Política de Privacidade

1. Introdução

O CV Score é um serviço da The CodeCave GmbH («nós»). Esta Política de Privacidade explica como tratamos dados pessoais quando visita o nosso sítio web em cvscore.net, utiliza a aplicação web em app.cvscore.net ou nela solicita a avaliação do seu currículo (em conjunto, «o Serviço»).

Uma vez que estamos estabelecidos na Alemanha, o Regulamento Geral sobre a Proteção de Dados da UE (RGPD) e a Lei Federal alemã de Proteção de Dados (BDSG) aplicam-se a todos os nossos tratamentos, independentemente do local onde reside. Consoante a sua localização, poderá dispor de direitos adicionais ao abrigo da legislação local — por exemplo, ao abrigo do UK GDPR, do California Consumer Privacy Act (CCPA/CPRA), da LGPD brasileira, do PIPEDA canadiano, do Privacy Act australiano, do PDPA de Singapura ou do POPIA sul-africano. Estes são tratados em secções próprias mais abaixo.

Esta política produz efeitos a partir da data indicada acima e descreve o Serviço tal como funciona atualmente. Os dados da nossa empresa estão também publicados no nosso Aviso Legal.

2. Responsável pelo tratamento

O responsável pelo tratamento aqui descrito, na aceção do artigo 4.º, n.º 7, do RGPD, é:

Uma vez que o responsável pelo tratamento está estabelecido na União Europeia, não é exigido nem foi designado qualquer representante nos termos do artigo 27.º do RGPD. Para questões de proteção de dados, escreva para privacy@cvscore.net.

3. Dados que tratamos

Os dados que tratamos dependem da forma como utiliza o Serviço:

Dados da conta

Pode carregar um currículo e obter a sua avaliação sem conta; para ver o resultado é necessária uma conta. Para uma conta, tratamos:

• O seu endereço de e-mail
• A sua palavra-passe — apenas nas contas que iniciam sessão com endereço de e-mail e palavra-passe; armazenada exclusivamente como hash criptográfico pelo nosso fornecedor de autenticação, nunca em texto simples
• Se iniciar sessão com o Google ou o LinkedIn: o endereço de e-mail e as informações básicas de perfil que esse fornecedor nos transmite
• Um identificador interno de utilizador (UUID) e as marcas temporais da criação da conta e do início de sessão
• Se o seu endereço de e-mail foi confirmado
• O estado do seu consentimento para comunicações de marketing e, se aplicável, o momento e o canal de uma posterior recusa

Avaliação sem conta

Pode carregar um currículo e obter a sua avaliação antes de criar uma conta. Nesse caso, tratamos:

• Um identificador aleatório (UUID) que o seu navegador gera e guarda no respetivo armazenamento local. É a única ligação entre si e a sua avaliação, não diz nada sobre si e não é um cookie
• O currículo carregado e o resultado da avaliação, segundo as mesmas regras descritas abaixo para os ficheiros de currículo e os resultados das avaliações
• Uma soma de verificação criptográfica (HMAC) do seu endereço IP, que nos permite limitar os carregamentos anónimos a cinco por endereço IP e por hora. Guardamos apenas esta soma de verificação, nunca o endereço IP em si

Ficheiros de currículo

Quando carrega um currículo para avaliação, tratamos:

• O ficheiro PDF carregado (no máximo 5 MB e 3 páginas)
• O nome do ficheiro, o tamanho do ficheiro e o número de páginas
• Uma soma de verificação SHA-256 do ficheiro, utilizada para reconhecer um novo carregamento do mesmo documento e evitar cobrar-lhe duas vezes
• O idioma do relatório que selecionou e a marca temporal do carregamento

Resultados da avaliação

Para cada avaliação armazenamos:

• A pontuação global e as pontuações das 8 categorias e das respetivas subcategorias
• As observações positivas e negativas de cada subcategoria, até três pontos fortes principais e até sete melhorias essenciais, cada uma classificada como de impacto elevado ou médio
• Estes textos são redigidos pelo próprio modelo; podem referir-se ao conteúdo do seu currículo e reproduzir formulações concretas dele
• O identificador do modelo, a versão do prompt e a versão do esquema utilizados, para que um resultado se mantenha reproduzível
• O estado do processamento, eventuais mensagens de erro e se e quando o relatório completo foi desbloqueado
• Antes da análise, pode indicar facultativamente o setor, o cargo pretendido (texto livre, sem espaços nas extremidades e limitado a 120 caracteres) e o nível de experiência. O contexto enviado é guardado com a avaliação e segue as mesmas regras de conservação e eliminação. Pode analisar sem estes dados.

