Política de Privacidade do RH Care

O RH Care é a solução digital do ecossistema INKI Corporate para a avaliação de fatores de riscos psicossociais relacionados ao trabalho e para a adequação das empresas à NR-01 (Gerenciamento de Riscos Ocupacionais). Ele inclui o site rhcare.com.br, o questionário respondido pelos colaboradores, o portal da empresa (app.rhcare.com.br) e os relatórios gerados a partir dele, como o inventário de riscos psicossociais e o plano de ação.

O RH Care é operado pela INKI LTDA., inscrita no CNPJ/MF sob o nº 61.588.411/0001-34, com sede na Calçada das Margaridas, 163, sala 2, Condomínio Centro Comercial Alphaville, Barueri, São Paulo ("INKI", "nós").

Esta política explica, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, "LGPD"), como tratamos os dados pessoais no RH Care. Ela complementa a Política de Privacidade da INKI, que vale para os demais serviços do ecossistema.

• Dados dos colaboradores e das respostas ao questionário: a empresa contratante (empregadora) é a controladora. É ela quem tem a obrigação de identificar e avaliar os riscos psicossociais no seu Programa de Gerenciamento de Riscos (PGR) e quem envia a base de colaboradores. A INKI atua como operadora, tratando esses dados em nome da empresa, conforme o contrato e esta política.
• Dados de quem nos procura ou contrata (formulário do site, compra, usuários do portal da empresa): a INKI é a controladora.

Mesmo quando atua como operadora, a INKI adota as regras de confidencialidade descritas aqui. A empresa contratante não pode exigir acesso às respostas individuais nem aos dados identificados do questionário.

4.1. Colaboradores da empresa contratante

• Cadastro enviado pela empresa: nome, CPF, matrícula, sexo, data de nascimento ou faixa etária, data de admissão ou tempo de casa, unidade, setor, cargo, função, localidade, líder imediato, tipo de contrato, escala, situação (ativo ou desligado) e outros atributos organizacionais que a empresa definir.
• Identificação no questionário: CPF ou matrícula, conferidos com o cadastro. Quando a empresa não envia cadastro, o colaborador informa apenas unidade, setor, cargo e função.
• Respostas: as respostas às perguntas do instrumento escolhido (por padrão, o HSE Management Standards Indicator Tool, com 35 questões em 7 dimensões; também pode ser usado o COPSOQ), a data da resposta e o índice de risco calculado. Essas respostas tratam das condições de trabalho e de aspectos de saúde mental e, por isso, são tratadas como dados pessoais sensíveis (dados de saúde).
• Dados técnicos: registros de acesso mantidos pelos nossos servidores, como endereço IP, data e hora, para segurança e prevenção a fraudes.

4.2. Empresas, RHs e usuários do portal

• Formulário do site: nome, e-mail profissional, WhatsApp, nome da empresa, número de funcionários, origem da visita (parâmetros de campanha) e código de indicação, além do IP e do navegador.
• Contratação e pagamento: nome, e-mail, CPF ou CNPJ e telefone do comprador. Os dados de cartão vão direto para o processador de pagamento e não ficam guardados no RH Care.
• Usuários do portal: nome, e-mail, perfil de acesso, unidade, senha (guardada apenas em forma criptografada, como hash) e data do último acesso.
• Documentos enviados pela empresa: base de colaboradores, PGR, PCMSO, logotipo e manual de marca, usados para configurar a avaliação e preparar os relatórios.

• Mínimo de respostas por grupo: nos painéis da empresa, um recorte (setor, cargo, unidade, faixa etária etc.) só é exibido com no mínimo 10 respostas. Abaixo disso, o resultado fica oculto para evitar que alguém seja identificado por exclusão.
• Resultado geral e inventário de riscos: o resultado consolidado da empresa e os grupos de exposição usados no inventário de riscos do PGR são apresentados de forma agregada, conforme exige a NR-01. Os relatórios seguem um número mínimo de respostas por grupo definido na configuração da avaliação.
• Agrupamento para manter o sigilo: sempre que necessário e possível, agrupamos respostas (por exemplo, juntando setores, cargos ou faixas pequenas) a fim de manter o sigilo das informações.
• Visão sem agrupamento: a análise de grupos menores, sem o mínimo de respostas, é de uso exclusivo da equipe INKI, para conferência técnica e auditoria. Ela não é disponibilizada à empresa.

Não usamos as respostas do questionário para avaliar o desempenho de colaboradores, para decisões de contratação, promoção ou desligamento, nem para publicidade.

