Política de privacidad

1. Quién trata tus datos

FLOKO TECHNOLOGIES SRL (NIF IT03043870991) es la responsable del tratamiento de los datos personales tratados a través de vitaesupply. Para cualquier cuestión de esta política, incluidas las solicitudes sobre tus derechos, escribe a privacy@vitaesupply.com.

2. Qué recogemos

Solo lo que el servicio necesita para funcionar:

• Datos de la cuenta. Tu dirección de correo electrónico y tu nombre visible, un identificador interno y el idioma en que usas el sitio, para que nuestros correos estén escritos en él. Si inicias sesión con Google, es Google quien nos facilita tu dirección de correo, tu nombre y tu foto de perfil; nunca vemos tu contraseña de Google.
• Desde dónde te registraste. El país en el que estaba tu conexión cuando creaste tu cuenta, como un código de dos letras y nada más preciso. Lo deduce nuestro proveedor de alojamiento a partir de tu dirección IP en el borde de su red; nosotros no recibimos esa dirección ni la conservamos. Lo guardamos para saber en qué mercados se usa el servicio.
• Tus datos profesionales. El nombre, el puesto, el país, la ciudad, el teléfono y la dirección de LinkedIn que te pedimos una sola vez tras registrarte, que guardamos para que los currículums nuevos nazcan ya rellenos.
• El contenido de tus currículums. Todo lo que escribes en el editor: nombre, datos de contacto, trayectoria laboral, formación, idiomas, competencias, cualquier sección que añadas y, si eliges una, una fotografía. Son datos personales que decides facilitar tú, y pueden incluir información sobre otras personas, como una persona de referencia.
• Las ofertas de empleo, tanto si pegas el texto como si nos das un enlace, en ese caso descargamos esa página y conservamos el texto del anuncio, guardadas junto al currículum, la carta o la candidatura a la que pertenecen.
• Las cartas de presentación que has escrito con nosotros, cada una con una copia congelada del currículum del que nació.
• Las candidaturas a las que haces seguimiento. La empresa, el puesto, la ubicación y la banda salarial, el anuncio, tus propias notas, y el estado y las fechas de la candidatura.
• El perfil de LinkedIn que importas, tanto si lo pegas como si cargas el PDF que exporta LinkedIn.
• Tu práctica de entrevistas. Las preguntas preparadas a partir de tu currículum y, en una entrevista simulada, las respuestas que escribes y la valoración que el coach hace de ellas.
• Lo que has contratado. Tu plan, su estado y su periodo, y los identificadores que Stripe nos da para tu ficha de cliente y para la suscripción. No tu tarjeta: consulta la sección 3.
• Los emails que te hemos enviado. Cuál (bienvenida, confirmación de pedido, reembolso, recordatorio), en qué idioma, a qué dirección y cuándo: no el texto, que se deduce de la plantilla.
• Notas del soporte. Si escribes al soporte, quien te responde puede dejar una nota interna en tu cuenta para recordar qué se hizo; solo la ve el equipo, y se borra con la cuenta. Puedes pedir una copia con una solicitud de acceso.
• Estadísticas de uso anónimas a través de Plausible Analytics, que no usa cookies, no te sigue de un sitio a otro y no construye un perfil sobre ti.
• Medición, solo si la aceptas. Si dices que sí en el aviso de cookies, las etiquetas de Google y OpenAI instalan cookies para atribuir conversiones al anuncio que inició la visita: Google Ads mide registros y compras, OpenAI Ads mide compras, y Google Analytics también nos dice qué páginas se visitan, de dónde llegan las visitas y dónde se detienen. Están apagadas hasta que aceptes, siguen apagadas si rechazas, y puedes cambiar tu respuesta en cualquier momento desde Preferencias de cookies en el pie de página.

