Esta é uma tradução. Em caso de divergência em relação à versão em inglês, prevalece a versão em inglês. English

1. Quem somos

A CVTailor é operada por Own Latitude ("Own Latitude", "nós", "nosso", "nos"), uma empresa registada nos Países Baixos, com o número da Câmara de Comércio (KVK) 42173419, número de IVA NL005557761B20. Morada: Bovenover 49, 1025 JJ Amsterdam. Somos o responsável pelo tratamento dos dados pessoais descritos na presente política. Contacto: [email protected] (ver Secção 12).

2. Que dados tratamos

É necessária uma conta para gerar CV. Quando utiliza a CVTailor, tratamos os seguintes dados:

• Endereço de correio eletrónico da conta - recolhido quando cria uma conta, utilizado para o autenticar e lhe permitir iniciar sessão
• Dados do perfil - o perfil principal que o utilizador cria ou carrega pode incluir o seu nome, correio eletrónico, número de telefone, localização, localização pretendida e ligações para LinkedIn/GitHub/sítio Web e, opcionalmente, uma fotografia de perfil. É o utilizador quem escolhe o que preencher.
• Documentos e conteúdo do CV - os CV e os documentos de apoio que carrega (PDF, Word, texto, Markdown) e o texto do CV que cola ou edita
• Texto da descrição da oferta de emprego e perguntas de candidatura - as ofertas, notas e perguntas de candidatura que fornece. Se importar uma oferta a partir de uma ligação, o nosso servidor obtém essa página para ler a oferta; é enviada apenas a ligação que indicou, nunca os seus dados.
• Resultados gerados - os CV personalizados, cartas de apresentação, respostas de candidatura e avaliações de adequação que o serviço produz para si
• Dados de pagamento - se adquirir candidaturas, o pagamento é tratado pela Stripe; recebemos a confirmação da sua compra (ID da conta, pacote, montante, o IVA incluído, moeda e qualquer código de desconto), mas nunca os dados do seu cartão. A Stripe fornece-nos também uma impressão digital do cartão com que paga - um código derivado do número do cartão que não pode ser convertido de volta nele (ver Secção 3).
• Dados de recomendação - se convidar um amigo ou se registar através de uma ligação de convite, quais as contas que a recomendação associa, quando, e se deu origem ao bónus
• Dados de utilização e de segurança - endereço IP e registos de data e hora dos pedidos para limitação de utilização e prevenção de abusos; hashes com sal e irreversíveis de endereços IP e de documentos carregados, utilizados para detetar abusos das candidaturas gratuitas (ver Secção 3); e, apenas se o utilizador aderir, eventos de análise pseudonimizados (ver Secção 8)

