Candidate.IA Legal
Segurança e Privacidade no Candidate.IA
Conheça os controles de segurança, privacidade by design, proteção de dados, redaction, incidentes, exportação e retenção usados pelo Candidate.IA na operação Brasil.
1. Título e escopo
Esta página resume controles técnicos e organizacionais usados para proteger dados no Candidate.IA.
Ela se aplica à operação Brasil/LGPD e complementa a Política de Privacidade em /pt/privacidade, os Termos de Uso em /pt/termos e o DPA em /pt/dpa.
Segurança é um processo contínuo de prevenção, monitoramento, melhoria e resposta. Ela reduz riscos, mas não elimina todos os cenários possíveis.
Versão 1.0 — vigente a partir de 17 de maio de 2026.
2. Nossa abordagem
Adotamos princípios de privacidade e segurança por desenho, minimização de dados, segregação de dados, controles de acesso, registros de auditoria, revisão contínua e melhoria progressiva.
Buscamos tratar dados pessoais apenas pelo tempo e na medida necessários às finalidades informadas, com controles proporcionais ao risco, ao contexto de uso e às obrigações aplicáveis.
A proteção da plataforma envolve medidas técnicas, organizacionais e contratuais que podem evoluir conforme o produto, fornecedores, ameaças, legislação e necessidades de clientes.
3. Isolamento entre organizações
O Candidate.IA é uma plataforma multi-tenant. Dados de organizações clientes são segregados logicamente e acessos dependem de permissões, papéis e contexto autorizado.
Controles técnicos buscam evitar acesso indevido entre organizações, usuários, candidatos e fluxos de clientes distintos.
Por segurança, não publicamos detalhes internos de implementação, arquitetura ou regras que possam facilitar abuso ou tentativa de acesso indevido.
4. Controle de acesso e autenticação
Usamos autenticação, sessões, credenciais protegidas, permissões por papel e medidas para reduzir risco de acesso indevido.
Usuários e organizações devem manter credenciais sob controle, revisar permissões, encerrar acessos desnecessários e reportar suspeitas de uso indevido.
Medidas de segurança podem incluir bloqueio, limitação de acesso, verificação adicional, revogação de sessões ou revisão operacional quando houver risco à plataforma, aos titulares ou às organizações.
5. Proteção de documentos e dados profissionais
Currículos, documentos, entrevistas, transcrições, testes, assessments, relatórios e dados profissionais são tratados com cuidado adicional por poderem conter informações pessoais relevantes.
Quando aplicável, usamos storage privado, acesso limitado por contexto autorizado e links temporários ou protegidos para reduzir exposição indevida.
Usuários e clientes devem evitar o envio de dados sensíveis desnecessários, como informações sobre saúde, religião, opinião política, origem racial ou étnica, filiação sindical, vida sexual, biometria ou dados de crianças e adolescentes, salvo quando houver necessidade, base legal adequada e orientação específica.
6. Redaction e minimização de logs
Logs e eventos operacionais são tratados com foco em minimização e segurança. O objetivo é registrar o necessário para operação, auditoria, suporte, prevenção a abuso e investigação de eventos sem expor conteúdo sensível de forma desnecessária.
Tokens, cookies, cabeçalhos de Authorization, secrets, prompts internos e payloads sensíveis não devem ser registrados por padrão.
Webhooks, integrações e fluxos de IA podem usar metadados minimizados, hashes ou registros técnicos reduzidos quando aplicável. Histórico anterior ou ferramentas externas podem exigir revisão operacional contínua.
7. IA e segurança
Recursos de IA são usados com controles de minimização e com atenção à finalidade, ao contexto e à segurança das informações processadas.
Prompts internos, chain-of-thought, segredos comerciais e detalhes proprietários não são expostos ao público ou em respostas a titulares. Explicações ao titular devem ser gerais, úteis e seguras.
O uso de IA em contexto B2B pode depender de contrato, configuração, instruções da organização cliente e funcionalidade utilizada. Provedores de IA e fornecedores relacionados são descritos em /pt/subprocessadores.
