Política de privacidad

Responsable del tratamiento

Mariano Ariel De Vitto, empresario individual (autónomo), NIF Y8773262H, domicilio en Carrer de Lleida 25, 1.º 3.ª, 08004 Barcelona, España. Para cualquier cuestión sobre sus datos: [email protected].

No hay delegado de protección de datos designado: el tratamiento no alcanza los supuestos del artículo 37 del RGPD.

Qué datos tratamos

• Datos de cuenta. El correo con el que entra. Si entra con Google, también su nombre y su foto de perfil, que Google nos facilita.
• Perfil profesional. Lo que escribe y lo que se extrae de su CV: experiencia, formación, aptitudes, idiomas, ciudad, nivel, modalidad y expectativa salarial.
• Su currículum. Cuando sube un PDF lo leemos para completar el perfil. Guardamos el texto extraído, no el archivo.
• Su actividad en la app. Las ofertas que analizó, sus puntajes, el estado de cada candidatura, sus notas y los documentos generados.
• Datos de uso. Fecha del último acceso y cuántas búsquedas y análisis hizo cada día. Sirve para que el servicio funcione y para que nadie agote los límites de las herramientas que usamos.
• Cómo responde a nuestros correos. Si un correo nuestro le llegó, si lo abrió y en qué enlaces hizo clic. Para saber si se abrió, el correo lleva una imagen invisible que su programa de correo carga al abrirlo; para los clics, los enlaces pasan por cernoria.com un instante antes de llevarle a su destino. Guardamos qué correo, qué enlace y cuándo; no guardamos su dirección IP ni datos de su navegador.
• Correo electrónico, sólo si lo conecta. Si activa la lectura de alertas de empleo, accedemos a su buzón únicamente para localizar los correos de alertas de portales de empleo y extraer de ellos los títulos, empresas y enlaces. No leemos, ni guardamos, ni indexamos el resto de su correo. Puede desconectarlo cuando quiera y el permiso se revoca en ese momento. Lo que se lee de su correo sólo se usa para mostrarle a usted sus propias ofertas: no se comparte con otras personas ni se usa para nada más. El uso que Cernoria hace de la información recibida de las API de Google cumple la Política de Datos de Usuario de los Servicios de API de Google (https://developers.google.com/terms/api-services-user-data-policy), incluidos los requisitos de Uso Limitado.
• Respuestas de las empresas, sólo si lo activa. Si enciende «Detectar las respuestas de las empresas», miramos el remitente, el asunto y las primeras líneas de los correos de las empresas a las que aplicó, para marcar la candidatura como entrevista o rechazada. No guardamos nada de esos correos.
• Invitaciones. Si llega por la invitación de otra persona, guardamos quién le invitó para darle a esa persona el mes de regalo. Quien invita sólo ve cuántas invitaciones suyas se usaron, no quién es usted.
• Datos de pago, si contrata un plan. El cobro lo procesa íntegramente Stripe. Cernoria no ve ni guarda su número de tarjeta: sólo conserva un identificador de cliente, el plan contratado y las fechas de facturación.
• Su voz, sólo si usa el dictado. Si prefiere contar algo hablando en lugar de escribirlo, el audio se envía para convertirlo en texto y se descarta en cuanto vuelve la transcripción. No guardamos la grabación, ni en su dispositivo ni en nuestros servidores: lo único que queda es el texto, en el campo donde usted puede corregirlo antes de guardarlo. Es opcional; si no usa el dictado, no se graba nada.
• Sus entrevistas, sólo si usa esa sección. Guardamos lo que usted carga de cada entrevista (empresa, puesto, fecha, ronda, con quién y sus notas), su transcripción y el feedback que genera la aplicación. Si graba la entrevista o sube la grabación, el audio se envía para pasarlo a texto y se descarta: no se guarda. La transcripción queda guardada con la entrevista mientras tenga la cuenta; puede borrarla cuando quiera desde la entrevista, y se borra con la cuenta. Incluye la voz de otras personas: usted se compromete a avisarles antes de grabar, y la aplicación se lo pide cada vez.
• La extensión de Chrome, sólo si la instala. «Cernoria · Transcribir entrevistas» capta el audio de la pestaña de la videollamada (Meet, Teams o Zoom en el navegador) solamente cuando usted pulsa «Activar transcripción», y lo envía a Cernoria junto con la dirección de la reunión para pasarlo a texto y asociarlo a su entrevista; el audio no se guarda. Guarda en su navegador una clave que la conecta con su cuenta y que deja de valer al desconectarla o desinstalarla. No lee otras pestañas ni su historial.
• Su género, sólo si lo indica. El perfil tiene un campo opcional donde puede decir cómo quiere que le nombremos en sus documentos. Es una categoría especial de datos (art. 9 RGPD): sólo lo tratamos con su consentimiento explícito, nunca lo deducimos de su nombre, no se envía a la inteligencia artificial —a ella sólo se le dice si escribir en masculino, en femenino o sin marcar género— y puede dejarlo en blanco o borrarlo cuando quiera.

