DPA — Acordo de Tratamento de Dados (Art. 28 GDPR)

CONSOO S.R.L.S. — hice

Edição: Brasil (português)

Última atualização: 3 de julho de 2026

Considerandos

O presente Acordo de Tratamento de Dados pessoais (doravante o «DPA» ou o «Acordo») é celebrado nos termos e para os efeitos do art. 28 do Regulamento (UE) 2016/679 («GDPR») entre:

o Cliente — o sujeito (empresa ou profissional autônomo titular de inscrição fiscal, ou outro profissional) que subscreve o Serviço, identificado no Formulário de Pedido e nos dados de cadastro do Tenant — na qualidade de Controlador (doravante o «Controlador»); e
CONSOO S.R.L.S., sociedade de responsabilidade limitada simplificada, com sede legal em Piazzetta Umberto Giordano 2, 20122 Milão (MI), Itália, P.IVA/C.F. IT13823860963, REA MI-2745733, PEC consoo@pec.it, que opera o Serviço sob a marca hice (doravante «hice», «Fornecedor» ou o «Operador») — na qualidade de Operador.

doravante conjuntamente as «Partes» e cada uma delas uma «Parte».

Considerando que:

(a) a hice disponibiliza ao Controlador uma plataforma SaaS multi-tenant de Professional Services Automation com assistente de IA (o «Serviço»), nas condições das Condições Gerais de Serviço (condizioni-generali-servizio.md, as «Condições»);

(b) na prestação do Serviço, a hice trata, por conta do Controlador, os Dados do Cliente que contêm dados pessoais de terceiros (candidatos, empregados, consultores, contatos) e dos Usuários, conforme descrito no Anexo A;

(c) as Partes pretendem disciplinar, por meio do presente Acordo, as respectivas obrigações em matéria de proteção de dados pessoais em conformidade com o art. 28 GDPR e com a normativa aplicável;

(d) o presente DPA constitui parte integrante e substancial das Condições e aplica-se a todos os Clientes, incluídos aqueles que utilizam o Plano Gratuito, sem necessidade de subscrição separada.

Os termos com inicial maiúscula não definidos no presente DPA têm o significado que lhes é atribuído nas Condições e no glossário compartilhado; os termos «Dados Pessoais», «Tratamento», «Controlador», «Operador», «Suboperador», «Titular dos dados» e «Violação de dados pessoais» têm o significado previsto no art. 4 GDPR.

O presente DPA disciplina exclusivamente os tratamentos em que a hice age como Operador por conta do Cliente. Para os tratamentos em que a hice é Controlador (dados de cadastro, faturamento, logs de segurança, diagnóstico, suporte, marketing) remete-se à Política de Privacidade (informativa-privacy.md).

1. Definições e âmbito de aplicação

1.1 Definições. Além dos termos definidos nos Considerandos e no glossário compartilhado, para os fins do presente Acordo aplicam-se as definições do art. 4 GDPR. Em particular:

Dados do Cliente: todos os dados, conteúdos e informações — incluídos dados pessoais de terceiros — que o Cliente ou os Usuários inserem, carregam ou geram no Serviço, conforme detalhado no Anexo A. Não incluem os dados dos quais a hice é Controlador nos termos da Política de Privacidade.
Normativa Aplicável em matéria de proteção de dados: o GDPR, o D.Lgs. 196/2003 («Codice Privacy») conforme alterado pelo D.Lgs. 101/2018, os provimentos do Garante per la protezione dei dati personali e qualquer outra norma aplicável ao Tratamento.
SCC (Standard Contractual Clauses): as cláusulas contratuais-padrão adotadas pela Decisão de execução (UE) 2021/914 da Comissão europeia para as transferências para Países terceiros.
DPF: o EU-U.S. Data Privacy Framework e respectivos mecanismos de adequação para as transferências para operadores dos EUA aderentes.

1.2 Âmbito. O presente DPA aplica-se a todo Tratamento de Dados Pessoais efetuado pela hice, na qualidade de Operador, por conta e sob instrução do Controlador, no âmbito da prestação do Serviço.

1.3 Prevalência. Em caso de conflito entre o presente DPA e as Condições, limitadamente à matéria da proteção de dados pessoais prevalece o presente DPA. Em caso de conflito entre o presente DPA e as SCC, para as transferências fora do EEE prevalecem as SCC.

