1. Quem é responsável pelos seus dados
O responsável pelo tratamento dos seus dados pessoais é a entidade que explora o serviço MySkillsSpace. Os seus dados de identificação completos, a sede social e os números de registo estão publicados na página de Contacto, que faz parte integrante deste aviso.
Para qualquer questão sobre este aviso, ou para exercer qualquer dos direitos descritos na secção 11, utilize o formulário de contacto. Os pedidos relativos à privacidade são respondidos sem demora injustificada e, em qualquer caso, no prazo de um mês a contar da receção; se um pedido for complexo, informá-lo-emos dentro desse mês e poderemos prorrogá-lo por mais dois meses.
Não foi designado um encarregado da proteção de dados, porque o tratamento aqui descrito não preenche as condições do artigo 37.º, n.º 1, do RGPD. Se isso mudar, os contactos do encarregado serão publicados aqui.
2. O que este aviso abrange
Este aviso abrange o sítio MySkillsSpace e a área de conta por trás dele. Descreve o serviço tal como funciona hoje: os profissionais publicam um perfil e serviços com preço, sozinhos ou em equipa; qualquer pessoa pode consultar profissionais, serviços e equipas; as empresas com sessão iniciada podem guardar perfis, enviar mensagens e convites de recrutamento, conduzir um processo de recrutamento e pedir a um profissional que faça uma avaliação de competências.
Não existe bolsa de emprego, nem diretório de empregadores, nem ferramentas salariais no serviço que está a utilizar, a menos que consiga ver essas secções na interface; estão desativadas por predefinição. Não há pagamentos, nem publicidade, nem colocações patrocinadas, nem decisões automatizadas a seu respeito.
3. O que recolhemos
Dados da conta, que tem de fornecer para ter uma conta: endereço de e-mail, nome próprio e apelido, uma palavra-passe (guardada apenas como hash bcrypt, nunca em forma legível), o papel com que se regista e o idioma da interface. Sem estes dados não é possível criar uma conta.
Dados do perfil e das ofertas, todos opcionais e todos escritos por si: título profissional, resumo, cidade e país, competências, idiomas, historial profissional com nomes de empregadores e datas, formação, certificações, conquistas, ligações de portefólio, disponibilidade, expectativas de remuneração e os serviços que publica, com as respetivas descrições, preços e o endereço de contacto que decidir mostrar. É você que decide quais destes elementos são visíveis e para quem.
Ficheiros que carrega: CV e outros documentos, um avatar e uma imagem de capa. Os carregamentos são verificados face ao tipo de ficheiro que declaram e são guardados no servidor do próprio serviço, e não num fornecedor de armazenamento externo.
Dados de atividade criados ao utilizar o serviço: conversas e as suas mensagens, convites, notificações e as subscrições push do navegador que ativar para elas, pesquisas guardadas, perfis e serviços guardados e, para empresas com sessão iniciada, o registo de que um perfil Skills First lhes foi revelado. Equipas que cria ou a que adere: a sua adesão, a sua função na equipa e os convites e pedidos de adesão relacionados. Processos de recrutamento em que participa: as suas fases, decisões e registo de atividade. Avaliações de competências que realiza: as suas respostas, pontuações e resultados, juntamente com os eventos técnicos da sessão (início, submissão, mudanças de foco e de ligação, tempos) conservados como evidência neutra de como a sessão decorreu. Quando conteúdo escrito por um utilizador é mostrado noutra língua, a tradução desse texto é guardada para não ter de ser produzida de novo.
Dados técnicos registados pelo servidor: endereço IP, agente de utilizador do navegador, hora e resultado do pedido nos registos do servidor; o endereço IP e o agente de utilizador associados a um registo de consentimento, para que este possa ser comprovado; e entradas de auditoria relativas a ações relevantes para a segurança, como o início de sessão, a alteração da palavra-passe, a eliminação da conta e as decisões administrativas.
Dados de utilização, apenas se concordar com a análise: páginas vistas, ações tomadas, detalhes técnicos do navegador e do dispositivo, uma localização aproximada derivada do endereço IP e, quando estiver autenticado, o identificador e a função da sua conta. O PostHog recolhe-os segundo as nossas instruções e não são usados para lhe mostrar anúncios.
4. Porque os utilizamos e com que fundamento jurídico
Para prestar o serviço que solicitou: criar e gerir a sua conta, publicar o seu perfil e os seus serviços, pesquisa e navegação, mensagens, convites, notificações e itens guardados. Fundamento jurídico: execução de um contrato, artigo 6.º, n.º 1, alínea b), do RGPD. Se não fornecer os dados da conta indicados na secção 3, não podemos prestar o serviço.
