Política de privacidade
Explica quais dados pessoais a Six Ocupacional Ltda. trata no site atestadix.com.br e na plataforma Atestadix, para quê, com quem os compartilha, por quanto tempo os guarda e como você exerce os seus direitos, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018).
1. Quem somos e a quem esta política se aplica
O Atestadix é um sistema de controle e verificação de atestados médicos para empresas, de titularidade da Six Ocupacional Ltda., CNPJ 59.925.740/0001-81, com sede em Rua Izaac Ferreira da Cruz, 2035, Sítio Cercado, Curitiba/PR, CEP 81900-000 ("Six Ocupacional", "nós").
Esta política se aplica a quem:
- visita o site atestadix.com.br, solicita uma demonstração ou assina o guia mensal;
- usa a plataforma app.atestadix.com.br, seja como colaborador que envia um atestado, como pessoa das empresas-clientes (RH, gestão e administradores) ou como médico e profissional de saúde credenciado;
- é identificado em um atestado enviado à plataforma, como o médico emitente e a instituição de saúde.
2. Nossos papéis: controladora e operadora
A LGPD distingue quem decide sobre o tratamento (controlador) de quem trata os dados em nome de outro (operador). Atuamos nos dois papéis, conforme o caso:
- Como controladora: dos dados tratados no site (demonstração, guia mensal e segurança do site), das contas de acesso à plataforma, dos registros de uso e segurança da plataforma e dos dados dos profissionais de saúde credenciados.
- Como operadora: dos dados dos colaboradores e dos atestados que a empresa-cliente ou o próprio colaborador insere na plataforma. Nesse caso, a empresa-cliente é a controladora, define as finalidades e a base legal do tratamento e nos dá instruções por contrato, conforme o art. 39 da LGPD. Pedidos dos colaboradores sobre esses dados são atendidos com a empresa-cliente (item 11).
Os médicos que fazem a homologação de atestado e emitem o parecer estão sujeitos ao sigilo profissional previsto no Código de Ética Médica e respondem pelo próprio ato.
3. Quais dados tratamos
3.1 Visitantes e interessados (site)
- Estatísticas de visita ao site: páginas visitadas, origem da visita, tipo de aparelho, navegador e país, em números agregados, sem cookies e sem identificar você.
- Pedido de demonstração: nome, e-mail, empresa, WhatsApp, porte, área de atuação, plano de interesse e, se você escrever, a dúvida sobre atestados.
- Guia mensal: e-mail, data e hora da confirmação da inscrição e o endereço de origem do pedido.
- Dados técnicos de acesso: endereço IP e informações do navegador, tratados para entregar o site, limitar envios automatizados e proteger contra abusos.
3.2 Plataforma
- Colaboradores: cadastro informado pela empresa ou por você (nome, CPF, data de nascimento, matrícula, função, setor, data de admissão e e-mail); o arquivo do atestado (foto ou PDF) e o que nele está escrito (datas, dias de afastamento, diagnóstico pelo código do CID, nome e registro do médico, instituição de saúde); as respostas dadas no envio (se o atestado decorre de acidente de trabalho ou de trajeto) e o aceite do termo, com versão, data e hora; informações técnicas do arquivo (modelo do aparelho, programa usado e data de criação, sem a localização exata, de que guardamos apenas se a foto foi tirada no Brasil); dados do certificado digital, quando o atestado é um PDF assinado com certificado ICP-Brasil; histórico de atestados informado pela empresa; e a avaliação do médico do trabalho, quando houver.
- Pessoas das empresas-clientes: nome, e-mail, perfil de acesso e empresa; senha guardada de forma irreversível; e o registro das ações feitas na plataforma, inclusive tentativas de acesso.
- Médicos e profissionais de saúde credenciados: nome, e-mail, número e UF do registro profissional (CRM ou equivalente), especialidade e a identificação que acompanha a assinatura dos pareceres.
- Médicos e instituições identificados nos atestados: nome, CRM e UF do médico, nome e CNPJ da instituição, conferidos em bases públicas oficiais.