Dados de pagamento

Os pagamentos são processados pelo nosso fornecedor de pagamentos Polar. Do nosso lado armazenamos apenas:

• O endereço de e-mail utilizado na compra
• O montante, a moeda, o estado, a referência da transação atribuída pelo fornecedor e o produto adquirido
• O seu saldo de créditos e um registo de cada movimento de créditos — creditado na compra, debitado ao desbloquear um relatório
• Nas contas com uma subscrição antiga: o respetivo plano, estado e período atual
• Se lhe foi apresentada uma oferta única e limitada no tempo e se a utilizou
• O registo de que um processo de pagamento foi iniciado (identificador do checkout, endereço de e-mail, produto), que utilizamos para detetar compras abandonadas

Quando inicia uma compra, transmitimos à Polar o seu endereço de e-mail e o seu identificador interno de conta, para que o pagamento possa ser associado à sua conta. Nunca recebemos nem armazenamos o número do seu cartão, o código de verificação do cartão ou outras credenciais de pagamento. Estes dados, juntamente com os dados de faturação necessários para determinar a taxa de imposto correta, são tratados pela Polar sob a sua própria responsabilidade. Para as faturas e para a gestão de uma subscrição, encaminhamo-lo para o portal do cliente da Polar.

Questionário facultativo

Após uma análise, podemos colocar algumas perguntas de resposta voluntária para contextualizar o seu resultado. As respostas são armazenadas apenas sob a forma de intervalos, nunca como valores exatos:

• O número de candidaturas enviadas e de entrevistas obtidas, sob a forma de intervalo
• A expectativa salarial sob a forma de escalão, incluindo a opção de não a divulgar
• Se está atualmente sem funções ou empregado e à procura de mudar
• Se pretende mudar de emprego e se gostaria de ser contactado para dar feedback

Feedback e apoio

Se nos enviar feedback ou um pedido de apoio a partir da aplicação, armazenamos:

• A sua mensagem e se a assinalou como feedback ou como pedido de apoio
• O endereço de e-mail da sua conta e o momento do envio

Dados técnicos e de utilização

Quando utiliza o sítio web ou a aplicação, são tratados automaticamente:

• Dados dos registos de servidor dos nossos fornecedores de alojamento, incluindo o endereço IP, a data e a hora, o recurso solicitado, o estado HTTP e a página de proveniência
• Informações sobre o navegador e o dispositivo transmitidas pelo seu navegador
• Registos de erros da aplicação, que documentam mensagens de erro técnicas e não o conteúdo dos currículos
• O seu endereço IP, para limitação de pedidos e prevenção de abusos
• O seu token de início de sessão, armazenado no seu navegador (ver secção 16)
• Dados agregados de medição de audiência (ver secção 16)

4. Como obtemos estes dados

Diretamente de si: Quando cria uma conta, carrega um currículo, responde ao questionário facultativo, compra um relatório ou nos contacta.

Automaticamente: Através dos registos de servidor, do token de início de sessão tecnicamente necessário e da nossa própria medição de audiência quando utiliza o Serviço.

Do Google ou do LinkedIn: Se optar por iniciar sessão com o Google ou o LinkedIn, recebemos desse fornecedor o seu endereço de e-mail e informações básicas de perfil.

Do nosso fornecedor de pagamentos: A Polar notifica-nos quando um processo de pagamento é iniciado e quando um pagamento é concluído com sucesso, reembolsado ou contestado, transmitindo-nos o endereço de e-mail, o montante e a referência da transação.

5. Finalidades e fundamentos jurídicos

Só tratamos dados pessoais quando existe um fundamento jurídico ao abrigo do artigo 6.º, n.º 1, do RGPD:

NÃO utilizamos o seu currículo para publicidade, para definição de perfis nem para treinar modelos de IA, e não vendemos dados pessoais.

6. Tratamento por IA e decisões automatizadas

O seu currículo é avaliado de forma totalmente automatizada. Esta secção explica exatamente o que acontece, o que sai dos nossos sistemas e como apreciamos esta situação à luz do artigo 22.º do RGPD.

