Esta é uma tradução. Em caso de divergência em relação à versão em inglês, a versão em inglês prevalece. English

1. Quem somos

A CVTailor é operada por Own Latitude ("Own Latitude", "nós", "nosso", "nos"), uma empresa registrada nos Países Baixos, Câmara de Comércio (KVK) número 42173419, número de IVA NL005557761B20. Endereço: Bovenover 49, 1025 JJ Amsterdam. Somos o responsável pelo tratamento dos dados pessoais descritos nesta política. Contato: [email protected] (veja a Seção 13).

2. Quais dados tratamos

É necessária uma conta para gerar currículos. Ao usar a CVTailor, tratamos os seguintes dados:

• Endereço de e-mail da conta - coletado ao criar uma conta, usado para autenticá-lo e permitir que você entre
• Detalhes do perfil - o perfil principal que você monta ou envia pode incluir seu nome, e-mail, número de telefone, localização, localização de destino e links do LinkedIn/GitHub/site, e opcionalmente uma foto de perfil. Você escolhe o que preencher.
• Documentos e conteúdo de currículo - os currículos e documentos de apoio que você envia (PDF, Word, texto, Markdown), e o texto do currículo que você cola ou edita
• Texto da descrição da vaga e perguntas de candidatura - as vagas, anotações e perguntas de candidatura que você fornece. Se você importar uma vaga a partir de um link, nosso servidor busca essa página para ler a vaga; apenas o link que você forneceu é enviado, nunca seus dados.
• Resultados gerados - os currículos personalizados, cartas de apresentação, respostas de candidatura e avaliações de adequação que o serviço produz para você
• Dados de pagamento - se você comprar candidaturas, o pagamento é processado pela Stripe; recebemos a confirmação da sua compra (ID da conta, pacote, valor, o IVA incluído, moeda e qualquer código de desconto), mas nunca os dados do seu cartão. A Stripe também nos fornece uma impressão digital do cartão com que você paga - um código derivado do número do cartão que não pode ser convertido de volta nele (veja a Seção 3).
• Dados de indicação - se você convidar um amigo ou se cadastrar por meio de um link de convite, quais contas a indicação conecta, quando, e se ela gerou o bônus
• Dados de uso e segurança - endereço IP e carimbos de data/hora das requisições para limitação de taxa e prevenção de abuso; hashes salgados e irreversíveis de endereços IP e de documentos enviados, usados para detectar abuso de candidaturas gratuitas (veja a Seção 3); e, somente se você optar por participar, eventos de análise pseudonimizados (veja a Seção 8)

