Política de Privacidade do Diagnóstico POSST
Versão v0.4 — texto de 21/10/2026.
1. Responsável e contato
O controlador dos dados pessoais tratados na operação do Diagnóstico POSST é EWERTON LUIZ MUNIZ POSSATO VENANCIO, pessoa física responsável pela marca POSST, com domicílio em São Paulo/SP, capital. O controlador decide as finalidades e os meios do tratamento. A marca POSST não constitui uma pessoa jurídica distinta.
O canal de dúvidas e exercício de direitos é contato@posst.com.br, sob responsabilidade do controlador. O vendedor executará ou supervisionará esse atendimento e registrará as solicitações e providências de forma restrita. O endereço pessoal de administração e alertas não é canal público de atendimento.
2. Informações utilizadas
Para vincular o diagnóstico e permitir acesso futuro, são utilizados nome e e-mail. A informação de empresa ou organização no cadastro é opcional. O diagnóstico utiliza enquadramento do escopo, respostas, aplicabilidade e resultados derivados. Também existem registros de validação, sessão, segurança, consentimentos, versões de resultados e suporte.
Para acompanhar a entrega e analisar solicitações, são registrados os identificadores da conta autenticada, diagnóstico, snapshot e artefato correspondentes, versão do relatório, tipo de evento e data/hora: disponibilização do Premium, abertura autenticada, solicitação de download e validação do arquivo pelo servidor. Os avisos transacionais podem registrar aceitação pelo provedor e, quando recebido evento autenticado do Resend, envio, entrega ao servidor de e-mail do destinatário, atraso ou falha. O aviso contém link e instruções, não o PDF anexado. Protocolos de cancelamento/reembolso registram tipo, data, situação e referência do encaminhamento ao atendimento.
Esses registros não comprovam leitura nem, sem confirmação técnica específica, conclusão da transferência ou arquivo salvo no dispositivo. Repetições podem ser agrupadas para reduzir duplicação; não há reconstrução retroativa de acessos sem evidência. Não são usados pixels invisíveis nem eventos de abertura/clique do provedor para tentar provar leitura. Os novos registros não incluem cópia do corpo do e-mail, endereço IP, impressão digital do dispositivo ou conteúdo adicional das respostas do diagnóstico. A abertura autenticada e a solicitação de download são registradas somente após a autorização de acesso ao diagnóstico e ao artefato correspondentes. A área do cliente mostra os protocolos dos próprios diagnósticos; o histórico administrativo é restrito aos administradores autorizados.
Quando houver uma compra autorizada do Diagnóstico de Maturidade em SST — Premium, por R$97,00 por diagnóstico, sem assinatura, serão utilizados os dados necessários para relacionar a confirmação do pagamento ao diagnóstico e à entrega. Dados de identificação fiscal do tomador serão utilizados quando exigidos para documentar a operação, limitados à necessidade aplicável; não se declara coleta fiscal adicional já implementada. Senha, código de autenticação e número completo de cartão não devem ser enviados ao atendimento nem inseridos nas respostas do diagnóstico.
O POSST não solicita, como parte das 70 respostas, uma relação nominal de trabalhadores ou prontuários individuais. O usuário deve evitar inserir dados de saúde, identificadores ou informações pessoais de terceiros em campos destinados ao contexto da organização.
Cookies necessários mantêm a sessão autenticada e permitem recuperar a jornada de acesso. Os novos eventos de entrega e atendimento não acrescentam pixels de leitura ou identificação do dispositivo. Não é solicitado consentimento promocional para liberar esses recursos.
