Política de Privacidade — Auvo CMMS

MINUTA SUJEITA A REVISÃO JURÍDICA. Este texto foi redigido pela equipe de produto da Auvo e ainda não foi revisado por advogado. Enquanto essa revisão não for concluída, ele não tem validade como documento oficial de privacidade e não deve ser apresentado como versão final a clientes, titulares ou à ANPD. O inventário de dados abaixo, porém, foi levantado a partir do sistema real — não é modelo genérico.

Versão: 2026-08-23.3 · Vigência a partir de: 23/08/2026 · Idioma: português do Brasil (única versão publicada nesta data)

---

1. Do que trata este documento

O Auvo CMMS é um sistema de gestão de manutenção usado por empresas para organizar ordens de serviço, ativos, equipes de campo e estoque. Esta Política explica quais dados pessoais o sistema trata, para quê, com quem são compartilhados, por quanto tempo ficam e quais direitos o titular tem.

Ela cobre a aplicação web, o aplicativo móvel, a API pública e o portal público de abertura de chamados.

2. Quem é controlador e quem é operador

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD) separa quem decide o tratamento (controlador) de quem executa por conta do controlador (operador). No Auvo CMMS os dois papéis existem ao mesmo tempo, e é importante não confundi-los:

Consequência prática: se você é técnico, gestor ou solicitante de uma empresa que usa o Auvo CMMS, quem decide sobre os seus dados operacionais é o seu empregador ou contratante, não a Auvo. Pedidos sobre esses dados são encaminhados a ele — a Auvo coopera e dá o suporte técnico necessário (seção 8).

3. Que dados pessoais o sistema trata

O inventário abaixo descreve o que o sistema efetivamente armazena. Nem todo cliente usa todos os módulos: campos de módulos não utilizados permanecem vazios.

3.1. Identificação e contato do usuário

Nome, nome completo, nome de exibição, e-mail, telefone, foto de perfil, idioma preferido, cargo, matrícula, tipo de registro, departamento, data de admissão e de desligamento, jornada diária, habilidades, limite diário de ordens de serviço e custo por hora.

3.2. Documentos de identificação e dados cadastrais sensíveis

CPF, RG e órgão emissor, data de nascimento, gênero, tipo sanguíneo, nome e telefone de contato de emergência, e endereço residencial completo (logradouro, número, complemento, bairro, cidade, estado e CEP).

Tipo sanguíneo é dado pessoal sensível (dado referente à saúde, art. 5º, II da LGPD). O campo existe para uso em emergência em campo e só deve ser preenchido pelo cliente se houver base legal para isso.

3.3. Documentos ocupacionais e de saúde ocupacional

O módulo de conformidade guarda, por colaborador, documentos com validade: ASO (Atestado de Saúde Ocupacional), NR-10, NR-35, certificações e demais documentos definidos pelo cliente. De cada um são registrados apenas os metadados: número, órgão emissor, data de emissão, data de validade, situação (válido, a vencer, vencido), observações, quem cadastrou e quem verificou.

O arquivo digitalizado não é enviado nem armazenado. O sistema não oferece envio do documento em si — não há essa função na aplicação web, no aplicativo nem na API. O que existe são os campos de metadados listados acima.

O ASO é dado pessoal sensível de saúde. O sistema não armazena o resultado clínico do exame nem o atestado em si — mas a existência e a validade do atestado são, por si, dados de saúde. O tratamento se apoia no cumprimento de obrigação legal e regulatória do empregador em segurança e saúde do trabalho (art. 11, II, "a" da LGPD).

O sistema também registra verificações de conformidade: quando um técnico é impedido de executar uma ordem de serviço por documento vencido, ficam gravados o motivo, quem verificou, e — se houve liberação excepcional — quem liberou e com que justificativa.

3.4. Localização geográfica do técnico

Este é o tratamento mais sensível do produto e merece descrição literal. Quando o rastreamento está ativo, o aplicativo envia e o sistema armazena:

• latitude, longitude, altitude, precisão, rumo e velocidade;
• data e hora da coleta e do recebimento;
• identificador do aparelho, tipo de rede, nível de bateria e se está carregando;
• tipo de atividade detectada (parado, caminhando, em veículo) e modo de rastreamento em uso;
• vínculo com a ordem de serviço e o local que estavam sendo atendidos;
• entradas e saídas de cercas virtuais (geofences) definidas pelo cliente;
• a última posição conhecida de cada técnico, exibida no mapa ao vivo;
• resumo diário: distância percorrida, minutos em movimento, parado, em trânsito, em local e atendendo ordens de serviço, número de visitas e de registros de entrada e saída.

