1. Introdução

A NeuroChem Solutions ("NeuroChem", "nós") tem compromisso com a proteção dos dados pessoais de seus usuários. Esta Política de Privacidade descreve como coletamos, utilizamos, armazenamos e protegemos suas informações em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD - Lei 13.709/2018).

Para dados de conta, segurança, cobrança e relacionamento, a NeuroChem define as finalidades do tratamento e atua como controladora. Para dados de empregados, pacientes, responsáveis técnicos e documentos inseridos por uma empresa cliente, a empresa cliente normalmente define a finalidade e a NeuroChem atua como operadora, tratando os dados conforme suas instruções e o contrato.

2. Dados Coletados

Coletamos os seguintes dados pessoais e empresariais no âmbito da utilização da Plataforma:

2.1 Dados de Cadastro

Nome completo do usuário
Endereço de e-mail
Telefone de contato
CNPJ e razão social da empresa ou CPF e nome do profissional autônomo
Setor de atuação e CNAE

2.2 Dados de Uso da Plataforma

Dados de Notas Fiscais Eletrônicas (NF-e) enviadas para processamento, incluindo CFOP, NCM e descrição de produtos
Inventário de produtos químicos cadastrados
Fichas de Dados de Segurança (FDS) geradas ou importadas
Relatórios de compliance e documentos regulatórios
Dados de empregados e responsáveis técnicos, como nome, CPF, vínculo, função, treinamentos, exposições ocupacionais e documentos
Registros de incidentes, exames ocupacionais e respectivas conclusões, quando cadastrados pela empresa cliente

2.3 Dados Técnicos

Endereço IP e dados de navegação (logs de acesso)
Identificadores técnicos do dispositivo, navegador, data, hora e rota acessada, quando necessários para segurança e diagnóstico
Cookies de sessão para autenticação

2.4 Dados pessoais sensíveis

A Plataforma pode tratar dados referentes à saúde ocupacional, como conclusão de ASO ou exame e restrições laborais. Esses dados são sensíveis nos termos da LGPD.
A empresa cliente deve inserir apenas os dados indispensáveis e garantir uma base legal adequada, em especial cumprimento de obrigação legal ou regulatória. A NeuroChem os trata como operadora e não os utiliza para publicidade ou criação de perfis comerciais.

3. Base Legal para o Tratamento

O tratamento de dados pessoais pela NeuroChem se fundamenta nas seguintes bases legais previstas na LGPD (Lei 13.709/2018):

Execução de contrato (Art. 7, V) para prestação do serviço contratado.
Consentimento do titular (Art. 7, I) para comunicações de marketing e funcionalidades opcionais.
Cumprimento de obrigação legal (Art. 7, II) para retenção de dados exigida por legislação aplicável. O Art. 16, I autoriza a conservação de registros mesmo após pedido de exclusão, quando a guarda é exigida por norma regulatória — é o que ocorre com as declarações e a trilha de auditoria descritas nas seções 7.1 e 9.
Interesse legítimo (Art. 7, IX) para melhoria da Plataforma e prevenção a fraudes.
Dados pessoais sensíveis (Art. 11), quando o tratamento for indispensável ao cumprimento de obrigação legal ou regulatória da empresa cliente, ou estiver amparado por outra hipótese legal aplicável e documentada pelo controlador.

4. Finalidade do Tratamento

Os dados coletados são utilizados para as seguintes finalidades:

Provisão e operação dos serviços da Plataforma
Geração de relatórios regulatórios (SIPROQUIM2, Mapa PC, FDS)
Identificação e classificação de produtos controlados a partir de NF-e
Gestão de conta, autenticação e controle de acesso
Comunicação sobre o serviço, incluindo alertas de prazos regulatórios
Melhoria contínua da Plataforma e análise de uso agregado

5. Compartilhamento de Dados

A NeuroChem não vende, aluga ou comercializa dados pessoais de seus usuários. Os dados podem ser compartilhados com os seguintes terceiros, estritamente para viabilizar a operação do serviço:

Todos os prestadores de serviço estão sujeitos a obrigações de confidencialidade e segurança compatíveis com a LGPD.