- Médico emitente que confirma a autoria: e-mail de contato e a resposta dada pelo link de uso único.
Dados sobre saúde são dados pessoais sensíveis (art. 5º, II, da LGPD) e recebem as proteções descritas nos itens 4 a 6 e 10.
4. Finalidades e bases legais
4.1 Site
| Finalidade | Base legal |
|---|---|
| Responder ao pedido de demonstração e agendar a conversa | Procedimentos preliminares relacionados a contrato, a pedido do titular (art. 7º, V) |
| Enviar o guia mensal, com confirmação da inscrição por e-mail | Consentimento (art. 7º, I), que pode ser revogado a qualquer momento pelo link de cancelamento de cada e-mail |
| Medir, de forma agregada, quais páginas são mais lidas, para melhorar o conteúdo e a navegação do site | Legítimo interesse (art. 7º, IX) |
| Segurança do site, limitação de envios automatizados e prevenção de abusos | Legítimo interesse (art. 7º, IX) |
| Guarda de registros e comprovação do consentimento | Cumprimento de obrigação legal (art. 7º, II) e exercício regular de direitos (art. 7º, VI) |
4.2 Plataforma
Como operadora, tratamos os dados conforme as instruções da empresa-cliente. As bases legais abaixo são as que, em regra, sustentam cada finalidade; a escolha final cabe à controladora, que as informa a seus colaboradores.
| Finalidade | Base legal usual |
|---|---|
| Receber o atestado, conferir sua validade e registrar o afastamento | Cumprimento de obrigação legal ou regulatória (art. 11, II, a) e exercício regular de direitos em contrato de trabalho (art. 11, II, d) |
| Homologação do atestado por médico, quando necessária | Tutela da saúde, em procedimento realizado por profissional de saúde (art. 11, II, f) |
| Identificar atestados adulterados ou reaproveitados e preservar a prova | Exercício regular de direitos, inclusive em processo judicial, administrativo ou arbitral (art. 11, II, d) |
| Organizar dados do afastamento e do acidente de trabalho para as obrigações da empresa, como as do eSocial | Cumprimento de obrigação legal ou regulatória (art. 11, II, a) |
| Contas de acesso, avisos por e-mail e registros de segurança | Execução de contrato (art. 7º, V), obrigação legal (art. 7º, II) e legítimo interesse (art. 7º, IX) |
No envio do atestado, o colaborador aceita um termo que documenta a ciência sobre o tratamento. Esse aceite não é a única base legal, e a recusa em aceitá-lo não impede o cumprimento de obrigação legal: o colaborador pode entregar o atestado diretamente ao RH da empresa. Não usamos dados pessoais para publicidade nem os vendemos.
5. Dados de saúde e quem vê cada informação
- Médicos credenciados veem as informações clínicas necessárias à homologação, inclusive o diagnóstico com a descrição do CID.
- O RH e a gestão da empresa-cliente veem os dados de cadastro do colaborador, a situação do atestado, as ressalvas da conferência, a orientação do médico sobre o afastamento e o código do CID, sem a descrição. Também podem abrir o arquivo original do atestado, que pode trazer o diagnóstico escrito pelo médico, como ocorre com o atestado entregue em papel.
- O colaborador vê seus dados de cadastro e a situação de cada atestado enviado.
- A equipe do Atestadix não acessa informações clínicas sem credencial médica.
O acesso é organizado por perfil, cada pessoa vê o que a sua função exige e todo acesso a informações clínicas fica registrado, com quem acessou e quando. O diagnóstico e as informações clínicas são guardados criptografados.
6. Tratamento automatizado e revisão humana
A plataforma faz uma análise automática de cada atestado: lê o documento, confere datas e prazos, procura sinais de adulteração e consulta bases públicas. O resultado é uma indicação que orienta quem decide. Algumas providências são automáticas, como o pedido de novo envio quando o arquivo não é legível e o encaminhamento do caso a um médico quando regras definidas se aplicam.