3. Finalidades e bases legais
| Finalidade | Dados necessários | Fundamento conforme a finalidade |
|---|---|---|
| Confirmar acesso, processar o diagnóstico e entregar Essential/Premium | Cadastro, contexto, respostas, snapshot, relatório e registros de entrega | Execução de contrato e procedimentos solicitados pelo titular |
| Documentar compra, estorno e obrigações fiscais | Identificação fiscal exigível, referência, valor, estado da operação e documento correspondente | Cumprimento de obrigação legal, conforme aplicável |
| Atender solicitações, corrigir entrega e exercer direitos em conflitos | Protocolos e registros mínimos de disponibilização, acesso, download, comunicação, suporte e segurança | Execução do serviço e exercício regular de direitos, conforme o caso; obrigações legais quando aplicáveis |
| Comunicação promocional opcional | Nome, contato e registro de consentimento | Consentimento específico, revogável e separado do acesso ao diagnóstico |
Os dados não serão utilizados para finalidades incompatíveis sem informação e base legal adequadas. O registro metodológico não é consentimento genérico para tratamento ou publicidade. Mensagens de confirmação, retorno e entrega são necessárias ao serviço, independentemente do aceite de marketing. A retirada do consentimento promocional poderá ser solicitada por contato@posst.com.br e não impede acesso ao serviço contratado.
Solicitações de suporte, cancelamento e reembolso
Na área autenticada, o registro de uma solicitação gera protocolo persistente, data e situação para acompanhamento. A repetição de um pedido ainda em análise pode retornar o mesmo protocolo. O pedido permanece registrado e consultável pela administração mesmo se o aviso por e-mail falhar. A interface distingue aviso pendente de aviso aceito pelo provedor; aceitação não é confirmação de entrega ou leitura.
Acessos gratuitos podem utilizar suporte ou cancelamento, sem indicação de restituição de valor não pago. A opção de reembolso monetário depende de contratação paga correspondente. Se a compra não aparecer corretamente ou houver outra dificuldade, o titular pode exercer seus direitos diretamente por contato@posst.com.br. Registrar o pedido não aprova nem nega reembolso, não movimenta dinheiro e não revoga automaticamente o acesso.
As solicitações são analisadas individualmente. Eventual avaliação jurídica externa utiliza apenas as informações necessárias e não impede o exercício dos direitos legais. Abrir ou baixar o Premium não elimina automaticamente direitos de arrependimento, reparação ou restituição. Não é prometida a existência de departamento jurídico interno.
4. Serviços utilizados e compartilhamento
A operação utiliza Hostinger para hospedagem e atendimento por e-mail, Supabase para banco, autenticação e armazenamento, Resend para comunicações transacionais e Mercado Pago para o processamento financeiro. Há cópias de recuperação cifradas em Drive privado. O uso desses serviços não torna os diagnósticos públicos.
Os dados necessários à operação podem ser tratados pelos respectivos fornecedores. Os serviços podem envolver tratamento no Brasil e no exterior, conforme a estrutura de cada fornecedor. Eventuais transferências internacionais devem observar os requisitos e as garantias previstos na LGPD e na regulamentação aplicável. Informações sobre os destinatários, destinos de tratamento e medidas pertinentes podem ser solicitadas ao controlador pelo canal de atendimento. A localização de um servidor no Brasil não significa que todas as operações dos fornecedores ocorram exclusivamente no país.
Não se declara venda de dados ou compartilhamento publicitário como parte do serviço. Qualquer finalidade adicional exige análise e informação adequadas, sem reutilização silenciosa do cadastro.
5. Acesso, segurança e conservação
A área autenticada restringe o acesso a diagnósticos e relatórios autorizados. O armazenamento de PDFs é privado e há controles técnicos de acesso, comunicação protegida e backups cifrados. Esses controles não representam promessa de inviolabilidade ou disponibilidade contínua.