Para qué los usamos y con qué base legal

• Prestarle el servicio —buscar ofertas, puntuarlas, generar documentos, llevar su seguimiento—. Base legal: la ejecución del contrato que acepta al crear la cuenta (art. 6.1.b RGPD).
• Cobrarle, si tiene un plan de pago, y cumplir las obligaciones fiscales y contables. Base legal: ejecución del contrato y obligación legal (art. 6.1.b y 6.1.c).
• Leer sus alertas de empleo del correo. Base legal: su consentimiento explícito, que da en el momento de conectar la casilla y puede retirar en cualquier momento (art. 6.1.a).
• Detectar respuestas de las empresas y avisos por Telegram. Base legal: su consentimiento, que da al activarlos y puede retirar en cualquier momento (art. 6.1.a).
• Mantener el servicio seguro y dentro de sus límites técnicos. Base legal: interés legítimo (art. 6.1.f).
• Escribirle sobre su búsqueda y el servicio: el resumen de ofertas, recordatorios de sus candidaturas y de sus entrevistas, avisos de su prueba gratis y de su plan y, si deja de entrar, un aviso de que tiene ofertas nuevas. Base legal: ejecución del contrato y, para los recordatorios y avisos sobre el propio servicio, interés legítimo (art. 6.1.f RGPD y art. 21.2 LSSI). Cada correo trae un enlace para dejar de recibirlos con un clic. No mandamos publicidad de terceros.
• Medir si nuestros correos sirven: cuántos llegan, cuántos se abren y en qué se hace clic, para mandar menos correos y mejores. Base legal: interés legítimo (art. 6.1.f). Se mira en conjunto, por tipo de correo, y no se usa para tomar ninguna decisión sobre usted. Puede oponerse cuando quiera (ver «Sus derechos»).
• Escribir sus documentos como usted pide. Si indica su género, la base legal es su consentimiento explícito para una categoría especial de datos (art. 9.2.a RGPD), que da al elegirlo y retira borrándolo. Sin ese dato, los documentos se escriben sin marcar el género.
• Medir nuestros anuncios y mostrárselos a quien ya nos visitó, sólo si acepta las cookies de marketing. Base legal: su consentimiento (art. 6.1.a RGPD y art. 22.2 LSSI), que puede retirar cuando quiera desde el aviso de cookies.

Calendario

Si usted conecta un calendario en la sección Entrevistas, Cernoria lee sus eventos para mostrarle su agenda y para que pueda convertir un evento en una entrevista. Conectar un calendario es opcional.

Cómo se conecta

• Con su cuenta de Google (Google Calendar) o de Microsoft (Outlook y Teams), mediante el inicio de sesión de cada proveedor. Usted ve y acepta los permisos en la pantalla de Google o de Microsoft.
• Con el enlace privado iCal de su calendario (por ejemplo, de iCloud), que usted copia y pega.

