1. Quem somos
A Novah Care Tecnologia em Saúde Ltda. ("Novah Care", "nós") é uma healthtech brasileira especializada em Saúde Ocupacional e Segurança do Trabalho, com atuação em todo o território nacional. Por meio de uma plataforma tecnológica própria e de um time de especialistas, oferecemos aos nossos clientes a gestão integrada de exames ocupacionais (ASO), programas regulatórios (PCMSO, PGR, LTCAT, AET, entre outros) e demais obrigações previstas nas Normas Regulamentadoras (NRs), além de gestão de absenteísmo e atestados, transmissão dos eventos de SST ao eSocial, relatórios analíticos, recursos de inteligência artificial e eventuais serviços de saúde assistencial.
Sede: Rua Doutor Luis Carlos, 887, sala 69, Vila Aricanduva, São Paulo/SP, CEP 03.505-000.
CNPJ: 63.667.151/0001-18.
Esta Política se aplica ao tratamento de dados pessoais realizado pela Novah Care no contexto da plataforma e demais serviços prestados a empresas-clientes ("Controladoras") e aos titulares cujos dados nos são submetidos.
2. Definições importantes
Adotamos as definições da LGPD. Para fins desta Política, destacamos:
- Titular: pessoa natural a quem se referem os dados pessoais.
- Controlador: empresa-cliente da Novah Care, responsável pelas decisões sobre o tratamento dos dados.
- Operador: Novah Care, quando realiza o tratamento em nome do Controlador.
- Encarregado: pessoa indicada como canal de comunicação entre o Controlador, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD).
- Dados pessoais sensíveis: dados sobre saúde, entre outras categorias previstas no art. 5º, II, da LGPD.
3. Qual é o nosso papel
Na maior parte das operações, atuamos como Operadores dos dados pessoais. Quem decide as finalidades e os meios essenciais do tratamento é a empresa-cliente que nos contrata para apoiar a gestão de Saúde e Segurança do Trabalho dos seus colaboradores.
Em algumas operações limitadas (por exemplo, gestão da relação contratual com a empresa-cliente, comunicação institucional, prospecção comercial), atuamos como Controladores.
4. Dados pessoais que tratamos
Tratamos as seguintes categorias de dados pessoais, conforme a operação:
- Dados cadastrais dos colaboradores das empresas-clientes: nome, CPF, RG, data de nascimento, sexo, gênero, e-mail corporativo, telefone (incluindo para comunicações via WhatsApp), endereço comercial, cargo, departamento, unidade, matrícula, data de admissão e status do vínculo.
- Dados pessoais sensíveis de saúde ocupacional: tipos de exames, ASOs emitidos (apto, apto com restrições, inapto), restrições registradas, atestados, CIDs e eventos de afastamento.
- Documentos regulatórios de SST: PCMSO, PGR, LTCAT, AET e correlatos, com seus metadados e conteúdo aplicável.
- Dados de comunicação operacional: e-mail, telefone e logs de envio das comunicações que disparamos aos titulares (convocações para exames, lembretes, links de acesso).
- Dados de autenticação: identificadores do provedor de identidade, claims da sessão e logs de acesso à plataforma.
- Dados de uso da plataforma: registros de páginas acessadas, ações realizadas, identificadores de sessão e telemetria operacional, sempre com aplicação de medidas para reduzir a identificabilidade.
- Dados de contato profissional, quando você nos procura por canais públicos (formulário do site, e-mail comercial, redes sociais corporativas).