3. Como utilizamos os seus dados

• Endereço de correio eletrónico - utilizado para autenticar a sua conta (início de sessão, reposição da palavra-passe) e para o identificar e lhe responder quando contacta o apoio ao cliente ou envia feedback. Não enviamos mensagens de marketing, salvo se o utilizador optar por receber mensagens de novidades do produto nas Definições.
• O seu perfil, documentos, CV e texto da descrição da oferta são enviados para a API Claude da Anthropic para gerar CV personalizados, cartas de apresentação e respostas de candidatura.
• O seu histórico de gerações é armazenado na sua conta - descrições de ofertas, CV gerados, cartas de apresentação, respostas de candidatura e avaliações de adequação são conservados para que possa consultá-los de novo, descarregá-los novamente e trabalhar sobre eles. Permanecem até que elimine a geração individual ou a sua conta (ver Secções 6 e 7).
• O seu perfil principal, os documentos carregados e as fotografias são cifrados (AES-256-GCM) antes de serem armazenados; existem cópias de trabalho no servidor da aplicação enquanto o utilizador usa o serviço. Os CV gerados e guardados no seu histórico contêm o que consta do próprio CV - incluindo a sua fotografia, se tiver ativado uma - e são armazenados como documentos na nossa base de dados, sem esta camada adicional de cifragem.
• Prevenção de abusos - os endereços IP são utilizados para limitação de utilização. Pode ser registado um hash com sal e irreversível do seu endereço IP no momento do registo e quando uma ligação de convite é utilizada ou acedida, para impedir a exploração massiva de candidaturas gratuitas; esses hashes são eliminados no prazo de 31 dias. Um hash com sal e com chave de cada documento que carrega (nunca o documento em si) é conservado durante 90 dias para detetar uma pessoa que opere várias contas; apenas produz uma contagem para análise humana e não é tomada qualquer decisão automatizada com base nele. Os endereços IP em bruto não são escritos nos registos da nossa aplicação nem associados ao seu conteúdo.
• Prevenção de fraude nos pagamentos - quando paga com cartão, guardamos com a sua conta a impressão digital do cartão fornecida pela Stripe. Se uma conta for suspensa por fraude ou abuso, os cartões utilizados nela deixam de poder comprar aqui, a partir de qualquer conta, e uma compra feita com um deles é reembolsada na totalidade. O mesmo se aplica a qualquer conta que tenha pago com um desses cartões, seja qual for o método de pagamento que utilize depois. Suspender uma conta é sempre a decisão de uma pessoa, cada compra recusada é analisada por uma pessoa e pode pedir-nos que revejamos a sua. Um cartão utilizado em várias contas é apenas assinalado para que uma pessoa o analise. Contamos também as compras de cada conta: um número invulgarmente elevado em pouco tempo suspende novas compras nessa conta durante um máximo de 24 horas, e uma pessoa é alertada.
• Programa de recomendação - se utilizar uma ligação de convite, registamos a recomendação para que ambas as contas recebam o bónus descrito no convite e para que o programa não possa ser objeto de abuso.
• Não tomamos decisões a seu respeito baseadas exclusivamente em tratamento automatizado que produzam efeitos jurídicos ou que o afetem significativamente de forma semelhante.

4. Subcontratantes terceiros

Utilizamos os seguintes serviços de terceiros, que podem tratar os seus dados por nossa conta:

• Anthropic (API Claude) - o seu perfil, documentos, CV e texto da descrição da oferta são enviados para a API da Anthropic para tratamento por IA. A Anthropic não utiliza os dados de entrada ou de saída da API para treinar os seus modelos. Ao abrigo dos termos comerciais padrão da Anthropic, elimina-os no prazo de 30 dias, salvo se forem assinalados por violação da sua política de utilização (sendo então conservados até 2 anos) ou se a lei exigir um prazo mais longo. Para tornar a geração mais rápida, parte de um pedido pode ficar retida durante alguns minutos na cache de prompts de curta duração da Anthropic. Aplica-se a política de privacidade da Anthropic: anthropic.com/privacy.
• Supabase - o nosso fornecedor de autenticação e plataforma de base de dados/armazenamento, alojada em Londres, Reino Unido. A sua conta, histórico de gerações, saldo de candidaturas e preferências são armazenados na base de dados gerida do Supabase; o seu perfil, documentos e fotografias cifrados, no respetivo armazenamento. Aplica-se a política de privacidade do Supabase: supabase.com/privacy.
• Railway - o nosso fornecedor de alojamento na nuvem. A infraestrutura de servidores e os registos são tratados na plataforma da Railway.
• Stripe - processamento de pagamentos na compra de candidaturas. A Stripe recolhe diretamente os dados do seu cartão; nós nunca os vemos. No pagamento, a Stripe pede também os dados do endereço de faturação necessários para calcular o IVA, como o seu país. A Stripe utiliza ainda os dados de pagamento como responsável pelo tratamento independente, por exemplo para prevenir fraudes e cumprir as suas próprias obrigações legais. Aplica-se a política de privacidade da Stripe: stripe.com/privacy.
• Cloudflare - o Cloudflare Turnstile assegura a proteção contra bots no registo e no início de sessão, tratando sinais técnicos do seu navegador (como o endereço IP e as características do dispositivo) para distinguir humanos de bots. O Cloudflare Workers KV conserva brevemente uma decisão de consentimento para analytics (o identificador da sua conta, a escolha e a hora - nada mais) caso a nossa base de dados não a pudesse armazenar nesse momento, até que seja armazenada e, no máximo, durante 35 dias. Aplica-se a política de privacidade da Cloudflare: cloudflare.com/privacypolicy.
• Resend - envio de correio eletrónico para mensagens transacionais e de apoio. Se contactar o apoio ou enviar feedback, o conteúdo da sua mensagem é entregue através da Resend.

