RAT-001 – Registro de Atividades de Tratamento de Dados Pessoais
RAT-001 – Registro de Atividades de Tratamento de Dados Pessoais
Controle Documental
| Campo | Informação |
|---|---|
| Código | RAT-001 |
| Versão | 1.1 |
| Data de Emissão | Abril/2025 |
| Próxima Revisão | Março/2027 (ou sempre que houver novo tratamento) |
| Responsável | DPO |
| Classificação | Confidencial |
| LGPD | Art. 37 |
| ISO 27001:2022 | Requisito 5.34 |
Histórico de Revisões
| Versão | Data | Autor | Alterações |
|---|---|---|---|
| 1.0 | Abr/2025 | DPO | Emissão inicial — mapeamento completo das atividades de tratamento |
| 1.1 | Mar/2026 | DPO | Revisão periódica do documento |
1. Objetivo
Documentar todas as atividades de tratamento de dados pessoais realizadas pela METRA, em conformidade com o art. 37 da LGPD, permitindo demonstrar conformidade às autoridades competentes e subsidiar o Relatório de Impacto à Proteção de Dados (RIPD-001).
2. Papel da METRA como Agente de Tratamento
| Atividade | Papel | Controlador Final |
|---|---|---|
| Serviços de saúde ocupacional para empresas clientes | Operador | Empresa cliente |
| Gestão interna de RH | Controlador | METRA |
| Gestão de candidatos | Controlador | METRA |
| Gestão de contratos e faturamento | Controlador | METRA |
| Gestão de segurança da informação | Controlador | METRA |
3. Legenda das Bases Legais
| Código | Base Legal | Artigo LGPD |
|---|---|---|
| BL-01 | Consentimento | Art. 7º, I / Art. 11, I |
| BL-02 | Cumprimento de obrigação legal | Art. 7º, II / Art. 11, II, a |
| BL-03 | Execução de contrato | Art. 7º, V |
| BL-04 | Legítimo interesse | Art. 7º, IX |
| BL-05 | Proteção da saúde (profissional de saúde) | Art. 11, II, h |
| BL-06 | Exercício regular de direitos | Art. 11, II, f |
4. Registro das Atividades de Tratamento
T01 – Exames Médicos Ocupacionais
| Campo | Informação |
|---|---|
| ID | T01 |
| Nome do Tratamento | Realização de Exames Médicos Ocupacionais |
| Papel da METRA | Operador (empresa cliente = Controlador) |
| Finalidade | Realização de exames admissional, periódico, demissional, retorno ao trabalho e mudança de função, conforme exigência legal |
| Base Legal | BL-02 – Cumprimento de obrigação legal (CLT art. 168; NR-7) / BL-05 – Proteção da saúde |
| Categorias de Dados Pessoais | Nome, CPF, RG, data de nascimento, foto, empresa empregadora, cargo, setor, data de admissão |
| Categorias de Dados Sensíveis | Resultados de exames médicos, ASO (conclusão: apto/inapto), CID, audiometria, espirometria, exame toxicológico, laudos médicos |
| Titulares | Trabalhadores das empresas clientes |
| Fonte de Coleta | Empresa cliente (dados de admissão); exame clínico e laboratorial (dados de saúde) |
| Destinatários / Compartilhamento | Empresa cliente: apenas conclusão do ASO; Laboratórios parceiros: pedidos de exame; INSS/eSocial: quando legalmente exigido |
| Transferência Internacional | Não (exceto armazenamento eventual no M365) |
| Prazo de Retenção | 30 anos (METRA); mínimo legal: 20 anos conforme NR-7, item 7.4.8 |
| Sistemas Utilizados | SOC; arquivo físico (prontuário impresso) |
| Medidas de Segurança | Controle de acesso ao SOC; arquivo físico com controle de acesso; sigilo médico (Resolução CFM nº 1.851/2008) |
| Risco Inerente | Alto (dados sensíveis de saúde em larga escala) |