3. Como usamos seus dados

• Endereço de e-mail - usado para autenticar sua conta (entrar, redefinir senha) e para identificá-lo e responder quando você contata o suporte ou envia feedback. Não enviamos e-mails de marketing, a menos que você opte por receber e-mails de atualização do produto em Configurações.
• Seu perfil, documentos, currículo e texto da descrição da vaga são enviados para a API Claude da Anthropic para gerar currículos personalizados, cartas de apresentação e respostas de candidatura.
• Seu histórico de geração é armazenado em sua conta - descrições de vagas, currículos gerados, cartas de apresentação, respostas de candidatura e avaliações de adequação são mantidos para que você possa revisitá-los, baixá-los novamente e iterar sobre eles. Eles permanecem até que você exclua a geração individual ou sua conta (veja as Seções 6 e 7).
• Seu perfil principal, documentos enviados e fotos são criptografados (AES-256-GCM) antes de serem armazenados; cópias de trabalho existem no servidor da aplicação enquanto você usa o serviço. Os currículos gerados salvos em seu histórico contêm o que aparece no próprio currículo - incluindo sua foto, se você ativou uma - e são armazenados como documentos em nosso banco de dados, sem esta camada adicional de criptografia.
• Prevenção de abuso - endereços IP são usados para limitação de taxa. Um hash salgado e irreversível do seu endereço IP pode ser registrado no cadastro, e quando um link de convite é usado ou acessado, para impedir que candidaturas gratuitas sejam exploradas em massa; esses hashes são excluídos em até 31 dias. Um hash salgado e chaveado de cada documento que você envia (nunca o documento em si) é mantido por 90 dias para identificar uma pessoa operando várias contas; ele apenas produz uma contagem para revisão humana, e nenhuma decisão automatizada é tomada com base nele. Endereços IP em texto puro não são gravados em nossos registros de aplicação nem vinculados ao seu conteúdo.
• Prevenção de fraude em pagamentos - quando você paga com cartão, guardamos com a sua conta a impressão digital do cartão fornecida pela Stripe. Se uma conta for suspensa por fraude ou abuso, os cartões usados nela não podem mais comprar aqui, a partir de nenhuma conta, e uma compra feita com um deles é reembolsada integralmente. O mesmo vale para qualquer conta que tenha pagado com um desses cartões, seja qual for o método de pagamento que use depois. Suspender uma conta é sempre a decisão de uma pessoa, cada compra recusada é analisada por uma pessoa e você pode nos pedir que revisemos a sua. Um cartão usado em várias contas é apenas sinalizado para que uma pessoa o analise. Também contamos as compras de cada conta: um número incomumente alto em pouco tempo pausa novas compras nessa conta por até 24 horas, e uma pessoa é alertada.
• Programa de indicação - se você usar um link de convite, registramos a indicação para que ambas as contas recebam o bônus descrito no convite, e para que o programa não possa ser abusado.
• Não tomamos decisões sobre você baseadas unicamente em processamento automatizado que produzam efeitos jurídicos ou similarmente significativos.

4. Operadores terceirizados

Usamos os seguintes serviços de terceiros que podem tratar seus dados em nosso nome:

• Anthropic (API Claude) - seu perfil, documentos, currículo e texto da descrição da vaga são enviados para a API da Anthropic para processamento de IA. A Anthropic não usa entradas ou saídas da API para treinar seus modelos. Sob os termos comerciais padrão da Anthropic, ela os exclui em até 30 dias, a menos que sejam sinalizados por violação de sua política de uso (então mantidos por até 2 anos) ou a lei exija um prazo maior. Para tornar a geração mais rápida, parte de uma requisição pode ficar retida por alguns minutos no cache de prompt de curta duração da Anthropic. A política de privacidade da Anthropic se aplica: anthropic.com/privacy.
• Supabase - nosso provedor de autenticação e plataforma de banco de dados/armazenamento, hospedado em Londres, Reino Unido. Sua conta, histórico de geração, saldo de candidaturas, avaliações e preferências são armazenados no banco de dados gerenciado do Supabase; seu perfil, documentos e fotos criptografados, em seu armazenamento. A política de privacidade do Supabase se aplica: supabase.com/privacy.
• Railway - nosso provedor de hospedagem em nuvem. A infraestrutura de servidores e os registros são processados na plataforma da Railway.
• Stripe - processamento de pagamento ao comprar candidaturas. A Stripe coleta os dados do seu cartão diretamente; nós nunca os vemos. No checkout, a Stripe também pede os dados do endereço de cobrança necessários para calcular o IVA, como o seu país. A Stripe também usa dados de pagamento como controladora independente, por exemplo para prevenir fraudes e cumprir suas próprias obrigações legais. A política de privacidade da Stripe se aplica: stripe.com/privacy.
• Cloudflare - o Cloudflare Turnstile fornece proteção contra bots no cadastro e no login, processando sinais técnicos do seu navegador (como endereço IP e características do dispositivo) para distinguir humanos de bots. O Cloudflare Workers KV mantém brevemente uma decisão de consentimento de analytics (seu identificador de conta, a escolha e o horário - nada mais) caso nosso banco de dados não pudesse armazená-la naquele momento, até que seja armazenada, e por no máximo 35 dias. A política de privacidade da Cloudflare se aplica: cloudflare.com/privacypolicy.
• Resend - entrega de e-mails para mensagens transacionais e de suporte. Se você contatar o suporte ou enviar feedback, o conteúdo da sua mensagem é entregue por meio da Resend.
• Meta Platforms Ireland Ltd. - somente se você aceitar os cookies de marketing: o pixel da Meta em nossas páginas e os eventos que nosso servidor envia à Meta (seção 8), para medir nossos anúncios no Facebook e no Instagram. Na coleta e no envio desses dados, a Meta e nós somos controladores conjuntos (art. 26 do RGPD); o que a Meta faz com eles depois é regido pela política de privacidade da Meta: facebook.com/privacy/policy.

