Accordo sul trattamento dei dati (DPA)

Il presente accordo sul trattamento dei dati (di seguito il «DPA») disciplina il trattamento dei dati personali effettuato da CVpass (di seguito «il Responsabile del trattamento») per conto del cliente professionale che ha sottoscritto un piano B2B (di seguito «il Titolare del trattamento»), ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 (GDPR).

Integra le Condizioni Generali d'Uso B2B e prevale su di esse in caso di divergenza in materia di protezione dei dati.

• Natura e finalità: analisi dei CV, punteggio ATS, riscrittura assistita dall'IA, generazione di PDF, gestione degli account dei membri e statistiche aggregate di utilizzo.
• Categorie di dati: dati identificativi (cognome, nome, email professionale), contenuto dei CV (percorso, competenze, formazione), contenuto delle offerte di lavoro caricate, metadati di utilizzo.
• Categorie di interessati: membri dell'organizzazione cliente (collaboratori, studenti, candidati seguiti).
• Durata: per tutta la durata del contratto. I file dei CV non vengono mai conservati; il CV impaginato che un membro esporta e le lettere di presentazione salvate vengono eliminati automaticamente dopo 30 giorni. Alla fine di un accesso a pagamento, i dati personali dello spazio vengono eliminati o restituiti secondo l'articolo 3; per una prova gratuita mai pagata si applica solo l'anonimizzazione descritta di seguito. Per sicurezza, lo spazio viene inoltre anonimizzato automaticamente 6 mesi dopo la fine dell'accesso, qualunque sia il tipo di accesso (prova gratuita, abbonamento online, piano annuale o licenza per classe): i suoi contatti e inviti in sospeso vengono cancellati e il suo logo viene rimosso; questa anonimizzazione non elimina né lo spazio, né l'elenco dei suoi membri, né il loro storico di utilizzo. Il Titolare del trattamento può anche chiedere in qualsiasi momento l'eliminazione o la restituzione completa scrivendo a contact@cvpass.fr. Le fatture sono conservate 10 anni per gli obblighi contabili francesi.

CVpass si impegna a:

• Trattare i dati esclusivamente su istruzione documentata del Titolare del trattamento, salvo diverso obbligo di legge.
• Garantire la riservatezza dei dati e assicurarsi che le persone autorizzate siano soggette a un obbligo di riservatezza.
• Attuare le misure tecniche e organizzative descritte all'articolo 6.
• Assistere il Titolare del trattamento nel rispetto dei suoi obblighi (risposte all'esercizio dei diritti degli interessati, valutazioni d'impatto, notifiche di violazione).
• 6 mesi dopo la fine dell'accesso, qualunque sia il tipo di accesso (prova gratuita, abbonamento online, piano annuale o licenza per classe), anonimizzare automaticamente lo spazio, se esiste ancora, cioè cancellarne i contatti e gli inviti in sospeso e rimuoverne il logo; farlo prima su richiesta scritta del Titolare del trattamento a contact@cvpass.fr. Questa anonimizzazione non elimina né lo spazio, né l'elenco dei suoi membri, né il loro storico di utilizzo: la loro eliminazione rientra nel punto seguente.
• Alla fine del servizio, cioè alla fine di un accesso a pagamento (abbonamento online, piano annuale o licenza per classe), e in qualsiasi momento su richiesta scritta del Titolare del trattamento a contact@cvpass.fr: eliminare tutti i dati personali trattati per conto del Titolare del trattamento, in particolare contatti, inviti, account dei membri e loro storico di utilizzo, o, a scelta del Titolare del trattamento, restituirglieli e poi cancellarne le copie, entro 30 giorni, salvo obbligo di legge di conservazione (fatture). Alla fine del servizio, CVpass chiede al Titolare del trattamento la sua scelta; in mancanza di risposta, i dati vengono eliminati al più tardi 30 giorni dopo la fine del servizio. La fine di una prova gratuita mai pagata non è una fine del servizio: si applica allora solo l'anonimizzazione del punto precedente, salvo richiesta scritta di eliminazione o restituzione. Un membro che usa CVpass anche a titolo personale conserva il suo account, che rientra allora nell'informativa sulla privacy di CVpass. Gli eventuali backup si cancellano poi da soli entro 30 giorni al massimo, come previsto dall'articolo 6.

Il Titolare del trattamento autorizza CVpass a ricorrere ai seguenti sub-responsabili del trattamento:

• Vercel Inc. (Stati Uniti, quadro DPF) — hosting dell'applicazione, distribuzione e funzioni serverless.
• Supabase Inc. (Germania, Francoforte) — database PostgreSQL e archiviazione dei file.
• Clerk Inc. (Stati Uniti, quadro DPF) — autenticazione e gestione delle organizzazioni.
• OpenAI, LLC (Stati Uniti, quadro DPF) — analisi semantica e riscrittura tramite IA. Nessun dato viene utilizzato a fini di addestramento; conservazione presso OpenAI per un massimo di 30 giorni (monitoraggio degli abusi).
• Stripe Inc. (Stati Uniti / Irlanda) — elaborazione dei pagamenti e fatturazione.
• Brevo (ex Sendinblue) (Francia) — invio di email transazionali.
• PostHog Inc. (Stati Uniti, dati ospitati nell'Unione europea, Francoforte, conservati per 12 mesi al massimo) — misurazione dell'audience ed eventi di utilizzo: identificativi dell'account e dello spazio, ruolo ed eventi, senza email né nome dal 9 novembre 2026; pagine visualizzate e clic solo se il membro accetta i cookie di misurazione.

Qualsiasi modifica di questo elenco sarà notificata al Titolare del trattamento via email con un preavviso di 30 giorni, consentendogli di opporsi per un motivo legittimo.

I trasferimenti di dati verso gli Stati Uniti sono disciplinati dalle Clausole Contrattuali Tipo (CCT) della Commissione europea e dal Data Privacy Framework quando il sub-responsabile del trattamento vi è certificato.

• Crittografia TLS 1.2+ in transito e crittografia a riposo del database.
• Separazione rigorosa dei dati per organizzazione (org_id).
• Autenticazione forte a più fattori disponibile per gli amministratori.
• Registrazione degli accessi degli amministratori e accesso esclusivamente tramite tunnel crittografato.
• Gli eventuali backup del database, gestiti da Supabase, sono conservati 30 giorni al massimo.
• I dati dei CV o delle offerte trasmessi a OpenAI non vengono utilizzati per l'addestramento e sono cancellati da OpenAI entro un massimo di 30 giorni.

CVpass notificherà al Titolare del trattamento qualsiasi violazione dei dati personali senza ingiustificato ritardo e al più tardi entro 48 ore dal momento in cui ne è venuta a conoscenza, via email ai contatti designati nell'organizzazione.

Il Titolare del trattamento può, una volta all'anno e con un preavviso ragionevole, richiedere un rapporto di audit o la documentazione delle misure di sicurezza. Un audit in loco può essere effettuato a spese del Titolare del trattamento, nel rispetto della riservatezza degli altri clienti.

CVpass mette a disposizione del Titolare del trattamento gli strumenti necessari per rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità, opposizione). Le richieste ricevute direttamente da CVpass saranno trasferite al Titolare del trattamento entro 5 giorni lavorativi.

Responsabile della protezione dei dati: dpo@cvpass.fr.

Il presente DPA è accettato di default al momento della sottoscrizione di un piano B2B. Su richiesta può essere fornita una versione firmata da entrambe le parti, scrivendo a legal@cvpass.fr.