Acordo de Tratamento de Dados (DPA)

Acordo de Tratamento de Dados Pessoais (DPA)

Este Acordo faz parte dos Termos de Uso do TerraLink Talentos. Ele é aceito eletronicamente no cadastro e registrado com versão, data, hora, IP e usuário.

Partes

• Controlador: a empresa anunciante identificada no cadastro da plataforma (razão social, CNPJ e endereço informados no onboarding), aqui chamada Anunciante.
• Operador: [A PREENCHER: razão social], CNPJ [A PREENCHER: CNPJ do operador], com sede em [A PREENCHER: endereço], que opera a plataforma TerraLink Talentos (Grupo Floresta), aqui chamada TerraLink Talentos.

Termos como "dado pessoal", "dado sensível", "tratamento", "controlador", "operador", "titular", "encarregado", "incidente de segurança" e "transferência internacional" têm o sentido da Lei 13.709/2018 (LGPD).

1. Objeto

1.1. Este Acordo define como a TerraLink Talentos trata, em nome e por instrução do Anunciante, os dados pessoais de candidatos e de pessoas do banco de talentos, para prestar o serviço descrito nos Termos de Uso.

1.2. Resumo do tratamento:

1.3. Os dados dos usuários do Anunciante (login, acessos) e dos visitantes do Hub são tratados pela TerraLink Talentos como controladora, conforme os Termos de Uso e a Política de Privacidade, e não são objeto deste Acordo.

2. Papel de cada parte

O Anunciante (controlador) se compromete a:

• definir as finalidades e garantir uma base legal válida para cada tratamento (LGPD, arts. 7º e 11);
• informar os candidatos de forma clara, usando a Política de Privacidade da plataforma ou a sua própria, com conteúdo equivalente, e identificando-se como controlador;
• não configurar perguntas, provas, critérios ou parâmetros de IA discriminatórios ou que coletem dados sem necessidade;
• garantir revisão humana das sugestões da IA antes de decisões sobre candidatos e responder a pedidos de revisão (LGPD, art. 20);
• manter seu próprio canal de atendimento aos titulares e indicar seu encarregado [A PREENCHER: campo no cadastro do Anunciante para nome/e-mail do encarregado];
• cuidar da segurança das contas dos seus usuários;
• comunicar à ANPD e aos titulares os incidentes, quando exigido (Resolução CD/ANPD nº 15/2024).

A TerraLink Talentos (operador) se compromete a:

• tratar os dados somente conforme as instruções documentadas do Anunciante (cláusula 3) e a LGPD (art. 39);
• não usar os dados para finalidade própria, nem vendê-los, nem compartilhá-los com outros anunciantes;
• não usar os candidatos de um Anunciante em processos seletivos do Grupo Floresta ou de qualquer outro anunciante;
• manter os dados de cada Anunciante logicamente isolados e nunca misturar dados de dois anunciantes na mesma chamada de IA;
• manter registro das operações de tratamento (LGPD, art. 37);
• cumprir as demais cláusulas deste Acordo.

3. Instruções documentadas

3.1. São instruções do Anunciante:

• (a) estes Termos de Uso e este Acordo;
• (b) as configurações que o Anunciante faz na plataforma: vagas, perguntas, provas, mensagens, parâmetros de avaliação, prazos de retenção, recrutadores autorizados, publicação no Hub, gravação de entrevistas;
• (c) pedidos escritos do administrador da conta pelos canais de suporte.

3.2. O Anunciante autoriza expressamente a TerraLink Talentos a:

• usar a IA e os suboperadores da cláusula 5;
• transcrever áudios em ambiente próprio;
• anonimizar dados para gerar estatísticas agregadas (benchmarks exibidos só com pelo menos 3 empresas no grupo), que deixam de ser dados pessoais (LGPD, art. 12);
• receber pedidos de titulares e encaminhá-los, inclusive o pedido "excluir em todas as empresas", que será cumprido em cada anunciante onde o titular estiver.

3.3. Se a TerraLink Talentos entender que uma instrução viola a LGPD ou outra lei, avisará o Anunciante e poderá deixar de cumpri-la até que seja esclarecida.

4. Confidencialidade

4.1. Só acessam os dados pessoas que precisam para prestar o serviço (suporte, segurança, manutenção), obrigadas a sigilo por contrato ou termo próprio.

4.2. Todo acesso da equipe da TerraLink Talentos a dados individuais do Anunciante fica registrado no log de auditoria do próprio Anunciante (quem, o quê, quando, por quê).

4.3. O sigilo continua após o fim do contrato, enquanto existirem os dados.

5. Suboperadores

5.1. O Anunciante autoriza os seguintes suboperadores:

O WhatsApp (Meta) é o canal escolhido pelo próprio candidato e segue suas próprias regras de privacidade.

