Acuerdo de tratamiento de datos (DPA)

El presente acuerdo de tratamiento de datos (en adelante, el «DPA») regula el tratamiento de datos personales realizado por CVpass (en adelante, «el Encargado del tratamiento») por cuenta del cliente profesional que ha contratado un plan B2B (en adelante, «el Responsable del tratamiento»), de conformidad con el artículo 28 del Reglamento (UE) 2016/679 (RGPD).

Complementa las Condiciones Generales de Uso B2B y prevalece sobre ellas en caso de discrepancia relativa a la protección de datos.

• Naturaleza y finalidad: análisis de CV, puntuación ATS, reescritura asistida por IA, generación de PDF, gestión de las cuentas de los miembros y estadísticas agregadas de uso.
• Categorías de datos: datos de identificación (apellidos, nombre, email profesional), contenido del CV (trayectoria, competencias, formación), contenido de las ofertas de empleo subidas, metadatos de uso.
• Categorías de interesados: miembros de la organización cliente (empleados, estudiantes, candidatos acompañados).
• Duración: durante toda la vigencia del contrato. Los archivos de CV nunca se conservan; el CV con formato que exporta un miembro y las cartas de presentación guardadas se eliminan automáticamente a los 30 días. Al finalizar un acceso de pago, los datos personales del espacio se eliminan o se devuelven según el artículo 3; para una prueba gratuita nunca pagada, solo se aplica la anonimización descrita a continuación. Como medida de seguridad, el espacio también se anonimiza automáticamente 6 meses después del fin del acceso, sea cual sea el tipo de acceso (prueba gratuita, suscripción en línea, plan anual o licencia por promoción): se borran sus contactos y sus invitaciones pendientes y se retira su logotipo; esta anonimización no elimina ni el espacio, ni la lista de sus miembros, ni su historial de uso. El Responsable del tratamiento también puede solicitar en cualquier momento la eliminación o la devolución completa escribiendo a contact@cvpass.fr. Las facturas se conservan 10 años por obligaciones contables francesas.

CVpass se compromete a:

• Tratar los datos únicamente siguiendo instrucciones documentadas del Responsable del tratamiento, salvo obligación legal en contrario.
• Garantizar la confidencialidad de los datos y velar por que las personas autorizadas estén sujetas a una obligación de confidencialidad.
• Aplicar las medidas técnicas y organizativas descritas en el artículo 6.
• Asistir al Responsable del tratamiento en el cumplimiento de sus obligaciones (respuesta a los derechos de los interesados, evaluaciones de impacto, notificaciones de violaciones).
• 6 meses después del fin del acceso, sea cual sea el tipo de acceso (prueba gratuita, suscripción en línea, plan anual o licencia por promoción), anonimizar automáticamente el espacio si aún existe, es decir, borrar sus contactos y sus invitaciones pendientes y retirar su logotipo; hacerlo antes si el Responsable del tratamiento lo solicita por escrito a contact@cvpass.fr. Esta anonimización no elimina ni el espacio, ni la lista de sus miembros, ni su historial de uso: su eliminación se rige por el punto siguiente.
• Al finalizar el servicio, es decir, al finalizar un acceso de pago (suscripción en línea, plan anual o licencia por promoción), y en cualquier momento previa solicitud escrita del Responsable del tratamiento dirigida a contact@cvpass.fr: eliminar todos los datos personales tratados por cuenta del Responsable del tratamiento, en particular los contactos, las invitaciones, las cuentas de los miembros y su historial de uso, o, a elección del Responsable del tratamiento, devolvérselos y después borrar las copias, en un plazo de 30 días, salvo obligación legal de conservación (facturas). Al finalizar el servicio, CVpass pregunta su elección al Responsable del tratamiento; sin respuesta, los datos se eliminan a más tardar 30 días después del fin del servicio. El fin de una prueba gratuita nunca pagada no es un fin del servicio: entonces solo se aplica la anonimización del punto anterior, salvo solicitud escrita de eliminación o devolución. Un miembro que también usa CVpass a título personal conserva su cuenta, que se rige entonces por la política de privacidad de CVpass. Las posibles copias de seguridad se borran después por sí solas en 30 días como máximo, según el artículo 6.

El Responsable del tratamiento autoriza a CVpass a recurrir a los siguientes subencargados del tratamiento:

• Vercel Inc. (Estados Unidos, marco DPF) — alojamiento de la aplicación, distribución y funciones serverless.
• Supabase Inc. (Alemania, Fráncfort) — base de datos PostgreSQL y almacenamiento de archivos.
• Clerk Inc. (Estados Unidos, marco DPF) — autenticación y gestión de las organizaciones.
• OpenAI, LLC (Estados Unidos, marco DPF) — análisis semántico y reescritura mediante IA. Ningún dato se utiliza con fines de entrenamiento; conservación de 30 días como máximo en OpenAI (vigilancia de abusos).
• Stripe Inc. (Estados Unidos / Irlanda) — procesamiento de pagos y facturación.
• Brevo (antes Sendinblue) (Francia) — envío de emails transaccionales.
• PostHog Inc. (Estados Unidos, datos alojados en la Unión Europea, Fráncfort, conservados 12 meses como máximo) — medición de audiencia y eventos de uso: identificadores de la cuenta y del espacio, rol y eventos, sin correo electrónico ni nombre desde el 9 de noviembre de 2026; las páginas vistas y los clics solo si el miembro acepta las cookies de medición.

Cualquier cambio en esta lista se notificará al Responsable del tratamiento por email con un preaviso de 30 días, lo que le permitirá oponerse por un motivo legítimo.

Las transferencias de datos a Estados Unidos se rigen por las Cláusulas Contractuales Tipo (CCT) de la Comisión Europea y por el Data Privacy Framework cuando el subencargado del tratamiento está certificado en él.

• Cifrado TLS 1.2+ en tránsito y cifrado en reposo en la base de datos.
• Separación estricta de los datos por organización (org_id).
• Autenticación reforzada multifactor disponible para los administradores.
• Registro de los accesos de los administradores y acceso únicamente a través de un túnel cifrado.
• Las posibles copias de seguridad de la base, gestionadas por Supabase, se conservan 30 días como máximo.
• Los datos de CV o de ofertas transmitidos a OpenAI no se utilizan para el entrenamiento y OpenAI los elimina en un plazo máximo de 30 días.

CVpass notificará al Responsable del tratamiento cualquier violación de datos personales sin dilación indebida y, a más tardar, en las 48 horas siguientes a haber tenido conocimiento de ella, por email a los contactos designados en la organización.

El Responsable del tratamiento puede, una vez al año y con un preaviso razonable, solicitar un informe de auditoría o la documentación de las medidas de seguridad. Puede realizarse una auditoría in situ a cargo del Responsable del tratamiento, respetando la confidencialidad de los demás clientes.

CVpass pone a disposición del Responsable del tratamiento las herramientas necesarias para responder a las solicitudes de los interesados (acceso, rectificación, supresión, portabilidad, oposición). Las solicitudes recibidas directamente por CVpass se transferirán al Responsable del tratamiento en un plazo de 5 días hábiles.

Delegado de protección de datos: dpo@cvpass.fr.

El presente DPA se acepta por defecto al contratar un plan B2B. Puede facilitarse una versión firmada por ambas partes previa solicitud a legal@cvpass.fr.