Política de privacidade

Versão de 8 de setembro de 2026 · minuta

Esta é uma minuta. O texto foi escrito a partir do que o sistema de fato trata — campo a campo, prazo a prazo — e ainda não passou por advogado. Não use como documento definitivo antes dessa revisão.

Quem trata os seus dados, e em que papel

Isto importa antes de tudo, porque muda quem responde pelo quê. Existem dois papéis na Lei Geral de Proteção de Dados: o controlador, que decide o tratamento, e o operador, que trata por conta do controlador.

Dos dados de jornada dos empregados, o controlador é a empresa empregadora. Ela decide registrar o ponto, ela é obrigada a isso pela CLT, e é dela a folha. O Pontu é operador: trata esses dados seguindo instrução dela e não os usa para finalidade própria.
Dos dados de quem contrata o Pontu, o controlador é o Pontu. Isso é o cadastro da conta, o e-mail de acesso, a assinatura e a cobrança.

Na prática: se você é empregado e quer exercer um direito sobre as suas batidas, o pedido é para a sua empresa — e nós atendemos o que ela instruir. Se você é quem contratou, o pedido é para nós.

Que dados são tratados

De quem bate o ponto

Nome e CPF. O CPF é exigido pela Portaria MTP 671/2021 no arquivo fiscal.
Matrícula do eSocial, data de admissão e fuso horário do vínculo, quando a empresa informa.
Cada batida: o instante em que foi marcada, o instante em que foi gravada no servidor, o fuso, o número sequencial, o código de verificação, se veio por celular ou computador e se foi feita sem internet.
Localização, apenas no instante da batida — e só quando o aparelho permite. Nunca contínua, nunca entre uma batida e outra.
Uma fotografia da batida, se a empresa ligar essa conferência. Detalhe abaixo.

De quem usa o sistema

Nome, e-mail e senha — a senha guardada apenas como resumo criptográfico, nunca em texto.
Sessões de acesso, para você continuar logado e para nós encerrarmos acesso suspeito.

Da empresa

Razão social e CNPJ (ou CAEPF/CNO), que vão dentro do arquivo fiscal.
Plano, faturas e cobranças.

Para que, e com qual base legal

Tratamento	Base legal	Fundamento
Registrar a jornada e emitir os arquivos exigidos	Obrigação legal e regulatória	LGPD art. 7º, II · CLT art. 74 · Portaria MTP 671/2021
Manter a sua conta e a sua sessão	Execução de contrato	LGPD art. 7º, V
Guardar no aparelho o acesso, o tema e a fila de batidas offline	Execução de contrato	LGPD art. 7º, V
Fotografia da batida, para conferência humana	Legítimo interesse	LGPD art. 7º, IX
Localização no instante da batida	Legítimo interesse	LGPD art. 7º, IX
Cobrar a assinatura e emitir documento fiscal	Execução de contrato e obrigação legal	LGPD art. 7º, V e II
Medir uso e desempenho do aplicativo	Consentimento, revogável	LGPD art. 7º, I e art. 8º, §5º

Sobre a fotografia da batida, com o raciocínio inteiro

A base é o legítimo interesse, e não o consentimento — de propósito. Consentimento colhido pelo empregador não é livre no sentido do art. 5º, XII: quem depende do salário não recusa em condições de igualdade. Chamar aquilo de consentimento seria dar ao tratamento uma aparência de escolha que ele não tem.

O balanceamento pesa a favor porque a medida é mínima: uma imagem por batida, guardada 90 dias, para uma pessoa olhar quando uma batida é contestada — e nada é extraído dela. A batida vale com ou sem foto, e você vê as suas próprias imagens na sua conta.

É por isso que ela não é dado sensível. Fotografia de rosto vira dado biométrico quando é processada para identificar unicamente alguém: gerando um template, comparando com outra, reconhecendo. Nada disso existe neste produto, então o art. 11 não se aplica. Você pode se opor ao tratamento (art. 18, §2º) — o caminho é falar com a sua empresa, que é a controladora.

O que este produto não faz

Vale dizer pelo negativo, porque é o que costuma preocupar e é o que decidimos não construir:

Nenhuma biometria. Sem template facial, sem comparação de imagens, sem reconhecimento.
Nenhum rastreamento contínuo. A localização é lida no instante da batida e em nenhum outro.
Nenhum cookie nosso. O que o Pontu guarda no seu aparelho está descrito acima e não sai dele. Aceitando a medição de uso, o Google passa a gravar cookies dele — _ga e semelhantes. É o único item desta lista que depende de uma escolha sua, e recusar já é o padrão.
Nenhuma venda de dado, nenhum uso para publicidade.
Nenhuma decisão automatizada sobre a sua pessoa. O sistema calcula horas; quem decide é gente.

