Acordo de tratamento de dados

Versão 2026-10

Este Acordo de Tratamento de Dados (“ATD”) partilha a versão com a nossa Política de Privacidade e a nossa Lista de subcontratantes. Uma nova versão de um deles é uma nova versão dos três (Política de Privacidade, secção 2.1).

1. Partes e âmbito

Este ATD é celebrado entre a Wipperoz Pty Ltd (ACN 623 500 603) (a “Wipperoz”, o “Subcontratante”) e a organização titular de uma conta Orbit (o “Cliente”, o “Responsável pelo Tratamento”). Faz parte dos Termos e Condições da Wipperoz que regem a utilização do Orbit pelo Cliente (o “Contrato”).

Aplica-se aos dados pessoais que a Wipperoz trata por conta do Cliente ao fornecer o Orbit (os “Dados Pessoais do Cliente”). Não se aplica aos dados pessoais pelos quais a Wipperoz é ela própria responsável pelo tratamento, como a conta Wipperoz de um candidato, os seus CVs Virtuais e as candidaturas que envia, que são regidos pela Política de Privacidade.

O Cliente aceita os Termos e Condições e a Política de Privacidade quando se regista no Orbit. Este ATD aplica-se a partir do momento em que o Cliente utiliza o Orbit pela primeira vez, como parte do Contrato. A versão aplicável é a que estiver publicada no momento em que o tratamento ocorre.

Este ATD foi redigido para cumprir o artigo 28.º do Regulamento Geral sobre a Proteção de Dados da UE e do Reino Unido (“RGPD”), a Privacy Act 1988 (Cth) australiana e a Lei Geral de Proteção de Dados brasileira (“LGPD”) (em conjunto, a “Legislação de Proteção de Dados”). Termos como responsável pelo tratamento, subcontratante, dados pessoais, titular dos dados e violação de dados pessoais têm o significado que lhes é dado pelo RGPD.

2. Objeto e duração

Objeto — o tratamento dos Dados Pessoais do Cliente necessário para fornecer o Orbit ao Cliente nos termos do Contrato
Duração — enquanto o Cliente tiver uma conta Orbit e, depois disso, até os Dados Pessoais do Cliente serem eliminados nos termos da secção 12

3. Natureza e finalidade do tratamento

A Wipperoz trata os Dados Pessoais do Cliente para:

Alojar as ofertas de emprego, as páginas de carreiras e as candidaturas do Cliente
Receber candidaturas e convites, e mostrá-los à equipa do Cliente
Guardar as notas, decisões, propostas, fases do processo e o histórico das candidaturas do Cliente
Calcular a adequação de cada candidato a uma oferta, avaliá-la com IA quando o Cliente o pede ou ativou automatizações de oferta, e executar as automatizações de oferta que o Cliente ativa
Importar os CVs que o Cliente carrega e enviar e-mails às pessoas a quem dizem respeito
Realizar as entrevistas de triagem com IA que o Cliente pede e produzir as respetivas conclusões
Agendar entrevistas, incluindo a leitura dos períodos livres/ocupados dos calendários que os utilizadores do Cliente ligam
Enviar os e-mails desencadeados pela utilização do Orbit pelo Cliente, incluindo informar os candidatos quando mudam de fase e, quando uma automatização da oferta os rejeita, que a decisão foi tomada automaticamente (Política de Privacidade, secção 20.2)
Aplicar a definição de conservação do Cliente e eliminar ou desidentificar os dados quando esta termina
Ajudar o Cliente a responder a pedidos dos titulares dos dados
Manter o Orbit seguro e prestar apoio

O tratamento inclui armazenamento, consulta, organização, apresentação, transmissão, análise por IA, desidentificação e eliminação.

4. Categorias de titulares dos dados

Candidatos às ofertas do Cliente, incluindo pessoas convidadas a candidatar-se
Pessoas cujos CVs o Cliente importa para o Orbit
Candidatos que uma agência de recrutamento apresenta aos seus clientes através do Orbit
Os utilizadores do Cliente: os membros da sua equipa, incluindo antigos membros, e os colegas que convidam
Pessoas externas ao Cliente que participam nas suas entrevistas
Os avaliadores dos clientes do Cliente, quando o Cliente é uma agência de recrutamento

5. Categorias de dados pessoais

Dados de identificação e de contacto: nome, endereço de e-mail, número de telefone, localização
CVs que o Cliente importa: o nome, o endereço de e-mail e o ficheiro do CV da pessoa
Registos de recrutamento criados pelo Cliente: notas, decisões, propostas (incluindo o montante), fase do processo e histórico, e quantas vezes a sua equipa consultou um candidato
Avaliações de adequação dos candidatos feitas por IA: uma pontuação, as respetivas razões e comentários
Entrevistas de triagem com IA: respostas, transcrições e conclusões, incluindo a forma como cada resposta foi escrita (secção 19 da Política de Privacidade)
Entrevistas: horários, formatos, notas e os nomes e endereços de e-mail das pessoas que nelas participam
Candidatos que o Cliente mantém na sua lista “Os meus candidatos”
Períodos livres/ocupados de calendários e o endereço de e-mail de um calendário ligado
Dados de conta dos membros da equipa e a sua atividade no Orbit

O que um candidato envia quando se candidata — a candidatura, o CV, as respostas e o consentimento que deu — bem como a sua própria conta Wipperoz e os seus CVs Virtuais são conservados pela Wipperoz enquanto responsável pelo tratamento, nos termos da Política de Privacidade (secção 18.1). O Cliente recebe-os como parte do Orbit, e a Wipperoz aplica a definição de conservação do Cliente à cópia do Cliente.

