Política de privacidad de Cumino para los candidatos

En resumen

• Quiénes somos. ALFERCOM SRL (en adelante, «ALFERCOM») gestiona Cumino, el servicio que crea el CV con un asistente virtual en WhatsApp, Telegram, Instagram y en la mini app, y que lleva las candidaturas a las empresas.
• Dos responsables del tratamiento, cada uno por su parte.
  • La empresa (o agencia) que hace la selección decide sobre su propia campaña de selección: es responsable del tratamiento de esa selección, y Cumino trabaja por cuenta de la empresa.
  • ALFERCOM es responsable del tratamiento de lo que Cumino hace por usted: el CV, las otras campañas de contratación, las estadísticas.
  • Cada uno de los dos tiene su propia política de privacidad, que siempre puede consultar con /privacy.
• Dos consentimientos para Cumino, separados. Puede responder sí o no a cada uno: uno para la creación del CV y otro para las otras campañas de contratación.
• La candidatura no es un consentimiento. Para participar en la campaña de una empresa, usted lee la política de privacidad de la empresa y confirma con «Me postulo». Puede retirar la candidatura cuando quiera.
• Inteligencia artificial. Usted habla con un asistente virtual, y se lo decimos desde el primer momento. La inteligencia artificial organiza el CV y lo compara con los requisitos de una campaña, pero no descarta a nadie: siempre decide una persona de la empresa.
• Estadísticas de uso. En la mini app y en las páginas web para los candidatos, las estadísticas solo se activan si usted pulsa «Acepto» en el banner. Si después dice que no, borramos los datos recogidos en ese dispositivo (apartado 2.6).
• Retirar el consentimiento no es borrar.
  • La retirada detiene de inmediato esa finalidad. Si lo desea, puede pedirnos que mantengamos el perfil en pausa durante 6 meses, para retomarlo donde lo dejó; de lo contrario, solo conservamos lo necesario para demostrar el servicio prestado (sección 5).
  • Con «Ya no busco trabajo» usted sale de las ofertas. No se borran los datos.
  • La supresión (derecho al olvido, /delete) le retira de Cumino. Solo quedan una ficha anónima para las estadísticas y la prueba de los consentimientos (sección 5).
• Para cualquier solicitud: [email protected].

---

1. Quién trata los datos y en qué función

ALFERCOM SRL, Via Altinate 125, 35121 Padova (PD), n.º de IVA IT05068010288.
Delegado de protección de datos (DPD): [email protected].
Documentos y proveedores: trust.cumino.com.

Para la selección rige también la política de privacidad de la empresa: el asistente virtual y la mini app la muestran antes de que la empresa reciba los datos, y siempre se puede consultar. Si no sabe a cuál de los dos dirigirse, le basta con escribir a [email protected]: si la solicitud se refiere a la empresa, nosotros se la trasladamos.

---

2. Qué datos, por qué, con qué base y durante cuánto tiempo

2.1 Servicio CV (responsable del tratamiento: ALFERCOM)

• Datos:
  • nombre, apellidos, fecha de nacimiento, género, nacionalidad, ciudad, teléfono, correo electrónico;
  • experiencia, estudios, competencias, idiomas con el nivel, certificaciones, permisos de conducir, vehículo propio, disponibilidad;
  • permiso de residencia, si usted lo indica;
  • foto, si usted la envía;
  • mensajes escritos y de voz de la conversación;
  • CV generado y preferencias sobre el aspecto del CV.
• Fuente: usted, en la conversación con el asistente virtual o en la mini app. La foto solo está si usted la envía.
• Base jurídica: el consentimiento para la creación del CV, solicitado al inicio (art. 6.1.a) del RGPD). Sin este consentimiento, el CV no se puede crear.
• Mensajes de voz: sirven únicamente para transcribirlos. El archivo de audio se borra en cuanto se genera el CV o la conversación se reinicia; la transcripción permanece en el perfil.
• Plazo de conservación:
  • el consentimiento es válido 12 meses y se renueva con un toque; Cumino le recuerda el vencimiento 30, 15 y 7 días antes;
  • si usted retira el consentimiento, el servicio se detiene de inmediato. En el mensaje que confirma la retirada le preguntamos si quiere que mantengamos el perfil en pausa durante 6 meses, de modo que, si cambia de idea, retome donde lo dejó. Si responde que sí, el perfil permanece 6 meses, sin ser utilizado, sobre la base de esta elección suya (art. 6.1.a) del RGPD); si responde que no, o no responde, el perfil sale de inmediato de Cumino;
  • si el consentimiento vence sin renovación, ocurre lo mismo: en los recordatorios puede elegir renovarlo o que mantengamos el perfil en pausa durante 6 meses; si no responde, al vencimiento el perfil sale;
  • cuando el perfil sale, ALFERCOM conserva solo el expediente que sirve para demostrar el servicio prestado (apartado 2.5) y obtiene de ello una ficha anónima para las estadísticas (apartado 2.4); el resto se borra;
  • los mensajes escritos y las transcripciones de los mensajes de voz forman parte del perfil y siguen las mismas reglas;
  • la memoria temporal de las conversaciones (en el servidor de ALFERCOM) guarda el historial de una conversación hasta 30 minutos después del último mensaje y los datos de sesión (idioma e identificador de la sesión) hasta 24 horas.