5. Base legal para o tratamento (RGPD)

Tratamos dados pessoais com base nas seguintes bases legais:

• Execução do contrato / prestação do serviço (Art. 6(1)(b) do RGPD) - para sua conta, perfil, documentos, histórico de geração, saldo de candidaturas, bônus de indicação e processamento de pagamento: tudo o que é necessário para fornecer o serviço que você solicitou
• Interesse legítimo (Art. 6(1)(f) do RGPD) - para limitação de taxa, proteção contra bots e prevenção de abuso, para o registro de auditoria (Seção 6), para guardar avaliações que não são mostradas publicamente e contá-las na nossa nota geral (Seção 12), e para entender onde compras iniciadas não foram concluídas
• Consentimento (Art. 6(1)(a) do RGPD) - para os cookies e eventos de analytics opcionais (Seção 8), para e-mails de atualização do produto e para mostrar sua avaliação publicamente (Seção 12). Você pode retirar o consentimento a qualquer momento: para cookies em Preferências de cookies, para e-mails de atualização do produto em Configurações, para uma avaliação na página da candidatura em Minhas candidaturas, ou por e-mail.
• Obrigação legal (Art. 6(1)(c) do RGPD) - para manter registros de pagamento conforme exige a legislação tributária holandesa (Seção 6)
• Consentimento (art. 6(1)(a) do RGPD) - para os cookies de marketing opcionais e os eventos de medição de anúncios enviados à Meta (seção 8). Você pode retirá-lo a qualquer momento nas preferências de cookies.

