Política de Privacidad de Rhye.

01Quién trata los datos y en qué papel

Esta política se aplica al sitio rhye.com.br y a la plataforma Rhye. Sigue la Ley General de Protección de Datos de Brasil (LGPD, Ley nº 13.709/2018) y las orientaciones de la Autoridad Nacional de Protección de Datos de Brasil (ANPD).

El sitio y la plataforma son operados por Rhai Inova Simples, persona jurídica de derecho privado inscrita en el CNPJ (registro brasileño de empresas) con el nº 61.202.205/0001-44, con sede en Brusque, Estado de Santa Catarina, Brasil, denominada aquí "Rhye".

Rhye actúa en dos papeles diferentes, y eso cambia quién responde por cada cosa:

• Como responsable del tratamiento, respecto de los datos que recopilamos por cuenta propia: los contactos dejados en el sitio, los datos de representantes y Usuarios necesarios para gestionar la relación con la empresa cliente (facturación, soporte, comunicaciones) y los datos técnicos de uso del sitio y de la plataforma.
• Como encargada del tratamiento, respecto de los datos que la empresa cliente introduce en la plataforma sobre sus colaboradores, gestores, candidatos y demás personas. En ese caso, la empresa es la responsable del tratamiento: ella decide las finalidades, las bases legales y qué datos entran. Rhye trata esos datos únicamente conforme a las instrucciones documentadas de la empresa, en los términos del contrato y del Acuerdo de Conformidad con la LGPD.

Si usted es colaborador de una empresa que usa Rhye y quiere ejercer un derecho sobre sus datos, el primer canal es la propia empresa, que es la responsable del tratamiento. Rhye apoya a la empresa en esa atención y también recibe su solicitud, remitiéndosela a ella.

02Datos que tratamos como responsable del tratamiento

Newsletter y formularios del sitio. Cuando usted se suscribe a la newsletter, guardamos correo electrónico, nombre (opcional), idioma y el origen del registro. En la postulación al programa de design partners, guardamos también empresa, cargo, tamaño del equipo y, si usted lo informa, las herramientas que usa y el contexto de su solicitud.

Relación con la empresa cliente. Nombre, correo electrónico corporativo, cargo y teléfono de los representantes y contactos indicados en el contrato, usados para onboarding, soporte, facturación y comunicaciones sobre el servicio.

Datos técnicos. Registros de acceso y de error (dirección IP, fecha y hora, navegador, páginas o recursos accedidos), generados automáticamente para seguridad, diagnóstico y cumplimiento del Marco Civil da Internet.

Preferencias en el navegador. Idioma y tema elegidos, guardados en el almacenamiento local de su navegador. En la app autenticada, el token de la sesión y una caché de los datos básicos de su perfil, para que no necesite iniciar sesión de nuevo en cada página.

03Datos que tratamos como encargada del tratamiento, en nombre de la empresa cliente

La empresa cliente decide qué introduce. En general, las categorías son estas:

• Identificación y contacto: nombre, correo electrónico corporativo, teléfono, CPF (número de identificación fiscal brasileño), foto.
• Datos funcionales: cargo, área, unidad, gestor, fecha de ingreso y, cuando la empresa opta por introducirlos, remuneración y beneficios.
• Datos de desempeño y desarrollo: evaluaciones, feedbacks, notas de 1:1, metas y OKRs, planes de desarrollo, reconocimientos, resultados de evaluaciones conductuales.
• Datos de reclutamiento: currículum, historial profesional, etapas del embudo y anotaciones de la selección.
• Datos de uso de la plataforma: acciones realizadas, registros de auditoría, conversaciones con Aeva.

Titulares: colaboradores, gestores y administradores de la empresa; candidatos a vacantes; excolaboradores, cuando son importados; y contactos de terceros mencionados en registros, cuando corresponda.

Los datos personales sensibles no están previstos como parte del servicio. Si la empresa decide introducir datos de esa naturaleza (información de salud en un registro de licencia, por ejemplo), debe comunicarlo previamente a Rhye y asegurar una base legal específica.

04Para qué usamos los datos y con qué base legal

Como responsable del tratamiento:

• Enviar la newsletter y responder a solicitudes de contacto: consentimiento, que usted puede retirar en cualquier momento.
• Evaluar y conducir postulaciones al programa de design partners: procedimientos preliminares de contrato, a su solicitud.
• Gestionar el contrato con la empresa cliente, prestar soporte y facturar: ejecución de contrato y cumplimiento de obligación legal.
• Mantener registros de acceso, prevenir fraudes y garantizar la seguridad: cumplimiento de obligación legal e interés legítimo en la protección de los servicios.
• Medir y evolucionar el producto con datos agregados y anonimizados: interés legítimo, sin identificación de personas.