5. Para que tratamos seus dados (finalidades e bases legais)
Tratamos os dados pessoais para as seguintes finalidades, com as bases legais indicadas:
| Finalidade | Base legal (LGPD) |
|---|---|
| Gestão dos colaboradores da empresa-cliente na plataforma | Art. 7º, II — cumprimento de obrigação legal/regulatória pelo controlador |
| Cumprimento do PCMSO e demais obrigações de SST (exames, ASOs, eventos eSocial) | Art. 11º, II, “a” — cumprimento de obrigação legal pelo controlador, para dados sensíveis de saúde |
| Execução da relação contratual com a empresa-cliente | Art. 7º, V — execução de contrato |
| Envio de comunicações operacionais aos titulares (convocações, lembretes) | Art. 7º, V — execução de contrato firmado com a empresa-cliente |
| Envio de comunicações e notificações de saúde e segurança ocupacional via WhatsApp (avisos de agendamento de exames, lembretes de exames periódicos, mensagens de boas-vindas) | Art. 7º, V — execução de contrato e/ou Art. 7º, IX — legítimo interesse, conforme aplicável |
| Telemetria, logs e detecção de fraude e incidentes | Art. 7º, IX — legítimo interesse, com minimização e redação de PII |
| Atendimento a requisições legais e regulatórias | Art. 7º, II e VI — obrigação legal e exercício regular de direitos |
| Prospecção comercial e contato institucional | Art. 7º, IX — legítimo interesse, com possibilidade de oposição |
A Novah Care utiliza o WhatsApp Business como um dos canais para envio de notificações operacionais e de saúde ocupacional aos titulares. O tratamento do número de telefone para essa finalidade tem como base legal a execução de contrato e/ou o legítimo interesse, conforme aplicável. O titular pode, a qualquer momento, solicitar a interrupção do recebimento de mensagens por esse canal através do contato indicado nesta política.
6. Com quem compartilhamos seus dados
Para a execução dos serviços, compartilhamos dados pessoais com as seguintes categorias de destinatários:
- Empresa-cliente (Controladora) à qual o titular esteja vinculado, conforme as permissões definidas na plataforma.
- Rede credenciada: clínicas, laboratórios e profissionais habilitados que executam os exames ocupacionais, sob contrato com cláusulas de LGPD, confidencialidade e qualidade.
- Provedores de tecnologia (suboperadores de infraestrutura): Neon, CloudAMQP, Google Cloud Platform (Firebase / GCIP e Google Cloud Storage), Cloudflare, Twilio SendGrid, Grafana Cloud, Sentry e Unxpose.
- Autoridades públicas, quando exigido por lei, ordem judicial, requisição fundamentada ou regulação aplicável (incluindo eSocial e órgãos de fiscalização do trabalho).
- Eventuais sucessores, em hipóteses de reorganização societária, fusão, cisão ou aquisição da Novah Care, sempre com preservação das obrigações de proteção de dados.
Não compartilhamos seus dados pessoais com terceiros para fins publicitários, mailing comercial não autorizado ou venda de dados.
7. Transferência internacional de dados
A infraestrutura tecnológica que sustenta a Novah Care está localizada majoritariamente nos Estados Unidos da América (região us-east, Virgínia). Por isso, ocorre transferência internacional de dados pessoais para os Estados Unidos.
Operamos sob os termos padronizados de tratamento de dados oferecidos pelos provedores na contratação dos serviços (Cloud Service Agreements e Data Processing Addenda), com cláusulas equivalentes às cláusulas-padrão admitidas pela ANPD. A formalização de Data Processing Agreements bilaterais específicos com cada provedor faz parte do roadmap do nosso programa de privacidade.
8. Por quanto tempo guardamos seus dados
A retenção dos dados pessoais varia conforme a finalidade do tratamento e a legislação aplicável. Adotamos os seguintes critérios gerais:
- Dados cadastrais e operacionais da empresa-cliente: enquanto vigente a relação contratual com a empresa-cliente e por até 12 meses após o seu encerramento, para fins de transição e auditoria, salvo prazo superior exigido por lei.
- Documentos regulatórios de SST e prontuários médicos: pelos prazos estabelecidos pelas Normas Regulamentadoras aplicáveis (em geral, até 20 anos para PCMSO).
- Logs e telemetria: 30 (trinta) dias para logs estruturados e até 13 (treze) meses para métricas, com redação automática de PII antes da exportação.
- Dados de contato profissional para finalidades institucionais: enquanto vigente o legítimo interesse, com possibilidade de oposição a qualquer momento.
