Candidate.IA Legal
Subprocessadores e Fornecedores do Candidate.IA
Conheça fornecedores que podem apoiar a operação do Candidate.IA, incluindo infraestrutura, IA, analytics consentido, pagamentos e serviços técnicos na operação Brasil/LGPD.
1. Título e escopo
Esta página informa fornecedores que podem apoiar a operação do Candidate.IA no Brasil, em alinhamento com a Política de Privacidade, a Política de Cookies, os Termos de Uso e documentos contratuais aplicáveis.
A lista serve para transparência sobre serviços de infraestrutura, IA, analytics, pagamentos e outros recursos técnicos ou operacionais.
O uso de cada fornecedor pode variar conforme funcionalidade, plano, contrato, região, configuração, disponibilidade e contexto de tratamento.
Esta lista pode ser atualizada periodicamente. Versão 2.7, vigente a partir de 17 de setembro de 2026. Última revisão em 17 de setembro de 2026.
2. O que são subprocessadores e fornecedores
Subprocessador ou suboperador pode tratar dados pessoais em apoio ao Candidate.IA quando atuamos como operador em nome de uma organização cliente, conforme o contexto, contrato e instruções aplicáveis.
Fornecedor de infraestrutura pode hospedar, armazenar, processar, entregar ou proteger o serviço. Gateway de pagamento pode tratar dados de pagamento conforme seus próprios termos e políticas. Ferramenta de analytics pode operar apenas quando consentida, quando esse consentimento for exigido.
Provedor de IA pode apoiar análises, transcrição, embeddings, relatórios, recomendações, match e outros recursos inteligentes, conforme a funcionalidade utilizada.
Nem todo fornecedor exerce o mesmo papel jurídico em todos os fluxos. Alguns podem atuar como subprocessadores, suboperadores, fornecedores de infraestrutura, terceiros independentes ou controladores independentes, conforme o serviço e a finalidade.
3. Como usamos fornecedores
Fornecedores podem apoiar hospedagem, armazenamento de dados, processamento, IA, analytics consentido, pagamentos, segurança, e-mail transacional quando aplicável e suporte ou observabilidade se adotados no futuro.
Buscamos limitar o uso de fornecedores à finalidade necessária para operar, proteger, auditar, manter, melhorar ou prestar o Candidate.IA, conforme aplicável ao produto e ao contrato.
4. Lista pública de fornecedores
A tabela abaixo apresenta fornecedores usados ou previstos para apoiar a operação. Ela não inclui avaliações internas, informações contratuais não públicas, configurações privadas ou detalhes que possam comprometer segurança, negociação ou prevenção a abuso.
Esta lista reflete os fornecedores em produção em 17/09/2026. Fornecedores em avaliação não constam da lista e não recebem dados antes de serem publicados aqui com 15 dias de antecedência. Fornecedor que não recebe dado pessoal também não consta desta lista, ainda que apoie a operação de outra forma (por exemplo, testes automatizados de infraestrutura).
| Fornecedor | Finalidade | Categorias gerais de dados | Papel operacional provável | Transferência internacional | Observação | Retenção |
|---|---|---|---|---|---|---|
| Supabase | Armazenamento de dados. | Dados de conta, perfis, documentos e registros operacionais, conforme funcionalidade. | Fornecedor de infraestrutura/subprocessador ou suboperador, conforme contexto. | Singapura (sede, Supabase Pte. Ltd.) — dados na região Estados Unidos (AWS us-west-2) — mecanismo: art. 33, IX c/c art. 7º, V; salvaguarda: DPA com cláusulas-padrão da UE (modelo público capturado em 14/09/2026; aceitação pela conta a confirmar) | Usado para armazenamento de dados da plataforma. | conforme matriz da seção 6.1 da Política de Privacidade |
| Google Cloud | Infraestrutura de processamento. | Dados processados pela plataforma, logs minimizados e operações técnicas. | Fornecedor de infraestrutura/subprocessador ou suboperador. | Estados Unidos — mecanismo: art. 33, IX c/c art. 7º, V; salvaguarda: DPA com cláusulas-padrão da UE (modelo público capturado em 14/09/2026; aceitação pela conta a confirmar) | Usado para processamento e operação de serviços. | conforme matriz da seção 6.1 da Política de Privacidade |
| Vercel | Entrega do frontend. | Metadados técnicos de acesso e navegação, conforme configuração. | Fornecedor de infraestrutura. | Estados Unidos — mecanismo: art. 33, IX c/c art. 7º, V; salvaguarda: DPA com cláusulas-padrão da UE (modelo público capturado em 14/09/2026; aplicável a planos Enterprise/Pro; aceitação e plano a confirmar) | Usado para entrega do site e interfaces públicas. | conforme matriz da seção 6.1 da Política de Privacidade |