O Cliente não deve pedir aos candidatos, através do Orbit, categorias especiais de dados (por exemplo, saúde, religião ou origem étnica), salvo se a lei o permitir e o Cliente tiver um fundamento jurídico. O Orbit não os pede.

6. Instruções do Cliente

A Wipperoz trata os Dados Pessoais do Cliente apenas segundo as instruções documentadas do Cliente. O Contrato, este ATD e a utilização e configuração do Orbit pelo Cliente constituem essas instruções.

A Wipperoz informará o Cliente se, na sua opinião, uma instrução violar a Legislação de Proteção de Dados, e pode suspender esse tratamento até a instrução ser confirmada ou alterada. Se a lei obrigar a Wipperoz a tratar os Dados Pessoais do Cliente de outra forma, a Wipperoz informará previamente o Cliente, salvo se a lei o proibir.

O Cliente é responsável por dispor de um fundamento jurídico para o tratamento, por prestar aos titulares dos dados as informações exigidas por lei e pela licitude das suas instruções.

7. Obrigações da Wipperoz

A Wipperoz:

Trata os Dados Pessoais do Cliente apenas para as finalidades indicadas na secção 3
Não vende os Dados Pessoais do Cliente, não os utiliza para fins próprios e não os combina com dados de outros clientes
Não utiliza os Dados Pessoais do Cliente para treinar modelos de IA, nem permite que os seus subcontratantes o façam
Garante que todas as pessoas autorizadas a tratar os Dados Pessoais do Cliente estão sujeitas a um dever de confidencialidade
Dá acesso aos Dados Pessoais do Cliente apenas ao pessoal que dele necessita para fornecer o Orbit ou prestar apoio

8. Subcontratantes

O Cliente concede à Wipperoz uma autorização geral para recorrer a subcontratantes. Os subcontratantes atuais, o que cada um faz e onde trata os dados constam da Lista de subcontratantes.

A Wipperoz informará o Cliente com uma antecedência mínima de 30 dias antes de acrescentar ou substituir um subcontratante, por e-mail aos Administradores da conta e através da publicação de uma nova versão da Lista de subcontratantes
O Cliente pode opor-se, por motivos razoáveis de proteção de dados, dentro desses 30 dias. As partes discutirão a objeção de boa-fé. Se não for possível resolvê-la, o Cliente pode encerrar a sua conta Orbit e receber o reembolso de quaisquer montantes pré-pagos e não utilizados relativos ao Orbit
A Wipperoz imporá a cada subcontratante, por contrato escrito, obrigações de proteção de dados não menos protetoras do que as deste ATD, e continua a ser responsável perante o Cliente pelo cumprimento de cada subcontratante

9. Segurança

A Wipperoz mantém medidas técnicas e organizativas adequadas ao risco, incluindo:

Cifragem dos dados em trânsito (TLS) e cifragem em repouso com chaves geridas pela AWS
Controlo de acessos: cada pedido no Orbit é autorizado em função da conta do Cliente e da função do utilizador nessa conta
Separação lógica dos dados de cada cliente no Orbit
Acesso do pessoal apenas quando dele necessita
Monitorização e alertas de erros e falhas
Cópias de segurança contínuas (point-in-time) da nossa base de dados, que nos permitem restaurar os dados de qualquer momento dos últimos 35 dias
Revisão regular destas medidas

10. Ajuda com os pedidos dos titulares dos dados

Tendo em conta a natureza do tratamento, a Wipperoz ajudará o Cliente a responder aos pedidos dos titulares dos dados para exercerem os seus direitos:

A pedido do Cliente, enviado para privacy@wipperoz.com, a Wipperoz encontrará, exportará, corrigirá ou apagará os dados de um candidato conservados pela conta do Cliente. O Orbit não dispõe de uma ferramenta de autosserviço para os dados de um candidato; os Administradores do Cliente podem exportar por si os dados de toda a conta (secção 12)
Se a Wipperoz receber um pedido relativo a Dados Pessoais do Cliente, encaminhá-lo-á para o Cliente sem demora injustificada e não lhe responderá ela própria, exceto para informar a pessoa de que o fez
A Wipperoz ajudará também o Cliente com avaliações de impacto sobre a proteção de dados e consultas às autoridades de controlo, quando estas digam respeito ao Orbit

11. Violações de dados pessoais

A Wipperoz notificará o Cliente sem demora injustificada e, em qualquer caso, no prazo de 72 horas após ter conhecimento de uma violação de dados pessoais que afete Dados Pessoais do Cliente. A notificação descreverá, na medida do que for então conhecido, a natureza da violação, as categorias e o número aproximado de pessoas e registos afetados, as consequências prováveis e as medidas tomadas ou propostas. A Wipperoz manterá o Cliente atualizado à medida que souber mais, e ajudá-lo-á a cumprir as suas próprias obrigações de notificação, incluindo ao abrigo do regime australiano de notificação de violações de dados (Notifiable Data Breaches).

