Conformità al GDPR e sicurezza
Tutto quello che il tuo DPO deve sapere prima di firmare
CVpass è pensato per superare la due diligence del DPO (responsabile della protezione dei dati) di una scuola pubblica o di una società di consulenza. Hosting nell'UE, DPA firmabile, file dei CV mai conservati, separazione rigorosa per organizzazione. Documentazione completa qui sotto.
Sei impegni concreti
Hosting nell'Unione europea
Database e archiviazione dei file ospitati su Supabase (regione di Francoforte, Germania). Nessun dato dei clienti fuori dall'UE per l'archiviazione primaria.
DPA firmabile ai sensi dell'articolo 28
Accordo sul trattamento dei dati conforme all'articolo 28 del GDPR, accettato di default alla sottoscrizione B2B. Versione firmata da entrambe le parti disponibile su richiesta.
Anonimizzazione a 6 mesi
Per sicurezza, ogni spazio ancora esistente viene anonimizzato 6 mesi dopo la fine del suo accesso, qualunque sia il tipo di accesso (prova gratuita, abbonamento online, piano annuale o licenza per classe): contatti e inviti in sospeso vengono cancellati, e il logo viene rimosso dallo spazio. Questa anonimizzazione non elimina né lo spazio né l'elenco dei suoi membri: alla fine di un accesso a pagamento, e in qualsiasi momento su richiesta a contact@cvpass.fr, tutti i dati personali dello spazio e dei suoi membri vengono eliminati o restituiti entro 30 giorni. I file dei CV non vengono mai conservati, e il CV impaginato che un utente esporta viene eliminato dopo 30 giorni, come le lettere salvate.
Separazione per organizzazione
Ogni organizzazione cliente ha il proprio org_id. Nessuna visibilità incrociata tra organizzazioni. Policy di Row Level Security a livello di database.
Crittografia end-to-end
TLS 1.2+ in transito, AES-256 a riposo sul database. Certificati SSL rinnovati automaticamente. Gli eventuali backup del database, gestiti da Supabase, sono conservati 30 giorni al massimo.
IA senza addestramento sui tuoi dati
Usiamo l'API di OpenAI: i dati inviati non servono ad addestrare i modelli e OpenAI li conserva al massimo 30 giorni (monitoraggio degli abusi) prima di eliminarli.
Sub-responsabili e finalità
Elenco completo dei sub-responsabili del trattamento e delle relative finalità. Ogni modifica viene notificata via email con un preavviso di 30 giorni.
| Sub-responsabile | Regione |
|---|---|
| Vercel Inc. | Stati Uniti (DPF) |
| Supabase Inc. | Germania (UE) |
| Clerk Inc. | Stati Uniti (DPF) |
| OpenAI, LLC | Stati Uniti (DPF) |
| Stripe Inc. | Stati Uniti / Irlanda |
| Brevo (Sendinblue) | Francia (UE) |
Diritti degli interessati
CVpass mette a disposizione del titolare del trattamento gli strumenti necessari per rispondere alle richieste degli interessati. Le richieste ricevute direttamente da CVpass vengono trasferite entro 5 giorni lavorativi.
- Diritto di accesso ai dati
- Diritto di rettifica
- Diritto alla cancellazione
- Diritto alla portabilità
- Diritto di opposizione
- Diritto di limitazione del trattamento
FAQ
Le domande più frequenti dei DPO
Le risposte alle 5 domande che i responsabili della protezione dei dati ci fanno per prime durante un audit prima della firma.
Dove sono archiviati i dati? Restano nell'Unione europea?
I dati del database (organizzazioni, membri, metadati di utilizzo come i punteggi e, per 30 giorni al massimo, i CV impaginati esportati e le lettere salvate) sono archiviati su Supabase, regione di Francoforte (Germania, UE). I file dei CV non vengono mai archiviati. Nessuna replica fuori dall'UE. Gli unici trasferimenti verso gli Stati Uniti riguardano i sub-responsabili del trattamento (Vercel per l'hosting front-end, Clerk per l'autenticazione, OpenAI per l'IA), tutti certificati DPF (Data Privacy Framework), con in più le CCT (clausole contrattuali tipo).
Il DPA si può firmare da entrambe le parti o va accettato così com'è?
Entrambe le opzioni. Il DPA viene accettato tacitamente alla sottoscrizione B2B (testo pubblicato su /b2b/dpa). Per le organizzazioni che chiedono una firma bilaterale, basta scrivere a legal@cvpass.fr: inviamo un PDF entro 48 ore lavorative, firmabile tramite DocuSign o su carta in base alle tue esigenze.
Quale politica di anonimizzazione si applica dopo la fine del contratto?
I file dei CV non vengono mai conservati, e il loro testo non resta sui nostri server, tranne che nel CV impaginato che un utente esporta e nelle lettere di presentazione che salva: entrambi vengono eliminati automaticamente dopo 30 giorni. Per sicurezza, ogni spazio ancora esistente viene anonimizzato automaticamente 6 mesi dopo la fine del suo accesso, qualunque sia il tipo di accesso (prova gratuita, abbonamento online, piano annuale o licenza per classe): contatti e inviti in sospeso vengono cancellati, e il logo viene rimosso dallo spazio. Questa anonimizzazione non elimina né lo spazio né l'elenco dei suoi membri: alla fine di un accesso a pagamento, e in qualsiasi momento su richiesta a contact@cvpass.fr, tutti i dati personali dello spazio e dei suoi membri vengono eliminati o restituiti entro 30 giorni. Le fatture sono conservate 10 anni per gli obblighi contabili francesi.
Cosa fa OpenAI con i nostri dati quando l'IA analizza un CV?
Non li usa per addestrare i suoi modelli. Secondo le condizioni dell'API di OpenAI, i dati inviati sono conservati al massimo 30 giorni per il monitoraggio degli abusi, poi eliminati. Documentato nel nostro DPA ai sensi dell'articolo 28.
Entro quanto tempo viene notificata una violazione dei dati?
Entro 48 ore al massimo dalla presa di conoscenza, via email ai contatti designati nell'organizzazione cliente, in conformità all'articolo 33 del GDPR. Il DPO di CVpass (dpo@cvpass.fr) coordina la procedura, compresa la notifica alla CNIL (l'autorità francese per la protezione dei dati) se necessario.
Una domanda specifica sul GDPR?
Il nostro responsabile della protezione dei dati risponde entro 48 ore lavorative. Audit documentale annuale disponibile per i clienti sotto contratto.