Política de Privacidade & LGPD

1.1. Em cada processo seletivo operado pela plataforma, a figura de controlador é exercida pela instituição provedora do certame (União, Estado, Distrito Federal, Município, autarquia, fundação pública ou entidade privada credenciada para conduzir seleção), pessoa jurídica que define quais dados pessoais serão colhidos, com qual finalidade, em que prazo, com que base legal e por meio de qual edital. A controladora é quem responde pelas decisões de tratamento perante o titular, a ANPD e os órgãos de controle.

1.2. A FluentSoft LTDA, pessoa jurídica de direito privado, inscrita no CNPJ sob nº 29.193.438/0001-15, atua como operadora (art. 5º, VI, da LGPD): provê a plataforma Sistema Ingressa e realiza o tratamento de dados pessoais estritamente conforme as instruções da controladora, sem autonomia para definir finalidade, base legal ou categorias de dados além daquelas previstas no contrato e no edital do certame. A FluentSoft não colhe dados por conta própria, não decide o que tratar e não responde pelo mérito do certame — apenas provê os meios técnicos para que a controladora execute seu processo seletivo.

1.3. A hospedagem da plataforma é realizada em infraestrutura operada por suboperador(es) contratado(s) sob cláusulas contratuais de proteção de dados alinhadas ao art. 33, II, da LGPD, com exigência de padrões compatíveis com ISO 27001 e com boas práticas internacionais. A identidade e a localização dos suboperadores são informadas mediante requerimento ao DPO, observados segredos comerciais e industriais.

1.4. O backup institucional dos dados do certame é de responsabilidade exclusiva da controladora, que define política de retenção, periodicidade, mídia, testes de restauração e custódia. A FluentSoft oferece mecanismo técnico de exportação dos dados tratados em nome da controladora, mas não opera, armazena ou custodia o backup institucional — esta é uma atribuição da controladora, que pode definir sua própria estratégia ou contratar terceiro de sua confiança.

1.5. O Encarregado de Proteção de Dados (DPO), nomeado nos termos do art. 41 da LGPD, é o canal oficial de comunicação entre o titular, o controlador, o operador e a Autoridade Nacional de Proteção de Dados (ANPD). Seus dados de contato estão na Seção 11 desta Política.

2.1. Para viabilizar a inscrição, a avaliação e a classificação em processos seletivos, a plataforma trata as seguintes categorias de dados pessoais:

2.2. Dados pessoais sensíveis (art. 5º, II, da LGPD) são tratados apenas quando estritamente necessários — por exemplo, dados de saúde para concessão de atendimento especial, ou dados de raça/etnia para políticas de cotas raciais. Esses dados recebem camada reforçada de proteção e só são acessados por equipes autorizadas.

2.3. Dados de crianças e adolescentes: quando o certame permitir inscrição de menores de 18 anos, o tratamento observará o art. 14 da LGPD, exigindo consentimento específico de um dos pais ou responsável legal.

3.1. Os dados pessoais são tratados para as seguintes finalidades, sempre observada a necessidade e a adequação (art. 6º, II e III, LGPD):

• Inscrição: viabilizar o cadastro do candidato e sua inscrição em processos seletivos, incluindo validação de elegibilidade e verificação de requisitos editalícios;
• Avaliação: aplicar provas, receber projetos, emitir pareceres da banca avaliadora, registrar notas e critérios;
• Classificação: processar resultados, aplicar critérios de desempate, organizar listas de aprovados, convocar candidatos;
• Comunicação: enviar notificações, convocações, avisos oficiais, mensagens operacionais;
• Recursos: receber, instruir e responder recursos administrativos e judiciais;
• Auditoria: cumprir obrigações de prestação de contas a órgãos de controle (TCU, TCEs, CGU), ao Ministério Público e à sociedade;
• Segurança: prevenir fraudes, identificar uso indevido, garantir a integridade do certame e a lisura das etapas;
• Melhoria contínua: analisar dados agregados e anonimizados para aprimorar a plataforma, sem identificar titulares.

