Política de Privacidade

1. Quem somos

Esta Política de Privacidade descreve como a SIGMAIS RODOVIAS LTDA, inscrita no CNPJ nº 68.400.386/0001-62, com sede em Juiz de Fora, Minas Gerais, Brasil ("Rodovias Online", "nós"), trata dados pessoais no âmbito da plataforma Sigmais Rodovias (sites sigmais.rodovias.online, auth.rodovias.online, www.rodovias.online e aplicativo móvel correlato).

Este documento está em conformidade com a Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD).

2. Papéis no tratamento

A plataforma Sigmais é contratada por Concessionárias de Rodovias ("Cliente Contratante"), que a utilizam para gerir inspeções, fiscalização e relacionamento com prestadoras de serviço.

• Controladora dos dados pessoais inseridos na plataforma: a Concessionária Contratante.
• Operadora, atuando por conta e ordem da Controladora: a Rodovias Online.
• Suboperadoras: empresas Prestadoras de Serviço habilitadas pela Controladora.

Para os dados de navegação no site institucional www.rodovias.online (visitantes não autenticados, formulários de contato), a Rodovias Online atua como Controladora.

3. Encarregado pelo Tratamento de Dados (DPO)

• Nome: Sandro Coelho
• E-mail: [email protected]

Qualquer dúvida, solicitação de exercício de direitos ou comunicação de incidente deve ser direcionada ao Encarregado pelos canais acima.

4. Dados pessoais que tratamos

4.1. Dados de cadastro de usuários da plataforma

• Nome completo, e-mail corporativo, identificador Keycloak;
• Vínculo a empresa (Concessionária ou Prestadora) e perfil/role;
• Senha criptografada.

4.2. Dados de proprietários lindeiros e ocupações em faixa de domínio

Inseridos pelos inspetores: nome/razão social, CPF/CNPJ, endereço, telefone, cidade, UF, CEP. A coleta é indireta, com base em cumprimento de obrigação legal e regulatória (art. 7º, II) e legítimo interesse da Concessionária na gestão da faixa de domínio (art. 7º, IX).

4.3. Dados de geolocalização de operadores em campo

Quando o aplicativo móvel de inspeção é utilizado, o sistema coleta latitude, longitude, precisão, velocidade, rodovia/trecho e data-hora. A retenção é de 48 horas para a posição atual e 7 dias para o histórico.

Base legal: execução de contrato (art. 7º, V) entre o operador e o empregador, somada à obrigação regulatória da Concessionária.

4.4. Dados de auditoria

Toda criação, alteração e exclusão de registros é vinculada ao usuário responsável (legítimo interesse — art. 7º, IX).

4.5. Dados de navegação e logs técnicos

Endereço IP, user-agent, cookies de sessão (NextAuth) e dados de monitoramento de erros (Sentry, coletados apenas em caso de erro).

4.6. Fotografias de inspeção

Armazenadas em Cloudflare R2. Operadores são orientados a evitar a captura desnecessária de imagens de terceiros e oferecemos canal para solicitação de anonimização ou remoção.

5. Para que usamos os dados (finalidades)

1. Permitir o acesso autenticado dos usuários à plataforma;
2. Executar as funcionalidades contratadas pela Concessionária;
3. Garantir a segurança da plataforma (logs, auditoria, prevenção a fraudes);
4. Cumprir obrigações legais, regulatórias e contratuais (incluindo ANTT);
5. Comunicar usuários sobre atualizações operacionais relevantes;
6. Atender pedidos de titulares de dados;
7. Defender direitos em processos judiciais, administrativos ou arbitrais.

Não usamos os dados para marketing, publicidade comportamental, perfilamento ou venda a terceiros.

6. Bases legais (art. 7º e 11 da LGPD)

• Execução de contrato (art. 7º, V) — operação da plataforma;
• Obrigação legal/regulatória (art. 7º, II) — cadastros regulatórios;
• Legítimo interesse (art. 7º, IX) — auditoria e segurança;
• Consentimento (art. 7º, I) — formulário de contato no site institucional e cookies não essenciais.

Não tratamos dados pessoais sensíveis na operação regular da plataforma.

7. Compartilhamento com terceiros (subprocessadores)

• KingHost — hospedagem dos servidores de aplicação (Brasil);
• Cloudflare, Inc. — CDN, proteção, TLS e armazenamento R2 (EUA);
• Functional Software, Inc. (Sentry) — monitoramento (EUA);
• Google LLC (Workspace) — e-mail corporativo (EUA);
• GitHub, Inc. — repositório e registry (EUA).

Compartilhamos dados também com autoridades quando exigido por lei, ordem judicial ou requisição administrativa legítima. Não vendemos, alugamos ou cedemos dados pessoais a terceiros.

8. Transferência internacional de dados

Cloudflare, Sentry, Google e GitHub processam parte dos dados nos Estados Unidos. A transferência é fundamentada no art. 33, V e IX da LGPD, com DPAs e adoção de padrões internacionais de segurança (ISO 27001, SOC 2 Type II) pelos subprocessadores.

9. Direitos do titular (art. 18 da LGPD)

Você pode exercer a qualquer tempo:

1. Confirmação da existência de tratamento;
2. Acesso aos seus dados;
3. Correção de dados incompletos, inexatos ou desatualizados;
4. Anonimização, bloqueio ou eliminação de dados desnecessários;
5. Portabilidade a outro fornecedor;
6. Eliminação dos dados tratados com base em consentimento;
7. Informação sobre entidades com as quais compartilhamos dados;
8. Informação sobre a possibilidade de não fornecer consentimento;
9. Revogação do consentimento;
10. Oposição a tratamento em desconformidade com a LGPD;
11. Revisão de decisões automatizadas.

Para exercer qualquer desses direitos, contate o Encarregado: [email protected]. Responderemos em até 15 (quinze) dias corridos.

Importante: quando seus dados forem inseridos pela Concessionária Contratante (ex.: cadastro como proprietário lindeiro), o pedido pode ser direcionado primariamente a ela, como Controladora.

10. Retenção e descarte

• Conta de usuário ativa: durante o contrato + 2 anos após inativação;
• Fichas e inspeções: 5 anos após encerramento do contrato (compatível com ANTT);
• Localização atual: 48 horas;
• Histórico de localização: 7 dias;
• Logs Keycloak: 6 meses;
• Logs Sentry: 30 dias;
• Logs Cloudflare/Traefik: 90 dias;
• Backups operacionais: 35 dias.

11. Segurança da informação

Adotamos medidas técnicas e administrativas compatíveis com o estado da técnica: TLS, autenticação Keycloak com JWT, RBAC, soft-delete e auditoria, allowlist de IP no banco, backups, atualizações contínuas e imagens Docker fixadas por digest. Em caso de incidente, notificaremos a ANPD e os titulares em até 3 dias úteis da ciência.

12. Cookies

Utilizamos apenas cookies estritamente necessários ao funcionamento e, mediante consentimento, cookies funcionais e analíticos. Detalhes na Política de Cookies.

13. Crianças e adolescentes

A plataforma destina-se a uso profissional por adultos. Não coletamos conscientemente dados de menores de 18 anos.

14. Alterações desta Política

Esta Política pode ser revisada a qualquer tempo. Alterações materiais serão comunicadas com antecedência mínima de 30 dias aos usuários autenticados.

15. Como falar conosco

• Encarregado (DPO): Sandro Coelho — [email protected]
• Endereço postal: Juiz de Fora, Minas Gerais, Brasil
• Autoridade Nacional de Proteção de Dados: www.gov.br/anpd