Política de privacidad

Responsable del tratamiento

Mariano De Vitto, empresario individual (autónomo), NIF Y8773262H, domicilio en Carrer Lleida 25, 08004 Barcelona, España. Para cualquier cuestión sobre sus datos: [email protected].

No hay delegado de protección de datos designado: el tratamiento no alcanza los supuestos del artículo 37 del RGPD.

Qué datos tratamos

• Datos de cuenta. El correo con el que entra. Si entra con Google, también su nombre y su foto de perfil, que Google nos facilita.
• Perfil profesional. Lo que escribe y lo que se extrae de su CV: experiencia, formación, aptitudes, idiomas, ciudad, nivel, modalidad y expectativa salarial.
• Su currículum. Cuando sube un PDF lo leemos para completar el perfil. Guardamos el texto extraído, no el archivo.
• Su actividad en la app. Las ofertas que analizó, sus puntajes, el estado de cada candidatura, sus notas y los documentos generados.
• Datos de uso. Fecha del último acceso y cuántas búsquedas y análisis hizo cada día. Sirve para que el servicio funcione y para que nadie agote los límites de las herramientas que usamos.
• Correo electrónico, sólo si lo conecta. Si activa la lectura de alertas de empleo, accedemos a su buzón únicamente para localizar los correos de alertas de portales de empleo y extraer de ellos los títulos, empresas y enlaces. No leemos, ni guardamos, ni indexamos el resto de su correo. Puede desconectarlo cuando quiera y el permiso se revoca en ese momento. Lo que se lee de su correo sólo se usa para mostrarle a usted sus propias ofertas: no se comparte con otras personas ni se usa para nada más. El uso que Cernoria hace de la información recibida de las API de Google cumple la Política de Datos de Usuario de los Servicios de API de Google (https://developers.google.com/terms/api-services-user-data-policy), incluidos los requisitos de Uso Limitado.
• Respuestas de las empresas, sólo si lo activa. Si enciende «Detectar las respuestas de las empresas», miramos el remitente, el asunto y las primeras líneas de los correos de las empresas a las que aplicó, para marcar la candidatura como entrevista o rechazada. No guardamos nada de esos correos.
• Invitaciones. Si llega por la invitación de otra persona, guardamos quién le invitó para darle a esa persona el mes de regalo. Quien invita sólo ve cuántas invitaciones suyas se usaron, no quién es usted.
• Datos de pago, si contrata un plan. El cobro lo procesa íntegramente Stripe. Cernoria no ve ni guarda su número de tarjeta: sólo conserva un identificador de cliente, el plan contratado y las fechas de facturación.
• Su voz, sólo si usa el dictado. Si prefiere contar algo hablando en lugar de escribirlo, el audio se envía para convertirlo en texto y se descarta en cuanto vuelve la transcripción. No guardamos la grabación, ni en su dispositivo ni en nuestros servidores: lo único que queda es el texto, en el campo donde usted puede corregirlo antes de guardarlo. Es opcional; si no usa el dictado, no se graba nada.
• Sus entrevistas, sólo si usa esa sección. Guardamos lo que usted carga de cada entrevista (empresa, puesto, fecha, ronda, con quién y sus notas), su transcripción y el feedback que genera la aplicación. Si graba la entrevista o sube la grabación, el audio se envía para pasarlo a texto y se descarta: no se guarda. La transcripción queda guardada con la entrevista mientras tenga la cuenta; puede borrarla cuando quiera desde la entrevista, y se borra con la cuenta. Incluye la voz de otras personas: usted se compromete a avisarles antes de grabar, y la aplicación se lo pide cada vez.
• La extensión de Chrome, sólo si la instala. «Cernoria · Transcribir entrevistas» capta el audio de la pestaña de la videollamada (Meet, Teams o Zoom en el navegador) solamente cuando usted pulsa «Activar transcripción», y lo envía a Cernoria junto con la dirección de la reunión para pasarlo a texto y asociarlo a su entrevista; el audio no se guarda. Guarda en su navegador una clave que la conecta con su cuenta y que deja de valer al desconectarla o desinstalarla. No lee otras pestañas ni su historial.
• Su género, sólo si lo indica. El perfil tiene un campo opcional donde puede decir cómo quiere que le nombremos en sus documentos. Es una categoría especial de datos (art. 9 RGPD): sólo lo tratamos con su consentimiento explícito, nunca lo deducimos de su nombre, no se envía a la inteligencia artificial —a ella sólo se le dice si escribir en masculino, en femenino o sin marcar género— y puede dejarlo en blanco o borrarlo cuando quiera.