5.2. A TerraLink Talentos mantém contrato com cada suboperador com obrigações de proteção de dados no mínimo equivalentes às deste Acordo e responde perante o Anunciante pelos atos deles.

5.3. Novos suboperadores ou troca: a TerraLink Talentos avisará o Anunciante por e-mail e/ou dentro da plataforma com pelo menos 30 dias de antecedência. O Anunciante pode se opor por escrito, com motivo razoável ligado à proteção de dados, nesse prazo. Se não houver solução, o Anunciante pode encerrar o contrato sem multa, com devolução proporcional de valores pagos e não usados. Em emergência (ex.: falha grave de um fornecedor), o prazo pode ser menor, com aviso imediato.

5.4. A lista atualizada fica em [A PREENCHER: URL /dpa#suboperadores].

6. Medidas de segurança

A TerraLink Talentos mantém medidas técnicas e administrativas adequadas ao risco (LGPD, art. 46), entre elas:

• Isolamento dos dados por Anunciante, com bloqueio de acesso cruzado testado automaticamente;
• Controle de acesso por papel (administrador, recrutador com acesso só às vagas atribuídas), senhas com hash scrypt e sal, bloqueio após 5 tentativas, expiração de sessão por inatividade, convites com token de uso único;
• Proteções web: cookies seguros (httpOnly, SameSite), proteção CSRF, limites de taxa, cabeçalhos de segurança (CSP, X-Frame-Options, Referrer-Policy), HTTPS quando publicado;
• Validação de arquivos (tipo real e tamanho);
• Auditoria: log de quem fez o quê, quando e de onde, por Anunciante;
• Minimização: envio ao provedor de IA só do necessário para a tarefa; transcrição de áudio em ambiente próprio;
• Segredos (chaves de API) fora do código e nunca expostos em respostas;
• Cópias de segurança [A PREENCHER: frequência, local e criptografia dos backups];
• Criptografia em repouso [A PREENCHER: confirmar — disco criptografado no servidor local e no volume da nuvem];
• testes antes de cada versão e correção de vulnerabilidades em prazo compatível com a gravidade.

7. Incidentes de segurança

7.1. A TerraLink Talentos comunicará o Anunciante em até 48 horas depois de tomar conhecimento de um incidente que envolva dados do Anunciante.

7.2. A comunicação trará, no que já se souber: o que aconteceu; data e hora; dados e titulares afetados (natureza e quantidade aproximada); possíveis consequências; medidas tomadas e recomendadas; contato de quem acompanha o caso. Informações que faltarem serão enviadas assim que obtidas.

7.3. A TerraLink Talentos vai conter o incidente, preservar evidências e apoiar o Anunciante na comunicação à ANPD e aos titulares, que, pela Resolução CD/ANPD nº 15/2024, deve ser feita pelo controlador em até 3 dias úteis quando houver risco ou dano relevante.

7.4. A TerraLink Talentos não comunicará titulares ou a imprensa em nome do Anunciante sem combinar com ele, salvo obrigação legal ou ordem de autoridade.

7.5. Todo incidente fica registrado, inclusive os não comunicados à ANPD, pelo prazo mínimo exigido na regulamentação.

8. Apoio aos direitos dos titulares

8.1. A plataforma oferece ferramentas para o Anunciante atender os titulares: consulta, correção, exportação e exclusão de candidatos; retirada do banco de talentos; histórico de decisões.

8.2. Quando um titular fizer um pedido diretamente à TerraLink Talentos (WhatsApp — "EXCLUIR", "APAGAR MEUS DADOS" — ou e-mail do encarregado), ela:

• registra o pedido e avisa o Anunciante em até [A PREENCHER: sugestão 2 dias úteis];
• executa a exclusão pedida pelo comando do WhatsApp no Anunciante que captou o titular (ou em todos, se o titular pedir "em todas as empresas"), por ser instrução já dada pelo Anunciante neste Acordo, salvo se o Anunciante indicar, no prazo de aviso, uma base legal para guardar dados mínimos;
• apoia o Anunciante para que a resposta ao titular saia em até 15 dias (LGPD, art. 19, II).

8.3. Para pedidos de revisão de decisão automatizada (LGPD, art. 20), a TerraLink Talentos fornece ao Anunciante os critérios usados, as notas e os textos gerados pela IA, para que uma pessoa do Anunciante revise e responda.

8.4. A TerraLink Talentos também apoia o Anunciante, quando razoável, em relatórios de impacto (RIPD), respostas à ANPD e avaliações de legítimo interesse, fornecendo as informações técnicas que tiver.