5. Fundamento jurídico do tratamento (RGPD)

Tratamos dados pessoais com base nos seguintes fundamentos jurídicos:

• Execução de um contrato / prestação do serviço (art. 6.º, n.º 1, alínea b), do RGPD) - para a sua conta, perfil, documentos, histórico de gerações, saldo de candidaturas, bónus de recomendação e processamento de pagamentos: tudo o que é necessário para prestar o serviço que solicitou
• Interesse legítimo (art. 6.º, n.º 1, alínea f), do RGPD) - para a limitação de utilização, a proteção contra bots e a prevenção de abusos, para o registo de auditoria (Secção 6) e para compreender em que casos as compras iniciadas não foram concluídas
• Consentimento (art. 6.º, n.º 1, alínea a), do RGPD) - para os cookies e eventos de analytics opcionais (Secção 8) e para as mensagens de novidades do produto. Pode retirar o consentimento a qualquer momento através das Preferências de cookies ou nas Definições.
• Obrigação jurídica (art. 6.º, n.º 1, alínea c), do RGPD) - para conservar os registos de pagamento, conforme exigido pela lei fiscal neerlandesa (Secção 6)

6. Conservação dos dados

• Correio eletrónico da conta, perfil, documentos e histórico de gerações - conservados enquanto a sua conta estiver ativa, até que elimine o item individual ou a sua conta. A eliminação da conta remove tudo isto de imediato (ver Secção 7). Se a sua conta estiver inativa durante 2 anos, podemos eliminá-la.
• Ficheiros de trabalho no servidor da aplicação - as cópias utilizadas durante a geração residem em infraestrutura efémera, não sobrevivem a novas instalações do servidor e são eliminadas automaticamente assim que a sua conta não efetue qualquer pedido durante 24 horas (o seu perfil, documentos e histórico armazenados não são afetados e são carregados de novo na próxima vez que iniciar sessão).
• Dados de prevenção de abusos - os contadores de limitação de utilização baseados em IP são armazenados em memória e repostos quando o servidor é reiniciado. Os hashes de IP (do registo e das ligações de convite) têm sal, não são reversíveis para o seu endereço e são eliminados automaticamente no prazo de 31 dias. Os hashes dos documentos carregados são eliminados após 90 dias ou com a sua conta, consoante o que ocorrer primeiro.
• Impressões digitais de cartões - conservadas durante 24 meses após a última utilização do cartão na sua conta, ou eliminadas com a sua conta, se isso acontecer antes. O bloqueio de um cartão utilizado numa conta suspensa é conservado durante 24 meses, mesmo que essa conta seja eliminada.
• Registos de recomendação - o registo de que ocorreu uma recomendação (os dois identificadores de conta, as datas e o resultado) é conservado após a eliminação da conta para que um bónus não possa ser reclamado duas vezes. Não contém nome, correio eletrónico nem conteúdo, e o respetivo hash de IP é removido após 31 dias, como acima. Assim que uma das duas contas for eliminada, o próprio registo é apagado 24 meses após a recomendação ter sido feita.
• Registos de pagamento - o seu saldo de candidaturas e o histórico de compras na CVTailor são eliminados com a sua conta. Os registos de pagamento na nossa conta Stripe (montante, IVA, data, pacote, e o endereço de correio eletrónico e os dados do endereço de faturação que indicou no pagamento) são conservados durante 7 anos, o período exigido pela lei fiscal neerlandesa.
• Eventos de analytics (apenas se o utilizador aderiu) - os eventos de utilização pseudonimizados são eliminados juntamente com a sua conta e o cookie de analytics é apagado. Os eventos registados antes de se registar contêm apenas o identificador aleatório do cookie, nunca a sua conta, pelo que só os podemos apagar quando o navegador a partir do qual efetua a eliminação ainda tiver esse cookie - dura, no máximo, 12 meses, e o pedido de eliminação é o único momento em que a associação existe. Caso contrário, e para os eventos anteriores ao registo provenientes de qualquer outro navegador, esses eventos não são associáveis a ninguém e são removidos pela limpeza de 14 meses abaixo descrita. Independentemente de tudo isto, os eventos de analytics são eliminados automaticamente quando têm mais de 14 meses, por uma tarefa executada diariamente.
• Registo de auditoria - um registo das ações efetuadas na sua conta (por exemplo: um pedido de exportação de dados, um documento eliminado, um pagamento iniciado, uma compra concluída, a conta eliminada) é conservado durante 24 meses para podermos responder às suas questões, resolver litígios e demonstrar conformidade (art. 5.º, n.º 2, e art. 17.º, n.º 3, alínea e), do RGPD). Contém apenas o identificador da sua conta, o nome do evento, a hora e dados técnicos como tamanhos e identificadores - nunca o seu nome, correio eletrónico, documentos ou texto do CV. Uma vez que comprova o que foi feito na sua conta, incluindo a sua eliminação, este registo não é apagado com a conta; expira de acordo com o seu próprio calendário. A sua exportação de dados inclui-o.