Como encargada del tratamiento: las finalidades son las definidas por la empresa cliente en el contrato, dentro del alcance de la plataforma: estructura organizacional y cargos, job descriptions, reclutamiento y selección, onboarding, evaluaciones y calibración, feedbacks y 1:1, planes de desarrollo, encuestas de clima y encuestas pulse, reconocimientos, OKRs, indicadores de personas y asistencia conversacional a través de Aeva. La base legal la define la empresa, que responde por ella.

No usamos los datos para publicidad, no vendemos datos personales y no cruzamos datos de empresas diferentes.

05Inteligencia artificial

Aeva y los demás recursos de IA procesan datos personales exclusivamente para generar respuestas, análisis, clasificaciones y sugerencias en el contexto de la propia empresa cliente, respetando los permisos de quien pregunta.

Los datos de la empresa cliente no son utilizados por Rhye, ni por los proveedores de modelos de lenguaje que ella contrata, para entrenar, ajustar o mejorar modelos de inteligencia artificial de uso general. Ese es un compromiso contractual con los proveedores.

La plataforma no toma decisiones únicamente automatizadas que produzcan efectos jurídicos o afecten de forma significativa a las personas. Indicadores, scores, análisis predictivos y recomendaciones son apoyo a la decisión; la decisión es humana. A solicitud de la empresa cliente, Rhye proporciona información clara sobre los criterios y los datos considerados por esas funcionalidades, respetando los secretos comercial e industrial.

06Encuestas anónimas y protección contra la reidentificación

Las respuestas a las encuestas pulse y a otras encuestas configuradas como anónimas se guardan sin vínculo recuperable con el participante, en la propia estructura de la base de datos, y no simplemente ocultas en la pantalla. Los resultados aparecen solo de forma agregada y con un número mínimo de respuestas.

Los indicadores calculados por la plataforma suprimen resultados cuando el recorte es lo bastante pequeño como para identificar a alguien. Rhye no atiende solicitudes para identificar a los participantes de encuestas anónimas, y la empresa cliente se compromete, por contrato, a no intentar reidentificarlos.

07Con quién compartimos

No vendemos datos personales. Compartimos datos únicamente con quien los necesita para que la plataforma funcione, en las categorías indicadas a continuación, bajo contrato con cláusulas de protección de datos:

• Proveedor de infraestructura en la nube: alojamiento de las aplicaciones, bases de datos, almacenamiento de archivos y copias de seguridad.
• Proveedor de modelos de lenguaje: procesamiento de textos y consultas a través de Aeva y de las funcionalidades asistidas por IA, sin uso de los datos para entrenamiento.
• Proveedor de correo electrónico transaccional: envío de invitaciones, notificaciones y comunicaciones de la plataforma.
• Google LLC (Google Calendar), solo cuando la empresa habilita la integración y cada Usuario autoriza individualmente, vía OAuth, el acceso a su propia agenda para 1:1 y reuniones.
• Herramienta de monitoreo y logs: monitoreo de errores y disponibilidad, con datos minimizados.

Algunos de esos proveedores, en especial los de infraestructura en la nube, modelos de lenguaje y de correo electrónico, procesan datos fuera de Brasil. Esas transferencias internacionales se realizan con las salvaguardas del art. 33 de la LGPD, mediante cláusulas contractuales de protección de datos. La lista actualizada de subencargados se entrega a las empresas clientes en el Acuerdo de Conformidad con la LGPD y a solicitud al Delegado de Protección de Datos (DPO); las incorporaciones y sustituciones se comunican con antelación.

También podemos compartir datos cuando lo exija la ley, una orden judicial o una autoridad competente, comunicándolo a la empresa cliente, salvo prohibición legal.

08Cómo protegemos los datos

• Cifrado en reposo en las bases de datos y en las copias de seguridad, y en tránsito, con TLS, entre navegador, servicios internos y proveedores. Las claves se gestionan mediante un servicio dedicado del proveedor de nube, con acceso restringido.
• Aislamiento lógico por empresa: toda consulta está vinculada a la organización del Usuario autenticado, sin posibilidad de lectura entre clientes.
• Control de acceso por rol y permiso dentro de la plataforma, configurado por el administrador de la empresa, con cadena de cargo, rol y ajustes individuales.
• Acceso de personas de Rhye a entornos productivos restringido por función, con credenciales individuales y revisión periódica. Acceso humano a contenido individual únicamente a solicitud escrita de la empresa, limitado a lo necesario y registrado.
• Registro de auditoría de las acciones relevantes (creación, modificación, eliminación, exportación), con autor, fecha y hora, consultable por el administrador de la empresa.
• Separación entre entornos de desarrollo, homologación y producción; los datos reales de clientes no se copian a entornos de desarrollo.
• Revisión de código antes de la publicación, actualización continua de dependencias y correcciones de seguridad, y proceso de respuesta a incidentes.
• Personas de Rhye sujetas a un acuerdo de confidencialidad y a orientación sobre protección de datos.

