1. Quem somos
A Novah Care Tecnologia em Saúde Ltda. ("Novah Care", "nós") é uma healthtech brasileira especializada em Saúde Ocupacional e Segurança do Trabalho, com atuação em todo o território nacional. Por meio de uma plataforma tecnológica própria e de um time de especialistas, oferecemos aos nossos clientes a gestão integrada de exames ocupacionais (ASO), programas regulatórios (PCMSO, PGR, LTCAT, AET, entre outros) e demais obrigações previstas nas Normas Regulamentadoras (NRs), além de gestão de absenteísmo e atestados, transmissão dos eventos de SST ao eSocial, relatórios analíticos, recursos de inteligência artificial e eventuais serviços de saúde assistencial.
Sede: Rua Doutor Luis Carlos, 887, sala 69, Vila Aricanduva, São Paulo/SP, CEP 03.505-000.
Também oferecemos aplicativos de integração com ferramentas de comunicação corporativa utilizadas pelas empresas-clientes, como Google Chat, Slack e WhatsApp. Por esses canais, o colaborador recebe avisos de saúde ocupacional e pode enviar atestados.
CNPJ: 63.667.151/0001-18.
Esta Política se aplica ao tratamento de dados pessoais realizado pela Novah Care no contexto da plataforma e demais serviços prestados a empresas-clientes ("Controladoras") e aos titulares cujos dados nos são submetidos.
2. Definições importantes
Adotamos as definições da LGPD. Para fins desta Política, destacamos:
- Titular: pessoa natural a quem se referem os dados pessoais.
- Controlador: empresa-cliente da Novah Care, responsável pelas decisões sobre o tratamento dos dados.
- Operador: Novah Care, quando realiza o tratamento em nome do Controlador.
- Encarregado: pessoa indicada como canal de comunicação entre o Controlador, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD).
- Dados pessoais sensíveis: dados sobre saúde, entre outras categorias previstas no art. 5º, II, da LGPD.
3. Qual é o nosso papel
Na maior parte das operações, atuamos como Operadores dos dados pessoais. Quem decide as finalidades e os meios essenciais do tratamento é a empresa-cliente que nos contrata para apoiar a gestão de Saúde e Segurança do Trabalho dos seus colaboradores.
Em algumas operações limitadas (por exemplo, gestão da relação contratual com a empresa-cliente, comunicação institucional, prospecção comercial), atuamos como Controladores.
4. Dados pessoais que tratamos
Tratamos as seguintes categorias de dados pessoais, conforme a operação:
- Dados cadastrais dos colaboradores das empresas-clientes: nome, CPF, RG, data de nascimento, sexo, gênero, e-mail corporativo, telefone (incluindo para comunicações via WhatsApp), endereço comercial, cargo, departamento, unidade, matrícula, data de admissão e status do vínculo.
- Dados pessoais sensíveis de saúde ocupacional: tipos de exames, ASOs emitidos (apto, apto com restrições, inapto), restrições registradas, atestados, CIDs e eventos de afastamento.
- Documentos regulatórios de SST: PCMSO, PGR, LTCAT, AET e correlatos, com seus metadados e conteúdo aplicável.
- Dados de comunicação operacional: e-mail, telefone e logs de envio das comunicações que disparamos aos titulares (convocações para exames, lembretes, links de acesso).
- Dados dos aplicativos de comunicação corporativa (Google Chat e Slack): identificador do usuário na plataforma, nome de exibição, e-mail corporativo, identificador da conversa direta com o app, mensagens que o titular envia diretamente ao app e arquivos que anexa nessa conversa (por exemplo, fotos ou PDFs de atestados).
- Dados de autenticação: identificadores do provedor de identidade, claims da sessão e logs de acesso à plataforma.
- Dados de uso da plataforma: registros de páginas acessadas, ações realizadas, identificadores de sessão e telemetria operacional, sempre com aplicação de medidas para reduzir a identificabilidade.
- Dados de contato profissional, quando você nos procura por canais públicos (formulário do site, e-mail comercial, redes sociais corporativas).