Para manter o serviço seguro e funcional: limitação da frequência de pedidos, prevenção de abusos, registos do servidor e de auditoria e investigação de incidentes. Fundamento jurídico: o nosso interesse legítimo num serviço que não seja objeto de abusos, artigo 6.º, n.º 1, alínea f), do RGPD.
Para moderar os conteúdos publicados e fazer cumprir os Termos, incluindo restringir ou remover conteúdos e suspender contas, e informar a pessoa afetada dos motivos. Fundamento jurídico: o nosso interesse legítimo numa plataforma conforme à lei e, quando a lei exija a medida, o cumprimento de uma obrigação jurídica, artigo 6.º, n.º 1, alíneas f) e c), do RGPD.
Para responder às mensagens enviadas através do formulário de contacto e para tratar reclamações. Fundamento jurídico: o nosso interesse legítimo em responder a quem nos escreve, artigo 6.º, n.º 1, alínea f), do RGPD.
Para enviar informação comercial por e-mail, quando a tenha subscrito separadamente. Fundamento jurídico: o seu consentimento, artigo 6.º, n.º 1, alínea a), do RGPD em conjugação com o artigo 398.º da Lei polaca das Comunicações Eletrónicas. Pode retirá-lo a qualquer momento através da ligação de cancelamento da subscrição, sem que isso afete o que recebeu antes.
Para perceber como o serviço é usado, quando concorda com a análise: que páginas são abertas, que ações são tomadas, o tipo de dispositivo e de navegador, e uma localização aproximada derivada do endereço IP. Isto é feito com o PostHog. Base jurídica: o seu consentimento, artigo 6.º, n.º 1, alínea a), do RGPD, em conjunto com o artigo 399.º da Lei polaca das comunicações eletrónicas. Pode retirá-lo a qualquer momento a partir do aviso de cookies, sem afetar o que já foi registado.
5. O que as outras pessoas podem ver
A visibilidade do seu perfil é definida por si: pública, apenas para membros com sessão iniciada, apenas para empresas com sessão iniciada, com identidade oculta ou privada. A definição é aplicada pelo servidor em todas as rotas que possam devolver um perfil, e não apenas ocultada na interface, e um perfil que não seja público é recusado a visitantes que não tenham direito a vê-lo.
O modo de identidade oculta esconde o nome, a foto, os empregadores, os contactos, as ligações, as expectativas salariais e o identificador do perfil, e reduz a sua localização e a de cada posição no máximo ao país. Nos textos que escreveu, o servidor substitui também o seu nome, qualquer endereço de e-mail, o seu telefone e qualquer endereço web antes de a página ser enviada. É uma escolha de apresentação, não uma garantia de impossibilidade de ligação: o que escreve sobre si pode continuar a identificá-lo se for suficientemente distintivo, por exemplo um empregador nomeado numa descrição ou um serviço descrito de forma muito específica. A verificação de privacidade nas definições lista o que encontrou nos seus textos; trate o modo de identidade oculta como mostrar o seu trabalho sem o seu nome, não como irrastreável.
Os contactos e os ficheiros de CV nunca são mostrados a visitantes anónimos. Só são mostrados se os ativar e, mesmo assim, apenas a empresas com sessão iniciada e a administradores. O seu perfil público só é disponibilizado aos motores de busca se ativar a indexação; está desativada por predefinição.
6. Como os resultados são ordenados e a percentagem de correspondência
Os resultados de pesquisa são ordenados segundo o critério escolhido pelo visitante: por predefinição, os publicados mais recentemente em primeiro lugar, ou por preço, ou pela disponibilidade indicada. Ninguém pode pagar por uma posição mais elevada e não existem resultados promovidos ou patrocinados.
A percentagem apresentada junto a um serviço é um cálculo simples e fixo sobre informação que o próprio publicou - o grau de preenchimento do perfil, se estão indicadas competências, se estão indicados um preço e a disponibilidade. É aritmética, não é inteligência artificial, não altera a ordem dos resultados e não produz qualquer decisão a seu respeito. Não é realizada qualquer definição de perfis na aceção do artigo 22.º do RGPD, nem é tomada automaticamente qualquer decisão que produza efeitos jurídicos ou que o afete significativamente de forma similar.
