Conformità al GDPR e sicurezza
Tutto quello che il tuo DPO deve sapere prima di firmare
CVpass è pensato per superare la due diligence del DPO (responsabile della protezione dei dati) di una scuola pubblica o di una società di consulenza. Hosting nell'UE, DPA firmabile, anonimizzazione a 6 mesi, separazione rigorosa per organizzazione. Documentazione completa qui sotto.
Sei impegni concreti
Hosting nell'Unione europea
Database e archiviazione dei file ospitati su Supabase (regione di Francoforte, Germania). Nessun dato dei clienti fuori dall'UE per l'archiviazione primaria.
DPA firmabile ai sensi dell'articolo 28
Accordo sul trattamento dei dati conforme all'articolo 28 del GDPR, accettato di default alla sottoscrizione B2B. Versione firmata da entrambe le parti disponibile su richiesta.
Anonimizzazione a 6 mesi
I CV e le offerte caricati vengono eliminati o anonimizzati dopo 6 mesi di inattività. I dati tecnici 30 giorni dopo la disdetta. Politica rigorosa di default.
Separazione per organizzazione
Ogni organizzazione cliente ha il proprio org_id. Nessuna visibilità incrociata tra organizzazioni. Policy di Row Level Security a livello di database.
Crittografia end-to-end
TLS 1.2+ in transito, AES-256 a riposo sul database. Certificati SSL rinnovati automaticamente. Backup crittografati con conservazione di 7 giorni.
IA senza addestramento sui tuoi dati
Usiamo l'API di OpenAI: i dati inviati non servono ad addestrare i modelli e OpenAI li conserva al massimo 30 giorni (monitoraggio degli abusi) prima di eliminarli.
Sub-responsabili e finalità
Elenco completo dei sub-responsabili del trattamento e delle relative finalità. Ogni modifica viene notificata via email con un preavviso di 30 giorni.
| Sub-responsabile | Regione |
|---|---|
| Vercel Inc. | Stati Uniti (DPF) |
| Supabase Inc. | Germania (UE) |
| Clerk Inc. | Stati Uniti (DPF) |
| OpenAI, LLC | Stati Uniti (DPF) |
| Stripe Inc. | Stati Uniti / Irlanda |
| Brevo (Sendinblue) | Francia (UE) |
Diritti degli interessati
CVpass mette a disposizione del titolare del trattamento gli strumenti necessari per rispondere alle richieste degli interessati. Le richieste ricevute direttamente da CVpass vengono trasferite entro 5 giorni lavorativi.
- Diritto di accesso ai dati
- Diritto di rettifica
- Diritto alla cancellazione
- Diritto alla portabilità
- Diritto di opposizione
- Diritto di limitazione del trattamento
FAQ
Le domande più frequenti dei DPO
Le risposte alle 5 domande che i responsabili della protezione dei dati ci fanno per prime durante un audit prima della firma.
Dove sono archiviati i dati? Restano nell'Unione europea?
I dati primari (CV, offerte, metadati di utilizzo, organizzazioni, membri) sono archiviati su Supabase, regione di Francoforte (Germania, UE). Nessuna replica fuori dall'UE. Gli unici trasferimenti verso gli Stati Uniti riguardano i sub-responsabili del trattamento (Vercel per l'hosting front-end, Clerk per l'autenticazione, OpenAI per l'IA), tutti certificati DPF (Data Privacy Framework), con in più le CCT (clausole contrattuali tipo).
Il DPA si può firmare da entrambe le parti o va accettato così com'è?
Entrambe le opzioni. Il DPA viene accettato tacitamente alla sottoscrizione B2B (testo pubblicato su /b2b/dpa). Per le organizzazioni che chiedono una firma bilaterale, basta scrivere a legal@cvpass.fr: inviamo un PDF entro 48 ore lavorative, firmabile tramite DocuSign o su carta in base alle tue esigenze.
Quale politica di anonimizzazione si applica dopo la fine del contratto?
Eliminazione dei dati tecnici (log, metadati) entro 30 giorni dalla disdetta. Eliminazione dei CV e delle offerte caricati entro 90 giorni. Anonimizzazione automatica a 6 mesi di inattività, anche per gli abbonamenti attivi (i CV non vengono conservati a tempo indeterminato). Le fatture sono conservate 10 anni per gli obblighi contabili francesi.
Cosa fa OpenAI con i nostri dati quando l'IA analizza un CV?
Non li usa per addestrare i suoi modelli. Secondo le condizioni dell'API di OpenAI, i dati inviati sono conservati al massimo 30 giorni per il monitoraggio degli abusi, poi eliminati. Documentato nel nostro DPA ai sensi dell'articolo 28.
Entro quanto tempo viene notificata una violazione dei dati?
Entro 48 ore al massimo dalla presa di conoscenza, via email ai contatti designati nell'organizzazione cliente, in conformità all'articolo 33 del GDPR. Il DPO di CVpass (dpo@cvpass.fr) coordina la procedura, compresa la notifica alla CNIL (l'autorità francese per la protezione dei dati) se necessario.
Una domanda specifica sul GDPR?
Il nostro responsabile della protezione dei dati risponde entro 48 ore lavorative. Audit documentale annuale disponibile per i clienti sotto contratto.