Política de Privacidade

A EMPRESA QUE ESTÁ CONTRATANDO VOCÊ É A CONTROLADORA dos seus dados. Foi ela que decidiu abrir a vaga, quais documentos exigir e o que fazer com o seu cadastro. A Admissão Digital by aillu é OPERADORA: trata os seus dados por conta e ordem dela (LGPD art. 5º, VI e VII).

Isso tem uma consequência prática que vale dizer logo: pedidos sobre o conteúdo da sua admissão - corrigir um dado, saber por que um documento foi recusado, apagar o dossiê - são decididos pela empresa contratante, não por nós. Nós executamos o que ela determina e ajudamos a encaminhar o pedido.

Já a sua CONTA DE ACESSO ao portal (CPF, senha, e-mail e celular usados para entrar) é nossa responsabilidade direta, e você pode excluí-la sozinho, sem passar pelo RH. Ver a seção 10.

Da PESSOA CANDIDATA, para conduzir a sua admissão:

• identificação: nome completo, nome social, CPF, RG, data de nascimento, sexo, filiação, estado civil;
• contato: e-mail e celular;
• endereço e comprovante de residência - quando você digita o CEP, a rua, o bairro, a cidade e a UF são buscados em uma base pública de CEP para você conferir (ver a seção 7);
• documentos em imagem ou PDF: RG, CPF, comprovante de residência, carteira de trabalho, certidões e o que mais a empresa configurar - inclusive documentos de dependentes que você informar;
• dados bancários para o pagamento do salário;
• dependentes: nome, parentesco, data de nascimento e as perguntas que a empresa faz sobre cada um (imposto de renda, salário-família, escolaridade);
• escolhas de benefícios oferecidos pela empresa;
• exame médico admissional: clínica, data, e o ASO que a clínica emite;
• selfie, quando a empresa habilita a etapa de assinatura com foto;
• foto para o cadastro da admissão, opcional, enviada por você na etapa "Foto" e vista pela equipe de RH da empresa - ela identifica você no cadastro e não é usada para nenhuma verificação de identidade nem tratada como dado biométrico;
• o resultado da conferência automática de cada documento enviado (seção 4);
• registros de uso: IP, agente do navegador, datas de acesso, de abertura e de assinatura de cada documento;
• conteúdos de integração (onboarding) que a empresa disponibiliza depois da admissão: quando cada conteúdo foi aberto pela primeira e pela última vez, quanto de cada vídeo foi reproduzido e se houve avanço de trechos, quais páginas de cada PDF foram exibidas, se cada texto foi lido até o fim, o tempo com o conteúdo aberto, o clique em links externos e a sua declaração de conclusão. Esses registros servem para comprovar a integração e são vistos pelo RH da empresa e impressos no termo de integração e nos relatórios dela. Só são registrados eventos de reprodução e de página dentro da plataforma: não há acesso à câmera nem ao microfone, e nada do que você faz fora da plataforma ou no site de um link externo é acompanhado.

Do OPERADOR do RH ou da contabilidade: nome, e-mail corporativo, CPF (apenas quando ele mesmo precisa assinar documentos), a derivação da senha, e o IP e o agente do navegador das sessões abertas.

DADOS SENSÍVEIS (LGPD art. 5º, II). Dois conjuntos aqui são sensíveis e recebem tratamento próprio: a SELFIE, que é dado biométrico, e os dados do EXAME MÉDICO ADMISSIONAL. O conteúdo clínico do exame pertence à clínica e ao médico do trabalho; a plataforma guarda o agendamento e o ASO que comprova a aptidão, não o prontuário.

O QUE NÃO É COLETADO: não há rastreamento publicitário, não há perfilamento comportamental, não há venda ou aluguel de dados, não há enriquecimento de cadastro com bases de terceiros e não há coleta de dados de redes sociais.

