Política de Privacidade

As informações seguintes fornecem uma visão geral simples do que acontece aos seus dados pessoais quando visita este site. Dados pessoais são quaisquer dados que possam ser utilizados para o identificar pessoalmente. O KiwiCV não vende nem partilha as suas informações pessoais.

Os seus dados são recolhidos, por um lado, através do fornecimento por si (por exemplo, ao introduzir dados do currículo na aplicação). No entanto, estas entradas são processadas principalmente localmente no seu navegador. Outros dados são recolhidos automaticamente pelos nossos sistemas de TI quando visita o site. Trata-se principalmente de dados técnicos (por exemplo, navegador de internet, sistema operativo ou hora da visualização da página).

O processamento de dados neste website é realizado pelo operador do website. Pode encontrar os respetivos dados de contacto na secção "Nota sobre a entidade responsável" desta política de privacidade.

A entidade responsável pelo processamento de dados neste site é:

Maikel Hajiabadi
KiwiCanopy
Moselstraße 43
60329 Frankfurt am Main
E-Mail: kiwicv-legal@kiwicanopy.com

No âmbito das disposições legais aplicáveis, tem o direito, a qualquer momento, à informação gratuita sobre os seus dados pessoais armazenados, a sua origem e destinatários e a finalidade do processamento de dados (art. 15.º do RGPD) e, se aplicável, o direito à retificação (art. 16.º do RGPD) ou eliminação (art. 17.º do RGPD) desses dados, à limitação do seu tratamento (art. 18.º do RGPD) e a receber os dados que forneceu num formato estruturado, de uso corrente e de leitura automática, ou a que sejam transmitidos a outro responsável pelo tratamento (direito de portabilidade dos dados, art. 20.º do RGPD). Para este fim, bem como para outras questões sobre o tema dos dados pessoais, pode contactar-me a qualquer momento.

Direito de oposição (art. 21.º do RGPD): Quando trato os seus dados pessoais com base em interesses legítimos (art. 6.º, n.º 1, alínea f do RGPD), tem o direito de se opor a esse tratamento a qualquer momento, por motivos relacionados com a sua situação particular. Isto aplica-se a todo o tratamento para o qual esta política de privacidade indica como fundamento jurídico o art. 6.º, n.º 1, alínea f do RGPD. Nesse caso, deixo de tratar os dados em causa, salvo se apresentar razões imperiosas e legítimas para esse tratamento que prevaleçam sobre os seus interesses, direitos e liberdades, ou se o tratamento servir para a declaração, o exercício ou a defesa de um direito num processo judicial.

Quando um tratamento se basear no seu consentimento (art. 6.º, n.º 1, alínea a do RGPD), pode retirá-lo a qualquer momento com efeitos para o futuro (art. 7.º, n.º 3 do RGPD); a retirada não compromete a licitude do tratamento efetuado com base no consentimento previamente dado.

Além disso, tem o direito de apresentar queixa à autoridade de supervisão competente.

Este website é alojado por um prestador de serviços externo (hoster). O KiwiCV utiliza o fornecedor Netlify, Inc., 512 2nd Street, Suite 200, San Francisco, CA 94107 para o alojamento.

A utilização da Netlify ocorre com o objetivo de uma disponibilização segura, rápida e eficiente da oferta online por um fornecedor profissional (Art. 6 par. 1 al. f do RGPD). A Netlify utiliza uma rede de distribuição de conteúdos (CDN) mundial, através da qual os dados (como o seu endereço IP) podem ser encaminhados via servidores em todo o mundo para minimizar os tempos de carregamento do website. Os ficheiros de log do servidor (dados de acesso) resultantes são geralmente armazenados pela Netlify durante 90 dias (e até 1 ano offline) por razões de segurança e depois eliminados.

