Política de Privacidade

Última atualização: 16 de abril de 2026

1. Introdução e Identidade do Responsável pelo Tratamento

Esta Política de Privacidade explica como a Zumia ('nós', 'nos' ou 'nosso') recolhe, utiliza, armazena e protege os seus dados pessoais quando utiliza o nosso serviço de otimização de CV com IA em zumia.app.

A Zumia é operada por um particular sediado na Suíça. Não existe uma entidade societária formal. Para efeitos do Regulamento Geral sobre a Proteção de Dados (RGPD) da UE e da Lei Federal Suíça sobre a Proteção de Dados (FADP), o operador atua como responsável pelo tratamento. Os dados de contacto encontram-se na Secção 12.

Ao utilizar a Zumia, concorda com as práticas descritas nesta política. Consulte também os nossos Termos de Serviço.

2. Dados que Recolhemos

Informações da Conta

  • Endereço de email - utilizado para autenticação, recuperação da conta e notificações transacionais
  • Palavra-passe - protegida com hashing de padrão do setor (nunca armazenamos palavras-passe em texto simples)
  • Datas da conta - quando a sua conta foi criada e a data da sua última atividade

Informações do Pedido de Acesso

  • Endereço de email enviado para acesso antecipado - recolhido quando pede acesso para que possamos analisar o seu pedido e contactá-lo quando o acesso for concedido

Dados do CV e da Vaga

  • Conteúdo base do CV - o CV que carrega ou cola no serviço
  • Especificações da vaga - descrições de funções e requisitos que nos fornece
  • CV otimizados gerados por IA - versões personalizadas criadas pelo assistente de IA
  • Histórico de conversas - as suas interações com o assistente de IA. Este conteúdo é tratado com o mesmo cuidado que o conteúdo do seu CV e é incluído em todas as exportações e eliminações de dados.
  • Itens da biblioteca de conhecimento - factos de experiência reutilizáveis que guarda para futuras otimizações de CV

Preferências do Utilizador

  • Orientações de IA (instruções personalizadas para o assistente de IA)
  • Modelo de nome de ficheiro
  • Margens de impressão
  • Idioma preferido

Dados de Faturação

  • Saldo de créditos e histórico de transações - geridos através da Lemon Squeezy. Não armazenamos diretamente os dados do cartão de pagamento.

Dados Analíticos (Apenas com Consentimento)

  • Analítica do PostHog - visualizações de páginas, utilização de funcionalidades e exceções. Estes dados só são recolhidos se der o seu consentimento para a analítica. Se recusar, não serão recolhidos dados de rastreio.

3. Como Utilizamos os Seus Dados

Tratamos os seus dados pessoais para as seguintes finalidades, cada uma com uma base legal específica ao abrigo do RGPD:

Prestação do Serviço de Otimização de CV

Finalidade: Tratamento do conteúdo do seu CV, das especificações da vaga e do histórico de conversas para gerar sugestões personalizadas de otimização do CV.

Base legal: Execução de um contrato (art. 6.º, n.º 1, alínea b) do RGPD) - este tratamento é necessário para prestar o serviço ao qual aderiu.

Gestão da Conta e Notificações

Finalidade: Envio de emails transacionais (verificação da conta, reposição de palavra-passe) através da Loops.

Base legal: Execução de um contrato (art. 6.º, n.º 1, alínea b) do RGPD).

Faturação e Gestão de Créditos

Finalidade: Gestão do seu saldo de créditos e tratamento de transações através da Lemon Squeezy.

Base legal: Execução de um contrato (art. 6.º, n.º 1, alínea b) do RGPD).

Gestão de Pedidos de Acesso

Finalidade: Gestão de pedidos de acesso e notificação dos utilizadores quando o acesso é concedido.

Base legal: Interesse legítimo (art. 6.º, n.º 1, alínea f) do RGPD) - precisamos de controlar o acesso à versão beta e de contactar os requerentes sobre o estado do pedido.