1.4 Funções. As Partes reconhecem que, relativamente aos Dados do Cliente, o Cliente é Controlador e a hice é Operador. Cada Parte é responsável pelo cumprimento das obrigações que lhe competem nessa qualidade nos termos da Normativa Aplicável.

2. Objeto, duração, natureza e finalidade do tratamento

2.1 Objeto. O objeto do Tratamento é a execução, pela hice, das operações de Tratamento necessárias à prestação do Serviço ao Controlador, segundo as funcionalidades descritas nas Condições e na Documentação.

2.2 Duração. O Tratamento tem a duração da relação contratual prevista nas Condições (durante toda a vigência da assinatura ou do uso do Plano Gratuito), e prossegue pelo período estritamente necessário às operações de cancelamento ou restituição previstas no art. 11. O presente DPA permanece eficaz enquanto a hice tratar Dados do Cliente.

2.3 Natureza e finalidade. A natureza e as finalidades do Tratamento são a prestação das funcionalidades do Serviço (cadastros, recrutamento, projetos, timesheet, notas de despesa, compras, documentos, calendário, correio em modalidade BYO, chat, KPI, organograma, assistente de IA, matching de candidatos, parsing de CV, OCR) e os serviços conexos de hospedagem, armazenamento, segurança, backup e suporte técnico. Detalhes no Anexo A.

2.4 Tipos de dados e categorias de Titulares dos dados. Os tipos de Dados Pessoais tratados e as categorias de Titulares dos dados estão indicados no Anexo A.

2.5 Funcionalidades de IA. As operações realizadas pelas Funcionalidades de IA (chat, matching de candidatos, parsing de CV, OCR) constituem Tratamento por conta do Controlador e estão sujeitas ao presente DPA. A hice não utiliza os Dados do Cliente para treinar modelos de IA de base. Os detalhes de transparência algorítmica encontram-se na Política de IA e transparência algorítmica (informativa-ai-trasparenza.md).

3. Obrigação de tratamento mediante instrução documentada do Controlador

3.1 Instruções documentadas. A hice trata os Dados do Cliente exclusivamente mediante instrução documentada do Controlador, inclusive em caso de transferência para um País terceiro, salvo se a tanto estiver obrigada pelo direito da União ou do Estado-Membro a que está sujeita; nesse caso a hice informa o Controlador acerca de tal obrigação jurídica antes do Tratamento, a menos que o direito proíba tal informação por relevantes motivos de interesse público (art. 28(3)(a) GDPR).

3.2 Instruções iniciais. Constituem instruções documentadas do Controlador: (i) as Condições; (ii) o presente DPA e seus Anexos; (iii) as configurações, os ajustes e os comandos que o Controlador e os Usuários impartem por meio das funcionalidades do Serviço no uso ordinário.

3.3 Instruções adicionais. Eventuais instruções adicionais, diversas ou suplementares em relação às do art. 3.2, devem ser impartidas por escrito. Se uma instrução exigir atividades que excedam o uso normal do Serviço, a hice e o Controlador podem acordar os respectivos termos, inclusive econômicos.

3.4 Licitude das instruções. A hice informa imediatamente o Controlador caso, em seu entender, uma instrução viole o GDPR, o Codice Privacy ou outras disposições aplicáveis em matéria de proteção de dados (art. 28(3) último parágrafo GDPR), sem prejuízo de que a hice não tem uma obrigação geral de vigilância sobre a licitude dos Dados do Cliente.

3.5 Garantia do Controlador. O Controlador garante que as instruções impartidas e o carregamento dos Dados do Cliente são conformes à Normativa Aplicável e que dispõe de uma base legal idônea para o Tratamento dos dados pessoais de terceiros (candidatos, empregados, consultores, contatos) e para confiar o respectivo Tratamento à hice. O Controlador isenta a hice de pretensões de terceiros fundadas na ausência de tal base legal, nos limites previstos no art. 13.

4. Confidencialidade das pessoas autorizadas ao tratamento

4.1 Compromisso de confidencialidade. A hice garante que as pessoas autorizadas ao Tratamento dos Dados do Cliente (empregados, colaboradores e pessoal) assumiram um compromisso de confidencialidade ou estão sujeitas a uma adequada obrigação legal de confidencialidade (art. 28(3)(b) GDPR).

4.2 Limitação dos acessos. A hice limita o acesso aos Dados do Cliente ao pessoal que necessita acessá-los para a prestação do Serviço, segundo o princípio do menor privilégio, e assegura a respectiva formação em matéria de proteção de dados.

