Política de Privacidade — Plataforma AX2HUB

Versão 2026-09-17 · Última atualização: 17 de setembro de 2026 · versões anteriores

Esta Política descreve como a JCoelho Desenvolvimento de Software Ltda (CNPJ 47.155.144/0001-80, "JCoelho"), operadora da plataforma AX2HUB, trata dados pessoais, em conformidade com a Lei nº 13.709/2018 (LGPD).

Índice: 1. Papéis · 2. Dados coletados · 3. Finalidades e bases legais · 4. Compartilhamento · 5. Transferência internacional · 6. Retenção · 7. Direitos · 8. Segurança e incidentes · 9. Encarregado · 10. Alterações

1. Papéis no tratamento

Dados de Pessoas Cadastradas das empresas clientes (equipe cadastrada, Registro de Horas): a empresa cliente é a controladora — decide por que e como esses dados são tratados — e a JCoelho é a operadora, tratando os dados em nome dela e conforme suas instruções documentadas.
Dados de contato de fornecedores convidados a cotações e as respostas por eles enviadas, bem como dados pessoais presentes em comprovantes de entrega digitalizados: a empresa cliente que cadastrou ou enviou esses dados é a controladora; a JCoelho é a operadora.
Dados de Administradores e de cobrança (cadastro da conta, assinatura, pagamentos, suporte): a JCoelho é a controladora.

2. Quais dados coletamos

2.1. Cadastro da conta (Administrador)

Nome, telefone (WhatsApp), cidade, tipo de serviço prestado pela empresa e CPF/CNPJ. Para empresas assinantes: endereço da empresa e e-mail de faturamento, usados na cobrança e na emissão de nota fiscal.

2.2. Assistente do WhatsApp

Mensagens trocadas com o assistente (texto, áudios, fotos de cupons e notas fiscais, fotos da obra enviadas junto do boletim diário, PDFs) e metadados de entrega, necessários para executar os comandos solicitados — lançar gastos, registrar progresso, registrar o boletim do dia, pedir materiais.

2.3. Equipe (cadastrada pelo Administrador)

Nome, telefone, CPF, natureza do vínculo declarada pela empresa cliente, empresa terceirizada à qual a pessoa está vinculada (quando houver), custo-hora e certificações de treinamento em segurança do trabalho (NRs) com suas datas de validade, incluindo os arquivos dos respectivos documentos.

2.3.1. Dado pessoal sensível — saúde ocupacional (ASO)

A Plataforma registra a data de validade do Atestado de Saúde Ocupacional (ASO) e armazena o arquivo do atestado enviado pela empresa cliente, para controle de vencimento e para comprovação da aptidão da pessoa perante quem a exija.

Trata-se de dado pessoal sensível referente à saúde (art. 5º, II, LGPD), tratado com base no art. 11, II, "a", da LGPD — cumprimento de obrigação legal e regulatória pela empresa cliente, nos termos da NR-7 e do Programa de Controle Médico de Saúde Ocupacional — e, quanto à comprovação perante o contratante da obra, no art. 11, II, "d" (exercício regular de direitos em contrato).

Quem vê o arquivo. Além do Administrador da empresa cliente, o arquivo do ASO é exibido nas páginas públicas de conformidade da obra — acessadas por link com token pelo contratante da obra e pela empresa terceirizada responsável pela pessoa —, porque é ele quem exige e confere a documentação da equipe em campo. A empresa cliente, na condição de controladora, é responsável por essa decisão de compartilhamento e por informar previamente os titulares.

Alternativa de minimização. A empresa cliente pode configurar qualquer tipo de documento do seu catálogo — inclusive o ASO — para guardar apenas a data de validade, sem armazenar o arquivo. Nessa configuração, o documento enviado não é persistido e somente a validade permanece.

A Plataforma não extrai, não interpreta e não indexa o conteúdo clínico do atestado: não registra resultado de exame, restrição, diagnóstico ou exame complementar como dado autônomo. O acesso é controlado por organização e o campo de validade é registrado em log de auditoria.

É contratualmente vedado às empresas clientes inserir na Plataforma quaisquer outros dados pessoais sensíveis.