3. Qué no recogemos deliberadamente

• Los archivos que subes. El currículum en PDF o Word que importas, y el PDF de tu perfil de LinkedIn, los abre y los lee tu propio navegador. Los archivos en sí no se suben nunca, y solo se guarda el texto que después decides conservar.
• Tu tarjeta. El pago se realiza íntegramente en las páginas de Stripe: el número de tu tarjeta nunca llega a este sitio, y ni lo vemos ni lo guardamos. Lo que conservamos es el plan que has contratado y los identificadores con los que Stripe llama a tu ficha.
• Seguimiento sin tu consentimiento. En tu dispositivo no se guarda nada que sirva para seguirte a otros sitios, salvo que hayas dicho que sí. Lo que el sitio guarda ahí por sí mismo es estrictamente necesario y nada más: el idioma que eliges en el pie de página, en una cookie con un código de dos letras que no identifica a nadie; tu respuesta al aviso de cookies, en una segunda cookie, para no volver a preguntártelo; y, una vez iniciada la sesión, tu sesión en el almacenamiento del propio navegador, que es lo que te mantiene conectado al pasar de una página a otra. Ninguna de las tres requiere tu consentimiento. Las únicas cookies que lo requieren son las de medición de Google Ads, Google Analytics y OpenAI Ads descritas en la sección 2, y solo se instalan después de que las aceptes en el aviso: nunca antes, y nunca si rechazas.

4. Por qué los tratamos, y con qué base jurídica

• Para prestarte el servicio que has pedido: crear tu cuenta, guardar y mostrar tu currículum, adaptarlo con IA, puntuarlo para los ATS, escribir cartas de presentación, preparar preguntas de entrevista y llevar el seguimiento de tus candidaturas. Base jurídica: ejecución de un contrato.
• Para cobrar y llevar la contabilidad: gestionar tu suscripción, enviarte la confirmación del pedido y conservar los registros contables que exige la ley. Base jurídica: ejecución de un contrato y, para los registros en sí, obligación legal.
• Para mantener el servicio en funcionamiento y seguro: prevenir abusos, diagnosticar fallos y entender de forma agregada qué páginas se usan. Base jurídica: nuestro interés legítimo en gestionar un servicio que funcione y no sufra abusos.
• Para saber si nuestra publicidad funciona y cómo se usa el sitio: solo si lo aceptas en el aviso de cookies. Las cookies de Google Ads indican a Google si una visita que empezó en uno de sus anuncios se convirtió en un registro o una compra, las de OpenAI Ads indican a OpenAI si se convirtió en una compra, y las de Google Analytics nos muestran qué páginas se visitan y de dónde llegan las visitas. Base jurídica: tu consentimiento, que puedes retirar en cualquier momento desde Preferencias de cookies en el pie de página, con la misma facilidad con la que lo diste.
• Para cumplir la ley, cuando estamos obligados. Base jurídica: obligación legal.

5. Las categorías especiales que un CV puede contener

Un CV no es un documento cualquiera. Sin que nadie lo pida, acaba a menudo conteniendo los datos que el RGPD protege con más rigor: la afiliación a un sindicato, la pertenencia a una categoría protegida, un estado de salud o una discapacidad, creencias religiosas o filosóficas, y una fotografía, que puede revelar el origen étnico.

No te pedimos ninguno de ellos, y el servicio no los necesita. Pero lo que escribes lo guardamos, lo mostramos, lo congelamos en copias y lo enviamos al modelo de IA: si lo incluyes, lo tratamos. Para eso la ley exige tu consentimiento explícito, separado de la aceptación de los términos, y es la única casilla que te mostramos antes de que se guarde tu primer CV.

• Puedes negarte. Sin el consentimiento no funciona nada de lo que almacena el contenido de un CV, pero sigues pudiendo leer, exportar y borrar todo lo que ya tienes.
• Puedes retirarlo cuando quieras, borrando los CV que contengan esos datos o tu cuenta entera, desde tu perfil. Retirarlo no hace ilícito lo que era lícito antes.
• Lo más sencillo es no incluirlos. Un CV que no menciona nada de esto es un CV completo, y en la mayoría de los países un empleador no tiene derecho a preguntarlo.

6. Dónde se guardan tus datos

Todo está alojado en Amazon Web Services, en la región de Fráncfort (eu-central-1), dentro de la Unión Europea. Hay dos excepciones: el paso con la IA, descrito en la sección 7, y el pago, que se realiza en Stripe.