Como funciona a avaliação

Quando envia um currículo:

1. Verificamos o ficheiro (PDF, no máximo 5 MB e 3 páginas) e, através de uma soma de verificação, se já mandou avaliar exatamente este documento no mesmo idioma.
2. O texto é extraído no nosso próprio servidor. Se o PDF não contiver texto legível por máquina, é executado no mesmo servidor um reconhecimento de texto (OCR). Nenhum terceiro intervém em qualquer destes passos. O próprio PDF é guardado na área de armazenamento privada da sua conta.
3. O texto extraído do currículo é enviado para a API da OpenAI, juntamente com as nossas instruções de avaliação. O modelo utilizado é o gpt-5.6-luna, com temperatura 0 e semente fixa, pelo que o mesmo texto produz um resultado praticamente idêntico.
4. O resultado é armazenado na sua conta e apresentado a si. O relatório completo é mostrado depois de ter sido desbloqueado.

O que é avaliado

O modelo classifica o documento em oito categorias:

• Contacto e Cabeçalho
• Resumo Profissional
• Experiência Profissional
• Formação e Qualificações
• Competências e Aptidões
• Layout e Design Visual
• Linguagem e Comunicação
• ATS e Posicionamento Estratégico

Limitações importantes

• Não é uma ferramenta de recrutamento: o CV Score foi concebido para a sua própria autoavaliação. Não se destina à triagem por entidades empregadoras, à seleção de candidatos nem a processos de recursos humanos.
• Sem garantias: uma pontuação elevada não garante entrevistas nem propostas, e uma pontuação baixa não significa que não esteja qualificado.
• Apenas a qualidade do documento: a avaliação incide sobre a apresentação do documento, não sobre as suas qualificações, a sua experiência ou a sua adequação a uma função.
• Não é aconselhamento jurídico nem de carreira: o resultado tem caráter informativo e não constitui aconselhamento profissional.

Trata-se de uma decisão automatizada nos termos do artigo 22.º do RGPD?

A avaliação é produzida sem intervenção humana. No nosso entendimento, não constitui, ainda assim, uma decisão que produza efeitos jurídicos na sua esfera ou que o afete significativamente de forma similar, na aceção do artigo 22.º, n.º 1, do RGPD: é o próprio que solicita a análise, o resultado tem caráter consultivo, é apresentado apenas a si e nenhum terceiro — em especial nenhuma entidade empregadora e nenhum recrutador — o recebe ou decide seja o que for com base nele. Não transmitimos resultados a entidades empregadoras, a recrutadores nem a plataformas de emprego. Esta apreciação é nossa; se tiver entendimento diferente, pode contestá-la através das vias indicadas abaixo.

Revisão humana

Independentemente da apreciação acima, concedemos-lhe voluntariamente as garantias do artigo 22.º, n.º 3, do RGPD:

• Pode solicitar a revisão humana de qualquer avaliação escrevendo para support@cvscore.net
• Pode manifestar o seu ponto de vista e contestar o resultado
• Respondemos a esses pedidos no prazo de um mês

Treino de modelos de IA

Utilizamos a OpenAI através da sua API empresarial. Nos termos das condições da API da OpenAI, os conteúdos enviados através da API não são, por predefinição, utilizados para treinar os modelos da OpenAI. Nós próprios não utilizamos o seu currículo, os seus resultados ou o seu feedback para treinar modelos próprios.

7. Destinatários dos seus dados

Só transmitimos dados nos seguintes casos:

Subcontratantes: Prestadores de serviços que tratam os dados estritamente de acordo com as nossas instruções e que estão vinculados por um contrato de subcontratação nos termos do artigo 28.º do RGPD. Encontram-se indicados na secção 8.

Fornecedor de pagamentos: A Polar processa o pagamento sob a sua própria responsabilidade e comunica-nos apenas o respetivo resultado.

Obrigações legais: Divulgamos dados sempre que a lei o exija, por exemplo a tribunais ou a autoridades públicas que atuem no âmbito das suas competências.

Transmissão da empresa: Se a nossa atividade, ou parte dela, for transmitida, os dados podem passar para o adquirente. Informá-lo-íamos previamente de uma alteração dessas.

Não vendemos os seus dados pessoais. Não os alugamos, não os trocamos e não os disponibilizamos a terceiros para fins publicitários próprios.