2.4. Registro de Horas

CPF e PIN. O PIN é armazenado apenas em formato irreversível (hash).
A cada marcação: fotografia (selfie), localização geográfica (latitude, longitude e precisão, somente no momento da marcação — não há rastreamento contínuo nem coleta em segundo plano), data e hora, e a obra selecionada.

Sobre a fotografia. A imagem é armazenada como arquivo e destina-se exclusivamente à conferência visual pelo Administrador da empresa cliente. A Plataforma não extrai template biométrico, não realiza reconhecimento facial, não compara automaticamente fotografias entre si e não utiliza as imagens para treinamento de sistemas de inteligência artificial. Por essa razão, a fotografia é tratada como dado pessoal comum, e não como dado biométrico.

2.5. Cobrança

Dados de assinatura e pagamento, processados pela Asaas. Dados completos de cartão não transitam nem ficam armazenados na Plataforma.

2.6. Cotação eletrônica (fornecedores convidados)

Nome e telefone (WhatsApp) da pessoa de contato do fornecedor, cadastrados pela empresa cliente para envio de pedidos de cotação e ordens de compra.
Respostas enviadas pelo fornecedor no formulário acessado por link individual, sem login: preços, disponibilidade, marca ofertada, frete, prazo, observações comerciais, dúvidas e confirmações de pedido.
Registro de eventual pedido de descadastramento.

2.7. Comprovantes de entrega (digitalização)

Imagens e PDFs de comprovantes de entrega (canhotos de nota fiscal) enviados pela empresa cliente, que podem conter nome e assinatura de quem recebeu a mercadoria, além dos dados extraídos automaticamente (número da nota, destinatário, data).

A assinatura eventualmente constante do documento não é extraída, analisada, digitalizada como dado autônomo nem utilizada para qualquer finalidade de identificação. A empresa cliente é contratualmente responsável por não enviar documentos que contenham dados pessoais sensíveis.

2.8. Dados técnicos, cookies e ferramentas de análise

Cookies essenciais: endereço IP, identificadores de navegador (user agent) e cookies de sessão, necessários ao funcionamento e à segurança da Plataforma. Não dependem de consentimento.
Cookies de análise e publicidade (mediante consentimento): no site institucional e no painel administrativo, utilizamos Google Analytics 4 (métricas de uso e funil) e Meta Pixel (mensuração de campanhas), carregados somente após consentimento específico dado no banner de cookies, por finalidade — é possível aceitar análise e recusar publicidade, ou recusar ambas. Recusar é tão simples quanto aceitar, na mesma tela.
A tela de Registro de Horas e as páginas públicas de resposta de cotação não possuem nenhuma dessas ferramentas — nenhum dado de Pessoa Cadastrada ou de fornecedor convidado é enviado a serviços de análise ou publicidade.
Revogação: o consentimento pode ser revogado a qualquer momento pelo link "Preferências de cookies", no rodapé das páginas do site, do painel administrativo e dos documentos legais — as demais superfícies não carregam essas ferramentas, como descrito acima. A revogação não afeta o funcionamento da Plataforma. Registramos data, hora, versão do banner e escolha efetuada, como prova do consentimento (art. 8º, §2º, LGPD).
A relação completa de cookies, com nome, finalidade e duração, está em https://app.ax2hub.com/cookies.

2.9. Dados de crianças e adolescentes

A Plataforma não se destina ao cadastro de pessoas menores de 18 anos. Caso a empresa cliente, na condição de controladora, cadastre adolescente aprendiz ou estagiário, cabe exclusivamente a ela observar o art. 14 da LGPD e a legislação sobre trabalho do adolescente.