Períodos e critérios de conservação adotados:
| Categoria | Período e critério |
|---|---|
| Diagnóstico, respostas, snapshot e PDF | Consulta/download por 90 dias após a primeira disponibilização para a contratação mantida, observados os efeitos de eventual restituição previstos na política aplicável. Conservação restrita para suporte por até mais 90 dias, sem promessa de acesso adicional. Depois, revisão para eliminação ou anonimização, salvo necessidade legal específica |
| Cadastro de acesso | Durante a relação ativa e até 180 dias após a última interação, respeitando o período contratado e eventuais obrigações ou solicitações legítimas pendentes |
| Eventos técnicos adicionais de entrega, acesso e download | Até 180 dias do evento, com acesso restrito; eventos autenticados de e-mail sem correspondência com um aviso registrado serão descartados após 24 horas. A revisão e a aplicação dos prazos exigem acompanhamento operacional; não há declaração de limpeza automática ou agendamento ativo |
| Atendimento, protocolos de cancelamento/reembolso e registros comuns de segurança | Até 180 dias após o encerramento do atendimento ou registro, salvo incidente ou disputa que justifique conservação restrita por prazo necessário |
| Registros mínimos financeiros, fiscais e de defesa de direitos | Cinco anos como período operacional após o encerramento do ano da operação, ressalvados prazo legal aplicável ou disputa que exija conservação adicional. Isso não justifica guardar todo o PDF ou todas as respostas pelo mesmo período |
| Cópias de recuperação | Ciclo de até 90 dias da criação da cópia, com revisão mensal do vendedor, ressalvados bloqueios legais documentados. O cumprimento do período é acompanhado pelo controlador; não se declara expiração automática |
| Marketing opcional | Até retirada do consentimento ou revisão após 12 meses sem interação, o que ocorrer primeiro |
Os eventos de entrega e atendimento ficam restritos à administração autorizada. O usuário pode consultar os protocolos dos próprios diagnósticos; outro usuário não pode consultar seu histórico. O encaminhamento ao atendimento utiliza a referência do protocolo, sem anexar automaticamente o relatório. Os fornecedores recebem apenas o necessário à operação; eventual consulta jurídica externa ficará limitada aos dados indispensáveis e sujeita a confidencialidade e base legal aplicáveis.
O vendedor revisará mensalmente os vencimentos e pedidos de eliminação, registrando as medidas tomadas. Uma necessidade de preservação em disputa deve ser registrada antes do vencimento; qualquer procedimento de eliminação deve preservar registros sujeitos a uma obrigação de conservação documentada. Uma necessidade de conservação adicional deverá ter finalidade, justificativa, acesso restrito e nova data de revisão; não equivale a guarda indefinida. Esses períodos são critérios operacionais adotados pelo controlador e não significam que todos sejam impostos por lei. A revisão mensal deve antecipar os vencimentos e registrar as medidas necessárias para cumprir cada período. A indisponibilidade de rotina automática não afasta o dever de cumprir os prazos informados.
A conservação não autoriza reutilizar diagnósticos para publicidade ou permitir acesso a terceiros. A cópia que o usuário baixar estará sob sua guarda. A eliminação no serviço não apaga remotamente essa cópia.
Pedidos de eliminação serão aplicados também à recuperação: backups ainda conservados ficarão restritos e, se utilizados, as exclusões e revogações deverão ser reaplicadas antes de retornar ao serviço. A exclusão de conta não implica apagar imediatamente documentos financeiros ou registros que precisem ser legitimamente preservados. O atendimento de cada pedido considera as obrigações de conservação aplicáveis, sem eliminação indiscriminada de históricos ou cópias de recuperação.
6. Direitos e atendimento
O titular pode solicitar informações sobre tratamento e compartilhamento, acesso, correção e exercício dos demais direitos previstos na LGPD, incluindo bloqueio, anonimização ou eliminação quando cabíveis. Pode também retirar consentimento para usos que dependam dele, observadas as hipóteses de conservação permitidas.
Os pedidos serão recebidos gratuitamente pelo canal de atendimento, com verificação proporcional da identidade, sem exigir o envio de senhas ou códigos. A confirmação da existência de tratamento e o acesso podem ser fornecidos de forma simplificada imediatamente ou por declaração clara e completa em até 15 dias, conforme o art. 19 da LGPD. As demais solicitações observarão os prazos legalmente aplicáveis. A resposta deve informar providências e eventuais impedimentos fundamentados. O vendedor é responsável por acompanhar o pedido, registrar o protocolo e aplicar as medidas cabíveis, com acesso limitado às pessoas necessárias.
7. Atualizações
Esta política será mantida acessível na área de acesso e nas páginas pertinentes do serviço. Alterações relevantes de finalidade ou de condições serão informadas de maneira adequada, com identificação da versão e da data. O reconhecimento dos limites metodológicos e a opção de marketing não constituem consentimento genérico para os tratamentos descritos aqui. O uso de dados necessário ao serviço e às obrigações legais observa a base aplicável, sem exigir consentimento promocional.