Política de Privacidade

Esta Política explica, em linguagem direta, quais dados o H2 Dream (o “Sistema”) coleta, para que usa, com quem compartilha e como você controla tudo isso. O Sistema é uma ferramenta de candidatura a vagas de trabalho sazonal nos Estados Unidos (vistos H-2A e H-2B) que envia e-mails de candidatura em seu nome, a partir da sua própria conta Gmail, para empregadores listados no feed público do Departamento do Trabalho dos EUA (DOL).

1. Quem é o responsável

O Sistema é operado por Inovassie Acessoria (“Operador”, “nós”), que é o controlador dos dados pessoais tratados nele, nos termos da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, “LGPD”). O Sistema roda em um servidor administrado pelo Operador, e não em uma plataforma compartilhada com outros produtos.

Canal de contato para qualquer assunto de privacidade: ghguilhermehintz@gmail.com.

2. Quais dados são coletados

Só coletamos o que é necessário para preparar e enviar candidaturas. Nada é coletado em segundo plano sem você saber.

2.1 Dados que você mesmo informa

• Identificação e contato: nome completo, e-mail, telefone, cidade e estado.
• Perfil profissional: título, resumo, anos de experiência, habilidades, idiomas, nível de inglês, certificações, setores em que já trabalhou, disponibilidade (datas), autorização de trabalho e habilitação.
• Perfil de motorista (opcional): status e classe da CDL, histórico de direção, experiência com caminhão e carreta, câmbio manual, endossos, equipamentos, capacidade de carga e estados aceitos. Só é relevante para vagas de direção e pode ficar em branco.
• Documentos: currículo (PDF/DOCX), carta de apresentação e cartas de recomendação. O texto desses arquivos é extraído e guardado para a análise de compatibilidade (ATS) e para a verificação de veracidade dos e-mails (“Truth Guard”).
• Modelos de e-mail: assuntos e corpos que você escreve e que o Sistema alterna a cada envio.
• Preferências de busca e envio: tipo de visto, cargos, estados, salário mínimo, limite diário, ritmo e modo de revisão.

2.2 Dados da sua conta Google

• Login: se o login com Google estiver ativado, recebemos seu e-mail, nome e foto de perfil (escopos openid, email, profile) apenas para identificar você.
• Contas de envio (Gmail): para cada conta que você conecta, guardamos o endereço de e-mail e os tokens OAuth emitidos pelo Google com os escopos gmail.send e userinfo.email. Os tokens ficam criptografados (AES-256-GCM) no banco de dados. Nunca pedimos, vemos ou guardamos a sua senha do Google.

2.3 Dados gerados pelo uso

• Registro de candidaturas: para cada e-mail enviado, guardamos a vaga (número da ordem, empregador), o destinatário, o assunto, o texto enviado, a lista de anexos, a conta de origem e a data/hora. Isso é o seu histórico e também a proteção contra envio duplicado.
• Fila e validações: pacotes preparados, resultado das verificações (validação, Truth Guard, portões de decisão), motivos de revisão e erros de envio.
• Logs técnicos e trilha de auditoria: ações do sistema e dos agentes automáticos, mensagens de erro, identificadores de correlação e horários. Não guardamos o conteúdo da sua caixa de entrada nem qualquer e-mail recebido.
• Sessão: um cookie de sessão (veja a seção 10) e o registro das sessões ativas (data de criação e expiração).
• Preferências de interface: tema claro/escuro, modo de tela, filtros da lista de vagas, se o tour já foi visto.
• Notificações internas: avisos sobre envios, falhas, cota e importações, visíveis só para você dentro do Sistema.

3. Para que os dados são usados

Não usamos seus dados para publicidade, perfilamento comercial, venda ou qualquer finalidade não listada aqui. Não há decisões automatizadas que produzam efeitos jurídicos sobre você: o Sistema decide apenas se e quando enviar um e-mail de candidatura conforme as regras que você configurou, e você pode revisar, pausar ou desligar a qualquer momento.

4. Dados da sua conta Google (Gmail)

Esta seção detalha o uso das APIs do Google, como exige a Política de Dados do Usuário dos Serviços de API do Google.