4.3 Persistência da obrigação. A obrigação de confidencialidade permanece mesmo após a cessação da relação de trabalho ou de colaboração das pessoas autorizadas.

5. Medidas técnicas e organizacionais de segurança (art. 32)

5.1 Medidas adotadas. Levando em conta o estado da arte, os custos de implementação, a natureza, o objeto, o contexto e as finalidades do Tratamento, bem como o risco para os direitos e as liberdades dos Titulares dos dados, a hice implementa medidas técnicas e organizacionais adequadas a garantir um nível de segurança apropriado ao risco, nos termos do art. 32 GDPR. As medidas atualmente em vigor estão descritas no Anexo C.

5.2 Evolução das medidas. A hice pode atualizar as medidas de segurança ao longo do tempo, desde que o nível de proteção não seja globalmente reduzido em relação ao descrito no Anexo C.

5.3 Cooperação. A hice disponibiliza ao Controlador as informações razoavelmente necessárias para demonstrar o cumprimento das obrigações previstas no art. 32, segundo as modalidades dos arts. 8 e 10 do presente DPA.

6. Suboperadores do tratamento

6.1 Autorização geral. O Controlador confere à hice uma autorização geral por escrito para recorrer a outros operadores do Tratamento («Suboperadores») para a execução de específicas atividades de Tratamento relacionadas à prestação do Serviço, nos termos do art. 28(2), primeira parte, e 28(4) GDPR.

6.2 Lista. A lista dos Suboperadores autorizados no momento da entrada em vigor do presente DPA consta do Anexo B. O Controlador declara ter dela tomado conhecimento e aprovar o respectivo recurso.

6.3 Vínculos contratuais equivalentes. A hice impõe a cada Suboperador, mediante contrato ou outro ato jurídico, obrigações em matéria de proteção de dados equivalentes às previstas no presente DPA, em particular a prestação de garantias suficientes para implementar medidas técnicas e organizacionais adequadas (art. 28(4) GDPR). Caso o Suboperador não cumpra suas obrigações de proteção de dados, a hice responde perante o Controlador pelo cumprimento das obrigações do Suboperador.

6.4 Alterações aos Suboperadores e direito de oposição. A hice informa o Controlador de eventuais alterações previstas relativas à adição ou à substituição de Suboperadores, com aviso prévio de pelo menos 30 (trinta) dias, mediante comunicação ao endereço de e-mail administrativo associado ao Tenant e/ou publicação da lista atualizada em uma página dedicada do Serviço, de modo a dar ao Controlador a possibilidade de opor-se a tais alterações (art. 28(2), segunda parte, GDPR).

6.5 Exercício da oposição. O Controlador pode opor-se, por motivos razoáveis e documentados atinentes à proteção de dados, dentro do prazo de aviso prévio, comunicando-o por escrito a info@hice.ai. Nesse caso as Partes cooperam de boa-fé para identificar uma solução. Caso não seja possível chegar a um acordo e a hice pretenda ainda assim valer-se do Suboperador, o Controlador tem o direito de rescindir o Serviço limitadamente às funcionalidades afetadas, ou a totalidade da relação se as funcionalidades forem essenciais, sem penalidades e com restituição das Tarifas eventualmente pagas e não usufruídas.

6.6 Tratamentos locais. Algumas operações (em particular o reconhecimento ótico de caracteres e a compressão dos documentos, bem como um componente de processamento de IA de reserva) são executadas por meio de componentes de software executados localmente na infraestrutura do Serviço e não implicam o recurso a Suboperadores externos nem transferências a terceiros.

7. Assistência ao Controlador para os direitos dos Titulares dos dados (arts. 12–23)

7.1 Medidas de apoio. Levando em conta a natureza do Tratamento, a hice assiste o Controlador com medidas técnicas e organizacionais adequadas, na medida do possível, para cumprir a obrigação do Controlador de dar seguimento aos pedidos de exercício dos direitos do Titular dos dados previstos no Capítulo III do GDPR — acesso, retificação, eliminação, limitação, portabilidade, oposição e os direitos relativos ao processo decisório automatizado (arts. 12–23 GDPR) — art. 28(3)(e) GDPR.

7.2 Ferramentas self-service. O Serviço disponibiliza ao Controlador funcionalidades que lhe permitem, de forma autônoma, acessar, retificar, extrair/exportar e eliminar os Dados do Cliente, de modo a gerir diretamente a maior parte dos pedidos dos Titulares dos dados.

