Esta es una traducción. Si difiere de la versión en inglés, prevalece la versión en inglés. English

1. Quiénes somos

CVTailor lo opera Own Latitude ("Own Latitude", "nosotros", "nos"), una empresa registrada en los Países Bajos, con número de Cámara de Comercio (KVK) 42173419, número de IVA NL005557761B20. Dirección: Bovenover 49, 1025 JJ Amsterdam. Somos el responsable del tratamiento de los datos personales descritos en esta política. Contacto: [email protected] (véase la sección 13).

2. Qué datos tratamos

Se necesita una cuenta para generar CV. Cuando usas CVTailor, tratamos los siguientes datos:

• Dirección de correo electrónico de la cuenta - se recoge al crear una cuenta, se usa para autenticarte y permitirte iniciar sesión
• Datos del perfil - el perfil maestro que creas o subes puede incluir tu nombre, correo electrónico, número de teléfono, ubicación, ubicación de destino y enlaces de LinkedIn/GitHub/sitio web, y opcionalmente una foto de perfil. Tú decides qué rellenar.
• Documentos y contenido del CV - los CV y documentos de apoyo que subes (PDF, Word, texto, Markdown), y el texto del CV que pegas o editas
• Texto de la descripción del puesto y preguntas de la solicitud - las ofertas de empleo, notas y preguntas de la solicitud que proporcionas. Si importas una oferta de empleo desde un enlace, nuestro servidor accede a esa página para leer la oferta; solo se envía el enlace que diste, nunca tus datos.
• Resultados generados - los CV personalizados, cartas de presentación, respuestas a solicitudes e informes de encaje que el servicio genera para ti
• Datos de pago - si compras solicitudes, el pago lo gestiona Stripe; recibimos la confirmación de tu compra (ID de cuenta, paquete, importe, el IVA incluido, divisa y cualquier código de descuento) pero nunca los datos de tu tarjeta. Stripe también nos da una huella de la tarjeta con la que pagas: un código derivado del número de la tarjeta que no puede convertirse de nuevo en él (véase la sección 3).
• Datos de recomendación - si invitas a un amigo o te registras a través de un enlace de invitación, qué cuentas conecta la recomendación, cuándo, y si obtuvo su bonificación
• Datos de uso y seguridad - dirección IP y marcas de tiempo de las peticiones para limitar la frecuencia de uso y prevenir abusos; hashes salados e irreversibles de direcciones IP y de documentos subidos, usados para detectar el abuso de solicitudes gratuitas (véase la sección 3); y, solo si das tu consentimiento, eventos de analítica seudónimos (véase la sección 8)

