Política de Privacidad — MaiaWay

1. Quiénes somos

MaiaWay es una plataforma de orientación profesional basada en inteligencia artificial que ofrece análisis de currículum y LinkedIn, evaluaciones psicométricas, recomendación de vacantes y seguimiento por mentores. La Plataforma es operada por MaiaWay, en su condición de Responsable del tratamiento de tus datos personales (LGPD art. 5º, VI; GDPR art. 4(7)).

Delegado de Protección de Datos / Data Protection Officer (DPO):
Marcio El Kalay
Correo electrónico: dpo@maiaway.ai

Puedes contactar a nuestro DPO en cualquier momento para ejercer tus derechos como titular de datos o aclarar dudas sobre esta Política. El DPO atiende, por igual, a titulares en Brasil y en la Unión Europea.

2. Datos personales que recopilamos

a) Datos de registro e identificación:

nombre completo, correo electrónico, contraseña (almacenada de forma cifrada), número de teléfono (cuando activas el acceso por WhatsApp), fecha de nacimiento (cuando se proporciona), foto de perfil.

b) Datos profesionales y de carrera:

currículum (archivo cargado por ti y versión estructurada extraída por IA), perfil de LinkedIn (extraído mediante integración cuando proporcionas el enlace), historial profesional, formación académica, certificaciones, idiomas, ubicación, objetivos profesionales, puestos y sectores de interés.

c) Datos de la evaluación psicométrica MAIA:

respuestas al cuestionario de 25 preguntas que combina elementos DISC, MBTI y OCAI, y el informe de personalidad generado a partir de ellas. Estos datos pueden revelar inferencias sobre rasgos de personalidad — tratados como datos personales sensibles (LGPD art. 5º, II) y/o como categorías especiales de datos personales (GDPR art. 9(1)) cuando proceda.

d) Contenido de las comunicaciones:

mensajes intercambiados con nuestros agentes de IA por WhatsApp o a través de la Plataforma, notas de sesiones con mentores y comentarios que nos proporcionas.

e) Datos técnicos y de uso:

dirección IP, identificador del navegador, sistema operativo, modelo del dispositivo, idioma, zona horaria, páginas visitadas, acciones realizadas en la Plataforma, identificadores de cookies (incluidas cookies de marketing como _fbp, _fbc de Meta y _ga de Google Analytics), e identificadores de clics en anuncios (como fbclid, gclid, ctwa_clid).

f) Datos de transacción:

cuando contratas un plan de pago, procesamos la transacción a través de Hotmart. No almacenamos datos de tarjetas de crédito o débito en nuestros sistemas. Solo recibimos la confirmación de la compra y los datos de facturación necesarios para emitir factura.

3. Cómo recopilamos los datos

Recopilamos tus datos:

• Directamente de ti, al registrarte, completar tu perfil, cargar archivos, responder a la evaluación o conversar con nuestros agentes;
• Automáticamente, mediante cookies y tecnologías similares, cuando navegas por la Plataforma;
• De terceros, específicamente de Meta (cuando inicias una conversación al hacer clic en un anuncio de WhatsApp), de LinkedIn (a través de Apify, con base en la URL pública que proporcionas) y de proveedores de autenticación social (Google, cuando eliges iniciar sesión con Google).

4. Para qué utilizamos tus datos

a) Prestación de los servicios contratados:

analizar tu currículum y LinkedIn, generar recomendaciones de carrera, realizar la evaluación psicométrica, identificar vacantes compatibles con tu perfil, posibilitar la comunicación con mentores y mantener tu cuenta operativa.

b) Personalización y mejora de la experiencia:

adaptar el contenido, el idioma y las recomendaciones a tu perfil, guardar tus preferencias y mantener el estado de tu recorrido en la Plataforma.

c) Comunicaciones operativas:

enviar mensajes transaccionales (confirmaciones de registro, recuperación de contraseña, actualizaciones sobre el estado de tu evaluación o recomendación) y notificaciones sobre cambios en los servicios o en esta Política.

d) Comunicaciones comerciales y de marketing (solo con tu consentimiento):

enviar contenidos sobre carrera profesional, novedades de la Plataforma y ofertas. Puedes optar por no recibir estas comunicaciones en cualquier momento, sin que ello afecte tu uso de la Plataforma.

e) Métricas, seguridad y mejora continua:

medir el rendimiento de la Plataforma, identificar y prevenir fraudes y abusos, realizar pruebas A/B y generar informes analíticos agregados (sin identificación individual).

f) Cumplimiento de obligaciones legales y reglamentarias:

emitir documentos fiscales, atender requerimientos de las autoridades competentes y conservar registros durante los plazos exigidos por la ley.