A plataforma não declara um atestado falso nem recusa um afastamento por si só. A conclusão é sempre de uma pessoa: o médico, quando há homologação, ou a empresa-cliente. Você pode pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses (art. 20 da LGPD) pelos canais do item 11 e pode solicitar informações claras sobre os critérios e os procedimentos utilizados.
7. Com quem compartilhamos
Compartilhamos dados apenas na medida necessária às finalidades acima e sempre sob contrato que limita o uso ao serviço contratado.
7.1 Fornecedores de infraestrutura e serviços
| Serviço | Fornecedor | O que recebe |
|---|---|---|
| Hospedagem da aplicação | Render (Estados Unidos) | Dados tratados pela plataforma durante o processamento |
| Banco de dados | Neon (Estados Unidos) | Cadastros, atestados, avaliações e registros |
| Armazenamento de arquivos, entrega e proteção do site e login administrativo | Cloudflare | Arquivos dos atestados, dados técnicos de acesso, estatísticas agregadas de visitas ao site e e-mail dos administradores |
| Interface web da plataforma | Vercel (Estados Unidos) | Páginas acessadas e dados técnicos de acesso |
| E-mails transacionais e avisos de formulários | Resend (Estados Unidos) | Nome, e-mail, protocolo e links de envio. Os e-mails da plataforma não contêm diagnóstico |
| Guia mensal | Brevo (União Europeia) | E-mail do inscrito e dados da confirmação da inscrição |
| Leitura do atestado por inteligência artificial | Anthropic, OpenAI, Google, Microsoft e Cloudflare, conforme o serviço em uso | A imagem do atestado, para extração do texto, sem finalidade de treinamento de modelos |
| Carimbo de tempo do arquivo | DigiCert e FreeTSA | Somente uma impressão digital matemática do arquivo, que não permite reconstruí-lo nem identificar pessoas |
7.2 Bases públicas oficiais
Para conferir o médico e a instituição que emitiram o atestado, consultamos o Conselho Federal de Medicina (CRM e UF), o Cadastro Nacional de Estabelecimentos de Saúde (CNES), dados públicos de CNPJ e a infraestrutura de certificação digital (ICP-Brasil). Quando o atestado traz QR code, acessamos o endereço nele indicado. Nessas consultas não enviamos dados do colaborador.
7.3 Médico emitente
Quando a empresa-cliente pede a confirmação de autoria, enviamos ao médico que consta no atestado, por link de uso único, o nome do paciente, a data do atestado e os dias de afastamento, para que ele confirme se o emitiu. Não enviamos o diagnóstico.
7.4 Empresa-cliente, médicos credenciados e autoridades
Com a empresa-cliente e com os médicos credenciados, nos limites do item 5. Com autoridades, quando houver obrigação legal, ordem judicial ou requisição de autoridade competente. As informações do eSocial são organizadas para que a empresa-cliente as lance; a plataforma não as transmite ao governo.
8. Transferência internacional de dados
Parte dos fornecedores do item 7 trata dados fora do Brasil, principalmente nos Estados Unidos, e o serviço de guia mensal é prestado a partir da União Europeia. Essas transferências observam o art. 33 da LGPD e a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD), incluindo a Resolução CD/ANPD nº 19/2024, por meio de cláusulas contratuais com os fornecedores que exigem nível de proteção compatível com o da lei brasileira. Você pode pedir informações sobre as garantias aplicadas pelos canais do item 16.
9. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Pedido de demonstração | Até 12 meses após o último contato, salvo se resultar em contrato |
| Inscrição no guia mensal | Até o cancelamento. O registro da confirmação do consentimento é mantido pelo prazo necessário para comprová-lo |
| Registros de acesso e de ações na plataforma | No mínimo 6 meses, como exige o art. 15 do Marco Civil da Internet, e pelo prazo de segurança definido pela administração da plataforma |
| Atestados, avaliações médicas, cadastros e histórico | Durante o contrato com a empresa-cliente e, depois dele, pelos prazos legais e prescricionais das obrigações trabalhistas, previdenciárias e de saúde e segurança do trabalho. A eliminação ocorre por instrução da empresa-cliente ou ao fim desses prazos, ressalvadas as hipóteses de conservação do art. 16 da LGPD |
Dados do site e da plataforma que deixem de ser necessários são eliminados ou anonimizados. Podemos manter cópias de segurança pelo período necessário à continuidade do serviço.
