Política de Privacidade

CONSOO S.R.L.S. — hice

Edição: Brasil (português)

Última atualização: 29 de julho de 2026

---

1. Premissa e âmbito de aplicação

1.1 A presente Política de Privacidade (doravante «Política») é fornecida nos termos dos arts. 13 e 14 do Regulamento (UE) 2016/679 (doravante «GDPR») e do D.Lgs. 196/2003 e alterações posteriores (doravante «Código de Privacidade»).

1.2 A Política descreve as modalidades pelas quais a CONSOO S.R.L.S. (doravante «hice», «o Fornecedor», «nós») trata os Dados Pessoais na qualidade de Controlador, em relação:

• aos Usuários e aos Usuários Autorizados que acessam o Serviço;
• aos Clientes (empresas e profissionais autônomos) que contratam o Serviço, com referência aos dados das pessoas físicas de contato, de administração e de faturamento;
• aos visitantes do site https://hice.ai e da aplicação web https://app.hice.ai;
• aos clientes potenciais (leads) que nos contatam ou solicitam informações.

1.3 O que é a hice. A hice é uma plataforma SaaS multi-tenant de Professional Services Automation (PSA) com assistente de IA, em italiano nativo, voltada a sociedades de consultoria e serviços de TI em modalidade Time & Materials e a profissionais autônomos. É acessível via web no endereço app.hice.ai e por meio das aplicações móveis para iOS (App Store) e Android (Google Play).

1.4 Serviço destinado apenas a sujeitos profissionais (B2B). A hice é oferecida exclusivamente a empresas e a profissionais com inscrição fiscal que atuam no exercício da própria atividade; não é destinada a consumidores. O tratamento dos dados dos Usuários — ou seja, das pessoas físicas (titulares, empregados, colaboradores) que acessam o Serviço por conta do Cliente — ocorre nesse contexto profissional e no âmbito da relação contratual entre a hice e o Cliente.

1.5 Âmbito: apenas os dados dos quais a hice é Controlador. Esta Política diz respeito exclusivamente aos tratamentos em que a hice atua como Controlador. Quanto aos Dados do Cliente — ou seja, os dados, incluindo os dados pessoais de terceiros (candidatos, empregados, consultores, contatos, conteúdos de e-mail e calendário sincronizados), que o Cliente ou os Usuários inserem, carregam ou geram no Serviço —, a hice atua como Operador por conta do Cliente, que é o seu Controlador. A disciplina de tais tratamentos consta do DPA (dpa-trattamento-dati.md). Ver §3.

1.6 Os termos com inicial maiúscula não definidos na presente Política têm o significado a eles atribuído nas Condições Gerais do Serviço (condizioni-generali-servizio.md).

---

2. Controlador e contatos

2.1 O Controlador é:

2.2 Encarregado da Proteção de Dados (DPO). A hice avaliou os pressupostos do art. 37 GDPR e não nomeou um DPO, por não estarem reunidos os requisitos de obrigatoriedade em razão da natureza, do objeto e das finalidades dos tratamentos realizados. O ponto de contato para as questões de privacidade é o endereço info@hice.ai.

2.3 Como nos contatar. Para qualquer solicitação relativa ao tratamento dos Dados Pessoais e para o exercício dos direitos referidos na §11, você pode escrever para info@hice.ai.

---

3. Papéis de privacidade: Controlador e Operador

3.1 A hice opera com um duplo papel, que é essencial distinguir.

3.2 A hice é Controlador (art. 4(7) GDPR) — e esta Política o disciplina — para:

• os dados de registro e identidade do Usuário (nome, e-mail, credenciais);
• os dados de faturamento e pagamento do Cliente;
• os logs de segurança, as auditorias técnicas, os dados de diagnóstico e telemetria de produto;
• as comunicações de assistência;
• os dados de leads/marketing coletados no site.