7.3 Encaminhamento dos pedidos. Caso um Titular dos dados se dirija diretamente à hice para exercer seus direitos sobre Dados do Cliente, a hice não dá seguimento autonomamente ao pedido (salvo diversa obrigação de lei) e o transmite sem demora injustificada ao Controlador, fornecendo as informações úteis para identificá-lo, a fim de que o Controlador o atenda na qualidade de responsável pela resposta.

7.4 Assistência adicional. Caso o pedido não seja gerenciável com as ferramentas self-service, a hice fornece assistência razoável ao Controlador. Para atividades que excedam o suporte normal, as Partes podem acordar uma contraprestação proporcionada.

8. Assistência ao Controlador para as obrigações dos arts. 32–36

Levando em conta a natureza do Tratamento e as informações à disposição da hice, a hice assiste o Controlador em assegurar o cumprimento das obrigações previstas nos arts. 32–36 GDPR (art. 28(3)(f) GDPR), conforme se segue.

8.1 Segurança do tratamento (art. 32). Mediante a adoção e a manutenção das medidas previstas no Anexo C e a disponibilização das respectivas informações.

8.2 Notificação das violações ao Controlador (arts. 33–34). A hice notifica o Controlador de toda Violação de dados pessoais relativa aos Dados do Cliente sem demora injustificada após dela ter tomado conhecimento (art. 33(2) GDPR), de modo a permitir ao Controlador cumprir suas próprias obrigações de notificação ao Garante (no prazo de 72 horas, art. 33(1)) e de eventual comunicação aos Titulares dos dados (art. 34). A notificação da hice contém, na medida do disponível:

a descrição da natureza da violação, incluídas, sempre que possível, as categorias e o número aproximado de Titulares dos dados e de registros de dados pessoais afetados;
o ponto de contato junto à hice onde obter mais informações;
a descrição das prováveis consequências da violação;
a descrição das medidas adotadas ou cuja adoção se propõe para remediar a violação e para atenuar seus possíveis efeitos negativos.

Caso as informações não estejam disponíveis simultaneamente, elas são fornecidas, de modo proporcionado, em fases sucessivas sem ulterior demora injustificada. A gestão interna das violações segue a Procedura Data Breach (interno-procedura-data-breach.md), com a qual o presente artigo está articulado.

8.3 Limites. A notificação da hice nos termos do art. 8.2 não constitui admissão de responsabilidade nem de culpa. A hice fornece razoável colaboração ao Controlador na atividade de investigação e de remediação.

8.4 Avaliação de impacto e consulta prévia (arts. 35–36). A hice assiste o Controlador, mediante solicitação e nos limites das informações disponíveis, na realização da avaliação de impacto sobre a proteção dos dados (DPIA) e na eventual consulta prévia ao Garante, em particular com referência às Funcionalidades de IA e ao matching de candidatos, disponibilizando as informações relevantes sobre as operações de Tratamento e sobre as medidas de segurança.

9. Eliminação e restituição dos dados ao término da relação

9.1 Escolha do Controlador. Ao término, por qualquer causa, da prestação do Serviço, a hice, à escolha do Controlador, elimina ou restitui todos os Dados do Cliente e elimina as cópias existentes, salvo se o direito da União ou do Estado-Membro previr a conservação (art. 28(3)(g) GDPR).

9.2 Janela de exportação. Antes da eliminação, e por um período razoável de 30 (trinta) dias contado a partir do término, o Controlador pode exportar de forma autônoma os Dados do Cliente por meio das funcionalidades do Serviço ou requerer a restituição em um formato estruturado de uso comum e legível por dispositivo automático.

9.3 Eliminação efetiva. Decorrida a janela prevista no art. 9.2, a hice procede à eliminação dos Dados do Cliente dos sistemas de produção e, dentro dos ciclos técnicos sucessivos de rotação, dos backups, segundo a normal política de conservação dos backups descrita na Documentação.

9.4 Conservação por obrigação legal. Eventuais dados cuja conservação seja imposta pela lei são conservados pelo tempo estritamente necessário, com aplicação das medidas de segurança previstas no Anexo C, e não são ulteriormente tratados.

9.5 Atestação. Mediante solicitação por escrito do Controlador, a hice fornece uma atestação da eliminação realizada.

10. Auditorias e inspeções

10.1 Direito do Controlador. A hice disponibiliza ao Controlador todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no art. 28 GDPR e permite e contribui para as revisões (auditorias) e para as inspeções, inclusive realizadas por um terceiro encarregado pelo Controlador, em conformidade com o art. 28(3)(h) GDPR.