A Netlify executa também as funções de servidor do KiwiCV, que se encontram nos EUA. Cada pedido às funcionalidades de IA da secção 8 passa por elas a caminho da Google, juntamente com o seu conteúdo (por exemplo, o texto do seu currículo, um anúncio de emprego ou um ficheiro de currículo carregado). O mesmo se aplica à sincronização com o Google Drive (secção 4), aos pagamentos (secção 6) e à eliminação da sua conta (secção 7). Para as funcionalidades de IA e a sincronização com o Google Drive, o fundamento jurídico é o indicado na respetiva secção; os pagamentos são processados para a execução do contrato celebrado com o utilizador (art. 6.º, n.º 1, alínea b do RGPD), e a sua conta é eliminada para cumprir a obrigação legal de apagar os seus dados (art. 6.º, n.º 1, alínea c do RGPD, em conjugação com o art. 17.º do RGPD).

A transferência de dados para os EUA baseia-se nas cláusulas contratuais-tipo da Comissão Europeia, bem como no EU-US Data Privacy Framework (DPF), ao abrigo do qual a Netlify é certificada.

Subcontratação: Celebrei um contrato de subcontratação (AVV) para a utilização do serviço acima mencionado, que garante que a Netlify processa os dados pessoais dos visitantes do website apenas de acordo com as minhas instruções e em conformidade com o RGPD.

Os artigos do blogue do KiwiCV e as respetivas imagens, bem como os testemunhos da página inicial e as respetivas fotografias, são geridos com a plataforma de conteúdos Sanity (Sanity AS, Trondheimsveien 2K, 0560 Oslo, Noruega, e Sanity US Inc., 351 California Street, Suite 650, San Francisco, CA 94104, EUA). Quando abre o blogue ou um artigo, ou se desloca em direção a um testemunho na página inicial, o seu navegador carrega estes conteúdos diretamente dos servidores da Sanity (sanity.io). Nesse processo, a Sanity recebe o seu endereço IP e os dados técnicos que qualquer pedido transporta (por exemplo, o tipo de navegador e a hora do pedido).

A utilização da Sanity baseia-se no nosso interesse legítimo em disponibilizar o blogue e os conteúdos do website de forma eficiente (art. 6.º, n.º 1, alínea f do RGPD). Nesse processo, podem ser transferidos dados para os EUA; o acordo de tratamento de dados da Sanity baseia essas transferências nas cláusulas contratuais-tipo da Comissão Europeia.

O KiwiCV oferece uma sincronização opcional dos dados do seu currículo com o seu Google Drive pessoal. Se ativar esta função, os ficheiros do seu currículo são transferidos para a sua conta do Google Drive (Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, EUA) e armazenados numa pasta criada pelo KiwiCV.

Tecnicamente, esta sincronização é encaminhada através das nossas funções de servidor: o conteúdo do seu currículo e as credenciais de acesso necessárias para a transferência (refresh token) são processados lá de forma transitória durante o pedido e não são armazenados permanentemente nos nossos servidores. O refresh token é, de resto, armazenado exclusivamente de forma local no seu navegador. O KiwiCV apenas recebe acesso a ficheiros que ele próprio criou (âmbito Google "drive.file") e em momento algum ao restante conteúdo do seu Drive.

A transferência de dados ocorre exclusivamente com base no seu consentimento ativo (Art. 6.º, n.º 1, alínea a do RGPD) ao ligar voluntariamente a sua conta do Google. Pode revogá-lo a qualquer momento com "Desligar o Google Drive" na área "Sincronização e Armazenamento" das definições e "Desligar e remover acesso", o que também revoga a autorização concedida ao KiwiCV junto da Google. Pode ainda remover o KiwiCV no acesso de terceiros da sua Conta Google (myaccount.google.com/connections). Tenha em atenção que a Google, como empresa norte-americana, transfere dados para os EUA; esta transferência baseia-se no Quadro de Privacidade de Dados UE-EUA (DPF), ao abrigo do qual a Google está certificada, bem como nas cláusulas contratuais-tipo da Comissão Europeia.

Esta aplicação oferece a possibilidade de interagir diretamente com a sua conta GitHub (por exemplo, para guardar ou sincronizar os seus dados de currículo) através de um GitHub Personal Access Token (PAT) fornecido voluntariamente por si.