Após o término dos prazos de retenção, os dados são eliminados de forma segura ou anonimizados, salvo hipóteses legais que exijam guarda mais longa.
9. Como protegemos seus dados
A Novah Care opera com defesa em profundidade em quatro camadas: borda (Cloudflare com WAF, rate limiting, geo-blocking e TLS Full strict), validação de origem, autenticação federada com permissões granulares e isolamento por empresa-cliente em camada de dados, com testes obrigatórios em integração contínua.
Adotamos criptografia em trânsito e em repouso, gestão de credenciais em cofre corporativo com 2FA obrigatório, redação automática de dados pessoais nos logs estruturados, monitoramento contínuo de postura de cibersegurança por plataforma especializada (Unxpose) e dependency scanning automatizado com SLA de remediação por severidade.
Operamos política formal de gestão de incidentes de segurança e privacidade, com cadeia de comunicação à ANPD, ao Controlador e aos titulares afetados nos prazos regulamentares vigentes.
10. Seus direitos como titular
A LGPD assegura a você, como titular dos dados pessoais, os seguintes direitos:
- Confirmação da existência de tratamento.
- Acesso aos dados.
- Correção de dados incompletos, inexatos ou desatualizados.
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
- Portabilidade dos dados a outro fornecedor de serviço ou produto, observados os segredos comercial e industrial.
- Eliminação dos dados tratados com consentimento, ressalvadas as hipóteses legais de retenção.
- Informação sobre as entidades públicas e privadas com as quais a Novah Care realizou uso compartilhado de dados.
- Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa.
- Revogação do consentimento, quando este for a base legal aplicável.
- Oposição ao tratamento, quando este se basear em legítimo interesse.
- Revisão de decisões automatizadas, quando aplicável.
Para exercer qualquer desses direitos, entre em contato com o nosso Encarregado pelos canais indicados no item 14.
Quando o tratamento for realizado em nome de uma empresa-cliente (Controladora), encaminharemos a sua solicitação ao Controlador, que é a parte responsável pela decisão sobre o pedido, conforme prevê a LGPD.
11. Dados de adolescentes e menores de idade
A Novah Care pode tratar dados pessoais de adolescentes nas seguintes hipóteses, sempre vinculadas à relação trabalhista do titular com a empresa-cliente:
- Jovens aprendizes a partir de 14 anos, conforme art. 403, parágrafo único, da Consolidação das Leis do Trabalho (CLT), que admite o trabalho do menor na condição de aprendiz a partir dessa idade;
- Adolescentes a partir de 16 anos em vínculo trabalhista regular, conforme art. 7º, XXXIII, da Constituição Federal e legislação correlata;
- Estagiários menores de 18 anos, no contexto do contrato de estágio celebrado entre a empresa-cliente e o titular.
Em todas essas hipóteses, o tratamento se limita ao mesmo escopo aplicável aos demais colaboradores: dados cadastrais, exames ocupacionais previstos em norma e registros de SST exigidos por lei. O tratamento observa o melhor interesse do menor (LGPD, art. 14) e segue a mesma cadeia de proteção aplicável aos demais titulares. As decisões sobre o tratamento dos dados desses titulares competem à empresa-cliente, na qualidade de Controladora.
13. Alterações nesta Política
Esta Política pode ser atualizada para refletir mudanças regulatórias, operacionais ou de governança. A data da última atualização é exibida no topo da página. Em caso de alteração material, daremos visibilidade adicional pelos canais ordinários de comunicação com as empresas-clientes.
14. Encarregado e canal de contato
Encarregado de Dados Pessoais (LGPD, art. 41)
Murilo Amêndola
Chief Executive Officer e Encarregado de Dados Pessoais (papel acumulado)
Em caso de dúvidas sobre esta Política ou para o exercício dos seus direitos como titular, entre em contato pelo e-mail acima.
15. Foro e legislação aplicável
Esta Política rege-se pelas leis da República Federativa do Brasil, em especial pela Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018). Eventuais controvérsias serão dirimidas no Foro da Comarca de São Paulo/SP, salvo regra legal específica.