Texto-base em revisão: ainda não é a versão oficial. (Para publicar: revise com o jurídico e defina LEGAL_DRAFT=false.)
Política de privacidade
Versão de 20 de outubro de 2026
Esta política explica como o RS Works Gestão, de RS Works TI (CNPJ 52.180.591/0001-20), trata dados pessoais, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, “LGPD”).
1. Dois papéis diferentes
- Dados de quem usa o sistema (cadastro, login, assinatura): nós somos os controladores.
- Dados que as empresas cadastram (os clientes delas, orçamentos, cobranças): cada empresa é a controladora, e nós somos operadores, tratando esses dados só para prestar o serviço e conforme as instruções dela. Pedidos sobre esses dados devem ser feitos primeiro à empresa responsável por eles.
2. Que dados tratamos e por quê
| Dados | Para quê | Base legal (LGPD) |
|---|---|---|
| Nome, e-mail, senha (guardada só como hash) | Criar e proteger a sua conta | Execução de contrato (art. 7º, V) |
| Nome da empresa, CPF/CNPJ e e-mail de cobrança | Cobrar a assinatura e emitir as faturas | Execução de contrato e obrigação legal (art. 7º, II e V) |
| IP, navegador, data e hora de acessos e alterações | Segurança: limite de tentativas de login, histórico de segurança, sessões abertas, registro de atividades | Legítimo interesse e obrigação legal (art. 7º, II e IX; Marco Civil da Internet, art. 15) |
| Segredo da verificação em duas etapas e códigos de recuperação (se você ativar) | Proteger o login com um segundo fator | Execução de contrato e legítimo interesse (art. 7º, V e IX) |
| Dados cadastrados pelas empresas: clientes (nome, CPF/CNPJ, contatos, endereço), equipamentos, orçamentos, ordens de serviço, valores, fotos e anexos | Prestar o serviço contratado pela empresa | Definida pela empresa controladora; nós operamos |
| Assinatura colhida na ordem de serviço: imagem da assinatura, nome de quem assinou, data, hora e IP | Comprovar o recebimento do serviço pela empresa | Definida pela empresa controladora; nós operamos |
Não vendemos dados, não usamos os dados das empresas para publicidade e não tomamos decisões automatizadas sobre pessoas. As fotos enviadas pelo navegador são reduzidas antes do envio, e a localização (GPS) gravada nelas é descartada.
3. Com quem compartilhamos
- Asaas: processamento das cobranças (da assinatura e, se a empresa conectar, das cobranças dela aos próprios clientes) e emissão das notas fiscais da empresa.
- Prefeituras: quando a empresa emite nota fiscal, os dados do cliente que constam nela (nome, CPF/CNPJ e endereço) seguem, pelo Asaas, para a prefeitura ou o Emissor Nacional.
- ViaCEP: ao preencher o endereço, o sistema consulta o CEP digitado nesse serviço público para completar rua, bairro e cidade. Só o CEP é enviado, pelo nosso servidor.
- Hospedagem e e-mail: servidores onde o sistema roda e por onde os e-mails são enviados, no Brasil.
- Autoridades: quando houver ordem judicial ou obrigação legal.
As páginas do sistema não carregam nada de outros sites (fontes, scripts ou estatísticas): o navegador só fala com o próprio sistema. Os botões de WhatsApp apenas abrem o WhatsApp de quem clicou, com a mensagem pronta; nada é enviado sem que a pessoa confira e envie. Da mesma forma, o link de mapa de uma visita abre o Google Maps com o endereço só quando alguém clica nele.
4. Por quanto tempo
- Dados da conta: enquanto ela existir. Ao excluir a conta no perfil, os dados dela e das empresas em que for a única pessoa são apagados na hora.
- Registros de acesso: pelo menos 6 meses, como exige o Marco Civil da Internet; o histórico de segurança e o registro de atividades das empresas são guardados por até 1 ano.
- Empresas excluídas: ficam 30 dias numa lixeira, sem acesso de ninguém, para o dono poder restaurar; depois são apagadas com todos os dados.
- Fotos, anexos e assinaturas das ordens de serviço: enquanto a ordem de serviço existir; saem com ela, ou com a empresa quando ela é apagada.
- Backups: até 30 dias, apagados depois disso.
- Documentos fiscais e de cobrança: pelo prazo exigido pela legislação.
5. Segurança
Conexão sempre criptografada (https), senhas guardadas com hash (bcrypt), chaves de integração criptografadas, isolamento entre os dados de cada empresa, arquivos enviados guardados fora da área pública do servidor, limite de tentativas de login, verificação em duas etapas opcional (que a empresa pode exigir da equipe), aviso por e-mail de acesso em dispositivo novo e backups diários. Nenhum sistema é infalível: se acontecer um incidente que traga risco aos titulares, avisaremos os afetados e a ANPD, como manda a lei.
6. Cookies
Usamos apenas cookies necessários: o de sessão (manter você logado) e o de preferência de tema (claro ou escuro). Não há cookies de publicidade nem de rastreamento de terceiros.
7. Seus direitos
Você pode pedir confirmação de tratamento, acesso, correção, portabilidade, anonimização ou exclusão dos seus dados, informações sobre compartilhamento e revisão de consentimento (LGPD, art. 18). Boa parte disso está no próprio sistema: dados no perfil, sessões e histórico em “Segurança”, e exclusão da conta. Para o restante, escreva para privacidade@rsworksti.com.br; respondemos em até 15 dias.
8. Encarregado (DPO)
Contato do encarregado pelo tratamento de dados: privacidade@rsworksti.com.br.
9. Alterações
Esta política pode ser atualizada. Mudanças relevantes são avisadas no sistema e pedem novo aceite.