9. Transferência internacional

9.1. Parte do tratamento ocorre nos EUA (Anthropic e Railway — cláusula 5). O Anunciante autoriza essa transferência.

9.2. A transferência segue o art. 33 da LGPD e o Regulamento de Transferência Internacional de Dados (Resolução CD/ANPD nº 19/2024). A TerraLink Talentos, como exportadora, adota as cláusulas-padrão contratuais do Anexo II dessa Resolução com cada suboperador importador, sem alteração do texto, ou outro mecanismo válido do art. 33 da LGPD (ex.: decisão de adequação ou cláusulas específicas aprovadas pela ANPD), se surgir.

9.3. Para fins das cláusulas-padrão: [A PREENCHER: anexar quadro de designação das partes, opções escolhidas nas cláusulas-padrão e descrição da transferência — com apoio do jurídico].

9.4. A TerraLink Talentos mantém à disposição do Anunciante e da ANPD a documentação dessa transferência e informa, na Política de Privacidade, os países de destino e o mecanismo usado.

10. Auditoria e prestação de contas

10.1. A TerraLink Talentos fornece, a pedido, as informações necessárias para provar o cumprimento deste Acordo: descrição das medidas de segurança, lista de suboperadores, respostas a questionários de segurança, extratos do log de auditoria do Anunciante.

10.2. O Anunciante pode fazer auditoria (por si ou por auditor independente com dever de sigilo):

• 1 vez por ano, com aviso de 30 dias;
• a qualquer tempo, com aviso razoável, após incidente relevante ou por ordem da ANPD;
• em horário comercial, sem atrapalhar a operação e sem acesso a dados de outros anunciantes;
• com custos do Anunciante, salvo se a auditoria apontar descumprimento relevante pela TerraLink Talentos.

10.3. Problemas encontrados serão corrigidos em prazo combinado entre as partes.

11. Retenção, devolução e eliminação

11.1. Durante o contrato: os dados ficam pelo prazo configurado pelo Anunciante (padrão 24 meses), com aviso ao Anunciante 30 dias antes do vencimento. Vencido o prazo, os dados são eliminados ou anonimizados. No banco de talentos, o prazo nunca ultrapassa o consentido pelo titular.

11.2. Exportação: o Anunciante pode exportar seus dados (ZIP com JSON/CSV e anexos) a qualquer momento.

11.3. Fim do contrato:

• o Anunciante tem 30 dias para exportar os dados;
• depois disso, a TerraLink Talentos elimina todos os dados pessoais do Anunciante, inclusive dos suboperadores, em até 30 dias;
• cópias de segurança são eliminadas no ciclo normal de substituição, de no máximo [A PREENCHER: dias], ficando isoladas e sem uso até lá;
• a pedido, a TerraLink Talentos envia declaração de eliminação.

11.4. A TerraLink Talentos pode guardar apenas o mínimo exigido por lei ou necessário para defesa em processos (LGPD, art. 16), informando o Anunciante. Estatísticas anonimizadas podem ser mantidas.

12. Responsabilidade

12.1. Cada parte responde pelos danos que causar por descumprir a LGPD ou este Acordo.

12.2. A TerraLink Talentos responde perante os titulares, junto com o Anunciante, quando descumprir a LGPD ou não seguir as instruções lícitas do Anunciante (LGPD, art. 42, § 1º, I). Nesse caso, passa a ser equiparada ao controlador.

12.3. O Anunciante responde sozinho por decisões de contratação, critérios discriminatórios, bases legais escolhidas e instruções ilícitas que tenha dado.

12.4. Quem pagar a mais que a sua parte de culpa tem direito de regresso contra a outra parte (LGPD, art. 42, § 4º).

12.5. Entre as partes, aplicam-se os limites de responsabilidade dos Termos de Uso, exceto para dolo, culpa grave, violação de confidencialidade e tratamento de dados em desacordo com a LGPD ou com as instruções do Anunciante.

12.6. Cada parte avisa a outra, assim que souber, de reclamações, processos ou fiscalizações relacionados aos dados tratados neste Acordo e colabora na defesa.

13. Encarregados (DPO)

• TerraLink Talentos: [A PREENCHER: nome do encarregado] — [A PREENCHER: e-mail do encarregado]
• Anunciante: indicado no cadastro da plataforma.

14. Vigência e alterações

14.1. Este Acordo vale desde o aceite e enquanto durar o contrato. As obrigações de sigilo, eliminação, responsabilidade e apoio em incidentes continuam após o fim, enquanto existirem dados ou consequências do tratamento.

14.2. Alterações seguem a regra dos Termos de Uso (aviso de 30 dias). Mudanças exigidas por lei ou pela ANPD podem valer antes.

14.3. Em conflito com os Termos de Uso sobre proteção de dados, prevalece este Acordo. As cláusulas-padrão da ANPD, quando aplicáveis, prevalecem sobre este Acordo.

14.4. Lei aplicável: brasileira. Foro: comarca de [A PREENCHER: foro — sugestão Goiânia/GO].

Minuta elaborada com apoio de IA — revisar com o jurídico antes de publicar.