Qué permisos pedimos. Sólo de lectura:

• Google: ver sus eventos (calendar.events.readonly) y la lista de sus calendarios (calendar.calendarlist.readonly).
• Microsoft: leer sus calendarios (Calendars.Read) y mantener el acceso sin pedirle que vuelva a iniciar sesión (offline_access).

Cernoria no crea, modifica ni borra eventos de su calendario.

Qué datos leemos. De los eventos del período que usted consulta: título, fecha y hora, descripción, lugar, enlace de la videollamada, organizador e invitados (nombre y correo electrónico), y los nombres de sus calendarios.

Para qué los usamos. Sólo para mostrarle su agenda dentro de Cernoria y, cuando usted lo pide, para crear una entrevista a partir de un evento. No los usamos para publicidad, no los vendemos, no los cedemos a terceros con fines comerciales y no los usamos para entrenar modelos de inteligencia artificial.

Qué guardamos y durante cuánto tiempo.

• Los eventos no se guardan en nuestra base de datos: se leen cuando usted abre la agenda, se mantienen como mucho diez minutos en la memoria del servidor (para no volver a pedirlos en cada cambio de semana) y después se descartan.
• Guardamos, cifradas, las credenciales de acceso que nos da Google o Microsoft (o su enlace iCal) mientras el calendario esté conectado. Las borramos cuando usted lo desconecta o elimina su cuenta.
• Si usted agrega un evento como entrevista, los datos de ese evento pasan a formar parte de sus entrevistas y se tratan como el resto de los datos de su cuenta, según esta política.

Base legal. La ejecución del contrato (art. 6.1.b del RGPD): usted activa la conexión para usar la agenda, y sin leer sus eventos no podemos prestarle ese servicio. Los datos de los organizadores e invitados de sus eventos se tratan por interés legítimo (art. 6.1.f del RGPD) para mostrarle la agenda completa: sólo se le muestran a usted y no se guardan, salvo que usted cree una entrevista.

Dónde se tratan. En nuestros servidores de la Unión Europea. Nadie en Cernoria lee los datos de su calendario, salvo que usted nos lo pida para resolver un problema, por motivos de seguridad o cuando la ley lo exija.

Cómo desconectarlo. Desde Entrevistas → ícono de la agenda → Conectar calendario, o desde Mi cuenta → Conexiones. También puede retirar el acceso desde su cuenta: Google (myaccount.google.com/permissions) o Microsoft (account.live.com/consent/Manage para cuentas personales; myapps.microsoft.com para cuentas de trabajo o de estudios). Si retira el acceso desde allí, Cernoria se lo avisará en la agenda.

Uso limitado de los datos de Google. El uso y la transferencia a cualquier otra aplicación, por parte de Cernoria, de la información recibida de las API de Google se ajustarán a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de Uso limitado.

Lo que NO hacemos

No vendemos sus datos. No los cedemos a empresas para que le ofrezcan trabajo ni para ningún otro fin comercial. No usamos su información para perfiles publicitarios: ni su perfil, ni su CV, ni las ofertas que mira, ni el resultado de sus análisis salen hacia plataformas de anuncios. Si acepta las cookies de marketing, Meta y TikTok sí saben qué pantallas de Cernoria visitó y qué pasos dio, como se explica en «Con quién se comparten», y pueden mostrarle anuncios de Cernoria por eso; si las rechaza, no. No usamos sus datos ni sus documentos para entrenar modelos de inteligencia artificial, ni propios ni de terceros.

No enviamos candidaturas en su nombre y no accedemos a sus cuentas en portales de empleo.

Decisiones automatizadas

Cernoria puntúa las ofertas de forma automática y le sugiere si aplicar o no. Esa puntuación es una orientación para usted: no produce ningún efecto jurídico sobre usted ni le afecta significativamente, porque no decide nada frente a terceros y siempre decide usted si aplica. Siempre puede ver el desglose de cómo se calculó, discutirlo y aplicar igual.