Consentimento: o rastreamento depende de consentimento do técnico, registrado com a versão do termo aceito, o resumo (hash) do texto exibido, o endereço IP, a identificação do aparelho e a data e hora. O consentimento pode ser revogado — a revogação também fica registrada, com data e hora.

Trilha de acesso: consultar o rastro de outra pessoa deixa registro de quem consultou, de quem, e em que período (art. 37 da LGPD).

Janela e limites: o cliente configura horário permitido de rastreamento, intervalos de coleta, limites de bateria abaixo dos quais a coleta reduz ou para, e os prazos de retenção (seção 6).

3.5. Assinatura de ordem de serviço

Ao concluir um atendimento, a Plataforma coleta assinatura do cliente e do técnico. De cada assinatura ficam gravados:

• a imagem da assinatura manuscrita, armazenada no serviço de arquivos;
• nome, número do documento (CPF ou CNPJ) e cargo de quem assinou;
• data e hora da assinatura, sempre gerada pelo servidor.

Checklists executados em campo também podem conter assinatura do técnico e do revisor.

Como o arquivo é servido: na configuração de produção recomendada, o repositório de arquivos é público e o endereço gravado para cada foto, anexo ou assinatura é permanente e não exige autenticação — quem obtiver o endereço abre o arquivo. O endereço não é adivinhável (a chave contém identificador aleatório), mas também não expira. Vale para todos os arquivos da seção 3.6.

3.6. Fotos, arquivos e texto livre de campo

Fotos de campo anexadas a ordens de serviço e a chamados, arquivos anexados (fotos, PDFs, planilhas), respostas de checklist, comentários, apontamentos de horas trabalhadas, laudos e manuais de ativo.

Texto livre e fotos são imprevisíveis: podem conter rosto de pessoas, placa de veículo, crachá ou informação de saúde. O cliente, como controlador, deve orientar seus usuários sobre o que registrar.

3.7. Solicitante do portal público

O portal de abertura de chamados é acessível sem login. De quem abre um chamado são coletados: nome, e-mail, telefone, departamento, descrição do problema, fotos anexadas e a identificação do local ou ativo (inclusive por leitura de QR Code).

Rastreio do chamado: o acompanhamento é consultado informando o código do chamado e o e-mail do solicitante, que viajam no endereço da consulta (query string). O e-mail funciona como a credencial dessa consulta e, por viajar no endereço, aparece nos registros técnicos de acesso e de monitoramento (seção 3.14).

3.8. Veículos, ausências e capacidade

Placa, estado de emplacamento, RENAVAM, modelo, fabricante, ano, cor, quilometragem, validade do CRLV, seguradora e apólice do veículo do colaborador; e períodos de férias, afastamento e treinamento, com datas e observações, usados no cálculo de capacidade da equipe.

O motivo detalhado de um afastamento pode revelar dado de saúde. O campo de observação é livre e o cliente deve evitar registrar informação clínica.

3.9. Autenticação e segurança

Resumo criptográfico (hash) da senha — a senha em texto nunca é armazenada —, identidades de login federado (Google e Microsoft), data do último acesso, tokens de redefinição de senha, tokens de notificação push do aparelho e chaves de API criadas pelo cliente, com registro de uso.

3.10. Registros de acesso e trilha de auditoria

Cada alteração relevante é registrada com quem fez, o que mudou, quando, de qual endereço IP e com qual navegador ou aplicativo. Esses registros existem para segurança, apuração de incidentes e cumprimento do art. 15 do Marco Civil da Internet.

O que "o que mudou" guarda: depende da operação. Na criação de um registro, a trilha grava a cópia integral do registro criado; na alteração, apenas os campos alterados — e a exclusão lógica, adotada nas entidades principais (seção 7), é registrada como alteração, gravando apenas o carimbo de exclusão. Na eliminação definitiva a partir da lixeira, a trilha guarda apenas quem eliminou, o quê e quando, sem cópia do registro eliminado; a cópia integral do registro apagado existe somente nas entidades que não têm exclusão lógica e são apagadas diretamente. No cadastro de um usuário, a cópia gravada na criação inclui CPF, RG, data de nascimento, endereço e o resumo criptográfico da senha — ou seja, existe uma segunda cópia desses campos fora da tabela de usuários. São descartados apenas campos de arquivo, imagem e conteúdo muito extenso.

