LGPD no PULSO: seus dados e seus direitos

Atualizado em 24 de outubro de 2026.

1. Quem é quem

• Controladora: a empresa empregadora que contrata o PULSO. É ela quem decide quem é cadastrado, quais regras valem, se a selfie é exigida e o que fazer com os registros.
• Operadora: a Maracatu Lab, que guarda e processa os dados em nome da empresa, só para prestar o serviço do ponto.
• Titular: o colaborador, dono dos dados pessoais.

Para os dados de quem usa o painel (e-mail, registros de acesso) e para as mensagens de sugestão e suporte enviadas à Lab, a Maracatu Lab trata os dados para administrar e proteger o próprio serviço.

2. Quais dados o PULSO trata

• Cadastro do colaborador, informado pela empresa: nome, CPF, matrícula, cargo, setor, data de admissão e, se a empresa quiser, e-mail e telefone.
• Marcações de ponto: data, hora e tipo de cada batida, número sequencial (NSR) e código de segurança (hash SHA-256).
• Localização: só no instante da batida pelo celular, para conferir se a pessoa está dentro da cerca do local definida pela empresa. O PULSO não acompanha a localização fora da batida.
• Selfie: a foto tirada na hora da batida, quando a empresa exige; no tablet da portaria, sempre.
• Pedidos de ajuste: o motivo escrito e, se a pessoa quiser, o atestado ou a declaração anexada.
• Mensagens à Lab: sugestões e pedidos de suporte enviados pelo PULSO.
• Acesso ao painel: e-mail de login, registros de acesso e trilha de auditoria (quem fez o quê e quando).

3. Por que os dados podem ser tratados (base legal)

• Cumprimento de obrigação legal do empregador (LGPD art. 7º, II): controle de jornada exigido pela CLT (art. 74) e pela Portaria MTP 671/2021.
• Execução do contrato de trabalho (art. 7º, V): calcular jornada, horas extras, faltas e abonos.
• Exercício regular de direitos (art. 7º, VI): os registros servem de prova em processos trabalhistas, para a empresa e para o colaborador.

Por esses motivos, bater o ponto não depende de consentimento: o controle de jornada é uma obrigação da empresa.

4. Atestados: dado de saúde

Atestado médico é dado pessoal sensível (LGPD art. 5º, II). No PULSO, ele é enviado só se o colaborador quiser, para pedir o abono de uma falta, e é tratado para cumprir obrigação legal e o contrato de trabalho (art. 11, II, "a" e "d"). Só o RH da empresa vê o anexo. A Maracatu Lab guarda o arquivo, mas não o usa para nenhuma outra finalidade.

5. A selfie não é reconhecimento facial

O PULSO não faz reconhecimento facial nem qualquer reconhecimento biométrico automático. A foto é apenas guardada junto com a batida para que uma pessoa do RH possa conferir, se precisar, quem bateu o ponto. Nenhum sistema compara rostos nem extrai medidas do rosto.

6. Seus direitos como titular

A LGPD (art. 18) garante a você:

• confirmação de que seus dados são tratados e acesso a eles;
• correção de dados incompletos, errados ou desatualizados;
• informação sobre com quem os dados são compartilhados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados fora da lei;
• portabilidade dos dados;
• informação sobre as consequências de não fornecer um dado.

Um limite que vem da lei: as marcações de ponto não podem ser apagadas nem alteradas (Portaria 671). Se uma batida estiver errada, a correção é feita por ajuste aprovado pelo RH, e a original continua registrada. Os registros também não podem ser eliminados antes do prazo de guarda, porque a empresa é obrigada a mantê-los.

7. Como pedir

• Primeiro, fale com o RH da sua empresa. Ele é o controlador e resolve a maioria dos pedidos: ver as suas batidas, corrigir o cadastro, pedir ajuste, receber o espelho de ponto.
• Você também pode falar com a Maracatu Lab: e-mail contato@maracatulab.com.br (assunto "LGPD PULSO") ou WhatsApp (81) 98192-8010. Informe seu nome, o nome da empresa em que trabalha e o que você deseja.
• Como somos operadora, encaminhamos o seu pedido à empresa e a ajudamos a atendê-lo, e avisamos você de que o pedido foi encaminhado.

Prazos: a confirmação simples de que os dados são tratados é respondida na hora, quando possível; a declaração completa é respondida em até 15 dias (LGPD art. 19). A Maracatu Lab responde ao seu contato e encaminha o pedido à empresa nesse mesmo prazo.

Encarregada de dados da Maracatu Lab: Amanda Machado de Araujo, sócia-administradora, pelos mesmos canais acima. A empresa empregadora pode ter o seu próprio encarregado: pergunte ao RH.

Se não ficar satisfeito com a resposta, você pode procurar a Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.

Pedir a exclusão dos seus dados do PULSO

O app PULSO não cria conta: o seu acesso é o link (ou o cartão) que a empresa gera. Para pedir a exclusão dos seus dados:

1. Peça ao RH da sua empresa: ele desliga o seu cadastro (na hora, o seu link e o seu PIN do tablet param de funcionar) e pede a exclusão à Maracatu Lab.
2. Ou escreva para contato@maracatulab.com.br (assunto "LGPD PULSO – exclusão") ou chame no WhatsApp (81) 98192-8010, com o seu nome e o nome da empresa. Encaminhamos à empresa e respondemos em até 15 dias.

O que é excluído: as selfies, os dados de contato opcionais (e-mail e telefone), as mensagens de sugestões e suporte e os anexos de ajuste que não forem mais necessários. O que fica guardado: as marcações de ponto, os comprovantes e os arquivos fiscais (AFD e AEJ) com nome e CPF, porque a lei obriga a empresa a mantê-los pelo prazo do item 8; depois desse prazo, são eliminados ou anonimizados.

