Anexo de Tratamento de Dados Pessoais (DPA) - InvertHR
Versão 2.2.1, em vigor desde 15 de agosto de 2026.
Este Anexo integra os Termos de Uso do InvertHR e regula o tratamento de dados pessoais realizado por Samuel Moreira da Silva Consultoria em Tecnologia da Informação LTDA ("Operador") por conta e ordem do cliente ("Controlador"), nos termos da Lei nº 13.709/2018 (LGPD).
Em caso de conflito entre este Anexo e os Termos de Uso quanto a proteção de dados, prevalece este Anexo.
1. Papéis das partes
1.1. Quanto aos Dados do Cliente (os dados pessoais que o Controlador ou seus usuários inserem no InvertHR), o Controlador é o controlador e o Operador é o operador (LGPD art. 5º, VI e VII).
1.2. Quanto aos dados de cadastro, faturamento, segurança e telemetria de uso da plataforma, o Operador atua como controlador independente, na forma da Política de Privacidade.
1.3. Dados que o próprio titular entrega ao Serviço. Quando a pessoa natural cria conta própria no InvertHR e nele insere seus dados, o Operador é o controlador desses dados, e o Controlador que os consulta não se torna controlador deles por consultá-los. O Controlador passa a ser controlador do que ele produz a respeito dessa pessoa dentro do Serviço (anotações, avaliações, classificações e registros de relacionamento), e essa produção é Dado do Cliente para os fins da cláusula 1.1.
1.4. Cabe ao Controlador definir base legal adequada, prestar informação aos titulares e garantir a licitude da coleta dos Dados do Cliente. O Operador não verifica nem responde por essa licitude.
2. Objeto e escopo do tratamento
2.1. Objeto: prestação do InvertHR (uma plataforma de recrutamento em que o candidato nunca se candidata: as empresas buscam profissionais e enviam convites, e o profissional decide se aceita).
2.2. Duração: enquanto vigente o contrato, acrescida do prazo de devolução e eliminação da cláusula 11.
2.3. Natureza e finalidade: hospedar, armazenar, processar, transmitir e disponibilizar os Dados do Cliente exclusivamente para operar o Serviço contratado.
2.4. Categorias de titulares e de dados: definidas pelo Controlador ao usar o Serviço. O Controlador declara conhecer quais dados insere e assume não inserir dados sensíveis ou de crianças sem que o Serviço tenha sido contratado com essa finalidade e com as salvaguardas correspondentes.
3. Instruções do Controlador
3.1. O Operador tratará os Dados do Cliente apenas conforme as instruções documentadas do Controlador, materializadas no contrato, neste Anexo e nas configurações que o próprio Controlador aplica no Serviço.
3.2. O Operador comunicará o Controlador se, na sua avaliação, uma instrução violar a LGPD ou outra norma de proteção de dados, podendo suspender a execução da instrução até esclarecimento.
3.3. O Operador tratará os Dados do Cliente fora das instruções somente quando exigido por lei ou autoridade, informando previamente o Controlador quando a comunicação não for vedada.
3.4. O Operador não usa os Dados do Cliente para finalidade própria, não os comercializa e não os utiliza para publicidade.
4. Confidencialidade
4.1. O Operador garante que toda pessoa autorizada a tratar os Dados do Cliente esteja sujeita a obrigação de confidencialidade, contratual ou legal, e receba treinamento adequado.
4.2. O acesso é concedido pelo princípio do menor privilégio e apenas na medida necessária à prestação do Serviço.
5. Segurança
5.1. O Operador adota medidas técnicas e administrativas aptas a proteger os Dados do Cliente (LGPD art. 46), entre elas:
- criptografia em trânsito (TLS) e em repouso;
- segregação lógica dos dados por cliente;
- autenticação forte e controle de acesso baseado em papéis para a equipe;
- a partir de 14 de setembro de 2026, registro de auditoria dos acessos de usuários do Controlador aos perfis de candidatos;
- gestão de vulnerabilidades e varredura automatizada de dependências e segredos;
- backup periódico com teste de restauração;
- processo formal de resposta a incidentes.
