Política de Tratamento de Dados Pessoais — THOMAS by Bitsideas

Nota de redação: este documento é uma tradução da versão oficial em espanhol (`politica-de-privacidad.md`); em caso de divergência, prevalece a versão em espanhol, já que o direito colombiano é o marco base escolhido abaixo. Esta política toma como marco base a Lei 1581 de 2012 da Colômbia (seu decreto regulamentador, hoje compilado no Título 25 do Decreto Único Regulamentador 1074 de 2015, e a Circular Externa 002 de 2024 da SIC), por ser o regime mais desenvolvido neste texto e o país de origem regulatória do Serviço (ver Termos e Condições, cláusula 3.2). A Bitsideas LLC presta o Serviço a Clientes na Colômbia e em outros países da América Latina; a cláusula 2A explica como se aplica o regime colombiano frente a titulares na Colômbia e por que, para titulares em outros países, pode somar-se a lei local de proteção de dados aplicável — algo que deve ser revisado país por país à medida que a Bitsideas incorpore Clientes fora da Colômbia (México, Peru, Chile, Brasil e outros países da região têm cada um seu próprio regime, distinto entre si e do colombiano). A cláusula 5 desenvolve a transferência internacional que implica o próprio Responsável estar domiciliado nos Estados Unidos. Os dados de identificação da Bitsideas LLC foram obtidos de seu registro público perante a Florida Division of Corporations (Sunbiz.org, processo L21000359862) — verificar se continuam vigentes no momento da publicação. Fica pendente de verificação pela equipe da Bitsideas a determinação de se ela supera o limiar da SIC para o registro obrigatório no RNBD (cláusula 11). Recomenda-se uma revisão final por um advogado em cada país onde a Bitsideas tenha Clientes ativos antes da publicação.

Última atualização: 1º de novembro de 2026 Responsável pelo tratamento: Bitsideas LLC, sociedade de responsabilidade limitada constituída sob as leis do Estado da Flórida, Estados Unidos da América, EIN 61-2001549 (processo estadual L21000359862), com domicílio principal em 7630 NW 25 Street # 2B, Miami, FL 33122, Estados Unidos. Contato para temas de dados pessoais: [email protected]

1. Objeto

Esta política regula o tratamento dos dados pessoais que a Bitsideas LLC ("Bitsideas", "nós") coleta por meio da plataforma THOMAS by Bitsideas (o "Serviço"), prestado a empresas Cliente na Colômbia e em outros países da América Latina. Como marco geral, esta política estrutura-se sobre o regime de proteção de dados pessoais da Colômbia — a Lei 1581 de 2012, seu decreto regulamentador (compilado no Título 25, Parte 2, Livro 2 do Decreto 1074 de 2015) e as circulares da Superintendência de Indústria e Comércio (SIC) como autoridade de controle — por ser o país de origem regulatória do Serviço, sem prejuízo da normativa de proteção de dados que resulte igualmente aplicável no país de domicílio de cada Cliente conforme a cláusula 2A.

2A. Alcance territorial: Responsável domiciliado no exterior e Clientes em múltiplos países

A Bitsideas LLC é uma empresa constituída nos Estados Unidos, sem domicílio em nenhum país da América Latina. O regime de proteção de dados pessoais de cada país onde a Bitsideas oferece o Serviço aplica-se, em princípio, aos titulares localizados nesse país, porque o tratamento se realiza no contexto de oferecer bens ou serviços ali. Consequentemente:

• Quanto aos titulares na Colômbia (empresas Cliente colombianas e seus

trabalhadores), a Bitsideas assume as obrigações da Lei 1581 de 2012 e seus decretos regulamentadores nos mesmos termos que se estivesse domiciliada na Colômbia.

• Quanto aos titulares em outros países onde a Bitsideas tenha Clientes

ativos, pode resultar igualmente aplicável a lei local de proteção de dados pessoais (por exemplo, a LFPDPPP no México, a Lei de Proteção de Dados Pessoais no Peru, a Lei 19.628 no Chile, ou a LGPD no Brasil, cada uma com requisitos próprios e distintos entre si). A Bitsideas avaliará e documentará essa aplicabilidade país por país à medida que incorporar Clientes em cada jurisdição, e poderá complementar esta política com anexos locais quando necessário.