2.2 Candidatura a una campaña (responsable del tratamiento: la empresa)

• Datos:
  • el perfil y el CV;
  • las respuestas a las preguntas de la campaña;
  • las etapas y las sedes elegidas, las entrevistas, el resultado;
  • la idoneidad respecto a los requisitos y el mapa de competencias (sección 3);
  • las llamadas del asistente de voz para concertar la entrevista;
  • las notas del reclutador, que usted no ve.
• Cómo se presenta la candidatura: Cumino le muestra la política de privacidad de la empresa y usted confirma con «Me postulo». No es un consentimiento: es su solicitud de que se le evalúe para esa campaña (medidas precontractuales, art. 6.1.b) del RGPD; art. 111-bis del D.Lgs. 30 giugno 2003, n. 196, Codice in materia di protezione dei dati personali (código italiano de protección de datos personales), en adelante «Codice privacy»). Cumino registra que usted ha visto esa versión de la política de privacidad y se ha postulado.
• Base jurídica y plazos de conservación: los decide la empresa y los indica en su propia política de privacidad. Si usted retira la candidatura, la empresa ya no se pone en contacto con usted y conserva lo necesario para documentar la selección y defenderse, durante el plazo que indique.
• Mientras usted no confirme con «Me postulo», la empresa ve su nombre y el estado de la candidatura, porque usted ha entrado en su campaña, pero no ve el CV ni las respuestas. Si no se postula, el CV se crea igualmente y puede postularse más tarde.
• Categorías especiales de datos personales: la pertenencia a categorías protegidas o los datos relativos a la salud solo se piden en las campañas que la empresa dedica a categorías protegidas o a trabajadores desfavorecidos, cuando una norma lo prevé (colocación dirigida, «collocamento mirato»: L. 12 marzo 1999, n. 68, ley italiana sobre el derecho al trabajo de las personas con discapacidad; art. 10, comma 2, D.Lgs. 10 settembre 2003, n. 276, decreto legislativo italiano sobre empleo y mercado de trabajo). Las preguntas las elige la empresa, que responde de ellas, sobre la base del art. 9.2.b) del RGPD. Antes de la pregunta, el asistente avisa de que se trata de datos especiales y de que la respuesta es voluntaria; los datos se conservan cifrados y solo los ve quien, en la empresa, los necesita. Si usted escribe por iniciativa propia información sobre su salud, el asistente no la registra en el perfil.