5. Bases legales para el tratamiento

Tratamos tus datos personales con base en los fundamentos legales previstos en el art. 7º de la LGPD y, para titulares en la Unión Europea, en las bases equivalentes del art. 6º del GDPR:

• Prestación de los servicios contratados (finalidades 4.a, 4.b, 4.c) — Ejecución de contrato (LGPD art. 7º, V; GDPR art. 6(1)(b)).
• Marketing y comunicaciones comerciales (finalidad 4.d) — Consentimiento (LGPD art. 7º, I; GDPR art. 6(1)(a)).
• Métricas, seguridad y prevención de fraude (finalidad 4.e) — Interés legítimo (LGPD art. 7º, IX; GDPR art. 6(1)(f)). Para titulares en la UE, mantenemos un test de ponderación documentado (Legitimate Interests Assessment), disponible mediante solicitud al DPO.
• Emisión de facturas y atención a autoridades (finalidad 4.f) — Cumplimiento de obligación legal y reglamentaria (LGPD art. 7º, II; GDPR art. 6(1)(c)).

Para los datos sensibles que puedan inferirse de tus respuestas a la evaluación psicométrica (como rasgos de personalidad), el tratamiento se realiza exclusivamente con base en consentimiento específico y destacado (LGPD art. 11, I) o consentimiento explícito (GDPR art. 9(2)(a)), que otorgas al iniciar la evaluación. Puedes revocar este consentimiento en cualquier momento.

6. Cómo compartimos tus datos

No vendemos tus datos personales. Los compartimos con terceros solo en la medida estrictamente necesaria. Todos los operadores/encargados del tratamiento que se enumeran a continuación están vinculados por contratos de tratamiento de datos (LGPD art. 39; GDPR art. 28), con obligaciones de confidencialidad, seguridad y uso restringido a nuestras instrucciones:

Proveedores de infraestructura

• Amazon Web Services (AWS) — alojamiento (región us-east-2, EE. UU.).
• Render — entorno de homologación (staging).

Proveedores de inteligencia artificial

• OpenAI, Anthropic, Google (Vertex AI / Gemini) — modelos de lenguaje para el análisis de currículum y LinkedIn y la generación de informes. Los datos se envían bajo contrato con cláusulas de confidencialidad y de no retención para entrenamiento, cuando dicha opción está disponible.

Proveedor de extracción de datos públicos

• Apify — extracción de datos públicos de LinkedIn, únicamente cuando proporcionas la URL de tu perfil.

Proveedor de pagos

• Hotmart — procesamiento de transacciones de planes de pago. Los datos de pago son tratados directamente por Hotmart conforme a su propia política.

Comunicación por WhatsApp

• Meta (WhatsApp Business Platform) — entrega de mensajes entre tú y nuestros agentes de IA.

Medición y analítica

• Meta (Pixel + Conversions API) — eventos de conversión para la optimización de campañas.
• Google Analytics 4 — análisis de uso de la Plataforma.
• Microsoft Clarity — grabación de sesiones y mapas de calor; los campos con datos personales (correo, nombre, teléfono, currículum) están enmascarados.

Autoridades públicas: podemos compartir datos cuando estemos obligados por ley, resolución judicial o requerimiento administrativo debidamente fundamentado.

Sucesión empresarial: en caso de fusión, adquisición o venta de activos, tus datos podrán transferirse a la entidad sucesora, bajo las mismas obligaciones de esta Política.

7. Transferencia internacional de datos

Parte de los servicios que utilizamos están alojados fuera de Brasil y del Espacio Económico Europeo (EEE) — en particular AWS (EE. UU.), proveedores de IA (EE. UU.) y herramientas de analítica (EE. UU.). Garantizamos que estas transferencias internacionales se realicen sobre la base de garantías adecuadas:

• Para titulares en Brasil — conforme al art. 33 de la LGPD, mediante cláusulas contractuales tipo, normas corporativas vinculantes o la adhesión de los encargados a marcos reconocidos de protección de datos.
• Para titulares en la Unión Europea — conforme a los arts. 44 a 49 del GDPR, mediante Cláusulas Contractuales Tipo (Standard Contractual Clauses — SCCs) aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914), decisiones de adecuación cuando proceda (por ejemplo, el EU-US Data Privacy Framework para proveedores certificados), y medidas técnicas y organizativas suplementarias (cifrado en tránsito y en reposo, controles de acceso). Realizamos evaluaciones de impacto de transferencia (Transfer Impact Assessments) cuando sea necesario.

Puedes solicitar al DPO una copia de las SCCs aplicables y de la documentación de evaluación de transferencia.