• Tu currículum y los datos de tu cuenta se guardan cifrados en reposo.
• Las fotografías se guardan en un almacenamiento privado, cerrado a la red pública. Cuando se muestra tu currículum, el sitio recibe un enlace firmado temporal que caduca al cabo de unas horas.
• El sitio web lo distribuye Vercel, que sirve las páginas; no recibe el contenido de tus currículums.
• Nuestros correos, el mensaje de bienvenida al crear la cuenta, la confirmación del pedido, un aviso de reembolso, el recordatorio para hacer seguimiento de una candidatura, se envían mediante Amazon SES, desde la misma región europea.
• Los pagos los procesa Stripe en su propia infraestructura, que está en parte fuera de la Unión Europea; esa transferencia está cubierta por las cláusulas contractuales tipo del acuerdo de tratamiento de datos de Stripe.

7. La IA que escribe contigo

Varias partes del servicio envían texto a Anthropic, la empresa que está detrás de los modelos Claude: adaptar un currículum a una oferta, reescribir una sección o un currículum entero, escribir y revisar una carta de presentación, reescribir un perfil de LinkedIn, preparar preguntas de entrevista, llevar una entrevista simulada y leer una oferta a partir de un enlace que nos das. Cada vez se envía el texto que ese trabajo necesita: el currículum o la parte que corresponde, el anuncio y, en una entrevista simulada, las respuestas que escribes. Es el único momento en que algo de lo que has escrito sale de nuestros servidores.

Anthropic ejecuta la petición en su propia infraestructura, que puede estar fuera de la Unión Europea; la transferencia está cubierta por las cláusulas contractuales tipo previstas en las condiciones comerciales de Anthropic. Conforme a esas condiciones, lo que envías no se usa para entrenar los modelos, y Anthropic solo lo conserva durante el breve periodo que necesita para sus controles de seguridad.

Lo que vuelve se te muestra como una propuesta, y eres tú quien decide si la conservas. No se publica nada en ninguna parte, y ninguna empresa recibe nada de nosotros.

La puntuación, y lo que no es. Dos números del producto se calculan automáticamente a partir de lo que has escrito: la puntuación ATS de un CV y la de un perfil de LinkedIn. Son reglas fijas aplicadas a tu texto, no una opinión del modelo de IA, y constituyen una evaluación de un aspecto profesional que te concierne: por eso lo decimos abiertamente.

Ninguna decisión sobre ti se toma automáticamente. Las puntuaciones son un consejo, cada respuesta de la IA es una propuesta que aceptas o rechazas ficha por ficha, y nada de lo que producimos se envía a un empleador ni a nadie más. No existe una decisión automatizada que produzca efectos jurídicos o te afecte de modo similarmente significativo, por lo que el derecho del artículo 22 a obtener intervención humana no procede, pero si no estás de acuerdo con algo que el producto ha concluido, escribe a privacy@vitaesupply.com y te responderá una persona.

8. Cuánto tiempo los conservamos

• Tu cuenta y todo lo que contiene: hasta que la elimines. Borrar un CV elimina también su fotografía; Eliminar mi cuenta, en la página de perfil, borra la cuenta misma, cada CV, carta, candidatura, entrevista y borrador de LinkedIn, cada fotografía guardada, los datos de facturación y tu identidad de acceso, de una vez y para siempre.
• Las peticiones a la IA: todas ellas, una adaptación, una carta, la reescritura de un perfil de LinkedIn, un conjunto de preguntas de entrevista, se borran automáticamente 24 horas después de ejecutarse.
• Los registros que impiden procesar dos veces el mismo pago: treinta días.
• Los datos de facturación: tu plan y los identificadores de Stripe permanecen mientras exista tu cuenta. Los registros del pago y las facturas los conserva Stripe, que los guarda durante los diez años que exige la normativa fiscal y contable.
• El borrador del editor se guarda en tu propio navegador para que al actualizar la página no pierdas el trabajo. Se queda en tu dispositivo y desaparece cuando borras los datos del sitio.
• El idioma que eliges permanece en una cookie de tu dispositivo durante un año, y puedes cambiarlo en el pie de página cuando quieras.
• Tu respuesta al aviso de cookies permanece en una cookie de tu dispositivo durante seis meses, tras los cuales volvemos a preguntarte. Las cookies de Google Ads, si las aceptaste, duran noventa días; las de Google Analytics dos años, y los datos que recogen permanecen en Google catorce meses. El píxel de OpenAI Ads conserva la referencia del clic durante treinta días y un identificador aleatorio del navegador durante un año; OpenAI no publica un plazo fijo para los datos de conversión, que trata conforme a sus Conversion Terms.
• Tu sesión permanece en el almacenamiento de tu navegador mientras tienes la sesión iniciada, y se borra cuando cierras sesión o borras los datos del sitio. Los tokens que contiene caducan solos al cabo de una hora y se renuevan durante un máximo de treinta días.