| OpenAI | Recursos de IA, análise, transcrição de áudio de entrevistas (modelo `whisper-1`), relatórios e recomendações. O áudio é enviado por natureza, sem remoção prévia de dados sensíveis; a remoção atua sobre o texto já transcrito (ver Política, §4). | Dados profissionais, conteúdos enviados, transcrições ou metadados, conforme funcionalidade utilizada. | Provedor de IA/subprocessador ou suboperador, conforme contexto. | Estados Unidos — mecanismo: art. 33, IX c/c art. 7º, V; salvaguarda: DPA com cláusulas-padrão da UE (modelo público capturado em 14/09/2026; aceitação a confirmar); não usa dados da API para treinar modelos por padrão; sem Zero Data Retention automática — depende de aprovação prévia do fornecedor; guarda por até 30 dias para monitoramento de abuso | Usamos controles de minimização; o uso pode depender de contrato e configuração. | conforme matriz da seção 6.1 da Política de Privacidade |
| OpenRouter | Roteamento de solicitações de IA para modelos de terceiros, incluindo, quando necessário, o reconhecimento de texto (OCR) de páginas digitalizadas de documentos enviados: a imagem da página é enviada, antes da remoção de dados sensíveis, ao modelo de visão configurado no roteador (hoje Llama 4 Maverick; reserva, modelo da OpenAI servido pelo roteador). | Dados profissionais, conteúdos enviados, transcrições ou metadados, conforme funcionalidade utilizada. | Provedor de IA/subprocessador ou suboperador, conforme contexto. | Estados Unidos ou União Europeia — mecanismo: art. 33, IX c/c art. 7º, V; salvaguarda: termos do fornecedor, DPA não arquivado. Roteador restrito, por parâmetro em cada chamada, à lista fechada de 18 provedores de inferência do item P41 (Estados Unidos ou União Europeia); não encaminha para provedores hospedados na China. | Sem promessa de retenção ou de não treino além do termo público do fornecedor. O roteador só pode encaminhar para provedores de inferência com sede e infraestrutura nos Estados Unidos ou na União Europeia (lista fechada de 18 provedores), fixados por parâmetro em cada chamada; o provedor que atendeu cada chamada fica registrado. | conforme matriz da seção 6.1 da Política de Privacidade |
| DeepSeek | IA por rota direta: currículos, perfis, relatórios e, em todos os fluxos da plataforma, exercícios de autoconhecimento e devolutiva de entrevista. | Conteúdo pseudonimizado de currículos, perfis, relatórios, exercícios de autoconhecimento e áudio de entrevista, conforme funcionalidade. | Provedor de IA/subprocessador ou suboperador, conforme contexto. | China — mecanismo: art. 33, IX c/c art. 7º, V (fluxos de contrato) e art. 33, VIII (fluxos por consentimento, com aviso prévio do destino internacional); salvaguarda: pseudonimização antes do envio (nome, e-mail, telefone, CPF, RG, endereço e CEP substituídos por marcador técnico — art. 13, §4º, LGPD); termos do fornecedor, DPA não arquivado | Dado pessoal pseudonimizado, nunca anônimo (art. 13, §4º, LGPD). | conforme matriz da seção 6.1 da Política de Privacidade |
| QwenCloud | IA por rota direta: currículos, perfis, relatórios e, em todos os fluxos da plataforma, exercícios de autoconhecimento e devolutiva de entrevista. | Conteúdo pseudonimizado de currículos, perfis, relatórios, exercícios de autoconhecimento e áudio de entrevista, conforme funcionalidade. | Provedor de IA/subprocessador ou suboperador, conforme contexto. | Singapura — mecanismo: art. 33, IX c/c art. 7º, V (fluxos de contrato) e art. 33, VIII (fluxos por consentimento, com aviso prévio do destino internacional); salvaguarda: pseudonimização antes do envio (nome, e-mail, telefone, CPF, RG, endereço e CEP substituídos por marcador técnico — art. 13, §4º, LGPD); termos do fornecedor, DPA não arquivado | Dado pessoal pseudonimizado, nunca anônimo (art. 13, §4º, LGPD). | conforme matriz da seção 6.1 da Política de Privacidade |
| xAI | IA por rota direta: currículos, perfis, relatórios e, por escalonamento, exercícios de autoconhecimento e devolutiva de entrevista. | Dados profissionais, conteúdos enviados, transcrições, devolutiva de entrevista ou metadados, conforme funcionalidade utilizada. | Provedor de IA/subprocessador ou suboperador, conforme contexto. | Estados Unidos — mecanismo: art. 33, IX c/c art. 7º, V; salvaguarda: termos do fornecedor, DPA não arquivado | Sem promessa de retenção ou de não treino além do termo público do fornecedor. | conforme matriz da seção 6.1 da Política de Privacidade |