10. Segurança e incidentes
- Conexões criptografadas entre o seu aparelho e o site ou a plataforma.
- Diagnóstico e informações clínicas guardados criptografados.
- Acesso por perfil e registro de quem acessou ou alterou cada informação, com os registros protegidos contra alteração.
- Prova de integridade de cada arquivo recebido, com carimbo de tempo.
- Senhas guardadas de forma irreversível, sessões com prazo de validade, links de envio que expiram e verificação em duas etapas para perfis administrativos e médicos.
- Limites de tentativas, detecção de acessos anômalos e área administrativa protegida por login.
Em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos a empresa-cliente, a ANPD e os titulares afetados, nos termos do art. 48 da LGPD.
11. Seus direitos e como exercê-los
Nos termos do art. 18 da LGPD, você pode pedir, a qualquer momento:
- confirmação de que tratamos seus dados e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
- portabilidade dos dados, observados os segredos comercial e industrial;
- eliminação dos dados tratados com base no consentimento, quando não houver outra base legal para mantê-los;
- informação sobre as entidades com as quais compartilhamos seus dados;
- informação sobre a possibilidade de não fornecer consentimento e as consequências da recusa;
- revogação do consentimento;
- revisão de decisões tomadas unicamente com base em tratamento automatizado.
Como pedir: escreva para [email protected]. Os pedidos são gratuitos. A confirmação da existência do tratamento é feita de imediato, e a resposta completa em até 15 dias, conforme o art. 19. Para sua segurança, podemos pedir informações que confirmem a sua identidade.
Se os dados forem tratados por nós como operadora, o pedido será encaminhado à empresa-cliente, que é a controladora, e você será informado. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).
12. Crianças e adolescentes
O site e a plataforma não se destinam a menores de 18 anos. Quando a empresa-cliente tem trabalhadores adolescentes, como aprendizes, os dados deles são tratados no seu melhor interesse, nos termos do art. 14 da LGPD.
13. Cookies e armazenamento no navegador
O site não usa cookies de publicidade, de rastreamento ou de perfil de navegação. Para saber quais páginas são mais lidas, usamos o Cloudflare Web Analytics, que conta as visitas de forma agregada (páginas, origem da visita, tipo de aparelho, navegador e país), sem cookies, sem guardar informações no seu aparelho e sem identificar você. As suas preferências de acessibilidade ficam apenas no seu navegador. A Cloudflare trata dados técnicos de acesso para entregar e proteger o site, e a área administrativa usa um cookie de sessão exclusivo dos administradores. Na plataforma, guardamos no navegador uma chave de sessão, o nome e o perfil de acesso, apagados quando você sai da conta.
14. Links e serviços de terceiros
O site e as mensagens podem trazer links para páginas de terceiros, como órgãos públicos e conselhos profissionais. Cada site tem a própria política, pela qual não respondemos.
15. Alterações desta política
Podemos atualizar esta política para refletir mudanças na plataforma, nos fornecedores ou na lei. A versão em vigor fica sempre nesta página, com a data da última atualização. Mudanças relevantes serão informadas na plataforma e por e-mail aos usuários cadastrados.
16. Encarregado e contato
Encarregado pelo tratamento de dados pessoais: Rucelmar Barbosa dos Reis.
E-mail: [email protected].
Controladora: Six Ocupacional Ltda., CNPJ 59.925.740/0001-81, Rua Izaac Ferreira da Cruz, 2035, Sítio Cercado, Curitiba/PR, CEP 81900-000.
Versão 1.1. Última atualização: 2 de novembro de 2026.