Cada finalidade tem a sua própria base, e elas não são intercambiáveis:

• conduzir a admissão e preparar o contrato de trabalho: art. 7º, V - procedimentos preliminares relacionados a contrato do qual você é parte;
• a FOTO do cadastro, que é opcional: art. 7º, V - procedimentos preliminares relacionados a contrato do qual você é parte. Ela não passa por reconhecimento facial nem por comparação com nenhuma base, e por isso não é tratada como dado biométrico;
• cumprir obrigações do empregador: art. 7º, II - obrigação legal e regulatória do controlador (CLT, eSocial, FGTS, normas de segurança e medicina do trabalho);
• guardar o registro de prova de uma assinatura: art. 7º, VI e art. 7º, IX - exercício regular de direitos, inclusive em processo judicial ou administrativo;
• segurança do acesso, prevenção a fraude no cadastro e limites de uso: art. 7º, IX - legítimo interesse, limitado ao mínimo necessário;
• a medição do acesso aos conteúdos de integração: art. 7º, II - obrigação legal do empregador de comprovar treinamentos (como os previstos nas normas regulamentadoras de segurança do trabalho) - e art. 7º, IX - legítimo interesse em comprovar a integração, limitado aos eventos de reprodução e de página descritos na seção 2;
• a CONFERÊNCIA AUTOMÁTICA dos documentos e a consulta do CPF na Receita Federal: art. 7º, IX - legítimo interesse em prevenir fraude e erro no cadastro, com aprovação ou recusa automática apenas nos casos e com o direito de revisão descritos na seção 4;
• a SELFIE, por ser dado sensível: art. 11, II, "g" - garantia da prevenção à fraude e à segurança do titular em processos de identificação e autenticação - e art. 11, II, "d" - exercício regular de direitos, pelo período em que a empresa pode precisar comprovar como o documento foi assinado;
• os dados do EXAME MÉDICO: art. 11, II, "a" - cumprimento de obrigação legal do controlador, que é a exigência do exame admissional.

Onde a base é o legítimo interesse, ela é usada apenas para operar o processo de admissão que a empresa já conduz, e nunca para uma finalidade nova que você não esperaria ao enviar um documento.

CONFERÊNCIA AUTOMÁTICA. Cada documento que você envia é conferido automaticamente: a plataforma verifica se é o documento pedido, se está no seu nome (ou no nome do dependente a que se refere), se o CPF confere e se os dados que você digitou batem com o que está no documento. Para essa leitura, o arquivo do documento e os dados preenchidos para ele são enviados à ANTHROPIC, empresa dos Estados Unidos que fornece o modelo de linguagem que faz a leitura (ver a seção 7).

A CONFERÊNCIA PELO MODELO DE LINGUAGEM NÃO DECIDE NADA. Se ela encontrar uma divergência, por exemplo dados bancários em nome de outra pessoa, você vê um aviso no portal para conferir e, se for o caso, reenviar, e o RH vê o mesmo apontamento junto do documento. Nada é aprovado, recusado ou bloqueado por causa dela.

APROVAÇÃO E RECUSA AUTOMÁTICAS DO CPF, DO RG E DA CNH. Para esses três documentos, a plataforma lê a foto dentro dos próprios servidores, sem enviá-la a ninguém, e decide sozinha. Aprova quando encontra no documento o seu nome e o seu CPF (ou, num documento sem CPF, o seu nome e a sua data de nascimento) e quando os dados lidos batem com os que você digitou. Recusa, dizendo o motivo e o que corrigir, quando o documento é de outra pessoa, quando a validade impressa já terminou, quando o que foi digitado não confere com o documento ou quando a leitura não consegue confirmar esses dados. Depois de duas recusas desse último tipo, ou se a leitura não puder ser feita, o documento vai para uma pessoa do RH.

VOCÊ PODE PEDIR REVISÃO POR UMA PESSOA (LGPD art. 20). Toda aprovação ou recusa automática fica registrada com o motivo, e o RH pode revertê-la. Se discordar de uma recusa automática, use o botão "Pedir revisão do RH" na tela do documento: ele vai para uma pessoa da empresa decidir.

NOS DEMAIS DOCUMENTOS, QUEM DECIDE É UMA PESSOA. Alguém do RH ou da contabilidade abre o documento que você enviou, considera o apontamento da conferência e aprova ou recusa. Quando recusa, informa um dos motivos previstos (ilegível, cortado, vencido, documento errado) e você recebe o motivo junto do pedido de reenvio. É a essa pessoa da empresa que você pede explicação.

A LEITURA DA FOTO NO CADASTRO é outra coisa. Quando você fotografa o RG, o CPF ou o comprovante de residência, a plataforma lê a imagem e escreve o que leu nos campos que ainda estão em branco, avisando na tela que aquilo foi preenchido para você conferir e corrigir antes de enviar. Essa leitura acontece dentro da própria plataforma, e o que você já tinha digitado nunca é substituído por ela.