8. Por quanto tempo os dados ficam guardados

Os registros de ponto devem ser mantidos pelo prazo prescricional trabalhista: 5 anos, até o limite de 2 anos depois do fim do contrato de trabalho (Constituição Federal, art. 7º, XXIX). Quem define e responde por esse prazo é a empresa. Depois do prazo legal, os dados são eliminados ou anonimizados, salvo obrigação de guarda.

9. Onde ficam os dados

O PULSO roda em servidores de empresas de nuvem contratadas pela Maracatu Lab (Railway e Vercel) e usa um serviço de e-mail transacional (Resend). Esses servidores podem ficar fora do Brasil. Essa transferência internacional é feita com as salvaguardas da LGPD (art. 33): contratos que obrigam esses fornecedores a proteger os dados e a usá-los só para executar o serviço. O PULSO não vende dados, não usa dados para publicidade e não compartilha dados entre empresas clientes.

10. Segurança e incidentes

Os dados trafegam com criptografia (HTTPS). O painel exige senha e código de aplicativo autenticador, cada empresa só vê os próprios dados e as ações no painel ficam registradas em auditoria. Os arquivos fiscais e os comprovantes saem assinados com certificado ICP-Brasil. Se ocorrer um incidente que possa trazer risco aos titulares, a Lab avisa a empresa sem demora, para que ela comunique a ANPD e os titulares, como manda a lei.

11. Acordo de tratamento de dados pessoais

Este acordo faz parte do contrato do PULSO entre a Maracatu Lab Ltda, CNPJ 58.637.116/0001-16, como OPERADORA, e a empresa que contrata o PULSO, como CONTROLADORA. Ao contratar o PULSO, a empresa concorda com ele.

11.1 Objeto. A OPERADORA trata os dados pessoais dos colaboradores da CONTROLADORA, listados no item 2, só para prestar o serviço de registro eletrônico de ponto (REP-P), pelo tempo do contrato e pelo prazo de guarda descrito no item 11.8.

11.2 Instruções da CONTROLADORA. A OPERADORA trata os dados apenas conforme o contrato e as instruções da CONTROLADORA, dadas pelas configurações do painel ou por escrito. Se uma instrução contrariar a LGPD ou a Portaria 671 (por exemplo, apagar ou alterar uma marcação), a OPERADORA avisa e não a executa.

11.3 Obrigações da CONTROLADORA.

• Ter base legal para os dados que cadastra e informar os colaboradores sobre o tratamento.
• Cadastrar só os dados necessários e mantê-los corretos.
• Definir com cuidado quem acessa o painel e os atestados, e retirar acessos de quem sair.
• Responder aos pedidos dos titulares, com a ajuda da OPERADORA.
• Guardar os registros pelo prazo legal e entregá-los à fiscalização quando pedido.

11.4 Obrigações da OPERADORA.

• Não usar os dados para finalidade própria, não vender, não ceder e não usar para publicidade.
• Manter os dados de cada CONTROLADORA separados dos das demais.
• Manter as medidas de segurança do item 10 e registro das operações de tratamento.
• Garantir que as pessoas da OPERADORA com acesso aos dados tenham dever de sigilo, e que esse acesso aconteça só quando necessário para suporte ou manutenção.
• Ajudar a CONTROLADORA a atender os pedidos dos titulares e as autoridades, e encaminhar a ela os pedidos que receber.

11.5 Suboperadores. A CONTROLADORA autoriza a OPERADORA a usar os fornecedores do item 9 (hospedagem em nuvem e e-mail transacional). A OPERADORA exige deles proteção equivalente e responde pelo que eles fizerem com os dados no serviço do PULSO. Uma troca de fornecedor é informada nesta página.

11.6 Transferência internacional. A CONTROLADORA está ciente de que os dados podem ser guardados em servidores fora do Brasil e autoriza essa transferência, feita com as salvaguardas do art. 33 da LGPD.

11.7 Incidentes. A OPERADORA comunica à CONTROLADORA, sem demora, qualquer incidente de segurança que possa trazer risco aos titulares, com as informações que tiver sobre o que aconteceu, os dados afetados e as medidas tomadas, para que a CONTROLADORA faça as comunicações à ANPD e aos titulares.

11.8 Fim do contrato. Ao fim do contrato, a CONTROLADORA pode solicitar os arquivos fiscais (AFD e AEJ) e os espelhos de ponto. Depois do prazo legal, os dados são eliminados ou anonimizados, salvo obrigação de guarda.

11.9 Auditoria. A OPERADORA fornece à CONTROLADORA, quando pedido por escrito, as informações necessárias para demonstrar que cumpre este acordo.

11.10 Responsabilidade. Cada parte responde pelos danos que causar por descumprir a LGPD ou este acordo, nos termos dos arts. 42 a 45 da LGPD.

11.11 Contato. Assuntos deste acordo: contato@maracatulab.com.br (assunto "LGPD PULSO") ou WhatsApp (81) 98192-8010. Encarregada da OPERADORA: Amanda Machado de Araujo.

12. Mudanças

Alterações relevantes são publicadas nesta página com nova data e comunicadas às empresas clientes.

Maracatu Lab Ltda · CNPJ 58.637.116/0001-16
Avenida A, 4165, sala 611, bloco T06, Paiva, Cabo de Santo Agostinho/PE, CEP 54522-005

Maracatu Lab Ltda · CNPJ 58.637.116/0001-16 · maracatulab.com.br
Política de privacidade · Termos de uso · LGPD