¿Qué hace que una herramienta de CV cumpla el RGPD?

Casi todos los creadores de CV afirman cumplir el RGPD. Muy pocos explican qué quieren decir, y detrás de la frase no hay ninguna certificación. No hay sello, ni auditoría, ni registro. Una empresa lo escribe en su página de precios porque nadie se lo impide.

Eso no vuelve inútil al reglamento. Te da una lista concreta de cosas que comprobar y, una vez las conoces, distingues una respuesta real de una frase de marketing en unos cinco minutos. Esto es lo que se aplica de verdad cuando una herramienta maneja tu CV.

Por qué un CV es un caso difícil

El RGPD regula los datos personales, y un CV se acerca al peor de los casos: nombre, domicilio, teléfono, correo, trayectoria laboral, formación y, con frecuencia, fotografía y fecha de nacimiento, todo en un archivo estructurado.

Algunos CV incluyen además lo que el artículo 9 llama categorías especiales de datos, con protección más estricta. Una pausa laboral explicada por enfermedad, voluntariado en una organización religiosa, un cargo sindical, la pertenencia a una red de personas con discapacidad. Nada de eso es raro en un CV real, y todo eleva el listón para quien guarde el archivo.

Un creador de CV no maneja, por tanto, datos triviales. Maneja un expediente, y las obligaciones escalan en consecuencia.

Qué exige realmente el reglamento

Cinco obligaciones importan para este tipo de herramienta.

Una base jurídica. La empresa necesita un motivo legal concreto para tratar tus datos. En una herramienta de pago suele ser la ejecución del contrato para el propio servicio, y el consentimiento para todo lo demás, como el marketing. «Recogemos datos para mejorar nuestros servicios» no es una base jurídica, es una frase.

Minimización de datos. Recoger lo necesario, no lo que podría venir bien más adelante. Una herramienta que pide tu fecha de nacimiento cuando ninguna plantilla la usa ya ha fallado aquí.

Limitación del plazo de conservación. Los datos se guardan solo mientras la finalidad lo exija. Una herramienta que aún conserva el CV que escribiste hace cuatro años, en una cuenta abandonada, no cumple esto.

Tus derechos, de forma practicable. Acceso, rectificación, supresión, portabilidad y oposición, atendidos en un mes y sin carrera de obstáculos. Un proceso de borrado que obliga a escribir a soporte y esperar es técnicamente conforme y prácticamente hostil.

Transferencias controladas. Si los datos salen de la UE o del EEE, hacen falta garantías adecuadas, normalmente cláusulas contractuales tipo. Aquí es donde las herramientas de IA se complican, porque el proveedor del modelo suele estar en Estados Unidos.

La capa de IA duplica la pregunta

Esta parte es específica de las herramientas de CV con IA, y se le escapa a mucha gente.

Cuando un creador en la nube envía tu CV a un modelo de lenguaje, ahora hay dos empresas tratando tus datos: la herramienta y el proveedor del modelo. Cada una con su política, su plazo de conservación, su jurisdicción y su historial de seguridad. Una herramienta impecablemente conforme, montada sobre un proveedor que entrena con el contenido enviado, ha movido igualmente tu CV a un sitio que no evaluaste.

La pregunta nunca es «¿esta herramienta cumple el RGPD?». Es «¿quiénes son todas las partes que tocan mi archivo, y qué hace cada una con él?».

Seis preguntas que dan una respuesta real

Házselas a cualquier herramienta. Las respuestas deberían aparecer en la política de privacidad en unos minutos. Si no aparecen, eso ya es la respuesta.

• ¿Quién es el responsable del tratamiento y dónde está establecido? Una entidad jurídica con nombre y dirección, no «el equipo».
• ¿Qué subencargados se utilizan y están listados? Las empresas conformes publican una lista. Su ausencia es una señal real.
• ¿Cuál es el plazo de conservación, expresado en tiempo? «Mientras sea necesario» no significa nada. «36 meses tras el último acceso» sí.
• ¿Borrar mi cuenta borra mis documentos, y en cuánto tiempo? Suelen ser acciones distintas con plazos distintos.
• ¿El proveedor de IA entrena con el contenido enviado? Es una segunda política, no la de la herramienta. Compruébala aparte.
• ¿Se transfieren datos fuera del EEE y bajo qué garantía? La respuesta debe nombrar el mecanismo.

El límite del derecho de supresión

Mucha gente ve el artículo 17, el derecho de supresión, como un botón de reinicio. Es un derecho real y útil, y es más débil de lo que suena.

Una solicitud de supresión alcanza las copias que la empresa controla. Las copias de seguridad caducan a su propio ritmo. Los datos ya compartidos con subencargados siguen sus plazos. El reglamento enumera casos en los que el derecho no se aplica, incluidas obligaciones legales de conservación. Y la supresión no alcanza ninguna copia rastreada, filtrada o robada antes de tu solicitud.

Borrar después es una reparación. Siempre será más débil que no enviar nunca el archivo.

Por qué el procesamiento local cambia la forma del problema

Existe una categoría de herramientas a la que la pregunta del cumplimiento apenas se aplica, porque no hay un tercero que deba cumplir nada.

Si el software funciona en tu ordenador y tus documentos se quedan en una carpeta que elegiste, ninguna empresa está tratando tus datos personales. No hay más responsable que tú, ninguna política de conservación que leer, ninguna lista de subencargados, ningún mecanismo de transferencia y nada cuya supresión debas solicitar. El RGPD no se cumple tanto como se esquiva: regula lo que las organizaciones hacen con tus datos, y ninguna organización los recibió.

CVumi está construido así. Es una aplicación de escritorio para Windows y macOS. Tu perfil maestro, tus documentos generados y tu historial de candidaturas viven en tu propio equipo. Cuando se ejecuta un paso de IA, la petición va de tu ordenador al proveedor que elijas bajo tu propia clave, de modo que se aplican las condiciones de API y ninguna base de datos de CVumi se interpone. Los únicos datos personales que recibe quien opera CVumi son el correo asociado a tu compra, gestionado por la pasarela de pago.

Es un pago único: 69 EUR por una licencia estándar con tres activaciones de dispositivo, o 34 EUR con un correo universitario.

El resumen honesto

El cumplimiento del RGPD no es un sello, es un conjunto de preguntas con respuesta. Un creador de CV en la nube puede responderlas bien, y los buenos lo hacen. Haz las seis preguntas de arriba y verás enseguida en qué categoría cae una herramienta.

Pero el reglamento existe porque que una organización tenga tus datos personales es intrínsecamente arriesgado. El escenario de menor riesgo no es la política de privacidad mejor redactada. Es aquel en el que ninguna organización tiene el archivo.

Para la versión práctica, mira cómo mantener tus documentos profesionales totalmente privados, y para comparar herramientas, los mejores creadores de CV con IA respetuosos con la privacidad en 2026.