6. Retenção de dados

• E-mail da conta, perfil, documentos e histórico de geração - mantidos enquanto sua conta estiver ativa, até que você exclua o item individual ou sua conta. Excluir sua conta remove tudo isso imediatamente (veja a Seção 7). Se sua conta ficar inativa por 2 anos, podemos excluí-la.
• Arquivos de trabalho no servidor da aplicação - as cópias usadas durante a geração vivem em infraestrutura efêmera, não sobrevivem a reimplantações do servidor, e são excluídas automaticamente assim que sua conta não fizer nenhuma requisição por 24 horas (seu perfil, documentos e histórico armazenados não são afetados e são carregados novamente na próxima vez que você entrar).
• Dados de prevenção de abuso - contadores de limitação de taxa baseados em IP são armazenados em memória e reiniciados quando o servidor é reiniciado. Hashes de IP (do cadastro e de links de convite) são salgados, não reversíveis ao seu endereço, e excluídos automaticamente em até 31 dias. Hashes de documentos enviados são excluídos após 90 dias, ou junto com sua conta, o que ocorrer primeiro.
• Impressões digitais de cartões - mantidas por 24 meses após o último uso do cartão na sua conta, ou excluídas com a sua conta, se isso ocorrer antes. O bloqueio de um cartão usado em uma conta suspensa é mantido por 24 meses, mesmo que essa conta seja excluída.
• Registros de indicação - o registro de que uma indicação ocorreu (os dois identificadores de conta, as datas e o resultado) é mantido após a exclusão da conta para que um bônus não possa ser reivindicado duas vezes. Ele não contém nome, e-mail ou conteúdo, e seu hash de IP é removido após 31 dias, como acima. Assim que uma das duas contas for excluída, o próprio registro é apagado 24 meses após a indicação ter sido feita.
• Registros de pagamento - seu saldo de candidaturas e histórico de compras na CVTailor são excluídos junto com sua conta. Os registros de pagamento em nossa conta Stripe (valor, IVA, data, pacote, e o endereço de e-mail e os dados do endereço de cobrança que você forneceu no checkout) são mantidos por 7 anos, o período exigido pela legislação tributária holandesa.
• Eventos de analytics (somente se você optou por participar) - eventos de uso pseudonimizados são excluídos junto com sua conta, e o cookie de analytics é apagado. Eventos registrados antes de você se cadastrar carregam apenas o identificador aleatório do cookie, nunca sua conta, então só podemos apagá-los quando o navegador do qual você exclui ainda carrega esse cookie - ele dura no máximo 12 meses, e o pedido de exclusão é o único momento em que o vínculo existe. Caso contrário, e para eventos anteriores ao cadastro de qualquer outro navegador, esses eventos permanecem sem vínculo com ninguém e são removidos pela limpeza de 14 meses abaixo. Independentemente de tudo isso, os eventos de analytics são excluídos automaticamente assim que completam mais de 14 meses, por um processo executado diariamente.
• Avaliações - mantidas até você excluí-las ou excluir sua conta, inclusive na exclusão após 2 anos de inatividade. O registro de quando você deu e retirou o consentimento para mostrar uma avaliação é mantido por 24 meses no registro de auditoria (abaixo). Veja a Seção 12.
• Registro de auditoria - um registro das ações realizadas em sua conta (por exemplo: uma exportação de dados solicitada, um documento excluído, um checkout iniciado, uma compra concluída, a conta excluída) é mantido por 24 meses para que possamos responder às suas perguntas, resolver disputas e demonstrar conformidade (Art. 5(2) e Art. 17(3)(e) do RGPD). Ele contém apenas o identificador da sua conta, o nome do evento, o horário e detalhes técnicos como tamanhos e IDs - nunca seu nome, e-mail, documentos ou texto do currículo. Como comprova o que foi feito com sua conta, incluindo sua exclusão, esse registro não é apagado com a conta; ele expira em seu próprio cronograma. Sua exportação de dados o inclui.

7. Seus direitos (RGPD)

Como pessoa na UE/EEE, você tem o direito de:

• Apagamento (direito ao esquecimento) - você pode excluir sua conta e todos os dados associados diretamente no aplicativo: entre e clique em Excluir conta na barra de navegação superior. Isso exclui permanentemente sua conta de nossos sistemas imediatamente. O que permanece está descrito na Seção 6: o registro de auditoria pseudonimizado (expira após 24 meses), o registro de indicação (apagado 24 meses após a indicação), e os registros de pagamento que devemos manter para fins fiscais. Se a sua conta foi suspensa por fraude ou abuso, o bloqueio dos cartões de pagamento usados nela também permanece, por 24 meses (veja a Seção 6).
• Acesso - baixe uma cópia dos dados pessoais que mantemos sobre você diretamente no aplicativo: entre, abra sua página de perfil e, em Privacidade e dados, clique em Baixar meus dados. O arquivo também indica as finalidades, os destinatários, os períodos de retenção e as fontes dos dados.
• Portabilidade - o mesmo download fornece seus dados em formatos legíveis por máquina (JSON, YAML, HTML, Markdown e seus arquivos originais enviados) em um arquivo ZIP.
• Correção - solicite a correção de dados incorretos
• Opor-se ou restringir o tratamento, incluindo o tratamento baseado em nosso interesse legítimo
• Retirar o consentimento a qualquer momento, sem afetar o tratamento realizado anteriormente
• Apresentar uma reclamação à sua autoridade nacional de proteção de dados (nos Países Baixos: Autoriteit Persoonsgegevens, a autoridade holandesa de proteção de dados)

Apagamento, acesso e portabilidade são de autoatendimento. Para correção, restrição ou oposição, entre em contato conosco em [email protected], pela página de suporte ou pelo botão de feedback no aplicativo.

