1. Objetivo deste documento
Este documento detalha, em nível operacional, como a plataforma Tem Vaga trata dados pessoais. Ele complementa a Política de Privacidade, que descreve o tratamento em linguagem geral, e serve como registro das operações de tratamento previsto no art. 37 da Lei nº 13.709/2018.
Em caso de divergência entre os dois documentos quanto a um mesmo ponto, prevalece o texto da Política de Privacidade.
2. Papéis e responsabilidades
A plataforma opera sob regime de controladoria conjunta. A repartição de responsabilidades entre os controladores é a seguinte:
| Agente | Papel | Responsabilidades |
|---|---|---|
| Prefeitura Municipal de Rio Verde – GO | Controladora | Define as finalidades de interesse público; responde pela política de emprego e qualificação; gere os cursos ofertados; responde por decisões administrativas e pelo uso dos dados na execução da política pública. |
| Empresas empregadoras cadastradas | Controladoras autônomas | A partir do momento em que recebem uma candidatura, tornam-se controladoras autônomas daqueles dados em seu próprio ambiente, respondendo integralmente pelo uso, armazenamento e eventual compartilhamento que deles fizerem fora da plataforma. |
Nos termos do art. 42 da LGPD, cada agente de tratamento responde na medida de sua participação no evento que der causa ao dano. A responsabilidade de um controlador não se estende a atos praticados exclusivamente por outro agente, tampouco a atos de empresas empregadoras em seus próprios ambientes, sobre os quais os controladores da plataforma não exercem qualquer ingerência ou controle técnico.
3. Registro das operações de tratamento
Registro das principais operações realizadas, conforme o art. 37 da LGPD:
| Operação | Categoria de dados | Titulares | Base legal |
|---|---|---|---|
| Cadastro de candidato | Identificação, contato, credenciais | Candidatos | Art. 7º, V |
| Cadastro de empresa | Dados cadastrais da PJ e do representante | Representantes legais | Art. 7º, V |
| Montagem de perfil profissional | Formação, experiência, habilidades, currículo | Candidatos | Art. 7º, V |
| Registro de condição PCD | Dado pessoal sensível | Candidatos | Art. 11, I (consentimento) |
| Publicação e gestão de vagas | Conteúdo da vaga, dados do anunciante | Representantes legais | Art. 7º, V |
| Candidatura a vaga | Perfil completo, currículo | Candidatos | Art. 7º, V |
| Análise de compatibilidade por IA | Texto de currículo e de vaga | Candidatos | Art. 7º, V e IX |
| Inscrição em cursos municipais | Identificação, contato, perfil | Candidatos | Art. 7º, III |
| Envio de notificações e convites | E-mail, telefone | Candidatos e empresas | Art. 7º, V |
| Registro de logs de acesso | IP, data/hora, user agent | Todos os visitantes | Art. 7º, II (Marco Civil, art. 15) |
| Geração de indicadores do mercado | Dados agregados e anonimizados | — | Art. 12 (fora do escopo) |
4. Ciclo de vida do dado
- Coleta. Os dados são fornecidos diretamente pelo titular no cadastro, no preenchimento do perfil ou no envio de documentos, ou gerados automaticamente pela navegação.
- Uso. São processados para as finalidades declaradas no item 3, respeitados os princípios da necessidade e da finalidade (art. 6º, I e III, da LGPD).
- Compartilhamento. Ocorre com empresas anunciantes por ato voluntário do candidato, com a Prefeitura para a política pública, e com os suboperadores do item 7.
- Armazenamento. Em banco de dados relacional com acesso restrito por perfil e arquivos em armazenamento de objetos com acesso controlado.
- Eliminação. Ao término do tratamento ou a pedido do titular, observadas as hipóteses de guarda obrigatória do art. 16 da LGPD.
5. Medidas de segurança adotadas
Em atendimento aos arts. 46 a 49 da LGPD, são adotadas as seguintes medidas técnicas e administrativas:
- Criptografia em trânsito por TLS em todas as comunicações com a aplicação.
- Senhas armazenadas com hash e função de derivação, nunca em texto claro.
- Autenticação por token com expiração e controle de sessão.
- Controle de acesso por perfil (candidato, empresa e administração municipal), de modo que cada usuário acesse apenas os dados pertinentes ao seu papel.
- Segregação de ambientes entre desenvolvimento e produção.
- Registro de operações relevantes para auditoria e apuração de incidentes.
- Rotinas de backup da base de dados.
- Cláusulas contratuais de confidencialidade e proteção de dados com os suboperadores contratados.
As medidas acima refletem padrões usuais de mercado e representam obrigação de meio, não de resultado. Não existe sistema inviolável. Os controladores não respondem por incidentes decorrentes de ataques que superem o estado da técnica, de vulnerabilidades de terceiros fora de seu controle, de comprometimento de credenciais por negligência do usuário, ou de caso fortuito e força maior (art. 393 do Código Civil e art. 43, III, da LGPD).
