Política de privacidade

Responsável pelo tratamento

Mariano De Vitto, empresário em nome individual (autónomo, Espanha), NIF Y8773262H, domicílio em Carrer Lleida 25, 08004 Barcelona, España. Para qualquer questão sobre os seus dados: [email protected].

Não há encarregado de proteção de dados designado: o tratamento não se enquadra nos casos do artigo 37 do RGPD.

Que dados tratamos

• Dados de conta. O email com que entra. Se entrar com o Google, também o seu nome e a sua foto de perfil, que o Google nos fornece.
• Perfil profissional. O que escreve e o que se extrai do seu CV: experiência, formação, competências, idiomas, cidade, nível, regime de trabalho e expectativa salarial.
• O seu currículo. Quando carrega um PDF, lemo-lo para preencher o perfil. Guardamos o texto extraído, não o ficheiro.
• A sua atividade na app. As ofertas que analisou, as respetivas pontuações, o estado de cada candidatura, as suas notas e os documentos gerados.
• Dados de utilização. Data do último acesso e quantas pesquisas e análises fez em cada dia. Serve para que o serviço funcione e para que ninguém esgote os limites das ferramentas que usamos.
• Correio eletrónico, só se o ligar. Se ativar a leitura de alertas de emprego, acedemos à sua caixa de correio unicamente para localizar os emails de alertas de portais de emprego e extrair deles os títulos, empresas e ligações. Não lemos, nem guardamos, nem indexamos o resto do seu correio. Pode desligá-lo quando quiser e a permissão é revogada nesse momento. O que é lido do seu email serve apenas para lhe mostrar as suas próprias ofertas: não é partilhado com outras pessoas nem usado para mais nada. A utilização que o Cernoria faz das informações recebidas das APIs da Google cumpre a Política de Dados do Utilizador dos Serviços de API da Google (https://developers.google.com/terms/api-services-user-data-policy), incluindo os requisitos de Utilização Limitada.
• Respostas das empresas, só se o ativar. Se ativar «Detetar as respostas das empresas», olhamos para o remetente, o assunto e as primeiras linhas dos emails das empresas a que se candidatou, para marcar a candidatura como entrevista ou recusada. Não guardamos nada desses emails.
• Convites. Se chegar pelo convite de outra pessoa, registamos quem o convidou para dar a essa pessoa o mês oferecido. Quem convida só vê quantos dos seus convites foram usados, não quem é você.
• Dados de pagamento, se subscrever um plano. A cobrança é processada integralmente pela Stripe. O Cernoria não vê nem guarda o número do seu cartão: só conserva um identificador de cliente, o plano subscrito e as datas de faturação.
• A sua voz, só se usar o ditado. Se preferir contar algo a falar em vez de escrever, o áudio é enviado para ser convertido em texto e é descartado assim que a transcrição volta. Não guardamos a gravação, nem no seu dispositivo nem nos nossos servidores: fica apenas o texto, no campo onde o pode corrigir antes de guardar. É opcional; se não usar o ditado, não se grava nada.
• As suas entrevistas, só se usar essa secção. Guardamos o que carrega de cada entrevista (empresa, cargo, data, ronda, com quem e as suas notas), a sua transcrição e o feedback que a aplicação gera. Se gravar a entrevista ou carregar a gravação, o áudio é enviado para ser passado a texto e descartado: não é guardado. A transcrição fica guardada com a entrevista enquanto tiver a conta; pode apagá-la quando quiser a partir da entrevista, e é apagada com a conta. Inclui a voz de outras pessoas: compromete-se a avisá-las antes de gravar, e a aplicação pede-lho sempre.
• A extensão do Chrome, só se a instalar. «Cernoria · Transcribir entrevistas» capta o áudio do separador da videochamada (Meet, Teams ou Zoom no navegador) apenas quando carrega em «Ativar transcrição», e envia-o ao Cernoria juntamente com o endereço da reunião para o passar a texto e associar à sua entrevista; o áudio não é guardado. Guarda no seu navegador uma chave que a liga à sua conta e que deixa de valer quando a desliga ou desinstala. Não lê outros separadores nem o seu histórico.
• O seu género, só se o indicar. O perfil tem um campo opcional onde pode dizer como quer ser tratado nos seus documentos. É uma categoria especial de dados (art. 9.º RGPD): só o tratamos com o seu consentimento explícito, nunca o deduzimos do seu nome, não é enviado à inteligência artificial —a esta só se diz se deve escrever no masculino, no feminino ou sem marcar o género— e pode deixá-lo em branco ou apagá-lo quando quiser.

