Acuerdo de encargo del tratamiento (DPA)

1. Partes y ámbito

1.1 Este acuerdo de encargo del tratamiento (el «DPA») se celebra entre el Cliente (el «Responsable») y CVtoBrand, tal como se define en la cláusula 1.1 de los términos y condiciones de CVtoBrand («CVtoBrand», el «Encargado»), y forma parte de dichos términos (los «Términos»). CVtoBrand comunicará al Responsable, previa solicitud, su identidad jurídica completa conforme a la cláusula 1.1 de los Términos.

1.2 Este DPA se aplica a todos los datos personales que CVtoBrand trata por cuenta del Cliente al prestar el Servicio, según se describe en el anexo A.

1.3 Las notificaciones en virtud de este DPA, incluidas las notificaciones de violaciones de la seguridad de los datos personales, las solicitudes de los interesados y las oposiciones a subencargados, dirigidas a CVtoBrand se envían a [email protected]. Las notificaciones en virtud de este DPA pueden realizarse válidamente por correo electrónico conforme a la cláusula 19.4 de los Términos.

2. Definiciones

Los términos «datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento», «subencargado», «interesado» y «violación de la seguridad de los datos personales» tienen el significado que les atribuye el Reglamento General de Protección de Datos (UE) 2016/679 («RGPD»). Los demás términos en mayúscula tienen el significado que les atribuyen los Términos.

3. Objeto, naturaleza, finalidad y duración

CVtoBrand trata datos personales únicamente para prestar el Servicio: convertir el texto que el navegador del Usuario extrae de los CV en perfiles de CV con la imagen corporativa del Cliente, en el idioma y la versión elegidos (con o sin los datos identificativos del candidato), conservar esos perfiles en el Espacio de trabajo del Cliente durante el plazo fijado por el Responsable y ponerlos a disposición para su exportación en PDF. CVtoBrand no conserva los archivos originales de los CV ni las fotos; las fotos permanecen en el dispositivo del Usuario. El tratamiento dura mientras estén vigentes los Términos y hasta la supresión conforme a la cláusula 13. Los detalles figuran en el anexo A.

4. Obligaciones del Responsable

4.1 El Responsable es el único responsable de la licitud del tratamiento y del cumplimiento de las leyes y normativas de su propio país y de cualquier otro país aplicable, incluidos la existencia de una base jurídica, la información a los interesados, la decisión sobre qué datos se suben, la fijación de los plazos de conservación, la decisión de anonimizar y la comunicación de la Salida a terceros.

4.2 El Responsable se asegura de que sus instrucciones sean lícitas y de no subir más datos personales de los necesarios. Si los CV contienen categorías especiales de datos personales, el Responsable es el único responsable de ello.

4.3 CVtoBrand no comprueba si el tratamiento realizado por el Responsable es lícito y no presta asesoramiento jurídico.

5. Instrucciones

CVtoBrand trata los datos personales únicamente siguiendo instrucciones documentadas del Responsable, que consisten en los Términos, este DPA y el uso por el Responsable de las funciones del Servicio, salvo que el tratamiento venga exigido por ley; en tal caso, CVtoBrand informará previamente al Responsable cuando esté permitido. CVtoBrand informará al Responsable si, a su juicio, una instrucción infringe el RGPD, sin estar obligada a revisar las instrucciones.

6. Confidencialidad

CVtoBrand garantiza que las personas autorizadas para tratar los datos personales están sujetas a un deber de confidencialidad.

7. Seguridad

CVtoBrand aplica medidas técnicas y organizativas adecuadas, teniendo en cuenta el estado de la técnica, los costes y los riesgos del tratamiento, según se describe en el anexo B. El Responsable confirma que ha evaluado estas medidas y las considera adecuadas para su tratamiento.

