Política de privacidad

Responsable del tratamiento

CVumi, representado por Eric Tchepanou
Erna-Eckstein-Straße 3, 81245 München, Alemania
Correo electrónico: privacy@cvumi.com

1. Descripción general

CVumi es una aplicación de escritorio que almacena en su dispositivo sus CV originales, las descripciones de puestos, su perfil profesional y los documentos generados. No recibimos ni almacenamos esos documentos profesionales originales. Las funciones de IA opcionales pueden enviar texto seudonimizado localmente directamente a un proveedor de IA externo que usted elija, tal como se describe en la sección 3.

Esta política cubre, por este orden: lo que la aplicación de escritorio transmite y lo que no (sección 2), cómo funcionan las funciones de IA opcionales (sección 3), qué tratamos cuando usted usa el sitio web o compra una licencia (sección 4), quién recibe datos y en qué función (secciones 5 y 6), cuánto tiempo conservamos los datos (sección 7) y sus derechos (sección 8).

2. La aplicación de escritorio

La aplicación está construida con un enfoque local primero, y sus flujos de datos son lo bastante cortos como para enumerarlos por completo:

• Sin telemetría. La aplicación no contiene analítica de uso, ni informes de fallos, ni rastreo. No se comunica con nuestros servidores en segundo plano.
• Sin cuenta. No existe cuenta de CVumi ni inicio de sesión; su clave de licencia es la única credencial.
• Sin almacenamiento en la nube. Sus CV, cartas de presentación, descripciones de puestos, su perfil profesional, sus notas y los documentos generados se almacenan únicamente en su dispositivo. Su foto, si añade una a un CV, se incrusta localmente y la aplicación nunca la transmite a ninguna parte, ni siquiera a su proveedor de IA.
• Exactamente dos funciones de red. La aplicación se conecta a Internet solo para la activación y desactivación de la licencia (sección 4, fila de activación de licencia) y para las solicitudes de IA que usted mismo inicia (sección 3). Nada más sale de su dispositivo.
• Esta política en la aplicación. La versión vigente de esta Política de privacidad está enlazada desde dentro de la aplicación.

3. Funciones de IA opcionales y seudonimización local

Las funciones de IA son opcionales. Cuando activa una, el Software sustituye localmente los nombres, datos de contacto y determinados identificadores profesionales que detecta por marcadores antes de enviar el texto necesario directamente al proveedor de IA externo y al modelo elegidos. La tabla de correspondencias permanece en su dispositivo y se utiliza localmente para restaurar esos datos cuando vuelve la respuesta.

Este proceso es una seudonimización (descrita en el producto como «ocultación de identidad»), no una anonimización garantizada. La detección automática puede omitir identificadores repetidos, escritos en un formato inesperado, incluidos en texto libre o expresados mediante el contexto. Un proveedor también podría deducir o volver a identificar a una persona combinando el texto ocultado con otra información. Por tanto, el texto transmitido puede seguir siendo un dato personal.

El proveedor de IA elegido procesa el texto conforme a sus propias condiciones y política de privacidad y puede tratar datos fuera de la UE/EEE. Usted es responsable de elegir al proveedor, revisar sus condiciones y ajustes de privacidad y decidir si utiliza una función de IA. CVumi no recibe ni almacena la solicitud ni la respuesta.

4. Datos que tratamos en el sitio web y en la compra

Como operadores de CVumi, no recogemos el contenido de sus CV, cartas de presentación, ofertas de empleo, peticiones o respuestas de IA, ni las claves API que usted utiliza. Un proveedor de IA externo elegido por usted trata el texto seudonimizado que usted envía al activar una función de IA.

Si publicamos una reseña o declaración suya como testimonio en un lugar distinto de la sección de reseñas a la que se envió (por ejemplo, en material de marketing), se lo preguntamos antes y nos basamos en su consentimiento (art. 6, apdo. 1, letra a).

5. Destinatarios y sus funciones

Mantenemos corta la lista de destinatarios, y cada uno tiene una función definida:

• Lemon Squeezy (Merchant of Record): gestiona el proceso de pago, la facturación, los impuestos, los reembolsos y el servicio de claves de licencia. Lemon Squeezy es responsable del tratamiento independiente para la operación de compra conforme a su propia política de privacidad; nos transmite los datos de pedido enumerados en la sección 4.
• Cloudflare: alojamiento del sitio web, distribución de contenidos y las funciones edge tras nuestros formularios y puntos de conexión de licencias. Encargado del tratamiento por cuenta nuestra.
• Sanity: nuestro back-end de contenidos, que almacena los registros de compra, reseñas, comentarios y solicitudes de funciones descritos en la sección 4, incluidas las capturas de pantalla que usted adjunte. Encargado del tratamiento por cuenta nuestra.
• Resend: envía nuestros correos transaccionales y, si usted se dio de alta, los correos de novedades del producto. Encargado del tratamiento por cuenta nuestra.
• PostHog (UE): analítica web respetuosa con la privacidad, alojada en la UE (Fráncfort), activa solo tras su consentimiento. Encargado del tratamiento por cuenta nuestra.
• Su proveedor de IA: no es nuestro encargado ni lo elegimos nosotros. La aplicación envía su texto seudonimizado directamente al proveedor y al modelo que usted configuró, por instrucción suya. El proveedor lo trata como responsable propio conforme a sus propias condiciones (sección 3).

Nuestros encargados actúan únicamente siguiendo nuestras instrucciones, sobre la base de contratos de encargo de tratamiento (art. 28 del RGPD). No vendemos datos personales ni los usamos para publicidad.