10.2 Modalidades razoáveis. O exercício do direito de auditoria ocorre segundo modalidades razoáveis, destinadas a não comprometer a segurança do Serviço, dos dados de outros clientes e a confidencialidade dos demais Tenant. Em particular:

o Controlador envia à hice um pedido por escrito com aviso prévio de pelo menos 30 (trinta) dias, salvo causas de urgência relacionadas a uma Violação ou a um pedido vinculante de uma Autoridade de controle;
as auditorias realizam-se em horário de trabalho, sem interferir indevidamente na atividade da hice, em regra não mais de uma vez por ano, salvo se uma auditoria adicional for requerida por uma Autoridade de controle ou motivada por uma Violação;
o terceiro eventualmente encarregado não deve ser um concorrente da hice e deve assinar idôneos compromissos de confidencialidade;
o Controlador suporta os custos da própria auditoria; permanecem a cargo da hice os encargos ordinários de cooperação.

10.3 Documentação substitutiva. Para satisfazer no todo ou em parte o direito previsto no art. 10.1, a hice pode fornecer ao Controlador documentação sobre suas medidas de segurança, relatórios ou, quando disponíveis no futuro, relatórios de auditoria de terceiros ou certificações. (No estado atual, a hice não possui certificações de terceiros do tipo ISO 27001 ou SOC 2 — ver _foundation.md §6 «nenhum claim falso».)

11. Transferências de dados pessoais para fora do EEE

11.1 Princípio. A hice trata os Dados do Cliente, prioritariamente, dentro do Espaço Econômico Europeu (EEE). Eventuais transferências para Países terceiros ocorrem apenas na presença de uma das condições de licitude previstas no Capítulo V do GDPR.

11.2 Garantias. Para as transferências para Países terceiros que não se beneficiem de uma decisão de adequação, a hice assegura a adoção de garantias adequadas nos termos do art. 46 GDPR, em particular as Cláusulas Contratuais-Padrão (SCC) previstas na Decisão de execução (UE) 2021/914, ou, para os operadores dos EUA aderentes, o EU-U.S. Data Privacy Framework (DPF). A lista das transferências e das respectivas garantias consta do Anexo D.

11.3 Medidas suplementares. Quando necessário, a hice adota medidas suplementares (técnicas, contratuais e organizacionais) para assegurar um nível de proteção substancialmente equivalente ao garantido na União, levando em conta as circunstâncias da transferência.

11.4 Modalidade BYO. Para as sincronizações de Calendário/Correio em modalidade «Bring Your Own» (BYO), em que o Controlador conecta o próprio ambiente junto aos serviços de correio e calendário por ele escolhidos com credenciais OAuth próprias, a eventual transferência para tais fornecedores é um tratamento ativado pelo Controlador na própria conta junto ao fornecedor; o Controlador é responsável pelas condições contratuais e pelas garantias aplicáveis à relação com tal fornecedor. A hice trata os respectivos metadados nos limites do Serviço.

12. Confidencialidade

Os Dados do Cliente constituem informações confidenciais do Controlador. A hice os trata como tais, não os divulga a terceiros senão aos Suboperadores autorizados nos termos do art. 6 ou em cumprimento de obrigações legais, e os utiliza exclusivamente para a prestação do Serviço e nos limites das instruções do Controlador. A presente cláusula coordena-se com as obrigações de confidencialidade previstas nas Condições.

13. Responsabilidade e articulação com o art. 82 GDPR

13.1 Repartição perante os Titulares dos dados. A responsabilidade das Partes perante os Titulares dos dados pelos danos causados pelo Tratamento permanece disciplinada pelo art. 82 GDPR. O Operador responde pelos danos causados pelo Tratamento somente se não tiver cumprido as obrigações do GDPR especificamente dirigidas aos operadores ou tiver agido de modo difforme ou contrário às legítimas instruções do Controlador (art. 82(2) GDPR).

13.2 Direito de regresso interno. Nas relações internas entre as Partes, caso uma Parte tenha integralmente ressarcido o dano sofrido por um Titular dos dados, ela tem direito de regresso sobre a outra Parte pela quota de responsabilidade a esta última imputável, nos termos do art. 82(5) GDPR.