A plataforma pode oferecer ao operador um RESUMO de documento. Quando o resumo vem dos dados do próprio cadastro, nenhum byte sai da plataforma. Quando vem da leitura do arquivo por um modelo de linguagem, o texto é reduzido e tem dados pessoais removidos antes de sair, e a tela avisa que o resultado foi lido por máquina. Esse resumo existe somente onde a empresa contratante habilita o recurso.

ELA NÃO É COMPARADA COM NADA, por padrão. A foto é guardada cifrada como elemento de prova ao lado da sua assinatura. A plataforma não faz prova de vida, não faz reconhecimento facial, não compara o seu rosto com nenhuma base e não afirma em nenhum lugar que a sua identidade foi verificada.

A única exceção é quando a empresa contratante contrata separadamente a comparação facial do SERPRO, que atua como operador do SENATRAN. Nesse caso - e apenas nesse - a sua foto é enviada ao SERPRO para ser comparada com a foto da sua CNH, e recebemos de volta só o resultado da comparação, nunca a foto que o governo tem. Você lê um aviso específico dizendo isso ANTES de a câmera abrir, e o aviso que você leu fica registrado com identificador de versão.

ENVIAR A SELFIE É OPCIONAL. Recusar não é motivo para recusar a sua admissão, e a assinatura segue sem ela.

Se a comparação acontecer e o resultado não confirmar a sua foto, isso não bloqueia nada nesta plataforma: apenas a empresa pode decidir o que fazer, e a decisão dela fica registrada com o nome de quem a tomou e o motivo informado.

Cada assinatura eletrônica gera um registro gravado naquele instante, que contém: o seu nome, CPF e e-mail como estavam ali, quando a senha foi verificada, quando o código de e-mail foi verificado, o SHA-256 do arquivo exibido a você, o texto de consentimento que apareceu na tela, quando você abriu o documento antes de assinar, o IP, o agente do navegador e o fuso horário declarado pelo aparelho. Quando há selfie, ela é referenciada por esse registro.

Esse registro é assinado com uma chave criptográfica Ed25519 da empresa e encadeado por hash ao registro anterior. Alterar ou apagar um registro quebra todos os seguintes, e a quebra aponta exatamente onde aconteceu. É por isso que ele funciona como prova.

E É POR ISSO QUE ELE NÃO PODE SER SIMPLESMENTE APAGADO a pedido. Apagá-lo destruiria a única prova de que um documento foi assinado por você e não por outra pessoa - o que prejudica você tanto quanto a empresa - e romperia a cadeia de todas as assinaturas posteriores daquela empresa. A LGPD prevê exatamente esta hipótese: os dados podem ser conservados para cumprimento de obrigação legal e para o exercício regular de direitos, inclusive em processo (art. 16, I e III).

O que fazemos quando você pede exclusão está na seção 10: o registro de prova permanece, e os dados da sua CONTA DE ACESSO são apagados ou pseudonimizados.

Com a EMPRESA QUE ESTÁ CONTRATANDO VOCÊ, que é a controladora, e com quem ela autorizar - tipicamente o escritório de contabilidade que faz a folha, e o sistema de folha ou de RH para onde o cadastro concluído é exportado.

Com os seguintes operadores técnicos, e nenhum outro:

• GOOGLE CLOUD, Estados Unidos - hospedagem da aplicação, do banco de dados e dos arquivos enviados. É onde os seus documentos ficam armazenados, sempre cifrados.
• SENDGRID (TWILIO), Estados Unidos - envio dos e-mails da plataforma: convite, código de verificação, lembrete de prazo, aviso de documento recusado. Recebe o seu e-mail, o seu nome e o conteúdo da mensagem. Nunca recebe documento anexado.
• TWILIO, Estados Unidos - envio de SMS e de mensagens de WhatsApp, quando a empresa escolhe esses canais para o convite e os lembretes. Recebe o seu celular, o seu nome e o texto da mensagem com o link de acesso. Nunca recebe documento anexado.
• ANTHROPIC, Estados Unidos - conferência automática dos documentos (seção 4). Recebe o arquivo de cada documento que você envia, o nome e o CPF de quem deveria ser o titular e os dados que você digitou para aquele documento. Também recebe as perguntas que o operador do RH faz ao assistente de ajuda da plataforma.
• VIACEP e BRASILAPI - bases públicas de consulta de CEP. Quando você digita o CEP do seu endereço, ele é consultado nelas para trazer a rua, o bairro, a cidade e a UF já preenchidos. Elas recebem O CEP E NADA MAIS: nem o seu nome, nem o seu CPF, nem qualquer informação da sua admissão. Um CEP identifica uma rua, não uma pessoa - é por isso que essa consulta aparece aqui por transparência, e não como envio de dado seu. Quem pergunta é o nosso servidor, não o seu aparelho, e a BrasilAPI só é consultada quando o ViaCEP não responde.
• SERPRO, Brasil - consulta do seu CPF na base da Receita Federal quando você envia o cadastro para análise: recebe o seu CPF e a sua data de nascimento e devolve o nome, a data de nascimento e a situação do CPF. E, SOMENTE quando a empresa contratante habilita a comparação facial, recebe a sua selfie e o seu CPF para comparar com a base do governo, e devolve apenas o resultado.
• VERCEL e ANTHROPIC, Estados Unidos - para o resumo de documento, somente onde a empresa contratante habilita os resumos por modelo de linguagem, e então apenas o trecho de texto já reduzido e sem dados pessoais.

NÃO HÁ processador de pagamento integrado a esta plataforma, NÃO HÁ ferramenta de analytics, pixel de rastreamento ou rede de anúncios, e as fontes tipográficas são servidas pela própria plataforma justamente para que nenhuma requisição de terceiro parta da sua tela.

TRANSFERÊNCIA INTERNACIONAL. Google Cloud, SendGrid, Twilio, Vercel e Anthropic estão fora do Brasil, o que caracteriza transferência internacional de dados (LGPD arts. 33 a 36). Ela ocorre porque é necessária ao processo de admissão e está amparada nas cláusulas contratuais e nos compromissos de proteção de dados firmados com cada um desses fornecedores.

A consulta de CEP não entra nessa conta, porque nela não sai dado pessoal nenhum: sai o CEP. A leitura das fotos no preenchimento do cadastro também não entra, porque roda dentro da própria plataforma.

Os arquivos que você envia são cifrados antes de tocarem o disco, com AES-256-GCM e uma chave derivada por empresa - quem obtiver o arquivo bruto não consegue lê-lo sem a chave-mestra, que fica em um cofre de segredos e nunca no código.

Senhas são guardadas apenas como derivação scrypt. Códigos de verificação de seis dígitos são protegidos com uma chave exclusiva do servidor, expiram em 15 minutos, têm limite de tentativas e são invalidados assim que um novo código é pedido. Cookies de sessão são httpOnly e só o resumo SHA-256 deles é armazenado.

O registro de prova das assinaturas é encadeado por hash, de modo que uma alteração posterior é detectável.

Nenhuma medida elimina risco. Se ocorrer incidente de segurança relevante, a comunicação à ANPD e aos titulares é obrigação da empresa controladora, e nós a apoiamos com o que sabemos sobre o incidente.

Os prazos abaixo são a política desta plataforma. Quando a empresa contratante determinar prazo diferente por obrigação própria, vale o dela, porque ela é a controladora.

• CADASTRO E DOCUMENTOS DA ADMISSÃO: enquanto durar o processo e, depois, pelo prazo em que a empresa precisa comprovar a contratação. Se você não for contratado, a empresa pode excluir o cadastro a qualquer momento - e a exclusão apaga também os arquivos que você enviou, não só as linhas do banco.
• RESULTADO DA CONFERÊNCIA AUTOMÁTICA: guardado junto do documento a que se refere, pelo mesmo prazo, e apagado com ele.
• SELFIE E RESULTADO DA COMPARAÇÃO: a política é guardar até 5 anos após o fim do seu contrato de trabalho ou, se você não for contratado, do fim do processo de admissão - o prazo em que uma ação trabalhista ainda pode discutir aquela assinatura (Constituição, art. 7º, XXIX). O apagamento no fim desse prazo ainda NÃO é automático: hoje ele depende de a empresa excluir o cadastro. Enquanto a rotina de expurgo não existir, esta linha descreve a política e não uma automação, e dizer o contrário seria prometer o que o sistema não faz.
• REGISTRO DE PROVA DA ASSINATURA: o mesmo prazo, pela mesma razão. Ver a seção 6.
• CÓDIGOS DE VERIFICAÇÃO: 15 minutos de validade; a linha é marcada como consumida e não guarda o código, apenas a sua derivação.
• SESSÕES: a do candidato expira em 7 dias, a do operador em 12 horas; a linha é removida na saída.
• CÓPIAS DE SEGURANÇA: os backups diários guardam tudo o que existia no dia em que foram feitos, por 365 dias. Uma exclusão pedida hoje não reescreve um backup de ontem - ela passa a valer nas cópias à medida que as antigas vencem e são descartadas.
• REGISTROS FISCAIS E COMPROVANTES DE ENVIO A ÓRGÃO PÚBLICO: pelo prazo legal aplicável, que é maior do que os acima e não pode ser encurtado por pedido de exclusão.