Con quién se comparten

Sólo con los proveedores necesarios para que la aplicación funcione, todos con contrato de encargado de tratamiento:

• Supabase — base de datos y autenticación. Servidores en la Unión Europea.
• Hetzner — el servidor propio de Cernoria, en Núremberg (Alemania), que aloja la aplicación y hace todo el tratamiento: la web, leer un CV, generar los documentos y mantener al día el índice de ofertas. Lo presta Hetzner Online GmbH.
• Netlify — alojamiento de respaldo: si el servidor propio falla, la aplicación puede volver a servirse desde Netlify, con las funciones en Fráncfort (Alemania). Mientras tanto sólo comprueba desde afuera que la web responda, sin tratar datos personales. Lo presta Netlify, Inc.; transferencia internacional amparada en las cláusulas contractuales tipo.
• Cloudflare — guarda las copias de seguridad de la base de datos, cifradas con una clave que sólo tiene Cernoria, y es la puerta de entrada de la web: la protege de ataques y la entrega. Lo presta Cloudflare, Inc.; transferencia internacional amparada en las cláusulas contractuales tipo.
• Anthropic — procesa el texto de su perfil y de la oferta para generar el análisis y los documentos. Anthropic no usa lo que se envía por su API para entrenar sus modelos. Transferencia internacional amparada en las cláusulas contractuales tipo de la Comisión Europea.
• OpenAI — sólo si usa el dictado por voz. Recibe el audio que graba para devolverlo convertido en texto, y nada más: ni su perfil, ni su CV, ni las ofertas. OpenAI no usa lo que se envía por su API para entrenar sus modelos y borra el audio una vez procesado. Lo presta OpenAI, L.L.C.; transferencia internacional amparada en las cláusulas contractuales tipo de la Comisión Europea.
• Mistral AI — sólo si graba una entrevista o sube su grabación. Recibe el audio para devolverlo convertido en texto, y nada más: ni su perfil, ni su CV, ni las ofertas. No se guarda la grabación ni el texto que devuelve: el texto lo guarda Cernoria, con la entrevista. Lo presta Mistral AI SAS, empresa establecida en Francia; el tratamiento queda en la Unión Europea.
• Sentry — recibe un aviso técnico cuando algo falla en la aplicación (qué pantalla, qué error), sin su perfil, su CV ni el texto de las ofertas. Lo presta Functional Software, Inc.; los datos se alojan en su región europea.
• Resend: entrega los correos que le manda Cernoria (el de bienvenida, los resúmenes y los recordatorios) y nos avisa si cada uno llegó y si se abrió. Recibe su dirección de correo y el contenido del mensaje; no recibe su CV ni su perfil. Lo presta Resend, Inc.; transferencia internacional amparada en las cláusulas contractuales tipo.
• Telegram — sólo si conecta Telegram para recibir alertas. Recibe los títulos de las ofertas que se le avisan. Telegram presta su servicio desde fuera del Espacio Económico Europeo y no firma cláusulas contractuales tipo: esa transferencia se ampara en su consentimiento explícito, que da al conectarlo y retira desconectándolo (art. 49.1.a RGPD).
• Google — sólo si elige entrar con su cuenta de Google o conectar Gmail o su Google Calendar.
• Microsoft — sólo si conecta una casilla o su calendario de Outlook.
• Google Tag Manager — es el gestor que carga las herramientas de medición de abajo. Por sí mismo no guarda nada en su dispositivo ni recibe datos suyos: sólo decide qué se activa según lo que usted haya consentido. Lo presta Google Ireland Limited.
• Google Analytics: sólo si acepta las cookies de analítica. Recibe qué páginas visita y qué pasos da en la web y en la aplicación, y datos técnicos del navegador; nunca su perfil, su CV, las ofertas que mira ni el resultado de sus análisis. Transferencia internacional amparada en las cláusulas contractuales tipo.
• Meta: sólo si acepta las cookies de marketing. Recibe qué páginas visita en la web y en la aplicación, en qué botones principales hace clic (registrarse, entrar a la aplicación, ver planes, ver la demo) y qué pasos da: si analizó su CV con la herramienta ATS, si vio los planes o eligió uno, si se registró, completó su perfil, marcó una postulación, empezó un pago, contrató o cambió de plan, con el plan y el importe. Lo usamos para medir nuestros anuncios y mostrarlos a quien ya visitó Cernoria. Nunca recibe el contenido de su perfil, de su CV ni de las ofertas que mira, ni el resultado de sus análisis. Aquí Meta y Cernoria son corresponsables del tratamiento. Transferencia internacional amparada en el Marco de Privacidad de Datos UE-EE. UU.
• TikTok: sólo si acepta las cookies de marketing. Recibe lo mismo que Meta: qué páginas visita en la web y en la aplicación, en qué botones principales hace clic y qué pasos da, con el plan y el importe si contrata uno. Lo usamos para medir nuestros anuncios en TikTok y mostrarlos a quien ya visitó Cernoria. Nunca recibe el contenido de su perfil, de su CV ni de las ofertas que mira, ni el resultado de sus análisis. Aquí TikTok y Cernoria son corresponsables del tratamiento. Lo prestan TikTok Technology Limited (Irlanda) y TikTok Information Technologies UK Limited; transferencia internacional amparada en las cláusulas contractuales tipo.
• Microsoft — sólo si acepta las cookies de analítica. Recibe la grabación de cómo se usa la pantalla, con todos los textos tapados antes de salir de su navegador. No recibe su currículum, ni las ofertas que mira, ni su nombre. Transferencia internacional amparada en las cláusulas contractuales tipo.
• Stripe — sólo si contrata un plan de pago. Procesa el cobro y los datos de la tarjeta; Cernoria sólo recibe un identificador de cliente, el plan y las fechas de facturación. Lo presta Stripe Payments Europe, Ltd. (Irlanda); las transferencias a Stripe, Inc. se amparan en el Marco de Privacidad de Datos UE-EE. UU. y en las cláusulas contractuales tipo.
• Fuentes de ofertas de empleo — reciben la consulta de búsqueda (el puesto y la ciudad), nunca su identidad ni su perfil.