• O que pedimos: https://www.googleapis.com/auth/gmail.send (enviar e-mails em seu nome) e https://www.googleapis.com/auth/userinfo.email (saber qual endereço foi conectado). Para o login, apenas openid, email e profile.
• O que fazemos: enviamos, pela API do Gmail, os e-mails de candidatura que você preparou manualmente ou que o envio automático montou dentro das regras que você definiu. Cada e-mail enviado fica registrado no seu histórico dentro do Sistema.
• O que não fazemos: não lemos, listamos, buscamos nem apagamos mensagens da sua caixa (não temos escopo de leitura); não acessamos contatos, agenda, Drive ou qualquer outro serviço; não usamos os dados do Google para anúncios; não os vendemos nem os transferimos a terceiros, exceto os próprios destinatários de cada e-mail (os empregadores) e o Google, que é quem entrega a mensagem.
• Acesso humano: ninguém do Operador lê os dados obtidos do Google, salvo (a) com o seu consentimento expresso para um suporte específico, (b) por segurança, para investigar abuso ou incidente, (c) por exigência legal, ou (d) de forma agregada e anônima para operação interna.
• Segurança dos tokens: ficam criptografados no banco de dados com AES-256-GCM e chave mantida fora do banco; nunca são exibidos na interface nem devolvidos pela API.
• Como revogar: em Configurações → Contas de envio → Remover (o token é apagado na hora) ou diretamente em myaccount.google.com/permissions. Se o Google invalidar um token (senha trocada, permissão revogada), a conta é desativada automaticamente e o Sistema para de usá-la.
• Uso limitado: o uso e a transferência, para qualquer outro aplicativo, de informações recebidas das APIs do Google pelo H2 Dream obedecem à Política de Dados do Usuário dos Serviços de API do Google, inclusive aos requisitos de Uso Limitado (Limited Use).

5. Com quem os dados são compartilhados

• Empregadores e seus agentes: ao enviar uma candidatura, o destinatário recebe seu nome, contato, o texto do e-mail, o currículo e as cartas anexadas. A partir daí, o tratamento desses dados pelo empregador segue as regras dele, não as nossas.
• Google LLC: para login e para o envio dos e-mails pela API do Gmail, conforme a seção 4 e a Política de Privacidade do Google.
• Departamento do Trabalho dos EUA (DOL): apenas lemos o feed público de vagas. Nenhum dado seu é enviado ao DOL.
• Provedor de hospedagem: o servidor do Sistema fica em um provedor de infraestrutura (VPS) contratado pelo Operador, que armazena os dados fisicamente mas não os acessa nem os trata por conta própria.
• Provedor de IA (opcional, desligado por padrão): o Sistema funciona de forma determinística, sem inteligência artificial externa. Se o Operador ativar um provedor (OpenAI, Google Gemini ou Anthropic) para melhorar a análise de vagas ou a redação, trechos do texto da vaga e do seu perfil poderão ser enviados a esse provedor exclusivamente para gerar a resposta, sob os termos dele. Esta Política será atualizada e você será avisado antes de qualquer ativação.
• Autoridades: somente quando houver obrigação legal ou ordem de autoridade competente.

Não vendemos dados pessoais e não os compartilhamos com corretores de dados, redes de anúncios ou parceiros comerciais.

6. Dados de empregadores (feed do DOL)

As vagas, os nomes de empresas, endereços, telefones e e-mails de contato exibidos no Sistema vêm do registro público de ordens de trabalho H-2A/H-2B publicado pelo Departamento do Trabalho dos EUA (seasonaljobs.dol.gov). Esses dados são divulgados pelo próprio governo americano com a finalidade de permitir que trabalhadores se candidatem. O Sistema os usa exclusivamente para isso: exibir a vaga e endereçar a sua candidatura. Não os enriquecemos com outras fontes nem os usamos para outra finalidade. Se um empregador pedir para não receber mais mensagens, descarte a vaga no Sistema — ela deixa de receber envios.