Retenção: a trilha de auditoria não tem expurgo automático. Diferente dos pontos de GPS, das notificações e dos registros de uso da API pública, nada apaga registro antigo de auditoria — eles permanecem por prazo indeterminado (seção 6).

3.11. Uso da inteligência artificial

O produto usa modelos de IA de terceiro (seção 5.2) em funções com regimes diferentes. Ler apenas o título "IA" e supor que nada sai sem contratação seria errado:

(a) Correção ortográfica — integra a base e vem LIGADA por padrão. Não depende de contratar add-on algum e não pede aceite do usuário. Ela envia ao fornecedor do modelo, como escrito, o texto de:

• respostas de texto livre de checklist — campos de texto curto e de parágrafo — e as observações de qualquer campo do checklist, quando o checklist é concluído;
• comentários de ordem de serviço criados pelo aplicativo, na sincronização do celular.

Não são enviados por essa função: título, descrição e solução da ordem de serviço, dados de chamado, nem comentário escrito pela aplicação web.

Não há filtro de dados pessoais nesse envio. O texto do técnico vai íntegro. Se ele escrever nome, CPF, telefone ou endereço na observação de um checklist, esse conteúdo vai junto.

Como desligar: por ambiente, com a variável AI_SPELLCHECK_ENABLED=false; por empresa, em Configurações. Não há desligamento individual pelo técnico. Enquanto os dois interruptores estiverem ligados e houver credencial do fornecedor configurada no ambiente, a correção roda para todas as empresas daquele ambiente — inclusive as que nunca contrataram nenhum módulo de IA.

(b) Agente de IA e IA de Manuais — add-ons, desligados até a contratação. Contratado o add-on, as perguntas do usuário e os dados necessários para respondê-las são enviados ao fornecedor do modelo (seção 5). Ficam registradas a conversa, as mensagens, as ferramentas acionadas e os contadores de consumo.

Nesse caminho — e apenas nele — o conteúdo que as ferramentas de leitura devolvem passa por um filtro que remove os campos de CPF, CNPJ, RG, e-mail, telefone, endereço, CEP, data de nascimento, número de documento e valores financeiros, e trunca em 500 caracteres os campos de texto livre conhecidos. O nome da pessoa permanece — sem ele o agente não consegue responder "quantas ordens o João tem" nem atribuir tarefa a alguém. O filtro age por nome de campo: o que estiver escrito dentro de um texto livre não é removido, apenas cortado no limite.

3.12. Pesquisa de satisfação e notificações

Respostas de pesquisa NPS, preferências de notificação e o histórico de avisos enviados ao usuário.

3.13. Aceite destes documentos

Ao aceitar os Termos de Uso, esta Política ou o DPA na Plataforma, ficam registrados: usuário, empresa, qual documento, qual versão, o resumo SHA-256 do texto exibido, data e hora, endereço IP e identificação do navegador ou aplicativo.

3.14. Registros técnicos de operação e monitoramento de erros

Para operar a plataforma e diagnosticar falhas, a Auvo mantém registros técnicos da aplicação e um serviço externo de monitoramento de erros (seção 5.2). Neles:

• o e-mail do usuário aparece em texto claro em alguns eventos — login, login federado, criação de usuário, criação de um novo ambiente com seu primeiro administrador, envio da pesquisa de satisfação e pedido de redefinição de senha, este último registrado mesmo quando o endereço informado não corresponde a nenhuma conta;
• o monitoramento de erros recebe o endereço completo da requisição, inclusive a query string, o que pode incluir o e-mail informado no rastreio de chamado (seção 3.7);
• o único conteúdo removido antes de gravar é o cabeçalho de autorização da requisição.

Esses registros servem apenas à operação e ao diagnóstico, e o acesso a eles é restrito ao pessoal técnico da Auvo.

4. Para que os dados são usados e com que base legal

O que a Auvo não faz: não vende dados pessoais, não faz publicidade comportamental, não cria perfis para terceiros e não usa os dados do cliente para treinar modelos de inteligência artificial.