Você pode, a qualquer momento e sem custo, pedir: confirmação de que tratamos os seus dados; acesso aos dados; correção de dado incompleto, inexato ou desatualizado; anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado em desconformidade com a lei; portabilidade a outro fornecedor; eliminação dos dados tratados com o seu consentimento; informação sobre com quem compartilhamos os seus dados; informação sobre a possibilidade de não consentir e o que acontece se você recusar; e revogação do consentimento.

COMO PEDIR, na prática:

• EXCLUIR A SUA CONTA DE ACESSO ao portal: peça pelo e-mail de contato do quadro de identificação no topo desta página, informando o seu CPF. Atendemos em até 15 dias - a conta deixa de existir para todos os efeitos, as sessões abertas são encerradas, e o nome, o e-mail e o celular guardados nessa conta são apagados. Depois disso ninguém entra no portal com o seu CPF, nem você.
• QUALQUER OUTRO PEDIDO sobre a sua admissão - acesso, correção, portabilidade, exclusão do dossiê - fale com o RH ou o recrutador da empresa que está te contratando: a decisão é dela, porque ela é a controladora.
• FALAR CONOSCO: pedidos sobre a sua conta de acesso, ou sobre como a plataforma trata os seus dados, podem ser enviados ao e-mail de contato do quadro de identificação no topo desta página. Respondemos em até 15 dias, e encaminhamos à empresa contratante o que depender da decisão dela.
• RECLAMAR À ANPD: você pode peticionar à Autoridade Nacional de Proteção de Dados a qualquer momento, independentemente de ter pedido algo aqui antes.

O QUE A EXCLUSÃO NÃO APAGA, e por quê. O REGISTRO DE PROVA das assinaturas que você já deu é conservado INTEIRO, inclusive o seu nome e o seu CPF - ele não é pseudonimizado, e não pode ser. Cada registro é encadeado por hash ao anterior, e o nome e o CPF entram nesse cálculo: substituir um campo quebra a cadeia e invalida a prova de todas as assinaturas seguintes, inclusive as de outras pessoas. É o que torna esse registro verificável por um terceiro, e é a razão de ele existir. A conservação está amparada nos arts. 16, I e III, e 18, § 4º, da LGPD. O mesmo vale para comprovantes fiscais e para evidências de envio a órgão público. Tudo o que não estiver nessa situação é apagado.

A plataforma é destinada a processos de admissão de pessoas com idade legal para trabalhar. Não coletamos dados de crianças.

Dados de DEPENDENTES menores de idade são informados por você, no seu próprio cadastro, e usados apenas para as finalidades que a empresa precisa cumprir (imposto de renda, salário-família, plano de saúde).

Na contratação de menor aprendiz, a participação do responsável legal é conduzida pela empresa contratante.

Só existe um cookie essencial: o de sessão, que mantém você conectado. Ele é httpOnly, não é lido por nenhum script da página e não serve para rastrear você fora daqui.

Não há cookie de publicidade, de analytics, de teste A/B nem de terceiros. Por isso não há banner de cookies para clicar: não há nada a consentir além do que faz o login funcionar.

A versão vigente é sempre a publicada nesta página, identificada no topo. Alterações relevantes são comunicadas antes de entrarem em vigor.

O aceite de cada pessoa é gravado com o identificador da versão que ela leu, a data e o IP de onde veio, e as versões antigas continuam existindo: uma política que ninguém consegue reproduzir depois não prova nada.