7. Onde ficam e como são protegidos

• Local: banco de dados e arquivos ficam no servidor do Operador. Não há cópia em serviços de terceiros além dos citados na seção 5.
• Segredos: tokens do Google e o segredo do cliente OAuth ficam criptografados (AES-256-GCM). Senhas nunca são armazenadas — o acesso ao Google é sempre por OAuth.
• Transporte: o acesso ao Sistema em produção é feito por HTTPS. O cookie de sessão é HttpOnly, Secure e SameSite.
• Uploads: só PDF e DOCX, com verificação do conteúdo real do arquivo e limite de 15 MB; os arquivos ficam fora da pasta pública do servidor.
• Controles operacionais: limite de requisições por minuto, cota atômica de envios por dia e por conta, pausa global de emergência, trilha de auditoria de cada ação automática e cópias de segurança do banco.
• Incidentes: se ocorrer um incidente de segurança que possa causar risco relevante a você, comunicaremos você e, quando exigido, a Autoridade Nacional de Proteção de Dados (ANPD), nos prazos legais.

Nenhum sistema é 100% seguro. Medidas técnicas reduzem risco; não o eliminam. Mantenha sua conta Google protegida com verificação em duas etapas.

8. Por quanto tempo ficam guardados

9. Seus direitos e como exercê-los

Você tem, nos termos do art. 18 da LGPD, os direitos de confirmação do tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos, portabilidade, informação sobre compartilhamento, informação sobre a possibilidade de não consentir e revogação do consentimento.

Boa parte disso você faz sozinho, dentro do Sistema:

• Ver e corrigir: Perfil → Eu, Perfil → Currículos, Perfil → Modelos de e-mail.
• Apagar documentos: Perfil → Currículos → Remover.
• Revogar o Gmail: Configurações → Contas de envio → Remover, ou pelo painel de permissões do Google.
• Exportar: Histórico → CSV.
• Encerrar sessões: Conta → Sessões → Encerrar outras sessões.
• Parar todo envio: Configurações → Pausar todos os envios, ou Envio automático → Desligar.

Para exclusão completa da conta e dos registros, ou qualquer outro pedido, escreva para ghguilhermehintz@gmail.com. Respondemos no prazo legal (até 15 dias para o pedido de acesso completo, conforme art. 19 da LGPD). Você também pode apresentar reclamação à ANPD.

10. Cookies e armazenamento no navegador

• ji_session — cookie de sessão, essencial, HttpOnly/Secure/SameSite, validade de 7 dias por padrão.
• Cookie de estado do OAuth — usado apenas durante o login com Google, por até 10 minutos, para impedir falsificação de requisição (CSRF).
• localStorage — guarda tema, modo de tela e preferências de interface no seu aparelho. Nada disso identifica você nem sai do navegador.
• Service worker — mantém uma cópia da interface para abrir sem conexão. Não guarda dados da API.

Não usamos cookies de publicidade, de rastreamento entre sites nem ferramentas de analytics de terceiros.

11. Transferência internacional

Por natureza, o Sistema envia seus dados de candidatura para empregadores nos Estados Unidos — é o objetivo do serviço, e isso ocorre a seu pedido (art. 33, VIII, da LGPD). O Google também pode processar dados em servidores fora do Brasil. O servidor do Operador pode estar hospedado no Brasil ou no exterior; em qualquer caso, aplicam-se as proteções desta Política.

12. Menores de idade

O Sistema destina-se a maiores de 18 anos, idade mínima para os programas H-2A e H-2B. Não coletamos intencionalmente dados de menores; se identificarmos um cadastro assim, ele será removido.

13. Mudanças nesta Política

Podemos atualizar esta Política para refletir mudanças no Sistema ou na lei. A versão vigente fica sempre nesta página, com a data no topo. Mudanças relevantes — por exemplo, um novo compartilhamento ou a ativação de um provedor de IA — serão avisadas dentro do Sistema antes de valer.

14. Contato

Inovassie Acessoria
E-mail: ghguilhermehintz@gmail.com
Endereço do Sistema: https://saas.inovassie.com.br

Veja também os Termos de Serviço.

15. English summary (Google API disclosure)