4.1. O tratamento se fundamenta nas hipóteses do art. 7º da LGPD, conforme a finalidade e o contexto:

4.2. Para o tratamento de dados pessoais sensíveis, aplica-se cumulativamente o art. 11 da LGPD, em especial o inciso "a" (cumprimento de obrigação legal ou regulatória pelo controlador) e o inciso "g" (exercício regular de direitos em contrato ou em processo administrativo).

5.1. O compartilhamento ocorre somente quando necessário à execução das finalidades descritas nesta Política, observados os princípios da necessidade e da adequação:

• Bancas avaliadoras e comissões de seleção (designadas pela controladora): recebem dados estritamente necessários à aplicação e correção de etapas, sob acordo de confidencialidade;
• Órgãos de controle: TCU, TCEs, CGU, Controladorias-Gerais, Ministério Público e Justiça, quando requisitados;
• Intermediários de pagamento: para viabilizar a cobrança de taxas de inscrição e o respectivo repasse à controladora;
• Provedor(es) de infraestrutura de hospedagem: atua(m) como suboperador(es) sob contrato com a FluentSoft, com cláusulas contratuais-padrão de proteção de dados (art. 33, II, LGPD). A identidade e a localização são informadas mediante requerimento ao DPO, observados segredos comerciais e industriais;
• Autoridade Nacional de Proteção de Dados (ANPD): em caso de requisição, comunicação de incidente ou exercício de poder regulatório;
• Autoridades públicas: quando houver ordem judicial, requisição do Ministério Público ou determinação administrativa fundamentada.

5.2. A Plataforma não comercializa dados pessoais. Compartilhamentos sem finalidade pública ou contratual exigem consentimento específico do titular, nos termos do art. 7º, I, da LGPD.

5.3. Quando houver transferência internacional de dados (Seção 10), o compartilhamento será precedido de aviso específico, indicando país destinatário, garantias e cláusulas contratuais aplicáveis.

5.4. O backup institucional dos dados do certame é responsabilidade da controladora e não implica compartilhamento com a FluentSoft além do mecanismo de exportação disponibilizado pela plataforma.

6.1. A plataforma utiliza cookies e tecnologias semelhantes para as seguintes finalidades:

• Cookies estritamente necessários: sessão de autenticação, segurança contra CSRF, preferências de tema e paleta. Não podem ser desativados sem prejuízo ao funcionamento da plataforma;
• Cookies de preferência: lembrar escolhas do titular (modo claro/escuro, paleta, idioma). Base legal: execução de contrato;
• Cookies de medição agregada: contagem de acessos, detecção de erros, desempenho percebido. Dados são agregados e não identificam o titular individualmente. Base legal: interesse legítimo;
• Cookies de personalização: quando habilitados para edição de documentos ou preferências avançadas.

6.2. O titular pode gerenciar cookies a qualquer momento pelo banner exibido no primeiro acesso ou pelas configurações do navegador. A recusa de cookies estritamente necessários pode impedir o uso de funcionalidades autenticadas.

6.3. A plataforma não utiliza cookies de publicidade comportamental nem compartilha dados de navegação com terceiros para fins de marketing.

7.1. Os dados pessoais são armazenados em infraestrutura operada por suboperador(es) sob contrato da FluentSoft, com cláusulas contratuais-padrão de proteção de dados conforme art. 33, II, da LGPD. Os padrões de segurança exigidos são compatíveis com ISO 27001 e com boas práticas internacionais, e a Seção 10 detalha o regime de transferências internacionais. Os dados são mantidos pelo prazo necessário ao cumprimento das finalidades:

7.2. Decorridos os prazos legais, os dados são eliminados ou anonimizados de forma irreversível, conforme art. 16 da LGPD. A anonimização impede a re-identificação do titular por meios técnicos razoáveis.

7.3. O titular pode solicitar, a qualquer tempo, a eliminação dos dados desnecessários, excessivos ou tratados em desconformidade com a LGPD, nos termos do art. 18, VI.

