Política de Privacidade
Documento em rascunho, em revisão jurídica.
Este texto ainda não tem validade. Ele descreve corretamente como a plataforma funciona, mas as afirmações jurídicas — bases legais, prazos e responsabilidades — ainda não foram validadas por advogado. Enquanto isso, dúvidas sobre tratamento de dados podem ser enviadas para consultoria@cavora.com.br.
1. A quem esta política se aplica
Esta política trata de duas situações diferentes, e a distinção entre elas importa:
- Dados de candidatos tratados dentro do Recruit. Aqui a agência cliente é a controladora e a Cavora atua como operadora: tratamos os dados para executar o serviço contratado, seguindo as instruções da controladora e o contrato de operador.
- Dados de quem visita cavora.com.br ou entra em contato conosco. Nessa situação a Cavora é a controladora.
Se você é candidato de um processo seletivo e quer exercer direitos sobre seus dados, o pedido deve ser dirigido à agência responsável pelo processo, que é a controladora. Podemos apoiar a agência a atender o pedido, mas não decidimos sobre ele.
[REVISAR COM ADVOGADO] — confirmar a redação da divisão de papéis e como encaminhar pedidos de titular que cheguem diretamente à Cavora.
2. Identificação
Cavora — [REVISAR COM ADVOGADO: incluir razão social completa, CNPJ e endereço]. Contato: consultoria@cavora.com.br.
3. Dados tratados
3.1 Na plataforma (Cavora como operadora)
Os dados que a agência controladora insere ou permite inserir, o que tipicamente inclui: dados de identificação e contato constantes do currículo, histórico profissional e acadêmico, informações declaradas pelo candidato no processo, registros de entrevista lançados pela agência e os registros de decisão produzidos ao longo do processo.
A Cavora não decide quais dados entram na plataforma. Essa definição é da agência controladora.
[REVISAR COM ADVOGADO] — tratamento de dados sensíveis: a plataforma não pede dado sensível, mas um currículo pode conter. Definir a redação sobre a responsabilidade da controladora nesse ponto.
3.2 No site e no contato comercial (Cavora como controladora)
Nome, e-mail, telefone e o conteúdo das mensagens de quem nos procura por e-mail ou WhatsApp, além de dados agregados de navegação descritos no item 8.
4. Finalidades
- Executar o serviço contratado pela agência: analisar currículos, gerar roteiros de entrevista, registrar decisões e produzir os relatórios do processo.
- Manter a plataforma no ar, diagnosticar problemas e proteger a segurança do serviço.
- Responder a contatos comerciais e conduzir a relação contratual.
[REVISAR COM ADVOGADO] — indicar a base legal de cada finalidade (art. 7º e, se aplicável, art. 11 da LGPD). Nenhuma base legal foi afirmada neste rascunho de propósito.
5. Subprocessadores
Três fornecedores participam da operação:
- Supabase
- Banco de dados. Região de São Paulo, Brasil.
- Render
- Hospedagem da aplicação.
- Anthropic
- Processamento de linguagem para análise de currículos e geração de roteiros de entrevista. Estados Unidos.
[REVISAR COM ADVOGADO] — definir como comunicar mudança de subprocessador à controladora e com que antecedência.
6. Transferência internacional
O processamento de linguagem ocorre nos Estados Unidos, na API da Anthropic. Há, portanto, transferência internacional de dados nessa etapa do tratamento. O armazenamento permanece no Brasil, na região de São Paulo.
[REVISAR COM ADVOGADO] — indicar o mecanismo de transferência internacional adotado (art. 33 da LGPD) e a redação correspondente.
7. Retenção e eliminação
Enquanto o contrato estiver vigente, o prazo de retenção dos dados de candidatos é definido pela agência controladora. A plataforma permite a exclusão de dados a pedido da controladora.
No encerramento do contrato, os dados da organização são eliminados conforme o prazo e o procedimento definidos no contrato de operador.
[REVISAR COM ADVOGADO] — fixar o prazo padrão de eliminação após o encerramento e as hipóteses de guarda obrigatória.
8. Medição de audiência no site
O site usa Cloudflare Web Analytics para medir acessos de forma agregada. Essa ferramenta não usa cookies e não cria identificador persistente de visitante. O site não usa cookies de publicidade nem de rastreamento entre sites.
9. Segurança
O isolamento entre organizações é feito no nível do banco de dados, com políticas versionadas e auditáveis. Há controle de acesso por perfil dentro de cada organização. Os logs de servidor não retêm dado pessoal de candidato. As decisões registradas na plataforma guardam motivo, responsável, data e histórico de alterações.
Nenhuma medida de segurança elimina risco por completo. As descritas acima são as que estão implementadas.
10. Direitos do titular
A LGPD assegura ao titular, entre outros, os direitos de confirmação, acesso, correção, anonimização, portabilidade, informação sobre compartilhamento e eliminação dos dados.
Pedidos relativos a dados de candidatos devem ser dirigidos à agência controladora do processo. Pedidos relativos a dados tratados pela Cavora como controladora podem ser enviados para consultoria@cavora.com.br.
[REVISAR COM ADVOGADO] — prazo de resposta, forma de verificação de identidade do titular e indicação formal do encarregado (art. 41 da LGPD).
11. Decisões automatizadas
O Recruit produz análises e recomendações sobre candidatos. A decisão de avançar ou não com um candidato é registrada por uma pessoa, identificada, com motivo e data. A análise da IA não substitui esse registro — ela o antecede.
[REVISAR COM ADVOGADO] — redação relativa ao art. 20 da LGPD e ao direito de solicitar revisão, considerando que a controladora é a agência.
12. Alterações desta política
Mudanças materiais serão comunicadas às agências contratantes. [REVISAR COM ADVOGADO: definir o meio e a antecedência da comunicação.]