7. Os seus direitos (RGPD)

Enquanto pessoa na UE/EEE, o utilizador tem o direito de:

• Apagamento (direito a ser esquecido) - pode eliminar a sua conta e todos os dados associados diretamente na aplicação: inicie sessão e clique em Eliminar conta na barra de navegação superior. Isto elimina de imediato e de forma permanente a sua conta dos nossos sistemas. O que permanece está descrito na Secção 6: o registo de auditoria pseudonimizado (expira após 24 meses), o registo de recomendação (apagado 24 meses após a recomendação ter sido feita) e os registos de pagamento que temos de conservar para efeitos fiscais. Se a sua conta foi suspensa por fraude ou abuso, mantém-se também o bloqueio dos cartões de pagamento utilizados nela, durante 24 meses (ver Secção 6).
• Acesso - descarregue uma cópia dos dados pessoais que conservamos sobre si diretamente na aplicação: inicie sessão, abra a sua página de perfil e, em Privacidade e dados, clique em Descarregar os meus dados. O arquivo indica também as finalidades, os destinatários, os prazos de conservação e as fontes dos dados.
• Portabilidade - a mesma transferência fornece-lhe os seus dados em formatos legíveis por máquina (JSON, YAML, HTML, Markdown e os seus ficheiros originais carregados) num arquivo ZIP.
• Retificação - solicitar a correção de dados inexatos
• Opor-se ao tratamento ou solicitar a sua limitação, incluindo o tratamento baseado no nosso interesse legítimo
• Retirar o consentimento a qualquer momento, sem comprometer o tratamento efetuado anteriormente
• Apresentar reclamação à autoridade nacional de controlo da proteção de dados (nos Países Baixos: Autoriteit Persoonsgegevens, a autoridade neerlandesa de proteção de dados; em Portugal, a Comissão Nacional de Proteção de Dados, CNPD)

O apagamento, o acesso e a portabilidade são de autosserviço. Para retificação, limitação ou oposição, contacte-nos através de [email protected], da página de apoio ou do botão de feedback na aplicação.

8. Cookies e armazenamento local

Estritamente necessários: um cookie de sessão (para acompanhar a sua tarefa de geração), um cookie de autenticação quando inicia sessão, um pequeno cookie que guarda a própria escolha de consentimento de cookies e, se chegar através de uma ligação de convite, um cookie que mantém esse convite até se registar. Estes não requerem consentimento.