Ningún sistema es infalible. Si ocurre un incidente de seguridad que pueda acarrear riesgo o daño relevante a las personas, lo comunicamos a la empresa cliente sin demora injustificada, en los plazos previstos en el contrato, y a la ANPD y a los titulares cuando la ley así lo exija, con la información que ya esté disponible y las medidas adoptadas.

09Por cuánto tiempo guardamos

• Newsletter: mientras usted quiera recibirla. Todo correo trae la opción de darse de baja, y la solicitud de eliminación puede hacerse a través del contacto al final de esta página.
• Postulaciones al programa de design partners: por el tiempo necesario para evaluar y responder a la solicitud y, si hay contrato, por su vigencia.
• Datos de la empresa cliente en la plataforma: por la vigencia del contrato. Al término, la empresa puede pedir la exportación íntegra en formato estructurado dentro de un plazo de hasta 30 días. Después de eso, y no habiendo contratación de plan, eliminamos los datos de los entornos productivos en un plazo de hasta 30 días después del fin del plazo de exportación. Las copias de seguridad se eliminan en el ciclo normal de rotación.
• Registros de acceso y logs técnicos: por el plazo exigido por el Marco Civil da Internet y por el período limitado necesario para la seguridad y el diagnóstico, definido en el contrato con la empresa cliente.
• Datos exigidos por obligación legal, fiscal o para el ejercicio de derechos en un proceso: por el plazo legal correspondiente.

10Cookies y almacenamiento local

El sitio y la plataforma no usan cookies de rastreo, píxeles de publicidad ni herramientas de analytics de terceros. Por eso no hay banner de cookies: no existe nada no esencial que aceptar.

Lo que existe es almacenamiento local del navegador, estrictamente necesario para el funcionamiento:

• idioma y tema elegidos, para que el sitio recuerde su preferencia;
• en la app autenticada, el token de la sesión y una caché de los datos básicos del perfil, que permiten mantenerlo conectado;
• preferencias de interfaz, como la barra lateral contraída.

Puede borrar todo esto en cualquier momento en la configuración del navegador. Al hacerlo, la sesión se cierra y las preferencias vuelven a los valores predeterminados.

11Sus derechos

La LGPD le garantiza, en cualquier momento y mediante solicitud, los derechos del art. 18: confirmación de la existencia de tratamiento; acceso; corrección de datos incompletos, inexactos o desactualizados; anonimización, bloqueo o eliminación de datos innecesarios o tratados en disconformidad; portabilidad; información sobre el intercambio de datos; información sobre la posibilidad de no consentir y sus consecuencias; revocación del consentimiento; y oposición a un tratamiento irregular.

Para los datos que Rhye trata como responsable del tratamiento (newsletter, formularios, relación contractual), escriba al Delegado de Protección de Datos (DPO) a través del contacto al final de esta página. Respondemos en los plazos de la ley y podemos pedir información para confirmar su identidad.

Para los datos introducidos en la plataforma por una empresa cliente, la solicitud debe dirigirse a la propia empresa, que es la responsable del tratamiento. Si nos escribe directamente, remitiremos la solicitud a la empresa y la apoyaremos en la atención, con las funcionalidades de la plataforma o mediante atención directa.

También puede presentar una reclamación ante la ANPD.

12Niños y adolescentes

El sitio y la plataforma no están destinados a menores de 18 años y no recopilamos, de forma consciente, datos de niños o adolescentes. Si tomamos conocimiento de que eso ocurrió, eliminaremos los datos.

13Modificaciones de esta política

Podemos actualizar esta política para reflejar cambios en el producto, en la ley o en nuestras prácticas. La versión vigente, con la fecha de la última actualización, está siempre publicada en esta página. Los cambios relevantes se comunican a las empresas clientes a través de los contactos del contrato y, cuando corresponda, a los suscriptores de la newsletter.

14Delegado de Protección de Datos y contacto

El Delegado de Protección de Datos (DPO) de Rhye puede ser contactado en erickkbonfim@gmail.com, con el asunto "Privacidad". Ese es el canal para el ejercicio de derechos, dudas sobre esta política, comunicaciones sobre incidentes y solicitudes de empresas clientes sobre subencargados y medidas de seguridad.