Política de Privacidade

Versão 3.0 · Vigência a partir de: 13/11/2026

1. Resumo

Em linguagem simples: seu perfil, seus currículos em PDF, seu histórico de candidaturas e sua autodeclaração ficam só no seu navegador. O nosso servidor guarda o mínimo: e-mail, chave (só como hash), contadores de uso, pagamentos, chamados de suporte e, se você comprar Raio-X ou Currículo Expert, o resultado por 30 ou 60 dias. Quando a IA ajuda, os textos passam pelo nosso servidor e vão ao Google (Gemini), que pode processá-los fora do Brasil, mas nós não os guardamos. Existe ainda um compartilhamento opcional e desligado por padrão (aprendizado contínuo, seção 14): só se você ligar, a extensão envia ao servidor informações técnicas sobre os formulários, entre elas o domínio do site da vaga (que pode revelar a empresa em que você se candidata), ligadas à sua licença por 30 dias. Nunca enviamos nesse canal suas respostas, seu perfil, o endereço completo da vaga nem o nome da vaga. Nunca pedimos a sua senha do LinkedIn, da Gupy ou de qualquer plataforma. Não vendemos dados. Você pode pedir acesso, correção ou eliminação pelo e-mail privacidade@vagaz.dev.

2. Controlador e canal de atendimento

2.1. Controlador (quem decide como os dados são tratados): Vinicius Cassio Cunha de Menezes Ltda., CNPJ 69.235.659/0001-23. Endereço: Rua Visconde do Rio Branco, 1488, conj. 909, 9º andar, Centro, Curitiba/PR, CEP 80420-210. Site: https://vagaz.dev.

2.2. Canal do titular e da ANPD: privacidade@vagaz.dev. É uma empresa de uma pessoa só e não tem encarregado (DPO) nomeado: como agente de tratamento de pequeno porte, está dispensada dessa nomeação, mas mantém este canal para você e para a Autoridade Nacional de Proteção de Dados (Resolução CD/ANPD nº 2/2022, art. 11; Resolução CD/ANPD nº 18/2024). Quem responde é o titular da empresa. Falhas de segurança: seguranca@vagaz.dev.

2.3. Esta Política complementa os Termos de Uso.

3. Dados, finalidades, bases legais, retenção e compartilhamento

Em linguagem simples: a tabela mostra, para cada dado, por que usamos, em que parte da lei nos apoiamos, por quanto tempo guardamos e com quem passamos. Onde o prazo é de “5 anos” e o sistema não apaga sozinho, a eliminação é feita em revisão manual, ao menos uma vez por ano.

3.1. Não vendemos dados pessoais. Não usamos seus dados para decisões automatizadas que produzam efeitos jurídicos sobre você (veja os Termos, seção 7.5).

3.2. Nos tratamentos que fazemos por legítimo interesse (IX), pesamos o nosso interesse contra os seus direitos: coletamos o mínimo, por prazo curto, e você pode se opor (seção 11).

3.3. Mantemos um registro simplificado das operações de tratamento (LGPD, art. 37; Resolução CD/ANPD nº 2/2022, art. 9); esta tabela é a versão pública dele.

4. O que fica só no seu dispositivo

Em linguagem simples: o que é mais pessoal fica no seu computador, não no nosso servidor. Nós não conseguimos ver nem recuperar.

4.1. No armazenamento do navegador (e no IndexedDB do Chrome), ficam: a chave de licença, o perfil (nome, contatos, resumo, habilidades, preferências de salário e de busca, filtros), os currículos em PDF, a autodeclaração, o histórico de candidaturas, o banco de vagas, as respostas aprendidas e aprovadas e os registros da extensão. O Chrome guarda esses dados em texto claro no perfil do seu usuário, sem criptografia adicional além da do seu sistema; quem tiver acesso ao seu computador desbloqueado, ou uma extensão maliciosa, pode lê-los.

4.2. Esses dados não vão ao nosso servidor. Só saem do seu dispositivo (a) quando você ou a extensão, por sua ordem, os colocam em formulários de plataformas e empresas, o que segue as políticas delas, e (b) nos envios descritos nas seções 5 a 7 e 14.

