Cumplimiento del RGPD y seguridad
Todo lo que tu DPD debe saber antes de firmar
CVpass está pensado para superar la due diligence del DPD (delegado de protección de datos) de una escuela pública o de una consultora. Alojamiento en la UE, DPA firmable, anonimización a los 6 meses, separación estricta por organización. Documentación completa a continuación.
Seis compromisos concretos
Alojamiento en la Unión Europea
Base de datos y almacenamiento de archivos alojados en Supabase (región de Fráncfort, Alemania). Ningún dato de clientes fuera de la UE en el almacenamiento principal.
DPA firmable conforme al artículo 28
Acuerdo de tratamiento de datos conforme al artículo 28 del RGPD, aceptado por defecto al contratar un plan B2B. Versión firmada por ambas partes disponible bajo petición.
Anonimización a los 6 meses
Los CV y ofertas subidos se eliminan o anonimizan tras 6 meses sin actividad. Los datos técnicos, 30 días después de la rescisión. Política estricta por defecto.
Separación por organización
Cada organización cliente tiene su propio org_id. Ninguna visibilidad cruzada entre organizaciones. Política de Row Level Security a nivel de base de datos.
Cifrado de extremo a extremo
TLS 1.2+ en tránsito, AES-256 en reposo en la base de datos. Certificados SSL renovados automáticamente. Copias de seguridad cifradas con 7 días de retención.
IA que no se entrena con tus datos
Usamos la API de OpenAI: los datos enviados no sirven para entrenar los modelos, y OpenAI los conserva 30 días como máximo (vigilancia de abusos) antes de eliminarlos.
Subencargados y finalidades
Lista exhaustiva de los subencargados del tratamiento y su finalidad. Cualquier cambio se notifica por email con un preaviso de 30 días.
| Subencargado | Región |
|---|---|
| Vercel Inc. | Estados Unidos (DPF) |
| Supabase Inc. | Alemania (UE) |
| Clerk Inc. | Estados Unidos (DPF) |
| OpenAI, LLC | Estados Unidos (DPF) |
| Stripe Inc. | Estados Unidos / Irlanda |
| Brevo (Sendinblue) | Francia (UE) |
Derechos de los interesados
CVpass pone a disposición del responsable del tratamiento las herramientas necesarias para responder a las solicitudes de los interesados. Las solicitudes recibidas directamente por CVpass se transfieren en un plazo de 5 días hábiles.
- Derecho de acceso a los datos
- Derecho de rectificación
- Derecho de supresión
- Derecho a la portabilidad
- Derecho de oposición
- Derecho a la limitación del tratamiento
FAQ
Las preguntas más frecuentes de los DPD
Las respuestas a las 5 preguntas que los delegados de protección de datos nos hacen primero durante una auditoría previa a la firma.
¿Dónde se almacenan los datos? ¿Permanecen en la Unión Europea?
Los datos principales (CV, ofertas, metadatos de uso, organizaciones, miembros) se almacenan en Supabase, región de Fráncfort (Alemania, UE). Ninguna replicación fuera de la UE. Las únicas transferencias a Estados Unidos afectan a los subencargados del tratamiento (Vercel para el alojamiento front-end, Clerk para la autenticación, OpenAI para la IA), todos certificados DPF (Data Privacy Framework) y con CCT (cláusulas contractuales tipo) como complemento.
¿El DPA se puede firmar por ambas partes o se impone tal cual?
Las dos opciones. El DPA se acepta tácitamente al contratar un plan B2B (texto publicado en /b2b/dpa). Si tu organización pide una firma por ambas partes, escribe a legal@cvpass.fr: te enviamos un PDF en 48 h hábiles, que puedes firmar con DocuSign o en papel según tus requisitos.
¿Qué política de anonimización se aplica al terminar el contrato?
Eliminación de los datos técnicos (logs, metadatos) en los 30 días siguientes a la rescisión. Eliminación de los CV y ofertas subidos en un plazo de 90 días. Anonimización automática a los 6 meses sin actividad, incluso en suscripciones activas (los CV no se conservan indefinidamente). Las facturas se conservan 10 años por obligaciones contables francesas.
¿Qué hace OpenAI con nuestros datos cuando la IA analiza un CV?
No los usa para entrenar sus modelos. Según las condiciones de la API de OpenAI, los datos enviados se conservan 30 días como máximo para la vigilancia de abusos y después se eliminan. Está documentado en nuestro DPA del artículo 28.
¿Cuál es el plazo de notificación en caso de violación de datos?
48 horas como máximo desde que se tiene conocimiento, por email a los contactos designados en la organización cliente, conforme al artículo 33 del RGPD. El DPD de CVpass (dpo@cvpass.fr) coordina el procedimiento, incluida la notificación a la CNIL (autoridad francesa de protección de datos) si es necesario.
¿Una pregunta concreta sobre el RGPD?
Nuestro delegado de protección de datos responde en 48 h hábiles. Auditoría documental anual disponible para los clientes con contrato.