6. Transferencias internacionales

Cuando un destinatario trata datos fuera de la UE/EEE, nos basamos, por destinatario, en una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU., DPF) o en cláusulas contractuales tipo (CCT):

• Cloudflare (Cloudflare, Inc., EE. UU.): certificado DPF; CCT como mecanismo de respaldo en su anexo de encargo de tratamiento.
• PostHog: los datos de analítica se alojan en la UE (Fráncfort). La matriz estadounidense (PostHog Inc.) está certificada DPF para cualquier acceso residual.
• Sanity (Sanity AS, Noruega/EEE): nuestro conjunto de datos se aloja en la UE; cuando intervienen subencargados de Sanity en EE. UU., se aplican el DPF o las CCT.
• Resend (EE. UU.): CCT en el marco de su contrato de encargo de tratamiento.
• Lemon Squeezy (EE. UU.): responsable independiente; asegura sus propias transferencias conforme a su política de privacidad (DPF o CCT).
• Su proveedor de IA: depende por completo de su elección y puede estar fuera de la UE/EEE; rigen las condiciones propias del proveedor (sección 3).

7. Conservación de los datos

• Registros de compra y facturación: se conservan durante los plazos legales de conservación mercantiles y fiscales (hasta 10 años desde el final del año natural, § 147 AO, Código Tributario alemán, y § 257 HGB, Código de Comercio alemán).
• Registro de licencia y comprador: se conserva mientras su licencia pueda activarse (es perpetua), para poder validar claves y prestar asistencia; se elimina o anonimiza a petición cuando ninguna obligación legal exige conservarlo.
• Registros del servidor: se eliminan automáticamente a más tardar a los 30 días, salvo que un incidente concreto exija un análisis más prolongado.
• Correos de novedades del producto: hasta que usted se dé de baja; conservamos la prueba de su alta mientras le enviemos correos y hasta 3 años después (plazos de prescripción).
• Invitación a reseñar: los datos de programación de la invitación única se eliminan en cuanto la invitación se ha enviado o cancelado.
• Reseñas: se muestran mientras se ofrezca el producto; se retiran a petición suya de eliminación.
• Comentarios, solicitudes de funciones, capturas de pantalla: se conservan mientras sean relevantes para el desarrollo del producto, como máximo 24 meses, y después se eliminan.
• Datos de analítica (PostHog): se conservan en forma bruta como máximo 12 meses; su elección de consentimiento se guarda en su navegador durante 12 meses.

8. Sus derechos (RGPD)

Usted tiene derecho de acceso, rectificación, supresión, limitación del tratamiento y portabilidad de los datos, así como el derecho de oposición y el derecho a presentar una reclamación ante una autoridad de control. Para ejercer sus derechos, contáctenos en privacy@cvumi.com.

Cuando el tratamiento se base en el interés legítimo (art. 6, apdo. 1, letra f), puede oponerse en cualquier momento por motivos derivados de su situación particular (art. 21 del RGPD); en tal caso dejamos de tratar los datos, salvo que prevalezcan motivos legítimos imperiosos. Cuando el tratamiento se base en el consentimiento, puede retirarlo en cualquier momento con efectos para el futuro.

La autoridad de control competente para nosotros es la autoridad bávara de protección de datos: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Alemania, www.lda.bayern.de. También puede reclamar ante la autoridad de su lugar de residencia.

9. Consentimiento, cookies y analítica

El sitio web funciona por defecto sin analítica. La analítica (PostHog, alojado en la UE) solo se inicia si usted la acepta activamente en el banner de consentimiento; rechazar es tan fácil como aceptar, y el sitio interpreta las señales Global Privacy Control y Do Not Track como un «no». Puede cambiar de opinión en cualquier momento a través de «Configuración de cookies» en el pie de página; al retirar el consentimiento, la recogida de analítica se detiene desde ese momento. La base jurídica para almacenar o leer información en su dispositivo es su consentimiento (§ 25, apdo. 1 TDDDG); para el tratamiento posterior, el art. 6, apdo. 1, letra a del RGPD.

10. Sin decisiones individuales automatizadas, sin entrenamiento de modelos

No tomamos decisiones sobre usted basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos o le afecten de modo similar de forma significativa (art. 22 del RGPD). En particular, toda revisión relacionada con el precio para estudiantes (sección 4) la realiza una persona. No entrenamos modelos de IA con sus datos y no tenemos acceso a los contenidos que usted procesa en la aplicación.

11. Eliminar y exportar sus datos

Los datos de su dispositivo los exporta, respalda o elimina usted directamente: nunca pasan por nosotros. Para la pequeña cantidad de datos del lado del servidor descrita en la sección 4, escriba a privacy@cvumi.com y los eliminaremos o se los entregaremos en un formato portable, salvo cuando obligaciones legales de conservación (sección 7) nos exijan conservar determinados registros. Los datos de facturación en poder de Lemon Squeezy están sujetos a sus propias obligaciones de conservación; le indicaremos el contacto adecuado.

12. Cambios

Podemos actualizar esta Política de privacidad de vez en cuando, por ejemplo cuando cambien la legislación, nuestras herramientas o el producto. La versión vigente está siempre disponible en nuestro sitio web y enlazada desde la aplicación; la fecha («Última actualización») le indica el último cambio.

13. Contacto

CVumi, representado por Eric Tchepanou
Erna-Eckstein-Straße 3, 81245 München, Alemania
Correo electrónico: privacy@cvumi.com