3.3 A hice é Operador (art. 28 GDPR), por conta do Cliente que é o seu Controlador, para todos os Dados do Cliente carregados ou gerados no uso do Serviço, incluindo os dados pessoais de terceiros (candidatos, empregados, consultores, contatos, conteúdos de e-mail e calendário sincronizados). Estes tratamentos não são objeto da presente Política: são regidos pelo DPA (dpa-trattamento-dati.md), parte integrante das Condições.

3.4 O Cliente é Controlador dos próprios Dados do Cliente. O Cliente garante dispor de uma base legal para carregá-los e para fazê-los tratar pela hice (por exemplo, os consentimentos e os avisos perante candidatos e empregados).

3.5 Consequência prática para o titular dos dados. Se você é um Usuário Autorizado empregado ou colaborador de um Cliente, ou então um candidato/contato cujos dados foram inseridos no Serviço por um Cliente, e deseja exercer os seus direitos sobre esses dados, deve dirigir-se antes de tudo à sua organização (o Cliente Controlador). A hice, como Operador, prestar-lhe-á a assistência prevista pelo DPA. Quanto aos dados dos quais a hice é Controlador (por exemplo, os dados da sua Conta), você pode, em vez disso, dirigir-se diretamente a nós.

---

4. Categorias de Dados Pessoais tratados

Na qualidade de Controlador, a hice trata as seguintes categorias de dados. Não solicitamos nem tratamos intencionalmente categorias especiais de dados pessoais (art. 9 GDPR) para as finalidades das quais a hice é Controlador.

4.1 Dados de registro e identidade do Usuário. Nome, sobrenome, endereço de e-mail, função na empresa, organização (Tenant) de pertencimento, preferências de idioma e configurações do perfil.

4.2 Credenciais e dados de autenticação. Senha (conservada em forma cifrada mediante função de hash), tokens de sessão e identificadores de acesso. Mediante a sua ativação, eventuais integrações de acesso.

4.3 Dados de faturamento e pagamento do Cliente. Razão social ou nome e sobrenome, endereço, número de identificação fiscal, código destinatário SDI ou PEC para o faturamento eletrônico, dados da assinatura, histórico dos pagamentos e das faturas. Os dados do cartão ou do instrumento de pagamento são tratados diretamente pelo fornecedor de serviços de processamento dos pagamentos: a hice não conserva os números completos dos cartões.

4.4 Logs de segurança, auditorias técnicas e diagnóstico. Endereço IP, identificador e tipo de dispositivo, sistema operacional, logs aplicativos, registro dos acessos e dos eventos relevantes para a segurança (audit log), dados de diagnóstico e de erro necessários ao funcionamento e à proteção do Serviço.

4.5 Telemetria de produto. Dados de uso e de interação com o Serviço (eventos de uso, funcionalidades utilizadas, identificadores técnicos), tratados em forma mascarada quando possível, para medir e melhorar o funcionamento do Serviço. A coleta por meio de cookies e tecnologias similares é disciplinada pela Política de Cookies (ver §8).

4.6 Comunicações de assistência. Conteúdo das solicitações de suporte, correspondência com a nossa equipe, e os dados necessários para geri-las e respondê-las.

4.7 Dados de leads e marketing. Dados que você nos fornece espontaneamente ao nos contatar ou solicitar informações (nome, e-mail, empresa, mensagem), bem como eventuais dados coletados por meio de formulários de contato no site.

4.8 Notificações push (app móvel). Se você as ativa, um token de notificação associado ao seu dispositivo, usado exclusivamente para lhe enviar avisos relativos ao Serviço.

4.9 Permissões da aplicação móvel. O app móvel pode solicitar algumas permissões do dispositivo, todas facultativas e ativadas somente quando você usa a função correspondente; você pode revogá-las a qualquer momento nas configurações do sistema operacional:

• Microfone e reconhecimento de voz: para ditar as mensagens ao chat. O áudio é usado para a transcrição e não é conservado como arquivo de áudio.
• Câmera e fotos: para tirar ou anexar recibos, faturas e documentos (ex.: captura e leitura automática das notas de despesa). Acessamos apenas as imagens que você escolhe anexar.
• Notificações: para lhe avisar de vencimentos, aprovações, mensagens e eventos do Serviço.
• Armazenamento seguro: o token de acesso é conservado em forma cifrada na área protegida do dispositivo (Keychain / Keystore), de modo que você permanece autenticado sem reinserir as credenciais a cada início.