8. Subencargados

El Responsable otorga una autorización general para recurrir a los subencargados enumerados en el anexo C. CVtoBrand informará previamente al Responsable de cualquier subencargado nuevo o sustituido; el Responsable podrá oponerse por motivos razonables en un plazo de 14 días. Si no se encuentra una solución, el Responsable podrá resolver la parte afectada del Servicio, que constituye su único recurso. CVtoBrand impone por contrato a cada subencargado las mismas obligaciones de protección de datos que las establecidas en este DPA y sigue siendo responsable ante el Responsable del cumplimiento de las obligaciones de sus subencargados, de conformidad con el artículo 28, apartado 4, del RGPD.

9. Transferencias internacionales

Los datos personales solo se transfieren fuera del Espacio Económico Europeo si existen garantías adecuadas conforme al capítulo V del RGPD, como una decisión de adecuación o cláusulas contractuales tipo.

10. Asistencia

Teniendo en cuenta la naturaleza del tratamiento, CVtoBrand asistirá al Responsable con medidas razonables para responder a las solicitudes de los interesados y cumplir sus obligaciones en materia de seguridad, evaluaciones de impacto y consulta previa. Las solicitudes que los interesados envíen directamente a CVtoBrand se remitirán al Responsable. CVtoBrand podrá cobrar costes razonables por la asistencia que vaya más allá de las funciones estándar del Servicio.

11. Violaciones de la seguridad de los datos

CVtoBrand notificará al Responsable, sin dilación indebida tras tener conocimiento de ella, cualquier violación de la seguridad que afecte a sus datos personales y facilitará la información razonablemente disponible para que el Responsable pueda cumplir sus propias obligaciones de notificación. La notificación a la autoridad de control y a los interesados corresponde al Responsable.

12. Información y auditorías

CVtoBrand pondrá a disposición toda la información razonablemente necesaria para demostrar el cumplimiento del artículo 28 del RGPD y de este DPA, y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de un auditor autorizado por este y sujeto a confidencialidad. CVtoBrand podrá facilitar en primer lugar documentación, certificaciones o informes de auditoría; el Responsable valorará de buena fe si son suficientes. Las auditorías se realizarán como máximo una vez al año, con un preaviso mínimo de 30 días y en horario laboral, salvo que (i) una autoridad de control exija otra cosa, (ii) se haya producido una violación de la seguridad de los datos personales que afecte a los datos del Responsable, o (iii) existan indicios razonables de que CVtoBrand no cumple este DPA. Las auditorías corren a cargo del Responsable, salvo que la auditoría revele un incumplimiento sustancial por parte de CVtoBrand.

13. Devolución y supresión

13.1 Los perfiles de CV generados se conservan en el Espacio de trabajo del Responsable solo durante el plazo de conservación fijado por su administrador en el Servicio (actualmente 7, 14, 30, 60 o 90 días; 14 días por defecto). Cambiar el plazo de conservación no prolonga los perfiles ya existentes. Al finalizar el plazo, el perfil se suprime. Las entradas de los registros de auditoría (sin contenido de CV) no se conservan más de 12 meses.

13.2 Los archivos originales de los CV se leen en el navegador del Usuario y CVtoBrand no los conserva. Las fotos permanecen en el dispositivo del Usuario. El texto extraído de un CV se envía al servicio de IA solo para la conversión y la aplicación de CVtoBrand no lo conserva. Cualquier conservación temporal por parte del proveedor de IA, por ejemplo para almacenamiento en caché o supervisión de abusos, se rige por las condiciones de Google Cloud para Vertex AI, según las cuales los datos del cliente no se utilizan para entrenar los modelos de Google sin permiso. Los PDF que exporta el Responsable quedan fuera del Servicio y son responsabilidad suya.

13.3 Cuando el Responsable elimina su cuenta (en el Servicio cuando esa función esté disponible, o mediante solicitud a [email protected]), o los Términos terminan de cualquier otra forma, incluida la resolución o la no renovación, comienza un plazo de cancelación de 10 días. Durante este plazo, el Responsable puede exportar la Salida que aún necesite (si es necesario, CVtoBrand restablece el acceso previa solicitud, únicamente para la exportación) y, si solicitó él mismo la eliminación, deshacerla. La función de exportación es la forma en que se devuelven los datos personales al Responsable, y este plazo es la última oportunidad para utilizarla. Los perfiles de CV cuyo propio plazo de conservación finalice antes se suprimen en ese momento anterior.