8. Subcontratantes

Recorremos aos seguintes prestadores de serviços para operar o CV Score:

Os pormenores sobre cada fornecedor, sobre o fluxo dos seus dados e sobre as garantias em que nos baseamos constam da nossa Lista de Subcontratantes.

Se acrescentarmos ou substituirmos um subcontratante, atualizamos esta política e a lista de subcontratantes. A nossa medição de audiência funciona na nossa própria infraestrutura e, por isso, não consta desta lista — ver secção 16.

9. Transferências para países terceiros

Alguns dos nossos subcontratantes estão estabelecidos nos Estados Unidos ou pertencem a um grupo sediado nos EUA. Nesses casos, são transferidos dados pessoais para um país fora do Espaço Económico Europeu que não foi reconhecido pela Comissão Europeia como oferecendo um nível de proteção equivalente.

Garantias

Baseamos estas transferências nas seguintes garantias:

• Cláusulas contratuais-tipo: as cláusulas adotadas pela Comissão Europeia ao abrigo do artigo 46.º, n.º 2, alínea c), do RGPD, acordadas com os nossos fornecedores no âmbito dos contratos de subcontratação.
• EU-US Data Privacy Framework: quando um fornecedor está certificado ao abrigo deste quadro, aplica-se adicionalmente o artigo 45.º do RGPD, com base na decisão de adequação da Comissão Europeia de 10 de julho de 2023.
• Medidas complementares: transmissão encriptada, acesso limitado ao necessário e minimização dos dados — em especial, não transmitimos identificadores de conta nem dados de pagamento ao nosso fornecedor de IA.

Que dados vão para onde

O texto do seu currículo é transmitido à OpenAI, nos EUA. Os dados da conta, os ficheiros de currículo e os resultados são armazenados na Supabase, uma empresa norte-americana. Os pagamentos são processados pela Polar e os e-mails pela Resend, ambas empresas norte-americanas. O nosso backend de API funciona em servidores da Google Cloud em Frankfurt, na Alemanha, mas a Google integra um grupo sediado nos EUA. Além disso, a aplicação em app.cvscore.net carrega o seu tipo de letra a partir da Google Fonts; nesse processo o seu navegador contacta diretamente servidores da Google LLC e transmite-lhes o seu endereço IP. As páginas em cvscore.net utilizam tipos de letra alojados por nós. Apesar das garantias acima, subsiste um risco residual de que autoridades de um país terceiro procurem aceder aos dados ao abrigo da legislação local; não podemos excluir essa possibilidade.

10. Conservação

Conservamos os dados enquanto forem necessários para a finalidade para que foram recolhidos ou enquanto a lei nos obrigar a conservá-los. Salvo no caso das avaliações criadas sem conta, não existe eliminação automática após um período fixo — é o utilizador que decide quando as suas avaliações desaparecem:

Pode eliminar, a qualquer momento e na aplicação, cada avaliação individual e a totalidade da sua conta. A eliminação de uma avaliação remove o respetivo registo da base de dados e solicita a eliminação do ficheiro PDF associado no armazenamento. A eliminação da sua conta remove a conta junto do nosso fornecedor de autenticação e os registos a ela associados — avaliações, resultados, respostas ao questionário, feedback, saldo e movimentos de créditos, dados de subscrição, registos de processos de pagamento, o registo de e-mails e o estado do seu consentimento. Os registos de pagamento mantêm-se, sem a ligação à sua conta, durante o tempo exigido pelos prazos de conservação acima indicados. Podem subsistir cópias em cópias de segurança durante um curto período, até que estas sejam substituídas no decurso normal da operação. Se pretender a confirmação de uma eliminação, escreva para privacy@cvscore.net.