8.1. O titular dos dados pessoais tem os seguintes direitos, assegurados pelo art. 18 da LGPD:

• I — Confirmação da existência de tratamento: saber se a plataforma trata seus dados e em que condições;
• II — Acesso aos dados: obter cópia clara e completa dos dados tratados;
• III — Correção de dados incompletos, inexatos ou desatualizados: atualizar dados diretamente pelo painel autenticado ou mediante solicitação ao DPO;
• IV — Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• V — Portabilidade: receber os dados pessoais em formato estruturado e interoperável (JSON, CSV), respeitados segredos comerciais e industriais;
• VI — Eliminação dos dados tratados com consentimento (quando aplicável);
• VII — Informação sobre entidades públicas e privadas com as quais houve compartilhamento;
• VIII — Informação sobre a possibilidade de não fornecer consentimento e suas consequências;
• IX — Revogação do consentimento (quando aplicável), mediante manifestação expressa, com efeito retroativo limitado à futura.

8.2. Os pedidos são atendidos gratuitamente, em prazo razoável, e na forma solicitada pelo titular, observados os segredos comerciais e industriais e a impossibilidade de atendimento quando implique prejuízo a direitos de terceiros. Pedidos que exijam esforço desproporcional podem ser recusados mediante justificativa fundamentada, com indicação do caminho para revisão.

8.3. Quando o tratamento se fundamentar em obrigação legal, em execução de políticas públicas ou em exercício regular de direitos, os direitos de eliminação e revogação de consentimento podem ser atendidos parcialmente, preservando os dados necessários ao cumprimento da obrigação que fundamentou o tratamento.

8.4. Para exercer seus direitos, o titular pode utilizar o painel autenticado (autoatendimento para correção e acesso) ou contatar diretamente o Encarregado (DPO) na Seção 11.

9.1. Em conformidade com o art. 46 da LGPD e as boas práticas internacionais (ISO/IEC 27001 e 27701), as medidas de segurança são distribuídas entre os agentes conforme a esfera de responsabilidade:

• Segurança da plataforma (FluentSoft — operadora): criptografia em trânsito (TLS 1.3 com cifras AEAD); criptografia em repouso (AES-256 nos bancos de dados); hash de credenciais (bcrypt com fator de custo ≥ 12); autenticação multifator para acessos administrativos; segregação por função (RBAC) e princípio do menor privilégio; registro de operações imutável, com retenção mínima de 5 anos (art. 37 LGPD); detecção de intrusão, análise de anomalias e alertas em tempo real;
• Segurança do datacenter (suboperador): controle ambiental físico, redundância de energia e conectividade, proteção contra acesso físico não autorizado, certificações de datacenter aplicáveis. Detalhes operacionais no contrato entre FluentSoft e o suboperador;
• Backup institucional (controladora): política de backup, periodicidade, mídia, testes de restauração e custódia são de responsabilidade exclusiva da controladora. A FluentSoft oferece mecanismo técnico de exportação dos dados do certame para que a controladora execute sua política de backup, mas não opera, não armazena e não custodia o backup institucional;
• Plano de resposta a incidentes: equipe dedicada, runbooks, comunicação a titulares e à ANPD em prazo legal.

9.2. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a plataforma comunicará:

1. Os titulares afetados, em prazo razoável, com descrição dos dados comprometidos e medidas orientadas;
2. A Autoridade Nacional de Proteção de Dados (ANPD), nos termos do art. 48 da LGPD;
3. Órgãos de controle e Ministério Público, conforme aplicável.

10.1. A hospedagem da plataforma é realizada por suboperador(es) contratado(s) pela FluentSoft, podendo envolver transferência internacional de dados conforme a localização do(s) datacenter(s) utilizado(s). Essa é a transferência internacional corrente do tratamento. Eventuais transferências adicionais ocorrem apenas em caráter subsidiário, estritamente para:

• Serviços de autenticação, mensageria transacional ou operação de CDN, quando estritamente necessários e sob contrato com cláusulas de proteção de dados;
• Situações de cooperação jurídica internacional, mediante ordem judicial fundamentada.