5. Para que tratamos seus dados (finalidades e bases legais)
Tratamos os dados pessoais para as seguintes finalidades, com as bases legais indicadas:
| Finalidade | Base legal (LGPD) |
|---|---|
| Gestão dos colaboradores da empresa-cliente na plataforma | Art. 7º, II — cumprimento de obrigação legal/regulatória pelo controlador |
| Cumprimento do PCMSO e demais obrigações de SST (exames, ASOs, eventos eSocial) | Art. 11º, II, “a” — cumprimento de obrigação legal pelo controlador, para dados sensíveis de saúde |
| Execução da relação contratual com a empresa-cliente | Art. 7º, V — execução de contrato |
| Envio de comunicações operacionais aos titulares (convocações, lembretes) | Art. 7º, V — execução de contrato firmado com a empresa-cliente |
| Envio de comunicações e notificações de saúde e segurança ocupacional via WhatsApp, Google Chat e Slack (avisos de agendamento de exames, lembretes de exames periódicos, mensagens de boas-vindas) | Art. 7º, V — execução de contrato e/ou Art. 7º, IX — legítimo interesse, conforme aplicável |
| Recebimento e análise de atestados enviados por WhatsApp, Google Chat e Slack | Art. 11, II, “a” — cumprimento de obrigação legal/regulatória pelo controlador, para dados de saúde |
| Telemetria, logs e detecção de fraude e incidentes | Art. 7º, IX — legítimo interesse, com minimização e redação de PII |
| Atendimento a requisições legais e regulatórias | Art. 7º, II e VI — obrigação legal e exercício regular de direitos |
| Prospecção comercial e contato institucional | Art. 7º, IX — legítimo interesse, com possibilidade de oposição |
A Novah Care utiliza o WhatsApp Business como um dos canais para envio de notificações operacionais e de saúde ocupacional aos titulares. O tratamento do número de telefone para essa finalidade tem como base legal a execução de contrato e/ou o legítimo interesse, conforme aplicável. O titular pode, a qualquer momento, solicitar a interrupção do recebimento de mensagens por esse canal através do contato indicado nesta política.
O app Novah Care para Slack é instalado pelo administrador do workspace da empresa-cliente. Ele acessa nome, e-mail corporativo e as mensagens e arquivos enviados diretamente ao app, para identificar o colaborador, enviar avisos e receber atestados.
6. Aplicativo Novah Care para Google Chat
O que é
O app Novah Care para Google Chat é instalado pelo administrador do Google Workspace da empresa-cliente, pelo Google Workspace Marketplace. Com ele, o colaborador recebe por mensagem direta avisos de saúde ocupacional, como agendamentos de exames, lembretes e comunicados da empresa enviados pela Novah, e pode enviar atestados médicos anexando a foto ou o PDF na conversa com o app.
Dados do Google que o app acessa
- Identificador do usuário no Google, nome de exibição e e-mail corporativo, informados pelo Google nos eventos da conversa.
- Identificador da conversa direta entre o usuário e o app.
- Mensagens que o usuário envia diretamente ao app e arquivos que anexa nessa conversa.
O app não lê outras conversas, espaços ou grupos do Google Chat. Não acessa Gmail, Google Drive, Agenda, contatos nem outros dados da conta Google. Se um arquivo for compartilhado do Google Drive, o app não abre o arquivo e pede o anexo direto.
Como usamos esses dados
- Identificar o colaborador no cadastro da empresa-cliente na plataforma Novah, pelo e-mail corporativo.
- Enviar ao colaborador as comunicações operacionais e de saúde ocupacional da empresa-cliente.
- Receber o atestado anexado. O arquivo é armazenado na plataforma Novah e lido por um sistema de inteligência artificial que pré-preenche os dados: tipo, período, profissional e data de emissão. O colaborador confere, corrige e confirma esses dados no próprio Chat. A equipe de saúde da Novah e/ou a empresa-cliente fazem a análise final. A leitura automática não toma decisões sobre o colaborador sem revisão humana.
- Responder ao colaborador na conversa com confirmações, pedidos de correção e avisos de erro.
Base legal
Execução de contrato com a empresa-cliente (art. 7º, V, da LGPD) para as comunicações; cumprimento de obrigação legal/regulatória pelo controlador (art. 11, II, “a”) para os atestados, que são dados de saúde.
Armazenamento e retenção
- Na Novah: identificadores do usuário e da conversa para enviar mensagens; identificadores das mensagens do atestado para controlar o envio; arquivo do atestado e dados confirmados conforme as regras do item 9, sobre retenção.
- No Google: o histórico da conversa com o app fica no Google Workspace da empresa-cliente, sujeito às políticas de retenção configuradas pelo administrador e aos termos do Google.