3. Para que usamos (finalidades e bases legais)

3.1. Registro de Horas e gestão de equipe

A base legal varia conforme o vínculo declarado pela empresa cliente, que é a controladora:

Situação	Base legal
Empregados da empresa cliente	Execução do contrato de trabalho do qual o titular é parte (art. 7º, V) e legítimo interesse da empresa cliente na apropriação de custos por obra (art. 7º, IX)
Profissionais autônomos contratados diretamente	Execução do contrato de prestação de serviços do qual o titular é parte (art. 7º, V)
Pessoas vinculadas a empresas terceirizadas ou subcontratadas	Legítimo interesse da empresa cliente no controle de acesso às obras sob sua responsabilidade e na apuração de custos (art. 7º, IX), cabendo a ela e à empresa contratada informar previamente os titulares
ASO e documentos de saúde ocupacional	Cumprimento de obrigação legal e regulatória pela empresa cliente (art. 11, II, "a") e, quanto à comprovação perante o contratante da obra, exercício regular de direitos em contrato (art. 11, II, "d")

Em nenhuma dessas hipóteses o tratamento se destina ao cumprimento da obrigação de controle de jornada do art. 74 da CLT, que depende de sistema próprio, mantido pela empresa cliente. O Registro de Horas não é Registrador Eletrônico de Ponto.

A fotografia e a localização na marcação destinam-se a evidenciar a execução do serviço na obra e a apurar horas e custos, com fundamento nas bases acima. O titular pode se opor ao tratamento fundado em legítimo interesse, na forma do art. 18, §2º, dirigindo-se à empresa cliente.

3.2. Demais finalidades

Prestar o serviço contratado (gestão de obras, relatórios, assistente de WhatsApp) — execução de contrato (art. 7º, V).
Enviar pedidos de cotação e ordens de compra a fornecedores convidados e coletar suas respostas — execução de contrato, em relação à empresa cliente, e legítimo interesse (art. 7º, IX) quanto ao contato comercial indicado pela cliente para tratativa entre empresas, com direito de descadastramento a qualquer tempo.
Digitalizar e organizar comprovantes de entrega, com leitura automatizada dos dados por inteligência artificial — execução de contrato.
Cobrança e gestão da assinatura — execução de contrato e cumprimento de obrigação legal e fiscal.
Registro de aceites, logs de segurança e registros de acesso a aplicações (IP, user agent, identificador de mensagem) — cumprimento de obrigação legal (art. 15 da Lei nº 12.965/2014) e exercício regular de direitos.
Suporte e melhoria da Plataforma — legítimo interesse, com dados minimizados.
Prevenção a fraude e segurança da informação — legítimo interesse e exercício regular de direitos.
Métricas de uso, melhoria do funil de cadastro e mensuração de publicidade (Google Analytics 4 e Meta Pixel, no site e no painel administrativo) — consentimento (art. 7º, I), revogável a qualquer momento.

3.3. Decisões automatizadas

Perímetro da obra. Cada obra tem um perímetro configurado pela empresa cliente (coordenada e raio). A marcação tentada fora desse perímetro — ou em obra ainda sem perímetro cadastrado — é automaticamente recusada pela Plataforma, e nenhum registro de horas é criado. A pessoa é informada na própria tela da distância em que se encontra da obra e pode tentar novamente ao se aproximar.

A recusa decorre exclusivamente da comparação entre a localização informada pelo aparelho e o perímetro configurado pela empresa cliente; não há avaliação de conduta, de desempenho ou de perfil da pessoa, e a recusa não altera nem invalida horas já registradas. Horas efetivamente prestadas e não registradas por essa razão devem ser lançadas manualmente pelo Administrador da empresa cliente, com justificativa registrada em trilha de auditoria.

Direito de revisão (art. 20, LGPD). O titular pode solicitar revisão da recusa à empresa cliente, que é a controladora e a única com poder de lançar as horas. A JCoelho, como operadora, presta o suporte técnico necessário e fornece os registros da tentativa quando existirem.

Demais processamentos. O processamento por inteligência artificial descrito nesta Política — extração, transcrição e classificação de informações — não produz decisão automatizada: o resultado é sugestão de preenchimento, sempre sujeita a conferência humana pela empresa cliente.