10.2. Toda transferência internacional é amparada por uma das hipóteses do art. 33 da LGPD. No caso da hospedagem, a base contratual é o art. 33, II — cláusulas contratuais-padrão entre FluentSoft (operadora) e o(s) suboperador(es), com exigências de:

• Padrões de segurança compatíveis com ISO/IEC 27001 e com boas práticas internacionais;
• Notificação de incidentes em prazo compatível com o art. 48 da LGPD;
• Cooperação com a controladora e com a operadora para atendimento aos direitos do titular;
• Registro no inventário de operações mantido pela operadora.

10.3. A conformidade dos suboperadores com padrões internacionais (incluindo o GDPR, quando aplicável) é reconhecida como evidência de boas práticas, sem configurar, por si, equivalência automática com a LGPD. A base legal para a transferência permanece sendo o art. 33, II, da LGPD.

10.4. O titular pode solicitar informações específicas sobre transferências realizadas, observados os segredos comerciais e industriais, mediante requerimento ao DPO.

11.1. O Encarregado de Proteção de Dados (DPO) é o canal oficial de comunicação entre os titulares, o controlador, o operador e a ANPD, conforme art. 41 da LGPD. Cada agente do tratamento designa seu próprio Encarregado:

• DPO da FluentSoft (operadora): trata de questões relacionadas à plataforma Sistema Ingressa — funcionalidades, segurança técnica, integrações, mecanismo de exportação, suporte e incidentes que envolvam a infraestrutura da plataforma;
• DPO da controladora: trata de questões do certame específico — decisões de tratamento, finalidade, base legal, edital, recursos, classificação, convocação, comunicação a candidatos. O contato do DPO da controladora é indicado no próprio edital do certame e pode variar entre processos seletivos.

11.2. Suas atribuições incluem:

• Receber e atender pedidos de titulares sobre seus direitos;
• Orientar equipes internas sobre práticas de proteção de dados;
• Executar o programa de governança em privacidade;
• Reportar à alta administração e à ANPD incidentes e não conformidades;
• Zelar pelo cumprimento da LGPD e demais normas aplicáveis.

11.3. Pedidos de exercício de direitos podem ser feitos também pelo próprio painel autenticado, na seção "Meus dados" — itens como correção, acesso e exportação podem ser autoatendidos sem necessidade de contato com o DPO.

11.4. Caso o titular entenda que o tratamento viola a LGPD, pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) pelo site gov.br/anpd, além de buscar tutela judicial.

12.1. Esta Política pode ser revisada e atualizada a qualquer tempo, mediante aviso prévio de 15 (quinze) dias, publicado no painel do usuário e por e-mail cadastrado.

12.2. Alterações substanciais — que impliquem mudança de finalidade, ampliação de compartilhamentos, alteração de prazos de retenção ou impacto direto sobre os direitos do titular — exigirão nova aceitação expressa no próximo acesso à plataforma.

12.3. Versões anteriores serão mantidas em arquivo digital para fins de auditoria e prova, e podem ser solicitadas pelo titular ao DPO.

13.1. Esta Política é regida pelas leis da República Federativa do Brasil, em especial pela Lei nº 13.709/2018 (LGPD) e pela Lei nº 12.965/2014 (Marco Civil da Internet), sem prejuízo de tratados e convenções internacionais ratificados pelo Brasil.

13.2. Fica eleito o foro da Comarca de domicílio do controlador do processo seletivo em que o titular tenha participado, ou da Comarca do titular quando este for pessoa natural, à escolha do titular, para dirimir quaisquer controvérsias oriundas desta Política, sem prejuízo do direito à ampla defesa e ao contraditório em esfera administrativa, inclusive perante a ANPD.

13.3. A eventual declaração de nulidade de qualquer cláusula não invalida as demais, que permanecerão produzindo plenos efeitos.

13.4. Esta Política integra os Termos de Uso da plataforma como anexo indissociável.