Se utilizar esta função, o seu navegador estabelece uma ligação direta com os servidores do GitHub (GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA). Durante este processo, o seu endereço IP e os dados introduzidos na aplicação são transmitidos diretamente para o GitHub e aí processados.

O que chega ao GitHub depende do repositório que escolher. Um repositório privado que não esteja publicado com o GitHub Pages recebe os dados completos do seu currículo, incluindo as entradas que ocultou, a sua carta de apresentação e os dados que o KiwiCV guarda de um ficheiro importado. Um repositório que qualquer pessoa pode ler (um público ou um publicado com o GitHub Pages) recebe o seu currículo sem as entradas e secções que ocultou, sem a sua carta de apresentação e sem os dados guardados de ficheiros importados. Inclui, no entanto, as suas definições de design, a sua foto de perfil, a menos que a oculte, os nomes e os contactos das referências que indicou e os nomes de ficheiros e de pastas que escolhe ao exportar, que também aparecem nas mensagens de commit e podem indicar a empresa e o cargo a que se candidata. Se mais tarde tornar público um repositório ou o publicar com o GitHub Pages, o que já está nele, incluindo o seu histórico, também pode tornar-se público.

O seu GitHub PAT nunca é enviado para os servidores do KiwiCV. É armazenado apenas no seu navegador, neste dispositivo, e só é utilizado para autorizar os pedidos que o seu navegador envia ao GitHub em seu nome: durante a sessão atual do navegador ou, se escolher "Armazenar o token neste navegador", até o remover. Como o token pertence a este dispositivo e não à sua conta do KiwiCV, terminar a sessão mantém-no, a menos que escolha "Remover o GitHub e sair"; a eliminação da sua conta remove-o se deixar assinalada a opção "Remover também a ligação ao GitHub deste dispositivo".

A transferência de dados para o GitHub ocorre exclusivamente com base no seu consentimento ativo (Art. 6 par. 1 al. a do RGPD), ao utilizar voluntariamente a função e introduzir o seu token. Pode retirar este consentimento a qualquer momento com "Desligar o GitHub" na área "Sincronização e Armazenamento" das definições e "Desligar e remover token", o que remove o seu token e as definições do repositório deste dispositivo e não envia nada ao GitHub. Os dados que já se encontram no seu repositório permanecem lá até que os elimine no GitHub. Tenha em atenção que o GitHub, como empresa americana, transfere dados para os EUA. Pode encontrar mais informações sobre a proteção de dados no GitHub aqui:

Para a disponibilização e funcionamento do gerador de currículos, o KiwiCV utiliza a técnica de armazenamento web (armazenamento local). Neste processo, os seus dados introduzidos (como dados de texto para o currículo ou fotos de perfil processadas localmente no formato Base64) são armazenados em cache localmente no navegador do seu dispositivo terminal. Isto evita que os seus dados se percam em caso de recarregamento acidental da página.

Se importar um ficheiro de currículo que contenha secções de nível superior que o KiwiCV não utiliza (por exemplo, as escritas por outra aplicação), o KiwiCV guarda-as com o seu currículo, até um limite de tamanho, para que a exportação do ficheiro as devolva inalteradas. São armazenadas, exportadas e incluídas nas cópias de segurança juntamente com o seu currículo (no Google Drive ou num repositório privado do GitHub que não esteja publicado com o GitHub Pages) e aparecem na vista JSON bruto, mas nunca são apresentadas no seu currículo nem no editor, nem enviadas às funcionalidades de IA.

Se utilizar «Adaptar ao meu estilo de escrita» numa carta de apresentação, a amostra de escrita que introduzir (até 5000 caracteres) é também guardada no armazenamento local, separadamente do seu currículo, para estar pronta para a sua próxima carta. É transmitida às funcionalidades de IA da secção 8 sempre que uma carta de apresentação é redigida no seu estilo; não faz parte das suas cópias de segurança no Google Drive ou no GitHub. Permanece no seu dispositivo terminal até a limpar na janela da carta de apresentação, terminar a sessão, iniciar sessão com outra conta ou limpar o armazenamento do seu navegador; a eliminação da sua conta também a remove do dispositivo em que elimina a conta, porque termina a sua sessão.

