Política de Privacidade
Última atualização: 14 de maio de 2026
1. Quem é o controlador
Esta plataforma é operada por Café Consulting Informática Ltda., CNPJ 13.365.976/0001-00, estabelecida em Bombinhas/SC, Brasil. Para qualquer questão relativa a dados pessoais, fale com nosso Encarregado de Proteção de Dados (DPO): dpo@contrata.se — ou pelo canal geral privacidade@contrata.se.
2. Quais dados coletamos
Coletamos as seguintes categorias de dados pessoais:
- Dados cadastrais: nome, e-mail, senha (armazenada como hash bcrypt), tipo de conta (candidato, empresa ou agência) e data de criação.
- Dados de perfil: telefone, localização, headline, bio, expectativa salarial, disponibilidade, experiências profissionais, formação acadêmica, certificados, skills e idiomas — todos opcionais.
- Dados de login federado (OAuth): ao usar "Entrar com Google" ou "Entrar com LinkedIn", recebemos do provedor seu nome, e-mail e foto de perfil. Não acessamos sua lista de contatos nem postagens.
- Importação do LinkedIn: se você optar por importar seu PDF do LinkedIn, processamos o conteúdo do arquivo localmente e armazenamos os campos extraídos no seu perfil. O PDF original não é mantido após o parsing.
- Dados de uso: candidaturas enviadas, vagas favoritadas, conexões de networking, mensagens privadas e histórico de buscas salvas.
- Dados técnicos: endereço IP anonimizado (último octeto IPv4 / 80 bits IPv6 zerados), tipo de navegador, e cookies (ver Política de Cookies).
- Dados de pagamento: processados pelo nosso parceiro EFI Bank. Não armazenamos número completo de cartão em nossos sistemas.
Não coletamos dados sensíveis (Art. 11) intencionalmente. Caso você inclua tais informações em campos livres do perfil (bio, descrições), você reconhece que está fornecendo esses dados sob sua responsabilidade.
3. Bases legais por finalidade
Cada finalidade de tratamento está mapeada para uma base legal específica do Art. 7º (e Art. 11 quando aplicável) da LGPD:
| Finalidade | Base legal | Artigo |
|---|---|---|
| Criar e manter sua conta, autenticar acessos | Execução de contrato com o titular | Art. 7º, V |
| Conectar candidatos a vagas de empresas | Execução de contrato e legítimo interesse | Art. 7º, V e IX |
| Importar perfil profissional do LinkedIn (PDF) | Consentimento específico no upload | Art. 7º, I |
| Triagem com IA e recomendação de vagas | Legítimo interesse, com possibilidade de oposição | Art. 7º, IX e Art. 18, §2º |
| Envio de comunicações transacionais (verificação de e-mail, alertas de candidatura) | Execução de contrato | Art. 7º, V |
| Newsletter e comunicações de marketing | Consentimento — opt-in não pré-marcado, revogável a qualquer momento | Art. 7º, I |
| Cumprir obrigações fiscais e tributárias (faturas, recibos) | Cumprimento de obrigação legal/regulatória | Art. 7º, II |
| Prevenir fraude, abuso e proteger a segurança da plataforma | Legítimo interesse | Art. 7º, IX |
| Analytics agregados e melhoria do produto | Consentimento (cookies de desempenho) | Art. 7º, I |
4. Com quem compartilhamos seus dados
Compartilhamos dados nas seguintes situações: (a) com a empresa contratante, quando você se candidata a uma vaga; (b) com prestadores de serviços (subprocessadores) abaixo, sob contrato de operador (DPA); (c) por obrigação legal ou ordem judicial. Nunca vendemos seus dados pessoais.
Subprocessadores
| Operador | Finalidade | Localização |
|---|---|---|
| Supabase, Inc. | Banco de dados, auth e storage | EUA / Europa |
| Google LLC (Analytics 4) | Métricas agregadas de uso | EUA |
| Google LLC (OAuth Sign-In) | Login federado | EUA |
| LinkedIn Corp. | Login federado e importação de perfil | EUA |
| Zoho Corporation | E-mails transacionais (SMTP) | EUA / Índia |
| Hugging Face, Inc. | Inferência de IA (triagem e recomendação) | EUA |
| EFI Bank S.A. | Processamento de pagamentos (Pix, boleto) | Brasil |
| Meilisearch SAS | Indexação e busca de vagas | França (próprio servidor) |
5. Transferência internacional
Alguns dos nossos operadores estão sediados fora do Brasil. As transferências internacionais ocorrem com base em (i) cláusulas-padrão contratuais aprovadas pela ANPD, (ii) garantias contratuais equivalentes às oferecidas pela LGPD, ou (iii) seu consentimento específico, conforme Art. 33 da LGPD.