11. Os seus direitos

Assistem-lhe os seguintes direitos relativamente aos dados pessoais que tratamos a seu respeito:

• Acesso (artigo 15.º do RGPD): Obter a confirmação de que tratamos dados a seu respeito, bem como uma cópia desses dados
• Retificação (artigo 16.º do RGPD): Obter a correção de dados inexatos e o completamento de dados incompletos
• Apagamento (artigo 17.º do RGPD): Obter o apagamento dos seus dados quando se verifique um dos fundamentos previstos no RGPD
• Limitação (artigo 18.º do RGPD): Exigir que limitemos o tratamento em vez de apagarmos os dados
• Portabilidade dos dados (artigo 20.º do RGPD): Receber os dados que forneceu num formato estruturado, de uso corrente e de leitura automática
• Oposição (artigo 21.º do RGPD): Opor-se a qualquer momento ao tratamento baseado nos nossos interesses legítimos, por motivos relacionados com a sua situação particular
• Retirada do consentimento (artigo 7.º, n.º 3, do RGPD): Retirar a qualquer momento o consentimento que prestou, com efeitos para o futuro — incluindo o consentimento para e-mails de marketing, através da ligação de cancelamento de subscrição presente em cada um desses e-mails ou nas definições da sua conta

Pode eliminar avaliações e toda a sua conta a qualquer momento, diretamente na aplicação. Para tudo o resto, escreva para privacy@cvscore.net. Respondemos no prazo de um mês; caso um pedido seja complexo, esse prazo pode ser prorrogado por um máximo de dois meses adicionais, do que o informaremos.

12. Reclamações e autoridade de controlo

Se considerar que tratamos os seus dados de forma ilícita, pode apresentar reclamação junto de uma autoridade de controlo — sem prejuízo de qualquer outra via de recurso.

• Autoridade competente para nós: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, Alemanha
• A sua autoridade local: Pode também apresentar reclamação junto da autoridade de controlo do seu local de residência habitual ou de trabalho
• Direito a uma explicação: Pode exigir-nos uma explicação da lógica subjacente à avaliação automatizada (ver secção 6)
• Via judicial: Mantém o direito à ação judicial efetiva nos termos do artigo 79.º do RGPD

A autoridade de controlo competente para nós é a Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (Comissária Estadual para a Proteção de Dados e a Liberdade de Informação da Renânia do Norte-Vestefália), uma vez que a nossa sede se situa em Frechen, na Renânia do Norte-Vestefália.

Respondemos aos pedidos ao abrigo do RGPD no prazo de um mês. Se necessário, esse prazo pode ser prorrogado por mais dois meses, tendo em conta a complexidade e o número de pedidos; informá-lo-emos de qualquer prorrogação.

13. Direitos de privacidade na Califórnia (CCPA/CPRA)

Se residir na Califórnia, dispõe de direitos específicos ao abrigo do California Consumer Privacy Act, na redação dada pelo California Privacy Rights Act:

Categorias de informações pessoais

Nos últimos 12 meses recolhemos as seguintes categorias:

• Identificadores: endereço de e-mail, endereço IP, identificador de conta
• Informações profissionais: o conteúdo do seu currículo
• Informações comerciais: compras e registos de pagamento
• Atividade na Internet: utilização agregada das nossas páginas e da aplicação

Os seus direitos na Califórnia

• Direito de saber: Solicitar a divulgação das categorias e dos elementos concretos de informações pessoais que recolhemos
• Direito de eliminação: Solicitar a eliminação das suas informações pessoais, sob reserva das exceções legais
• Direito de correção: Solicitar a correção de informações pessoais inexatas
• Direito de oposição (opt-out): Opor-se à venda ou partilha de informações pessoais — não as vendemos nem partilhamos
• Direito de limitar a utilização de informações pessoais sensíveis: Limitar a utilização de informações pessoais sensíveis — utilizamo-las apenas para prestar o Serviço
• Direito à não discriminação: Não ser tratado de forma diferente por exercer os seus direitos de privacidade

Tecnologia de decisão automatizada (ADMT)

A nossa avaliação é produzida por tratamento automatizado. Por conseguinte:

• Tem direito a informações sobre o funcionamento da avaliação (ver secção 6)
• Pode solicitar a revisão humana de qualquer avaliação
• Pode evitar totalmente o tratamento automatizado não enviando qualquer currículo

Para proteger os seus dados, poderemos ter de verificar a sua identidade antes de responder a um pedido. Para tal, utilizamos o endereço de e-mail associado à sua conta.

Para exercer os seus direitos na Califórnia, escreva para privacy@cvscore.net com «CCPA Request» no assunto. Respondemos no prazo de 45 dias.

Pode designar um agente autorizado para apresentar um pedido em seu nome. Podemos solicitar prova dessa autorização.