8. Cookies e armazenamento local

Estritamente necessários: um cookie de sessão (para rastrear sua tarefa de geração), um cookie de autenticação quando você entra, um pequeno cookie que armazena sua própria escolha de consentimento de cookies, e, se você chegar por um link de convite, um cookie que mantém esse convite até você se cadastrar. Esses não exigem consentimento.

A análise (analytics) é opcional (opt-in). Somente se você aceitar analytics no banner de cookies, definimos um cookie cv_anon - um identificador aleatório, válido por no máximo 12 meses, vinculado a eventos de uso pseudonimizados (páginas visualizadas, recursos usados; nunca o conteúdo do seu currículo). Se recusar, nenhum cookie de analytics é definido e nenhum evento vinculado a você é registrado. Mantemos contadores operacionais anônimos independentemente da sua escolha - por exemplo, quantos currículos foram gerados com cada modelo, quantos pacotes de candidaturas foram vendidos, ou quantas visitas vieram de um assistente de IA como o ChatGPT ou o Perplexity (e quais rastreadores de IA acessaram nossas páginas públicas) - que não contêm nenhum tipo de identificador e não podem ser conectados a você. Se você aceitar, também definimos um segundo cookie (cv_src, no máximo 180 dias) que registra de onde você veio primeiro - um canal como "busca", "assistente de IA" ou "redes sociais", além de quaisquer tags de campanha (utm_source, utm_medium, utm_campaign) no link pelo qual você chegou. Ele não contém nenhum identificador seu. Da página que o encaminhou guardamos apenas o nome de domínio (por exemplo google.com) e que tipo de site é - nunca o endereço completo nem termos de busca. Também registramos em qual página do nosso próprio site você chegou primeiro: somente o endereço dela, sem nada do que você tenha digitado ali, e com qualquer identificador nele (uma referência de documento, um código de convite) substituído antes de ser armazenado. Isso nos permite ver se um resultado de busca ou uma campanha levou a um cadastro ou a uma compra; o canal é armazenado junto com sua compra e aparece na sua exportação de dados. Retire o consentimento depois em "Preferências de cookies" no rodapé: ambos os cookies são removidos e a origem registrada também é apagada dos seus registros de compra (as próprias compras, e suas candidaturas, não são afetadas). Respeitamos o sinal do navegador Global Privacy Control, que substitui qualquer aceitação anterior.

O marketing é opcional. Só carregamos o pixel da Meta se você aceitar o marketing no aviso de cookies. Ele define dois cookies: _fbp, um identificador aleatório do navegador, e _fbc, que guarda o identificador do clique no anúncio quando você chega por um anúncio da Meta; ambos duram no máximo 90 dias. Nosso servidor também informa à Meta quando você cria uma conta, inicia sua primeira candidatura e conclui uma compra (com valor e moeda). Esses eventos contêm seu endereço de e-mail em forma de hash (SHA-256), os valores dos dois cookies, o user agent do seu navegador, o endereço da página da CVTailor em que o evento ocorreu (sem o que vem depois de um ? ou #), a hora do evento e um identificador do evento que evita que a Meta conte o mesmo evento duas vezes, nunca seu currículo, as vagas ou o que você escreve no app. O objetivo é medir quais anúncios levam a cadastros e compras. Retire o consentimento em "Preferências de cookies" no rodapé: os dois cookies são removidos e nenhum outro evento é enviado. Se você retirar o consentimento com a sessão iniciada, guardamos o momento dessa retirada com sua conta, para que uma compra concluída depois não seja informada à Meta, mesmo que você a tenha iniciado antes. O Global Privacy Control também recusa o marketing.

A escolha do seu modelo de currículo pode ser mantida no armazenamento local do seu navegador (funcional, opcional no mesmo banner).

