Política de privacidade

1. Quem somos

Curriculol (acessível em curricu.lol) é uma plataforma de otimização de currículos que utiliza inteligência artificial para analisar e melhorar currículos com foco em sistemas ATS (Applicant Tracking Systems). Esta política descreve como coletamos, usamos e protegemos seus dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei 13.709/2018).

Curriculol é um produto da BEROLAB LTDA, sociedade empresária limitada inscrita no CNPJ sob o n. 61.026.871/0001-79, com sede na Rua Pais Leme, 215, Conjunto 1713, Pinheiros, São Paulo/SP, CEP 05424-150. Em todo este documento, o controlador dos dados pessoais é a BEROLAB LTDA. Em transações de pagamento, o nome "BEROLAB LTDA" pode aparecer como recebedor no extrato bancário do usuário.

2. Dados que coletamos

Coletamos os seguintes dados pessoais:

• Email: utilizado para autenticação via código OTP e identificação da conta.
• Currículo: arquivo PDF ou DOCX enviado por você. O texto é extraído e armazenado para análise.
• Perfil profissional: nome, telefone, cidade, link do LinkedIn, cargos, experiências, formação, idiomas e competências salvos no seu perfil.
• Conversas com a Lol: a conversa com a Lol saiu do ar em 19 de outubro de 2026. As mensagens que você trocou com ela continuam salvas na sua conta, assim como o resumo curto que ela pode ter guardado sobre você (sua área, seu objetivo, o que você já fez por aqui). Você pode limpar esse resumo nas configurações.
• Descrição da vaga: texto fornecido por você para comparação com o currículo.
• Endereço IP: coletado automaticamente para segurança, rate limiting e prevenção de abuso.
• CPF/CNPJ: informado no pagamento. Ele passa pelo nosso servidor só para criar a cobrança no Asaas, o processador de pagamentos, e fica salvo no navegador em que você pagou, para a próxima compra. Não guardamos o CPF/CNPJ das compras no nosso banco de dados.
• Afiliados: para pagar os saques por Pix, guardamos o nome completo, o CPF e a chave Pix que você informa.
• Dados de uso: eventos pseudonimizados de navegação, desempenho, erros e interações podem ser coletados via PostHog. Contas autenticadas usam um identificador interno, nunca o email.
• Suporte: as mensagens que você envia para mail@bero.land.

3. Base legal de cada uso (art. 7º da LGPD)

• Execução de contrato (art. 7º, V): criar e manter sua conta, com login por código enviado ao seu email; analisar seu currículo e preparar currículos, cartas e relatórios; processar a compra de créditos; enviar os avisos do serviço, como códigos de acesso, confirmação de compra e aviso de análise pronta; responder ao suporte; e, no programa de afiliados, registrar suas indicações e pagar seus saques.
• Interesse legítimo (art. 7º, IX): proteger a plataforma contra abuso (limites de uso, sistema de strikes e bloqueio de IP).
• Interesse legítimo (art. 7º, IX): enviar emails com lembretes, vagas compatíveis com o seu perfil, novidades do Curriculol e indicações de cursos, mentorias e outros produtos ligados à sua carreira. Todo email desse tipo traz um link para você parar de receber na hora.
• Interesse legítimo (art. 7º, IX): medir o uso com dados pseudonimizados para encontrar erros e melhorar o produto. Você pode desligar essa coleta em Configurações → Privacidade.

4. Como usamos seus dados

• Análise do currículo por 3 agentes de IA (Anya, Vanellope, Arya) para gerar relatório de compatibilidade ATS.
• Geração de currículo otimizado com base nas recomendações dos agentes.
• Autenticação segura via código OTP de 6 dígitos enviado por email.
• Processamento de pagamentos para compra de créditos de otimização.
• Prevenção de abuso: detecção de conteúdo inválido, rate limiting e sistema de strikes (3 violações = bloqueio do IP por 1 hora).
• Atendimento de dúvidas sobre a plataforma e suporte por email.

5. Compartilhamento com terceiros

Seus dados podem ser compartilhados com os seguintes provedores:

• OpenRouter (EUA): encaminha os pedidos de IA aos provedores dos modelos. Recebe o texto do currículo, do perfil e da descrição da vaga.
• Provedores dos modelos de IA: hoje usamos modelos servidos por OpenAI, Amazon Web Services (Bedrock), DeepInfra e Fireworks, nos EUA. Eles recebem esse mesmo texto para gerar análises, currículos e cartas. Na otimização do LinkedIn, o OpenRouter pode usar outros provedores, inclusive de modelos abertos gratuitos.
• Resend: envio de emails (códigos de acesso, avisos da conta, novidades e, quando você pede, candidaturas por email com currículo e carta em anexo). Recebe seu email e o conteúdo dessas mensagens.
• Asaas: processador de pagamentos brasileiro. Recebe email e CPF/CNPJ para criação de cobrança. Os dados do cartão são digitados na página de pagamento do próprio Asaas.
• PostHog (EUA): plataforma de analytics. Recebe eventos pseudonimizados e métricas de desempenho. As gravações de sessão estão desligadas.
• Cloudflare: rede que entrega e protege o site. Todo acesso ao Curriculol passa por ela, incluindo seu endereço IP. Também guarda as cópias de segurança do banco de dados.
• ShardCloud: hospeda o servidor onde rodam o aplicativo e o banco de dados. O servidor fica nos Estados Unidos.
• Google (Gmail): recebe os emails de suporte enviados para mail@bero.land.
• Google Fonts: entrega uma das fontes do site. Quando a página abre, seu navegador baixa essa fonte dos servidores do Google, que recebem seu endereço IP.
• JSearch e sites de vagas (Himalayas, Jobicy e Remote OK): recebem só o cargo buscado e o país, nunca seu nome ou email.