| Microsoft Clarity | Analytics de interação e melhoria de experiência, quando consentido. | Eventos de navegação/interação e metadados técnicos, conforme configuração. | Fornecedor de analytics. | Estados Unidos — mecanismo: art. 33, VIII (consentimento específico e em destaque); salvaguarda: termos do fornecedor, DPA não arquivado; somente após consentimento | Bloqueado por padrão até consentimento explícito de analytics. | conforme matriz da seção 6.1 da Política de Privacidade |
| Hostinger | E-mail transacional. | Nome, e-mail e o conteúdo da mensagem (redefinição de senha, boas-vindas, protocolos de atendimento). | Fornecedor de infraestrutura/serviço técnico. | Chipre — mecanismo: art. 33, IX c/c art. 7º, V; salvaguarda: termos do fornecedor, DPA não arquivado | Usado para envio de e-mail transacional. | conforme matriz da seção 6.1 da Política de Privacidade |
| Mercado Pago | Processamento de pagamentos, status, conciliação e operações financeiras, quando disponível. | Dados de pagamento, IDs externos, status, valores e referências. | Gateway de pagamento/terceiro independente ou fornecedor, conforme fluxo. | Brasil — Sem transferência internacional | Pode tratar dados conforme seus próprios termos e políticas. | conforme matriz da seção 6.1 da Política de Privacidade |
| PagBank | Processamento de pagamentos em reais, quando disponível. | Dados de pagamento, IDs externos, status, valores e referências. | Gateway de pagamento/terceiro independente ou fornecedor, conforme fluxo. | Brasil (quando disponível) — Sem transferência internacional | Pode tratar dados conforme seus próprios termos e políticas. | conforme matriz da seção 6.1 da Política de Privacidade |
| PayPal | Pagamentos internacionais ou alternativos, quando disponíveis, status e conciliação. | Dados de pagamento, IDs externos, status, valores e referências. | Gateway de pagamento/terceiro independente ou fornecedor, conforme fluxo. | Estados Unidos — mecanismo: art. 33, IX c/c art. 7º, V; salvaguarda: termos do fornecedor, DPA não arquivado; somente dados de cobrança | Pode tratar dados conforme seus próprios termos e políticas. | conforme matriz da seção 6.1 da Política de Privacidade |
| Apify Technologies, s.r.o. (República Tcheca) | Coleta automatizada de dados públicos da web: anúncios públicos de vagas (fonte: LinkedIn Jobs) usados nas réguas de mercado e, somente quando o usuário ativa o LinkedIn Pulse, o perfil público e as publicações do próprio usuário no LinkedIn. | Dados públicos de vagas e, quando o usuário ativa o LinkedIn Pulse, dados públicos do próprio perfil e publicações no LinkedIn; não recebe currículos nem respostas de exercícios de autoconhecimento. | Fornecedor de coleta automatizada de dados públicos/serviço técnico. | República Tcheca/UE — mecanismo: art. 33, IX (busca de vagas) e art. 33, VIII (LinkedIn Pulse, consentimento); salvaguarda: DPA com cláusulas-padrão da UE (módulo 4, lei tcheca; modelo público capturado em 14/09/2026; aceitação e plano a confirmar) | Não recebe currículos nem respostas de exercícios de autoconhecimento. | conforme matriz da seção 6.1 da Política de Privacidade |
5. Transferência internacional
Alguns fornecedores estão localizados fora do Brasil ou processam dados em outros países, conforme a tabela acima. Para infraestrutura e inteligência artificial usadas na execução dos serviços contratados, o mecanismo de transferência é o art. 33, IX, da LGPD, combinado com o art. 7º, V — a transferência é necessária para cumprir o contrato a pedido do próprio titular. Para os usos que dependem de consentimento — analytics (Microsoft Clarity), o LinkedIn Pulse (Apify), os exercícios de autoconhecimento e o áudio de entrevista —, o mecanismo é o art. 33, VIII: consentimento específico e em destaque, com informação prévia sobre o caráter internacional da transferência. Como salvaguarda, aderimos aos termos e ao DPA de cada fornecedor, com cláusulas-padrão contratuais da União Europeia quando o fornecedor as oferece, além da minimização de identificadores diretos antes do envio a provedores de inteligência artificial. As cláusulas-padrão específicas da ANPD (Resolução CD/ANPD nº 19/2024) ainda não foram firmadas com nenhum fornecedor; buscar essa adequação como reforço adicional é o item D3-6 do nosso plano, e não uma condição para a transferência ocorrer hoje.