| RIPD Associado | RIPD-001 |
T02 – PCMSO (Programa de Controle Médico de Saúde Ocupacional)
| Campo | Informação |
|---|---|
| ID | T02 |
| Nome do Tratamento | Elaboração e Gestão do PCMSO |
| Papel da METRA | Operador (empresa cliente = Controlador) |
| Finalidade | Elaborar, implementar e supervisionar o Programa de Controle Médico de Saúde Ocupacional das empresas clientes |
| Base Legal | BL-02 – Cumprimento de obrigação legal (NR-7; CLT art. 168) |
| Categorias de Dados Pessoais | Nome, CPF, cargo, setor, empresa |
| Categorias de Dados Sensíveis | Indicadores de saúde coletiva, dados epidemiológicos anonimizados (quando possível), dados individuais de exposição a riscos |
| Titulares | Trabalhadores das empresas clientes |
| Fonte de Coleta | Empresa cliente; exames médicos (T01); laudos ambientais |
| Destinatários / Compartilhamento | Empresa cliente; autoridades trabalhistas (se requisitado) |
| Transferência Internacional | Não |
| Prazo de Retenção | 30 anos (alinhado ao T01) |
| Sistemas Utilizados | SOC; Microsoft 365 (SharePoint/OneDrive) |
| Medidas de Segurança | Controle de acesso; MFA; criptografia em trânsito (M365) |
| Risco Inerente | Alto |
| RIPD Associado | RIPD-001 |
T03 – PGR (Programa de Gerenciamento de Riscos)
| Campo | Informação |
|---|---|
| ID | T03 |
| Nome do Tratamento | Elaboração do PGR |
| Papel da METRA | Operador (empresa cliente = Controlador) |
| Finalidade | Identificar, avaliar e gerenciar riscos ocupacionais nas instalações das empresas clientes |
| Base Legal | BL-02 – Cumprimento de obrigação legal (NR-1; CLT) |
| Categorias de Dados Pessoais | Nome, cargo, setor, empresa, dados de exposição a agentes de risco |
| Categorias de Dados Sensíveis | Dados de saúde associados a exposições (quando aplicável) |
| Titulares | Trabalhadores das empresas clientes |
| Fonte de Coleta | Empresa cliente; visitas técnicas; laudos de engenharia |
| Destinatários / Compartilhamento | Empresa cliente; MTE (se auditado) |
| Transferência Internacional | Não |
| Prazo de Retenção | 20 anos (legislação previdenciária e trabalhista) |
| Sistemas Utilizados | Microsoft 365; arquivo físico |
| Medidas de Segurança | Controle de acesso; MFA |
| Risco Inerente | Médio |
| RIPD Associado | RIPD-001 |
T04 – LTCAT (Laudo Técnico das Condições do Ambiente de Trabalho)
| Campo | Informação |
|---|---|
| ID | T04 |
| Nome do Tratamento | Elaboração do LTCAT |
| Papel da METRA | Operador (empresa cliente = Controlador) |
| Finalidade | Comprovar exposição a agentes nocivos para fins previdenciários (aposentadoria especial) |
| Base Legal | BL-02 – Cumprimento de obrigação legal (Lei 8.213/91; Decreto 3.048/99) |
| Categorias de Dados Pessoais | Nome, CPF, cargo, setor, empresa, data de admissão |
| Categorias de Dados Sensíveis | Dados de exposição a agentes físicos, químicos e biológicos |
| Titulares | Trabalhadores das empresas clientes |
| Fonte de Coleta | Empresa cliente; medições ambientais |
| Destinatários / Compartilhamento | Empresa cliente; INSS (quando requisitado) |
| Transferência Internacional | Não |
| Prazo de Retenção | 30 anos (legislação previdenciária) |
| Sistemas Utilizados | Microsoft 365; arquivo físico |
| Medidas de Segurança | Controle de acesso; MFA |