A Bitsideas designa como ponto de contato para todos esses efeitos o e-mail indicado no início desta política.

2. Perfis: Responsável vs. Operador do Tratamento

É importante distinguir dois perfis distintos, que coexistem na operação do Serviço:

• A Bitsideas LLC atua como Responsável pelo Tratamento quanto aos dados

das pessoas de contato da empresa cliente (nome, e-mail, cargo, telefone) coletados durante o cadastro, a relação comercial e o faturamento, bem como quanto aos dados de navegação do site público do THOMAS.

• A Bitsideas LLC atua como Operadora do Tratamento quanto aos dados que

cada empresa cliente (o "Cliente") insere sobre seus próprios trabalhadores, contratados e terceiros dentro do Serviço (observações de comportamento, incidentes, matriz de riscos, aptidão médica, licenças de condução, documentação de contratados, etc.). Neste segundo caso, o Cliente é o Responsável por esses dados e determina as finalidades de seu tratamento; a Bitsideas apenas os processa seguindo as instruções do Cliente, refletidas no uso normal das funcionalidades do Serviço, e nos termos do acordo de operação de tratamento constituído por esta política e pelos Termos e Condições.

Consequentemente, se você é trabalhador ou contratado de uma empresa que usa o THOMAS e tem dúvidas sobre seus próprios dados, deve dirigir-se em primeiro lugar a essa empresa (seu empregador ou contratante), e não diretamente à Bitsideas — ver seção 6.

3. Dados coletados

3.1. Dados da conta e de faturamento (Bitsideas como Responsável)

Nome da empresa, CNPJ/identificação tributária, nome, cargo, e-mail e telefone do administrador de conta e demais Usuários que o Cliente cadastre, histórico de assinatura e pagamentos (o pagamento é feito na Bitsideas One, por meio da Stripe, sem que a Bitsideas armazene números completos de cartão; o THOMAS não cobra nem recebe dados de cartão), endereço IP e registros técnicos de acesso para fins de segurança e auditoria.

3.2. Dados operacionais de SST (Bitsideas como Operadora, por instrução do Cliente)

Conforme os módulos que o Cliente use, isso pode incluir:

• Nome, documento de identidade, cargo, centro de trabalho e dados de

contato dos trabalhadores e contratados do Cliente.

• Observações de comportamento seguro/inseguro, com ou sem identificação do

observador (o módulo permite relatos anônimos).

• Investigação de incidentes e acidentes de trabalho, incluindo análise de

causa raiz e planos de ação.

• Aptidão médica, categoria e vigência de licença de condução (módulo de

Segurança Viária).

• Documentação de conformidade de empresas contratadas carregada por meio do

Portal de Autogestão de Contratados: afiliação a seguro de acidentes de trabalho, folhas de contribuição, apólices, matriz de EPI, certificados de indução e competências profissionais.

• Evidência fotográfica e documental associada a observações, incidentes ou

inspeções.

• Inventário de substâncias químicas e fichas de segurança (FISPQ/SDS), e

registros de disposição de resíduos perigosos, que podem incluir dados da pessoa que gerencia ou certifica a disposição.

Alguns desses dados — em particular os relacionados a saúde e aptidão médica — são considerados dados sensíveis sob o artigo 5 da Lei 1581 de 2012 e recebem proteção reforçada: só são tratados quando necessários para a finalidade do SG-SST do Cliente, seu tratamento não está sujeito à autorização da Bitsideas, mas à que o próprio Cliente obtenha de seus trabalhadores, e o Cliente é o único responsável por dispor dessa autorização antes de inseri-los na plataforma.

3.3. Dados do Portal de Autogestão de Contratados

Quando uma empresa contratada do Cliente usa o Portal de Autogestão (acesso por meio de link único, sem necessidade de criar conta — ver Termos e Condições, cláusula 3.4), os dados ali carregados são inseridos diretamente por essa empresa contratada e são tratados sob as mesmas regras da seção 3.2: o Cliente que contratou essa empresa é o Responsável por esses dados, e a Bitsideas atua como Operadora. O acesso a esse portal é protegido por meio de um token de posse único e limites de taxa de solicitações (rate limiting) para dificultar tentativas de acesso não autorizado.