3. Cómo usamos tus datos

• Dirección de correo electrónico - se usa para autenticar tu cuenta (inicio de sesión, restablecimiento de contraseña) y para identificarte y responderte cuando contactas con soporte o envías comentarios. No enviamos correos de marketing a menos que actives los correos de novedades del producto en Ajustes.
• Tu perfil, documentos, CV y el texto de la descripción del puesto se envían a la API de Claude de Anthropic para generar CV personalizados, cartas de presentación y respuestas a solicitudes.
• El historial de generaciones se guarda en tu cuenta - las descripciones de puestos, los CV generados, las cartas de presentación, las respuestas a solicitudes y los informes de encaje se conservan para que puedas volver a verlos, descargarlos de nuevo e iterarlos. Permanecen hasta que elimines la generación individual o tu cuenta (véanse las secciones 6 y 7).
• Tu perfil maestro, los documentos subidos y las fotos se cifran (AES-256-GCM) antes de almacenarse; existen copias de trabajo en el servidor de la aplicación mientras usas el servicio. Los CV generados guardados en tu historial contienen lo que aparece en el propio CV - incluida tu foto, si activaste una - y se almacenan como documentos en nuestra base de datos, sin esta capa adicional de cifrado.
• Prevención de abusos - las direcciones IP se usan para limitar la frecuencia de uso. Puede registrarse un hash salado e irreversible de tu dirección IP al registrarte, y cuando se usa o se accede a un enlace de invitación, para impedir que se exploten las solicitudes gratuitas; estos hashes se eliminan en un plazo de 31 días. Se conserva un hash salado y con clave de cada documento que subes (nunca el documento en sí) durante 90 días para detectar a una persona que gestiona varias cuentas; solo genera un recuento para que lo revise una persona, y no se toma ninguna decisión automatizada al respecto. Las direcciones IP en bruto no se escriben en los registros de nuestra aplicación ni se vinculan a tu contenido.
• Prevención del fraude en los pagos - cuando pagas con tarjeta, guardamos con tu cuenta la huella de la tarjeta que nos da Stripe. Si una cuenta se suspende por fraude o abuso, las tarjetas usadas en ella ya no pueden comprar aquí, desde ninguna cuenta, y una compra hecha con una de ellas se reembolsa íntegramente. Lo mismo se aplica a cualquier cuenta que haya pagado con una de esas tarjetas, sea cual sea el método de pago que use después. Suspender una cuenta es siempre la decisión de una persona, cada compra rechazada la revisa una persona y puedes pedirnos que revisemos la tuya. Una tarjeta usada en varias cuentas solo se marca para que una persona la revise. También contamos las compras de cada cuenta: un número inusualmente alto en poco tiempo pausa las nuevas compras en esa cuenta durante un máximo de 24 horas, y se avisa a una persona.
• Programa de recomendación - si usas un enlace de invitación, registramos la recomendación para que ambas cuentas reciban la bonificación descrita en la invitación, y para que no se pueda abusar del programa.
• No tomamos decisiones sobre ti basadas únicamente en el tratamiento automatizado que tengan efectos jurídicos o te afecten significativamente de forma similar.

4. Encargados del tratamiento (terceros)

Usamos los siguientes servicios de terceros que pueden tratar tus datos en nuestro nombre:

• Anthropic (API de Claude) - tu perfil, documentos, CV y el texto de la descripción del puesto se envían a la API de Anthropic para el procesamiento de IA. Anthropic no usa las entradas ni salidas de la API para entrenar sus modelos. Según las condiciones comerciales estándar de Anthropic, las elimina en un plazo de 30 días, salvo que se marquen por infringir su política de uso (entonces se conservan hasta 2 años) o la ley exija un plazo mayor. Para agilizar la generación, parte de una petición puede mantenerse durante unos minutos en la caché de prompts de corta duración de Anthropic. Se aplica la política de privacidad de Anthropic: anthropic.com/privacy.
• Supabase - nuestro proveedor de autenticación y plataforma de base de datos/almacenamiento, alojado en Londres, Reino Unido. Tu cuenta, historial de generaciones, saldo de solicitudes, reseñas y preferencias se almacenan en la base de datos gestionada de Supabase; tu perfil, documentos y fotos cifrados, en su almacenamiento. Se aplica la política de privacidad de Supabase: supabase.com/privacy.
• Railway - nuestro proveedor de alojamiento en la nube. La infraestructura del servidor y los registros se procesan en la plataforma de Railway.
• Stripe - procesamiento de pagos al comprar solicitudes. Stripe recoge los datos de tu tarjeta directamente; nosotros nunca los vemos. Al pagar, Stripe también pide los datos de la dirección de facturación que necesita para calcular el IVA, como tu país. Stripe también usa los datos de pago como responsable independiente, por ejemplo para prevenir el fraude y cumplir sus propias obligaciones legales. Se aplica la política de privacidad de Stripe: stripe.com/privacy.
• Cloudflare - Cloudflare Turnstile ofrece protección contra bots al registrarte e iniciar sesión, procesando señales técnicas de tu navegador (como la dirección IP y las características del dispositivo) para distinguir a personas de bots. Cloudflare Workers KV retiene brevemente una decisión de consentimiento de analítica (tu identificador de cuenta, la elección y su momento - nada más) si nuestra base de datos no pudo almacenarla en ese momento, hasta que se almacena, y como máximo 35 días. Se aplica la política de privacidad de Cloudflare: cloudflare.com/privacypolicy.
• Resend - entrega de correos electrónicos para mensajes transaccionales y de soporte. Si contactas con soporte o envías comentarios, el contenido de tu mensaje se entrega a través de Resend.
• Meta Platforms Ireland Ltd. - solo si aceptas las cookies de marketing: el píxel de Meta en nuestras páginas y los eventos que nuestro servidor envía a Meta (sección 8), para medir nuestros anuncios en Facebook e Instagram. Para la recogida y el envío de estos datos, Meta y nosotros somos corresponsables del tratamiento (art. 26 RGPD); lo que Meta haga después con ellos se rige por la política de privacidad de Meta: facebook.com/privacy/policy.