13.3 Limitação contratual. Sem prejuízo do previsto pelo art. 82 GDPR perante os Titulares dos dados (não comprimível), nas relações entre as Partes aplicam-se os limites de responsabilidade estabelecidos nas Condições (ver _foundation.md §4.2 e a cláusula «Limitação de responsabilidade» das Condições), incluídos os carve-out inderrogáveis por dolo e culpa grave, danos à pessoa e o que não puder ser excluído por lei imperativa (art. 1229 do Código Civil italiano).

13.4 Sanções administrativas. Cada Parte suporta as sanções administrativas pecuniárias eventualmente aplicadas por violações a ela imputáveis.

14. Disposições finais

14.1 Duração e cessação. O presente DPA é eficaz a partir da data de aceitação das Condições e permanece em vigor durante toda a duração do Tratamento dos Dados do Cliente pela hice. As cláusulas destinadas a sobreviver por sua natureza (em particular arts. 9, 12 e 13) permanecem eficazes mesmo após a cessação.

14.2 Alterações. A hice pode atualizar o presente DPA para adequá-lo a alterações normativas, a provimentos das Autoridades de controle ou à evolução do Serviço, dando aviso prévio ao Controlador com as modalidades previstas pelas Condições; as alterações não reduzem o nível de proteção dos dados nem os direitos do Controlador decorrentes do art. 28 GDPR.

14.3 Invalidade parcial. A eventual invalidade ou ineficácia de uma cláusula não prejudica a validade das demais.

14.4 Lei aplicável e foro. O presente DPA é regido pela lei italiana, com exclusão das normas de conflito. Para os litígios é competente em caráter exclusivo o foro de Milão (Itália), ressalvada, para o Cliente Consumidor, a inderrogável competência do foro do Consumidor (local de residência ou domicílio) nos termos do Código do Consumo. Para as transferências disciplinadas pelas SCC, permanecem firmes a lei e a jurisdição ali previstas.

ANEXO A — Detalhes do tratamento

(art. 28(3) GDPR — descrição do Tratamento confiado ao Operador)

A.1 Controlador: o Cliente, conforme identificado no Formulário de Pedido e nos dados de cadastro do Tenant.

A.2 Operador: CONSOO S.R.L.S. — hice (dados nos Considerandos).

A.3 Objeto do tratamento. Execução das operações de Tratamento necessárias à prestação do Serviço: coleta, registro, organização, estruturação, conservação, consulta, uso, extração, comunicação aos Suboperadores autorizados, comparação, interconexão, limitação, eliminação dos Dados do Cliente.

A.4 Duração do tratamento. Durante toda a duração da relação contratual (assinatura ou uso do Plano Gratuito), além do período necessário às operações de eliminação/restituição previstas no art. 9 do DPA.

A.5 Natureza e finalidade do tratamento. Prestação das funcionalidades do Serviço e dos serviços conexos de hospedagem, armazenamento, segurança, backup e suporte. As finalidades incluem, a título exemplificativo:

gestão dos cadastros de clientes, contatos e fornecedores;
gestão de candidatos e processos de recrutamento, incluído o matching candidatos↔oportunidades (auxílio à decisão humana) e o parsing dos CV;
gestão de projetos, timesheet, notas de despesa e compras;
gestão de documentos e arquivo corporativo;
gestão de calendário e correio em modalidade BYO (mediante ativação do Controlador);
chat de equipe, KPI, organograma;
assistente de IA em chat (com confirmação humana sobre as ações de escrita — HITL);
reconhecimento ótico de caracteres (OCR) em recibos e faturas.

A.6 Categorias de Titulares dos dados. As pessoas físicas cujos dados são tratados no âmbito do Serviço incluem:

Candidatos (perfis de seleção geridos pelo Cliente no vertical recrutamento / na função candidatos);
Empregados do Cliente;
Consultores / colaboradores do Cliente;
Contatos (referentes de clientes, fornecedores e outros sujeitos geridos nos cadastros / CRM do Cliente);
Usuários Autorizados do Cliente (limitadamente aos Dados do Cliente que lhes dizem respeito e que o Controlador trata no Serviço).

A.7 Tipos de Dados Pessoais. As categorias de dados tratados incluem:

dados cadastrais e identificativos (ex.: nome, sobrenome, data de nascimento, número de inscrição fiscal quando inserido pelo Cliente);
dados de contato (ex.: e-mail, telefone, endereço);
dados profissionais e de carreira (ex.: cargo, experiências, competências, remuneração/honorários, CV e respectivos conteúdos);
dados de comunicação decorrentes das funções Calendário e Correio em modalidade BYO (ex.: eventos de calendário, metadados e conteúdos dos e-mails sincronizados, quando ativados pelo Controlador);
dados gerados no uso do Serviço (ex.: notas, avaliações, conteúdos de chat, anexos e documentos carregados pelo Cliente).

