Política de privacidad

1. Quiénes somos

Esta política de privacidad explica cómo cvtobrand.com («CVtoBrand», «nosotros») trata los datos personales en el sitio web cvtobrand.com y en la aplicación web app.cvtobrand.com (el «Servicio»). CVtoBrand es el responsable del tratamiento de las operaciones descritas en el apartado 2.2. Nuestra dirección de contacto para cualquier pregunta o solicitud sobre privacidad es [email protected]. Si quieres conocer la identidad jurídica completa (denominación legal, número de registro y domicilio) de la persona o entidad que está detrás de CVtoBrand, pídenosla en esa dirección y te la comunicaremos sin dilación indebida. No hemos designado un delegado de protección de datos.

2. Nuestros dos roles

2.1 Encargado del tratamiento para nuestros clientes. Cuando un cliente (una agencia de selección o de cesión de profesionales) sube CV, los datos personales que contienen se tratan por cuenta y siguiendo las instrucciones del cliente. El cliente es el responsable del tratamiento y se aplica el DPA. El cliente es el único responsable de contar con una base jurídica, informar a los candidatos y cumplir las leyes de su propio país.

2.2 Responsable del tratamiento para nuestros propios tratamientos. Para el sitio web, las cuentas de clientes, la comunicación y la facturación, CVtoBrand es el responsable del tratamiento. Estos tratamientos se describen a continuación.

3. Qué tratamos y por qué

• Visitas al sitio web: datos técnicos necesarios para servir y proteger el sitio, como la dirección IP, el tipo de navegador y la página solicitada, tratados por nuestro proveedor de alojamiento y red. Base jurídica: interés legítimo en un sitio seguro y operativo. Solo usamos cookies de analítica si das tu consentimiento (véase el apartado 4) y no usamos cookies de publicidad.
• Analítica del sitio web (solo con tu consentimiento): si aceptas las cookies de analítica, datos sobre cómo usas el sitio web, recogidos con Google Analytics (véase el apartado 4). Base jurídica: tu consentimiento (artículo 6, apartado 1, letra a), del RGPD), que puedes retirar en cualquier momento.
• Cuentas y Usuarios: nombre, correo electrónico profesional, rol (administrador o reclutador), Espacio de trabajo y datos de acceso y uso. Base jurídica: ejecución del contrato con el cliente y nuestro interés legítimo en prestar y proteger el Servicio.
• Solicitudes de contacto y de demo: los datos que nos envías, para responder a tu solicitud. Base jurídica: interés legítimo o medidas precontractuales.
• Facturación: datos de la empresa y de facturación y estado de pago. Base jurídica: ejecución del contrato y obligaciones legales (fiscales).

4. Cookies

El sitio web cvtobrand.com utiliza almacenamiento estrictamente necesario en el almacenamiento local (local storage) de tu navegador: tu elección entre modo claro y oscuro (cvtb-theme), tu elección de idioma (cvtb-lang, solo si eliges tú un idioma) y tu elección sobre cookies (cvtb-consent, con la fecha y la versión de esa elección). Si tu navegador bloquea el almacenamiento local, tu elección de idioma y tu elección sobre cookies se guardan en cookies estrictamente necesarias con los mismos nombres. Este almacenamiento no requiere consentimiento y no se usa para seguirte.

Analítica, solo con tu consentimiento. Si aceptas las cookies de analítica, usamos Google Analytics 4 para entender cómo se usa el sitio web, por ejemplo qué páginas se visitan y cómo llegan los visitantes, con el fin de mejorarlo. Google Analytics solo se carga después de que hayas dado tu consentimiento: hasta entonces, y si rechazas la analítica, no se carga ningún script de Google Analytics ni se instalan cookies de analítica. Usamos Google Consent Mode, con todas las categorías en «denegado» por defecto. No usamos las funciones publicitarias de Google Analytics ni Google Signals, y no usamos los datos de analítica con fines publicitarios.

Con tu consentimiento, Google Analytics instala las cookies _ga (para distinguir a los visitantes) y _ga_<ID> (para mantener el estado de la sesión); por defecto caducan hasta 2 años después de tu última visita. Google Analytics trata entonces un identificador en línea procedente de estas cookies, las páginas que ves, la hora y el origen de tu visita, e información sobre tu dispositivo, tu navegador y tu ubicación aproximada, derivada de tu dirección IP. Los datos a nivel de evento se conservan en Google Analytics durante el plazo de conservación configurado en nuestra cuenta de Google Analytics; los informes agregados que no te identifican pueden conservarse más tiempo.

El destinatario de estos datos es Google Ireland Limited (Gordon House, Barrow Street, Dublín 4, Irlanda), que presta Google Analytics; los datos también pueden ser tratados por Google LLC en Estados Unidos. Esa transferencia está cubierta por el EU-US Data Privacy Framework, en el que Google LLC está certificada. La base jurídica es tu consentimiento (artículo 6, apartado 1, letra a), del RGPD; para las cookies, artículo 11.7a de la Ley de Telecomunicaciones neerlandesa, Telecommunicatiewet). Google Analytics solo se usa para este sitio web, no para los CV ni otros datos de clientes en la aplicación web.

En tu primera visita te pedimos tu elección; rechazar es tan fácil como aceptar, y la analítica sigue desactivada salvo que la aceptes. Puedes cambiar o retirar tu consentimiento en cualquier momento mediante el enlace «Configuración de cookies» al pie de cada página; ello no afecta al tratamiento anterior a la retirada. Tras la retirada, Google Analytics deja de cargarse y eliminamos sus cookies de tu navegador; también puedes eliminar tú mismo las cookies en la configuración de tu navegador. Te volvemos a preguntar al cabo de 12 meses o cuando cambien las categorías.