3.4. Dados de navegação do site público

Ao visitar o site público do THOMAS (antes de efetuar login), coletam-se dados técnicos básicos de navegação (endereço IP, tipo de navegador, páginas visitadas) para fins de segurança, prevenção de abuso (limites de taxa de solicitações) e análise agregada do uso do site. Ver também a seção 10 sobre cookies.

4. Finalidades do tratamento

• Prestar o Serviço contratado (gestão do SG-SST, geração de indicadores,

relatórios regulatórios, notificações a supervisores e administradores).

• Processar pagamentos e gerir a assinatura e o faturamento.
• Enviar comunicações operacionais: lembretes de vencimento de licenças ou

documentos, notificações de incidentes ou solicitações pendentes de revisão, confirmações de pagamento e avisos de serviço.

• Prevenir fraude, abuso e acessos não autorizados à plataforma.
• Aprimorar e prestar suporte técnico ao Serviço.
• Cumprir obrigações legais e responder a requisições de autoridades

competentes.

5. Operadores de tratamento subcontratados pela Bitsideas

Para operar o Serviço, a Bitsideas utiliza os seguintes provedores, que atuam como suboperadores de tratamento sob instruções da Bitsideas e sujeitos a obrigações contratuais de confidencialidade e segurança:

Todos os provedores acima operam, total ou parcialmente, fora da Colômbia. Ademais, e de forma ainda mais relevante, a própria Bitsideas — como Responsável e Operadora do tratamento — está domiciliada nos Estados Unidos, de modo que a simples prestação do Serviço implica, na prática, uma transferência e transmissão internacional contínua dos Dados do Cliente para os Estados Unidos, nos termos do artigo 26 do Título 25 do Decreto 1074 de 2015. A Bitsideas assegura que essa transferência conte com uma base legal válida — principalmente, a execução do contrato de prestação de serviços entre o Cliente e a Bitsideas, que requer necessariamente o tratamento fora da Colômbia dada a natureza do Serviço — e aplica aos dados, independentemente do país onde sejam processados, as mesmas medidas de segurança descritas na cláusula 9. O Cliente, ao aceitar os Termos e Condições e contratar o Serviço, autoriza expressamente essa transferência e transmissão internacional como condição inerente à natureza do Serviço contratado.

5A. Assistentes de inteligência artificial conectados pelo Cliente

Nos planos Professional e Enterprise, um administrador do Cliente pode criar no THOMAS um ou mais servidores MCP (Model Context Protocol) e conectá-los a um assistente de inteligência artificial que o Cliente tenha escolhido e contratado por conta própria, como Claude (Anthropic, PBC), ChatGPT (OpenAI), Microsoft Copilot (Microsoft Corporation) ou Gemini (Google LLC).

Como funciona e quais dados saem do THOMAS:

• Cada pessoa autoriza a sua própria conexão: entra com a sua conta do Bitsideas

One e aceita uma tela de permissões. O assistente atua com as permissões dessa pessoa e só recebe informações dos módulos que o administrador habilitou no servidor e que essa pessoa pode ver de acordo com o seu plano, a sua função e os módulos que o Cliente lhe atribuiu.

• O assistente recebe as informações que o THOMAS entrega em resposta ao que a

pessoa pede, por exemplo uma lista de incidentes, a situação dos contratados ou os indicadores do painel. Essas informações podem conter dados pessoais de trabalhadores, contratados e motoristas, como nomes, cargos e números de identificação. Os números de identificação são entregues mascarados (apenas os quatro últimos dígitos), salvo se o administrador desativar essa opção.

• Dados de saúde não são entregues aos assistentes: não há acesso ao

absenteísmo; de um incidente não se entrega a pessoa afetada nem a incapacidade, e o relato é enviado sem os nomes e números de identificação registrados; de um motorista não se entregam a aptidão médica, as restrições nem o tipo sanguíneo.