- Quando o app é removido da conversa ou desinstalado, a Novah deixa de enviar mensagens por esse canal e apaga o vínculo com a conversa. Os atestados já enviados seguem as regras de retenção do item 9.
Compartilhamento
Os dados são compartilhados apenas com a empresa-cliente à qual o colaborador está vinculado e com os provedores listados no item 7, para a prestação do serviço. Não vendemos, não usamos para publicidade e não transferimos dados do Google a terceiros, exceto o necessário para prestar o serviço, cumprir a lei ou proteger direitos.
Declaração de uso limitado (Limited Use)
O uso e a transferência, pela Novah Care, de informações recebidas das APIs do Google seguirão a Política de Dados do Usuário dos Serviços de API do Google (Google API Services User Data Policy), incluindo os requisitos de Uso Limitado.
Novah Care's use and transfer of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
Google API Services User Data Policy
Controles do usuário
- O colaborador pode deixar de receber mensagens removendo o app da conversa.
- O administrador do Workspace pode desinstalar o app para toda a organização.
- Pedidos de acesso, correção ou eliminação seguem o item 11, Seus direitos como titular.
7. Com quem compartilhamos seus dados
Para a execução dos serviços, compartilhamos dados pessoais com as seguintes categorias de destinatários:
- Empresa-cliente (Controladora) à qual o titular esteja vinculado, conforme as permissões definidas na plataforma.
- Rede credenciada: clínicas, laboratórios e profissionais habilitados que executam os exames ocupacionais, sob contrato com cláusulas de LGPD, confidencialidade e qualidade.
- Provedores de tecnologia (suboperadores): Railway (hospedagem das aplicações); Anthropic (modelos de IA Claude, utilizados na leitura automática de atestados e documentos); Google LLC (Google Cloud Platform, Firebase/GCIP, Cloud Storage e APIs do Google Chat/Google Workspace); Meta Platforms (WhatsApp Business Platform); Slack Technologies / Salesforce (API do Slack); Neon; CloudAMQP; Cloudflare; Twilio SendGrid; Grafana Cloud; Sentry; e Unxpose.
- Autoridades públicas, quando exigido por lei, ordem judicial, requisição fundamentada ou regulação aplicável (incluindo eSocial e órgãos de fiscalização do trabalho).
- Eventuais sucessores, em hipóteses de reorganização societária, fusão, cisão ou aquisição da Novah Care, sempre com preservação das obrigações de proteção de dados.
Não compartilhamos seus dados pessoais com terceiros para fins publicitários, mailing comercial não autorizado ou venda de dados.
8. Transferência internacional de dados
A infraestrutura tecnológica que sustenta a Novah Care está localizada majoritariamente nos Estados Unidos da América (região us-east, Virgínia). Por isso, ocorre transferência internacional de dados pessoais para os Estados Unidos.
Google, Slack, Meta e Anthropic também processam dados fora do Brasil, sob os termos de proteção de dados desses provedores.
Operamos sob os termos padronizados de tratamento de dados oferecidos pelos provedores na contratação dos serviços (Cloud Service Agreements e Data Processing Addenda), com cláusulas equivalentes às cláusulas-padrão admitidas pela ANPD. A formalização de Data Processing Agreements bilaterais específicos com cada provedor faz parte do roadmap do nosso programa de privacidade.
9. Por quanto tempo guardamos seus dados
A retenção dos dados pessoais varia conforme a finalidade do tratamento e a legislação aplicável. Adotamos os seguintes critérios gerais:
- Dados cadastrais e operacionais da empresa-cliente: enquanto vigente a relação contratual com a empresa-cliente e por até 12 meses após o seu encerramento, para fins de transição e auditoria, salvo prazo superior exigido por lei.
- Documentos regulatórios de SST e prontuários médicos: pelos prazos estabelecidos pelas Normas Regulamentadoras aplicáveis (em geral, até 20 anos para PCMSO).
- Vínculo com as conversas dos apps de comunicação (Google Chat e Slack): enquanto o app estiver instalado e a empresa-cliente com contrato ativo; eliminado quando o app é removido da conversa ou desinstalado.
- Atestados recebidos pelos apps: durante toda a vigência do contrato com a empresa-cliente. Em caso de saída, fornecemos todos os atestados ao novo prestador. Permanecem aplicáveis as obrigações legais de guarda pertinentes a cada documento.