14. Direitos de privacidade no Reino Unido (UK GDPR)

Se se encontrar no Reino Unido, dispõe de direitos ao abrigo do UK General Data Protection Regulation e do Data Protection Act 2018:

Os seus direitos correspondem em larga medida aos previstos no RGPD da UE e descritos nas secções 11 e 12: acesso, retificação, apagamento, limitação, portabilidade, oposição e as garantias relativas às decisões automatizadas.

Pode apresentar reclamação junto do Information Commissioner's Office (ICO), em ico.org.uk. Tenha em conta que estamos estabelecidos na Alemanha, pelo que a autoridade de controlo competente para nós é a indicada na secção 12.

Nota: o UK Data (Use and Access) Act 2025 alterou partes da legislação britânica de proteção de dados. Atualizaremos esta política à medida que forem publicadas as respetivas orientações de execução.

15. Outras jurisdições

Para pedidos ao abrigo de uma destas leis, escreva para privacy@cvscore.net indicando onde se encontra.

16. Cookies, armazenamento local e medição de audiência

Reduzimos ao mínimo o que fica guardado no seu dispositivo, limitando-o ao necessário para o funcionamento do Serviço:

Armazenamento tecnicamente necessário

• Token de início de sessão (sb-…-auth-token): depois de iniciar sessão, o token da sua sessão é guardado no armazenamento local do seu navegador para que se mantenha com sessão iniciada entre carregamentos de página. Sem ele, a aplicação não pode ser utilizada. Fundamento jurídico: § 25(2) TDDDG, uma vez que este armazenamento é estritamente necessário para prestar o serviço que solicitou.

Medição de audiência com o Rybbit

Para obter uma noção geral da forma como as nossas páginas e a aplicação são utilizadas, recorremos ao Rybbit. O software funciona num servidor que nós próprios operamos; não são transmitidos dados a terceiros e não se trata de uma rede publicitária. O Rybbit não utiliza cookies, mas guarda um identificador gerado aleatoriamente no armazenamento local do seu navegador, que nos permite distinguir, dentro do mesmo navegador, uma visita recorrente de uma nova. Regista as páginas visualizadas, a página de proveniência, a região aproximada, o tipo de dispositivo e de navegador e interações individuais — na aplicação também eventos como um carregamento concluído ou um relatório desbloqueado, em alguns casos acompanhados de valores técnicos como o identificador de uma avaliação ou uma pontuação. Pode eliminar ou bloquear o identificador a qualquer momento; a nossa Política de cookies explica como. Fundamento jurídico: artigo 6.º, n.º 1, alínea f), do RGPD, o nosso interesse legítimo em estatísticas com minimização de dados.

O Rybbit também regista estes dados quando seleciona uma resposta, sai do campo do cargo (incluindo após alterações), envia o contexto e inicia a análise. Os valores vazios ou ignorados são omitidos. Analisar sem dados não envia contexto para essa análise, mas não anula interações já registadas. Para compras confirmadas e desbloqueios associados a uma avaliação, recuperamos o contexto guardado através de uma API autorizada e incluímo-lo nos eventos de confirmação. Não inferimos contexto para compras sem avaliação.

Usamos estes dados para analisar públicos e interações com o produto, incluindo quais os públicos que compram, e melhorar o produto e a experiência de utilização. Esta extensão não acrescenta armazenamento no navegador nem chamadas de identificação de utilizadores. Nomes, endereços de e-mail, conteúdo do CV e respostas a questionários posteriores não são adicionados intencionalmente. Contudo, o campo do cargo pode conter informações pessoais introduzidas por si: os eventos não são necessariamente anónimos. Introduza apenas um cargo, sem nomes, contactos ou informações sensíveis.

O que não utilizamos

• Sem cookies publicitários, sem retargeting, sem redes de publicidade
• Sem serviços de análise de terceiros, como o Google Analytics
• Sem plug-ins de redes sociais nem pixéis de rastreio
• Sem gravação de sessões nem rastreio do movimento do rato
• Sem rastreio do seu comportamento entre sítios web

Armazenamento por terceiros

Se iniciar sessão com o Google, o Google pode armazenar dados nos seus próprios domínios. Se efetuar uma compra, a Polar pode fazer o mesmo nas suas páginas de pagamento; para as faturas e a gestão de uma subscrição encaminhamo-lo igualmente para a Polar. A aplicação em app.cvscore.net carrega ainda o seu tipo de letra a partir da Google Fonts; nesse processo o seu navegador contacta servidores da Google LLC e transmite-lhes o seu endereço IP. As páginas em cvscore.net utilizam tipos de letra alojados por nós. Se utilizar o botão de partilha, a ligação gerada contém apenas a sua pontuação numérica e a plataforma onde a publicar aplica as suas próprias regras. Todos estes processos regem-se pelas políticas de privacidade dos fornecedores em causa, e não pela nossa.