4.3. Se você desinstalar a extensão ou limpar os dados do navegador, eles são apagados e não conseguimos recuperá-los. Em “Apagar todos os meus dados” (configurações da extensão) você remove tudo do navegador; fica só o identificador aleatório do dispositivo, para não consumir vaga de dispositivo da sua assinatura.

4.4. Nunca recebemos sua senha, cookies ou sessão das plataformas.

5. Leitura do seu perfil do LinkedIn

Em linguagem simples: se você clicar em “Preencher com meu LinkedIn”, a extensão lê as páginas do seu perfil, na sua sessão, só para montar o seu cadastro. Não lê perfis de outras pessoas.

5.1. Só a seu pedido, a extensão abre uma aba do seu LinkedIn (você precisa estar logado) e lê o seu próprio perfil: nome, localidade, experiências, habilidades, idiomas, formação e certificações (poucas páginas, só leitura, sem clicar em nada que altere a conta). Se aparecer login ou verificação, ela para.

5.2. A montagem do cadastro é feita em grande parte no seu navegador. Para redigir o resumo e completar lacunas, o texto lido é enviado ao nosso servidor e à IA, sem ser gravado nem registrado, e o resultado volta e fica só no seu navegador.

5.3. Base legal: execução de contrato, a pedido seu (art. 7º, V). Os dados são os seus.

5.4. Esse uso pode ser restrito pelos termos do LinkedIn. Veja o aviso de risco nos Termos de Uso.

6. Textos enviados à IA e transferência internacional

Em linguagem simples: quando a IA responde uma pergunta, monta seu perfil ou gera um Raio-X ou um currículo, o texto vai ao nosso servidor e de lá ao Google (Gemini), que pode processá-lo fora do Brasil. Nós não guardamos o texto. O Google trata segundo as regras dele para o serviço pago.

6.1. O que é enviado: a pergunta do formulário, trecho da vaga (título, empresa, descrição), o resumo do seu perfil em texto (sem a autodeclaração), o texto lido do seu LinkedIn ou do currículo colado, ou o texto do Raio-X ou do Currículo Expert. Em telas desconhecidas, a navegação assistida envia um resumo compacto da página (botões e campos), sem seus dados pessoais. Se você ligar o aprendizado contínuo, rótulos de campos de formulário também são enviados à IA para classificação (seção 14.3).

6.2. O que fazemos: o servidor encaminha o texto ao Google e devolve a resposta. Não gravamos o texto nem a resposta; guardamos só contadores. Os relatórios do Raio-X e os resultados do Currículo Expert são a exceção (seção 7).

6.3. Papel do Google. Usamos a API do Gemini na modalidade paga (projeto com faturamento ativo). O Google atua como operador, tratando o conteúdo a nosso pedido. Segundo os termos do Google para os serviços pagos da API, o conteúdo enviado não é usado para melhorar os produtos dele e é registrado por tempo limitado, só para detectar violações da política de uso e atender exigências legais.

6.4. Transferência internacional (LGPD, arts. 33 a 36). O processamento no Google, a hospedagem do servidor e o envio de e-mail podem ocorrer em servidores fora do Brasil. Fazemos essa transferência porque ela é necessária para executar o serviço que você contratou e pediu (LGPD, art. 33, IX, combinado com o art. 7º, V), usando só os dados necessários para cada pedido, e nos apoiamos nas cláusulas contratuais de proteção de dados do provedor, que seguem o modelo de cláusulas-padrão aprovado pela ANPD (Resolução CD/ANPD nº 19/2024). Também pode haver transferência nos serviços de métricas do Google, se você consentir (seção 9). Você pode pedir informações sobre os provedores e os países envolvidos pelo e-mail privacidade@vagaz.dev.

6.5. Sempre pelo nosso servidor. A IA passa sempre pelo nosso servidor: a extensão não chama o Google diretamente do seu navegador e não aceita chave de IA própria.

6.6. Evite incluir no resumo do perfil ou nos textos colados informações que você não queira ver processadas assim, como dados de terceiros.