5. Com quem os dados são compartilhados

5.1. Dentro da empresa cliente

O sistema é multiempresa e cada ambiente é isolado no banco de dados. Dentro de um ambiente, o acesso depende do papel e das permissões que o próprio cliente configurou — inclusive o recorte por loja ou unidade, que limita o gestor a ver apenas os locais aos quais está vinculado.

5.2. Fornecedores que tratam dados por conta da Auvo (suboperadores)

A lista acima reflete os fornecedores presentes no sistema nesta data e deve ser confirmada e mantida pela Auvo: [PREENCHER: confirmação formal da lista de suboperadores e das respectivas localidades de tratamento]. A relação vigente e as regras para inclusão de novo suboperador estão no DPA.

5.3. Outros compartilhamentos

• Autoridades, mediante ordem judicial ou requisição legal — com informação ao cliente sempre que a lei permitir.
• Entre empresas conectadas na rede prestador ↔ tomador, quando o próprio cliente cria a conexão e define as regras de compartilhamento. Nesse caso o compartilhamento é ato do cliente, não da Auvo.
• Sucessão empresarial, em caso de reorganização societária, mantidas as obrigações desta Política.
• Link público de ordem de serviço, quando um usuário do cliente o gera para mostrar o atendimento a terceiro. Quem tiver o endereço abre a ordem sem login e vê, além do histórico e dos anexos, o nome, o cargo e o número do documento (CPF/CNPJ) de quem assinou. O prazo de validade do link é opcional: se não for informado na criação, o link não expira. Ele pode ser desativado a qualquer momento por quem o criou.

5.4. Transferência internacional

Parte dos fornecedores acima trata dados fora do Brasil. Essas transferências se apoiam nas hipóteses do art. 33 da LGPD, com cláusulas contratuais e garantias de segurança nos contratos com cada fornecedor: [PREENCHER: instrumento de transferência internacional adotado com cada fornecedor].

6. Por quanto tempo os dados ficam guardados

Auditoria: nenhum processo apaga registro de auditoria hoje. Definir um prazo aqui exige antes construir a rotina de expurgo — enquanto ela não existir, qualquer número escrito nesta linha seria falso. Prazo a definir junto com a implementação: [PREENCHER: prazo de retenção da auditoria — depende de implementar a rotina de expurgo; mínimo de 6 meses pelo Marco Civil].

Eliminação após o término do contrato: não existe processo automático que apague o ambiente de um cliente encerrado — não há sequer registro da data de término no sistema. A eliminação é ato manual de operação da Auvo, executado mediante solicitação. Enquanto não for solicitada e executada, os dados permanecem em produção.

Quando executada, a eliminação alcança também as cópias de segurança, no ciclo normal de rotação de backups. Ficam ressalvados os dados cuja guarda seja obrigatória por lei.

Exclusão antecipada de localização: o titular pode solicitar, dentro do próprio sistema, a exclusão dos seus dados de GPS antes do prazo de retenção.

7. Segurança

Medidas técnicas e organizacionais adotadas:

• tráfego criptografado em trânsito (TLS);
• senhas armazenadas, na tabela de usuários, apenas como resumo criptográfico com salt (bcrypt) — a senha em texto nunca é gravada. Atenção à seção 3.10: a trilha de auditoria guarda uma segunda cópia desse resumo;
• isolamento entre empresas: toda tabela do banco tem identificador da empresa e toda consulta da aplicação filtra por ele — é esse filtro, sozinho, que sustenta o isolamento hoje. Há políticas de isolamento provisionadas no próprio banco de dados, mas elas estão inertes em todas as rotas: para passarem a valer, a aplicação precisa conectar ao banco com um usuário de acesso restrito que ainda não foi habilitado, e o usuário em uso não é alcançado por elas. Enquanto essa troca não for feita, essas políticas não bloqueiam nada;
• controle de acesso por papel e por permissão, com escopo por local para gestores de unidade;
• chaves de API com escopo por recurso e limite de requisições, com registro de uso;
• trilha de auditoria com IP e identificação do dispositivo;
• exclusão lógica com lixeira e restauração, antes da eliminação definitiva;
• monitoramento de erros e alertas de disponibilidade;
• filtro que remove dados pessoais e valores financeiros do conteúdo devolvido pelas ferramentas do Agente de IA antes do envio ao fornecedor do modelo. Esse filtro não alcança a correção ortográfica, que envia o texto como escrito (seção 3.11);
• arquivos (fotos, anexos, assinaturas) recebem chave com identificador aleatório; na configuração de produção recomendada, porém, o endereço é público e permanente, sem autenticação (seção 3.5).