2.3 Otras campañas de contratación (responsable del tratamiento: ALFERCOM)

• Datos: el perfil y las preferencias (qué tipo de trabajo, dónde, con qué contrato y qué horario).
• Base jurídica: el consentimiento para las otras campañas de contratación, separado del consentimiento para el CV (art. 6.1.a) del RGPD).
• Qué ocurre:
  • si usted consiente, su perfil, sin nombre y sin contactos, pasa a formar parte de la bolsa de candidatos que consultan las empresas clientes de Cumino para sus propias campañas;
  • usted indica sus preferencias (qué trabajo, dónde, con qué contrato y qué horario, el salario mínimo) y el canal por el que recibir las solicitudes;
  • una empresa que ha creado una campaña puede preguntarle, a través de Cumino, si quiere participar. El nombre y los contactos pasan a la empresa solo si usted, tras leer la política de privacidad de la empresa, confirma con «Me postulo»: a partir de ese momento es una candidatura como las del apartado 2.2;
  • las empresas que usan Cumino para buscar candidatos son las agencias de empleo y las empresas clientes de ALFERCOM; la lista de las categorías está en trust.cumino.com;
  • el consentimiento es uno solo para todas las otras campañas; la elección se hace campaña por campaña con «Me postulo».
• Retirada: el perfil deja de ser visible para las empresas y las solicitudes se detienen de inmediato. Como con el CV, puede pedirnos que mantengamos las preferencias en pausa durante 6 meses, para reactivar el consentimiento sin volver a escribirlas; de lo contrario, se borran.
• Plazo de conservación: mientras el consentimiento esté activo.
• Nunca para publicidad: estos datos no se usan nunca para comunicaciones comerciales, ni de ALFERCOM ni de otros.

2.4 Centro de estudios y estadísticas (responsable del tratamiento: ALFERCOM)

• Finalidad: estadísticas internas sobre el mercado laboral y sobre el funcionamiento del servicio, por ejemplo el número de candidatos por profesión y por ciudad, los tiempos, los abandonos, los resultados. Nunca para publicidad.
• Cuando un perfil sale de Cumino (tras una retirada o un vencimiento, o con la supresión), ALFERCOM obtiene de él una ficha anónima y borra el resto:
  • se conservan, generalizados: el tramo de edad (de 5 años), el género, la nacionalidad (por área geográfica si es poco frecuente), la provincia (la región si es poco frecuente), si existe un título que habilite para trabajar, las profesiones en código, el sector y los años de experiencia por tramos, el nivel y el área de estudios, las competencias por grupos de la clasificación ESCO, los idiomas, los permisos de conducir, las preferencias de trabajo, el canal y el año;
  • no se conservan: nombre, contactos, código fiscal, foto, CV, texto libre (mensajes, transcripciones, descripciones), nombres de las empresas, fechas precisas, categorías protegidas y datos relativos a la salud;
  • cada combinación de edad, género, nacionalidad, provincia y profesión corresponde al menos a 5 personas, y la ficha no está vinculada al perfil ni a los demás datos: por eso no permite reconocerle y es un dato anónimo (considerando 26 del RGPD). ALFERCOM la conserva sin límite de tiempo, solo para las estadísticas, y comprueba su riesgo una vez al año.
• Base jurídica de la creación de la ficha: interés legítimo de ALFERCOM en conocer y mejorar el servicio y el mercado laboral (art. 6.1.f) del RGPD). Los resultados de las campañas (idoneidad, entrevista, contratación) entran en la ficha solo como categorías y con la autorización de las empresas clientes, prevista en el contrato.
• Retirada: la retirada de un consentimiento no detiene estas estadísticas, porque se hacen con datos anónimos.
• Oposición: usted puede oponerse a la creación de la ficha escribiendo a [email protected] (art. 21 del RGPD); en ese caso, ALFERCOM no la crea.

