Política de Privacidade

Apresentação

Esta Política de Privacidade descreve como a ONEXO TECNOLOGIA PARA CONTROLE DA QUALIDADE DE ALIMENTOS LTDA, inscrita no CNPJ sob o nº 30.797.247/0001-41, com sede na Rua 1111, nº 188/302, Centro, Balneário Camboriú/SC, CEP 88.330-780 ("Onexo", "nós"), coleta, usa, compartilha e protege dados pessoais no contexto do ONEXO CHECK, plataforma de auditoria e checklist de conformidade para uso corporativo, composta por aplicativo mobile e sistema web ("Plataforma").

Esta Política tem como fundamento a Lei Geral de Proteção de Dados Pessoais — LGPD (Lei nº 13.709/2018) e demais normas aplicáveis, incluindo o Marco Civil da Internet (Lei nº 12.965/2014).

O ONEXO CHECK é uma plataforma de uso corporativo (B2B): o acesso é concedido pela organização cliente ("Organização") aos seus próprios colaboradores e prepostos ("Usuário"). Ao acessar ou usar a Plataforma, o Usuário concorda com esta Política. Caso não concorde com os termos aqui descritos, não deve utilizar o ONEXO CHECK — nesse caso, a orientação é buscar o administrador responsável pela Organização.

1. Dois papéis distintos: Onexo como controladora e como operadora

É importante que o Usuário entenda que, dependendo do tipo de dado, a Onexo atua em papéis diferentes perante a LGPD:

• Como controladora, a Onexo decide como e para quê são tratados os dados da conta e da relação comercial: cadastro de Usuários, dados da Organização, dados de acesso e uso da Plataforma, dados de cobrança e suporte.
• Como operadora, a Onexo trata, em nome da Organização contratante, os dados inseridos no conteúdo das auditorias — respostas de checklist, evidências fotográficas, descrições de não conformidade e planos de ação. Esses dados podem conter informações sobre pessoas físicas (por exemplo, colaboradores da Organização retratados em uma evidência fotográfica), mas quem decide o que é coletado, para quê e por quanto tempo é a própria Organização, na condição de controladora desses dados. Dúvidas sobre o conteúdo de uma auditoria específica devem ser direcionadas à Organização responsável por aquele registro, não à Onexo.

Esta Política trata principalmente do primeiro papel (Onexo como controladora). Para o segundo, a Onexo atua sob instrução da Organização e nos termos do contrato de licenciamento firmado entre as partes.

2. Quais dados coletamos

2.1. Dados fornecidos pelo Usuário

• Dados de cadastro: nome completo, e-mail e senha (armazenada de forma protegida por hash criptográfico), no momento em que a Organização convida o Usuário para a Plataforma.
• Dados da Organização: quando um administrador cadastra a Organização, coletamos CNPJ, razão social, nome fantasia, CNAE, endereço, telefone e e-mail de contato. Parte desses dados pode ser preenchida automaticamente por consulta a bases públicas (ex.: BrasilAPI), a partir do CNPJ informado.
• Conteúdo inserido na Plataforma: respostas de checklist, comentários por item, evidências fotográficas capturadas pela câmera do dispositivo (não é possível anexar fotos da galeria), descrição de não conformidades e dados de planos de ação (descrição do problema, responsável, prazo e status).

2.2. Dados gerados pelo uso da Plataforma

• Registros de acesso: endereço IP, data e hora de acesso à Plataforma. Sua coleta é obrigatória por força do art. 15 da Lei nº 12.965/2014 (Marco Civil da Internet) e só são compartilhados com terceiros mediante autorização expressa ou ordem judicial.
• Dados de uso: interações do Usuário com a Plataforma, como templates acessados, auditorias iniciadas e sincronizadas, e ações realizadas dentro do sistema.
• Dados de sessão e cookies (versão web): utilizados para autenticação e para manter o Usuário conectado. Não utilizamos cookies de rastreamento publicitário na Plataforma.