| Risco Inerente | Médio |
| RIPD Associado | RIPD-001 |
T05 – Treinamentos de SST
| Campo | Informação |
|---|---|
| ID | T05 |
| Nome do Tratamento | Registro de Participação em Treinamentos de Segurança do Trabalho |
| Papel da METRA | Operador (empresa cliente = Controlador) |
| Finalidade | Registrar a realização de treinamentos exigidos por Normas Regulamentadoras e documentar a conformidade da empresa cliente |
| Base Legal | BL-02 – Cumprimento de obrigação legal (NRs diversas; CLT) |
| Categorias de Dados Pessoais | Nome, CPF, assinatura, cargo, empresa, data, carga horária |
| Categorias de Dados Sensíveis | Nenhuma |
| Titulares | Trabalhadores das empresas clientes; colaboradores METRA (quando aplicável) |
| Fonte de Coleta | Empresa cliente; listas de presença |
| Destinatários / Compartilhamento | Empresa cliente; MTE (se auditado) |
| Transferência Internacional | Não |
| Prazo de Retenção | 5 anos ou conforme exigência da NR aplicável |
| Sistemas Utilizados | Microsoft 365; arquivo físico (listas de presença assinadas) |
| Medidas de Segurança | Controle de acesso; arquivo físico sob guarda |
| Risco Inerente | Baixo |
| RIPD Associado | — |
T06 – Gestão de RH Interno (Colaboradores METRA)
| Campo | Informação |
|---|---|
| ID | T06 |
| Nome do Tratamento | Gestão do Ciclo de Vida dos Colaboradores da METRA |
| Papel da METRA | Controlador |
| Finalidade | Admissão, gestão de contrato de trabalho, folha de pagamento, férias, benefícios, avaliação de desempenho e desligamento |
| Base Legal | BL-02 – Cumprimento de obrigação legal (CLT, eSocial, legislação previdenciária) / BL-03 – Execução de contrato de trabalho |
| Categorias de Dados Pessoais | Nome, CPF, RG, CNH, data de nascimento, foto, endereço, telefone, e-mail, dados bancários, salário, cargo, setor |
| Categorias de Dados Sensíveis | Exames periódicos de saúde, ASO, atestados médicos, CID |
| Titulares | Colaboradores da METRA (todos os vínculos) |
| Fonte de Coleta | Colaborador (documentação de admissão); exames médicos (T07) |
| Destinatários / Compartilhamento | Contabilidade terceirizada; INSS; eSocial; banco (folha de pagamento); plano de saúde/benefícios |
| Transferência Internacional | Não (exceto armazenamento no M365) |
| Prazo de Retenção | 5 anos após rescisão (CLT); atestados médicos: 5 anos; ASO: conforme T07 |
| Sistemas Utilizados | OMIE; Active Directory; Microsoft 365; arquivo físico |
| Medidas de Segurança | Controle de acesso; MFA; criptografia (dados em M365); acesso restrito ao RH |
| Risco Inerente | Alto (dados financeiros e de saúde) |
| RIPD Associado | RIPD-001 |
T07 – Exames Médicos Ocupacionais dos Colaboradores METRA
| Campo | Informação |
|---|---|
| ID | T07 |
| Nome do Tratamento | Realização de Exames Periódicos dos Colaboradores da METRA |
| Papel da METRA | Controlador |
| Finalidade | Monitorar a saúde dos próprios colaboradores conforme obrigação legal |
| Base Legal | BL-02 – Cumprimento de obrigação legal (CLT art. 168; NR-7) / BL-05 |
| Categorias de Dados Pessoais | Nome, CPF, cargo, setor |
| Categorias de Dados Sensíveis | ASO, resultados de exames médicos, CID, dados de saúde |
| Titulares | Colaboradores da METRA |
| Fonte de Coleta | Exame clínico realizado pelo médico do trabalho da METRA; laboratórios |
