Cumplimiento del RGPD y seguridad
Todo lo que tu DPD debe saber antes de firmar
CVpass está pensado para superar la due diligence del DPD (delegado de protección de datos) de una escuela pública o de una consultora. Alojamiento en la UE, DPA firmable, archivos de CV nunca conservados, separación estricta por organización. Documentación completa a continuación.
Seis compromisos concretos
Alojamiento en la Unión Europea
Base de datos y almacenamiento de archivos alojados en Supabase (región de Fráncfort, Alemania). Ningún dato de clientes fuera de la UE en el almacenamiento principal.
DPA firmable conforme al artículo 28
Acuerdo de tratamiento de datos conforme al artículo 28 del RGPD, aceptado por defecto al contratar un plan B2B. Versión firmada por ambas partes disponible bajo petición.
Anonimización a los 6 meses
Como medida de seguridad, todo espacio que aún exista se anonimiza 6 meses después del fin de su acceso, sea cual sea el tipo de acceso (prueba gratuita, suscripción en línea, plan anual o licencia por promoción): se borran los contactos y las invitaciones pendientes, y el logotipo se retira del espacio. Esta anonimización no elimina ni el espacio ni la lista de sus miembros: al finalizar un acceso de pago, y en cualquier momento previa solicitud a contact@cvpass.fr, todos los datos personales del espacio y de sus miembros se eliminan o se devuelven en un plazo de 30 días. Los archivos de CV nunca se conservan, y el CV con formato que exporta un usuario se elimina a los 30 días, igual que las cartas guardadas.
Separación por organización
Cada organización cliente tiene su propio org_id. Ninguna visibilidad cruzada entre organizaciones. Política de Row Level Security a nivel de base de datos.
Cifrado de extremo a extremo
TLS 1.2+ en tránsito, AES-256 en reposo en la base de datos. Certificados SSL renovados automáticamente. Las posibles copias de seguridad de la base, gestionadas por Supabase, se conservan 30 días como máximo.
IA que no se entrena con tus datos
Usamos la API de OpenAI: los datos enviados no sirven para entrenar los modelos, y OpenAI los conserva 30 días como máximo (vigilancia de abusos) antes de eliminarlos.
Subencargados y finalidades
Lista exhaustiva de los subencargados del tratamiento y su finalidad. Cualquier cambio se notifica por email con un preaviso de 30 días.
| Subencargado | Región |
|---|---|
| Vercel Inc. | Estados Unidos (DPF) |
| Supabase Inc. | Alemania (UE) |
| Clerk Inc. | Estados Unidos (DPF) |
| OpenAI, LLC | Estados Unidos (DPF) |
| Stripe Inc. | Estados Unidos / Irlanda |
| Brevo (Sendinblue) | Francia (UE) |
Derechos de los interesados
CVpass pone a disposición del responsable del tratamiento las herramientas necesarias para responder a las solicitudes de los interesados. Las solicitudes recibidas directamente por CVpass se transfieren en un plazo de 5 días hábiles.
- Derecho de acceso a los datos
- Derecho de rectificación
- Derecho de supresión
- Derecho a la portabilidad
- Derecho de oposición
- Derecho a la limitación del tratamiento
FAQ
Las preguntas más frecuentes de los DPD
Las respuestas a las 5 preguntas que los delegados de protección de datos nos hacen primero durante una auditoría previa a la firma.
¿Dónde se almacenan los datos? ¿Permanecen en la Unión Europea?
Los datos de la base (organizaciones, miembros, metadatos de uso como las puntuaciones y, durante 30 días como máximo, los CV con formato exportados y las cartas guardadas) se almacenan en Supabase, región de Fráncfort (Alemania, UE). Los archivos de CV nunca se almacenan. Ninguna replicación fuera de la UE. Las únicas transferencias a Estados Unidos afectan a los subencargados del tratamiento (Vercel para el alojamiento front-end, Clerk para la autenticación, OpenAI para la IA), todos certificados DPF (Data Privacy Framework) y con CCT (cláusulas contractuales tipo) como complemento.
¿El DPA se puede firmar por ambas partes o se impone tal cual?
Las dos opciones. El DPA se acepta tácitamente al contratar un plan B2B (texto publicado en /b2b/dpa). Si tu organización pide una firma por ambas partes, escribe a legal@cvpass.fr: te enviamos un PDF en 48 h hábiles, que puedes firmar con DocuSign o en papel según tus requisitos.
¿Qué política de anonimización se aplica al terminar el contrato?
Los archivos de CV nunca se conservan, y su texto no se queda en nuestros servidores, salvo en el CV con formato que exporta un usuario y en las cartas de presentación que guarda: ambos se eliminan automáticamente a los 30 días. Como medida de seguridad, todo espacio que aún exista se anonimiza automáticamente 6 meses después del fin de su acceso, sea cual sea el tipo de acceso (prueba gratuita, suscripción en línea, plan anual o licencia por promoción): se borran los contactos y las invitaciones pendientes, y el logotipo se retira del espacio. Esta anonimización no elimina ni el espacio ni la lista de sus miembros: al finalizar un acceso de pago, y en cualquier momento previa solicitud a contact@cvpass.fr, todos los datos personales del espacio y de sus miembros se eliminan o se devuelven en un plazo de 30 días. Las facturas se conservan 10 años por obligaciones contables francesas.
¿Qué hace OpenAI con nuestros datos cuando la IA analiza un CV?
No los usa para entrenar sus modelos. Según las condiciones de la API de OpenAI, los datos enviados se conservan 30 días como máximo para la vigilancia de abusos y después se eliminan. Está documentado en nuestro DPA del artículo 28.
¿Cuál es el plazo de notificación en caso de violación de datos?
48 horas como máximo desde que se tiene conocimiento, por email a los contactos designados en la organización cliente, conforme al artículo 33 del RGPD. El DPD de CVpass (dpo@cvpass.fr) coordina el procedimiento, incluida la notificación a la CNIL (autoridad francesa de protección de datos) si es necesario.
¿Una pregunta concreta sobre el RGPD?
Nuestro delegado de protección de datos responde en 48 h hábiles. Auditoría documental anual disponible para los clientes con contrato.