A análise estatística (analytics) é opcional (opt-in). Só se aceitar os analytics no banner de cookies é que definimos um cookie cv_anon - um identificador aleatório, válido no máximo 12 meses, associado a eventos de utilização pseudonimizados (páginas visualizadas, funcionalidades utilizadas; nunca o conteúdo do seu CV). Se recusar, não é definido nenhum cookie de analytics e não é registado nenhum evento associado a si. Mantemos contadores operacionais anónimos independentemente da sua escolha - por exemplo, quantos CV foram gerados com cada modelo, quantos pacotes de candidaturas foram vendidos ou quantas visitas chegaram de um assistente de IA como o ChatGPT ou o Perplexity (e que rastreadores de IA acederam às nossas páginas públicas) - que não contêm qualquer tipo de identificador e não podem ser associados a si. Se aceitar, definimos também um segundo cookie (cv_src, no máximo 180 dias) que regista a origem inicial da sua visita - um canal como "pesquisa", "assistente de IA" ou "redes sociais", bem como eventuais etiquetas de campanha (utm_source, utm_medium, utm_campaign) na ligação através da qual chegou. Não contém qualquer identificador seu. Da página que o reencaminhou guardamos apenas o nome de domínio (por exemplo google.com) e o tipo de sítio de que se trata - nunca o endereço completo e nunca quaisquer termos de pesquisa. Registamos também em que página do nosso próprio sítio chegou em primeiro lugar: apenas o respetivo endereço, sem nada do que tenha escrito nela e com qualquer identificador que contenha (uma referência de documento, um código de convite) substituído antes de ser armazenado. Isto permite-nos ver se um resultado de pesquisa ou uma campanha conduziu a um registo ou a uma compra; o canal é armazenado juntamente com a sua compra e consta da sua exportação de dados. Retire o consentimento mais tarde em "Preferências de cookies", no rodapé: ambos os cookies são removidos e a origem registada é também apagada dos seus registos de compra (as compras em si e as suas candidaturas não são afetadas). Respeitamos o sinal do navegador Global Privacy Control, que prevalece sobre qualquer aceitação anterior. Não utilizamos cookies de publicidade.

A escolha do seu modelo de CV pode ser guardada no armazenamento local do seu navegador (funcional, opcional no mesmo banner).

9. Transferências de dados para fora da UE

Os dados da sua conta, os documentos e o histórico de gerações são armazenados no Supabase, em Londres, Reino Unido, abrangidos pela decisão de adequação da Comissão Europeia relativa ao Reino Unido. O conteúdo do seu CV é enviado para a API Claude da Anthropic, que pode tratar dados em servidores situados fora da UE, incluindo nos Estados Unidos; essas transferências são abrangidas pelo Quadro de Privacidade de Dados UE-EUA ou pelas Cláusulas Contratuais-Tipo da Comissão Europeia (ver a política de privacidade da Anthropic). A Stripe, a Cloudflare, a Resend e o nosso fornecedor de alojamento Railway podem igualmente tratar dados fora da UE, ao abrigo das garantias previstas nos respetivos termos de tratamento de dados; aplicam-se as suas políticas de privacidade.

10. Crianças

A CVTailor não se destina a crianças com menos de 16 anos. Não tratamos, de forma consciente, dados de crianças.

11. Alterações à presente política

Atualizamos a presente política quando o serviço ou a forma como trata os seus dados se altera. A data de "última atualização" no topo indica a versão mais recente. Se uma alteração afetar de forma substancial o modo como utilizamos dados que já nos forneceu, informá-lo-emos na aplicação ou por correio eletrónico antes de entrar em vigor.

12. Contacto

Questões sobre a presente política e pedidos relativos à proteção de dados: [email protected], ou o botão de feedback na aplicação. Own Latitude é o responsável pelo tratamento dos seus dados.