Estes dados são processados localmente no seu dispositivo terminal e não são transmitidos para nenhum servidor, a menos que utilize ativamente uma das funcionalidades opcionais descritas nesta política (por exemplo, a cópia de segurança no Google Drive nesta secção ou as funcionalidades de IA na secção 8). Não tenho acesso a estes dados armazenados localmente em momento algum.

Se iniciar sessão, o seu navegador guarda também os dados da sua sessão, que acompanham os seus pedidos aos nossos servidores (ver secção 5), uma cópia do seu perfil e o identificador da sua conta, que indica a que conta pertencem as credenciais de acesso guardadas localmente e a amostra de escrita. O seu armazenamento é estritamente necessário para o início de sessão que solicitou (§ 25.º, n.º 2, n.º 2 da TDDDG); os três são removidos quando termina a sessão.

O armazenamento destes dados é tecnicamente estritamente necessário para a função principal da aplicação. A base jurídica para o armazenamento e leitura dos dados no seu dispositivo terminal é o § 25.º, n.º 2, n.º 2 da TDDDG. O processamento subsequente baseia-se no meu legítimo interesse numa disponibilização do serviço de forma fácil para o utilizador, nos termos do Art. 6.º, n.º 1, al. f) do RGPD. Salvo indicação em contrário acima, os dados permanecem no seu dispositivo terminal até limpar manualmente o armazenamento (cache/armazenamento local) do seu navegador.

Quando cria uma conta de utilizador (via Google OAuth), armazenamos o seu endereço de e-mail, o seu nome e a sua foto de perfil do Google para gerir o seu acesso e dados personalizados. Tenha em atenção que as funcionalidades premium estão disponíveis apenas para utilizadores registados. Também armazenamos informações sobre o seu Pro Pass ativo e metadados sobre os seus pedidos de IA, que a secção 8 descreve. Não armazenamos permanentemente nenhuma entrada (comandos) ou saída (resultados) da otimização de IA nos nossos servidores; a colocação temporária em cache durante o processamento é descrita na secção 8.

Fornecedor de base de dados: Estes dados de conta são armazenados junto do nosso subcontratante Supabase, Inc. num projeto alojado na União Europeia. Existe um contrato de tratamento de dados nos termos do Art. 28 do RGPD com a Supabase.

Utilizamos a Stripe Payments Europe, Limited (Irlanda) para o processamento de pagamentos. Durante o processo de pagamento, a Stripe recolhe diretamente as suas informações de pagamento. Não armazenamos dados de pagamento sensíveis (como números de cartão de crédito) nos nossos próprios servidores; apenas recebemos da Stripe informações de estado sobre a transação. O fundamento jurídico é a execução da sua compra (Art. 6.º, n.º 1, alínea b do RGPD) e, para os registos de faturação que têm de ser conservados, uma obrigação legal (Art. 6.º, n.º 1, alínea c do RGPD, ver secção 7). A Stripe também trata dados nos EUA (Stripe, LLC); esta transferência baseia-se no Quadro de Privacidade de Dados UE-EUA (DPF), ao abrigo do qual a Stripe está certificada, bem como nas cláusulas contratuais-tipo da Comissão Europeia.

Aquando da eliminação da sua conta de utilizador, o seu perfil e todos os metadados associados (por exemplo, o estado do seu Pro Pass, os registos de pagamentos e os registos de utilização) serão imediata e permanentemente eliminados da nossa base de dados operada pela Supabase (ver secção 5). Tenha em atenção que os dados do currículo são armazenados no armazenamento local do seu navegador e, se utilizar a cópia de segurança no Google Drive ou a sincronização com o GitHub, no seu Google Drive pessoal ou no seu repositório do GitHub; nenhum destes é afetado pela eliminação da conta do lado do servidor. Um token do GitHub armazenado neste dispositivo também é removido se deixar assinalada a opção "Remover também a ligação ao GitHub deste dispositivo" (ver secção 4).