5. Base legal para el tratamiento (RGPD)

Tratamos los datos personales conforme a las siguientes bases legales:

• Ejecución del contrato / prestación del servicio (art. 6.1.b) RGPD) - para tu cuenta, perfil, documentos, historial de generaciones, saldo de solicitudes, bonificaciones de recomendación y procesamiento de pagos: todo lo necesario para prestarte el servicio que solicitaste
• Interés legítimo (art. 6.1.f) RGPD) - para limitar la frecuencia de uso, la protección contra bots y la prevención de abusos, para el registro de auditoría (sección 6), para conservar las reseñas que no se muestran públicamente y contarlas en nuestra valoración global (sección 12), y para entender en qué punto no se completaron las compras iniciadas
• Consentimiento (art. 6.1.a) RGPD) - para las cookies y eventos de analítica opcionales (sección 8), para los correos de novedades del producto y para mostrar tu reseña públicamente (sección 12). Puedes retirar tu consentimiento en cualquier momento: para las cookies mediante Preferencias de cookies, para los correos de novedades del producto en Ajustes, para una reseña en la página de la solicitud en Mis solicitudes, o por correo electrónico.
• Obligación legal (art. 6.1.c) RGPD) - para conservar los registros de pago que exige la legislación fiscal neerlandesa (sección 6)
• Consentimiento (art. 6(1)(a) RGPD) - para las cookies de marketing opcionales y los eventos de medición de anuncios enviados a Meta (sección 8). Puedes retirarlo en cualquier momento en las preferencias de cookies.