7. Quem mais recebe os dados
Outros utilizadores, mas apenas dentro dos limites que definir: o que a sua definição de visibilidade permitir, o conteúdo das conversas em que participa e os convites que recebe. Os administradores do serviço podem ver dados de conta e de conteúdo quando tal for necessário para a moderação e o apoio.
Prestadores que agem segundo as nossas instruções: cyber_Folks S.A., que aloja o servidor em que o serviço funciona; Resend, que envia os e-mails da conta, como reposições de palavra-passe e ligações de verificação; Cloudflare, Inc., que fornece o DNS do domínio, fica à frente do serviço como proxy inverso, pelo que os pedidos passam por ele, e fornece o armazenamento de objetos (Cloudflare R2) onde guardamos as nossas cópias de segurança externas cifradas; e PostHog, Inc., que fornece a análise do produto, apenas após o seu consentimento. Nenhuma rede de publicidade, prestador de pagamentos ou fornecedor de inteligência artificial recebe os seus dados, porque o serviço não usa nenhum.
A Google é destinatária em duas situações. Se iniciar sessão com a Google, é a Google que trata desse início de sessão e nos devolve o seu endereço de e-mail, nome e fotografia de perfil. Se um utilizador se registou dessa forma, a fotografia dele é servida pela Google, pelo que o seu navegador contacta a Google para a mostrar. Além disso, o seu próprio navegador estabelece duas ligações: ao abrir o mapa são carregados mosaicos do OpenStreetMap, que recebe o seu endereço IP, e o nosso servidor consulta o Nominatim do OpenStreetMap para converter um nome de lugar escrito em coordenadas, o que transmite esse nome e parte do nosso servidor, não de si.
Se concordar com a análise, o seu navegador envia eventos de utilização para a nossa própria origem e nós reencaminhamo-los para a nuvem europeia do PostHog. O PostHog vê então as páginas que visita, as ações que toma, o seu endereço IP, informações do navegador e do dispositivo, e um identificador aleatório. Se estiver autenticado, juntamos o identificador e a função da conta, não o endereço de correio nem o nome. O PostHog não recebe o conteúdo das mensagens, palavras-passe ou ficheiros que carrega. Pode interromper isto a qualquer momento a partir do aviso de cookies; deixamos então de enviar eventos e pedimos ao PostHog que esqueça o identificador usado neste navegador.
8. Transferências para fora do Espaço Económico Europeu
O serviço, a sua base de dados e os ficheiros carregados estão num servidor na Polónia. As cópias de segurança cifradas são guardadas num bucket Cloudflare R2 criado com a restrição de jurisdição União Europeia, pelo que permanecem em centros de dados dentro da UE. Os eventos de análise a que consentiu são processados na nuvem europeia da PostHog. A Cloudflare e a Resend operam infraestrutura distribuída globalmente, e a Google e a PostHog, Inc. estão estabelecidas fora do Espaço Económico Europeu, pelo que parte do seu tratamento pode ocorrer fora dele.
Quando isso acontece, a transferência assenta nas garantias previstas no nosso acordo com esse prestador, como uma decisão de adequação, uma certificação ou cláusulas contratuais-tipo aprovadas pela Comissão Europeia. Pode perguntar pelo formulário de contacto qual se aplica a um determinado prestador e informá-lo-emos.
9. Durante quanto tempo os conservamos
Dados de conta, de perfil, de ofertas e de ficheiros: enquanto a conta existir. Quando elimina a sua conta, o registo da conta e tudo o que consta do seu perfil são anonimizados de imediato, os ficheiros carregados são eliminados do servidor, o historial profissional, os serviços publicados, os documentos e os itens guardados são removidos, e todas as sessões são terminadas. É conservado um registo anonimizado e vazio da conta para que as conversas e os registos de outras pessoas não fiquem comprometidos; esse registo não contém quaisquer dados que o identifiquem.
As mensagens que enviou a outro utilizador permanecem na conversa dessa pessoa depois de a sua conta desaparecer, associadas a uma conta anonimizada. São tanto o registo dessa pessoa como o seu, e é por isso que não são eliminadas juntamente com o seu perfil.
Registos do servidor e de auditoria e registos de consentimento: conservados por razões de segurança e de responsabilização. Os registos de consentimento são conservados enquanto possam ser necessários para provar o consentimento e para defesa em caso de reclamações; as entradas de auditoria relativas a ações sobre a conta são conservadas pela mesma razão.