2.3. O que o ONEXO CHECK não coleta

• Localização geográfica (GPS): o ONEXO CHECK não coleta coordenadas de geolocalização do dispositivo do Usuário. A unidade/local de uma auditoria é identificada pelo cadastro de Unidade feito manualmente pela Organização, não por GPS.
• Comunicação entre usuários: o ONEXO CHECK não possui recurso de chat, comentário ou mensagem direta entre Usuários. A comunicação sobre uma não conformidade ocorre por meio da descrição registrada no Plano de Ação, e não por troca de mensagens dentro da Plataforma.
• Dados de pagamento: os dados de cobrança da Organização (relativos ao contrato de licenciamento) são tratados fora da Plataforma, diretamente entre a Onexo e a Organização, e não pelo Usuário individual.

3. Como usamos os dados

Utilizamos os dados descritos no item 2.1 e 2.2 para as seguintes finalidades, com as respectivas bases legais da LGPD:

Não utilizamos os dados pessoais do Usuário para fins de publicidade direcionada nem os vendemos a terceiros.

4. Com quem compartilhamos dados

A Onexo pode compartilhar dados pessoais nas seguintes hipóteses, sempre limitadas ao necessário para a finalidade:

• Provedores de infraestrutura: serviços de hospedagem e armazenamento de arquivos em nuvem (evidências fotográficas e documentos anexados), contratados sob obrigações de confidencialidade e segurança.
• Provedores de comunicação: serviços de envio de e-mail transacional (convites, redefinição de senha, notificações).
• Autoridades e ordem judicial: quando exigido por lei, por decisão judicial ou por autoridade competente.
• Operações societárias: em caso de fusão, aquisição, venda de ativos ou reestruturação societária da Onexo, os dados pessoais poderão ser transferidos como parte dos ativos envolvidos, mantidas as mesmas garantias de proteção previstas nesta Política.

Não compartilhamos dados pessoais com parceiros comerciais para fins de marketing de terceiros.

5. Por quanto tempo mantemos os dados

Mantemos os dados pessoais pelo tempo necessário para cumprir as finalidades descritas nesta Política, observado o seguinte:

• Dados de cadastro e conta do Usuário são mantidos enquanto a conta estiver ativa na Organização.
• Registros de acesso são mantidos pelo prazo mínimo de 6 (seis) meses, conforme exigido pelo Marco Civil da Internet.
• Conteúdo de auditorias (respostas, evidências, planos de ação) é mantido conforme definido no contrato de licenciamento firmado entre a Onexo e a Organização, já que esses dados pertencem à esfera de controle da Organização (ver item 1).
• Ao término do contrato, a Organização pode exportar seus dados (respostas, evidências e relatórios) por até 90 (noventa) dias após o encerramento. Findo esse prazo, os dados são eliminados dos sistemas de produção da Onexo, salvo obrigação legal de retenção ou necessidade de exercício regular de direitos em processo judicial, administrativo ou arbitral.
• A remoção da conta pela Organização revoga o acesso e o vínculo do Usuário à Plataforma. Os dados pessoais de cadastro associados a registros de auditoria são preservados por integrarem o histórico de conformidade da Organização (ver item 1), podendo ser eliminados ou anonimizados mediante solicitação nos termos do item 10, ressalvadas as exceções legais acima.

6. Segurança da informação

Adotamos medidas técnicas e administrativas razoáveis de mercado para proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado, entre elas:

• Controle de acesso por papel (perfil de Administrador, Gestor e Operador), limitando o que cada Usuário pode visualizar e alterar;
• Hash criptográfico de senhas e criptografia de dados em trânsito;
• Segregação de dados entre Organizações distintas (arquitetura multi-tenant).

Apesar dos esforços empregados, nenhum sistema é inteiramente livre de risco. Pedimos que o Usuário mantenha sua senha em local seguro, não a compartilhe com terceiros e comunique imediatamente à Onexo qualquer suspeita de uso não autorizado de sua conta.