• Um assistente só pode propor registros novos ou alterações (por exemplo, uma

observação, um incidente ou uma tarefa) quando o servidor e a função da pessoa o permitem. Nada é salvo até que a pessoa confirme, e o registro fica marcado como feito com um assistente de inteligência artificial, com o nome de quem o confirmou. Um assistente nunca aprova, exclui nem altera usuários ou funções.

• O administrador pode pausar ou excluir um servidor e retirar o acesso de

qualquer pessoa conectada a qualquer momento.

Quem responde por esses dados. Os fornecedores dos assistentes não são operadores nem suboperadores da Bitsideas: a Bitsideas não os escolhe, não os contrata para esta função nem lhes dá instruções. É o Cliente quem decide conectá-los, e a entrega de informações ao assistente é feita por instrução do Cliente, na qualidade de controlador. O que o fornecedor do assistente fizer com essas informações —onde as armazena, por quanto tempo e se as usa para treinar os seus modelos— rege-se pelo contrato e pelas condições entre o Cliente (ou os seus usuários) e esse fornecedor, que pode operar fora da Colômbia. Cabe ao Cliente verificar que dispõe de base legal para essa transmissão, informar os titulares quando exigível e escolher um serviço que ofereça garantias adequadas.

O que a Bitsideas trata para prestar esta função: os dados de cada conexão (servidor, pessoa, assistente e datas) e um registro de atividade que indica qual ferramenta foi usada, por quem e com que resultado, sem guardar o que foi pedido nem o que foi respondido. Esse registro é conservado por cento e oitenta (180) dias. As credenciais de acesso entregues ao assistente são guardadas como uma impressão criptográfica, nunca em texto claro.

6. Direitos dos titulares

Todo titular de dados pessoais tem direito a: conhecer, atualizar e retificar seus dados pessoais; solicitar prova da autorização concedida para seu tratamento; ser informado sobre o uso dado aos seus dados; apresentar reclamações perante a Superintendência de Indústria e Comércio (SIC) da Colômbia por infrações à lei; revogar a autorização e/ou solicitar a supressão do dado quando não exista dever legal ou contratual que o impeça; e acessar gratuitamente seus dados pessoais.

Se você é trabalhador, contratado ou terceiro cujos dados foram inseridos por uma empresa que usa o THOMAS, a solicitação para exercer esses direitos deve ser dirigida em primeiro lugar a essa empresa (seu empregador ou contratante), que é a Responsável por esses dados conforme a seção 2. A Bitsideas colaborará com o Cliente, em sua qualidade de Operadora, para atender a solicitação dentro dos prazos legais aplicáveis (quinze dias úteis para consultas e quinze dias úteis para reclamações, prorrogáveis conforme a lei).

Se sua solicitação se referir a dados dos quais a Bitsideas é Responsável direta (seção 3.1: dados de conta, faturamento ou navegação), você pode exercer seus direitos escrevendo para [email protected].

7. Autorização

O tratamento de dados pessoais pela Bitsideas fundamenta-se na autorização prévia, expressa e informada do titular, obtida:

• Diretamente pela Bitsideas, quanto aos dados da seção 3.1, mediante a

aceitação desta política durante o cadastro no Serviço; e

• Pelo Cliente, quanto aos dados das seções 3.2 e 3.3, como Responsável por

esses dados perante seus próprios trabalhadores e contratados — o Cliente declara e garante à Bitsideas, nos Termos e Condições, que dispõe dessa autorização antes de inserir a informação no Serviço, particularmente quando se trate de dados sensíveis conforme a seção 3.2.

8. Prazo de conservação

Os dados serão conservados enquanto a relação contratual com o Cliente estiver vigente e durante o tempo adicional necessário para atender obrigações legais, contábeis, fiscais ou de defesa jurídica. Em particular:

• Os Dados do Cliente são conservados durante a vigência da assinatura e até

trinta (30) dias após seu término, prazo dentro do qual o Cliente pode solicitar sua exportação (Termos e Condições, cláusula 11). Transcorrido esse prazo, são eliminados dos sistemas produtivos, sem prejuízo de sua permanência temporária em cópias de segurança criptografadas conforme a política de rotação de backups da Bitsideas.