2.5 Seguridad, registro de consentimientos y obligaciones legales (responsable del tratamiento: ALFERCOM)

• Datos:
  • el registro de consentimientos: por cada elección, un código que le identifica (no el teléfono ni el correo electrónico), la finalidad, la acción (dado, rechazado, retirado, renovado, vencido), el texto exacto mostrado, la versión de la política de privacidad, la fecha y la hora, el canal, quién hizo la elección y el idioma;
  • cuando el perfil sale, el expediente que sirve para demostrar el servicio prestado: el registro de consentimientos, las fechas del servicio, las versiones del CV, los envíos a las empresas y la última versión del CV, con acceso limitado;
  • los registros técnicos y los identificadores de las sesiones.
• Enlace de WhatsApp a la mini app: el enlace se vincula al primer teléfono que lo abre y, una vez abierto, es válido 90 minutos. Para reconocer el teléfono, la mini app establece una cookie técnica, «cumino_twa_device», que sirve solo para las llamadas de la mini app, no es legible desde la página y dura 24 horas. La cookie es necesaria para la seguridad del servicio que usted ha solicitado, por lo que no requiere su consentimiento. En la base de datos solo quedan la huella de la cookie y la del número, no el número en claro; cada noche se borran las filas de los enlaces caducados hace más de una semana (un enlace vale como máximo 24 horas).
• Base jurídica: obligación de demostrar el consentimiento y su retirada (art. 7.1 del RGPD; principio de responsabilidad proactiva, art. 5.2 del RGPD); interés legítimo en la seguridad y la defensa judicial (art. 6.1.f) del RGPD), también después de la supresión, para la formulación, el ejercicio o la defensa de reclamaciones (art. 17.3.e) del RGPD); obligaciones legales (art. 6.1.c) del RGPD).
• Plazo de conservación:
  • el registro de consentimientos permanece como prueba incluso después de una retirada o de una supresión; el expediente del servicio permanece después de una retirada o de un vencimiento, no después de la supresión. Se conservan durante el tratamiento y 5 años más. Después de la supresión, el registro no contiene su nombre: el correo electrónico y el teléfono permanecen solo como huella irreversible, que ALFERCOM puede comparar, con una clave custodiada aparte, si tiene que demostrar un consentimiento;
  • los registros técnicos se conservan 12 meses como máximo.

2.6 Estadísticas de uso y búsqueda de errores (responsable del tratamiento: ALFERCOM)

• Finalidad: entender cómo se usan el asistente virtual, la mini app y las páginas web, y encontrar los errores para corregirlos. Nunca para publicidad, nunca para evaluarle a usted.
• Herramienta: PostHog (sección 4).
• En la mini app y en las páginas web para los candidatos (política de privacidad de la empresa, renovación del consentimiento):
  • PostHog solo se activa con su consentimiento, que usted da con «Acepto» en el banner que aparece en la primera visita. Base jurídica: consentimiento, art. 6.1.a) del RGPD y art. 122 del Codice privacy;
  • sin su consentimiento, PostHog no se carga, no envía nada y no guarda nada en el dispositivo;
  • usted puede cambiar la elección en cualquier momento con «Cambiar la elección sobre las estadísticas», al final de la página principal de la mini app. Si responde que no, PostHog deja de recoger datos y ALFERCOM borra los datos ya recogidos en ese dispositivo, eventos y grabaciones; en el dispositivo solo queda la marca del no;
  • PostHog recoge las páginas vistas, los clics (sin el texto ni los atributos de los elementos), los errores técnicos y la grabación de la sesión, en la que los textos y los campos rellenados están tapados. Las direcciones de las páginas llegan sin parámetros. A PostHog nunca llegan el nombre, los contactos, la foto, el texto del CV ni los códigos de acceso del enlace de WhatsApp o de Telegram.
• En el asistente virtual (en WhatsApp, Telegram e Instagram): PostHog recoge los pasos del recorrido, por ejemplo «CV generado», con un código seudónimo calculado por el servidor en lugar del número de teléfono; a partir del código no se puede obtener el número. Base jurídica: interés legítimo de ALFERCOM en hacer funcionar y mejorar el servicio, art. 6.1.f) del RGPD. Usted puede oponerse escribiendo a [email protected].
• Plazo de conservación:
  • los eventos se conservan 24 meses, después solo quedan los totales; las grabaciones de las sesiones se conservan 30 días;
  • con la supresión, ALFERCOM borra también los eventos del asistente virtual con su código.

2.7 Cookies y memoria del navegador

La mini app y las páginas web para los candidatos guardan en el dispositivo solamente:

Las cookies y la memoria técnicas son necesarias para el servicio que usted ha pedido y no requieren consentimiento (art. 122 del Codice privacy).

---

3. La inteligencia artificial

Usted habla con un asistente virtual. Se lo decimos al inicio de la conversación y al inicio de cada llamada (art. 50 del Reglamento (UE) 2024/1689 de Inteligencia Artificial). Si usted lo pide, el asistente confirma que es una inteligencia artificial.