Para qué los usamos y con qué base legal

• Prestarle el servicio —buscar ofertas, puntuarlas, generar documentos, llevar su seguimiento—. Base legal: la ejecución del contrato que acepta al crear la cuenta (art. 6.1.b RGPD).
• Cobrarle, si tiene un plan de pago, y cumplir las obligaciones fiscales y contables. Base legal: ejecución del contrato y obligación legal (art. 6.1.b y 6.1.c).
• Leer sus alertas de empleo del correo. Base legal: su consentimiento explícito, que da en el momento de conectar la casilla y puede retirar en cualquier momento (art. 6.1.a).
• Detectar respuestas de las empresas y avisos por Telegram. Base legal: su consentimiento, que da al activarlos y puede retirar en cualquier momento (art. 6.1.a).
• Mantener el servicio seguro y dentro de sus límites técnicos. Base legal: interés legítimo (art. 6.1.f).
• Escribirle por cuestiones del servicio —un cambio importante, un problema con su cuenta—. Base legal: ejecución del contrato. No mandamos publicidad.
• Escribir sus documentos como usted pide. Si indica su género, la base legal es su consentimiento explícito para una categoría especial de datos (art. 9.2.a RGPD), que da al elegirlo y retira borrándolo. Sin ese dato, los documentos se escriben sin marcar el género.

Lo que NO hacemos

No vendemos sus datos. No los cedemos a empresas para que le ofrezcan trabajo ni para ningún otro fin comercial. No hacemos perfiles publicitarios. No usamos sus datos ni sus documentos para entrenar modelos de inteligencia artificial, ni propios ni de terceros.

No enviamos candidaturas en su nombre y no accedemos a sus cuentas en portales de empleo.

Decisiones automatizadas

Cernoria puntúa las ofertas de forma automática y le sugiere si aplicar o no. Esa puntuación es una orientación para usted: no produce ningún efecto jurídico sobre usted ni le afecta significativamente, porque no decide nada frente a terceros y siempre decide usted si aplica. Siempre puede ver el desglose de cómo se calculó, discutirlo y aplicar igual.

Con quién se comparten

Sólo con los proveedores necesarios para que la aplicación funcione, todos con contrato de encargado de tratamiento:

• Supabase — base de datos y autenticación. Servidores en la Unión Europea.
• Hetzner — el servidor propio de Cernoria, en Núremberg (Alemania), que aloja la aplicación y hace todo el tratamiento: la web, leer un CV, generar los documentos y mantener al día el índice de ofertas. Lo presta Hetzner Online GmbH.
• Netlify — alojamiento de respaldo: si el servidor propio falla, la aplicación puede volver a servirse desde Netlify, con las funciones en Fráncfort (Alemania). Mientras tanto sólo comprueba desde afuera que la web responda, sin tratar datos personales. Lo presta Netlify, Inc.; transferencia internacional amparada en las cláusulas contractuales tipo.
• Cloudflare — guarda las copias de seguridad de la base de datos, cifradas con una clave que sólo tiene Cernoria, y es la puerta de entrada de la web: la protege de ataques y la entrega. Lo presta Cloudflare, Inc.; transferencia internacional amparada en las cláusulas contractuales tipo.
• Anthropic — procesa el texto de su perfil y de la oferta para generar el análisis y los documentos. Anthropic no usa lo que se envía por su API para entrenar sus modelos. Transferencia internacional amparada en las cláusulas contractuales tipo de la Comisión Europea.
• OpenAI — sólo si usa el dictado por voz. Recibe el audio que graba para devolverlo convertido en texto, y nada más: ni su perfil, ni su CV, ni las ofertas. OpenAI no usa lo que se envía por su API para entrenar sus modelos y borra el audio una vez procesado. Lo presta OpenAI, L.L.C.; transferencia internacional amparada en las cláusulas contractuales tipo de la Comisión Europea.
• Mistral AI — sólo si graba una entrevista o sube su grabación. Recibe el audio para devolverlo convertido en texto, y nada más: ni su perfil, ni su CV, ni las ofertas. No se guarda la grabación ni el texto que devuelve: el texto lo guarda Cernoria, con la entrevista. Lo presta Mistral AI SAS, empresa establecida en Francia; el tratamiento queda en la Unión Europea.
• Sentry — recibe un aviso técnico cuando algo falla en la aplicación (qué pantalla, qué error), sin su perfil, su CV ni el texto de las ofertas. Lo presta Functional Software, Inc.; los datos se alojan en su región europea.
• Resend — entrega los correos que le manda Cernoria: el de bienvenida, el resumen de ofertas y los avisos que usted haya activado. Recibe su dirección de correo y el contenido del mensaje; no recibe su CV ni su perfil. Lo presta Resend, Inc.; transferencia internacional amparada en las cláusulas contractuales tipo.
• Telegram — sólo si conecta Telegram para recibir alertas. Recibe los títulos de las ofertas que se le avisan. Telegram presta su servicio desde fuera del Espacio Económico Europeo y no firma cláusulas contractuales tipo: esa transferencia se ampara en su consentimiento explícito, que da al conectarlo y retira desconectándolo (art. 49.1.a RGPD).
• Google — sólo si elige entrar con su cuenta de Google o conectar Gmail.
• Microsoft — sólo si conecta una casilla de Outlook.
• Google Tag Manager — es el gestor que carga las herramientas de medición de abajo. Por sí mismo no guarda nada en su dispositivo ni recibe datos suyos: sólo decide qué se activa según lo que usted haya consentido. Lo presta Google Ireland Limited.
• Google Analytics — sólo si acepta las cookies de analítica. Recibe páginas visitadas y datos técnicos del navegador, nunca su perfil, su CV ni las ofertas que mira. Transferencia internacional amparada en las cláusulas contractuales tipo.
• Meta — sólo si acepta las cookies de marketing. Recibe que alguien llegó a la web desde un anuncio, para medir las campañas. Aquí Meta y Cernoria son corresponsables del tratamiento. Transferencia internacional amparada en el Marco de Privacidad de Datos UE-EE. UU.
• Microsoft — sólo si acepta las cookies de analítica. Recibe la grabación de cómo se usa la pantalla, con todos los textos tapados antes de salir de su navegador. No recibe su currículum, ni las ofertas que mira, ni su nombre. Transferencia internacional amparada en las cláusulas contractuales tipo.
• Stripe — sólo si contrata un plan de pago. Procesa el cobro y los datos de la tarjeta; Cernoria sólo recibe un identificador de cliente, el plan y las fechas de facturación. Lo presta Stripe Payments Europe, Ltd. (Irlanda); las transferencias a Stripe, Inc. se amparan en el Marco de Privacidad de Datos UE-EE. UU. y en las cláusulas contractuales tipo.
• Fuentes de ofertas de empleo — reciben la consulta de búsqueda (el puesto y la ciudad), nunca su identidad ni su perfil.

Cuánto tiempo los guardamos

Mientras tenga la cuenta abierta. Cuando la borra se borra todo —perfil, CV, análisis, documentos y seguimiento— sin copia nuestra.

Excepción: las facturas y los registros contables se conservan el plazo que exige la ley fiscal española, que hoy es de cuatro años. Esos documentos contienen su nombre y el importe, no su perfil profesional.

Si no entra durante dos años seguidos le avisamos por correo y, si no responde, borramos la cuenta.

Sus derechos

Tiene derecho a acceder a sus datos, rectificarlos, suprimirlos, limitar su tratamiento, oponerse a él y llevárselos a otro servicio. También a retirar su consentimiento en cualquier momento, sin que eso afecte a lo hecho antes.

Las tres primeras cosas las puede hacer usted sin pedirnos nada: el perfil se edita, todos sus datos se descargan en un archivo desde Mi cuenta, y la cuenta se borra desde Mi cuenta con efecto inmediato. Para el resto, escríbanos a [email protected] y respondemos dentro del plazo de un mes.

Si cree que no tratamos bien sus datos puede reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

Seguridad

Las contraseñas no las guardamos nosotros: las gestiona el proveedor de autenticación. Los datos viajan cifrados y cada fila de la base tiene reglas de acceso por usuario, de forma que nadie puede leer los datos de otra persona. Los permisos de correo se guardan cifrados.

Si ocurriera una brecha que suponga un riesgo para usted, se lo comunicamos y lo notificamos a la autoridad dentro de las 72 horas, como exige el artículo 33 del RGPD.

Menores

Cernoria no está dirigido a menores de 16 años y no se puede usar por debajo de esa edad.

Cambios

Si esta política cambia de forma relevante le avisamos por correo antes de que entre en vigor. La fecha de la última actualización está arriba.