Accordo sul trattamento dei dati (DPA)

Il presente accordo sul trattamento dei dati (di seguito il «DPA») disciplina il trattamento dei dati personali effettuato da CVpass (di seguito «il Responsabile del trattamento») per conto del cliente professionale che ha sottoscritto un piano B2B (di seguito «il Titolare del trattamento»), ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 (GDPR).

Integra le Condizioni Generali d'Uso B2B e prevale su di esse in caso di divergenza in materia di protezione dei dati.

• Natura e finalità: analisi dei CV, punteggio ATS, riscrittura assistita dall'IA, generazione di PDF, gestione degli account dei membri e statistiche aggregate di utilizzo.
• Categorie di dati: dati identificativi (cognome, nome, email professionale), contenuto dei CV (percorso, competenze, formazione), contenuto delle offerte di lavoro caricate, metadati di utilizzo.
• Categorie di interessati: membri dell'organizzazione cliente (collaboratori, studenti, candidati seguiti).
• Durata: per tutta la durata del contratto, più un periodo di conservazione massimo di 30 giorni dopo la disdetta per i dati tecnici e di 6 mesi per i dati di fatturazione, in conformità agli obblighi di legge.

CVpass si impegna a:

• Trattare i dati esclusivamente su istruzione documentata del Titolare del trattamento, salvo diverso obbligo di legge.
• Garantire la riservatezza dei dati e assicurarsi che le persone autorizzate siano soggette a un obbligo di riservatezza.
• Attuare le misure tecniche e organizzative descritte all'articolo 6.
• Assistere il Titolare del trattamento nel rispetto dei suoi obblighi (risposte all'esercizio dei diritti degli interessati, valutazioni d'impatto, notifiche di violazione).
• Alla scadenza del contratto, cancellare o restituire tutti i dati entro 30 giorni e distruggere le copie di backup entro un termine ragionevole non superiore a 90 giorni.

Il Titolare del trattamento autorizza CVpass a ricorrere ai seguenti sub-responsabili del trattamento:

• Vercel Inc. (Stati Uniti, quadro DPF) — hosting dell'applicazione, distribuzione e funzioni serverless.
• Supabase Inc. (Germania, Francoforte) — database PostgreSQL e archiviazione dei file.
• Clerk Inc. (Stati Uniti, quadro DPF) — autenticazione e gestione delle organizzazioni.
• OpenAI, LLC (Stati Uniti, quadro DPF) — analisi semantica e riscrittura tramite IA. Nessun dato viene utilizzato a fini di addestramento; conservazione presso OpenAI per un massimo di 30 giorni (monitoraggio degli abusi).
• Stripe Inc. (Stati Uniti / Irlanda) — elaborazione dei pagamenti e fatturazione.
• Brevo (ex Sendinblue) (Francia) — invio di email transazionali.

Qualsiasi modifica di questo elenco sarà notificata al Titolare del trattamento via email con un preavviso di 30 giorni, consentendogli di opporsi per un motivo legittimo.

I trasferimenti di dati verso gli Stati Uniti sono disciplinati dalle Clausole Contrattuali Tipo (CCT) della Commissione europea e dal Data Privacy Framework quando il sub-responsabile del trattamento vi è certificato.

• Crittografia TLS 1.2+ in transito e crittografia a riposo del database.
• Separazione rigorosa dei dati per organizzazione (org_id).
• Autenticazione forte a più fattori disponibile per gli amministratori.
• Registrazione degli accessi degli amministratori e accesso esclusivamente tramite tunnel crittografato.
• Backup giornalieri crittografati con conservazione di 7 giorni.
• I dati dei CV o delle offerte trasmessi a OpenAI non vengono utilizzati per l'addestramento e sono cancellati da OpenAI entro un massimo di 30 giorni.

CVpass notificherà al Titolare del trattamento qualsiasi violazione dei dati personali senza ingiustificato ritardo e al più tardi entro 48 ore dal momento in cui ne è venuta a conoscenza, via email ai contatti designati nell'organizzazione.

Il Titolare del trattamento può, una volta all'anno e con un preavviso ragionevole, richiedere un rapporto di audit o la documentazione delle misure di sicurezza. Un audit in loco può essere effettuato a spese del Titolare del trattamento, nel rispetto della riservatezza degli altri clienti.

CVpass mette a disposizione del Titolare del trattamento gli strumenti necessari per rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità, opposizione). Le richieste ricevute direttamente da CVpass saranno trasferite al Titolare del trattamento entro 5 giorni lavorativi.

Responsabile della protezione dei dati: dpo@cvpass.fr.

Il presente DPA è accettato di default al momento della sottoscrizione di un piano B2B. Su richiesta può essere fornita una versione firmata da entrambe le parti, scrivendo a legal@cvpass.fr.