Ponto Eletrônico (REP-P)

Para quem é este documento: quem administra o ponto da empresa (Admin Ponto), quem trata o dia a dia no RH (RH Ponto) e quem quer entender o que o funcionário vê no aplicativo. O que você encontra aqui: como o funcionário bate o ponto, o que o sistema calcula sozinho, como corrigir um dia sem apagar nada e como sai o fechamento do mês.

O que é o módulo Ponto Eletrônico

É um REP-P — Registrador Eletrônico de Ponto via Programa, o formato previsto na Portaria MTP 671/2021. Na prática: o ponto é batido no celular do próprio funcionário (ou num tablet fixo em modo totem), o registro fica guardado de forma que ninguém consegue alterar, e o RH trabalha em cima desse registro sem tocar nele.

O módulo é independente: não depende do CRM nem de nenhum outro módulo, e tem o próprio cadastro de funcionários. Contratar só o Ponto é um cenário normal.

As três regras que o sistema nunca quebra

Tudo o que vem depois é consequência destas três:

1. O sistema nunca impede uma marcação. Sem internet, sem GPS, sem selfie, com o rosto não reconhecido, fora da cerca, fora do horário, em dia de folga — a batida é registrada do mesmo jeito e apenas sinalizada para o RH tratar. A Portaria proíbe o programa de restringir o registro, e "sinalizar" é diferente de "recusar".
2. O sistema nunca marca ponto sozinho. Não existe preenchimento automático de entrada e saída, nem batida gerada pela jornada. O que está registrado foi alguém que bateu.
3. O sistema nunca altera nem apaga uma marcação. Não há botão de editar nem de excluir — para ninguém, em nenhum perfil. Correção existe, mas é um registro novo e à parte (veja Tratamento).

Mapa do menu

O funcionário não tem menu no sistema web: ele usa o aplicativo.

O que o funcionário vê no aplicativo

Quatro comportamentos merecem destaque:

• A hora é a do servidor, não a do aparelho. Adiantar o relógio do celular não adianta a batida.
• Sem internet, a batida não se perde. Ela entra numa fila no aparelho com o horário do momento e sobe sozinha quando a conexão volta — a marcação guarda que foi feita offline.
• O comprovante é a prova do trabalhador. Traz empregador, funcionário, data e hora, origem, NSR e o hash do registro. É por ele que o trabalhador confere depois que nada mudou.
• O funcionário enxerga só o próprio ponto. Não existe tela dele que liste colegas.

Modo totem

Para o tablet fixo na portaria existe o modo totem: o aparelho recebe uma credencial própria (gerada em Locais e aparelhos e mostrada uma única vez) e o trabalhador se identifica pela matrícula. O totem não é um login de RH emprestado — ele só sabe registrar ponto.

Marcações

A tela lista as batidas cruas do período — é o registro, não o cálculo. Cada linha traz NSR, funcionário, data e hora, origem (aplicativo, web, totem ou importação), o local e os sinais capturados. Filtros por período e por funcionário; o botão Comprovante abre a mesma via que o trabalhador recebeu.

NSR e cadeia de hash

Cada marcação recebe um NSR — um número sequencial, sem buraco, que pertence ao sistema — e um hash calculado a partir do conteúdo da batida e do hash da marcação anterior. Os registros ficam, portanto, encadeados.

O botão Verificar integridade recalcula a cadeia inteira do período e responde uma de duas coisas:

• Íntegra — cada registro confere com o hash calculado a partir do anterior; nenhuma marcação foi alterada depois de gravada.
• Rompida — e aponta os NSR faltando ou divergentes. Isso não acontece pelo uso normal do sistema: indica alteração no banco de dados por fora.

É essa verificação que dá valor prático à imutabilidade. Sem ela, "não dá para alterar" seria só uma promessa; com ela, qualquer alteração fica demonstrável.

Jornadas e feriados

A jornada é o esperado de cada funcionário — é dela que sai o "previsto" do espelho.

