Privacidade, biometria e jornada

O VelloPonto é contratado por uma empresa empregadora. Os dados tratados aqui pertencem a ela, que é a controladora; a Vellow Sistemas atua como operadora, tratando os dados conforme a instrução dela.

Esta página descreve o que o software faz — não o que a empresa pretende fazer. Cada afirmação abaixo corresponde a um comportamento verificável do sistema.

O dado mais sensível deste sistema é o rosto

Dado biométrico é dado pessoal sensível (LGPD, art. 5º, II). É o item mais delicado que um sistema de ponto trata, e por isso ele tem regras próprias aqui:

O sistema guarda o TEMPLATE, nunca a fotografia. O template é uma representação matemática do rosto — um vetor de números. Ele serve para comparar e não reconstrói a imagem. A distinção não é retórica: uma base de fotografias de pessoas identificáveis é outra coisa, com outro risco, e este sistema não a mantém.
O consentimento fica gravado por extenso, junto do template. Não é um campo "aceitou: sim" em outra tabela, e não é um ponteiro para "o termo atual": é o texto que a pessoa leu, congelado, com data e IP. Um ponteiro provaria o termo de hoje — e o que se precisa provar é o de então.
Revogar apaga o vetor. LGPD art. 18, VI. Não é uma mudança de status: o template é removido, e o banco de dados recusa uma linha revogada que ainda o guarde. A linha permanece — vazia — como prova de que a biometria existiu, de quando saiu e por quê.
O próprio titular pode revogar. É o ponto do artigo: consentimento que só o RH consegue retirar não é consentimento livre.
Os templates são isolados por empresa e nunca deixam a base dela. Não há base compartilhada entre clientes, e nenhum template é usado para qualquer finalidade fora do registro de ponto daquela empresa.
A foto da marcação tem prazo. O hash da imagem fica no registro para sempre — é ele que prova qual imagem era. A imagem em si é descartada no prazo que a empresa configura. Retenção sem prazo é exatamente o que a lei chama de excessivo.

Sobre a verificação facial

O VelloPonto compara templates, isola por empresa, guarda o consentimento e apaga na revogação. A extração do vetor a partir do rosto — o reconhecimento propriamente dito, com prova de vida — é feita por um provedor especializado, escolhido pelo cliente. Enquanto esse provedor não estiver configurado, a tela de registro exibe um aviso dizendo, com todas as letras, que a verificação do rosto não está ativa. Dizer isso na tela é melhor do que deixar a empresa acreditar numa trava que não existe.

Localização

A posição é registrada no momento da batida, e só nele. O sistema não rastreia trajeto, não acompanha o aparelho entre uma marcação e outra, e não guarda histórico de deslocamento. O que fica é a coordenada de cada registro, a precisão informada pelo aparelho e a distância até a cerca — os três números de que alguém precisa para conferir se a pessoa estava onde deveria estar naquele instante.

A margem de erro do GPS conta a favor de quem bate. Um ponto trinta metros fora da cerca com precisão de ±cinquenta metros é considerado dentro, porque a alternativa é recusar quem está do lado de dentro do portão — e deixá-lo sem registro de uma jornada que cumpriu.

O que cada perfil enxerga

O colaborador vê o próprio ponto e mais nada. Não é conveniência de tela: não existe rota na API que entregue a ele o espelho de outra pessoa. Espelho de ponto diz a que horas alguém chega, quando falta, quando fica até tarde e quando está de atestado — é rotina de vida, não dado corporativo.

O gestor enxerga a equipe dele, resolvida pela hierarquia real — não a filial inteira. O RH enxerga a empresa. O administrador configura a estrutura. E toda leitura sensível, toda decisão e toda exportação ficam na trilha, com nome, data e hora.

Direitos do titular

Acesso (art. 18, II). O sistema exporta, num arquivo, tudo que guarda sobre uma pessoa: cadastro, marcações com hash e comprovante, solicitações, ausências, banco de horas e benefícios — mais o registro de que existe uma biometria, quando foi coletada e com que termo. O próprio colaborador pede o dele, e a exportação fica na trilha.
O template facial NÃO vai no arquivo de exportação. Ele não é legível por pessoa, e devolvê-lo em texto num arquivo que circula por e-mail é o oposto de proteger dado sensível. O que se informa é que ele existe, quando foi coletado e sob qual termo.
Revogação do consentimento (art. 18, VI e IX). Descrita acima: apaga o vetor.
Correção. Dado cadastral se corrige. Marcação de ponto não — e isso é a favor do trabalhador, não contra. O registro é a prova da jornada dele; um sistema em que o empregador consegue editá-lo devolve ao empregador exatamente o poder que a Portaria 671/2021 quis tirar. A correção é feita por acréscimo: um ajuste aprovado cria um registro novo, e o antigo continua visível, riscado, com o motivo e o nome de quem decidiu.

Retenção

Registros de jornada seguem o prazo legal de guarda do empregador — a Portaria 671/2021 e a CLT, hoje, apontam para cinco anos após o encerramento do contrato de trabalho. A empresa contratante define a política; o sistema não apaga marcação por conta própria, e não poderia: a tabela recusa exclusão.

Onde os dados ficam

Em servidor no Brasil, com acesso por login, tráfego cifrado e trilha de auditoria. Cada empresa tem a própria base; nada é compartilhado entre clientes, e nada é usado para nenhuma finalidade fora da operação da própria empresa.

Contato

Para exercer qualquer direito, fale primeiro com o RH da sua empresa — ela é a controladora. Para questões sobre o sistema: contato@vellowsistemas.com.br · (41) 99155-8119.

Vellow Sistemas · CNPJ 68.606.958/0001-64 · voltar ao site