Não vendemos dados pessoais. Compartilhamos apenas o necessário, com:

• A empresa contratante: somente os resultados agrupados descritos no item 5.
• Inteligência artificial (OpenAI, com servidores nos Estados Unidos): usada para apoiar a redação do inventário de riscos, do plano de ação e dos relatórios, e para ler o PGR e o PCMSO enviados pela empresa. Enviamos resultados agrupados e esses documentos, nunca a identificação de quem respondeu ao questionário.
• Pagamento e nota fiscal: o processador de pagamentos (INKI Pay e, em contratações antigas, Pagar.me) e o emissor de notas fiscais (NFE.io).
• Comunicação: provedores de envio de e-mail e de mensagens de WhatsApp, usados para convites, lembretes e avisos do serviço.
• Infraestrutura: provedores de servidores, banco de dados e armazenamento de arquivos que hospedam o RH Care, sob contrato e com dever de confidencialidade.
• Estatística e marketing: Google e Meta, apenas no site comercial e apenas com o seu consentimento no aviso de cookies.
• Autoridades: quando houver obrigação legal, ordem judicial ou requisição de autoridade competente, como a fiscalização do trabalho.

Quando algum desses fornecedores trata dados fora do Brasil, a transferência internacional segue as hipóteses do art. 33 da LGPD.

Os dados da avaliação (cadastro dos colaboradores, respostas, indicadores e relatórios) são mantidos para que o gerenciamento de riscos da empresa seja rastreável e auditável: durante o contrato e, depois dele, pelo tempo necessário para cumprir obrigações legais e regulatórias, atender a fiscalizações e auditorias e permitir a defesa em processos. Por isso, as respostas não são apagadas ao fim de um ciclo de avaliação.

Os dados de contato e de contratação ficam guardados enquanto houver relacionamento comercial e pelos prazos legais (por exemplo, fiscais e de registros de acesso). Quando não houver mais finalidade nem obrigação de guarda, os dados são eliminados ou anonimizados.

• Conexões sempre criptografadas (HTTPS/TLS) entre o seu navegador, o RH Care e o armazenamento de arquivos.
• Senhas guardadas apenas em forma de hash, verificação em duas etapas disponível e controle de acesso por perfil no portal da empresa.
• Acesso aos dados identificados restrito à equipe INKI autorizada; a empresa e a corretora recebem apenas dados agrupados.
• Mínimo de respostas por grupo nos painéis, para evitar a identificação indireta.
• Registros de acesso e links temporários, que expiram, para baixar documentos.

Se ocorrer um incidente de segurança que possa trazer risco ou dano relevante aos titulares, comunicaremos a empresa contratante, os titulares afetados e a Autoridade Nacional de Proteção de Dados (ANPD), nos termos da LGPD.

Você pode pedir a confirmação de que tratamos seus dados, acesso, correção, informações sobre compartilhamento, portabilidade, revogação de consentimento (quando essa for a base legal) e oposição, além da anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a LGPD.

Se você é colaborador de uma empresa contratante, a sua empresa é a controladora dos dados da avaliação. Você pode fazer o pedido a ela ou diretamente a nós, e nós o encaminharemos e apoiaremos a resposta. Como a avaliação decorre de obrigação legal da empresa, alguns dados podem precisar ser mantidos mesmo após um pedido de eliminação (art. 16, I, da LGPD). Nesse caso, explicaremos o motivo.

Pedidos e dúvidas: dpo@inki.com.br, com a encarregada pelo tratamento de dados pessoais, Mayara Schwambach Walmsley. Você também pode usar a página Exclusão de Dados e, se não ficar satisfeito, reclamar à ANPD.

• Essenciais (sempre ativos): mantêm o site e o portal funcionando e seguros, guardam a sua escolha sobre cookies e, quando você chega por um link de indicação, registram o código de quem indicou (cookies rhcare_ref e rhcare_ref_nome, válidos por 30 dias).
• Estatística e marketing (opcionais): Google (Google Tag/Analytics) e Meta (Meta Pixel), para medir visitas e o resultado de campanhas. Só são ativados se você escolher "Aceitar todos" no aviso de cookies. Escolhendo "Somente essenciais", eles não carregam.

Você pode mudar a sua escolha a qualquer momento limpando os cookies e os dados do site no seu navegador; o aviso aparecerá de novo. Veja também a Política de Cookies da INKI.

Podemos atualizar esta política para refletir mudanças no RH Care ou na lei. A data da versão em vigor fica no topo da página. Mudanças relevantes serão comunicadas às empresas contratantes.