Cada dia da grade tem entrada, saída, intervalo mínimo em minutos e a marcação de turno que termina no dia seguinte. A tela avisa quando o intervalo informado contraria a CLT: acima de 6h de jornada, o mínimo é 60 minutos.

O vínculo do funcionário com a jornada tem vigência. Trocar alguém de escala no meio do ano não reescreve o passado: os meses anteriores continuam apurados pela jornada que valia na época.

Os feriados têm alcance nacional, estadual, municipal (informando o código IBGE do município) ou da empresa — para o feriado que só aquele estabelecimento cumpre. Trabalho em feriado ou em descanso semanal aparece destacado no espelho.

Espelho de ponto

O espelho é o resultado apurado de um funcionário num período: previsto, trabalhado, saldo e as pendências do período. Por dia, ele abre em:

O botão Espelho em PDF gera o documento para arquivo ou assinatura, e Recalcular refaz a apuração do período — útil depois de mexer numa jornada ou num feriado.

O que o cálculo aplica sozinho

• Tolerância — até 5 minutos por marcação e 10 minutos no dia (art. 58 §1º da CLT), configuráveis para menos. A tolerância vale só no cálculo: a marcação vai crua, sem arredondamento, para o registro e para o arquivo legal.
• Adicional noturno — as horas entre 22h e 5h, com a hora reduzida de 52 minutos e 30 segundos (art. 73 da CLT).
• Intervalo — pelo tempo efetivamente trabalhado no dia, não pelo planejado: acima de 6h exige 60 minutos; acima de 4h e até 6h exige 15 minutos; até 4h não exige intervalo (art. 71). Quem foi embora às 3h de trabalho não fica devendo almoço.
• DSR — falta injustificada na semana derruba o descanso semanal remunerado; atraso, não.

A apuração é sempre recalculável. O espelho é um resultado derivado das marcações, das jornadas, dos feriados e dos tratamentos — nunca uma verdade digitada. Corrigiu a jornada? Recalcule, e o mês inteiro se reorganiza.

Tratamento: corrigir sem apagar

Como nenhuma marcação pode ser alterada, a correção acontece ao lado dela. A fila de tratamento reúne os pedidos e o RH aprova ou rejeita — sempre com motivo.

Cada decisão guarda quem aprovou, quando e por quê, e o dia é recalculado imediatamente.

Ausências

Separadas dos ajustes, as ausências cobrem o período inteiro:

Atestado médico · Férias · Licença-maternidade · Licença-paternidade · Licença não remunerada · Falta justificada · Suspensão · Outro

Cada registro tem período, observação e um anexo opcional (o link do documento digitalizado). Registrar uma ausência reapura todo o período de uma vez.

O sistema não guarda o CID nem o diagnóstico. Atestado médico é dado de saúde: o módulo registra que houve atestado, o período e o anexo — o motivo clínico não tem campo, de propósito.

Banco de horas

Quando habilitado na configuração, o banco de horas é um extrato, não um número solto. Cada lançamento guarda o saldo anterior e o posterior, e nenhum é apagado.

O lançamento manual pede sentido (crédito ou débito), minutos, data de referência e justificativa.

Saldo de banco de horas não some. Vencido o prazo de compensação (art. 59 §2º da CLT), o correto é lançar Pago em folha — o extrato precisa mostrar para onde as horas foram.

Fechamento

O fechamento congela a competência: todos os funcionários são recalculados e os dias, congelados. A partir daí o mês não muda mais sozinho.

• Fechar com pendências em aberto é possível, mas exige justificativa.
• Reabrir exige motivo, e o mês volta a aceitar tratamento.
• Fechar e reabrir são ações do Admin Ponto.

AFD e AEJ

Os dois arquivos legais são gerados por competência e assinados digitalmente:

Se os dois fossem iguais, um seria inútil: a divergência entre eles é o registro do tratamento.

A listagem guarda tipo, período, total de registros, situação da assinatura e o hash de cada arquivo gerado, com download. O certificado usado é escolhido na configuração: o da plataforma ou o da própria empresa.

