e histórico de pagamento, tratados pelo provedor de pagamento contratado.
• Dados técnicos: registros de acesso (data/hora de login, endereço IP) para fins de segurança, conforme exigido pelo Marco Civil da Internet.

3. Por que tratamos esses dados (finalidade e base legal)

• Cumprimento de obrigação legal ou regulatória (art. 7º, II e art. 11, II, "a" da LGPD): os exames ocupacionais e demais registros de SST são exigidos pelas Normas Regulamentadoras — essa é a base legal para o tratamento dos dados de saúde dos colaboradores, e não o consentimento individual (que seria inadequado nesse contexto, já que o colaborador não pode simplesmente recusar um exame exigido por lei).
• Execução de contrato (art. 7º, V): para viabilizar a prestação do serviço contratado pela Empresa Cliente e a gestão da conta de acesso.
• Legítimo interesse (art. 7º, IX): para prevenção a fraudes e garantia da segurança da plataforma.

4. Com quem os dados são compartilhados

A YiQ compartilha dados apenas com prestadores de serviço estritamente necessários para operar a plataforma:

• Hospedagem (Railway): onde o sistema e o banco de dados ficam armazenados.
• Backup externo (Backblaze B2): uma cópia de segurança criptografada é enviada automaticamente para um serviço de armazenamento em nuvem, para proteger os dados contra perda. Esse serviço está localizado fora do Brasil, o que caracteriza uma transferência internacional de dados nos termos da LGPD. A YiQ está em processo de formalização das salvaguardas contratuais previstas pela Resolução CD/ANPD nº 19/2024 da Autoridade Nacional de Proteção de Dados (ANPD) para esse tipo de transferência, e manterá esta política atualizada assim que o processo for concluído.
• eSocial/órgãos governamentais: quando a Empresa Cliente utiliza os módulos de transmissão de eventos de SST, os dados são enviados diretamente ao eSocial, conforme exigido pela legislação.
• Provedor de pagamento: quando a assinatura paga estiver em operação, para processar cobranças.

A YiQ não vende nem compartilha dados pessoais para fins de publicidade de terceiros.

5. Por quanto tempo os dados são guardados

Os dados são mantidos enquanto durar o contrato entre a Empresa Cliente e a YiQ, e pelo prazo adicional exigido pela legislação trabalhista e pelas Normas Regulamentadoras (registros de saúde ocupacional costumam ter prazos legais de guarda de vários anos). Após esses prazos, os dados são eliminados ou anonimizados.

6. Como os dados são protegidos

• Conexão criptografada (HTTPS) em todo o acesso ao sistema.
• Senhas de usuário armazenadas de forma criptografada (nunca em texto simples).
• Senha de certificado digital nunca persistida — usada apenas em memória, no momento da transmissão.
• Backups automáticos, incluindo uma cópia externa criptografada em serviço de nuvem apartado da hospedagem principal.
• Controle de acesso por usuário e por Empresa Cliente — cada empresa só enxerga seus próprios dados.

7. Responsabilidade entre a YiQ e a Empresa Cliente

Como a Empresa Cliente é a controladora dos dados de seus colaboradores, cabe a ela garantir que possui base legal adequada para cada informação que insere na plataforma e que seus próprios usuários fazem uso correto do sistema. Caso a YiQ seja acionada, judicial ou administrativamente, em razão de um incidente decorrente de dado inserido sem a devida autorização, de uso indevido de credenciais pela Empresa Cliente ou de descumprimento por ela das obrigações da LGPD, a YiQ poderá exercer direito de regresso contra a Empresa Cliente responsável pelos prejuízos daí decorrentes.

Em contrapartida, caso a YiQ identifique um incidente de segurança que possa afetar dados pessoais tratados na plataforma, comunicará a Empresa Cliente afetada em prazo razoável, não superior a 48 (quarenta e oito) horas contadas da confirmação do incidente, para que esta possa adotar as medidas cabíveis perante os titulares e, se for o caso, a ANPD.

8. Seus direitos como titular de dados

Nos termos do art. 18 da LGPD, você pode solicitar, a qualquer momento:

• Confirmação de que tratamos seus dados e acesso a eles;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei;
• Portabilidade dos dados a outro fornecedor de serviço;
• Informação sobre com quem seus dados foram compartilhados;
• Revogação do consentimento, nos casos em que essa for a base legal aplicável.

Quando o pedido envolver dados de colaboradores tratados pela YiQ como operadora, ele será encaminhado à Empresa Cliente responsável (a controladora desses dados), que é quem deve atendê-lo — a YiQ auxiliará nesse processo sempre que solicitado.

9. Encarregado pelo tratamento de dados (DPO)

Nos termos do art. 41 da LGPD, a YiQ designa como Encarregado pelo tratamento de dados pessoais (DPO) o Sr. Emanoel Costa, responsável por atuar como canal de comunicação entre a YiQ, os titulares de dados e a ANPD.

10. Alterações nesta política

Esta política pode ser atualizada periodicamente para refletir mudanças na legislação ou no funcionamento da plataforma. A data de vigência no topo desta página sempre indica a versão mais recente.