Nota: as imagens, os recibos e os documentos que você carrega no Serviço constituem, em regra, Dados do Cliente (ver §3 e DPA).

---

5. Finalidades do tratamento e bases legais

Para cada categoria de tratamento indicamos a finalidade e a correspondente base legal nos termos do art. 6 GDPR.

5.12 Ponderação do legítimo interesse. Quando tratamos dados com base no legítimo interesse, realizamos uma avaliação de ponderação entre tal interesse e os direitos e as liberdades dos titulares dos dados. Você pode solicitar mais informações sobre tal avaliação aos contatos referidos na §2 e tem o direito de se opor ao tratamento (ver §11).

5.13 Fornecimento dos dados. O fornecimento dos dados indicados como necessários ao registro, à execução do contrato e às obrigações legais é obrigatório: a falta de fornecimento impede a criação da Conta ou a fruição do Serviço. O fornecimento dos dados para finalidades baseadas no consentimento é facultativo e a recusa não prejudica o uso do Serviço (salvo as funções opcionais às quais o consentimento se refere).

---

6. Funcionalidades de IA

6.1 O Serviço inclui Funcionalidades de IA (assistente conversacional em chat, matching candidatos↔oportunidades, parsing dos CVs, OCR de recibos e faturas). Quando você interage com o chat, o texto das suas mensagens e o contexto necessário para responder são processados por modelos de inteligência artificial hospedados na infraestrutura do Serviço ou junto ao fornecedor de serviços de processamento para as Funcionalidades de IA (ver §9 e §10).

6.2 Não-treinamento com os Dados do Cliente. A hice não utiliza os Dados do Cliente para treinar modelos de IA de base. Os dados processados pelas Funcionalidades de IA são usados para gerar a resposta e para o funcionamento das respectivas funções; não são cedidos a terceiros para finalidades publicitárias nem usados para treinar modelos de terceiros.

6.3 Supervisão humana (HITL). As ações de escrita sugeridas pela IA exigem uma confirmação humana antes de serem executadas (human-in-the-loop).

6.4 Transparência e decisões automatizadas. Para a descrição detalhada das Funcionalidades de IA, dos modelos e fornecedores empregados, dos limites dos sistemas (possíveis erros e «alucinações»), do tratamento dos dados no recruiting e da disciplina das decisões automatizadas, remete-se ao Aviso sobre IA e transparência algorítmica (informativa-ai-trasparenza.md). Ver também §12.

---

7. Modalidades do tratamento

7.1 Os dados são tratados com ferramentas eletrônicas e automatizadas, e de forma residual em suporte de papel, com lógicas relacionadas às finalidades referidas na §5 e com medidas idôneas para garantir a sua segurança e confidencialidade.

7.2 O tratamento é executado por pessoal autorizado e instruído da hice e pelos fornecedores (Operadores e Suboperadores) indicados na §9, vinculados por obrigações de confidencialidade e por contratos conformes ao art. 28 GDPR.

7.3 As medidas de segurança adotadas incluem: cifragem dos dados em trânsito (TLS/HTTPS) e cifragem em repouso dos dados sensíveis (PII mediante AES-256-GCM, tokens de integração OAuth cifrados); isolamento rigoroso entre as organizações (arquitetura multi-tenant com Row Level Security); controle dos acessos baseado nos papéis segundo o princípio do privilégio mínimo; registro dos eventos de segurança (audit log); backups para fins de continuidade. As medidas técnicas e organizativas de detalhe relativas aos Dados do Cliente são descritas no Anexo do DPA (dpa-trattamento-dati.md).