Para que os usamos e com que base legal

• Prestar-lhe o serviço —procurar ofertas, pontuá-las, gerar documentos, fazer o seu acompanhamento—. Base legal: a execução do contrato que aceita ao criar a conta (art. 6.1.b RGPD).
• Cobrar-lhe, se tiver um plano pago, e cumprir as obrigações fiscais e contabilísticas. Base legal: execução do contrato e obrigação legal (art. 6.1.b e 6.1.c).
• Ler os seus alertas de emprego do correio. Base legal: o seu consentimento explícito, que dá no momento de ligar a caixa de correio e pode retirar a qualquer momento (art. 6.1.a).
• Detetar as respostas das empresas e avisos no Telegram. Base legal: o seu consentimento, que dá ao ativá-los e pode retirar a qualquer momento (art. 6.º, n.º 1, alínea a)).
• Manter o serviço seguro e dentro dos seus limites técnicos. Base legal: interesse legítimo (art. 6.1.f).
• Escrever-lhe por questões do serviço —uma alteração importante, um problema com a sua conta—. Base legal: execução do contrato. Não enviamos publicidade.
• Escrever os seus documentos como pede. Se indicar o seu género, a base legal é o seu consentimento explícito para uma categoria especial de dados (art. 9.º, n.º 2, al. a) RGPD), dado ao escolhê-lo e retirado ao apagá-lo. Sem esse dado, os documentos são escritos sem marcar o género.

O que NÃO fazemos

Não vendemos os seus dados. Não os cedemos a empresas para que lhe ofereçam trabalho nem para qualquer outro fim comercial. Não fazemos perfis publicitários. Não usamos os seus dados nem os seus documentos para treinar modelos de inteligência artificial, nem próprios nem de terceiros.

Não enviamos candidaturas em seu nome e não acedemos às suas contas em portais de emprego.

Decisões automatizadas

O Cernoria pontua as ofertas de forma automática e sugere-lhe se deve candidatar-se ou não. Essa pontuação é uma orientação para si: não produz qualquer efeito jurídico sobre si nem o afeta significativamente, porque não decide nada perante terceiros e é sempre o utilizador quem decide se se candidata. Pode sempre ver o detalhe de como foi calculada, discuti-lo e candidatar-se à mesma.

Com quem são partilhados

Só com os fornecedores necessários para que a aplicação funcione, todos com contrato de subcontratante:

• Supabase — base de dados e autenticação. Servidores na União Europeia.
• Hetzner — o servidor próprio do Cernoria, em Nuremberga (Alemanha), que aloja a aplicação e faz todo o tratamento: o site, ler um CV, gerar os documentos e manter atualizado o índice de ofertas. Prestado pela Hetzner Online GmbH.
• Netlify — alojamento de reserva: se o servidor próprio falhar, a aplicação pode voltar a ser servida a partir da Netlify, com as funções em Frankfurt (Alemanha). Entretanto, só verifica de fora que o site responde, sem tratar dados pessoais. Prestado pela Netlify, Inc.; transferência internacional ao abrigo das cláusulas contratuais-tipo.
• Cloudflare — guarda as cópias de segurança da base de dados, cifradas com uma chave que só o Cernoria tem, e é a porta de entrada do site: protege-o de ataques e entrega-o. Prestado pela Cloudflare, Inc.; transferência internacional ao abrigo das cláusulas contratuais-tipo.
• Anthropic — processa o texto do seu perfil e da oferta para gerar a análise e os documentos. A Anthropic não usa o que se envia pela sua API para treinar os seus modelos. Transferência internacional ao abrigo das cláusulas contratuais-tipo da Comissão Europeia.
• OpenAI — só se usar o ditado por voz. Recebe o áudio que grava e devolve-o convertido em texto, e mais nada: nem o seu perfil, nem o seu CV, nem as ofertas. A OpenAI não usa o que é enviado pela sua API para treinar os seus modelos e apaga o áudio depois de processado. Prestado por OpenAI, L.L.C.; transferência internacional ao abrigo das cláusulas contratuais-tipo da Comissão Europeia.
• Mistral AI — só se gravar uma entrevista ou carregar a sua gravação. Recebe o áudio e devolve-o convertido em texto, e mais nada: nem o seu perfil, nem o seu CV, nem as ofertas. Não guarda a gravação nem o texto que devolve: o texto é guardado pelo Cernoria, com a entrevista. Prestado por Mistral AI SAS, empresa estabelecida em França; o tratamento fica na União Europeia.
• Sentry — recebe um aviso técnico quando algo falha na aplicação (que ecrã, que erro), sem o seu perfil, o seu CV nem o texto das ofertas. Prestado pela Functional Software, Inc.; os dados são alojados na sua região europeia.
• Resend — entrega os emails que o Cernoria lhe envia: o de boas-vindas, o resumo de ofertas e os avisos que tenha ativado. Recebe o seu endereço de email e o conteúdo da mensagem; não recebe o seu CV nem o seu perfil. Prestado por Resend, Inc.; transferência internacional ao abrigo das cláusulas contratuais-tipo.
• Telegram — só se ligar o Telegram para receber alertas. Recebe os títulos das ofertas avisadas. O Telegram presta o serviço a partir de fora do Espaço Económico Europeu e não assina cláusulas contratuais-tipo: essa transferência assenta no seu consentimento explícito, que dá ao ligá-lo e retira ao desligá-lo (art. 49.º, n.º 1, alínea a), do RGPD).
• Google — só se escolher entrar com a sua conta Google ou ligar o Gmail.
• Microsoft — só se ligar uma caixa de correio do Outlook.
• Google Tag Manager — é o gestor que carrega as ferramentas de medição abaixo. Por si só não guarda nada no seu dispositivo nem recebe dados seus: apenas decide o que é ativado conforme o que consentiu. Fornecido pela Google Ireland Limited.
• Google Analytics — só se aceitar os cookies de estatística. Recebe as páginas visitadas e dados técnicos do navegador, nunca o seu perfil, o seu CV ou as ofertas que consulta. Transferência internacional coberta pelas cláusulas contratuais-tipo.
• Meta — só se aceitar os cookies de marketing. Recebe a informação de que alguém chegou ao site a partir de um anúncio, para medir as campanhas. Aqui a Meta e o Cernoria são corresponsáveis pelo tratamento. Transferência internacional coberta pelo Quadro de Privacidade de Dados UE-EUA.
• Microsoft — só se aceitar os cookies de estatística. Recebe a gravação de como se usa o ecrã, com todos os textos tapados antes de sair do seu navegador. Não recebe o seu CV, nem as ofertas que consulta, nem o seu nome. Transferência internacional coberta pelas cláusulas contratuais-tipo.
• Stripe — só se subscrever um plano pago. Processa a cobrança e os dados do cartão; o Cernoria só recebe um identificador de cliente, o plano e as datas de faturação. Prestado pela Stripe Payments Europe, Ltd. (Irlanda); as transferências para a Stripe, Inc. estão cobertas pelo Quadro de Privacidade de Dados UE-EUA e pelas cláusulas contratuais-tipo.
• Fontes de ofertas de emprego — recebem a consulta de pesquisa (o cargo e a cidade), nunca a sua identidade nem o seu perfil.

Durante quanto tempo os guardamos

Enquanto tiver a conta aberta. Quando a apaga apaga-se tudo —perfil, CV, análises, documentos e acompanhamento— sem cópia do nosso lado.

Exceção: as faturas e os registos contabilísticos conservam-se pelo prazo que a lei fiscal espanhola exige, que hoje é de quatro anos. Esses documentos contêm o seu nome e o valor, não o seu perfil profissional.

Se não entrar durante dois anos seguidos avisamo-lo por email e, se não responder, apagamos a conta.

Os seus direitos

Tem direito a aceder aos seus dados, retificá-los, apagá-los, limitar o seu tratamento, opor-se a ele e levá-los para outro serviço. Também a retirar o seu consentimento a qualquer momento, sem que isso afete o que já foi feito antes.

As três primeiras coisas pode fazê-las o próprio utilizador sem nos pedir nada: o perfil edita-se, todos os seus dados descarregam-se num ficheiro a partir de A minha conta, e a conta apaga-se a partir de A minha conta com efeito imediato. Para o resto, escreva-nos para [email protected] e respondemos dentro do prazo de um mês.

Se achar que não tratamos bem os seus dados pode reclamar junto da Agencia Española de Protección de Datos (Agência Espanhola de Proteção de Dados, www.aepd.es).

Segurança

As palavras-passe não somos nós que as guardamos: são geridas pelo fornecedor de autenticação. Os dados viajam cifrados e cada linha da base de dados tem regras de acesso por utilizador, de forma que ninguém pode ler os dados de outra pessoa. As permissões de correio são guardadas cifradas.

Se ocorrer uma violação de dados que represente um risco para si, comunicamo-lo e notificamo-lo à autoridade no prazo de 72 horas, como exige o artigo 33 do RGPD.

Menores

O Cernoria não se dirige a menores de 16 anos e não pode ser usado abaixo dessa idade.

Alterações

Se esta política mudar de forma relevante avisamo-lo por email antes de entrar em vigor. A data da última atualização está em cima.