Tenha em atenção que somos legalmente obrigados a conservar os dados de faturação relacionados com transações (especificamente registos de compras efetuadas através do Stripe) durante um período de 10 anos. Isto é feito com base em requisitos fiscais e comerciais (por exemplo, de acordo com o AO e o HGB alemães). A base jurídica para isso é o Art. 6 par. 1 al. c do RGPD.

Estes dados específicos permanecem armazenados junto do nosso prestador de serviços de pagamento, o Stripe, durante os períodos legais, para garantir a documentação adequada para as autoridades fiscais.

Para cada pedido de IA concluído, o KiwiCV regista metadados associados à sua conta na nossa base de dados operada pela Supabase (ver secção 5). Este registo nunca contém o conteúdo dos seus prompts ou dos resultados; a forma como estes são mantidos brevemente enquanto um pedido é executado está descrita abaixo em "Armazenamento Temporário". É armazenado o seguinte:

Tipo de pedido: que tipo de pedido foi (por exemplo, "Otimização de Currículo", "Carta de apresentação", "Análise de Currículo por IA"), o modo de IA que escolheu e a que se referia (o currículo inteiro ou um tipo de secção, como "Experiência Laboral"), nunca o próprio texto.

Dados de utilização: a hora do pedido, o número de tokens utilizados e se um Pro Pass o cobriu; nos pedidos feitos quando o KiwiCV ainda oferecia um período de teste gratuito, se esse período de teste o cobriu.

Dados técnicos: quanto tempo o pedido demorou, o modelo de IA, a região do servidor, a versão das nossas instruções para a IA, como o pedido terminou, se o resultado alterou alguma coisa e se foi uma execução de teste.

Classificação de segurança: para otimizações de currículo e cartas de apresentação, as pontuações que os sistemas de segurança automáticos da Google atribuem à resposta da IA quando a Google as fornece, por exemplo, a probabilidade de conter assédio ou conteúdo perigoso. São derivadas do texto, mas não contêm nada dele.

Utilizamos estes dados para contabilizar os seus pedidos relativamente à sua quota diária, para aplicar a nossa Política de Uso Justo (evitar o uso abusivo e automatizado) e para diagnóstico de erros. Para melhorar as funcionalidades de IA, avaliamos estes dados apenas de forma agregada e nunca os utilizamos para criar um perfil seu. A contagem dos seus pedidos é necessária para prestar o serviço (Art. 6 par. 1 al. b do RGPD); as restantes finalidades baseiam-se no nosso interesse legítimo em prevenir abusos, corrigir erros e melhorar as funcionalidades de IA (Art. 6 par. 1 al. f do RGPD). Os dados são mantidos enquanto a sua conta existir e são eliminados juntamente com ela (ver secção 7).

A proteção dos seus dados é a nossa prioridade máxima. Ao utilizar a API do Google Cloud (Vertex AI), aplicam-se as seguintes garantias de segurança:

Sem treino de modelos: A Google exclui explicitamente a utilização dos seus dados inseridos (prompts) para treinar os seus modelos globais de IA. Os seus dados permanecem no nosso ambiente isolado do Google Cloud.

Localização dos dados: A Google processa os seus pedidos em servidores dentro da União Europeia (multirregião UE do Google Cloud "eu", restrita a Estados-Membros da UE) a fim de garantir um nível de proteção de dados adequado de acordo com o RGPD. Antes de chegarem à Google, passam pelas nossas funções de servidor nos EUA (ver secção 3).

Sem armazenamento permanente no fornecedor: A Google processa os dados para responder ao pedido e não os armazena permanentemente. A Google pode guardar em cache as entradas e os resultados até 24 horas. Se os sistemas de segurança automáticos da Google sinalizarem um pedido, a Google pode conservar o prompt até 30 dias para verificar a existência de abusos; não é utilizado para treinar modelos.

