Acuerdo de tratamiento de datos (DPA)

El presente acuerdo de tratamiento de datos (en adelante, el «DPA») regula el tratamiento de datos personales realizado por CVpass (en adelante, «el Encargado del tratamiento») por cuenta del cliente profesional que ha contratado un plan B2B (en adelante, «el Responsable del tratamiento»), de conformidad con el artículo 28 del Reglamento (UE) 2016/679 (RGPD).

Complementa las Condiciones Generales de Uso B2B y prevalece sobre ellas en caso de discrepancia relativa a la protección de datos.

• Naturaleza y finalidad: análisis de CV, puntuación ATS, reescritura asistida por IA, generación de PDF, gestión de las cuentas de los miembros y estadísticas agregadas de uso.
• Categorías de datos: datos de identificación (apellidos, nombre, email profesional), contenido del CV (trayectoria, competencias, formación), contenido de las ofertas de empleo subidas, metadatos de uso.
• Categorías de interesados: miembros de la organización cliente (empleados, estudiantes, candidatos acompañados).
• Duración: durante toda la vigencia del contrato, más un periodo de conservación máximo de 30 días tras la rescisión para los datos técnicos y de 6 meses para los datos de facturación, conforme a las obligaciones legales.

CVpass se compromete a:

• Tratar los datos únicamente siguiendo instrucciones documentadas del Responsable del tratamiento, salvo obligación legal en contrario.
• Garantizar la confidencialidad de los datos y velar por que las personas autorizadas estén sujetas a una obligación de confidencialidad.
• Aplicar las medidas técnicas y organizativas descritas en el artículo 6.
• Asistir al Responsable del tratamiento en el cumplimiento de sus obligaciones (respuesta a los derechos de los interesados, evaluaciones de impacto, notificaciones de violaciones).
• Al vencimiento del contrato, suprimir o devolver todos los datos en un plazo de 30 días y destruir las copias de seguridad en un plazo razonable que no supere los 90 días.

El Responsable del tratamiento autoriza a CVpass a recurrir a los siguientes subencargados del tratamiento:

• Vercel Inc. (Estados Unidos, marco DPF) — alojamiento de la aplicación, distribución y funciones serverless.
• Supabase Inc. (Alemania, Fráncfort) — base de datos PostgreSQL y almacenamiento de archivos.
• Clerk Inc. (Estados Unidos, marco DPF) — autenticación y gestión de las organizaciones.
• OpenAI, LLC (Estados Unidos, marco DPF) — análisis semántico y reescritura mediante IA. Ningún dato se utiliza con fines de entrenamiento; conservación de 30 días como máximo en OpenAI (vigilancia de abusos).
• Stripe Inc. (Estados Unidos / Irlanda) — procesamiento de pagos y facturación.
• Brevo (antes Sendinblue) (Francia) — envío de emails transaccionales.

Cualquier cambio en esta lista se notificará al Responsable del tratamiento por email con un preaviso de 30 días, lo que le permitirá oponerse por un motivo legítimo.

Las transferencias de datos a Estados Unidos se rigen por las Cláusulas Contractuales Tipo (CCT) de la Comisión Europea y por el Data Privacy Framework cuando el subencargado del tratamiento está certificado en él.

• Cifrado TLS 1.2+ en tránsito y cifrado en reposo en la base de datos.
• Separación estricta de los datos por organización (org_id).
• Autenticación reforzada multifactor disponible para los administradores.
• Registro de los accesos de los administradores y acceso únicamente a través de un túnel cifrado.
• Copias de seguridad diarias cifradas con retención de 7 días.
• Los datos de CV o de ofertas transmitidos a OpenAI no se utilizan para el entrenamiento y OpenAI los elimina en un plazo máximo de 30 días.

CVpass notificará al Responsable del tratamiento cualquier violación de datos personales sin dilación indebida y, a más tardar, en las 48 horas siguientes a haber tenido conocimiento de ella, por email a los contactos designados en la organización.

El Responsable del tratamiento puede, una vez al año y con un preaviso razonable, solicitar un informe de auditoría o la documentación de las medidas de seguridad. Puede realizarse una auditoría in situ a cargo del Responsable del tratamiento, respetando la confidencialidad de los demás clientes.

CVpass pone a disposición del Responsable del tratamiento las herramientas necesarias para responder a las solicitudes de los interesados (acceso, rectificación, supresión, portabilidad, oposición). Las solicitudes recibidas directamente por CVpass se transferirán al Responsable del tratamiento en un plazo de 5 días hábiles.

Delegado de protección de datos: dpo@cvpass.fr.

El presente DPA se acepta por defecto al contratar un plan B2B. Puede facilitarse una versión firmada por ambas partes previa solicitud a legal@cvpass.fr.