12. Eliminação e devolução no fim

Durante a vigência da conta — os Administradores do Cliente podem exportar os dados da conta a qualquer momento enquanto a conta estiver aberta, em Configurações → Conta → Dados e privacidade → Exportar os dados da empresa, e transferir o ficheiro a partir desse ecrã durante 7 dias. O Cliente também pode pedir uma cópia enviando um e-mail para privacy@wipperoz.com. As candidaturas a uma oferta encerrada são desidentificadas após o prazo de conservação definido pelo Cliente: 12 meses por predefinição, ajustável por um Administrador entre 6 e 24 meses. A desidentificação abrange a candidatura e os respetivos registos de recrutamento. Não abrange as conclusões de triagem nem os registos de entrevistas, que são conservados até a conta ser encerrada (um candidato pode retirar das conclusões as suas respostas e citações), nem a lista “Os meus candidatos”, cujas entradas são conservadas até o Cliente as remover, o candidato pôr fim ao acesso do Cliente ou a conta ser encerrada
Quando a conta é encerrada — só um Administrador pode encerrar a conta. A eliminação começa de imediato e não pode ser anulada: a Wipperoz elimina as ofertas, candidaturas, registos de recrutamento, importações, triagens, entrevistas e membros da equipa do Cliente. O Cliente deve exportar o que precisar antes de encerrar a conta
Exceções — a Wipperoz conserva um registo da eliminação, que contém os endereços de e-mail dos membros da equipa, durante 90 dias; o registo de créditos e de utilização, bem como as faturas e registos de pagamento, durante o tempo exigido pela lei australiana de conservação de registos; e os CVs Virtuais criados a partir de CVs importados, que pertencem às pessoas a quem dizem respeito e são eliminados ao fim de 90 dias se não forem reclamados (Política de Privacidade, secção 12.5). As cópias em cópias de segurança são substituídas no prazo de 35 dias

13. Auditorias

A Wipperoz disponibilizará ao Cliente as informações razoavelmente necessárias para demonstrar o cumprimento deste ATD, incluindo respostas escritas a um questionário de segurança razoável uma vez por ano.

Quando essas informações não forem suficientes, ou uma autoridade de controlo o exigir, o Cliente pode realizar uma auditoria, diretamente ou através de um auditor independente sujeito a confidencialidade, mediante aviso prévio de pelo menos 30 dias, em horário de expediente, a expensas próprias e no máximo uma vez por ano, salvo se tiver ocorrido uma violação. A Wipperoz pode basear-se nas certificações e nos relatórios de auditoria dos seus subcontratantes relativamente às partes do serviço que estes prestam.

14. Transferências internacionais

A Wipperoz está sediada na Austrália. Os Dados Pessoais do Cliente estão alojados na Amazon Web Services, nos Estados Unidos (us-east-1, Virgínia do Norte), e alguns subcontratantes tratam-nos noutros países, conforme indicado na Lista de subcontratantes.

Quando o RGPD ou o RGPD do Reino Unido se aplicar a uma transferência de Dados Pessoais do Cliente para um país sem decisão de adequação, as partes acordam que as cláusulas contratuais-tipo adotadas pela Comissão Europeia (Decisão 2021/914), Módulo Dois (de responsável pelo tratamento para subcontratante), juntamente com o Aditamento do Reino Unido relativo às transferências internacionais de dados, se aplicam a essa transferência e são incorporadas neste ATD por remissão. Quando se aplicar a LGPD, aplicam-se do mesmo modo as cláusulas-padrão contratuais aprovadas pela ANPD.

A Wipperoz garantirá que os seus subcontratantes dispõem de garantias equivalentes para as transferências.

15. Responsabilidade e prevalência

A responsabilidade de cada parte ao abrigo deste ATD está sujeita aos limites previstos no Contrato, exceto quando a Legislação de Proteção de Dados não permita limitá-la. Em caso de conflito entre este ATD e o Contrato quanto ao tratamento dos Dados Pessoais do Cliente, prevalece este ATD. Em caso de conflito entre este ATD e as cláusulas contratuais-tipo, prevalecem as cláusulas contratuais-tipo.

16. Contacto

Questões sobre este ATD, objeções a um subcontratante e pedidos de informações para auditoria: privacy@wipperoz.com

Em caso de divergência, prevalecerá a versão em inglês.