Los CV son datos sensibles. Los tratamos como tales.

Cifrado de datos en reposo

...

Cifrado en transito

Todo el tráfico entre su navegador, nuestro servicio y el almacenamiento se realiza a través de TLS 1.2+. No permitimos conexiones HTTP sin cifrar.

Aislamiento de datos de clientes

Diseñado con arquitectura multi-inquilino, aislado mediante ID de cliente en la capa de control de acceso. Sus consultas solo pueden devolver sus propios registros, algo que se aplica en el servidor y no solo se oculta en la interfaz.

Autenticación

Correo electrónico y contraseña con requisitos de complejidad estrictos, más SSO opcional (SAML 2.0 / OIDC) para el plan Enterprise. Todo acceso requiere volver a autenticarse al expirar la sesión.

Ubicación de los datos

La región por defecto es EE. UU. (Google Cloud us-central1). Los clientes de Enterprise pueden solicitar el alojamiento en la UE o Canadá según su DPA.

Copias de seguridad

Copias de seguridad diarias cifradas con recuperacion a un punto en el tiempo durante 30 dias. Las copias de seguridad se almacenan en la misma region de residencia que sus datos activos.

Retención y eliminación

Los currículums se conservan mientras mantenga el análisis. Eliminar un análisis purga los currículums de inmediato; las copias de seguridad expiran por ciclo en un plazo de 30 días. La eliminación a nivel de cuenta previa solicitud es permanente.

Sin entrenamiento ni divulgacion

Nunca utilizamos los currículums de los clientes para entrenar ningún modelo. No compartimos currículums, análisis ni ningún dato de los candidatos con terceros con fines de marketing, reventa o estudios comparativos. Los únicos destinatarios son los socios de infraestructura y procesamiento de IA verificados que figuran en Subencargados del tratamiento, y exclusivamente para generar su análisis.

Subencargados del tratamiento

Utilizamos un grupo reducido de proveedores verificados: Google Cloud Platform para el alojamiento, el almacenamiento y el procesamiento de datos; Google Cloud AI / Gemini API para el procesamiento de IA que genera sus análisis; Stripe para la facturación de los planes de pago; un proveedor de correo electrónico para los envíos transaccionales; un subencargado de tratamiento de datos para las funciones de enriquecimiento mediante fuentes externas (consulte la sección 2 de la Política de privacidad); y, para los clientes Enterprise que utilizan ATS Bridge, el socio de integración de ATS correspondiente. La lista actualizada está disponible bajo petición y se publicará antes de realizar cualquier cambio. Para obtener más detalles, consulte la sección sobre uso compartido y subprocesadores de nuestra Política de privacidad.

Controles de acceso (internos)

El acceso a los datos de producción requiere una aprobación nominativa, se registra y solo se concede para casos específicos de soporte que usted haya abierto. No existe ninguna vía de acceso a sus datos para "echar un vistazo".

Respuesta ante incidentes

Si un incidente de seguridad afecta a sus datos, le notificaremos por escrito en un plazo de 72 horas con una descripción, el alcance y el plan de remediación.

Cumplimiento normativo

Seguimos los principios del RGPD para la minimización, el acceso y la eliminación de datos. Los contratos Enterprise pueden incluir un Anexo de Procesamiento de Datos (DPA). Las certificaciones formales SOC 2 e ISO 27001 están en nuestra hoja de ruta; solicite nuestro cuestionario de seguridad actual.

Una aclaración sincera: somos una empresa joven. No fingimos tener certificaciones con las que aún no contamos. Lo que sí tenemos es una política clara, una arquitectura limpia y la total disposición de ponerlo por escrito para usted.