6. Conservación de datos

• Correo electrónico de la cuenta, perfil, documentos e historial de generaciones - se conservan mientras tu cuenta esté activa, hasta que elimines el elemento individual o tu cuenta. Eliminar tu cuenta lo elimina todo de inmediato (véase la sección 7). Si tu cuenta ha estado inactiva durante 2 años, podemos eliminarla.
• Archivos de trabajo en el servidor de la aplicación - las copias usadas durante la generación viven en infraestructura efímera, no sobreviven a los redespliegues del servidor, y se eliminan automáticamente en cuanto tu cuenta lleva 24 horas sin hacer ninguna petición (tu perfil, documentos e historial almacenados no se ven afectados y se vuelven a cargar la próxima vez que inicies sesión).
• Datos de prevención de abusos - los contadores de límite de frecuencia basados en IP se almacenan en memoria y se reinician al reiniciar el servidor. Los hashes de IP (del registro y de los enlaces de invitación) están salados, no son reversibles a tu dirección, y se eliminan automáticamente en un plazo de 31 días. Los hashes de documentos subidos se eliminan a los 90 días, o junto con tu cuenta si eso ocurre antes.
• Huellas de tarjetas - se conservan 24 meses desde el último uso de la tarjeta en tu cuenta, o se eliminan con tu cuenta si eso ocurre antes. El bloqueo de una tarjeta usada en una cuenta suspendida se conserva 24 meses, aunque esa cuenta se elimine.
• Registros de recomendación - el registro de que tuvo lugar una recomendación (los dos identificadores de cuenta, las fechas y el resultado) se conserva tras eliminar la cuenta para que una bonificación no pueda reclamarse dos veces. No contiene nombre, correo electrónico ni contenido, y su hash de IP se elimina a los 31 días como se indica arriba. Una vez eliminada cualquiera de las dos cuentas, el registro en sí se elimina a los 24 meses de haberse realizado la recomendación.
• Registros de pago - tu saldo de solicitudes y el historial de compras en CVTailor se eliminan con tu cuenta. Los registros de pago en nuestra cuenta de Stripe (importe, IVA, fecha, paquete, y la dirección de correo electrónico y los datos de la dirección de facturación que diste al pagar) se conservan durante 7 años, el plazo que exige la legislación fiscal neerlandesa.
• Eventos de analítica (solo si diste tu consentimiento) - los eventos de uso seudónimos se eliminan junto con tu cuenta, y se borra la cookie de analítica. Los eventos registrados antes de registrarte solo llevan el identificador aleatorio de la cookie, nunca tu cuenta, así que solo podemos borrarlos cuando el navegador desde el que eliminas la cuenta sigue teniendo esa cookie - dura como máximo 12 meses, y el momento de la solicitud de eliminación es el único en el que existe ese vínculo. En caso contrario, y en el caso de eventos previos al registro de cualquier otro navegador, esos eventos siguen sin poder vincularse a nadie y se eliminan mediante la limpieza de 14 meses descrita a continuación. Independientemente de todo esto, los eventos de analítica se eliminan automáticamente al superar los 14 meses de antigüedad, mediante un proceso que se ejecuta a diario.
• Reseñas - se conservan hasta que las elimines o elimines tu cuenta, incluida la eliminación tras 2 años de inactividad. El registro de cuándo diste y retiraste el consentimiento para mostrar una reseña se conserva 24 meses en el registro de auditoría (más abajo). Consulta la sección 12.
• Registro de auditoría - se conserva durante 24 meses un registro de las acciones realizadas en tu cuenta (por ejemplo: una exportación de datos solicitada, un documento eliminado, un pago iniciado, una compra completada, la cuenta eliminada) para que podamos responder a tus preguntas, resolver disputas y demostrar el cumplimiento (art. 5.2 y art. 17.3.e) RGPD). Solo contiene tu identificador de cuenta, el nombre del evento, la hora y detalles técnicos como tamaños e identificadores - nunca tu nombre, correo electrónico, documentos o texto del CV. Como demuestra qué se hizo con tu cuenta, incluida su eliminación, este registro no se borra con la cuenta; caduca según su propio calendario. Tu exportación de datos lo incluye.

7. Tus derechos (RGPD)

Como persona en la UE/EEE, tienes derecho a:

• Supresión (derecho al olvido) - puedes eliminar tu cuenta y todos los datos asociados directamente desde la app: inicia sesión y luego haz clic en Eliminar cuenta en la barra de navegación superior. Esto elimina tu cuenta de nuestros sistemas de forma permanente e inmediata. Lo que permanece se describe en la sección 6: el registro de auditoría seudónimo (caduca a los 24 meses), el registro de recomendación (se elimina a los 24 meses de la recomendación) y los registros de pago que debemos conservar por motivos fiscales. Si tu cuenta se suspendió por fraude o abuso, también se mantiene el bloqueo de las tarjetas de pago usadas en ella, durante 24 meses (véase la sección 6).
• Acceso - descarga una copia de los datos personales que tenemos sobre ti directamente desde la app: inicia sesión, abre tu página de perfil y, en Privacidad y datos, haz clic en Descargar mis datos. El archivo también indica las finalidades, los destinatarios, los plazos de conservación y las fuentes de los datos.
• Portabilidad - la misma descarga te ofrece tus datos en formatos legibles por máquina (JSON, YAML, HTML, Markdown y tus archivos originales subidos) en un archivo ZIP.
• Rectificación - solicita la corrección de datos inexactos
• Oponerte al tratamiento o limitarlo, incluido el tratamiento basado en nuestro interés legítimo
• Retirar el consentimiento en cualquier momento, sin afectar al tratamiento realizado con anterioridad
• Presentar una reclamación ante tu autoridad nacional de protección de datos (en los Países Bajos: Autoriteit Persoonsgegevens, la autoridad neerlandesa de protección de datos)

La supresión, el acceso y la portabilidad son de autoservicio. Para la rectificación, la limitación o la oposición, contáctanos en [email protected], a través de la página de soporte o el botón de comentarios de la app.

