Política de privacidad

Esta Política de privacidad explica cómo Medicalware S.r.l. ("Shortli", "nosotros", "nos") recopila, utiliza, comparte y protege los datos personales cuando usted utiliza nuestra plataforma SaaS de reclutamiento. Nos comprometemos a proteger su privacidad de conformidad con el Reglamento General de Protección de Datos (RGPD - Reglamento UE 2016/679) y las leyes italianas de protección de datos aplicables.

El Responsable del tratamiento es: Medicalware S.r.l. Via della Ricerca Scientifica, Roma, Italia IVA: IT12651051000 Correo: hello@shortli.ai Para los Datos de candidatos cargados por los Usuarios, el Usuario es el Responsable del tratamiento y Shortli actúa como Encargado del tratamiento.

Recopilamos y tratamos las siguientes categorías de datos personales: Datos de la cuenta: nombre, dirección de correo electrónico, foto de perfil (obtenidos a través de Google OAuth). Datos de candidatos (cargados por los Usuarios): nombre completo, correo electrónico, número de teléfono, fecha de nacimiento, ubicación, URL de LinkedIn/GitHub, experiencia laboral, competencias, formación, idiomas, información salarial, disponibilidad, preferencias de trabajo, texto completo del CV y, si figuran en él, números de identificación como códigos fiscales o IBAN. Datos de candidatos derivados (generados por el Servicio): un Código de candidato asignado a cada CV dentro de la Organización, una versión estructurada del CV reconstruida por inteligencia artificial, Versiones seudonimizadas del archivo del CV en dos niveles (sin datos de contacto, foto ni marca de la fuente; y además sin el nombre del candidato) y resúmenes y evaluaciones del candidato redactados por la IA. Datos de facturación: tipo de entidad fiscal, razón social o nombre personal, número de IVA, código fiscal (codice fiscale), código SDI, correo PEC, dirección de facturación. Los datos de las tarjetas de pago son tratados exclusivamente por Stripe y nunca se almacenan en nuestros servidores. Datos de uso: operaciones de API realizadas, uso de modelos de IA (tokens consumidos), consultas de búsqueda, registros de envío de correos (destinatario, asunto, marca de tiempo, estado), historial de actividad sobre los candidatos. Datos técnicos: dirección IP, tipo de navegador, información del dispositivo recopilada automáticamente durante el acceso al Servicio.

Tratamos los datos personales sobre las siguientes bases legales: Ejecución de un contrato (art. 6(1)(b) RGPD): tratamiento necesario para prestar el Servicio, gestionar su cuenta, procesar pagos y cumplir nuestras obligaciones contractuales. Interés legítimo (art. 6(1)(f) RGPD): mejorar el Servicio, prevenir el fraude, garantizar la seguridad y enviar comunicaciones relacionadas con el servicio. Obligación legal (art. 6(1)(c) RGPD): cumplimiento de los requisitos fiscales, contables y de facturación con arreglo a la legislación italiana. Consentimiento (art. 6(1)(a) RGPD): cuando se requiera específicamente, como para los permisos opcionales de correo a través de OAuth.

Tratamos los datos personales para las siguientes finalidades: - Prestar y mantener el Servicio - Autenticación de usuarios y gestión de cuentas - Análisis de CV mediante inteligencia artificial (extracción de metadatos, identificación de competencias, emparejamiento de candidatos) - Generación de Versiones seudonimizadas de los CV (eliminación de datos de contacto, foto y datos identificativos; sustitución del nombre por un Código de candidato) para compartirlas con los clientes del Usuario y otros destinatarios externos - Envío de correos en nombre de los Usuarios a los candidatos - Procesamiento de pagos y gestión de suscripciones - Generación y envío de facturas electrónicas (sistema SDI italiano) - Envío de notificaciones del sistema (recordatorios de prueba, alertas de facturación, invitaciones de equipo) - Supervisión del uso del servicio y aplicación de los límites del plan - Mejora y desarrollo de nuevas funciones