| Destinatários / Compartilhamento | Colaborador (ASO); INSS (quando necessário) |
| Transferência Internacional | Não |
| Prazo de Retenção | 20 anos (NR-7); METRA adota 30 anos |
| Sistemas Utilizados | SOC; arquivo físico |
| Medidas de Segurança | Sigilo médico; controle de acesso ao SOC |
| Risco Inerente | Alto |
| RIPD Associado | RIPD-001 |
T08 – Gestão Comercial e Contratos com Clientes
| Campo | Informação |
|---|---|
| ID | T08 |
| Nome do Tratamento | Gestão de Clientes, Propostas e Contratos |
| Papel da METRA | Controlador |
| Finalidade | Elaborar, gerenciar e executar contratos de prestação de serviços de saúde ocupacional |
| Base Legal | BL-03 – Execução de contrato / BL-02 – Obrigação legal (emissão de NF, obrigações fiscais) |
| Categorias de Dados Pessoais | Nome, CPF ou CNPJ, e-mail, telefone, endereço, cargo (representantes de empresas clientes) |
| Categorias de Dados Sensíveis | Nenhuma |
| Titulares | Clientes pessoa física; representantes legais de empresas clientes |
| Fonte de Coleta | Proposta comercial; contrato assinado; cliente |
| Destinatários / Compartilhamento | Contabilidade; OMIE |
| Transferência Internacional | Não (exceto M365) |
| Prazo de Retenção | 5 anos após encerramento do contrato (prescrição civil) |
| Sistemas Utilizados | OMIE; Microsoft 365; arquivo físico |
| Medidas de Segurança | Controle de acesso ao OMIE; MFA |
| Risco Inerente | Baixo |
| RIPD Associado | — |
T09 – Gestão Financeira (Contas a Pagar/Receber)
| Campo | Informação |
|---|---|
| ID | T09 |
| Nome do Tratamento | Faturamento, Contas a Pagar e Contas a Receber |
| Papel da METRA | Controlador |
| Finalidade | Gestão financeira e cumprimento de obrigações contábeis, fiscais e trabalhistas |
| Base Legal | BL-02 – Cumprimento de obrigação legal (CTN; legislação fiscal) / BL-03 – Execução de contrato |
| Categorias de Dados Pessoais | Nome, CPF ou CNPJ, dados bancários, endereço, e-mail |
| Categorias de Dados Sensíveis | Nenhuma |
| Titulares | Fornecedores; prestadores de serviço; clientes |
| Fonte de Coleta | Notas fiscais; contratos; formulários de cadastro |
| Destinatários / Compartilhamento | Contabilidade terceirizada; banco; Receita Federal |
| Transferência Internacional | Não |
| Prazo de Retenção | 5 anos (CTN) |
| Sistemas Utilizados | OMIE; Microsoft 365 |
| Medidas de Segurança | Controle de acesso ao OMIE; acesso restrito ao financeiro |
| Risco Inerente | Médio (dados bancários) |
| RIPD Associado | — |
T10 – Recrutamento e Seleção de Candidatos
| Campo | Informação |
|---|---|
| ID | T10 |
| Nome do Tratamento | Recrutamento e Seleção de Candidatos a Vagas Internas |
| Papel da METRA | Controlador |
| Finalidade | Avaliar candidatos para preenchimento de vagas internas da METRA |
| Base Legal | BL-04 – Legítimo interesse (processo seletivo) / BL-01 – Consentimento (quando dados forem solicitados para banco de talentos) |
| Categorias de Dados Pessoais | Nome, CPF, e-mail, telefone, endereço, currículo, formação acadêmica, experiências profissionais |
| Categorias de Dados Sensíveis | Nenhuma (dados de saúde apenas após contratação, via T07) |
| Titulares | Candidatos a vagas da METRA |
| Fonte de Coleta | Candidato (currículo, formulário de candidatura) |