4. Com quem compartilhamos (suboperadores)

Compartilhamos dados apenas com fornecedores necessários à operação da Plataforma:

Suboperador	Finalidade	País
Twilio Inc.	Envio e recebimento das mensagens de WhatsApp	Estados Unidos
Asaas Gestão Financeira S.A.	Processamento de pagamentos	Brasil
Anthropic PBC	Processamento automatizado, por IA, de mensagens e imagens enviadas ao assistente (ex.: extração de itens de cupom fiscal)	Estados Unidos
Render Services, Inc.	Hospedagem da aplicação e do banco de dados	Estados Unidos
Cloudflare, Inc.	Armazenamento dos arquivos enviados à Plataforma (Cloudflare R2), incluindo fotos do Registro de Horas, áudios e fotos do boletim diário, imagens de cupons e notas e arquivos de documentos da equipe	Estados Unidos
Google LLC	(a) Processamento automatizado por IA (Google Gemini) de áudios, imagens e documentos — ex.: transcrição do boletim diário e leitura de comprovantes de entrega; (b) métricas de uso do site e do painel (Google Analytics 4), mediante consentimento	Estados Unidos
Meta Platforms, Inc.	Mensuração de campanhas de publicidade (Meta Pixel) no site e no painel, mediante consentimento	Estados Unidos

Os dados enviados aos provedores de inteligência artificial (Anthropic e Google) são utilizados exclusivamente para processar a solicitação da empresa cliente e não são utilizados para treinamento de modelos, conforme os termos comerciais de uso de API celebrados com cada um deles.

Não vendemos nem cedemos dados pessoais para fins de publicidade.

Dados também podem ser compartilhados por obrigação legal ou por ordem de autoridade competente. Sempre que legalmente permitido, comunicaremos previamente a empresa cliente controladora.

Alteração de suboperadores. Alterações na lista acima serão comunicadas às empresas clientes com antecedência mínima de 30 (trinta) dias, facultada a objeção fundamentada, nos termos do Anexo I.

5. Transferência internacional de dados

Parte dos suboperadores acima está sediada nos Estados Unidos, país que não é objeto de decisão de adequação da Autoridade Nacional de Proteção de Dados (ANPD).

As transferências internacionais são realizadas com fundamento no art. 33, II, "b", da LGPD, mediante cláusulas-padrão contratuais aprovadas pela ANPD na forma da Resolução CD/ANPD nº 19/2024, incorporadas aos instrumentos celebrados com cada suboperador.

As transferências limitam-se ao mínimo necessário para as finalidades descritas nesta Política.

6. Por quanto tempo guardamos

Categoria	Prazo
Registros do Registro de Horas (CPF, data, hora, obra, coordenadas)	Durante o contrato; após, disponíveis para exportação por 90 dias. A guarda pelos prazos trabalhistas e fiscais é ônus da empresa cliente controladora, sobre a base exportada
Fotografias das marcações	12 (doze) meses contados da marcação, findos os quais a imagem é eliminada. Os demais dados da marcação (data, hora, obra, coordenadas) permanecem pelo prazo da linha anterior
Certificações, documentos de habilitação e ASO	Durante o contrato e enquanto vigentes; após, na forma da primeira linha
Mensagens do assistente	Enquanto necessárias à prestação do serviço e à auditoria dos lançamentos gerados
Cotações, ordens de compra e comprovantes de entrega	Durante o contrato, como histórico comercial e fiscal da empresa cliente; após, regra geral de encerramento
Registros de aceite dos Termos e desta Política	Enquanto durar a relação e pelos prazos prescricionais
Registros de consentimento de cookies	5 (cinco) anos, como prova do consentimento (art. 8º, §2º, LGPD)
Registros de acesso a aplicações de internet	6 (seis) meses, no mínimo, nos termos do art. 15 da Lei nº 12.965/2014
Registros de incidentes de segurança	5 (cinco) anos, nos termos do art. 10 da Resolução CD/ANPD nº 15/2024
Dados de cobrança e documentos fiscais	Pelos prazos da legislação fiscal aplicável à JCoelho, na condição de controladora
Após o encerramento da conta	90 (noventa) dias para reativação e exportação; findo o prazo, eliminação ou anonimização, ressalvadas as hipóteses de guarda legal acima

Importante. A JCoelho, como operadora, não mantém arquivo de longo prazo em nome das empresas clientes. Cabe a cada empresa cliente exportar e guardar, sob sua responsabilidade, os dados sujeitos a prazos legais de retenção — notadamente os registros que possam ser necessários à defesa em demandas trabalhistas, cujo prazo de exposição pode alcançar 5 (cinco) anos contados até 2 (dois) anos após o término da relação (art. 7º, XXIX, da Constituição Federal). As fotografias das marcações são eliminadas após 12 meses: a empresa cliente que precise conservá-las por mais tempo deve exportá-las dentro desse prazo.