Nenhum sistema é imune. Em caso de incidente de segurança relevante, a Auvo comunica o cliente (controlador) em prazo curto, nos termos do DPA, para que ele avalie a comunicação à ANPD e aos titulares.

8. Direitos do titular (art. 18 da LGPD)

Todo titular pode, a qualquer momento e gratuitamente:

1. confirmar se há tratamento de seus dados;
2. acessar os dados;
3. corrigir dados incompletos, inexatos ou desatualizados;
4. pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
5. pedir a portabilidade a outro fornecedor, mediante requisição expressa;
6. pedir a eliminação dos dados tratados com base em consentimento, ressalvadas as hipóteses de guarda obrigatória do art. 16;
7. ser informado sobre com quem os dados foram compartilhados;
8. ser informado sobre a possibilidade de não consentir e sobre as consequências da negativa;
9. revogar o consentimento — em especial o do rastreamento de localização, revogável no próprio aplicativo;
10. opor-se a tratamento feito com base em legítimo interesse;
11. pedir revisão de decisão automatizada que afete seus interesses.

O que a exportação em autoatendimento entrega

O administrador do ambiente pode baixar, em Configurações, um arquivo estruturado (JSON) com o conteúdo da empresa. Ele não é completo, e é honesto dizer o que cobre e o que não cobre.

Cobre: usuários, locais, ativos e leituras de medidor, ordens de serviço e seus comentários, chamados e seus comentários, materiais, movimentações de estoque, fornecedores, pedidos de compra, documentos de colaborador, verificações de conformidade e a trilha de auditoria.

Fica de fora, entre outros: respostas de checklist, fotos e anexos, dados de GPS, apontamentos de horas, ausências, veículos e planos de manutenção preventiva. Cada coleção é limitada a 20.000 registros; o próprio arquivo indica quais foram cortadas.

Cuidado com o conteúdo do arquivo: ele inclui a trilha de auditoria crua e, portanto, entrega a quem baixa o que ela guarda — inclusive CPF, RG, endereço e o resumo criptográfico da senha de quem foi cadastrado (seção 3.10). O arquivo traz uma nota afirmando que segredos foram excluídos por segurança; essa nota não corresponde ao conteúdo entregue.

Como exercer

• Se você é usuário de uma empresa cliente (técnico, gestor, solicitante): o controlador dos seus dados operacionais é essa empresa. Procure o setor responsável dela. Se preferir escrever à Auvo, encaminharemos ao controlador e daremos o apoio técnico necessário.
• Se o pedido é sobre dados em que a Auvo é controladora (cadastro do contratante, faturamento, registros de acesso e aceites), escreva ao encarregado.

Encarregado pelo Tratamento de Dados Pessoais (DPO): [PREENCHER: nome e canal do encarregado (DPO)]

Prazo de resposta: até 15 (quinze) dias, conforme art. 19, II da LGPD. Pode ser necessário confirmar sua identidade antes de atender ao pedido — justamente para não entregar seus dados a outra pessoa.

Você também pode reclamar à ANPD — Autoridade Nacional de Proteção de Dados (www.gov.br/anpd).

9. Cookies e armazenamento local

A aplicação web usa cookie de sessão e armazenamento local do navegador para manter o usuário autenticado e guardar preferências de interface (idioma, tema, filtros). São estritamente necessários ao funcionamento; sem eles não é possível permanecer logado.

O produto não usa cookies de publicidade, de rede social nem de análise comportamental de terceiros.

O aplicativo móvel armazena dados no aparelho para funcionar sem conexão — inclusive ordens de serviço, fotos e pontos de GPS ainda não sincronizados. Sair da conta no aplicativo apaga esse armazenamento local.

10. Crianças e adolescentes

O Auvo CMMS é um sistema corporativo e não se destina a menores de 18 anos. A Auvo não coleta conscientemente dados de crianças e adolescentes.

11. Alterações desta Política

Cada versão publicada tem número de versão, data de vigência e resumo SHA-256 do texto integral. Mudanças relevantes são comunicadas na Plataforma. O histórico de versões e o aceite de cada usuário ficam registrados.

12. Contato

• Encarregado (DPO): [PREENCHER: nome e canal do encarregado (DPO)]
• Controlador — dados de cadastro e faturamento: [PREENCHER: razão social, CNPJ e endereço]