13.4 Al finalizar el plazo de cancelación, CVtoBrand suprime definitivamente todos los datos personales del Espacio de trabajo del Responsable, incluidas las cuentas de Usuario, los perfiles de CV, la configuración, los registros de auditoría y los datos de uso, sin dilación indebida y a más tardar 30 días después del final del plazo de cancelación; hasta entonces, esos datos no se tratan para ningún otro fin. Previa solicitud, CVtoBrand confirma la supresión por correo electrónico. La única excepción son los registros de facturación y pago que CVtoBrand debe conservar conforme al derecho neerlandés (artículo 2:10 del Código Civil neerlandés y artículo 52 de la Ley General Tributaria neerlandesa, Algemene wet inzake rijksbelastingen); se conservan durante 7 años, se limitan a lo necesario para ese fin y no contienen datos de CV ni de candidatos.

13.5 Copias de seguridad: si las funciones de copia de seguridad o recuperación de los subencargados de CVtoBrand contienen copias de datos personales, esas copias solo se usan para restaurar el Servicio tras un incidente, siguen protegidas por las medidas del anexo B y se suprimen o sobrescriben cuando finaliza su plazo de conservación fijo. Además, los datos suprimidos pueden permanecer durante un tiempo limitado en los sistemas internos de copia de seguridad y recuperación ante desastres de los subencargados antes de sobrescribirse definitivamente, conforme a sus condiciones de tratamiento de datos (anexo C).

14. Responsabilidad

Las exclusiones y limitaciones de responsabilidad de los Términos (cláusula 13) se aplican íntegramente a este DPA. En la medida permitida por la legislación imperativa, CVtoBrand no es responsable de daños, multas o reclamaciones derivados del tratamiento o de las instrucciones del Responsable, ni de su incumplimiento de cualquier ley o normativa, y el Responsable mantendrá indemne a CVtoBrand conforme a la cláusula 14 de los Términos. Nada de lo dispuesto en este DPA limita los derechos de los interesados en virtud del artículo 82 del RGPD.

15. Duración, prevalencia y ley aplicable

Este DPA se aplica mientras CVtoBrand trate datos personales por cuenta del Responsable. En caso de contradicción entre este DPA y los Términos en relación con el tratamiento de datos personales, prevalece este DPA. Este DPA se rige por la misma ley y jurisdicción que los Términos. La cláusula 19.2 de los Términos (prevalece la versión inglesa) se aplica a este DPA.

Anexo A · Descripción del tratamiento

• Interesados: candidatos, personas que buscan empleo y profesionales cuyos CV sube el Responsable; Usuarios del Responsable; personas de contacto mencionadas en los CV o en la Salida (como reclutadores y referencias).
• Categorías de datos personales: el texto extraído de los CV, como nombre, datos de contacto, fecha de nacimiento, experiencia laboral, formación, competencias, idiomas, certificados y demás información del CV; datos de contacto de reclutadores y números de referencia añadidos a la Salida; datos de cuenta de los Usuarios. CVtoBrand no recibe ni conserva los archivos originales de los CV ni las fotos; las fotos permanecen en el dispositivo del Usuario.
• Categorías especiales: los CV pueden contener de forma incidental categorías especiales de datos personales (artículo 9 del RGPD) o datos relativos a condenas penales (artículo 10 del RGPD). El Servicio no está diseñado para ellos y el Responsable debería eliminarlos cuando no sean necesarios. Si se suben, el Responsable es responsable de la excepción y la base jurídica aplicables; CVtoBrand los trata con las mismas medidas que todos los demás datos personales (anexo B).
• Naturaleza y finalidad: recepción del texto extraído de los CV en el navegador del Usuario, reestructuración y traducción automatizadas (asistidas por IA), aplicación de la imagen corporativa del Responsable, eliminación de datos identificativos a petición, conservación en el Espacio de trabajo durante el plazo fijado por el Responsable y exportación en PDF.
• Duración: la vigencia de los Términos más el plazo de supresión de la cláusula 13.