Alguns prestadores podem processar dados fora do Brasil. Nesses casos, adotamos medidas contratuais e de segurança compatíveis com a LGPD e limitamos o compartilhamento ao necessário para cada finalidade.

Supabase para infraestrutura de banco de dados (PostgreSQL) e autenticação, com dados armazenados em servidores com criptografia em repouso.
Vercel para hospedagem da aplicação e serviços de CDN.
Stripe para checkout, assinatura e gestão de cobrança. A NeuroChem não armazena o número completo do cartão.
Anthropic, somente quando o usuário aciona uma função identificada como assistida por IA, para processar o texto ou o documento necessário à tarefa. Senhas, tokens e credenciais de órgãos públicos não devem ser enviados a esse serviço.
Sentry para diagnóstico de falhas, com envio padrão de PII desativado, mascaramento de texto e inputs e remoção de cookies, credenciais, CPF, e-mail e outros campos sensíveis antes do envio.
Resend ou provedor SMTP contratado para mensagens transacionais e alertas solicitados pelo usuário.
Upstash Redis para contenção de abuso e limitação de requisições, usando identificadores técnicos pseudonimizados.
BrasilAPI para validar e completar dados públicos de CNPJ informados pelo usuário.
PubChem (NIH/NCBI) para consultas a dados químicos públicos para enriquecimento de fichas de produtos, sem transmissão de dado pessoal.

6. Segurança dos Dados

Adotamos medidas técnicas e organizacionais para proteger seus dados pessoais, incluindo:

Apesar de nossos esforços, nenhum sistema de segurança é inviolável. Incidentes que possam causar risco ou dano relevante serão avaliados, registrados e comunicados pelo controlador à ANPD e aos titulares nos prazos e hipóteses da regulamentação aplicável; quando atuarmos como operadora, notificaremos e cooperaremos com a empresa cliente controladora.

Senhas processadas pelo Supabase Auth e armazenadas somente como hash bcrypt; a NeuroChem não recebe nem armazena a senha em texto puro
Autenticação via JSON Web Tokens (JWT) com validade limitada
Comunicação exclusivamente via HTTPS (TLS/SSL)
Controle de acesso baseado em funções (RBAC) com isolamento por empresa (multi-tenancy)
Trilha de auditoria (audit log) para rastreamento de ações na Plataforma
Limitação distribuída de requisições, validação de origem contra CSRF e filtragem de dados sensíveis no monitoramento de erros

7. Direitos do Titular

Conforme a LGPD, você tem os seguintes direitos em relação aos seus dados pessoais:

Para exercer qualquer destes direitos, entre em contato pelo canal de privacidade indicado ao final desta Política. Confirmação e acesso em formato simplificado serão providenciados imediatamente quando possível; a declaração completa com origem, critérios e finalidade será fornecida em até 15 dias, sem prejuízo dos prazos específicos aplicáveis aos demais pedidos.

Acesso para solicitar informações sobre quais dados possuímos.
Correção para solicitar a correção de dados incompletos, inexatos ou desatualizados.
Exclusão para solicitar a eliminação dos seus dados pessoais. Você pode exercer esse direito sozinho, a qualquer momento e sem passar por nós — veja o item 7.1. Registros cuja guarda é exigida por norma regulatória podem permanecer de forma pseudonimizada e com acesso restrito, conforme o Art. 16, I.
Portabilidade para solicitar a transferência de dados a outro fornecedor.
Revogação para revogar o consentimento para tratamento de dados a qualquer momento.
Oposição para opor-se ao tratamento realizado com base em interesse legítimo.