Qué no hace la inteligencia artificial:

• no descarta a nadie y no decide: la idoneidad y el mapa son una ayuda para el reclutador, que ve el motivo de cada evaluación y decide personalmente. No hay decisiones basadas únicamente en un tratamiento automatizado (art. 22 del RGPD);
• no reconoce las emociones;
• no hace análisis biométricos;
• no deduce el origen, la salud, las opiniones ni otras características protegidas.

Es elaboración de perfiles (art. 4, punto 4, del RGPD), porque evalúa aspectos profesionales que le afectan a usted. Por eso usted puede:

• pedir por qué ha recibido una determinada evaluación;
• corregir su CV;
• pedir que una persona de la empresa revise la evaluación;
• impugnarla.

Puede dirigir las solicitudes a la empresa de la campaña o a [email protected], que las traslada.

Al modelo de inteligencia artificial solo llega lo necesario. Para el mapa de competencias solo llega la parte profesional del CV: nada de nombre, contactos, fecha de nacimiento, nacionalidad, género ni foto.

Proveedores de inteligencia artificial:

• los modelos llegan a través de Vercel AI Gateway (modelos de OpenAI y de Google);
• transcripción y representación numérica de los textos (embedding): OpenAI;
• asistente de voz: ElevenLabs.

ALFERCOM usa los servicios en la versión para empresas, y los datos no sirven para entrenar los modelos de los proveedores:

• OpenAI y Google no usan para el entrenamiento los datos recibidos de sus servicios para empresas (API);
• para ElevenLabs, el uso de los datos para el entrenamiento está excluido en la configuración de la cuenta de ALFERCOM.

---

4. A quién van los datos

• A la empresa de la campaña a la que usted se postula, después de que usted haya visto la política de privacidad de la empresa.

• A otras empresas solo si usted responde «Me postulo» a una de las otras campañas de contratación. Antes solo ven el perfil sin nombre ni contactos (apartado 2.3).

• A los proveedores de ALFERCOM que actúan como encargados del tratamiento, con contrato:

  • servidores y base de datos: Hetzner, Alemania;
  • red y protección: Cloudflare;
  • inteligencia artificial: sección 3;
  • telefonía: Twilio;
  • correo electrónico: Resend;
  • mensajes en WhatsApp, si usted elige WhatsApp: Meta, con la WhatsApp Business Platform;
  • errores técnicos: Sentry;
  • estadísticas de uso y búsqueda de errores: PostHog, servidores en la UE (apartado 2.6);
  • direcciones y mapas: Mapbox;
  • calendario y videollamadas de la empresa, si la empresa los conecta: Microsoft 365.

  La lista completa, con ubicación y garantías, está en trust.cumino.com.

• A las aplicaciones de mensajería que usted elige, Instagram (Meta) y Telegram: tratan los mensajes como responsables del tratamiento independientes, según sus propias políticas de privacidad.

• A OpenStreetMap, solo si en la mini app usted usa su ubicación para rellenar la ciudad: su dispositivo envía la ubicación al servicio Nominatim de la OpenStreetMap Foundation (Reino Unido, país con decisión de adecuación de la Comisión Europea), que devuelve el nombre de la ciudad y trata los datos según su propia política de privacidad.

• A las autoridades, cuando lo exige la ley.

5. Retirada del consentimiento, retirada de la candidatura, «Ya no busco trabajo» y supresión (derecho al olvido)

Son cuatro acciones distintas.