---

8. Cookies e tecnologias similares

8.1 O site e a aplicação web utilizam cookies e tecnologias similares. Os cookies técnicos/necessários são empregados para o funcionamento do Serviço e da autenticação; os cookies analíticos/de produto (atribuíveis ao fornecedor de serviços de analítica de produto referido na categoria indicada na §9) são empregados, quando previsto o consentimento, para medir o uso do Serviço.

8.2 Analítica de produto e registro das sessões (session replay). A ferramenta de analítica de produto inclui uma função de registro das sessões (session replay), que reconstrói a interação com a interface para fins de melhoria, segurança e diagnóstico. O registro ocorre com mascaramento de todo o texto e dos campos de entrada e não captura dados pessoais (PII). A base legal é o seu consentimento (art. 6.1.a GDPR e disciplina ePrivacy): na ausência de consentimento, a analítica de produto e o registro das sessões ficam desativados. A gestão e a revogação do consentimento são descritas na Política de Cookies (cookie-policy.md), à qual se remete.

8.3 A disciplina completa — categorias, finalidades, bases legais, durações, lista pontual das ferramentas e modalidades de gestão e revogação do consentimento — consta da Política de Cookies (cookie-policy.md), à qual se remete.

---

9. Destinatários, Operadores e Suboperadores

9.1 Não vendemos os seus Dados Pessoais. Os dados podem ser comunicados ou disponibilizados às seguintes categorias de destinatários:

• pessoal autorizado da hice (administradores de sistema, suporte, administração);
• fornecedores que atuam como Operadores (art. 28 GDPR), vinculados por contrato e limitados às finalidades indicadas;
• profissionais e consultores (ex.: contador, advogados) e autoridades competentes, quando exigido por lei ou necessário para a apuração, o exercício ou a defesa de um direito.

9.2 Categorias de Suboperadores. A hice se vale de fornecedores externos que atuam como Suboperadores, descritos a seguir por categoria funcional (sem indicação dos fornecedores ou ferramentas individuais). A lista nominativa é mantida para uso interno e pode ser disponibilizada mediante solicitação nos limites aplicáveis.

9.3 Localização e transferências. Os dados são tratados na região de referência e/ou em outras jurisdições nas quais operam os nossos fornecedores, aplicando sempre garantias adequadas nos termos da normativa aplicável. Quando um tratamento implicar uma transferência para fora da União Europeia / Espaço Econômico Europeu (EEE), esta é efetuada adotando garantias adequadas nos termos da normativa aplicável (para a linha de base GDPR: Capítulo V do GDPR — Cláusulas Contratuais-Tipo ou decisão de adequação). Ver §10.

9.4 Integrações «BYO» (correio/calendário). As integrações de correio e calendário são ativadas pelo Cliente com as próprias credenciais junto ao fornecedor por ele escolhido: o respectivo tratamento ocorre no ambiente do Cliente, que responde por ele como controlador.

9.5 Tratamentos locais na infraestrutura. As ferramentas de OCR e de compressão de documentos são componentes de software executados localmente na infraestrutura do Serviço, sem comunicação a fornecedores externos.

9.6 A lista dos Suboperadores que tratam Dados do Cliente, bem como as modalidades de notificação das alterações e o direito de oposição do Cliente, são disciplinados pelo DPA (dpa-trattamento-dati.md).

9.7 Dados do Google Workspace (Gmail e Google Calendar)

Quando um Usuário conecta a sua conta Google, a hice acessa apenas os dados necessários às funções solicitadas através dos escopos OAuth gmail.send e/ou calendar.events.owned:

• para o Gmail: a identidade da conta remetente e os destinatários, assunto e conteúdo dos novos e-mails que o Usuário decide enviar;
• para o Google Calendar: título, descrição, data e hora, participantes, local, links de reunião e estado dos eventos.