5.2. As medidas podem evoluir; o Operador não as reduzirá a patamar inferior ao vigente na contratação.
6. Subprocessadores
6.1. O Controlador autoriza previamente o Operador a contratar subprocessadores para a prestação do Serviço, sendo a lista vigente publicada em Subprocessadores.
6.2. O Operador impõe ao subprocessador, por contrato, obrigações de proteção de dados não menos protetivas que as deste Anexo, e responde perante o Controlador pelos atos do subprocessador como se seus fossem.
6.3. Novos subprocessadores serão comunicados com antecedência mínima de 30 (trinta) dias. O Controlador poderá se opor por escrito, com fundamento razoável ligado à proteção de dados; não havendo solução, poderá rescindir sem multa a parte do Serviço afetada.
7. Direitos dos titulares
7.1. O Operador disponibiliza no Serviço funcionalidades que permitem ao Controlador atender diretamente aos pedidos de acesso, correção, portabilidade e eliminação.
7.2. Recebendo pedido de titular diretamente, o Operador não responderá em nome do Controlador: encaminhará o pedido a ele em até 5 (cinco) dias úteis.
7.3. O Operador prestará assistência razoável ao Controlador no atendimento aos titulares e nos pedidos da ANPD.
7.4. Cópias dos Dados do Cliente que o Controlador exportar do Serviço passam a ser tratadas por ele, fora do Serviço, sob sua própria responsabilidade como controlador; cabe a ele replicar nessas cópias as eliminações e correções que titulares solicitem depois da exportação.
8. Incidentes de segurança
8.1. Constatado incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o Operador comunicará o Controlador em até 24 horas da constatação.
8.2. A comunicação conterá, na medida do conhecido: natureza do incidente, dados e titulares afetados (ou estimativa), medidas técnicas adotadas, riscos identificados e medidas de mitigação, sendo complementada conforme a apuração avance.
8.3. Cabe ao Controlador decidir sobre a comunicação à ANPD e aos titulares, por ser o controlador. O Operador prestará as informações necessárias para essa decisão.
8.4. O Operador não divulgará publicamente o incidente identificando o Controlador sem alinhamento prévio, salvo exigência legal.
9. Auditoria e demonstração de conformidade
9.1. O Operador disponibilizará ao Controlador as informações necessárias para demonstrar o cumprimento deste Anexo, preferencialmente por meio de relatórios, certificações ou questionários de segurança respondidos.
9.2. Auditoria presencial ou remota poderá ser realizada, no máximo uma vez por ano, mediante aviso de 30 (trinta) dias, em horário comercial, sem comprometer a operação e respeitada a confidencialidade dos demais clientes. Auditorias adicionais cabem após incidente relevante ou determinação de autoridade.
10. Transferência internacional
10.1. O Controlador autoriza o tratamento dos Dados do Cliente fora do Brasil pelos subprocessadores identificados, na forma do art. 33 da LGPD.
10.2. Essas transferências são amparadas por cláusulas contratuais padrão ou instrumento equivalente que assegure grau de proteção compatível com a lei brasileira.
11. Término: devolução e eliminação
11.1. A eliminação é imediata. Encerrado o contrato, os Dados do Cliente são eliminados dos ambientes produtivos no ato e, na rotação seguinte, dos backups, salvo os dados cuja guarda seja exigida por lei. Não há janela de recuperação.
11.2. A exportação dos Dados do Cliente em formato estruturado e de uso comum deve, portanto, ser feita antes do encerramento, enquanto o acesso existir.
11.3. Mediante solicitação, o Operador emitirá declaração de eliminação.
12. Responsabilidade
12.1. A responsabilidade de cada parte perante titulares e autoridades observa os arts. 42 a 45 da LGPD.
12.2. O Controlador indenizará o Operador por perdas decorrentes de tratamento sem base legal, de instrução ilícita ou de dados inseridos em desacordo com o contrato.
12.3. O Operador indenizará o Controlador por perdas decorrentes do descumprimento deste Anexo ou de tratamento fora das instruções recebidas, observados os limites de responsabilidade dos Termos de Uso, que não se aplicam a dolo ou fraude.
13. Contato
Assuntos de proteção de dados relativos a este Anexo: Samuel Moreira da Silva, Encarregado (privacy@inverthr.com).