• Determinados registros do SG-SST podem estar sujeitos a prazos mínimos de

conservação próprios da normativa setorial aplicável ao Cliente (por exemplo, os relacionados a prontuários médicos ocupacionais sob a Resolução 1995 de 1999 colombiana e normas que a modifiquem). O cumprimento desses prazos mínimos é responsabilidade do Cliente como Responsável por esses dados; o Cliente deve exportar a informação relevante antes de solicitar sua eliminação se precisar conservá-la por mais tempo do que o descrito no parágrafo anterior.

• Os dados de faturamento são conservados pelo prazo exigido pela normativa

contábil e tributária colombiana.

9. Segurança da informação

A Bitsideas implementa medidas técnicas e organizacionais razoáveis para proteger os dados pessoais tratados no Serviço, entre elas:

• Isolamento de dados por empresa mediante Segurança em Nível de Linha

(Row-Level Security) no motor de banco de dados PostgreSQL, de modo que nenhum Cliente pode acessar os dados de outro.

• Criptografia em repouso do disco onde reside o banco de dados (AES de 256

bits, gerenciada pelo Microsoft Azure) e criptografia em trânsito mediante TLS/HTTPS entre o navegador e o servidor.

• Acesso exclusivamente por meio do Bitsideas One (OpenID Connect), com segundo

fator obrigatório. O THOMAS não armazena senhas. Sessões assinadas criptograficamente.

• Registro de auditoria (audit trail) das operações de modificação sobre os

dados, e rotação automatizada de cópias de segurança.

• Limites de taxa de solicitações (rate limiting) sobre os pontos de acesso

públicos, incluindo o Portal de Autogestão de Contratados.

Nenhuma medida de segurança é infalível; diante de qualquer incidente de segurança que comprometa dados pessoais, a Bitsideas comunicará os Clientes afetados e, quando cabível conforme a lei, a SIC, sem dilação injustificada.

10. Cookies e tecnologias similares

O site do THOMAS utiliza cookies técnicos estritamente necessários para o funcionamento do Serviço, em particular para manter a sessão iniciada dos Usuários autenticados. Esses cookies não são usados para fins publicitários nem de rastreamento entre sites. Se no futuro forem incorporados cookies analíticos ou de terceiros, esta política será atualizada para informar sua finalidade e oferecer ao visitante a possibilidade de geri-los.

11. Registro Nacional de Bases de Dados (RNBD)

Conforme a Lei 1581 de 2012 e o Decreto 90 de 2018 (Colômbia), os Responsáveis pelo Tratamento cujas bases de dados superem os limiares fixados pela SIC devem inscrevê-las no Registro Nacional de Bases de Dados (RNBD). Ação pendente: verificar, antes de operar com dados reais, se a Bitsideas LLC supera esses limiares na data de publicação e, em caso afirmativo, completar o registro correspondente perante a SIC. Trata-se de uma determinação fática sobre o volume de dados da Bitsideas que nenhum texto contratual pode resolver por si só.

12. Menores de idade

O Serviço destina-se exclusivamente a empresas e a pessoas físicas maiores de idade que atuem em sua representação ou como seus trabalhadores. O THOMAS não se destina a menores de idade e não coleta intencionalmente dados de menores; caso o Cliente insira dados de um menor no contexto de uma relação de trabalho excepcionalmente permitida por lei, tal tratamento fica sujeito às garantias reforçadas do artigo 7 da Lei 1581 de 2012, sob responsabilidade do Cliente.

13. Alterações a esta política

A Bitsideas poderá atualizar esta política para refletir mudanças normativas ou no Serviço. As mudanças substanciais serão notificadas aos administradores de conta por e-mail com pelo menos quinze (15) dias corridos de antecedência à sua entrada em vigor.

14. Autoridade de controle e contato

Os titulares podem apresentar reclamações relacionadas ao tratamento de seus dados pessoais perante a Superintendência de Indústria e Comércio (SIC), como autoridade de controle em matéria de proteção de dados na Colômbia, uma vez esgotado o trâmite de consulta ou reclamação direta perante o Responsável correspondente (Bitsideas ou o Cliente, conforme a seção 6). Para contatar a Bitsideas sobre temas de dados pessoais: [email protected].