6.7. Respostas de IA. A IA pode errar. Respostas novas esperam a sua aprovação antes do envio (Termos, seção 7).

7. Raio-X, Currículo Expert e Consultoria

7.1. Raio-X. O texto que você cola vai à IA e não é gravado. O servidor guarda o relatório (nota, análise e reescritas, que podem conter trechos do seu texto) e o cargo-alvo por 30 dias, quando é apagado automaticamente. Você pode apagar antes, na página do relatório. Quem tem o seu link vê o relatório: guarde-o.

7.2. Currículo Expert. O texto que você cola vai à IA e não é gravado. O resultado gerado (até 3 idiomas) e as edições que você fizer ficam no servidor por 60 dias após a geração, quando são apagados automaticamente. Você pode apagá-los antes, na página do Currículo Expert.

7.3. Consultoria. Tratamos o que você nos informar ao agendar e na sessão, e as anotações de atendimento, apenas para prestar o serviço contratado, conforme a tabela da seção 3. A sessão é uma videochamada com o fundador, feita numa ferramenta de agendamento e de vídeo, e não é gravada sem o seu consentimento expresso.

8. Dados sensíveis (autodeclaração)

Em linguagem simples: informações como raça/cor, gênero ou deficiência só são usadas se você mandar. Ficam só no seu dispositivo.

8.1. Formulários de vagas às vezes perguntam raça/cor, gênero, deficiência, orientação ou similares. A autodeclaração é opcional e vem desativada. A extensão só a preenche se você cadastrar os dados e marcar o consentimento específico e destacado (LGPD, art. 11, I), e apenas em sites que você marcou como confiáveis. Sem ele, responde “prefiro não informar” quando a opção existir; se a pergunta for obrigatória e não houver essa opção, a vaga vai para revisão sua.

8.2. Esses dados ficam só no seu dispositivo e não são enviados ao nosso servidor nem à IA. Você revoga o consentimento a qualquer momento nas configurações da extensão. Eles só chegam à plataforma ou empresa quando a extensão os digita no formulário por ordem sua.

8.3. Não pedimos dados sensíveis em nenhum outro lugar. Se você escrever um dado sensível por conta própria num chamado, num texto colado ou na sessão de consultoria, usamos só para atender o seu pedido, e você pode pedir que seja apagado.

9. Cookies e métricas

9.1. O site não usa cookies de publicidade por padrão. Guardamos no seu navegador apenas o necessário: sua escolha no banner de cookies, o plano escolhido durante uma compra (para a página de agradecimento) e, na área do cliente, o código de acesso da sessão, até você sair.

9.2. Métricas e anúncios (opcional). Se configurarmos Google Analytics ou Google Ads, eles só carregam depois do seu consentimento no banner; recusar é o padrão e você muda a escolha em “Preferências de cookies”, no rodapé. Com o consentimento, o Google recebe dados de navegação e eventos (como cadastro de teste, início e conclusão de compra) e pode transferi-los para fora do Brasil. Sem essas ferramentas configuradas, nada é carregado.

9.3. A extensão não usa cookies; usa o armazenamento local do Chrome.

9.4. Fontes e arquivos do site. As fontes de letra, as imagens e os scripts do site são servidos pelo próprio site: não usamos Google Fonts nem outro serviço de fontes. Ao abrir uma página, o seu navegador só fala com o nosso servidor; nenhuma chamada a terceiros (métricas, anúncios, mídia) é feita antes do seu consentimento no banner. A exceção é quando você escolhe pagar: aí você é levado ao Mercado Pago. A chave de licença nunca fica guardada no navegador do site.

10. Com quem compartilhamos

• Google (Gemini): textos para gerar respostas, perfis, relatórios e currículos, e rótulos de campos, se você ligar o aprendizado (seção 6).
• Mercado Pago: pagamentos e cobrança recorrente. Atua também como controlador dos dados de pagamento que você informa a ele, sob a política dele. Não recebemos o número completo do cartão.
• Hospedagem e e-mail: provedores contratados pelo Vagaz para manter o servidor e enviar mensagens, que podem processar dados fora do Brasil. A lista com nome e país de cada um é informada a quem pedir (seção 11).
• Ferramenta de agendamento e de videochamada da Consultoria: recebe nome e e-mail de quem agenda.
• Contabilidade: dados de pagamento e fiscais, sob dever de confidencialidade.
• Autoridades: quando a lei ou ordem judicial exigir, e para defesa em processos.