| Destinatários / Compartilhamento | Nenhum externo |
| Transferência Internacional | Não |
| Prazo de Retenção | 6 meses após encerramento do processo seletivo. Banco de talentos: conforme consentimento |
| Sistemas Utilizados | Microsoft 365 (e-mail, OneDrive) |
| Medidas de Segurança | Acesso restrito ao RH; MFA |
| Risco Inerente | Baixo |
| RIPD Associado | — |
T11 – Comunicação Institucional e Marketing
| Campo | Informação |
|---|---|
| ID | T11 |
| Nome do Tratamento | Envio de Comunicações, Newsletters e Informações Comerciais |
| Papel da METRA | Controlador |
| Finalidade | Manter comunicação institucional com clientes, parceiros e público de interesse |
| Base Legal | BL-01 – Consentimento (para comunicações de marketing) / BL-04 – Legítimo interesse (comunicações contratuais e institucionais) |
| Categorias de Dados Pessoais | Nome, e-mail, telefone, empresa, cargo |
| Categorias de Dados Sensíveis | Nenhuma |
| Titulares | Clientes; parceiros; prospects |
| Fonte de Coleta | Contatos de negócios; formulários de opt-in |
| Destinatários / Compartilhamento | Plataforma de e-mail (se utilizada) |
| Transferência Internacional | Dependente da plataforma utilizada |
| Prazo de Retenção | Até revogação do consentimento; ou enquanto o legítimo interesse subsistir |
| Sistemas Utilizados | Microsoft 365 (Outlook) |
| Medidas de Segurança | Controle de acesso; MFA |
| Risco Inerente | Baixo |
| RIPD Associado | — |
T12 – Gestão de Acessos e Segurança da Informação
| Campo | Informação |
|---|---|
| ID | T12 |
| Nome do Tratamento | Controle de Acessos, Logs e Segurança de TI |
| Papel da METRA | Controlador |
| Finalidade | Garantir a segurança dos sistemas e dados da METRA; controlar e auditar acessos; detectar e responder a incidentes de segurança |
| Base Legal | BL-02 – Cumprimento de obrigação legal (Marco Civil da Internet – Lei 12.965/2014) / BL-04 – Legítimo interesse (segurança da informação) |
| Categorias de Dados Pessoais | Nome de usuário, endereço IP, horários de acesso, ações executadas nos sistemas, e-mail |
| Categorias de Dados Sensíveis | Nenhuma |
| Titulares | Colaboradores; prestadores de serviço com acesso aos sistemas METRA |
| Fonte de Coleta | Sistemas internos (AD, firewall, VPN, M365, Windows Server) |
| Destinatários / Compartilhamento | Autoridades competentes (em caso de incidente ou requisição legal) |
| Transferência Internacional | Não (exceto logs em M365) |
| Prazo de Retenção | 2 anos (logs de sistema) |
| Sistemas Utilizados | Active Directory; pfSense (firewall); Kaspersky; Microsoft Defender; VPN; GLPI |
| Medidas de Segurança | MFA; criptografia; controle de acesso; VPN; antivírus; monitoramento de eventos |
| Risco Inerente | Médio |
| RIPD Associado | — |
T13 – Recebimento de Resultados Laboratoriais
| Campo | Informação |
|---|---|
| ID | T13 |
| Nome do Tratamento | Recebimento, Associação e Arquivamento de Resultados de Laboratório |
| Papel da METRA | Operador (empresa cliente = Controlador) |
| Finalidade | Receber resultados de exames laboratoriais e integrá-los ao prontuário ocupacional do trabalhador |
| Base Legal | BL-02 – Cumprimento de obrigação legal (NR-7) / BL-05 – Proteção da saúde |
| Categorias de Dados Pessoais | Nome, CPF, empresa |