A.8 Eventuais categorias especiais de dados (art. 9 GDPR). O Serviço não é projetado nem destinado ao tratamento sistemático de categorias especiais de dados. Todavia, caso o Cliente, por sua própria iniciativa, carregue nos campos livres, nos documentos, nos CV ou nos anexos dados que revelem a origem racial ou étnica, as opiniões, o estado de saúde, a filiação sindical ou outras categorias especiais (ou dados relativos a condenações penais e infrações, art. 10 GDPR), o Controlador é o único responsável por assegurar a respectiva base legal e as condições de licitude; tais dados serão tratados pela hice nos limites das instruções e com as medidas de segurança do Anexo C.

ANEXO B — Suboperadores do tratamento

(art. 28(4) GDPR — categorias funcionais de Suboperadores autorizados na data de entrada em vigor do DPA)

Em coerência com a abordagem vendor-agnostic adotada pela hice, os Suboperadores são descritos por categoria funcional e não por nome. Os dados são tratados na região de referência e/ou em outras jurisdições em que operam os nossos fornecedores, aplicando-se sempre garantias adequadas nos termos da normativa aplicável; eventuais transferências para fora de tal região ocorrem com as garantias previstas no Anexo D.

Categoria de Suboperador	Função	Categorias de dados tratados	Localização	Garantia para eventuais transferências para fora do EEE
Infraestrutura cloud, hospedagem, banco de dados, autenticação, storage	Prestação e armazenamento do Serviço (aplicação web e API, banco de dados, identidade, storage de arquivos, backup)	Todos os Dados do Cliente, dados de conta, arquivos	Região de referência e/ou outras jurisdições com garantias adequadas	Garantias nos termos do Capítulo V GDPR quando o fluxo for para fora do EEE
Processamento de pagamentos	Gestão de assinaturas, pagamentos e faturamento	Dados de pagamento e de faturamento do Cliente	Região de referência e/ou com garantias adequadas	Garantias nos termos do Capítulo V GDPR (SCC / adequação) quando o fluxo for para fora do EEE
Envio de e-mails transacionais	Convites, redefinição de senha, notificações de serviço	E-mail e nome do destinatário, conteúdo da mensagem transacional	Região de referência e/ou com garantias adequadas	Garantias nos termos do Capítulo V GDPR quando o fluxo for para fora do EEE
Analítica de produto e diagnóstico	Melhoria, segurança e diagnóstico do Serviço	Eventos de uso, identificadores técnicos, dados de interação mascarados	Região de referência e/ou com garantias adequadas	Garantias nos termos do Capítulo V GDPR quando o fluxo for para fora do EEE
Notificações push (opcional, opt-in)	Notificações no app móvel	Token do dispositivo, metadados da notificação	Região de referência e/ou com garantias adequadas	Garantias nos termos do Capítulo V GDPR (SCC / adequação) quando o fluxo for para fora do EEE
Processamento para as Funcionalidades de IA	Inferência dos modelos de inteligência artificial	Texto dos prompts (pode conter dados pessoais: texto dos CV, conteúdos de chat)	Região de referência e/ou com garantias adequadas	Garantias nos termos do Capítulo V GDPR (SCC / adequação) quando o fluxo for para fora do EEE

Integrações escolhidas pelo Cliente (correio/calendário «BYO»). Quando o Controlador ativa a sincronização de Calendário/Correio conectando, com as próprias credenciais OAuth, os serviços de correio e calendário por ele escolhidos, o respectivo tratamento (eventos de calendário, metadados dos e-mails) ocorre no ambiente do Controlador junto ao fornecedor por ele escolhido: trata-se de um tratamento ativado pelo Controlador, que por ele responde como controlador e cujas localizações e garantias são determinadas pelo fornecedor escolhido.

Tratamentos locais (não Suboperadores externos). Algumas operações — em particular o reconhecimento ótico de caracteres e a compressão dos documentos, bem como um componente de processamento de IA de reserva — são executadas por meio de componentes de software executados localmente na infraestrutura do Serviço e não implicam comunicação a terceiros.