Os provedores tratam os dados por nossa conta e conforme nossas instruções, sob contrato. Não vendemos nem cedemos dados para publicidade de terceiros.

11. Seus direitos e como exercê-los

11.1. Pela LGPD (art. 18), você pode pedir: confirmação de que tratamos seus dados; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; portabilidade; eliminação dos dados tratados com base em consentimento; informação sobre com quem compartilhamos; informação sobre a possibilidade de não consentir e suas consequências; e revogação do consentimento. Você também pode se opor a tratamento feito sem consentimento, se achar que viola a lei, e pedir revisão por uma pessoa de decisão tomada só por tratamento automatizado que afete seus interesses (art. 20; veja os Termos, seção 7.5).

11.2. Como pedir: escreva para privacidade@vagaz.dev a partir do e-mail cadastrado (podemos pedir confirmação de identidade), ou use “Pedir a exclusão dos meus dados” em “Minha conta”. Apagar relatórios do Raio-X e resultados do Expert e remover dispositivos você faz sozinho na área do cliente. Os pedidos são gratuitos. Para acesso e portabilidade, enviamos os seus dados num arquivo JSON.

11.3. Prazo: confirmação da existência de tratamento e acesso em formato simplificado, de imediato; declaração completa, em até 15 dias (LGPD, art. 19). Se não pudermos atender, explicamos o motivo. Quando um dado já foi compartilhado com um provedor, comunicamos a correção ou eliminação, salvo se for impossível ou desproporcional (art. 18, § 6º).

11.4. Exclusão da conta. Se houver assinatura ativa, ela é cancelada antes. Depois: apagamos dispositivos, contadores, votos e cache do aprendizado, sessões, chamados e respostas, lista de espera, origem do cadastro, anotações, registro de e-mails, links de confirmação, relatórios do Raio-X e resultados do Expert, e as compras não pagas; trocamos o e-mail por um identificador pseudonimizado (um código calculado com um segredo do servidor, e por isso não é anonimização) nas compras pagas, na assinatura, nos créditos, na consultoria (anotações apagadas), nos reembolsos (motivo apagado), nos eventos, no registro de aceite (sem IP nem navegador) e na auditoria; e a licença é cancelada, com a chave inutilizada. O que permanece depois da exclusão: registros de pagamento (valor, data, produto, status, referência, sem o seu e-mail), por obrigação fiscal e defesa em disputa; o registro de aceite pseudonimizado; a lista de descadastro (só e-mail e data), para não voltarmos a escrever a você; a lista de exclusões (código SHA-256 do e-mail e data), para reaplicar o seu pedido se um backup for restaurado; a auditoria pseudonimizada; os relatos brutos do aprendizado ainda dentro dos 30 dias, já sem ligação com a licença; e os agregados e receitas do aprendizado, que não identificam ninguém. Dados do navegador você apaga desinstalando a extensão ou pelo botão “Apagar todos os meus dados”.

11.5. Você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) e ao consumidor.gov.br.

11.6. Backups. Depois de uma exclusão, seus dados podem permanecer nos backups criptografados até o fim da retenção de 30 dias; se um backup for restaurado, a exclusão é reaplicada (seção 12.5).

12. Segurança, registros de acesso e incidentes

12.1. Usamos conexão criptografada, controle de acesso, links de acesso com expiração (só o hash fica guardado), chaves de licença só em hash, limites contra abuso e backups criptografados. Não registramos o corpo das requisições, truncamos o IP nos logs de segurança do proxy e removemos da query string os parâmetros que identificam compras, relatórios e acessos. Nenhum sistema é totalmente seguro.

12.2. Incidentes. Em caso de incidente de segurança que possa causar risco ou dano relevante a você, comunicamos você e a ANPD em 3 dias úteis contados de quando soubermos que o incidente atingiu dados pessoais (prazo em dobro para agentes de pequeno porte que declarem essa condição à ANPD), conforme a LGPD, art. 48, e a Resolução CD/ANPD nº 15/2024. A comunicação diz, em linguagem simples: quais dados foram afetados, que medidas de segurança existiam, os riscos, o que fazemos para reduzir o dano, quando soubemos e como falar conosco. Se não conseguirmos avisar cada pessoa diretamente, publicamos o aviso no site por pelo menos 3 meses. Registramos todos os incidentes, comunicados ou não, por pelo menos 5 anos.