8. Cookies y almacenamiento local

Estrictamente necesarias: una cookie de sesión (para seguir tu tarea de generación), una cookie de autenticación cuando inicias sesión, una pequeña cookie que guarda tu propia elección de consentimiento de cookies, y, si llegas a través de un enlace de invitación, una cookie que guarda esa invitación hasta que te registras. Estas no requieren consentimiento.

La analítica es opcional (opt-in). Solo si aceptas la analítica en el banner de cookies establecemos una cookie cv_anon - un identificador aleatorio, válido como máximo 12 meses, vinculado a eventos de uso seudónimos (páginas vistas, funciones usadas; nunca el contenido de tu CV). Si rechazas, no se establece ninguna cookie de analítica y no se registra ningún evento vinculado a ti. Sí mantenemos contadores operativos anónimos sea cual sea tu elección - por ejemplo, cuántos CV se generaron con cada plantilla, cuántos paquetes de solicitudes se vendieron, o cuántas visitas llegaron desde un asistente de IA como ChatGPT o Perplexity (y qué rastreadores de IA accedieron a nuestras páginas públicas) - que no contienen ningún identificador y no pueden vincularse a ti. Si aceptas, también establecemos una segunda cookie (cv_src, como máximo 180 días) que registra de dónde llegaste por primera vez - un canal como "búsqueda", "asistente de IA" o "social", además de cualquier etiqueta de campaña (utm_source, utm_medium, utm_campaign) en el enlace por el que llegaste. No contiene ningún identificador tuyo. De la página que te remitió guardamos solo su nombre de dominio (por ejemplo google.com) y qué tipo de sitio es - nunca su dirección completa ni términos de búsqueda. También registramos a qué página de nuestro propio sitio llegaste primero: solo su dirección, sin nada de lo que hayas escrito en ella, y con cualquier identificador que contenga (una referencia de documento, un código de invitación) sustituido antes de almacenarla. Nos permite ver si un resultado de búsqueda o una campaña llevó a un registro o a una compra; el canal se almacena junto a tu compra y aparece en tu exportación de datos. Retira el consentimiento más tarde mediante "Preferencias de cookies" en el pie de página: ambas cookies se eliminan y el origen registrado también se borra de tus registros de compra (las compras en sí, y tus solicitudes, no se ven afectadas). Respetamos la señal del navegador Global Privacy Control, que anula cualquier aceptación anterior.

El marketing es opcional. Solo cargamos el píxel de Meta si aceptas el marketing en el aviso de cookies. Instala dos cookies: _fbp, un identificador aleatorio del navegador, y _fbc, que guarda el identificador del clic en el anuncio cuando llegas desde un anuncio de Meta; ambas duran como máximo 90 días. Nuestro servidor también comunica a Meta cuándo creas una cuenta, inicias tu primera solicitud y completas una compra (con su importe y moneda). Estos eventos llevan tu dirección de correo en forma cifrada con hash (SHA-256), los valores de las dos cookies, el agente de usuario de tu navegador, la dirección de la página de CVTailor donde ocurrió el evento (sin lo que sigue a un ? o #), la hora del evento y un identificador del evento con el que Meta no cuenta dos veces el mismo evento, nunca tu CV, las ofertas de empleo ni nada que escribas en la aplicación. El objetivo es medir qué anuncios llevan a registros y compras. Retira tu consentimiento en "Preferencias de cookies" al pie de la página: se eliminan ambas cookies y no se envían más eventos. Si retiras tu consentimiento con la sesión iniciada, guardamos el momento de esa retirada con tu cuenta, de modo que una compra completada después no se comunica a Meta, aunque la hubieras empezado antes. Global Privacy Control también rechaza el marketing.

La elección de plantilla de tu CV puede guardarse en el almacenamiento local de tu navegador (funcional, opcional en el mismo banner).