Anexo B · Medidas técnicas y organizativas

Acceso y autenticación

• Todo acceso a la aplicación requiere iniciar sesión con una cuenta. Para el acceso operativo es obligatorio un segundo factor (aplicación de autenticación o teléfono).
• Acceso basado en roles por Espacio de trabajo (administrador y reclutador); la administración de la plataforma es un rol independiente.
• La base de datos no permite el acceso directo de lectura ni escritura desde los navegadores (reglas de seguridad «deny-all»); todo acceso a los datos se realiza mediante funciones del lado del servidor que comprueban el Espacio de trabajo y el rol del Usuario.
• La aplicación utiliza Firebase App Check (reCAPTCHA Enterprise) para ayudar a proteger el back-end frente a abusos.
• CVtoBrand solo da acceso a los datos de producción a las personas que lo necesitan para prestar, proteger o dar soporte al Servicio y que están sujetas a confidencialidad (cláusula 6).

Minimización y separación de datos

• Separación lógica de los Espacios de trabajo de los clientes (aislamiento multiinquilino).
• Los archivos originales de los CV se leen en el navegador del Usuario y CVtoBrand no los sube ni los conserva. Solo el texto extraído se envía al back-end y al servicio de IA. Las fotos permanecen en el dispositivo del Usuario y solo se añaden al PDF allí.
• Los registros de la aplicación no contienen texto de CV ni tokens de acceso.

Conservación

• Los perfiles de CV generados solo se conservan durante el plazo elegido por el administrador del Espacio de trabajo (7, 14, 30, 60 o 90 días; 14 por defecto) y después se suprimen.
• Las invitaciones caducan tras un plazo limitado (normalmente 7 días).
• Cuando se elimina una cuenta de cliente o termina el contrato, se aplica un plazo de cancelación de 10 días; después, todos los datos del Espacio de trabajo se suprimen sin dilación indebida y a más tardar 30 días después (cláusula 13).
• Las entradas de los registros de auditoría no contienen contenido de CV y no se conservan más de 12 meses.

Cifrado y red

• Conexiones cifradas (HTTPS/TLS) entre el navegador, la aplicación y el back-end.
• Cabeceras de seguridad en la aplicación, entre ellas X-Frame-Options DENY, X-Content-Type-Options nosniff, Referrer-Policy y Permissions-Policy.
• Los datos almacenados se cifran con el cifrado predeterminado del proveedor de nube.

Ubicación y proveedores

• Las funciones del back-end se ejecutan en la región de Google Cloud europe-west4 (Países Bajos). El tratamiento con IA utiliza Vertex AI en la multirregión de la UE. La base de datos y los demás servicios utilizados figuran con sus ubicaciones en el anexo C.
• El tratamiento con IA se realiza mediante Vertex AI de Google Cloud (condiciones empresariales), no mediante un servicio de IA para consumidores.

Copias de seguridad y continuidad

• Las posibles copias de seguridad o de recuperación solo se usan para restaurar el Servicio tras un incidente y están sujetas a las mismas medidas y reglas de supresión (cláusula 13.5).

Organización

• Las personas con acceso a datos personales están sujetas a confidencialidad (cláusula 6 del DPA).
• Las violaciones de la seguridad de los datos personales se notifican al Responsable conforme a la cláusula 11 del DPA.

Anexo C · Subencargados

CVtoBrand recurre a los siguientes subencargados. Situación a 9 de noviembre de 2026.

CVtoBrand no utiliza un servicio de almacenamiento de archivos independiente para los CV: los archivos originales se leen en el navegador del Usuario y las fotos permanecen en el dispositivo del Usuario.