| Categorias de Dados Sensíveis | Resultados laboratoriais (hemograma, bioquímica, toxicológico, sorologia etc.) |
| Titulares | Trabalhadores das empresas clientes |
| Fonte de Coleta | Laboratórios parceiros |
| Destinatários / Compartilhamento | Médico do trabalho (análise); prontuário SOC |
| Transferência Internacional | Não |
| Prazo de Retenção | 30 anos (alinhado ao prontuário) |
| Sistemas Utilizados | SOC; arquivo físico |
| Medidas de Segurança | Controle de acesso ao SOC; sigilo médico |
| Risco Inerente | Alto |
| RIPD Associado | RIPD-001 |
T14 – Gestão de Atestados Médicos dos Colaboradores METRA
| Campo | Informação |
|---|---|
| ID | T14 |
| Nome do Tratamento | Recebimento e Controle de Atestados Médicos dos Colaboradores |
| Papel da METRA | Controlador |
| Finalidade | Controle de absenteísmo; cumprimento de obrigações trabalhistas; abono de faltas |
| Base Legal | BL-02 – Cumprimento de obrigação legal (CLT; NR-7) |
| Categorias de Dados Pessoais | Nome, CPF, cargo |
| Categorias de Dados Sensíveis | CID (código da doença), número de dias de afastamento, nome do médico assistente |
| Titulares | Colaboradores da METRA |
| Fonte de Coleta | Colaborador (entrega física do atestado) |
| Destinatários / Compartilhamento | RH interno; contabilidade (para fins de folha) |
| Transferência Internacional | Não |
| Prazo de Retenção | 5 anos |
| Sistemas Utilizados | Microsoft 365; arquivo físico |
| Medidas de Segurança | Acesso restrito ao RH; acesso ao CID restrito ao médico do trabalho |
| Risco Inerente | Médio-Alto (dados de saúde sensíveis) |
| RIPD Associado | RIPD-001 |
5. Resumo Consolidado
| ID | Tratamento | Papel METRA | Dados Sensíveis | Base Legal Principal | Risco | RIPD |
|---|---|---|---|---|---|---|
| T01 | Exames Médicos Ocupacionais | Operador | Sim | BL-02 / BL-05 | Alto | RIPD-001 |
| T02 | PCMSO | Operador | Sim | BL-02 | Alto | RIPD-001 |
| T03 | PGR | Operador | Parcial | BL-02 | Médio | RIPD-001 |
| T04 | LTCAT | Operador | Parcial | BL-02 | Médio | RIPD-001 |
| T05 | Treinamentos SST | Operador | Não | BL-02 | Baixo | — |
| T06 | Gestão RH Interno | Controlador | Sim | BL-02 / BL-03 | Alto | RIPD-001 |
| T07 | Exames Colaboradores METRA | Controlador | Sim | BL-02 / BL-05 | Alto | RIPD-001 |
| T08 | Gestão Comercial e Contratos | Controlador | Não | BL-03 | Baixo | — |
| T09 | Gestão Financeira | Controlador | Não | BL-02 / BL-03 | Médio | — |
| T10 | Recrutamento e Seleção | Controlador | Não | BL-04 / BL-01 | Baixo | — |
| T11 | Comunicação e Marketing | Controlador | Não | BL-01 / BL-04 | Baixo | — |
| T12 | Gestão de Acessos e Logs | Controlador | Não | BL-02 / BL-04 | Médio | — |
| T13 | Resultados Laboratoriais | Operador | Sim | BL-02 / BL-05 | Alto | RIPD-001 |
| T14 | Atestados Colaboradores | Controlador | Sim | BL-02 | Médio-Alto | RIPD-001 |
6. Manutenção e Atualização
Este Registro deve ser atualizado:
- Sempre que uma nova atividade de tratamento for iniciada;
- Quando uma atividade existente for modificada (base legal, finalidade, sistemas, destinatários);
- Quando uma atividade for encerrada (indicar data de encerramento e prazo de retenção residual);
- Anualmente, como parte da revisão do SGSI.
Responsável: DPO, com apoio do Coordenador de Tech e dos gestores de área.