As informações desta página podem ser atualizadas conforme contratos, fornecedores, regiões de processamento e funcionalidades evoluírem.
6. Como avaliamos fornecedores
A avaliação pública de fornecedores considera finalidade do uso, categorias de dados envolvidas, necessidade, controles técnicos, segurança, privacidade, transferência internacional, retenção, incidentes e contratos ou termos aplicáveis.
Não publicamos avaliações internas, informações contratuais não públicas, arquitetura privada ou detalhes que possam comprometer segurança, negociação ou prevenção a abuso.
7. Atualizações da lista
Esta lista pode ser atualizada para refletir novos fornecedores, substituições, mudanças de finalidade, alteração de funcionalidades, ajustes técnicos, exigências legais ou evolução do produto.
Mudanças relevantes podem ser informadas conforme aplicável. Clientes B2B podem ter regras adicionais em DPA, contrato, ordem de serviço ou proposta comercial.
Histórico de versões: v1.0 (2026-07) — versão inicial; v2.0 (12/09/2026) — publicação da lista pública de fornecedores; v2.1 (13/09/2026) — atualização dos fornecedores e das transferências internacionais; v2.2 (13/09/2026) — atualização da lista de produção; v2.3 (13/09/2026) — detalhamento da Apify Technologies, s.r.o., da origem LinkedIn Jobs e do fluxo opcional LinkedIn Pulse; v2.4 (15/09/2026) — correção do achado A-01 da 4ª auditoria externa: fim da menção a cláusulas-padrão da ANPD (ainda não firmadas), mecanismo de transferência por fornecedor (art. 33, IX ou VIII) com salvaguardas verificadas e fonte, e tabela ampliada para cobrir todos os fornecedores já nomeados na Política (OpenRouter, DeepSeek, QwenCloud, xAI, Hostinger, GitHub Actions e PagBank); v2.5 (15/09/2026) — correção do aviso de versão (o conteúdo é o da 2.4); v2.6 (16/09/2026) — nota de reconhecimento de texto (OCR) de páginas digitalizadas movida para a linha OpenRouter, que é quem efetivamente processa a visão; remoção da linha GitHub Actions, que não recebe dado pessoal (CI parado, sem fluxo ativo com dado de produção) e nova frase informando que fornecedor sem dado pessoal não consta da lista; parágrafo de transferência internacional passa a dizer 'aderimos aos termos e ao DPA de cada fornecedor'; v2.7 (17/09/2026) — linha OpenAI passa a nomear a transcrição de áudio de entrevistas (modelo whisper-1) e a ressalva de que o áudio é enviado sem remoção prévia de dados sensíveis; vocabulário 'testes' removido ou substituído por 'exercícios de autoconhecimento' nas linhas DeepSeek, QwenCloud, xAI e Apify (a linha xAI passa a declarar o escalonamento para exercícios e entrevista); linha OpenRouter passa a declarar a lista fechada de 18 provedores de inferência nos Estados Unidos ou na União Europeia, fixada por parâmetro em cada chamada e provada em produção (item P41). Versões anteriores podem ser solicitadas pelo Canal de Privacidade.
8. Relação com DPA B2B
Clientes B2B podem ter DPA ou contrato específico que complemente esta página. O DPA pode detalhar autorização, objeção, substituição, notificação ou governança de subprocessadores, conforme negociado e aplicável.
Esta página é informativa e pode ser complementada por contrato. Em caso de conflito entre esta página e contrato assinado, o contrato poderá prevalecer, salvo disposição obrigatória diversa.
9. Links úteis
Política de Privacidade: /pt/privacidade. Política de Cookies: /pt/cookies. Termos de Uso: /pt/termos. Canal de Privacidade: /pt/privacidade/contato. Segurança: /pt/seguranca. DPA: /pt/dpa.