Acordo de Tratamento de Dados (DPA)

1. Partes

O presente Acordo de Tratamento de Dados (doravante, o "DPA") é celebrado entre a COSMIC TOMORROW (que opera como RECRU), NIF 519123069, com sede em R. Alfredo Allen n.º 455-461, 4200-135 Porto, Portugal (doravante, o "Subcontratante"), e o cliente que contrata os serviços da plataforma RECRU (doravante, o "Responsável").

2. Objeto

Este DPA regula o tratamento de dados pessoais que o Subcontratante realiza por conta do Responsável no âmbito da prestação do serviço de automatização de recruiting, nos termos do artigo 28.º do Regulamento (UE) 2016/679 (RGPD).

3. Natureza e finalidade do tratamento

O Subcontratante trata os dados exclusivamente para prestar os serviços contratados: armazenamento, organização e automatização dos processos de recrutamento geridos pelo Responsável.

4. Tipo de dados pessoais

Dados de candidatos introduzidos pelo Responsável: nome, apelido, email, telefone, CV, notas de avaliação e quaisquer outros dados que o Responsável decida incluir na plataforma.

5. Categorias de titulares

Candidatos às vagas geridas pelo Responsável.

6. Obrigações do Subcontratante

O Subcontratante compromete-se a:

• Tratar os dados apenas segundo instruções documentadas do Responsável.
• Garantir que as pessoas autorizadas a tratar os dados se comprometeram à confidencialidade.
• Aplicar medidas técnicas e organizativas de segurança adequadas nos termos do artigo 32.º do RGPD (encriptação TLS em trânsito, encriptação em repouso, controlo de acesso por tenant, registos de auditoria).
• Apoiar o Responsável no cumprimento das obrigações relativas aos direitos dos titulares (acesso, apagamento, portabilidade, limitação).
• Eliminar ou devolver todos os dados pessoais ao Responsável após o término dos serviços, no prazo máximo de 30 dias.
• Disponibilizar ao Responsável toda a informação necessária para demonstrar o cumprimento das obrigações do artigo 28.º do RGPD.

7. Subsubcontratantes

O Subcontratante pode subcontratar os seguintes serviços, que atuam como subsubcontratantes:

• Supabase Inc. — Infraestrutura de base de dados, autenticação e armazenamento de ficheiros (servidores no EEE)
• Twilio Inc. (SendGrid) — Envio de comunicações transacionais por email (EUA, ao abrigo das Cláusulas Contratuais-Tipo)
• Resend Inc. — Envio de emails de screening (EUA, ao abrigo das Cláusulas Contratuais-Tipo)
• Deepgram Inc. — Transcrição de voz em tempo real durante as entrevistas (EUA, ao abrigo das Cláusulas Contratuais-Tipo)
• Google LLC (Gemini) — Funcionalidades de inteligência artificial: geração de documentos, análise de CV, relatórios automáticos (EUA, ao abrigo das Cláusulas Contratuais-Tipo)

O Subcontratante notifica o Responsável com pelo menos 30 dias de antecedência sobre qualquer alteração de subsubcontratantes, dando-lhe a oportunidade de se opor.

8. Transferências internacionais

As transferências de dados para subsubcontratantes localizados fora do EEE (em concreto SendGrid/Twilio nos EUA) são realizadas ao abrigo das Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia através da Decisão de Execução (UE) 2021/914.

9. Duração

Este DPA mantém-se em vigor durante a vigência do contrato de serviços entre as partes. A sua cessação implica a obrigação de eliminação de dados descrita no ponto 6.

10. Contacto

Para qualquer questão relativa a este DPA: privacy@recru-app.com