Para proteger el inicio de sesión frente a abusos, la aplicación web (app.cvtobrand.com) utiliza Google reCAPTCHA Enterprise mediante Firebase App Check; esto es estrictamente necesario para la seguridad. La aplicación web también utiliza las cookies y el almacenamiento estrictamente necesarios para iniciar sesión y usarla.

5. Conservación

No conservamos los datos personales más tiempo del necesario para los fines descritos. En concreto:

• CV y datos de candidatos (como encargado): los perfiles de CV generados solo se conservan durante el plazo elegido por el administrador del cliente (de 7 a 90 días; 14 por defecto) y después se suprimen. No conservamos los archivos originales de los CV ni las fotos. Véase la cláusula 13 del DPA.
• Cuentas y Usuarios: mientras exista la cuenta del cliente.
• Eliminación de una cuenta de cliente: cuando un cliente elimina su cuenta (en la aplicación web o mediante una solicitud a nosotros), o cuando el contrato termina de cualquier otra forma, comienza un plazo de cancelación de 10 días durante el cual el cliente puede deshacer la eliminación y exportar sus datos. Transcurridos esos 10 días, suprimimos definitivamente todos los datos del Espacio de trabajo de ese cliente (la cuenta, los Usuarios, los perfiles de CV, la configuración, los registros de auditoría y los datos de uso), sin dilación indebida y a más tardar 30 días después.
• Registros de auditoría (qué Usuario realizó qué acción sobre qué elemento y cuándo; sin contenido de CV): 12 meses y, en todo caso, no más tiempo del que exista el Espacio de trabajo del cliente.
• Solicitudes de contacto y de demostración: 12 meses desde nuestro último contacto.
• Cookies de analítica (solo con tu consentimiento): véase el apartado 4.
• Única excepción: los registros de facturación y pago que debemos conservar conforme al derecho neerlandés (artículo 2:10 del Código Civil neerlandés y artículo 52 de la Ley General Tributaria neerlandesa, Algemene wet inzake rijksbelastingen) se conservan durante 7 años. Solo conservamos los datos necesarios para ese fin (como el nombre de la empresa, los datos de facturación y los datos de facturas y pagos), nunca CV ni datos de candidatos.
• Copias de seguridad: si las funciones de copia de seguridad o recuperación de nuestros proveedores de nube contienen copias de datos personales, esas copias solo se usan para restaurar el Servicio tras un incidente y se suprimen o sobrescriben cuando finaliza su plazo de conservación fijo. Además, los datos suprimidos pueden permanecer durante un tiempo limitado en los sistemas internos de copia de seguridad de nuestros proveedores antes de sobrescribirse definitivamente, conforme a sus condiciones.
• Registros técnicos de nuestros proveedores de alojamiento, nube y correo electrónico: durante los plazos de conservación limitados que se aplican a esos registros en nuestros proveedores; después se suprimen.

6. Destinatarios y subencargados

Recurrimos a los siguientes proveedores, que tratan datos personales por cuenta nuestra: Google (Google Cloud y Firebase: back-end, base de datos, inicio de sesión, protección frente a abusos con reCAPTCHA Enterprise, tratamiento con IA mediante Vertex AI y nuestro buzón de soporte mediante Google Workspace), Resend (correos de servicio) y Cloudflare (entrega del sitio web y de la aplicación, DNS y seguridad de red). Los detalles, ubicaciones y garantías figuran en el anexo C del DPA. Google Analytics (Google Ireland Limited) solo se usa en el sitio web y solo con tu consentimiento; véase el apartado 4.

7. Transferencias internacionales

Nuestras funciones de back-end se ejecutan en la región de Google Cloud europe-west4 (Países Bajos) y nuestro tratamiento con IA se realiza en la UE. Algunos de nuestros proveedores son empresas estadounidenses o pertenecen a ellas, y algunos datos pueden tratarse fuera del EEE: en particular, el inicio de sesión y la protección frente a abusos funcionan en la infraestructura global de Google, Cloudflare opera una red global, Resend almacena metadatos y registros de correo electrónico en Estados Unidos y, si consientes la analítica, los datos de Google Analytics pueden ser tratados por Google LLC en Estados Unidos. Cuando se tratan datos personales fuera del EEE, la transferencia está cubierta por el EU-US Data Privacy Framework y/o las cláusulas contractuales tipo de la Comisión Europea, tal como se indica en el anexo C del DPA y en el apartado 4.

8. Tus derechos

Dentro de los límites de la ley, tienes derecho a acceder, rectificar y suprimir tus datos personales, a limitar el tratamiento y oponerte a él, y a la portabilidad. También puedes presentar una reclamación ante una autoridad de protección de datos, como la AEPD. Si tu solicitud se refiere a un CV que ha subido una agencia, dirígete a esa agencia; nosotros la ayudaremos a tramitar tu solicitud.

9. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas para proteger los datos personales, como conexiones cifradas (HTTPS), separación de los Espacios de trabajo de los clientes y acceso basado en roles.

10. Cambios

Podemos actualizar esta política de privacidad. La fecha de arriba indica la versión más reciente.

11. Contacto

Puedes enviar tus preguntas sobre esta política o sobre tus derechos a CVtoBrand por correo electrónico a [email protected]. También puedes enviar a esta dirección tus solicitudes de privacidad (por ejemplo, para ejercer tus derechos).