9. Quién más participa

No vendemos datos personales. Google y OpenAI solo reciben lo que sus herramientas publicitarias miden con tu consentimiento, como se describe más abajo. Nos apoyamos en un pequeño número de proveedores. Para cada uno: qué hace por nosotros, dónde trata y, cuando es fuera del Espacio Económico Europeo, qué hace lícita la transferencia.

• Amazon Web Services: alojamiento, acceso, base de datos, almacenamiento de archivos y nuestros correos. Trata en la Unión Europea (Fráncfort). Sin transferencia.
• Anthropic: los modelos Claude, como se describe en la sección 7. Trata en Estados Unidos: la transferencia está cubierta por las cláusulas contractuales tipo de los términos comerciales de Anthropic.
• Stripe: pagos y suscripciones. Trata en la Unión Europea y en Estados Unidos: la transferencia está cubierta por las cláusulas contractuales tipo del acuerdo de tratamiento de datos de Stripe.
• Vercel: entrega de las páginas de este sitio. Es una empresa estadounidense, que sirve el sitio desde nodos periféricos incluidos los europeos; nunca recibe el contenido de tu CV. La transferencia está cubierta por las cláusulas contractuales tipo del acuerdo de tratamiento de datos de Vercel.
• Plausible Analytics: estadísticas de uso anónimas y sin cookies. Trata en la Unión Europea (Estonia). Sin transferencia.
• Google Ads y Google Analytics: medir si nuestra publicidad funciona y cómo se usa el sitio, solo si aceptas sus cookies en el aviso. Google Ireland Limited trata en la Unión Europea y en Estados Unidos: Google LLC está certificada en el Marco de Privacidad de Datos UE-EE. UU., y la transferencia está cubierta además por las cláusulas contractuales tipo de las condiciones de tratamiento de datos de Google Ads y de Google Analytics. Analytics funciona sin Google Signals y sin compartir datos con otros productos de Google: sin perfiles, sin audiencias publicitarias.
• OpenAI Ads: atribuir una compra a un anuncio mostrado en ChatGPT, solo si aceptas sus cookies en el aviso. El píxel recibe la dirección IP, la página y el referente, la referencia del clic, un identificador aleatorio del navegador y, al comprar, el importe, la moneda, el plan y el identificador de la sesión de Checkout; no le enviamos tu nombre, correo ni identificador de cuenta. OpenAI Ireland Ltd trata en la Unión Europea, Estados Unidos y los países de los subencargados enumerados por OpenAI; el evento lleva `opt_out`, por lo que en el EEE es tratamiento restringido por nuestra cuenta conforme al Ad Tools DPA, con cláusulas contractuales tipo para las transferencias.
• Google: solo si eliges acceder con una cuenta de Google, y solo para ese acceso. Para ello Google actúa como responsable autónomo, en Estados Unidos y en otros lugares, según su propia política.

10. Tus derechos

Según el RGPD puedes pedirnos una copia de tus datos, corregirlos, borrarlos, exportarlos en un formato portátil, limitar su uso u oponerte al tratamiento basado en nuestro interés legítimo. Dos de ellos los haces tú mismo, al momento, desde la página de perfil: Descargar mis datos te entrega todo lo que tenemos en un solo archivo, y Eliminar mi cuenta lo borra. Los datos del CV los corriges en el editor. Para todo lo demás escribe a privacy@vitaesupply.com y te respondemos en el plazo de un mes.

Si consideras que hemos tratado mal tus datos, puedes reclamar ante la autoridad de control italiana, el Garante per la protezione dei dati personali, o ante la autoridad de tu país de residencia.

11. Cambios en esta política

Si el servicio cambia de un modo que afecte a tus datos, actualizaremos esta página y cambiaremos la fecha de arriba. Los cambios relevantes se anunciarán en la propia aplicación.