Segurança e LGPD no Prismae

Um software de RH guarda currículos, contratos de trabalho, avaliações de desempenho e opiniões sobre a liderança. Esta página descreve o que o sistema faz para proteger esses dados — não o que prometemos fazer, mas o que está implementado no banco e no código hoje.

Cada empresa só enxerga os próprios dados

O Prismae atende várias empresas na mesma infraestrutura, e a separação entre elas não depende da tela. As 80 tabelas do banco têm segurança em nível de linha (RLS) ligada, e toda tabela com dados de uma empresa carrega a identificação dela numa coluna obrigatória. A política do próprio banco recusa qualquer linha de outra empresa, mesmo que alguém tente consultar a API diretamente com um acesso válido.

Acesso por função, definido por quem dirige a empresa

O diretor da empresa combina permissões por área e por ação — ver, gerenciar, excluir — em perfis de acesso próprios. Quem não tem a permissão não vê o item no menu, não abre a página pelo endereço e não recebe a linha pela API, porque a regra vale no banco e não só na interface. O papel de proprietário é irrestrito por definição, para ninguém conseguir trancar a própria empresa para fora.

O que fica registrado

• Alterações nos cadastros operacionais — clientes, vagas, candidatos, colaboradores —, com autor e horário.
• Cada abertura de documento de colaborador, com quem abriu e quando.
• Cada acesso ao portal do cliente.
• Cada execução de automação.

Candidatos e os direitos da LGPD

A candidatura registra o consentimento do candidato para o tratamento dos dados no processo seletivo. Pelo portal do candidato, ele pode pedir acesso, correção, exclusão ou portabilidade dos próprios dados, e cada pedido tem status acompanhado pela equipe até a conclusão. O acesso ao portal é por link seguro, sem senha para o candidato criar ou esquecer.

Pesquisas de clima anônimas de verdade

Numa pesquisa anônima, a resposta é gravada sem nenhum vínculo com o colaborador: o banco guarda apenas um código de controle, que serve para impedir resposta duplicada, e não um identificador da pessoa. Além disso, o resultado só aparece quando a pesquisa atinge o número mínimo de respostas definido pela empresa — com poucas respostas, o resultado identificaria quem respondeu.

Documentos de colaboradores

Documentos são classificados por categoria (identificação, contrato, médico, folha de pagamento, certificado e outros), limitados a 10 MB por arquivo e podem ter data de validade e prazo de retenção, para a empresa guardar cada documento só pelo tempo necessário.

Contas, senhas e sessões

• O acesso é somente por convite: a empresa é preparada pela nossa equipe, e o administrador dela convida o restante do time. Não existe cadastro aberto.
• Trocar a senha exige a senha atual, e as tentativas são limitadas por tempo.
• Qualquer pessoa pode encerrar as próprias sessões abertas em outros dispositivos.

Proteção no navegador

Todo o tráfego é HTTPS, com HSTS (o navegador se recusa a abrir o site sem criptografia). As páginas enviam uma política de segurança de conteúdo (CSP) que limita de onde scripts e conexões podem vir, bloqueiam a exibição dentro de outros sites e desligam câmera, microfone e localização.

Onde os dados ficam

A infraestrutura principal fica em São Paulo, Brasil, onde ficam o banco de dados e os arquivos (Supabase, região AWS sa-east-1). A aplicação é processada nos Estados Unidos (Vercel, região de Washington, D.C.). A lista completa de fornecedores que tratam dados em nome do serviço, com a finalidade e o local de cada um, está na Política de Privacidade.

Quando o contrato termina

Depois do cancelamento, os dados ficam retidos por 30 dias. Nesse prazo a empresa continua usando o sistema, pode exportar tudo e pode desistir da exclusão. Passado o prazo, os dados são apagados de forma irreversível, junto com os arquivos armazenados. Pedir a exclusão exige o papel de proprietário e a digitação do nome da empresa, para não acontecer por engano.

Encarregado de dados

O encarregado pelo tratamento de dados pessoais é Carlos Nardes, fundador da empresa. Contato: suporte@prismaeone.com.