Por cada CV cargado por un Usuario, el Servicio genera automáticamente Versiones seudonimizadas destinadas a compartirse con destinatarios externos. El texto del CV es tratado por los modelos Anthropic Claude, que lo reconstruyen en forma estructurada e identifican los datos de contacto; a continuación, reglas deterministas eliminan direcciones de correo, números de teléfono, direcciones postales, fecha y lugar de nacimiento, enlaces a perfiles sociales, números de identificación, la foto, los metadatos del documento y la marca de la fuente original. En el nivel superior, el nombre del candidato también se sustituye por el Código de candidato. Los textos redactados por la IA sobre el candidato (resúmenes, puntos fuertes, clasificaciones) se filtran con las mismas reglas antes de almacenarse. Estas versiones están seudonimizadas, no anonimizadas: el Usuario conserva el vínculo entre el Código de candidato y la identidad del candidato, por lo que siguen siendo datos personales y se protegen del mismo modo que el CV original. El proceso es automático y de mejor esfuerzo: pueden quedar elementos identificativos residuales, y el Usuario revisa el resultado antes de compartirlo. El Usuario decide, para cada shortlist, qué nivel se comunica a qué destinatario. Shortli nunca comunica Datos de candidatos a terceros por iniciativa propia. Las Versiones seudonimizadas y la versión estructurada reconstruida se almacenan junto con el CV original, se regeneran cuando se modifican el nombre o los datos de contacto del candidato y se eliminan junto con el CV.

Compartimos datos personales con los siguientes encargados del tratamiento de terceros, cada uno vinculado por acuerdos de tratamiento de datos: Anthropic, LLC (EE. UU.): análisis del texto de los CV, clasificación de candidatos, procesamiento de lenguaje natural, reconstrucción estructurada de los CV y detección de datos de contacto para la seudonimización mediante modelos Claude AI. Google Cloud Platform (EE. UU.): almacenamiento seguro de los archivos de CV cargados y de sus Versiones seudonimizadas; autenticación a través de Google OAuth; envío de correos a través de Gmail API. Stripe, Inc. (EE. UU.): procesamiento de pagos y gestión de suscripciones. Stripe cuenta con la certificación PCI-DSS. Resend, Inc. (EE. UU.): entrega de correos transaccionales del sistema. MongoDB, Inc. (EE. UU./UE): alojamiento de la base de datos a través de MongoDB Atlas. Vercel Inc. (EE. UU.): alojamiento del Servicio y del sitio web público; medición de visitas y rendimiento del sitio web público sin cookies (Vercel Web Analytics y Speed Insights), basada en datos agregados que no identifican a los visitantes individuales. Sentry (Functional Software, Inc., EE. UU.; datos almacenados en la UE): supervisión de errores de la aplicación. Los informes de error contienen solo datos técnicos (traza de la pila, página, navegador), sin el contenido de las solicitudes, cookies ni datos de la cuenta.

The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements. Shortli requests only the https://www.googleapis.com/auth/gmail.send scope, which is send-only and grants no access to read, retrieve, or store Gmail messages or other Google user data. It is used solely to send emails on the user's behalf. Shortli does not use, transfer, or sell Google user data — raw, aggregated, or derived — to create, train, or improve foundational or generalized machine learning or artificial intelligence models. No Google user data is transferred to our third-party AI provider. Our AI features operate exclusively on recruiting data (job descriptions and candidate CVs) provided directly by users within Shortli.

Algunos de nuestros encargados del tratamiento de terceros se encuentran en Estados Unidos. Para estas transferencias, nos basamos en: - Cláusulas Contractuales Tipo (CCT) de la UE aprobadas por la Comisión Europea - La certificación del encargado del tratamiento conforme a marcos reconocidos - Medidas técnicas y organizativas complementarias para garantizar una protección adecuada Puede solicitar una copia de las salvaguardas de transferencia aplicables poniéndose en contacto con nosotros en hello@shortli.ai.