Cuánto tiempo los guardamos

Mientras tenga la cuenta abierta. Cuando la borra se borra todo —perfil, CV, análisis, documentos y seguimiento— sin copia nuestra.

Excepción: las facturas y los registros contables se conservan el plazo que exige la ley fiscal española, que hoy es de cuatro años. Esos documentos contienen su nombre y el importe, no su perfil profesional.

Si no entra durante dos años seguidos le avisamos por correo y, si no responde, borramos la cuenta.

Lo que se mide de los correos (entregas, aperturas y clics) se borra a los 400 días. Si borra la cuenta, deja de estar asociado a usted en ese momento y se borra del todo dentro de ese plazo.

Sus derechos

Tiene derecho a acceder a sus datos, rectificarlos, suprimirlos, limitar su tratamiento, oponerse a él y llevárselos a otro servicio. También a retirar su consentimiento en cualquier momento, sin que eso afecte a lo hecho antes.

Las tres primeras cosas las puede hacer usted sin pedirnos nada: el perfil se edita, todos sus datos se descargan en un archivo desde Mi cuenta, y la cuenta se borra desde Mi cuenta con efecto inmediato. Para el resto, escríbanos a [email protected] y respondemos dentro del plazo de un mes.

Si cree que no tratamos bien sus datos puede reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

Seguridad

Las contraseñas no las guardamos nosotros: las gestiona el proveedor de autenticación. Los datos viajan cifrados y cada fila de la base tiene reglas de acceso por usuario, de forma que nadie puede leer los datos de otra persona. Los permisos de correo se guardan cifrados.

Si ocurriera una brecha que suponga un riesgo para usted, se lo comunicamos y lo notificamos a la autoridad dentro de las 72 horas, como exige el artículo 33 del RGPD.

Menores

Cernoria no está dirigido a menores de 16 años y no se puede usar por debajo de esa edad.

Cambios

Si esta política cambia de forma relevante le avisamos por correo antes de que entre en vigor. La fecha de la última actualización está arriba.