• Retirada de un consentimiento. Puede hacerla en cualquier momento, desde la mini app, desde el asistente virtual o por correo electrónico, con la misma facilidad con que dio el consentimiento. La retirada detiene de inmediato esa finalidad y no afecta a lo que se hizo antes.
  • Servicio CV: ALFERCOM ya no crea ni modifica el CV. Si usted lo pide, el perfil queda en pausa 6 meses; de lo contrario, sale de inmediato (apartado 2.1).
  • Otras campañas: el perfil deja de ser visible para las empresas y las solicitudes se detienen. Si usted lo pide, las preferencias quedan en pausa 6 meses (apartado 2.3).
• Retirada de una candidatura. Puede retirar en cualquier momento la candidatura a una campaña: la empresa ya no se pone en contacto con usted y conserva lo necesario para documentar la selección, durante el plazo que indique en su propia política de privacidad (apartado 2.2).
• «Ya no busco trabajo». Usted sale de las ofertas y de los contactos. No es una retirada del consentimiento y no borra los datos.
• Supresión (derecho al olvido). Puede pedirla con /delete, desde la mini app o por correo electrónico.
  • ALFERCOM retira sus datos de todos sus sistemas: perfil, CV, foto, conversaciones, archivos de importación (que de todos modos se borran después de 7 días), eventos de las estadísticas de uso del asistente virtual.
  • También las candidaturas ante las empresas, dentro de Cumino, pierden sus datos: quedan como filas ocultas con el estado «Olvido», fuera de las listas y de las exportaciones, para que la empresa sepa que ya no debe buscarle. Lo prevé el contrato entre ALFERCOM y las empresas, que son avisadas (art. 19 del RGPD).
  • Si una empresa había exportado sus datos fuera de Cumino, por ejemplo a su propio sistema, de esa copia responde la empresa: ALFERCOM le avisa de su solicitud.
  • Solo quedan la ficha anónima para las estadísticas (apartado 2.4) y la prueba de los consentimientos (apartado 2.5).

Qué queda después de una retirada, y con qué base:

• el perfil, el CV, los mensajes y las transcripciones: 6 meses, solo si usted lo pide (art. 6.1.a) del RGPD); después, o de inmediato, salen de Cumino (apartado 2.1);
• las preferencias para las otras campañas: lo mismo (apartado 2.3);
• la candidatura ante una empresa: para documentar la selección, con la base y durante el plazo que la empresa indique en su propia política de privacidad (apartado 2.2);
• la ficha anónima para las estadísticas: sin límite, porque no es un dato personal (apartado 2.4);
• el registro de consentimientos y el expediente del servicio: para demostrar el consentimiento y defender un derecho (art. 7.1, art. 5.2 y art. 17.3.e) del RGPD; art. 6.1.c) y f)), durante el tratamiento y 5 años más (apartado 2.5);
• los registros técnicos: 12 meses como máximo (apartado 2.5).

ALFERCOM no usa nunca estos datos para comunicaciones comerciales.

6. Transferencias fuera de la Unión Europea

Algunos proveedores tienen su sede en Estados Unidos (secciones 3 y 4). Los datos solo llegan allí con una de las garantías previstas por el RGPD (arts. 44 y siguientes): para los proveedores certificados, la decisión de adecuación UE-EE. UU. (EU-US Data Privacy Framework); en los demás casos, las cláusulas contractuales tipo de la Comisión Europea. El detalle de cada proveedor está en trust.cumino.com.

7. Derechos

Para los datos de los que ALFERCOM es responsable del tratamiento, usted puede pedir en cualquier momento:

• acceder a los datos y obtener una copia;
• rectificarlos o completarlos;
• suprimirlos (derecho al olvido);
• limitar su tratamiento;
• recibirlos en un formato que pueda leer un ordenador (portabilidad);
• oponerse a los tratamientos basados en el interés legítimo, incluidas las estadísticas;
• no ser objeto de decisiones basadas únicamente en un tratamiento automatizado (Cumino no las toma).

Cómo: en el asistente virtual con /privacy y /delete, en la mini app, o escribiendo a [email protected]. Respondemos en el plazo de un mes. Si la solicitud es compleja, podemos prorrogar el plazo dos meses, y en ese caso le comunicamos la prórroga.

Reclamación: puede dirigirse al Garante per la protezione dei dati personali (autoridad italiana de protección de datos), Piazza Venezia 11, 00187 Roma (www.garanteprivacy.it), o acudir a un juez.

8. ¿Es obligatorio facilitar los datos?

No. Sin el consentimiento para el servicio CV, sin embargo, no es posible crear el CV; y sin los datos esenciales de un CV (nombre, un contacto, al menos una experiencia o unos estudios) no es posible completarlo. Si usted dice que no a las otras campañas de contratación, para la candidatura a la campaña en curso no cambia nada.

9. Modificaciones

Si la política de privacidad cambia, la nueva versión aparece en esta página, con la fecha. Si el cambio afecta a un consentimiento ya dado, lo pedimos de nuevo.