6. Prazos de retenção
| Categoria | Prazo | Motivo |
|---|---|---|
| Dados da conta (nome, e-mail, perfil) | Enquanto a conta estiver ativa | Necessário para prestação do serviço |
| Candidaturas e mensagens | Até a exclusão da conta ou solicitação específica | Histórico relevante para o titular e empresa contratante |
| Logs de auditoria (acessos, ações administrativas) | 180 dias | Investigação de incidentes e segurança (Art. 16, III) |
| Logs de erro e diagnóstico | 30 dias | Operação técnica |
| Notas fiscais, faturas e dados de cobrança | 5 anos (Art. 174 do CTN) | Obrigação legal/fiscal |
| Backups criptografados | 30 dias rolling | Recuperação de desastre |
7. Seus direitos como titular
A LGPD garante a você, titular dos dados, os direitos abaixo. Atendemos solicitações em até 15 dias contados do recebimento.
| Direito | Como exercer |
|---|---|
| Confirmação e acesso (Art. 18, I e II) | Configurações → Meus dados pessoais ou solicitação ao DPO |
| Correção (Art. 18, III) | Edite seu perfil em qualquer momento |
| Anonimização, bloqueio ou eliminação (Art. 18, IV) | Configurações → Excluir conta |
| Portabilidade (Art. 18, V) | Configurações → Exportar dados (JSON) |
| Eliminação dos dados tratados com consentimento (Art. 18, VI) | Configurações → Excluir conta |
| Informação sobre compartilhamento (Art. 18, VII) | Lista de subprocessadores nesta página |
| Informação sobre não consentir (Art. 18, VIII) | Esta política descreve cada base legal e suas consequências |
| Revogação do consentimento (Art. 18, IX) | Banner de cookies, descadastro de e-mail ou solicitação ao DPO |
| Oposição a tratamento por legítimo interesse (Art. 18, §2º) | Solicitação ao DPO descrevendo o motivo |
8. Segurança
Aplicamos as seguintes medidas técnicas e organizacionais (Art. 46):
- HTTPS/TLS em todo o tráfego, com cabeçalho HSTS em produção
- Senhas armazenadas como hash bcrypt (custo 10)
- IP anonimizado em logs de auditoria
- Rate limiting em endpoints sensíveis (login, registro, recuperação de senha)
- RBAC — controle de acesso por papel, com princípio do menor privilégio
- Logs de auditoria com retenção de 180 dias
- Backups criptografados (operados pela Supabase) com janela de 30 dias
- Atualização contínua de dependências e gestão de vulnerabilidades
- Autenticação multifator (MFA) opcional pra contas administrativas
9. Cookies
Utilizamos cookies essenciais (sempre ativos) e, mediante seu consentimento, cookies de desempenho, funcionalidade e marketing. Você pode revogar ou ajustar a qualquer momento — veja a Política de Cookies ou clique abaixo:
10. Crianças e adolescentes
A plataforma é destinada a maiores de 18 anos. Não coletamos intencionalmente dados de menores. Se identificarmos cadastro de menor sem consentimento dos responsáveis, removeremos a conta e os dados associados.
11. Incidentes de segurança
Em caso de incidente que possa acarretar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em prazo razoável, conforme Art. 48 da LGPD.
12. Mudanças nesta política
Quando atualizarmos esta política de forma material, notificaremos você na próxima sessão e — para aspectos sujeitos a consentimento — solicitaremos novo aceite. O histórico de versões fica registrado internamente.
13. Contato
Encarregado de Proteção de Dados: dpo@contrata.se
Canal geral de privacidade: privacidade@contrata.se
Você também pode registrar reclamação diretamente à ANPD em www.gov.br/anpd.