- Logs e telemetria: 30 (trinta) dias para logs estruturados e até 13 (treze) meses para métricas, com redação automática de PII antes da exportação.
- Dados de contato profissional para finalidades institucionais: enquanto vigente o legítimo interesse, com possibilidade de oposição a qualquer momento.
Após o término dos prazos de retenção, os dados são eliminados de forma segura ou anonimizados, salvo hipóteses legais que exijam guarda mais longa.
10. Como protegemos seus dados
A Novah Care opera com defesa em profundidade em quatro camadas: borda (Cloudflare com WAF, rate limiting, geo-blocking e TLS Full strict), validação de origem, autenticação federada com permissões granulares e isolamento por empresa-cliente em camada de dados, com testes obrigatórios em integração contínua.
Adotamos criptografia em trânsito e em repouso, gestão de credenciais em cofre corporativo com 2FA obrigatório, redação automática de dados pessoais nos logs estruturados, monitoramento contínuo de postura de cibersegurança por plataforma especializada (Unxpose) e dependency scanning automatizado com SLA de remediação por severidade.
Operamos política formal de gestão de incidentes de segurança e privacidade, com cadeia de comunicação à ANPD, ao Controlador e aos titulares afetados nos prazos regulamentares vigentes.
11. Seus direitos como titular
A LGPD assegura a você, como titular dos dados pessoais, os seguintes direitos:
- Confirmação da existência de tratamento.
- Acesso aos dados.
- Correção de dados incompletos, inexatos ou desatualizados.
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
- Portabilidade dos dados a outro fornecedor de serviço ou produto, observados os segredos comercial e industrial.
- Eliminação dos dados tratados com consentimento, ressalvadas as hipóteses legais de retenção.
- Informação sobre as entidades públicas e privadas com as quais a Novah Care realizou uso compartilhado de dados.
- Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa.
- Revogação do consentimento, quando este for a base legal aplicável.
- Oposição ao tratamento, quando este se basear em legítimo interesse.
- Revisão de decisões automatizadas, quando aplicável.
Para exercer qualquer desses direitos, entre em contato com o nosso Encarregado pelos canais indicados no item 15.
Quando o tratamento for realizado em nome de uma empresa-cliente (Controladora), encaminharemos a sua solicitação ao Controlador, que é a parte responsável pela decisão sobre o pedido, conforme prevê a LGPD.
12. Dados de adolescentes e menores de idade
A Novah Care pode tratar dados pessoais de adolescentes nas seguintes hipóteses, sempre vinculadas à relação trabalhista do titular com a empresa-cliente:
- Jovens aprendizes a partir de 14 anos, conforme art. 403, parágrafo único, da Consolidação das Leis do Trabalho (CLT), que admite o trabalho do menor na condição de aprendiz a partir dessa idade;
- Adolescentes a partir de 16 anos em vínculo trabalhista regular, conforme art. 7º, XXXIII, da Constituição Federal e legislação correlata;
- Estagiários menores de 18 anos, no contexto do contrato de estágio celebrado entre a empresa-cliente e o titular.
Em todas essas hipóteses, o tratamento se limita ao mesmo escopo aplicável aos demais colaboradores: dados cadastrais, exames ocupacionais previstos em norma e registros de SST exigidos por lei. O tratamento observa o melhor interesse do menor (LGPD, art. 14) e segue a mesma cadeia de proteção aplicável aos demais titulares. As decisões sobre o tratamento dos dados desses titulares competem à empresa-cliente, na qualidade de Controladora.
14. Alterações nesta Política
Esta Política pode ser atualizada para refletir mudanças regulatórias, operacionais ou de governança. A data da última atualização é exibida no topo da página. Em caso de alteração material, daremos visibilidade adicional pelos canais ordinários de comunicação com as empresas-clientes.
15. Encarregado e canal de contato
Encarregado de Dados Pessoais (LGPD, art. 41)
Murilo Amêndola
Chief Executive Officer e Encarregado de Dados Pessoais (papel acumulado)
Em caso de dúvidas sobre esta Política ou para o exercício dos seus direitos como titular, entre em contato pelo e-mail acima.
16. Foro e legislação aplicável
Esta Política rege-se pelas leis da República Federativa do Brasil, em especial pela Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018). Eventuais controvérsias serão dirimidas no Foro da Comarca de São Paulo/SP, salvo regra legal específica.