Segurança da Conta

Finalidade: Verificação CAPTCHA através do Cloudflare Turnstile para prevenir abusos e ataques automatizados.

Base legal: Interesse legítimo (art. 6.º, n.º 1, alínea f) do RGPD) - proteção do serviço e dos seus utilizadores contra fraude e abuso.

Analítica e Melhoria do Serviço

Finalidade: Compreender como o serviço é utilizado para melhorar a qualidade e corrigir problemas, através da analítica do PostHog.

Base legal: Consentimento (art. 6.º, n.º 1, alínea a) do RGPD) - a analítica só é recolhida se der explicitamente o seu consentimento.

Não vendemos, alugamos nem partilhamos os seus dados pessoais com terceiros para fins de publicidade ou marketing.

É obrigatório fornecer os seus dados? Fornecer o seu email para pedir acesso e, mais tarde, o seu endereço de email e o conteúdo do CV para utilizar o serviço são passos necessários em cada fase. Sem esses dados, não podemos tratar o seu pedido nem prestar o serviço. Os dados analíticos são totalmente opcionais.

4. Tratamento por IA e Serviços de Terceiros

OpenAI - Tratamento por IA

A Zumia utiliza a API da OpenAI para alimentar o seu assistente de IA. A OpenAI está sediada nos Estados Unidos. Utilizamos os atuais modelos de linguagem da OpenAI para interações de chat, análise de CV, extração de conteúdo e embeddings semânticos.

Dados enviados para a OpenAI:

  • O conteúdo do seu CV
  • Especificações da vaga
  • Histórico de conversas
  • Itens da biblioteca de conhecimento
  • As orientações de IA que configurou

Salvaguardas importantes:

  • O modo de retenção zero está ativado - A OpenAI não retém quaisquer dados de pedidos ou respostas após tratar o seu pedido.
  • Sem treino de modelos - de acordo com os termos da API da OpenAI, os dados submetidos através da API não são utilizados para treinar ou melhorar os modelos da OpenAI.
  • Sem decisões autónomas - a IA ajuda-o a otimizar o seu CV ao gerar sugestões. Não toma decisões autónomas que produzam efeitos jurídicos ou efeitos igualmente significativos sobre si. Mantém controlo total sobre aceitar, modificar ou rejeitar quaisquer sugestões geradas por IA.

Outros Serviços de Terceiros

  • Supabase - alojamento da base de dados e autenticação (alojado na UE, Frankfurt)
  • Digital Ocean - infraestrutura de servidores (alojada na UE, Frankfurt)
  • Lemon Squeezy - faturação e processamento de pagamentos (Estados Unidos)
  • Loops - envio de emails transacionais (Estados Unidos)
  • Cloudflare Turnstile - verificação CAPTCHA para segurança da conta (Estados Unidos)
  • PostHog - analítica (apenas com consentimento, alojada na UE)

Temos acordos de tratamento de dados em vigor com todos os subcontratantes terceiros.

5. Armazenamento e Segurança dos Dados

Levamos a segurança dos seus dados a sério e implementamos as seguintes medidas:

  • Base de dados: - Os seus dados são armazenados na Supabase com controlos de acesso rigorosos, garantindo que cada utilizador só pode aceder aos seus próprios dados.
  • Encriptação em trânsito: - Todos os dados transmitidos entre o seu browser, os nossos servidores e serviços de terceiros são encriptados.
  • Encriptação em repouso: - Os dados armazenados na base de dados são encriptados em repouso.
  • Segurança das palavras-passe: - As palavras-passe são protegidas com hashing de padrão do setor através do Supabase Auth. Nunca armazenamos nem temos acesso a palavras-passe em texto simples.
  • Infraestrutura de servidores: - A aplicação está implementada na Digital Ocean com definições seguras por defeito.