Estes dados são usados somente para permitir ao Usuário enviar novos e-mails e visualizar, criar, atualizar ou eliminar eventos. Os tokens OAuth são criptografados. A HICE não lê nem sincroniza a caixa Gmail, enviados, rascunhos, etiquetas ou lixo. Os eventos do calendário são armazenados e sincronizados no Serviço. Os resultados que o Usuário decide gerar através do chat de IA podem permanecer no histórico de acordo com os períodos de conservação aplicáveis.

Conservação e eliminação de dados Google. A HICE não cria uma cópia da caixa Gmail; desligar o Google Mail elimina os tokens OAuth e interrompe novos envios. Desligar o Calendar elimina imediatamente os tokens OAuth e interrompe a sincronização; os eventos já importados permanecem como histórico operacional até serem eliminados pelo Usuário ou Cliente. No encerramento da Conta ou do contrato, os dados Google restantes nos sistemas ativos são eliminados ou anonimizados em até 30 dias, salvo obrigação legal ou necessidade de segurança ou defesa jurídica.

Partilha para IA. Apenas quando o Usuário invoca intencionalmente uma função de IA sobre Correio ou Calendário, o prompt e os dados Google estritamente necessários são transmitidos a um fornecedor terceiro de API LLM, por meio de um ambiente API dedicado, exclusivamente para gerar a resposta solicitada. Os dados do Google Workspace não são enviados a qualquer outro fornecedor de IA, não são vendidos nem usados para publicidade, definição de perfil de crédito ou treino de modelos gerais. A HICE não participa em programas voluntários de partilha de dados para treino. O fornecedor selecionado pode conservar logs de monitorização de abusos por até 30 dias de acordo com os seus termos business/API.

O uso pela hice das informações recebidas das APIs Google Workspace respeita a Google API Services User Data Policy, incluindo os requisitos de Limited Use.

The use of information received from Google Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.

---

10. Transferências de dados para Países fora do EEE

10.1 Os dados são tratados na região de referência e/ou em outras jurisdições nas quais operam os nossos fornecedores, aplicando sempre garantias adequadas nos termos da normativa aplicável. Não afirmamos que os dados residam materialmente em uma região específica.

10.2 Quando um tratamento implicar uma transferência para fora do Espaço Econômico Europeu (EEE), esta é efetuada no respeito do Capítulo V do GDPR, com base em uma ou mais das seguintes garantias:

• decisão de adequação da Comissão Europeia, quando aplicável;
• Cláusulas Contratuais-Padrão (SCC) adotadas pela Comissão Europeia, integradas por medidas suplementares quando necessário.

Quando resultarem aplicáveis regimes locais de proteção de dados distintos do GDPR, aplicam-se os mecanismos de transferência previstos pela normativa local correspondente.

10.3 Você pode solicitar informações sobre as garantias aplicadas e, quando previsto, cópia das mesmas, escrevendo para os contatos referidos na §2.

---

11. Períodos de conservação

11.1 A hice conserva os Dados Pessoais pelo tempo estritamente necessário às finalidades para as quais são coletados e em conformidade com as obrigações legais, segundo os critérios seguintes.

11.2 Conservação dos dados dos candidatos (recruiting). Os dados dos candidatos inseridos no Serviço constituem Dados do Cliente (a hice é Operador; ver §3). O Serviço aplica períodos de conservação (retention) diferenciados por País, que começam a contar a partir da data de inserção do candidato: 24 meses para UE/EEE, 12 meses para o Reino Unido, 24 meses como padrão prudencial para os demais Países. A definição das finalidades e dos prazos perante os candidatos cabe ao Cliente Controlador; a disciplina está no DPA (dpa-trattamento-dati.md) e nos modelos de aviso para o Cliente (modelli-informative-cliente.md).

11.3 Decorridos os períodos indicados, os dados são cancelados ou tornados anônimos, salvo obrigações de conservação legais ou necessidades de apuração, exercício ou defesa de um direito.

---

12. Processo decisório automatizado e definição de perfil

12.1 A hice não adota decisões baseadas unicamente no tratamento automatizado, incluindo formas de definição de perfil, que produzam efeitos jurídicos ou incidam de modo analogamente significativo sobre os titulares dos dados, para os tratamentos dos quais a hice é Controlador.