12.3. Falhas de segurança podem ser reportadas a seguranca@vagaz.dev, com os passos para reproduzir e sem dados pessoais reais.

12.4. Registros de acesso (Marco Civil da Internet, art. 15). Guardamos, por 6 meses e em ambiente restrito, o IP completo, a porta de origem e a data e hora de cada acesso ao site e à API, sem o conteúdo das requisições, apenas para cumprir a lei; só os entregamos por ordem judicial. Além disso, os logs de segurança do proxy, com IP truncado, duram 7 dias. (Base legal: obrigação legal, LGPD art. 7º, II.)

12.5. Backups. O banco é copiado todo dia, de forma criptografada com chave pública (a chave privada não fica no servidor), e cada cópia é guardada por 30 dias. Dados que você pediu para apagar podem continuar nessas cópias até o fim desses 30 dias. Se uma cópia for restaurada, os pedidos de exclusão registrados são aplicados de novo, para que esses dados não voltem ao ar.

13. Crianças e adolescentes

O Vagaz é para maiores de 18 anos. Não coletamos conscientemente dados de menores de idade. Se tomarmos conhecimento, apagaremos os dados do servidor e encerraremos o acesso.

14. Aprendizado contínuo (opcional)

Em linguagem simples: se você deixar, a extensão conta ao nosso servidor que tipo de botão e de pergunta apareceu num formulário e se o preenchimento funcionou, para aprendermos a preencher melhor sites novos, para todo mundo. É opcional e vem desligado. Não é anônimo para nós durante 30 dias: os relatos ficam ligados à sua licença e incluem o domínio do site da vaga, que pode revelar a empresa. Suas respostas, seu perfil, o endereço completo e o nome da vaga nunca são enviados nesse canal.

14.1. É opcional e vem desligado. A extensão pede essa escolha de forma explícita, e só envia algo depois de você ligar e de o servidor registrar a sua escolha. Você pode ligar e desligar quando quiser nos Ajustes da extensão. Sem a sua escolha, a extensão não envia relatos, rótulos nem consulta receitas coletivas.

14.2. O que é enviado, quando ligado: (a) o domínio da página do formulário (por exemplo, empresa.gupy.io), nunca o endereço completo; o domínio pode identificar o empregador ou o sistema de seleção em que você está, e fica ligado à sua licença por 30 dias; (b) uma assinatura estrutural do formulário, um código curto derivado da forma da página (prefixos dos nomes dos campos, formato do caminho), não do conteúdo; (c) o resultado (preencheu, enviou, falhou, pediu verificação ou login) e um motivo técnico; (d) os textos de botões usados nos passos (por exemplo, “Candidatar-se”, “Próximo”) e dos botões não reconhecidos; (e) os rótulos dos campos (por exemplo, “Pretensão salarial”) e, para classificar um campo desconhecido, as opções de resposta e um contexto curto da página; (f) a receita: a sequência de passos e o mapa “rótulo do campo → categoria do campo” de um preenchimento que deu certo. Nunca são enviados: valores digitados, respostas, perfil, currículo, endereço completo da página, nome da vaga ou da empresa. Neste canal é enviado o identificador do seu dispositivo, junto com a licença, apenas para autenticar o pedido; ele não é gravado nos relatos.

14.3. Rótulos enviados ao provedor de IA. Quando um campo não é reconhecido, o rótulo (com as opções e o contexto curto, se houver) é enviado ao nosso servidor e de lá ao Google (Gemini) para dizer a qual categoria de uma lista fechada ele pertence (por exemplo, “telefone”). Isso só acontece para contas com e-mail confirmado ou plano pago, e a resposta é uma categoria, nunca uma resposta sua. O texto da página é tratado como dado e não como instrução. Vale a seção 6 (provedor, transferência internacional).

14.4. Filtro de dados pessoais. Antes de qualquer coisa ser usada, o servidor rejeita por inteiro o texto que pareça e-mail (inclusive escrito de forma disfarçada), telefone, CPF/CNPJ, números longos, endereço de página com parâmetros ou nome próprio aparente. A extensão não envia nenhum código derivado do seu perfil: o filtro do que casa com o seu perfil é feito no seu navegador, antes do envio. Esse filtro é automático e não é perfeito: um dado pessoal bem escondido num rótulo ou botão pode passar.