8. Durante cuánto tiempo conservamos tus datos

• Datos de cuenta activa: mientras tu cuenta permanezca activa.
• Datos de cuenta inactiva: hasta 24 meses desde la última interacción, tras los cuales tu cuenta podrá ser anonimizada o eliminada.
• Contenido de comunicaciones: hasta 24 meses, para garantizar la continuidad del contexto.
• Registros de evaluación MAIA: hasta 36 meses, para permitir la comparación histórica.
• Datos de transacción y facturación: plazo legal aplicable (mínimo 5 años a efectos fiscales).
• Registros técnicos y de seguridad: hasta 12 meses.
• Datos tras el ejercicio del derecho a supresión: eliminados en un plazo máximo de 15 días hábiles (LGPD) o en el plazo de un mes, prorrogable por dos meses adicionales en casos complejos (GDPR art. 12(3)) — lo que resulte más favorable para ti — salvo cuando su conservación sea exigida por una obligación legal o para el ejercicio regular de derechos.

Transcurridos estos plazos, los datos son eliminados o anonimizados de forma irreversible.

9. Tus derechos como titular de datos

La LGPD (art. 18) y el GDPR (arts. 15 a 22) te garantizan un amplio conjunto de derechos sobre tus datos personales. Los derechos siguientes se aplican a todos los usuarios de la Plataforma. Cuando el GDPR otorga un derecho sin equivalente directo en la LGPD (o viceversa), indicamos el régimen aplicable.

Derechos comunes a la LGPD y al GDPR

1. Confirmación y acceso a los datos personales objeto de tratamiento (LGPD art. 18, I y II; GDPR art. 15);
2. Rectificación de datos incompletos, inexactos o desactualizados (LGPD art. 18, III; GDPR art. 16);
3. Supresión de los datos personales («derecho al olvido») (LGPD art. 18, VI; GDPR art. 17);
4. Portabilidad de los datos a otro proveedor, en un formato estructurado y de uso común (LGPD art. 18, V; GDPR art. 20);
5. Limitación o bloqueo del tratamiento de datos innecesarios, excesivos o tratados de forma no conforme (LGPD art. 18, IV; GDPR art. 18);
6. Oposición al tratamiento realizado con base en el interés legítimo, marketing directo o interés público (LGPD art. 18, §2º; GDPR art. 21);
7. Revocación del consentimiento en cualquier momento, sin afectar a la licitud del tratamiento anterior (LGPD art. 8º, §5º; GDPR art. 7(3));
8. Revisión de decisiones automatizadas que afecten a tus intereses, con derecho a explicación e intervención humana (LGPD art. 20; GDPR art. 22).

Derechos adicionales bajo la LGPD

• Anonimización de datos innecesarios o excesivos (LGPD art. 18, IV);
• Información sobre las entidades públicas y privadas con las que compartimos tus datos (LGPD art. 18, VII);
• Información sobre la posibilidad de no otorgar consentimiento y las consecuencias de su negativa (LGPD art. 18, VIII).

Para ejercer cualquiera de estos derechos, contáctanos a través de los canales de la Sección 13. Responderemos en un plazo máximo de 15 días hábiles (LGPD) o de un mes, prorrogable por dos meses adicionales en casos complejos (GDPR art. 12(3)) — lo que resulte más favorable para ti.

Derecho a presentar reclamación

Si consideras que tus derechos no han sido atendidos adecuadamente:

• En Brasil — presenta una reclamación ante la Autoridad Nacional de Protección de Datos de Brasil (Autoridade Nacional de Proteção de Dados — ANPD): www.gov.br/anpd.
• En la Unión Europea — presenta una reclamación ante la autoridad de control de tu Estado miembro de residencia habitual, lugar de trabajo o lugar de la presunta infracción (GDPR art. 77). La lista oficial de autoridades de control de la UE está disponible en el Comité Europeo de Protección de Datos (EDPB): edpb.europa.eu. En España, la autoridad de control es la Agencia Española de Protección de Datos (AEPD): www.aepd.es.

10. Decisiones automatizadas y uso de inteligencia artificial

MaiaWay utiliza modelos de IA para generar análisis, recomendaciones e informes de carrera. Estos tratamientos pueden constituir decisiones automatizadas en los términos del art. 20 de la LGPD y del art. 22 del GDPR. Tienes derecho a:

• Solicitar información clara y adecuada sobre los criterios y procedimientos utilizados en la decisión automatizada (LGPD art. 20, §1º; GDPR arts. 13(2)(f) y 15(1)(h));
• Solicitar la revisión humana de las decisiones y recomendaciones generadas automáticamente que afecten a tus intereses (LGPD art. 20; GDPR art. 22(3));
• Expresar tu punto de vista e impugnar la decisión (GDPR art. 22(3)).