Não vendemos, alugamos ou compartilhamos seus dados pessoais com terceiros para fins de marketing.

As conversas guardadas com a Lol não são usadas em analytics.

O suporte é feito por email: você escreve para mail@bero.land e recebe a resposta no mesmo email.

6. Transferência internacional de dados

Parte dos serviços da seção 5 fica fora do Brasil, a maioria nos Estados Unidos. Para prestar o serviço que você contratou, seus dados passam por:

• o servidor da ShardCloud, onde rodam o aplicativo e o banco de dados;
• o OpenRouter e os provedores dos modelos de IA, que recebem o texto do currículo, do perfil e da vaga;
• a Resend, que envia os emails;
• a Cloudflare, por onde passa todo acesso ao site e onde ficam as cópias de segurança;
• o Google Fonts, que entrega uma das fontes do site e recebe seu endereço IP;
• o Gmail, do Google, onde chegam os emails de suporte.

Essas transferências são necessárias para executar o contrato com você e, por isso, se baseiam no art. 33, IX, combinado com o art. 7º, V, da LGPD.

Os dados de uso vão para o PostHog, também nos Estados Unidos. Eles não são necessários para prestar o serviço, por isso seguem regras próprias: vão sem nome, sem email e sem os textos que você escreve; as gravações de sessão estão desligadas; e você pode desligar essa coleta quando quiser (seção 10). Ainda estamos definindo qual mecanismo do art. 33 da LGPD vai cobrir essa transferência.

7. Retenção de dados

• Currículos e análises: mantidos enquanto sua conta existir. Você pode solicitar exclusão a qualquer momento.
• Perfil e conversas com a Lol: mantidos enquanto sua conta existir. Limpar a memória da Lol apaga só o resumo que ela guardou.
• Códigos OTP: expiram em 10 minutos e são deletados automaticamente.
• Sessões: expiram em 7 dias.
• Endereços IP (blacklist): mantidos permanentemente para segurança da plataforma.
• Dados de pagamento: guardamos o histórico das suas compras enquanto sua conta existir e o apagamos quando você exclui a conta. O Asaas, que processa os pagamentos, mantém os próprios registros das cobranças, como a lei exige.
• Exclusão da conta: apaga seus currículos, análises, perfil, conversas com a Lol, histórico de compras e dados de conta.

Depois da exclusão da conta, continuam guardados:

• Emails de suporte: as mensagens que você enviou para mail@bero.land ficam na nossa caixa de email. Não há exclusão automática.
• Relatos de erro: quando a equipe registra um erro que você relatou, o registro guarda o seu email para acompanhar a correção. Ele não sai com a exclusão da conta, só quando a equipe apaga o registro.
• Lista de novidades (Resend): seu email fica na lista até o próximo envio de novidades e é retirado antes desse envio.
• Registros técnicos de falhas: se algum processo seu falhou, o registro mantém o seu email para auditoria. Não há exclusão automática.
• Cópias de segurança: as cópias do banco de dados feitas antes da exclusão. As cópias automáticas guardadas no nosso servidor são apagadas em até 9 dias. As outras cópias, como a guardada na Cloudflare, ainda não têm exclusão automática.
• Dados de uso: os eventos já enviados ao PostHog, sem nome nem email.

8. Seus direitos (art. 18 LGPD)

Você tem direito a:

• Confirmar a existência de tratamento dos seus dados.
• Acessar seus dados pessoais.
• Corrigir dados incompletos, inexatos ou desatualizados.
• Solicitar a eliminação dos seus dados (direito ao esquecimento).
• Obter informações sobre compartilhamento com terceiros.
• Revogar o consentimento a qualquer momento.
• Solicitar a portabilidade dos seus dados.

Para exercer qualquer desses direitos, entre em contato pelo email indicado na seção 11.

9. Segurança

Adotamos as seguintes medidas técnicas para proteger seus dados:

• Autenticação via JWT com hash SHA-256 e expiração de 7 dias.
• Códigos OTP gerados criptograficamente, de uso único, com expiração de 10 minutos.
• Rate limiting por IP e por usuário para prevenir abuso.
• Sistema de strikes anti-abuso com bloqueio automático.
• Dedução atômica de créditos para prevenir inconsistências.
• Validação de webhooks de pagamento via token de autenticação.

10. Cookies e rastreamento

A Curriculol não utiliza cookies próprios. O PostHog usa localStorage para analytics pseudonimizado. Não enviamos textos de currículo, perfil, Lol, suporte, checkout, descrições de vaga, email, tokens ou códigos. As gravações de sessão estão desligadas. Você pode desativar os dados de uso em Configurações → Privacidade ou no aviso sobre dados de uso. Se você estiver na sua conta, a escolha fica salva nela e vale também para os eventos do nosso servidor e para os outros aparelhos em que você entrar na conta. Uma desativação feita neste navegador sem estar na conta, ou antes de 20 de outubro de 2026, vai para a sua conta na próxima vez que você entrar por ele. Nenhum cookie de terceiros é utilizado para publicidade ou remarketing.

11. Contato do encarregado (DPO)

Para dúvidas, solicitações ou exercício dos seus direitos previstos na LGPD, entre em contato:

Razão Social: BEROLAB LTDA
CNPJ: 61.026.871/0001-79
Endereço: Rua Pais Leme, 215, Conj. 1713, Pinheiros, São Paulo/SP, CEP 05424-150
Email: mail@bero.land