6. Transferências Internacionais de Dados

Como a Zumia é operada a partir da Suíça e utiliza prestadores de serviços internacionais, os seus dados podem ser transferidos para fora da Suíça e do Espaço Económico Europeu (EEE). Garantimos salvaguardas adequadas para todas as transferências:

  • OpenAI (Estados Unidos) - O conteúdo do CV e os dados das conversas são enviados para os servidores da OpenAI nos EUA para tratamento por IA. A OpenAI está certificada ao abrigo do Quadro de Privacidade de Dados UE-EUA. Além disso, o modo de retenção zero significa que os seus dados não são conservados pela OpenAI após o tratamento.
  • PostHog (União Europeia) - os dados analíticos são alojados na UE e só são recolhidos se der o seu consentimento.
  • Supabase (alojado na UE, Frankfurt) - alojamento da base de dados e serviços de autenticação. Sem transferência para fora do EEE.
  • Digital Ocean (alojado na UE, Frankfurt) - infraestrutura de servidores. Sem transferência para fora do EEE.
  • Lemon Squeezy (Estados Unidos) - tratamento de dados de faturação e pagamento.
  • Loops (Estados Unidos) - envio de emails transacionais.
  • Cloudflare (Estados Unidos) - verificação CAPTCHA (Turnstile).

A Suíça é reconhecida pela Comissão Europeia como assegurando um nível adequado de proteção de dados. Para transferências para os Estados Unidos, baseamo-nos no Quadro de Privacidade de Dados UE-EUA, quando aplicável, em cláusulas contratuais-tipo (SCCs) aprovadas pela Comissão Europeia ou noutras salvaguardas adequadas, conforme exigido por lei.

7. Conservação de Dados

  • Pedidos de acesso pendentes - os endereços de email enviados através da lista de espera de pedido de acesso são conservados até 12 meses enquanto o pedido estiver pendente e depois são eliminados automaticamente.
  • Dados de conta ativos - o conteúdo do seu CV, especificações da vaga, histórico de conversas, biblioteca de conhecimento, preferências e outros dados da conta são conservados enquanto a sua conta estiver ativa.
  • Contas inativas - se a sua conta não tiver atividade relevante durante 365 dias, enviamos emails de aviso 30 dias e 7 dias antes de eliminarmos os seus contextos de vaga guardados, itens da biblioteca de conhecimento, versões de CV, notificações, CV base e orientações de IA. A sua conta, credenciais de autenticação, saldos de créditos, histórico de créditos, idioma preferido, modelo de nome de ficheiro e margens de impressão permanecem disponíveis para que possa recomeçar do zero.
  • Dados de tratamento por IA - o modo de retenção zero está ativado. A OpenAI não retém quaisquer dados de pedidos ou respostas após o tratamento.
  • Dados analíticos - sujeitos às políticas de conservação do PostHog. A analítica é apenas com consentimento.
  • Transações de créditos - o histórico de transações é conservado para efeitos de registos de faturação enquanto a sua conta existir e é eliminado quando a sua conta é eliminada.
  • Atividade relevante - criar ou atualizar um contexto de vaga, criar ou atualizar um item da biblioteca de conhecimento, gerar ou descarregar um CV, ou atualizar as suas definições reinicia o temporizador de inatividade. Iniciar sessão ou renovar a sessão, por si só, não o reinicia.

8. Os Seus Direitos

Ao abrigo do RGPD e da FADP suíça, tem os seguintes direitos relativamente aos seus dados pessoais:

  • Direito de acesso (art. 15.º do RGPD) - pode solicitar uma cópia dos seus dados pessoais. A Zumia disponibiliza uma funcionalidade integrada de exportação de dados nas definições da sua conta.
  • Direito de retificação (art. 16.º do RGPD) - pode corrigir dados inexatos. Todos os seus dados (conteúdo do CV, biblioteca de conhecimento, preferências, etc.) podem ser editados diretamente na aplicação.
  • Direito ao apagamento (art. 17.º do RGPD) - pode eliminar a sua conta e todos os dados associados a qualquer momento através da funcionalidade de eliminação de conta nas suas definições. Esta ação é irreversível e inclui a eliminação da sua conta e credenciais de autenticação, conteúdo do CV e especificações da vaga, CV otimizados gerados por IA, histórico de conversas, itens da biblioteca de conhecimento, preferências e definições do utilizador, bem como saldo de créditos e histórico de transações.
  • Direito à portabilidade dos dados (art. 20.º do RGPD) - pode exportar todos os seus dados num ficheiro estruturado e legível por máquina através da funcionalidade de exportação nas definições da sua conta. Isto inclui o conteúdo do seu CV, especificações da vaga, histórico de conversas, itens da biblioteca de conhecimento e preferências, permitindo-lhe transferir os seus dados para outro serviço, se assim o desejar.
  • Direito à limitação do tratamento (art. 18.º do RGPD) - pode solicitar que limitemos a forma como os seus dados são tratados. Contacte-nos através de privacy@zumia.app.
  • Direito de oposição (art. 21.º do RGPD) - pode opor-se ao tratamento baseado em interesse legítimo. Contacte-nos através de privacy@zumia.app.
  • Direitos relacionados com decisões automatizadas (art. 22.º do RGPD) - O assistente de IA da Zumia fornece apenas sugestões e recomendações. Não toma decisões autónomas que produzam efeitos jurídicos ou efeitos igualmente significativos sobre si. Tem sempre controlo total sobre aceitar, modificar ou rejeitar sugestões de IA.

Para exercer qualquer um destes direitos, pode utilizar as funcionalidades da aplicação ou contactar-nos através de privacy@zumia.app. Responderemos ao seu pedido no prazo de 30 dias.

9. Cookies e Tecnologias de Rastreio

Armazenamento Essencial

Utilizamos o armazenamento local do seu browser (e não cookies) para funcionalidades essenciais:

  • Sessão de autenticação da Supabase - mantém-no com sessão iniciada
  • Preferência de idioma - memoriza o idioma escolhido

Estes elementos são estritamente necessários para o funcionamento do serviço e não exigem consentimento.

Analítica (Apenas com Consentimento)

Se der o seu consentimento para a analítica, o PostHog recolhe dados de utilização (visualizações de páginas, utilização de funcionalidades, exceções) para nos ajudar a melhorar o serviço. Se recusar a analítica, não serão definidos cookies nem identificadores de rastreio.

O que Não Utilizamos

  • Sem cookies de publicidade
  • Sem rastreadores de marketing de terceiros
  • Sem píxeis de rastreio de redes sociais

Pode alterar o seu consentimento para analítica a qualquer momento através das definições de cookies na aplicação ou limpando o armazenamento local do seu browser.

10. Privacidade de Menores

A Zumia não se destina a menores de 16 anos. Não recolhemos conscientemente dados pessoais de menores de 16 anos. Se acreditar que um menor de 16 anos nos forneceu dados pessoais, contacte-nos através de privacy@zumia.app e tomaremos medidas para eliminar essas informações.

11. Alterações a Esta Política

Podemos atualizar esta Política de Privacidade periodicamente para refletir alterações nas nossas práticas, tecnologia ou requisitos legais. Se fizermos alterações materiais, iremos notificá-lo por email ou através de um aviso destacado na aplicação antes de as alterações entrarem em vigor.

Incentivamo-lo a rever esta página periodicamente. A data de 'Última atualização' no topo indica quando a política foi revista pela última vez.

12. Contacto e Autoridade de Supervisão

Se tiver quaisquer perguntas, preocupações ou pedidos relacionados com esta Política de Privacidade ou com o tratamento dos seus dados pessoais, contacte-nos:

Se considerar que os seus direitos de proteção de dados foram violados, tem o direito de apresentar reclamação junto de uma autoridade de supervisão:

  • Para utilizadores na Suíça: Federal Data Protection and Information Commissioner (FDPIC) - www.edoeb.admin.ch
  • Para utilizadores na UE: A sua autoridade local de proteção de dados (DPA) no Estado-Membro da UE onde reside, trabalha ou onde ocorreu a alegada infração.