8. Exportação e download seguro
Exportações de dados pessoais são tratadas com medidas de proteção compatíveis com o contexto e podem exigir autenticação, verificação de identidade ou autorização.
Exportações podem ter expiração técnica e não devem incluir tokens, cookies, prompts internos, chain-of-thought, dados de outros titulares, dados de outro tenant, credenciais, payloads sensíveis ou informações que possam comprometer segurança.
Links de download são protegidos quando aplicável e devem ser usados apenas pelo titular ou pessoa autorizada.
9. Exclusão, anonimização e retenção
Exclusão ou anonimização pode envolver análise, dry-run, aprovação, verificação de escopo e avaliação de obrigações legais ou contratuais.
Dados de billing, fiscais, auditoria, segurança, prevenção a fraude, exercício regular de direitos, legal hold e obrigações legais podem justificar retenção por prazo próprio.
Backups seguem ciclo técnico próprio. A exclusão em sistemas ativos pode não se refletir imediatamente em cópias de segurança.
10. Incidentes de segurança
O Candidate.IA possui processo técnico para registrar, avaliar e responder incidentes de segurança e privacidade.
A resposta pode envolver análise de impacto, contenção, preservação de evidências, investigação, correção, documentação e comunicação com partes competentes, conforme aplicável.
Em contexto B2B, a organização cliente pode ser envolvida quando atuar como controladora ou quando o incidente estiver relacionado a dados do processo conduzido por ela.
Comunicação à ANPD ou a titulares depende da avaliação do controlador competente, jurídico ou DPO, riscos envolvidos e requisitos legais aplicáveis.
11. Subprocessadores e fornecedores
Usamos fornecedores de infraestrutura, IA, pagamentos, analytics consentido e serviços técnicos conforme necessidade operacional, funcionalidade, contrato e configuração.
Fornecedores são tratados conforme função, finalidade, contrato, necessidade, segurança e privacidade. Alguns podem atuar como subprocessadores, suboperadores, fornecedores de infraestrutura, terceiros independentes ou controladores independentes, conforme o serviço.
A lista pública de fornecedores fica em /pt/subprocessadores. Pode haver transferência internacional conforme fornecedor, região, configuração e funcionalidade utilizada.
12. O que esperamos dos usuários e clientes
Usuários e clientes devem proteger credenciais, usar permissões adequadas, não compartilhar contas, revisar usuários e administradores da organização e notificar suspeitas de segurança.
Também devem evitar envio de dados sensíveis desnecessários, usar a plataforma conforme sua finalidade e respeitar direitos de candidatos, profissionais, clientes e terceiros.
Clientes B2B devem orientar seus usuários, administradores e candidatos sobre uso adequado, permissões, processos, privacidade e segurança no contexto da organização.
13. Limites e responsabilidades
Nenhum sistema é imune a riscos. Controles técnicos e organizacionais reduzem riscos, mas não eliminam todos os cenários de incidente, indisponibilidade, erro, abuso ou ataque.
Disponibilidade, suporte, auditorias, revisões, relatórios e compromissos específicos podem depender de contrato, plano, proposta comercial ou DPA aplicável.
Informações de segurança mais detalhadas podem ser compartilhadas sob contrato, NDA ou processo apropriado, quando aplicável e sem comprometer a proteção da plataforma.
14. Como reportar uma preocupação de segurança ou privacidade
Use o Canal de Privacidade em /pt/privacidade/contato para reportar preocupação de segurança, privacidade ou possível incidente.
Se for incidente, inclua descrição geral, data e hora aproximadas, evidências seguras, impacto percebido e contato para retorno.
Não envie senhas, tokens, dados sensíveis desnecessários, conteúdo integral de requisições, documentos de terceiros ou informações que possam aumentar o risco do evento.
15. Links úteis
Política de Privacidade: /pt/privacidade. Termos de Uso: /pt/termos. Política de Cookies: /pt/cookies. Subprocessadores: /pt/subprocessadores. LGPD: /pt/lgpd. DPA: /pt/dpa. Canal de Privacidade: /pt/privacidade/contato.