Política de privacidade.

Da empresa cliente (controladora):

• Razão social, CNPJ, endereço, contato responsável.
• Geolocalização da unidade (centro do geofence).
• Identidade visual (logo, cores).

Do funcionário (titular):

• Nome completo, CPF, telefone, e-mail.
• Cargo, data de admissão, jornada.
• Coordenadas GPS no momento de cada marcação.
• Foto do passo de reconhecimento, quando a empresa usa esse passo: aparece só na tela do aparelho e não é enviada ao servidor.
• Documentos pessoais que a empresa solicitar.

De quem assina o Apol Auto pelo site:

• Nome, e-mail, telefone e nome da empresa, informados na página de pagamento da Stripe.
• Os dados do cartão ficam com a Stripe. A Apol não recebe nem guarda esses dados.

• Registrar a jornada da equipe (ponto por QR e GPS).
• Permitir que o empregador faça gestão de RH (férias, atestados, avisos, advertências).
• Validar que o funcionário estava no local correto ao bater ponto (geofence).
• Cobrar a assinatura do Apol Auto, liberar o acesso e falar com quem assinou.

O tratamento se apoia nas seguintes bases (LGPD, art. 7):

• Cumprimento de obrigação legal (CLT, art. 74) — para os dados de jornada estritamente necessários.
• Execução de contrato com o empregador — para dados necessários ao funcionamento do app.
• Legítimo interesse do empregador para gestão da equipe, com pesos balanceados ao impacto sobre o titular.

Dados pessoais não são vendidos. Compartilhamos apenas com:

• Empregador (que é o controlador) — gestores autorizados pela empresa.
• Operadores subcontratados (infra-estrutura): Supabase Inc. (banco de dados), Vercel Inc. (hospedagem), OpenStreetMap Foundation (mapa), ViaCEP (consulta CEP).
• Stripe (pagamento das assinaturas do Apol Auto): recebe nome, e-mail, telefone e os dados do cartão de quem assina. Os dados do cartão ficam só com a Stripe.
• Autoridades mediante requisição legal.

Registros de ponto: 5 anos (mínimo legal, Portaria 671/2021, art. 79).
Dados cadastrais: enquanto durar o vínculo empregatício + obrigações legais aplicáveis.
Logs de auditoria: 2 anos.

• Transporte cifrado (HTTPS/TLS) em todas as requisições.
• Senhas armazenadas com hash bcrypt; nunca em texto claro.
• Cookies de sessão assinados com HMAC e flag HttpOnly.
• Acesso aos dados via Row Level Security no banco — cada empresa só vê os próprios dados.
• Cada marcação recebe um número sequencial (NSR) por empresa.
• Rate limiting e Content Security Policy estritos contra abuso.

Nos sites da Apol (apoldesign.com.br e auto.apoldesign.com.br), contamos visitas às páginas, cliques nos botões de contato (como o do WhatsApp e o do diagnóstico) e quando alguém começa o diagnóstico, para entender quais páginas ajudam quem nos procura.

• Não usamos cookie, não guardamos o seu IP nem o modelo e a versão do seu navegador, e não identificamos quem visita.
• Cada aba do navegador recebe um número aleatório, que some quando a aba é fechada. Ele só serve para ligar as páginas e os cliques de uma mesma visita.
• Guardamos apenas a data e a hora, a página, o tipo de clique e o nome do botão clicado, de onde a visita chegou (só o endereço do site, como google.com, ou o nome de uma campanha) e o tipo de aparelho: celular, tablet ou computador.
• Se o seu navegador estiver com "Não rastrear" ou com o Controle Global de Privacidade ligado, nada é medido. Se você recusar a medição no aviso de cookies, também não.
• Esses dados ficam no banco de dados da Apol por até 13 meses.

Cookie é um arquivo pequeno que o site guarda no seu navegador. Nos sites e sistemas da Apol usamos só os que fazem o serviço funcionar. Não usamos cookie de publicidade nem de rede social.

Na primeira visita, um aviso pergunta se você aceita a medição de audiência. Até você responder, só a contagem sem cookie descrita no item 8 funciona. Recusar não muda nada no site. Para mudar a escolha, use Gerenciar cookies, aqui ou no rodapé.

Também guardamos no navegador, sem ser cookie:

• Um número aleatório da aba, para a contagem de visitas do item 8. Some quando a aba fecha.
• O tema claro ou escuro e, se você pediu, que este aparelho não seja medido.
• No sistema: preferências de tela e o rascunho do que você digitou e ainda não salvou, para não se perder. Ficam só no seu aparelho.

Serviços de outras empresas:

• Vercel Speed Insights: mede o tempo que as páginas levam para abrir. Não usa cookie e não identifica quem visita.
• Meta (Facebook): só no sistema, quando a empresa clica para conectar o WhatsApp oficial ou as redes sociais. A janela de login é da Meta e pode gravar cookies dela.
• Stripe: o pagamento do Apol Auto acontece na página da Stripe, que usa cookies dela.

Quando a empresa cliente conecta o número de WhatsApp dela ao sistema pela integração oficial da Meta (WhatsApp Business Platform), a Apol atua como operadora e trata, em nome da empresa:

• As mensagens trocadas entre a empresa e os clientes dela (texto, fotos, áudios e documentos), inclusive as respondidas pelo celular e, se a empresa autorizar na conexão, o histórico dos últimos seis meses.
• O número de telefone e o nome de perfil de quem conversa com a empresa, e os nomes salvos na agenda do WhatsApp da empresa.
• A situação de entrega das mensagens (enviada, entregue, lida).

Usamos esses dados só para mostrar as conversas à equipe da própria empresa, ligar cada conversa ao cadastro do cliente e apontar quem está esperando resposta. Não usamos para publicidade, não vendemos e não compartilhamos com outras empresas. Só a equipe autorizada da empresa cliente vê as conversas, e o acesso da Meta que permite isso fica guardado cifrado.

Exclusão: a empresa pode desconectar o número a qualquer momento em Configurações → WhatsApp oficial. Para apagar as conversas guardadas — pela empresa ou por quem conversou com ela —, escreva para privacidade@apoldesign.com.br informando o número de telefone; respondemos dentro do prazo da LGPD.

Como titular dos dados, você pode:

• Confirmar a existência de tratamento e acessar os dados.
• Corrigir dados incompletos, inexatos ou desatualizados.
• Anonimizar, bloquear ou eliminar dados desnecessários.
• Portar os dados a outro fornecedor de serviço (formato CSV / JSON estruturado).
• Revogar consentimento quando aplicável.

Para exercer qualquer direito, escreva para privacidade@apoldesign.com.br ou direto pro seu empregador (controlador).

Victor Dias · apoldesign@gmail.com