Mensagens do formulário de contacto: durante o tempo necessário para tratar do assunto e de qualquer seguimento.
Cópias de segurança: todos os dias é feita uma cópia da base de dados no servidor e aí são guardadas as 14 cópias mais recentes. Uma vez por dia, a cópia mais recente, juntamente com um arquivo dos ficheiros carregados, é cifrada e enviada para o armazenamento externo descrito nas secções 7 e 8, onde são guardadas as últimas 14 cópias diárias, 4 semanais e 6 mensais; as mais antigas são eliminadas automaticamente. Uma cópia de segurança contém tudo o que a base de dados e o armazenamento de ficheiros guardam nesse momento, incluindo dados de contas entretanto eliminadas, pelo que dados eliminados podem permanecer numa cópia até seis meses, até que a última cópia que os contém seja substituída. As cópias existem apenas para repor o serviço após uma falha; não repomos uma cópia de segurança para reinstaurar dados eliminados.
10. Como os dados são protegidos
As palavras-passe são guardadas apenas como hashes bcrypt. O tráfego é servido através de TLS. As sessões utilizam tokens de acesso de curta duração e um token de renovação guardado num cookie que o JavaScript não consegue ler; terminar uma sessão ou alterar uma palavra-passe invalida os tokens de imediato, em vez de os deixar expirar.
O acesso aos dados de outro utilizador é recusado pelo servidor em todas as rotas, os carregamentos são verificados face ao tipo de ficheiro que declaram e os pedidos estão sujeitos a limitação de frequência. As ações administrativas são registadas num registo de auditoria.
Nenhum sistema é perfeitamente seguro, e não afirmamos o contrário. Se ocorrer uma violação suscetível de implicar um risco para os seus direitos e liberdades, notificaremos a autoridade de controlo e, quando a lei o exigir, também a si.
As cópias de segurança são cifradas no nosso servidor antes de o deixarem, com uma chave que só nós possuímos; o fornecedor de armazenamento recebe apenas ficheiros cifrados e não os consegue ler. O acesso às cópias está limitado às pessoas que operam o serviço, o armazenamento guarda versões anteriores de cada ficheiro para que uma cópia não possa ser destruída silenciosamente, e as reposições são testadas para que uma cópia seja algo em que realmente possamos confiar.
11. Os seus direitos
Tem o direito de aceder aos seus dados e de obter uma cópia dos mesmos, o direito de retificação, de apagamento, de limitação do tratamento, de se opor ao tratamento baseado nos nossos interesses legítimos e o direito à portabilidade dos dados. Quando o tratamento se basear no seu consentimento, pode retirá-lo a qualquer momento; isso não afeta o tratamento efetuado antes de o ter retirado.
Vários destes direitos pode exercê-los diretamente e de imediato: editar ou corrigir qualquer elemento do seu perfil na área de conta, alterar a sua visibilidade, descarregar uma cópia dos seus dados num ficheiro a partir das definições da conta, retirar o consentimento para a newsletter através da ligação de cancelamento da subscrição e eliminar a sua conta nas definições da conta, depois de confirmar a sua palavra-passe.
Para tudo o resto - limitação, oposição ou uma dúvida sobre a forma como um direito foi tratado - utilize o formulário de contacto. Pediremos informação suficiente para termos a certeza de que o pedido vem de si, e não cobraremos nada por isso, salvo se um pedido for manifestamente infundado ou excessivo.
Tem também o direito de apresentar reclamação junto da autoridade de controlo. Na Polónia, essa autoridade é o Presidente do Serviço de Proteção de Dados Pessoais (Prezes Urzędu Ochrony Danych Osobowych), ul. Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl. Se viver ou trabalhar noutro país do EEE, pode em alternativa apresentar reclamação junto da autoridade de controlo desse país.
13. Idade
A MySkillsSpace é um serviço para pessoas que oferecem serviços profissionais e para as empresas que as procuram. Não se dirige a crianças e as contas destinam-se a pessoas com 16 anos ou mais. Se acreditar que uma criança criou uma conta, informe-nos através do formulário de contacto e removê-la-emos.
14. Alterações a este aviso
Este aviso pode ser alterado quando o serviço mudar ou quando a lei mudar. A versão em vigor é identificada pela data de entrada em vigor indicada no topo desta página.
Se uma alteração afetar materialmente a forma como os seus dados são utilizados, os titulares de conta serão informados antes de a alteração produzir efeitos, por e-mail ou por um aviso no serviço, e não através de uma edição silenciosa.