7. Seus direitos (art. 18, LGPD)

O titular pode solicitar, a qualquer momento e sem custo:

confirmação da existência de tratamento;
acesso aos dados;
correção de dados incompletos, inexatos ou desatualizados;
anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
portabilidade a outro fornecedor, mediante requisição expressa;
eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses de guarda legal;
informação sobre entidades públicas e privadas com as quais houve compartilhamento;
informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
revogação do consentimento;
oposição a tratamento fundado em hipótese de dispensa de consentimento, em caso de descumprimento da lei (art. 18, §2º);
revisão de decisões automatizadas (art. 20);
peticionar à ANPD contra o controlador (art. 18, §1º) e reclamar aos organismos de defesa do consumidor.

A quem dirigir o pedido

Administradores e empresas clientes: diretamente à JCoelho, pelo canal do item 9.
Pessoas Cadastradas de empresas clientes: a controladora dos seus dados é a empresa para a qual você trabalha ou presta serviços — o nome e o contato dela são exibidos na tela de Registro de Horas. Direcione o pedido a ela. A JCoelho, como operadora, dará o suporte necessário ao atendimento.
Fornecedores convidados e pessoas identificadas em comprovantes de entrega: a controladora é a empresa cliente que cadastrou o contato ou enviou o documento. A JCoelho, como operadora, dará o suporte necessário.

Prazos de resposta

Quanto aos dados de que é controladora, a JCoelho responde de forma imediata e simplificada ou, quando a resposta exigir declaração clara e completa, em até 15 (quinze) dias contados da requisição (art. 19, I e II, LGPD).

Quanto aos dados de que é operadora, a JCoelho auxilia a empresa cliente controladora em até 10 (dez) dias úteis do repasse do pedido, para que ela cumpra o prazo legal.

8. Segurança e incidentes

8.1. Medidas adotadas

Criptografia em trânsito (HTTPS) em todas as comunicações.
PIN e credenciais armazenados apenas em formato irreversível (hash).
Isolamento lógico de dados por organização — cada empresa cliente acessa somente os próprios dados.
Controle de acesso por perfil e princípio do menor privilégio.
Registro auditável de alterações em marcações de horas, com justificativa obrigatória.
Registro de eventos de acesso e de operações sensíveis.
Cópias de segurança periódicas.
Compromisso de confidencialidade do pessoal com acesso a dados pessoais.

8.2. Incidentes de segurança

Identificado incidente de segurança que possa acarretar risco ou dano relevante, a JCoelho:

comunica a empresa cliente controladora em até 48 (quarenta e oito) horas do conhecimento de que o incidente afetou dados pessoais, com as informações necessárias para que ela cumpra o prazo de 3 (três) dias úteis previsto nos arts. 6º e 9º da Resolução CD/ANPD nº 15/2024;
comunica a ANPD e os titulares, no mesmo prazo, quanto aos dados de que é controladora;
mantém registro do incidente pelo prazo mínimo de 5 (cinco) anos;
adota as medidas de contenção, mitigação e reversão cabíveis.

O procedimento detalhado consta do Anexo I.

9. Encarregado (DPO) e contato

Encarregado pelo tratamento de dados pessoais: Jaison Renato Coelho
Canal exclusivo: privacidade@ax2hub.com
Endereço: Rua Tufie Mahfud, nº 150, Sala 01 Box 34, Centro, Jaraguá do Sul/SC, CEP 89251-080.

Autoridade Nacional de Proteção de Dados (ANPD): www.gov.br/anpd

10. Alterações desta Política

Alterações relevantes serão comunicadas pela Plataforma com antecedência mínima de 30 (trinta) dias e, quando exigirem, novo aceite será solicitado. As versões anteriores permanecem publicamente acessíveis em https://app.ax2hub.com/termos/versoes.

Documentos relacionados: Termos de Uso · Anexo I — Tratamento de Dados Pessoais · Aviso de Privacidade do Registro de Horas · Cookies