9. Transferências de dados para fora da UE

Os dados da sua conta, documentos e histórico de geração são armazenados com o Supabase em Londres, Reino Unido, abrangidos pela decisão de adequação da Comissão Europeia para o Reino Unido. O material descrito nas Seções 3 e 4 é enviado para os serviços da Anthropic, que podem processar dados em servidores localizados fora da UE, incluindo nos Estados Unidos; essas transferências são cobertas pelo Data Privacy Framework UE-EUA ou pelas Cláusulas Contratuais-Tipo da Comissão Europeia (veja a política de privacidade da Anthropic). Stripe, Cloudflare, Resend e nosso provedor de hospedagem Railway também podem processar dados fora da UE, sob as salvaguardas estabelecidas em seus termos de processamento de dados; suas políticas de privacidade se aplicam.

Se você aceitar os cookies de marketing, a Meta Platforms Ireland pode transferir os dados para a Meta Platforms, Inc. nos Estados Unidos, com base no EU-US Data Privacy Framework e nas cláusulas contratuais padrão da Comissão Europeia.

10. Crianças

A CVTailor não é direcionada a crianças menores de 16 anos. Não tratamos, conscientemente, dados de crianças.

11. Alterações nesta política

Atualizamos esta política quando o serviço ou a forma como ele trata seus dados muda. A data de "última atualização" no topo mostra a versão mais recente. Se uma alteração afetar materialmente a forma como usamos dados que você já nos forneceu, avisaremos você no aplicativo ou por e-mail antes que ela entre em vigor.

12. Avaliações

Se você deixar uma avaliação depois de baixar um currículo, guardamos as estrelas, o texto, a candidatura a que ela se refere, se você concordou que ela seja mostrada publicamente (com o momento, a versão do texto de consentimento e o idioma em que foi mostrado), quando você retirou o consentimento, se o fez, sua escolha de nome e foto e o status de moderação, com o motivo se não a mostrarmos. As avaliações são armazenadas no Supabase (Seção 4) e estão incluídas na sua exportação de dados.

Avaliações que você não concorda em mostrar. Nós as guardamos para calcular nossa nota geral e melhorar o CVTailor, e para isso lemos o texto. Elas nunca são mostradas. A base legal é nosso interesse legítimo em saber como os usuários avaliam o serviço (art. 6(1)(f) do RGPD). Você pode se opor a qualquer momento. A forma mais simples é excluir a avaliação na página da candidatura, em Minhas candidaturas.

Avaliações que você concorda em mostrar. Só mostramos uma avaliação no nosso site, nas nossas contas de redes sociais e nos nossos anúncios se você marcar a caixa de consentimento separada, e só depois de verificá-la. A base legal é o seu consentimento (art. 6(1)(a) do RGPD). Não publicamos informações de saúde nem outras informações sensíveis: nós as removemos ou não mostramos a avaliação. Uma avaliação que mostramos pode ser vista por qualquer pessoa na internet. No nosso site, seu nome e sua foto são lidos da sua conta cada vez que a avaliação é mostrada. Uma cópia em uma publicação em redes sociais ou em um anúncio mantém o nome e a foto de quando foi feita. As plataformas onde a publicamos, como LinkedIn, Instagram e Facebook, também a tratam de acordo com suas próprias políticas de privacidade.

Retirar o consentimento. Você pode retirar o consentimento a qualquer momento na página da candidatura, em Minhas candidaturas, ou por e-mail, sem afetar o que foi mostrado antes. A avaliação sai então imediatamente do nosso site, e das nossas publicações em redes sociais e anúncios em até 30 dias. Retirar o consentimento não remove suas estrelas da nota geral. Excluir a avaliação, sim. Excluir a candidatura ou sua conta tem o mesmo efeito que excluir a avaliação.

Retenção. As avaliações são mantidas até você excluí-las ou excluir sua conta, inclusive na exclusão após 2 anos de inatividade (Seção 6). Para podermos mostrar o que você aceitou, o registro de quando você deu e retirou o consentimento também é mantido por 24 meses no registro de auditoria (Seção 6).

13. Contato

Dúvidas sobre esta política e solicitações relacionadas à proteção de dados: [email protected], ou o botão de feedback no aplicativo. Own Latitude é o responsável pelo tratamento dos seus dados.