Datos de cuentas activas: se conservan durante la vigencia de su cuenta y Suscripción activas. Datos eliminados: cuando elimina elementos (CV, shortlists, descripciones de puesto, clientes), se trasladan a una papelera. Los datos permanecen en la papelera hasta que los elimine permanentemente de forma manual. Una vez eliminados permanentemente, los datos se borran de nuestros sistemas y no se pueden recuperar. Las Versiones seudonimizadas, el Código de candidato y la versión estructurada reconstruida de un CV siguen al CV y se eliminan junto con él. Registros de facturación: se conservan durante 10 años, según exige la legislación fiscal italiana. Registros de uso: se conservan durante 24 meses para la mejora del servicio y la resolución de disputas. Pruebas terminadas sin suscripción: los datos de la organización se conservan 90 días tras el fin de la prueba y luego se eliminan, con dos avisos por correo al propietario principal (14 y 3 días antes); las cuentas que quedan sin ninguna organización se eliminan con ella. Puedes eliminar tu cuenta desde la configuración de la cuenta o escribiendo a hello@shortli.ai. La eliminación se produce 7 días después de la solicitud y puede cancelarse hasta entonces; después, todos los datos personales asociados se eliminan definitivamente, salvo cuando la ley exija conservarlos (registros de facturación). Conservamos un registro técnico de las eliminaciones que solo contiene identificadores y, durante 12 meses, una huella con clave (HMAC) de la dirección de correo, usada únicamente para impedir una nueva prueba gratuita con la misma dirección.

En virtud del RGPD, usted tiene los siguientes derechos respecto a sus datos personales: Derecho de acceso: obtener confirmación de si se están tratando sus datos y recibir una copia. Derecho de rectificación: corregir datos inexactos o incompletos. Derecho de supresión: solicitar la eliminación de sus datos personales cuando ya no sean necesarios para los fines para los que se recopilaron. Derecho a la portabilidad de los datos: recibir sus datos en un formato estructurado y legible por máquina. Derecho a la limitación: solicitar la limitación del tratamiento en determinadas circunstancias. Derecho de oposición: oponerse al tratamiento basado en el interés legítimo. Derecho a retirar el consentimiento: cuando el tratamiento se base en el consentimiento, retirarlo en cualquier momento sin que ello afecte al tratamiento previo. Derecho a presentar una reclamación: presentar una reclamación ante la Autoridad italiana de Protección de Datos (Garante per la Protezione dei Dati Personali) en www.garanteprivacy.it. Para ejercer sus derechos, póngase en contacto con nosotros en hello@shortli.ai. Responderemos en un plazo de 30 días. También puedes ejercer el derecho de supresión directamente, eliminando tu cuenta desde la configuración de la cuenta.

Shortli utiliza únicamente cookies esenciales necesarias para el funcionamiento del Servicio: Cookie de sesión (next-auth.session-token): mantiene su sesión autenticada. Es una cookie técnica estrictamente necesaria para el Servicio. Cookie de idioma (NEXT_LOCALE): almacena su preferencia de idioma (inglés, italiano, alemán, francés o español). No utilizamos cookies publicitarias ni cookies de seguimiento de terceros. En el sitio web público medimos las visitas y el rendimiento de las páginas con Vercel Web Analytics y Speed Insights, que no utilizan cookies y no identifican a los visitantes individuales. No se requiere ningún banner de consentimiento.

Aplicamos medidas técnicas y organizativas adecuadas para proteger los datos personales, entre ellas: - Cifrado de los datos en tránsito (TLS/HTTPS) - Autenticación basada en OAuth (sin almacenamiento de contraseñas) - Sesiones basadas en tokens JWT con caducidad y rotación de actualización - Controles de acceso y aislamiento de datos a nivel de organización - Verificación de webhooks firmados para el procesamiento de pagos - Supervisión de seguridad periódica - Principio de privilegio mínimo para las cuentas de servicio - Seudonimización de los CV compartidos con destinatarios externos (eliminación de datos de contacto, foto y, en el nivel superior, del nombre)

El Servicio no está destinado al uso por parte de personas menores de 16 años. No recopilamos a sabiendas datos personales de menores. Si tenemos conocimiento de que hemos recopilado datos de un menor de 16 años, tomaremos medidas para eliminarlos sin demora.

Podemos actualizar esta Política de privacidad de vez en cuando. Los cambios sustanciales se comunicarán por correo electrónico o mediante un aviso dentro del Servicio con al menos 30 días de antelación a su entrada en vigor. La fecha de "Última actualización" en la parte superior de esta página indica cuándo se revisó por última vez la política.

Para cualquier pregunta o solicitud relativa a esta Política de privacidad o a sus datos personales, póngase en contacto con nosotros en: Medicalware S.r.l. Via della Ricerca Scientifica, Roma, Italia IVA: IT12651051000 Correo: hello@shortli.ai