Pode eliminar a qualquer momento os dados armazenados localmente através das definições do seu navegador. Se eliminar o token de início de sessão, a sua sessão será terminada e terá de iniciar sessão novamente.

Mais pormenores na nossa Política de Cookies.

17. Segurança

Adotamos medidas técnicas e organizativas adequadas para proteger os seus dados:

• Todo o tráfego entre o seu navegador, o nosso sítio web, a aplicação e a nossa API é encriptado em trânsito (HTTPS/TLS)
• Os ficheiros de currículo carregados são mantidos numa área de armazenamento privada, separada por utilizador; não são publicamente acessíveis
• As avaliações e os resultados só podem ser consultados através da nossa API autenticada; o acesso direto à base de dados está restringido ao nível da linha
• Todos os pontos finais que tratam dados pessoais exigem um token de sessão válido; os pedidos sem esse token são rejeitados
• As palavras-passe são sempre armazenadas apenas como hashes criptográficos; o início de sessão com o Google ou o LinkedIn está disponível como alternativa
• Limites de pedidos nos carregamentos, na eliminação de conta e noutros pontos finais sensíveis, para tornar dispendioso o abuso automatizado
• A API só pode ser invocada a partir dos nossos próprios domínios (lista de permissões CORS)
• Os carregamentos são restringidos por tipo de ficheiro, tamanho e número de páginas antes de serem processados
• As notificações do nosso fornecedor de pagamentos só são aceites com uma assinatura criptográfica válida
• As ligações de cancelamento nos nossos e-mails são assinadas criptograficamente, de modo que ninguém possa cancelar o endereço de outra pessoa
• As credenciais de acesso são fornecidas ao ambiente de execução como variáveis de ambiente e não fazem parte do nosso código-fonte

Nenhuma transmissão através da Internet e nenhuma forma de armazenamento são completamente seguras. Por conseguinte, não podemos garantir uma segurança absoluta.

Se detetar uma vulnerabilidade de segurança, comunique-a para security@cvscore.net antes de a divulgar publicamente.

18. Menores

O Serviço não se destina a pessoas com menos de 16 anos. Não recolhemos conscientemente dados de crianças com menos de 16 anos.

Se tomarmos conhecimento de que recebemos dados de uma criança com menos de 16 anos, eliminamo-los sem demora indevida. Se considerar que tal aconteceu, contacte-nos através de privacy@cvscore.net.

19. Violações de dados

Em caso de violação de dados pessoais:

• Notificamos a autoridade de controlo competente no prazo de 72 horas após termos tomado conhecimento da violação, salvo se for improvável que esta resulte num risco para os seus direitos e liberdades (artigo 33.º do RGPD)
• Comunicamos a violação às pessoas afetadas sem demora indevida sempre que seja provável que implique um elevado risco para os seus direitos e liberdades (artigo 34.º do RGPD)
• Documentamos todas as violações, os seus efeitos e as medidas adotadas
• Mantemos procedimentos para detetar, investigar e corrigir incidentes

Se considerar que os seus dados podem ter sido comprometidos, contacte-nos de imediato através de security@cvscore.net.

20. Alterações a esta política

Atualizamos esta política sempre que os nossos tratamentos mudam. Informamo-lo de alterações substanciais através de:

• Publicação da versão atualizada nesta página, com uma nova data
• Envio de e-mail aos utilizadores registados, quando a alteração for significativa
• Apresentação de um aviso dentro do Serviço

Recomendamos que consulte esta página de tempos a tempos. A versão aqui publicada é sempre a aplicável.

Sempre que uma alteração afete substancialmente os seus direitos ou a forma como utilizamos os seus dados, anunciamo-la com pelo menos 30 dias de antecedência relativamente à sua entrada em vigor.

21. Contacto

Para questões, pedidos ou reclamações em matéria de proteção de dados, contacte-nos:

Procuramos responder a questões gerais no prazo de cinco dias úteis e concluir os pedidos ao abrigo do RGPD no prazo de um mês.