1. Compromisso da Rflow
A Rflow Tecnologia Ltda trata dados pessoais em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018). Isso não é uma declaração de intenção: é uma condição de funcionamento do produto, porque um processo seletivo mal governado expõe candidato e empresa ao mesmo tempo.
Três princípios orientam as decisões de produto: coletar o mínimo necessário para conduzir a vaga, manter registro auditável de quem acessou o quê, e devolver ao candidato o controle sobre os dados que ele enviou.
2. Quem é controlador e quem é operador
A distinção importa para saber a quem o candidato deve recorrer.
A empresa contratante é controladora
Ela decide abrir a vaga, define os critérios e escolhe quem contratar. Os dados dos candidatos daquele processo são dela.
A Rflow é operadora
Trata os dados em nome da controladora, dentro das finalidades contratadas, sem usá-los para propósito próprio.
Exceção: quando a Rflow trata dados para sua própria operação — contato comercial pelo site, cadastro de clientes, faturamento e comunicação de produto — ela atua como controladora. Esses tratamentos estão descritos na Política de Privacidade.
No serviço de terceirização (Rflow Recruit), a Rflow conduz etapas do processo seletivo em nome da controladora, seguindo as instruções registradas em contrato.
3. Dados tratados
Em um processo seletivo conduzido na plataforma, o tratamento envolve tipicamente:
- Identificação e contato: nome, telefone de WhatsApp, e-mail quando informado, cidade e estado.
- Dados profissionais: experiências anteriores, formação, cursos, pretensão salarial, disponibilidade de turno e de deslocamento.
- Conteúdo da conversa: mensagens trocadas com o assistente ou com a equipe de recrutamento, incluindo arquivos que o candidato envie.
- Registros do processo: etapa atual, pareceres, agendamentos e histórico de mudanças com data e responsável.
- Documentos de admissão: tratados apenas quando o candidato é aprovado e a empresa inicia a admissão digital.
Dados sensíveis. A Rflow não solicita dados sensíveis na triagem — origem racial, convicção religiosa, opinião política, filiação sindical, dado genético, biométrico ou de saúde. Quando o processo exige informação dessa natureza por obrigação legal ou por política de inclusão da controladora, o tratamento ocorre em etapa separada, com finalidade declarada e base legal específica.
4. Bases legais e finalidades
Cada tratamento tem uma finalidade declarada e uma base legal correspondente:
- Condução do processo seletivo — procedimentos preliminares relacionados a contrato, a pedido do titular (art. 7º, V).
- Banco de talentos para vagas futuras — consentimento específico do candidato, revogável a qualquer momento (art. 7º, I).
- Admissão e obrigações trabalhistas — cumprimento de obrigação legal ou regulatória (art. 7º, II).
- Segurança, auditoria e prevenção a fraude — legítimo interesse, com registro do teste de balanceamento (art. 7º, IX).
- Defesa em processo judicial ou administrativo — exercício regular de direitos (art. 7º, VI).
Os dados não são vendidos, alugados nem usados para publicidade de terceiros.
5. Triagem com IA e decisão humana
O assistente da Rflow conduz a etapa inicial: apresenta a vaga, faz as perguntas de corte definidas pela empresa e organiza as respostas. Ele não decide sozinho quem é contratado.
A recomendação gerada é uma organização de informação, não uma sentença. A decisão de avançar, reprovar ou contratar é sempre de uma pessoa da empresa contratante, que pode assumir a conversa em qualquer momento. O candidato pode solicitar atendimento humano e pedir revisão de decisões tomadas com apoio de tratamento automatizado, nos termos do art. 20 da LGPD.
O candidato é informado, no início da conversa, de que está falando com um assistente virtual em nome da empresa.
6. Compartilhamento e operadores
Os dados de um processo seletivo são acessíveis à empresa controladora e à equipe da Rflow envolvida naquele atendimento. Para operar, a plataforma depende de terceiros que atuam como operadores, contratualmente obrigados a tratar os dados apenas conforme instrução:
- Meta Platforms — provedora da API oficial do WhatsApp, canal por onde a conversa acontece.
- Provedor de infraestrutura em nuvem — hospedagem da aplicação e do banco de dados. [A CONFIRMAR: fornecedor e região dos servidores]
- Provedor de modelos de linguagem — processamento das mensagens de triagem. [A CONFIRMAR: fornecedor e política de retenção]
Quando um operador processa dados fora do Brasil, a transferência internacional segue as hipóteses do art. 33 da LGPD, com cláusulas contratuais de proteção equivalentes.
7. Retenção e eliminação
Os dados são mantidos pelo tempo necessário à finalidade que motivou a coleta e pelos prazos legais aplicáveis. A empresa controladora define a política de retenção do seu banco de candidatos dentro dos limites acordados em contrato.
[A DEFINIR] Prazos padrão de retenção por tipo de dado — conversa de triagem, banco de talentos, documentos de admissão e registros de auditoria — para publicar nesta página.
Encerrado o contrato com a empresa, a Rflow devolve ou elimina os dados tratados em nome dela, conforme instrução da controladora, preservando apenas o que a lei exigir.
8. Segurança da informação
A plataforma adota medidas técnicas e administrativas proporcionais ao risco do tratamento:
Tráfego criptografado
Comunicação em HTTPS/TLS entre candidato, plataforma e equipe.
Acesso por perfil
Cada usuário vê o que a sua função exige, com contas individuais.
Registro auditável
Histórico de quem acessou, alterou e enviou mensagem, com data e hora.
Canal oficial
Operação sobre a API oficial da Meta, sem número pessoal no fluxo.
9. Direitos do titular
Todo candidato ou usuário pode, a qualquer momento, exercer os direitos do art. 18 da LGPD: confirmar a existência de tratamento; acessar os dados; corrigir dado incompleto, inexato ou desatualizado; solicitar anonimização, bloqueio ou eliminação de dado desnecessário ou tratado em desconformidade; pedir portabilidade; ser informado sobre com quem os dados foram compartilhados; revogar consentimento; e opor-se a tratamento fundado em legítimo interesse.
O pedido pode ser feito no mesmo WhatsApp da conversa ou pelo canal do Encarregado, abaixo. A Rflow responde no prazo legal e, quando atua como operadora, encaminha o pedido à empresa controladora e apoia o atendimento.
10. Incidentes de segurança
Se ocorrer incidente que possa acarretar risco ou dano relevante aos titulares, a Rflow comunica a empresa controladora sem demora, com as informações necessárias para a notificação à Autoridade Nacional de Proteção de Dados e aos titulares, e registra as medidas de contenção adotadas.
11. Encarregado (DPO)
O Encarregado é o canal de contato entre titulares, a Rflow e a ANPD.
Contato do encarregado Rflow Tecnologia Ltda · CNPJ 67.507.573/0001-87Encarregado: [A CONFIRMAR nome]E-mail: privacidade@rflowrh.com.br Falar sobre proteção de dados
Documentos relacionados: Política de Privacidade · Termos de Uso