Para lhe disponibilizar funcionalidades de otimização inteligente e criação de currículos e cartas de apresentação, utilizamos a plataforma Vertex AI do Google Cloud. Neste processo, os textos que insere são transmitidos e processados nos servidores da Google; pelo caminho, passam pelas nossas funções de servidor na Netlify, nos EUA (ver secção 3). As funções de IA apenas são executadas quando as ativa ativamente; a base jurídica para este processamento é o Art. 6.º, n.º 1, alínea b do RGPD (prestação da funcionalidade solicitada).

Para garantir um processamento estável dos pedidos de IA, o KiwiCV utiliza processos assíncronos em segundo plano. Os documentos de entrada carregados (como ficheiros de currículo), bem como os resultados gerados pela IA, são temporariamente armazenados na nossa base de dados operada pela Supabase (ver secção 5) por um curto período (normalmente não mais do que alguns minutos, e nunca mais de 24 horas) até que o seu navegador os recupere com sucesso. Após este período, ou uma vez recuperados, estes resultados temporários e dados de entrada carregados são automática e completamente eliminados. O KiwiCV utiliza estas entradas e resultados temporários apenas para entregar o resultado que solicitou e nunca para definição de perfis nem para treinar modelos de IA.

Para compreender melhor como os utilizadores interagem com o KiwiCV e para melhorar os nossos serviços, usamos a ferramenta de análise PostHog (PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114, EUA). Para proteger a sua privacidade, configurámos o PostHog de maneira estritamente anónima e sem cookies.

Rastreio anónimo: Não usamos cookies de rastreio e não armazenamos nenhuma identificação pessoal no seu navegador. O PostHog está configurado para usar persistência apenas na memória (memory-only), o que significa que todos os dados da sessão são perdidos assim que fecha ou recarrega a página.

Residência de dados (UE): Todos os dados são enviados e armazenados nos servidores europeus do PostHog (Região: Frankfurt, Alemanha - https://eu.i.posthog.com) para garantir a conformidade com os padrões europeus de proteção de dados.

Reconhecimento de sessão: Para reconhecimento de sessão anónimo, é gerado um valor de hash de curto prazo no servidor, que é eliminado automaticamente após 24 horas. Isso permite-nos ver padrões de interação (por exemplo, quais temas são populares ou quantos currículos são exportados) sem poder identificá-lo individualmente.

O uso do PostHog baseia-se no nosso legítimo interesse no design orientado para a procura e na otimização contínua do nosso site (Art. 6 par. 1 al. f do RGPD).

Se nos contactar por e-mail (por exemplo através de kiwicv-legal@kiwicanopy.com ou de outro endereço indicado neste site), guardamos os seus dados, incluindo os dados de contacto, para tratar o pedido e eventuais questões posteriores.

Reencaminhamento de e-mail (Cloudflare): Os e-mails enviados para endereços kiwicanopy.com são recebidos pela Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA através do serviço Email Routing e reencaminhados para a nossa caixa de correio. O conteúdo não é armazenado; a Cloudflare regista remetente, destinatário, assunto, hora e estado de entrega. Existe um acordo de tratamento de dados com a Cloudflare (Cloudflare Customer DPA).

Caixa de correio (Google): A caixa de correio é alojada pela Google (Gmail); o fornecedor é a Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland. Qualquer transferência para os EUA (para a Cloudflare ou a Google LLC) baseia-se no EU-US Data Privacy Framework e, subsidiariamente, nas cláusulas contratuais-tipo da Comissão Europeia.

A base jurídica é o art. 6.º, n.º 1, al. b) do RGPD quando o pedido visa um contrato e, nos restantes casos, o nosso interesse legítimo em responder (art. 6.º, n.º 1, al. f) do RGPD). Os dados são eliminados assim que deixem de ser necessários para esta finalidade e não exista obrigação legal de conservação.