Atenção — os arquivos ainda saem marcados como provisórios. O layout campo a campo do AFD e do AEJ está nos anexos da Portaria MTP 671/2021 e ainda não foi transcrito para o sistema; até que seja, as posições dos campos são uma hipótese de trabalho e a tela exibe um aviso em vermelho. Não entregue esses arquivos à fiscalização. Todo o resto — a coleta, o NSR, a cadeia de hash, a apuração e a assinatura — já funciona.

Funcionários

O cadastro do ponto é próprio do módulo e não se confunde com o de colaboradores da empresa.

Tipos de contrato: CLT · Estágio · Jovem aprendiz · Temporário · Autônomo. Regimes: Presencial · Híbrido · Remoto · Externo.

• Importar CSV faz a carga inicial da folha inteira de uma vez.
• Criar o acesso gera uma senha provisória mostrada uma única vez — anote na hora e entregue ao funcionário.
• Desligar não é excluir. Preencha a data de demissão; excluir o cadastro descarta o histórico e a tela avisa antes.

Nem todo funcionário controla jornada. Cargos de gestão e trabalho externo sem controle de horário (art. 62 da CLT) ficam marcados como sem controle de jornada — eles existem no cadastro, mas não geram cobrança de saldo nem pendência no espelho.

Locais e aparelhos

Locais são os estabelecimentos, com endereço, latitude, longitude e o raio da cerca. Com locais cadastrados, cada marcação passa a informar se veio de dentro ou de fora. Sem nenhum local, não há cerca a respeitar — e a tela diz isso.

Aparelhos são os dispositivos autorizados, com identificador, plataforma (Android, iOS, navegador ou outro), modelo e a marcação de local fixo para o totem. É aqui que se gera e se revoga a credencial do totem. Excluir um aparelho não apaga as marcações feitas por ele.

Configuração do REP

Tela do Admin Ponto, dividida em quatro blocos.

Identificação do empregador — CNPJ, razão social, CEI/CAEPF (só para obra ou produtor rural), identificador do REP-P, fuso horário do estabelecimento (a apuração usa o fuso do estabelecimento, não o do servidor) e o NSR atual, que é somente leitura: a sequência pertence ao sistema.

Tolerância — os minutos por marcação e no dia descritos acima.

O que é capturado na batida — chaves para exigir geolocalização, selfie e reconhecimento facial, mais o limiar de aceitação do reconhecimento (limiar baixo demais aceita um irmão parecido; alto demais reprova a mesma pessoa de barba nova), a qualidade mínima da captura e o prazo de retenção da selfie em dias.

Apuração e arquivos legais — habilitar o banco de horas e escolher o certificado que assina AFD e AEJ.

Repare que exigir aqui nunca significa bloquear. Marcar "exigir selfie" faz o aplicativo pedir a foto e faz a batida sem foto chegar sinalizada ao RH — não faz o sistema recusar o registro.

Privacidade e LGPD na prática

Biometria facial e localização são dados sensíveis, e o módulo trata isso em três frentes:

• Consentimento por finalidade. O funcionário aceita, no aplicativo, cada finalidade separadamente (foto, localização, reconhecimento facial). Sem consentimento, o ponto continua sendo batido — apenas sem capturar aquele dado. Consentimento governa a captura, nunca o registro.
• Retenção com prazo. A selfie tem prazo de validade configurável, e o botão Expurgar fotos vencidas agora apaga as fotos de verdade — não marca como apagadas. A marcação e a cadeia de hash continuam intactas: o hash nunca incluiu a foto, justamente para o expurgo não romper a cadeia.
• Mínimo necessário. O rosto cadastrado nunca sai do sistema em resposta de tela, e o diagnóstico do atestado não tem onde ser digitado.

Como os perfis se dividem

O Admin da Empresa vale como Admin Ponto, como em qualquer outro módulo — veja Perfis, usuários e permissões.