Acordo de Tratamento de Dados (DPA)

Controlador: o Cliente identificado no cadastro da conta do N-Recruit ("Cliente"). Operador: Danilo de Oliveira Nascimento Desenvolvimento de Software Ltda., CNPJ 39.428.766/0001-07, com sede na Rua Marciano Capella, 698, apto. 02, Vila Ré, São Paulo/SP, CEP 03669-030 ("Nascoliver", "N-Recruit", "nós").

Este acordo é um anexo dos Termos de Uso. O Cliente o aceita eletronicamente junto com os Termos, ao criar a conta ou contratar um plano. Não é preciso assinar outro documento. Guardamos a data e a versão do aceite. Se o Cliente precisar de uma via assinada, pode pedir ao encarregado.

Em caso de conflito com os Termos sobre dados pessoais, vale este acordo.

O N-Recruit trata dados pessoais de candidatos, de contatos e de usuários do Cliente em nome dele e conforme suas instruções, só para operar a plataforma de recrutamento contratada.

O Cliente é o controlador: define a finalidade (recrutamento e seleção) e a base legal do tratamento.

As instruções do Cliente são: os Termos de Uso, este acordo e as configurações e ações que o Cliente faz na plataforma. Se uma instrução nos parecer contrária à LGPD, avisaremos o Cliente.

Candidatos: nome, e-mail, telefone, localização, perfil profissional (currículo, experiência, formação, habilidades), pretensão salarial, respostas a formulários e testes, conversas da entrevista IA por link, anotações e avaliações da equipe.

Usuários e contatos do Cliente: nome, e-mail, papel e registros de acesso.

O N-Recruit não pede dados sensíveis (art. 5º, II, da LGPD). Se o Cliente coletar esse tipo de dado por formulários próprios, ele responde pela base legal.

Tratar os dados só conforme este acordo e as instruções do Cliente (art. 39).

Manter medidas de segurança adequadas (art. 46): isolamento dos dados por empresa, controle de acesso por papéis, HTTPS, credenciais e chaves de IA criptografadas, currículos acessados por link temporário, registro de atividades da equipe e cópias de segurança.

Garantir que todas as pessoas autorizadas a tratar os dados tenham dever de sigilo.

Avisar o Cliente em até 48 horas depois de tomar conhecimento de incidente de segurança que possa causar risco ou dano relevante aos titulares, com as informações do art. 48, §1º, disponíveis no momento.

Apoiar o Cliente nos pedidos dos titulares (acesso, correção, eliminação, portabilidade, informação sobre compartilhamento e revisão de decisões automatizadas). Se um candidato nos procurar diretamente, encaminhamos o pedido ao Cliente em até 5 dias úteis.

Não usar dados de candidatos para finalidade própria, inclusive para treinar modelos de IA.

Ter base legal para o tratamento e informar os candidatos. A página de carreiras exibe o aviso e registra o aceite do candidato.

Quando incluir candidatos por conta própria (busca ativa, indicação, importação ou extensão do LinkedIn), informar o candidato sobre o tratamento e respeitar os termos de uso das fontes (arts. 9º e 10, §2º).

Revisar as decisões tomadas com apoio de IA. A triagem e a entrevista IA são apoio; a decisão final é do Cliente (art. 20).

Manter seguras as credenciais da equipe e desativar usuários desligados.

Regra padrão: o candidato sem atividade há mais de 2 anos (730 dias) é anonimizado automaticamente. Atividade é qualquer alteração no registro do candidato, como nova candidatura, mudança de etapa, edição ou comentário.

Na anonimização saem nome, contatos, currículo (arquivo e texto), histórico profissional, respostas, comentários, análises em texto e conversas. Ficam só a etapa, as datas e as notas numéricas, sem identificar a pessoa, para manter os relatórios do funil.

Ao aceitar este acordo, o Cliente adota essa regra como sua instrução de retenção. Ele pode excluir candidatos antes, a qualquer momento, na plataforma. Se precisar guardar dados por mais tempo (por exemplo, para defesa em processo), deve exportá-los antes do prazo.

O Cliente autoriza estes suboperadores, necessários para operar o serviço: MongoDB Atlas (banco de dados), Render (hospedagem da API), Vercel (hospedagem do site), Amazon S3 ou Cloudflare R2 (armazenamento de currículos), Resend (envio de e-mails), Stripe (cobrança da assinatura, sem dados de candidatos), Google (Gmail e Calendar, quando o Cliente conecta a conta) e o provedor de IA escolhido pelo Cliente (OpenAI, Anthropic, Groq, Google ou OpenRouter).

Resend, Stripe, Google e os provedores de IA tratam dados nos EUA. A região dos demais fornecedores é informada ao Cliente mediante pedido ao encarregado.

No caso da IA, o Cliente contrata o provedor diretamente (BYOK: usa a própria chave). Enviamos a esse provedor só o necessário para a função que o Cliente ativou.

Avisaremos o Cliente com 30 dias de antecedência sobre novos suboperadores. O Cliente pode se opor por motivo razoável. Se não houver acordo, pode cancelar a assinatura sem multa.

Parte dos suboperadores trata dados fora do Brasil. Essas transferências seguem o art. 33 da LGPD. Usamos as cláusulas-padrão contratuais da ANPD (Resolução CD/ANPD nº 19/2024) quando o fornecedor as oferece, ou outro mecanismo previsto no art. 33.

Após o fim da assinatura, o Cliente tem 30 dias para pedir a exportação dos dados ou reativar a conta.

Em até 90 dias após o fim da assinatura, excluímos ou anonimizamos os dados do Cliente, inclusive currículos armazenados. Guardamos só o que a lei exige (por exemplo, dados fiscais da cobrança).

Cópias de segurança são sobrescritas no ciclo normal de rotação e não são usadas para outra finalidade.

Mediante pedido razoável, no máximo uma vez por ano, o N-Recruit fornece informações que demonstram o cumprimento deste acordo.

Cada parte responde pelos seus atos conforme os arts. 42 a 45 da LGPD. Os demais limites seguem os Termos de Uso, salvo quando a lei não permitir.

Encarregado do N-Recruit: Danilo de Oliveira Nascimento, sócio da Nascoliver. E-mail: contato@nrecruit.app