Política de Privacidad — XCandidato
1. Qué datos tratamos
- Datos de cuenta: email, contraseña (hasheada con bcrypt, nunca en claro), idioma y preferencias.
- Contenido que subes: tu CV base (incluye datos personales como nombre, contacto, historial laboral y formación) y las ofertas de empleo que pegas o importas. Un CV puede contener datos que decidas incluir voluntariamente; te recomendamos no incluir datos especialmente sensibles (salud, ideología, etc.) — el Servicio no los solicita ni los necesita.
- Contenido generado: CVs adaptados, cartas, borradores de email, borradores de perfil de LinkedIn y preparaciones de entrevista asociados a tu cuenta.
- Datos de facturación: gestionados por Stripe (no almacenamos el número completo de tu tarjeta; recibimos identificadores de cliente, compra de pases y estado de pago).
- Datos técnicos: logs de acceso (IP, user-agent, fecha), eventos de uso (postulaciones consumidas y vigencia del pase) y cookies estrictamente necesarias para la sesión (httpOnly). No usamos cookies publicitarias en la app.
2. Para qué y con qué base
| Finalidad | Base jurídica |
|---|---|
| Prestar el Servicio (generar CV adaptado, carta, borrador de email, perfil de LinkedIn o entrevista) | Ejecución del contrato |
| Cobro de pases, facturación y prevención de fraude | Ejecución del contrato / obligación legal |
| Emails transaccionales (verificación, recibos y avisos relacionados con una compra) | Ejecución del contrato |
| Seguridad, logs y límites de uso | Interés legítimo |
| Comunicaciones comerciales propias (opcionales) | Consentimiento — puedes darte de baja en cada email |
3. Subprocesadores
Compartimos datos únicamente con los proveedores necesarios para operar:
| Proveedor | Función | Datos |
|---|---|---|
| OpenAI (principal) y Anthropic (alternativo) | Generación de contenido con IA | Texto de tu CV y de la oferta, solo para procesar tu solicitud; con acuerdos que excluyen el uso para entrenamiento |
| TypeSafe (modelo Jev) | Evaluación de la compatibilidad entre tu perfil y las ofertas de empleo (juicios de encaje que ordenan las ofertas sugeridas), solo cuando esa función está activa | Tu perfil profesional, sin datos de contacto: titular, ubicación, resumen, experiencia (recortada a la más reciente), formación, habilidades e idiomas. También el texto de la oferta. Nunca se envían tu nombre, correo, teléfono ni enlaces. TypeSafe declara que no usa estos datos para entrenar ni ajustar sus modelos. Puede conservarlos temporalmente para prestar el servicio, facturar, prevenir abusos y cumplir la ley. |
| Stripe | Pagos y facturación de pases | Email, importe, método de pago (directo con Stripe) |
| Resend | Envío de email transaccional | Email y contenido del mensaje |
| Hostinger (VPS propio gestionado con Coolify) | Alojamiento de la aplicación y base de datos | Todos los datos, cifrados en tránsito (TLS) |
No vendemos tus datos ni los compartimos con terceros para publicidad.
4. Conservación
- Cuenta, historial de postulaciones y contenido: mientras la cuenta esté activa. El historial de los pases actuales no tiene un plazo distinto según el tipo de pase.
- Si eliminas tu cuenta, borramos tu contenido en un máximo de 30 días, salvo los datos de facturación que la ley obligue a conservar.
- Logs técnicos: máximo 12 meses.
5. Tus derechos
Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a privacy@xcandidato.com desde el email de tu cuenta. Respondemos en un plazo máximo de 30 días. Si estás en el EEE, puedes reclamar ante tu autoridad de control; ante la autoridad de control de tu país de residencia.
6. Seguridad
Aplicamos medidas técnicas alineadas con OWASP: cifrado TLS en tránsito, contraseñas hasheadas, cookies de sesión httpOnly/secure, rate limiting, validación de inputs, aislamiento por tenant y registro de auditoría. Ningún sistema es 100% seguro; si detectamos una brecha que te afecte, te lo notificaremos sin dilación indebida.
El personal autorizado de soporte puede consultar los archivos que subes, incluido tu CV y el texto que extraemos de él, con el único fin de diagnosticar un problema del Servicio (por ejemplo, un CV que no se pudo leer). Ese acceso está limitado a administradores de la plataforma y cada consulta o descarga queda registrada en el registro de auditoría.
7. Menores e IA
El Servicio no está dirigido a menores de edad. El contenido generado por IA puede contener errores; el Servicio lo presenta siempre para tu revisión y no toma decisiones automatizadas con efectos jurídicos sobre ti.
8. Cambios
Publicaremos aquí cualquier cambio y, si es material, lo notificaremos por email con antelación razonable.