6.1. Notificação de incidentes de segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Onexo: (i) investigará o incidente imediatamente; (ii) notificará a Organização afetada em prazo razoável, informando a natureza do incidente, os dados potencialmente afetados, as medidas técnicas adotadas e as ações recomendadas; e (iii) notificará a Autoridade Nacional de Proteção de Dados (ANPD) quando exigido pela LGPD.

7. Transferência internacional de dados

Parte dos nossos provedores de infraestrutura processa e armazena dados — incluindo evidências fotográficas de auditoria — em servidores localizados fora do Brasil, na América do Norte. Essa transferência internacional de dados pessoais é amparada pelas cláusulas contratuais padrão e demais garantias previstas no acordo de processamento de dados (Data Processing Addendum) do provedor de infraestrutura, nos termos do art. 33, II, da LGPD.

8. Inteligência Artificial

Caso o ONEXO CHECK passe a oferecer funcionalidades baseadas em Inteligência Artificial (por exemplo, sugestão de conteúdo de checklist ou apoio à análise de dados de auditoria):

• Os dados da Organização não serão utilizados para treinar modelos de IA de terceiros sem consentimento expresso;
• A Onexo poderá utilizar dados anonimizados e agregados para aprimorar seus próprios algoritmos;
• Resultados gerados por IA têm caráter auxiliar — a responsabilidade por revisar e validar o conteúdo antes de utilizá-lo é da Organização e de seus Usuários;
• Caso alguma funcionalidade venha a tomar decisões automatizadas que afetem significativamente os direitos do Usuário, ele será informado e poderá solicitar revisão humana, nos termos do item 10. Atualmente, o ONEXO CHECK não toma decisões automatizadas com esse efeito.

9. Menores de idade

O ONEXO CHECK é uma plataforma de uso corporativo: o acesso de cada Usuário é concedido individualmente por uma Organização, para uso profissional por seus colaboradores e prepostos maiores de 18 anos. Não é uma plataforma de cadastro espontâneo ou destinada a consumidores finais, e não é direcionada a menores de idade.

10. Direitos do titular de dados

Nos termos do art. 18 da LGPD, o Usuário pode, a qualquer momento, solicitar:

• Confirmação da existência de tratamento de seus dados;
• Acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a LGPD;
• Portabilidade dos dados a outro fornecedor, observados os segredos comercial e industrial da Onexo;
• Eliminação dos dados tratados com base em consentimento;
• Informação sobre as entidades com as quais a Onexo compartilhou dados;
• Revogação do consentimento, quando aplicável;
• Revisão de decisões automatizadas que afetem seus interesses.

Solicitações podem ser feitas pelo e-mail do encarregado indicado no item 11, e serão respondidas em até 15 (quinze) dias úteis. Quando o dado pertencer ao conteúdo de uma auditoria (ver item 1), a solicitação poderá ser encaminhada à Organização responsável, que atua como controladora desse dado específico. Para pedir a remoção da conta e dos dados de cadastro, consulte a página pública de Exclusão de conta e dados.

11. Encarregado de Proteção de Dados (DPO)

Dúvidas, solicitações ou reclamações relacionadas a esta Política ou ao tratamento de dados pessoais podem ser encaminhadas ao encarregado de proteção de dados (DPO) da Onexo, Rafael Pacheco Luz, pelo e-mail: lgpd@onexo.com.br.

12. Alterações desta Política

Esta Política pode ser alterada a qualquer tempo, para refletir mudanças na Plataforma ou na legislação aplicável. Alterações relevantes serão comunicadas ao Usuário por e-mail ou por aviso na Plataforma, com prazo razoável de antecedência antes de entrarem em vigor. O uso continuado do ONEXO CHECK após a alteração implica concordância com a nova versão.

13. Lei aplicável e foro

Esta Política é regida pelas leis da República Federativa do Brasil. Fica eleito o foro da Comarca de Balneário Camboriú, Santa Catarina, para dirimir quaisquer controvérsias dela decorrentes, com renúncia a qualquer outro, por mais privilegiado que seja.