Anexo de tratamento de dados (DPA)

1. Partes

Este Anexo de Tratamento de Dados ("DPA") integra os Termos de Uso entre a Anelos LTDA (CNPJ 62.909.005/0001-99), aqui referida como "Anelos", e a empresa cliente, aqui referida como "Empresa".

Disciplina as responsabilidades de cada parte quanto ao tratamento de dados pessoais de candidatos disponibilizados pela Plataforma Anelos Recruiters, em observância à Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD).

2. Definições

Para fins deste DPA, aplicam-se as definições da LGPD, em especial:

• Titular: pessoa natural a quem se referem os dados pessoais — neste contexto, o candidato.
• Controlador: a quem competem as decisões referentes ao tratamento de dados pessoais.
• Operador: pessoa que realiza o tratamento de dados pessoais em nome do controlador.
• Tratamento: toda operação realizada com dados pessoais (coleta, uso, transferência, armazenamento, eliminação, entre outros).

3. Escopo do tratamento

Os dados pessoais objeto deste DPA são os dados de candidatos da base Anelos que tenham consentido expressamente com o compartilhamento com empresas parceiras, e que sejam disponibilizados à Empresa por meio da Plataforma em resposta a uma busca.

A finalidade exclusiva do tratamento pela Empresa é a condução de processo seletivo para a vaga que originou a busca.

4. Papéis das partes

O tratamento ocorre em duas fases sucessivas com papéis distintos:

• Fase 1 — antes e até a disponibilização do candidato à Empresa: a Anelos atua como Controladora dos dados do candidato, com base no consentimento dado pelo titular. Sua atividade de matching e disponibilização é regida pela Política de Privacidade do Anelos Candidatos.
• Fase 2 — a partir do momento em que a Empresa recebe o dado via Plataforma: a Empresa passa a ser Controladora dos dados que decidir armazenar em seus próprios sistemas. A Anelos passa a atuar apenas como Operadora, em relação aos dados que permanecem em seu sistema apenas para fins de funcionamento da Plataforma (histórico, snapshots, auditoria).

5. Obrigações da Empresa como controladora

A partir do recebimento dos dados via Plataforma, a Empresa se obriga a:

• Usar os dados exclusivamente para o processo seletivo da vaga.
• Não compartilhar, ceder, revender ou usar os dados para qualquer finalidade diversa (incluindo marketing, perfilamento, enriquecimento de bases).
• Implementar medidas técnicas e organizacionais adequadas para proteger os dados que armazenar em seus sistemas, incluindo controle de acesso, registro de operações e criptografia em trânsito.
• Atender, dentro dos prazos legais, às solicitações de titulares quanto aos dados que decidir armazenar (acesso, correção, eliminação, portabilidade, revogação).
• Eliminar os dados de seus sistemas tão logo a finalidade do processo seletivo se exaura, ressalvada retenção mínima necessária ao cumprimento de obrigações legais.
• Comunicar à Anelos qualquer incidente de segurança envolvendo dados oriundos da Plataforma em até 48 horas após a ciência.

6. Obrigações da Anelos como operadora

Em relação aos dados de candidatos mantidos pela Anelos após a disponibilização à Empresa (histórico de buscas, snapshots de match, logs de auditoria), a Anelos:

• Tratará os dados apenas para finalidades estritamente operacionais (histórico, auditoria, prevenção de fraude).
• Manterá registros das operações realizadas.
• Adotará medidas técnicas razoáveis de segurança (criptografia em trânsito, RLS no banco, scrubbing de PII em logs).
• Atenderá a solicitações de titulares quanto a seus próprios dados na base Anelos, sem interferir nos dados que a Empresa mantenha em seus sistemas.
• Notificará a Empresa em caso de incidente de segurança relevante.

7. Direitos do titular

O candidato pode revogar a qualquer momento o consentimento dado à Anelos para compartilhamento com empresas parceiras. A revogação não afeta retroativamente os dados já disponibilizados a empresas; produz efeitos para novas buscas a partir do registro da revogação na Anelos.

Solicitações de titulares dirigidas a uma das partes serão respondidas no escopo dos dados de responsabilidade daquela parte. A parte receptora se compromete a informar o titular sobre como acionar a outra parte, quando aplicável.

8. Subprocessadores

A Anelos pode contratar subprocessadores (infraestrutura, gateways de pagamento, e-mail transacional, observabilidade e analytics) para a operação da Plataforma, contratualmente obrigados a observar padrões equivalentes de proteção. A lista atualizada de subprocessadores fica disponível mediante solicitação. O Google Analytics, quando ativado pelo consentimento do usuário no site institucional, opera com IP anonimizado e não tem acesso aos dados pessoais de candidatos objeto deste DPA.

A Empresa, por sua vez, é livre para escolher seus próprios subprocessadores em relação aos dados que armazenar em seus sistemas, observada a LGPD.

9. Incidentes de segurança

Cada parte comunicará a outra sobre incidentes de segurança relevantes que possam afetar os dados objeto deste DPA em até 48 horas após a ciência. As partes cooperarão de boa-fé na investigação, mitigação e cumprimento das obrigações de notificação previstas em lei.

10. Auditoria e demonstração de conformidade

Mediante solicitação razoável e com aviso prévio mínimo de 30 dias, a Anelos disponibilizará à Empresa informações necessárias à demonstração do cumprimento das obrigações deste DPA, podendo, no lugar de auditoria presencial, oferecer relatórios técnicos, certificações ou explicações detalhadas das medidas adotadas.

11. Encerramento do tratamento

Encerrada a relação contratual, a Anelos manterá o histórico de buscas em forma anonimizada (sem dados pessoais identificáveis de candidatos) por até 5 anos para fins de auditoria, prevenção a fraudes e cumprimento legal. Demais dados pessoais da Empresa serão eliminados ou anonimizados conforme política de retenção descrita na Política de Privacidade.

A Empresa deve eliminar de seus sistemas os dados de candidatos cuja finalidade tenha se exaurido, conforme a seção 5.

12. Disposições finais

Este DPA prevalece sobre qualquer disposição conflitante dos Termos de Uso quanto ao tratamento de dados pessoais. Permanecem aplicáveis todas as demais cláusulas dos Termos no que não conflitarem com este Anexo.

Dúvidas sobre este DPA podem ser direcionadas ao Encarregado de Dados em suporte@anelos.com.br.