7.1 Exclusão da conta pelo titular

Como fazer. Acesse Empresa na Plataforma e use a opção “Excluir minha conta”. Pedimos autenticação recente e uma frase de confirmação para evitar uso indevido ou exclusão acidental. A ação é imediata e não pode ser desfeita — não depende de solicitação ao Encarregado nem do prazo de 15 dias úteis.
O que é apagado. Seu nome, e-mail, telefone, cargo e foto são removidos do cadastro operacional, e seu acesso à Plataforma é revogado no mesmo instante. Se o provedor de identidade estiver indisponível, a conta permanece desativada e a exclusão nesse provedor fica registrada para conclusão operacional.
O que permanece, e por quê. Documentos regulatórios já emitidos pela empresa — declarações SIPROQUIM, RMNRA, transmissões SNGPC e a trilha de auditoria — são mantidos de forma pseudonimizada, sem nome, e-mail, telefone, cargo ou foto, ligados apenas a um identificador técnico e com acesso restrito. Essa guarda pode ser necessária para cumprir obrigações legais ou regulatórias da empresa perante os órgãos fiscalizadores e está autorizada pelo Art. 16, I da LGPD pelo prazo aplicável a cada documento.
Se você for o último administrador. Quando ainda houver outras pessoas ativas na empresa, é necessário promover outro administrador antes de excluir sua conta — do contrário a empresa ficaria sem quem gerencie acessos e cobrança.
Encerrar o contrato da empresa é outro processo. A exclusão descrita aqui trata dos seus dados pessoais como titular. Para encerrar a assinatura da pessoa jurídica, fale com nosso time pelo e-mail de contato ao final desta Política.

8. Cookies

A Plataforma utiliza cookies estritamente necessários para o funcionamento do serviço:

Não utilizamos cookies de publicidade nem carregamos analytics de terceiros na versão atual da Plataforma. Qualquer ativação futura de medição não essencial dependerá de atualização desta Política e, quando exigido, de uma escolha prévia do usuário.

Cookie de sessão/autenticação utilizado para manter o usuário autenticado durante a navegação. Expira ao encerrar a sessão ou após o período de validade do token JWT.

9. Retenção de Dados

Os dados pessoais são armazenados pelo período necessário ao cumprimento das finalidades descritas nesta Política, observando os seguintes critérios:

Após os períodos indicados, os dados serão eliminados ou efetivamente anonimizados, salvo obrigação legal de retenção; registros retidos com identificador técnico continuam sendo tratados como dados pseudonimizados.

Dados de conta mantidos enquanto a conta estiver ativa. Quando o titular solicita a exclusão pela própria Plataforma (item 7.1), os campos identificadores do cadastro operacional são removidos imediatamente, sem prejuízo do ciclo restrito de cópias de segurança.
Dados regulatórios e relatórios mantidos pelo prazo exigido pela norma aplicável a cada documento e pelas instruções da empresa cliente controladora.
Registros de auditoria mantidos conforme a tabela de retenção contratual e a obrigação regulatória associada ao evento.
Logs de acesso mantidos pelo período legal aplicável, inclusive o mínimo previsto no Marco Civil da Internet quando a NeuroChem se enquadrar como provedora de aplicação para esse registro.
Registros de incidentes de segurança com dados pessoaismantidos por pelo menos 5 anos, conforme a regulamentação da ANPD.

10. Canal de Privacidade e Encarregado

Para questões relacionadas ao tratamento de dados pessoais, exercício de direitos ou dúvidas sobre esta Política, use nosso canal de privacidade. A identificação formal do encarregado e os dados societários completos devem ser confirmados nos documentos contratuais da sua conta.

NeuroChem SolutionsCanal de privacidade e exercício de direitoscontato@neurochem.com.br

11. Foro Competente

Esta Política de Privacidade é regida pelas leis da República Federativa do Brasil. Fica eleito o foro da comarca de São Paulo, Estado de São Paulo, como competente para dirimir quaisquer controvérsias decorrentes desta Política, com renúncia expressa a qualquer outro, por mais privilegiado que seja.