14.5. Receitas e rótulos aprovados servidos a todos os clientes. Uma receita (passos e mapa de campos) ou um rótulo só é entregue a todos os clientes quando o mesmo preenchimento deu certo ou a mesma classificação foi dada por pelo menos 5 contas diferentes com e-mail confirmado ou plano pago, em pelo menos 2 dias e 3 redes distintas, e uma pessoa da nossa equipe revisa e aprova. Receitas nunca ensinam envio da candidatura, verificação humana (captcha) nem login. Itens não aprovados não são servidos a ninguém. Uma receita aprovada que passa a falhar muito deixa de ser servida.

14.6. Tabelas e retenção.

14.7. Base legal e revogação. O envio é feito com o seu consentimento (LGPD, art. 7º, I), dado ao ligar a opção. A sua escolha (ligar ou desligar) fica registrada no servidor, com data, versão da Política vista, IP truncado e navegador resumido, como prova do consentimento, e o histórico não é apagado. Você pode revogar a qualquer momento nos Ajustes da extensão: a partir daí nada novo é enviado ou contado. Para apagar o que já enviou ligado à sua conta (relatos brutos, votos e cache), peça a exclusão (seção 11); os agregados e as receitas já aprovadas não identificam ninguém e ficam. O uso do Vagaz não depende de você ligar o aprendizado.

14.8. Consulta de receitas. Para receber receitas aprovadas, a extensão pergunta ao servidor pelo domínio do site que você abriu (e a assinatura do sistema, quando o domínio é de um sistema de candidatura conhecido), identificando a sua licença só para autenticar o pedido. Nós não gravamos o domínio consultado e ele é retirado dos registros do proxy. Com o aprendizado desligado, a extensão não consulta receitas coletivas: nenhuma chamada desse canal é feita.

15. A extensão e a política da Chrome Web Store

15.1. O que a extensão lê. Ela pede acesso às páginas do LinkedIn e da Gupy e, para outros sites de vagas, uma permissão opcional que você concede por site. Nessas páginas ela lê os formulários e as vagas para executar a função que você ligou (buscar vagas e preencher candidaturas). Não lê o conteúdo das demais abas nem o seu histórico de navegação.

15.2. Uso limitado. O uso e a transferência das informações obtidas pela extensão seguem a Política de Dados do Usuário da Chrome Web Store, incluindo os requisitos de Uso Limitado. Usamos essas informações só para oferecer e melhorar a função única da extensão; não as vendemos nem as transferimos a corretores de dados; não as usamos para publicidade personalizada nem para avaliar crédito; e pessoas da nossa equipe só leem dados específicos com o seu consentimento, para segurança e investigação de abuso, para cumprir a lei ou, de forma agregada e sem identificação, para operar o serviço (por exemplo, aprovar receitas). The use of information obtained by this extension adheres to the Chrome Web Store User Data Policy, including the Limited Use requirements.

15.3. Se a coleta de dados da extensão mudar depois da instalação, avisamos você dentro da extensão e atualizamos esta Política.

16. Alterações

Podemos atualizar esta Política. Mudanças relevantes serão avisadas por e-mail e no site, com antecedência razoável e indicação da nova versão e da data, e as escolhas opcionais (como o aprendizado contínuo) serão pedidas de novo quando o tratamento mudar. A versão vigente está sempre nesta página.

17. Fundamentos legais

• LGPD (Lei 13.709/2018), arts. 6º a 9º, 11, 14, 16, 18 a 20, 33 a 37, 41, 46 a 48: planalto.gov.br
• Marco Civil da Internet (Lei 12.965/2014), arts. 7º, 10, 13 e 15: planalto.gov.br
• Código de Defesa do Consumidor (Lei 8.078/1990): planalto.gov.br
• Autoridade Nacional de Proteção de Dados (resoluções CD/ANPD nº 2/2022, 15/2024, 18/2024 e 19/2024): gov.br/anpd
• Reclamações de consumo: consumidor.gov.br