Para ejercer estos derechos, basta con enviar una solicitud al DPO.

Importante: los análisis y recomendaciones generados por la IA tienen carácter orientativo e informativo. No sustituyen el asesoramiento profesional certificado en recursos humanos, psicología, derecho laboral u orientación vocacional. Las decisiones de carrera son de tu exclusiva responsabilidad.

11. Menores de edad

La Plataforma está destinada a usuarios de 18 años o más. No recopilamos intencionalmente datos de menores de 18 años. Este límite supera los mínimos establecidos tanto por la LGPD (art. 14, que exige consentimiento específico de los responsables para el tratamiento de datos de niños y adolescentes) como por el GDPR (art. 8º, que establece la edad mínima de consentimiento para los servicios de la sociedad de la información entre 13 y 16 años, según el Estado miembro — en España, 14 años). Si identificamos el registro de un menor sin el consentimiento de sus responsables, eliminaremos los datos de inmediato.

12. Cookies y tecnologías similares

Utilizamos cookies para: mantener tu sesión activa tras iniciar sesión (estrictamente necesarias); recordar tus preferencias de idioma y configuración (funcionalidad); medir el rendimiento y el uso agregado (analíticas); medir la eficacia de las campañas publicitarias (marketing — solo con tu consentimiento).

Para usuarios en la Unión Europea y el Reino Unido, las cookies no estrictamente necesarias (analíticas y de marketing) solo se instalan tras consentimiento previo y granular, conforme a la Directiva ePrivacy y la normativa local aplicable (p. ej., LSSI-CE en España, PECR en el Reino Unido).

Puedes gestionar tus preferencias de cookies en cualquier momento a través del banner mostrado en el primer acceso o desde la configuración de tu navegador. La desactivación de cookies estrictamente necesarias puede comprometer el funcionamiento de la Plataforma.

13. Cómo ejercer tus derechos y contactarnos

Delegado de Protección de Datos / DPO: Marcio El Kalay — dpo@maiaway.ai
Atención general: contato@maiaway.ai
Responderemos en un plazo máximo de 15 días hábiles (LGPD) o de un mes, prorrogable por dos meses adicionales en casos complejos (GDPR art. 12(3)) — lo que resulte más favorable para ti.

Los titulares en la Unión Europea también pueden presentar una reclamación ante la autoridad de control de su Estado miembro — véase la Sección 9.

14. Seguridad

Adoptamos medidas técnicas y organizativas razonables para proteger tus datos frente a accesos no autorizados, alteraciones, divulgación o destrucción (LGPD art. 46; GDPR art. 32), incluyendo: cifrado de contraseñas; HTTPS/TLS en toda la Plataforma; control de acceso por función (RBAC); monitorización continua (Sentry, Microsoft Clarity); copias de seguridad periódicas; y evaluación continua de proveedores. En caso de un incidente de seguridad que afecte tus datos, te lo comunicaremos a ti, a la ANPD y/o a la autoridad de control competente de la UE en los plazos exigidos por la legislación (LGPD art. 48; GDPR arts. 33 y 34 — normalmente 72 horas a la autoridad).

15. Cambios en esta Política

Podemos actualizar esta Política periódicamente. La versión vigente es siempre la publicada en esta página, con la fecha de la última actualización y el número de versión indicados en la parte superior. Los cambios sustanciales serán comunicados con una antelación mínima de 15 días por correo electrónico o mediante notificación destacada en la Plataforma.

16. Legislación aplicable y jurisdicción

Esta Política se rige por la legislación brasileña, en particular por la Ley General de Protección de Datos Personales (Lei nº 13.709/2018), el Marco Civil de Internet de Brasil (Lei nº 12.965/2014 — «Marco Civil da Internet») y el Código de Defensa del Consumidor de Brasil (Lei nº 8.078/1990), cuando proceda.

Para los titulares de datos residentes en la Unión Europea, el tratamiento de los datos personales se rige adicionalmente por el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679 — GDPR) y por las demás normas de protección de datos aplicables en el Estado miembro correspondiente. Nada en esta Política limita los derechos garantizados por la legislación aplicable en materia de protección del consumidor o por las normas imperativas de jurisdicción en favor del titular.

Se elige el foro de la Comarca de la Capital del Estado de São Paulo, Brasil, para dirimir cualquier cuestión relativa a esta Política, sin perjuicio del derecho de los titulares en la Unión Europea de iniciar procedimientos ante los tribunales de su domicilio cuando así lo permita la normativa imperativa local.