9. Transferencias de datos fuera de la UE

Los datos de tu cuenta, documentos e historial de generaciones se almacenan con Supabase en Londres, Reino Unido, cubierto por la decisión de adecuación de la Comisión Europea para el Reino Unido. El material descrito en las secciones 3 y 4 se envía a los servicios de Anthropic, que pueden tratar datos en servidores ubicados fuera de la UE, incluido en Estados Unidos; estas transferencias están cubiertas por el Marco de Privacidad de Datos UE-EE. UU. o por las Cláusulas Contractuales Tipo de la Comisión Europea (véase la política de privacidad de Anthropic). Stripe, Cloudflare, Resend y nuestro proveedor de alojamiento Railway también pueden tratar datos fuera de la UE, bajo las garantías establecidas en sus condiciones de tratamiento de datos; se aplican sus políticas de privacidad.

Si aceptas las cookies de marketing, Meta Platforms Ireland puede transferir los datos a Meta Platforms, Inc. en Estados Unidos, al amparo del Marco de Privacidad de Datos UE-EE. UU. y de las cláusulas contractuales tipo de la Comisión Europea.

10. Menores

CVTailor no está dirigido a menores de 16 años. No tratamos conscientemente datos de menores.

11. Cambios en esta política

Actualizamos esta política cuando cambia el servicio o la forma en que trata tus datos. La fecha de "última actualización" en la parte superior muestra la versión más reciente. Si un cambio afecta de forma sustancial a cómo usamos datos que ya nos has dado, te lo comunicaremos en la app o por correo electrónico antes de que entre en vigor.

12. Reseñas

Si dejas una reseña después de descargar un CV, guardamos las estrellas, el texto, a qué candidatura corresponde, si aceptaste que se muestre públicamente (con el momento, la versión del texto de consentimiento y el idioma en que se mostró), cuándo retiraste el consentimiento si lo hiciste, tu elección de nombre y foto, y su estado de moderación, con el motivo si no la mostramos. Las reseñas se guardan en Supabase (sección 4) y se incluyen en tu exportación de datos.

Reseñas que no aceptas mostrar. Las conservamos para calcular nuestra valoración global y mejorar CVTailor, y para ello leemos el texto. Nunca se muestran. La base jurídica es nuestro interés legítimo en saber cómo valoran el servicio los usuarios (art. 6.1.f) RGPD). Puedes oponerte en cualquier momento. La forma más sencilla es eliminar la reseña en la página de la solicitud, en Mis solicitudes.

Reseñas que aceptas mostrar. Solo mostramos una reseña en nuestro sitio web, en nuestras cuentas de redes sociales y en nuestros anuncios si marcas la casilla de consentimiento aparte, y solo después de revisarla. La base jurídica es tu consentimiento (art. 6.1.a) RGPD). No publicamos datos de salud ni otra información sensible: los quitamos o no mostramos la reseña. Cualquier persona en internet puede ver una reseña que mostramos. En nuestro sitio web, tu nombre y tu foto se leen de tu cuenta cada vez que se muestra la reseña. Una copia en una publicación en redes sociales o en un anuncio conserva el nombre y la foto que había cuando se hizo. Las plataformas donde la publicamos, como LinkedIn, Instagram y Facebook, también la tratan según sus propias políticas de privacidad.

Retirar el consentimiento. Puedes retirar el consentimiento en cualquier momento en la página de la solicitud, en Mis solicitudes, o por correo electrónico, sin que ello afecte a lo mostrado antes. La reseña desaparece entonces de nuestro sitio web de inmediato, y de nuestras publicaciones en redes sociales y anuncios en un plazo de 30 días. Retirar el consentimiento no quita tus estrellas de la valoración global. Eliminar la reseña, sí. Eliminar la solicitud o tu cuenta tiene el mismo efecto que eliminar la reseña.

Conservación. Las reseñas se conservan hasta que las elimines o elimines tu cuenta, incluida la eliminación tras 2 años de inactividad (sección 6). Para poder demostrar lo que aceptaste, el registro de cuándo diste y retiraste el consentimiento también se conserva 24 meses en el registro de auditoría (sección 6).

13. Contacto

Preguntas sobre esta política y solicitudes de protección de datos: [email protected], o el botón de comentarios de la app. Own Latitude es el responsable del tratamiento de tus datos.