Por quanto tempo

Cada prazo tem um motivo escrito, e o que passa dele é apagado por rotina automática — não por alguém lembrar.

O que	Prazo	Por quê
Batidas, correções e a apuração do dia	5 anos do fim do vínculo	Constituição art. 7º, XXIX · CLT art. 11 · Súmula 338 do TST
Arquivos fiscais assinados	5 anos	A assinatura é de um instante que não volta; não são refazíveis
Espelho e comprovante em PDF	90 dias	Refazíveis a partir das batidas
Fotografia da batida	90 dias	Só serve para conferir contestação recente
Sessões encerradas	30 dias	Investigar acesso suspeito é da mesma semana
Pedidos de recuperação de senha	7 dias	Tabela mais sensível, e inútil depois de vencida
Convites de acesso já usados	90 dias	Auditoria de quem deu acesso a quem
Faturas e cobranças	5 anos	Obrigação fiscal e contábil
Conta de teste que ficou vazia	90 dias após o teste	Não há o que guardar

Com quem os dados são compartilhados

Apenas com quem é necessário para o serviço funcionar, e cada um só com o que precisa:

Armazenamento de arquivos, para guardar PDF e fotografia.
Envio de e-mail, para recuperação de senha e convite de acesso.
Meio de pagamento, para cobrar a assinatura.
Órgãos públicos, quando a fiscalização do trabalho exigir o arquivo, que é justamente a finalidade dele.
Medição de uso, se e enquanto você aceitar — detalhe na seção seguinte.

A relação nominal dos nossos fornecedores fica em [preencher: página ou anexo com a lista de operadores].

Transferência para fora do Brasil

Só existe uma, e ela depende de você: se aceitar a medição de uso, os dados de navegação tratados por ela vão para servidores do Google fora do país, com fundamento no art. 33 da LGPD. Recusando, nada sai do Brasil por esse caminho. Os dados de jornada não são transferidos para fora em nenhuma hipótese.

A sua escolha sobre medição de uso

A medição nos diz quais telas travam e quais fluxos as pessoas abandonam. Ela não é necessária para bater ponto, então fica desligada até você dizer que sim — e você pode desligar aqui, quando quiser, com o mesmo clique.

Aceitando, entra o Firebase Analytics do Google: ele grava cookies próprios no seu navegador e recebe qual tela você abriu, quando, e dados do aparelho e da região. O nome da tela é redigido antes de sair — duas rotas deste aplicativo têm token no endereço, e nenhum trecho de endereço que não esteja numa lista de permissão é enviado. Nunca vão CPF, nome, e-mail nem qualquer dado de jornada.

Medição de uso desligada

Os seus direitos, e onde há um limite

O art. 18 da LGPD te dá, sobre os seus dados:

Confirmação de que existe tratamento, e acesso ao que existe.
Correção de dado incompleto, inexato ou desatualizado.
Anonimização, bloqueio ou eliminação de dado desnecessário ou tratado fora da lei.
Portabilidade.
Informação sobre com quem compartilhamos.
Revogação do consentimento — no caso da medição, no botão acima.
Oposição a tratamento fundado em legítimo interesse.

O limite, dito com franqueza: uma batida de ponto não pode ser apagada a pedido. Ela é o registro da sua jornada e a sua prova numa eventual reclamação trabalhista — guardá-la por cinco anos é obrigação legal, e o art. 16 da LGPD autoriza essa conservação. O banco de dados recusa apagar ou alterar uma batida até para nós: correção é um registro novo, com quem pediu, quem aprovou e por quê. Isso protege você tanto quanto protege a empresa.

Segurança

Senhas guardadas como resumo criptográfico. Tráfego cifrado. Cada consulta de conteúdo filtrada pela empresa, para que dado de uma nunca alcance outra. Batidas com código de verificação em cadeia: alterar uma quebra todas as seguintes, e isso é verificável de fora, a partir do arquivo entregue.

Encarregado pelo tratamento de dados

O art. 41 da LGPD exige um encarregado identificado e um canal de contato. São [preencher: nome do encarregado] e [preencher: e-mail de contato].

O controlador é [preencher: razão social], [preencher: CNPJ], com sede em [preencher: endereço].

Mudanças nesta política

Quando ela mudar, a data no alto muda com ela. Se a mudança afetar a finalidade ou a base legal de algo, avisamos por e-mail antes de valer — e, no que depender de consentimento, perguntamos de novo em vez de reaproveitar o antigo.