12.2 As Funcionalidades de IA do Serviço — em particular o matching dos candidatos — constituem um auxílio à decisão humana e não decidem de forma autônoma. Quando o Cliente as utiliza no âmbito de processos de seleção, é o Cliente (Controlador e empregador/decisor) quem deve garantir a supervisão humana, informar os candidatos e assegurar os direitos a uma intervenção humana, a expressar a própria opinião e a contestar a decisão.

12.3 Para a disciplina completa da transparência algorítmica, do art. 22 GDPR e das obrigações do Regulamento (UE) 2024/1689 (EU AI Act) remete-se ao Aviso sobre IA e transparência algorítmica (informativa-ai-trasparenza.md).

---

13. Direitos do titular dos dados

13.1 Em relação aos dados dos quais a hice é Controlador, você tem o direito de exercer, nos limites e nas condições previstos pelos arts. 15–22 GDPR:

• acesso aos seus dados (art. 15);
• retificação dos dados inexatos ou incompletos (art. 16);
• eliminação dos dados («direito ao esquecimento», art. 17);
• limitação do tratamento (art. 18);
• portabilidade dos dados que você nos forneceu, em formato estruturado e legível por dispositivo automático (art. 20);
• oposição ao tratamento baseado no legítimo interesse, por motivos relacionados com a sua situação particular, e a qualquer momento à oposição ao tratamento para finalidades de marketing direto (art. 21);
• revogação do consentimento a qualquer momento, para os tratamentos baseados no consentimento, sem prejuízo da licitude do tratamento efetuado antes da revogação (art. 7.3).

13.2 Como exercer os direitos. Você pode exercer os seus direitos escrevendo para info@hice.ai. Daremos resposta sem atraso injustificado e, em todo caso, dentro de um mês, prorrogável por dois meses em casos de especial complexidade (art. 12 GDPR). Poderemos solicitar-lhe informações necessárias para verificar a sua identidade.

13.3 Reclamação à autoridade de controle. Você tem o direito de apresentar reclamação à autoridade de controle competente. Na Itália é o Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it), ressalvada qualquer outra ação administrativa ou judicial (arts. 77–79 GDPR). Quando resultar aplicável um regime local de proteção de dados, você poderá dirigir-se à autoridade de controle competente do seu País.

13.4 Dados tratados pela hice como Operador. Se os seus dados são tratados pela hice como Operador por conta de um Cliente Controlador (os Dados do Cliente, §3), dirija a solicitação antes de tudo à sua organização. A hice prestar-lhe-á a assistência prevista pelo DPA para dar resposta às suas solicitações.

---

14. Menores

14.1 A hice é uma ferramenta profissional e não é destinada a menores de 16 anos. Não coletamos conscientemente Dados Pessoais de menores para os tratamentos dos quais somos Controlador. Caso viéssemos a ter conhecimento de um tratamento involuntário de dados de um menor, providenciaremos a sua eliminação sem atraso injustificado.

---

15. Atualizações da Política

15.1 A presente Política pode ser atualizada ao longo do tempo, por exemplo por alterações normativas, dos fornecedores ou das funções do Serviço. Em caso de alterações substanciais, daremos aviso por meio do Serviço ou via e-mail. A data da última atualização é indicada no topo do documento.

15.2 É ônus do titular dos dados e do Cliente consultar periodicamente a versão vigente.

---

16. Remissões e documentos relacionados

• DPA — Acordo de Tratamento de Dados (dpa-trattamento-dati.md): para os Dados do Cliente, onde a hice é Operador.
• Aviso sobre IA e transparência algorítmica (informativa-ai-trasparenza.md): para as Funcionalidades de IA e as decisões automatizadas.
• Política de Cookies (cookie-policy.md): para cookies e tecnologias similares.
• Condições Gerais do Serviço (condizioni-generali-servizio.md): para a relação contratual e as definições.