6. Suboperadores e serviços de terceiros
A operação da plataforma depende de serviços de terceiros, contratualmente vinculados a tratar os dados apenas conforme instrução dos controladores:
| Serviço | Finalidade | Dados acessados | Local |
|---|---|---|---|
| Provedor de nuvem | Armazenamento de currículos e arquivos enviados | Documentos anexados pelo titular | Exterior — transferência conforme arts. 33 a 36 |
| Serviço de e-mail transacional | Envio de notificações, convites e recuperação de senha | Nome e e-mail | Exterior — transferência conforme arts. 33 a 36 |
| Processamento de linguagem (IA) | Análise de compatibilidade entre perfil e vaga | Texto de currículo e da descrição da vaga | Exterior — transferência conforme arts. 33 a 36 |
| Consulta de CNPJ | Validação cadastral de empresas | CNPJ informado no cadastro | Brasil |
7. Transferência internacional de dados
As transferências internacionais indicadas no item 6 são realizadas com fundamento no art. 33, II, alínea "a", da LGPD, mediante cláusulas contratuais específicas firmadas com os fornecedores, que asseguram grau de proteção de dados compatível com o previsto na legislação brasileira, ou nas demais hipóteses do art. 33 que se mostrem aplicáveis.
8. Gestão de incidentes de segurança
Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o procedimento adotado é:
- Contenção imediata do incidente e preservação de evidências.
- Avaliação da natureza dos dados afetados, do número de titulares e do risco envolvido.
- Comunicação à ANPD e aos titulares afetados em prazo razoável, conforme o art. 48 da LGPD e a regulamentação da autoridade, informando a natureza dos dados, os titulares envolvidos, as medidas técnicas adotadas e os riscos relacionados.
- Registro e revisão dos controles para prevenir recorrência.
Comunicações sobre suspeita de incidente devem ser dirigidas ao encarregado (item 12).
9. Direitos do titular e prazos de resposta
| Direito (art. 18 da LGPD) | Como é atendido | Prazo |
|---|---|---|
| Confirmação e acesso | Painel do usuário ou pedido ao encarregado | Imediato em formato simplificado; até 15 dias em declaração completa |
| Correção | Edição direta no perfil ou pedido ao encarregado | Imediato pelo painel |
| Anonimização, bloqueio ou eliminação | Pedido ao encarregado | Até 15 dias |
| Portabilidade | Pedido ao encarregado, em formato estruturado | Até 15 dias |
| Eliminação de dados consentidos | Revogação pelo painel ou pedido ao encarregado | Até 30 dias, salvo guarda obrigatória |
| Informação sobre compartilhamento | Pedido ao encarregado | Até 15 dias |
| Revogação do consentimento | Painel do usuário | Imediato |
| Revisão de decisão automatizada (art. 20) | Pedido ao encarregado, com análise humana | Até 15 dias |
Pedidos manifestamente infundados, excessivos, repetitivos ou que exijam esforço desproporcional poderão ser recusados de forma fundamentada, bem como aqueles que conflitem com hipótese legal de guarda obrigatória ou com o exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 16, II e III, da LGPD).
10. Dados de crianças e adolescentes
A plataforma destina-se a maiores de 16 anos, idade mínima para contrato de trabalho na condição de aprendiz nos termos do art. 7º, XXXIII, da Constituição Federal.
O tratamento de dados de adolescentes observa o princípio do melhor interesse previsto no art. 14 da LGPD. Para titulares menores de 18 anos, o cadastro pressupõe ciência e autorização dos pais ou responsável legal, cuja obtenção e comprovação são de responsabilidade do próprio titular e de seus responsáveis. Identificado cadastro de menor de 16 anos, a conta será bloqueada e os dados eliminados.
11. Relatório de impacto (RIPD)
Considerando o tratamento de dado sensível (condição PCD), o uso de análise automatizada e o volume de titulares envolvidos, os controladores mantêm avaliação de riscos das operações e elaborarão Relatório de Impacto à Proteção de Dados Pessoais sempre que exigido pela ANPD, nos termos dos arts. 5º, XVII, e 38 da LGPD.
12. Responsabilidade e ressarcimento
Os controladores da plataforma não respondem por: (i) inveracidade, desatualização ou ilicitude de informações inseridas por candidatos ou empresas; (ii) tratamento de dados realizado por empresas empregadoras em seus próprios ambientes, após o recebimento de candidatura; (iii) uso indevido de credenciais por culpa do titular; (iv) danos causados exclusivamente por terceiro ou pelo próprio titular, nos termos do art. 43, II e III, da LGPD.
Aquele que der causa a dano por descumprimento deste documento ou da legislação de proteção de dados ressarcirá integralmente o agente que vier a ser condenado ou sancionado em razão de sua conduta, incluindo multas administrativas, custas processuais e honorários advocatícios, assegurado o direito de regresso previsto no art. 42, § 4º, da LGPD.
13. Vigência e alterações
Este documento vigora a partir da data de sua publicação e pode ser alterado para refletir mudanças legais, regulatórias, técnicas ou operacionais. A versão vigente é sempre a publicada nesta página.