A lista atualizada dos Suboperadores é disponibilizada ao Controlador nos termos do art. 6.4 do DPA.

ANEXO C — Medidas técnicas e organizacionais (art. 32)

(medidas efetivamente adotadas pela hice; a lista pode evoluir nos termos do art. 5.2 do DPA, sem redução global do nível de proteção)

C.1 Isolamento multi-tenant. Separação lógica dos dados de cada Tenant ao nível de banco de dados: cada registro é vinculado ao identificador do Tenant (tenant_id) e políticas de segurança ao nível de linha impedem o acesso aos dados de Tenant diferentes. O isolamento cross-tenant é objeto de testes automatizados.

C.2 Cifragem dos dados pessoais em repouso. Cifragem aplicacional dos dados pessoais sensíveis (PII) em repouso com algoritmo AES-256-GCM e chave derivada por Tenant individual, de modo a segregar criptograficamente os dados dos diferentes Clientes.

C.3 Cifragem dos tokens de integração. Cifragem aplicacional dos tokens OAuth das integrações (ex.: Calendário/Correio BYO), conservados em forma cifrada e não em texto claro.

C.4 Cifragem em trânsito. Transmissão dos dados protegida por meio de TLS/HTTPS entre cliente, Serviço e componentes de backend.

C.5 Controle dos acessos. Controle dos acessos baseado em funções e permissões (RBAC) com motor de permissões aplicacional e gating dos módulos; autenticação dos Usuários gerida por meio do provedor de identidade.

C.6 Princípio do menor privilégio. Acessos do pessoal e dos componentes técnicos concedidos segundo o least privilege, limitados ao que é necessário para a prestação do Serviço.

C.7 Registro das alterações (registro de auditoria). Registro das operações de alteração sobre os dados (registro de auditoria) para finalidades de segurança, rastreabilidade e verificação.

C.8 Backup. Execução de backups, em cópias conservadas também em infraestrutura separada (off-site), para fins de continuidade operacional e restauração, conforme os objetivos de RPO e RTO indicados no Contrato de Nível de Serviço (sla-livelli-servizio.md).

C.9 Gestão dos segredos. Gestão das chaves e dos segredos aplicacionais (credenciais, chaves de cifragem, segredos de integração) separada do código, com acesso restrito.

C.10 Confidencialidade do pessoal. Vínculos de confidencialidade e formação do pessoal autorizado (art. 4 do DPA).

C.11 Gestão dos Suboperadores. Seleção de Suboperadores que oferecem garantias adequadas e imposição de obrigações equivalentes (art. 6 do DPA).

C.12 Funcionalidades de tutela dos Titulares dos dados. Confirmação humana sobre as ações de escrita sugeridas pela IA (HITL) e ausência de treinamento dos modelos de IA de base sobre os Dados do Cliente.

Nota: a hice não possui, no estado atual, certificações de terceiros (ex.: ISO 27001, SOC 2). As presentes medidas descrevem o estado efetivo da implementação e não constituem uma certificação.

ANEXO D — Transferências internacionais

(localização do Tratamento e garantias para eventuais transferências para Países terceiros)

D.1 Localização e princípio. Os serviços cloud e os servidores utilizados para prestar o Serviço estão localizados na região de referência e/ou em outras jurisdições em que operam os nossos fornecedores, aplicando-se sempre garantias adequadas nos termos da normativa aplicável. Caso um tratamento exija excepcionalmente uma transferência para fora de tal região, ela é efetuada adotando-se garantias adequadas nos termos da normativa aplicável (para a edição UE: Capítulo V do GDPR — Cláusulas Contratuais-Padrão ou decisão de adequação).

D.2 Categorias potencialmente afetadas. Entre as categorias funcionais de Suboperadores descritas no Anexo B, aquelas relativas ao processamento dos pagamentos, às notificações push e ao processamento para as Funcionalidades de IA podem, em função da solução adotada, implicar um tratamento para fora do EEE; nesse caso aplicam-se as garantias previstas no art. 46 GDPR (SCC) e/ou uma decisão de adequação. As demais categorias estão previstas na região de referência e/ou em outras jurisdições com garantias adequadas.

D.3 Modalidade BYO. Para as integrações de correio e calendário em modalidade BYO valem as precisões do art. 11.4 do DPA: a transferência é ativada pelo Controlador no ambiente do fornecedor por ele escolhido; o Controlador permanece responsável pelas condições e pelas garantias da relação com tal fornecedor.