RECRU

1. Partes

Responsable del Tratamiento: La organización (tenant) que utiliza RECRU para gestionar datos de candidatos.
Encargado del Tratamiento: COSMIC TOMORROW, proveedor de la plataforma RECRU.

2. Objeto y duración

El presente acuerdo regula las condiciones bajo las cuales el Encargado trata datos personales por cuenta del Responsable a través de la plataforma RECRU. La duración del tratamiento coincide con la vigencia del contrato de servicio más el periodo de exportación de 30 días posterior a la cancelación.

3. Naturaleza y finalidad del tratamiento

El Encargado tratará datos personales de candidatos de selección con las siguientes finalidades: almacenamiento y gestión de perfiles de candidatos, ejecución de automatizaciones de pipeline, generación de documentos mediante inteligencia artificial (informes de entrevista, CV ciegos, job descriptions, propuestas comerciales), envío de comunicaciones automatizadas, transcripción de entrevistas y análisis de CVs, incluido el cribado asistido por IA de las candidaturas enviadas a través del funnel de candidatura pública de OneShot.

4. Tipos de datos tratados

Datos de identificación (nombre, email, teléfono), datos profesionales (experiencia, habilidades, formación, CV), datos de proceso de selección (etapa, estado, valoración, notas de entrevista), datos de localización (ciudad, país, preferencia de trabajo remoto) y datos económicos (expectativa salarial).

5. Categorías de interesados

Candidatos de procesos de selección, contactos empresariales de clientes del Responsable y usuarios de la plataforma (empleados del Responsable).

6. Obligaciones del Encargado

El Encargado se compromete a:

• Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable.
• Garantizar que las personas autorizadas para tratar datos se han comprometido a respetar la confidencialidad.
• Aplicar medidas técnicas y organizativas apropiadas: cifrado en tránsito (TLS) y en reposo, aislamiento de datos por tenant mediante Row Level Security (RLS), control de acceso basado en roles, auditoría de acceso.
• No recurrir a otro encargado sin autorización previa por escrito del Responsable.
• Asistir al Responsable en el cumplimiento de las solicitudes de ejercicio de derechos de los interesados.
• Suprimir o devolver los datos personales al finalizar el servicio, conforme a la política de retención.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento.

7. Subencargados

El Responsable autoriza al Encargado a recurrir a los siguientes subencargados:

• Supabase Inc. — Infraestructura de base de datos, autenticación y almacenamiento de archivos (servidores en el EEE).
• Twilio Inc. (SendGrid) — Envío de comunicaciones transaccionales por email (EE.UU., bajo Cláusulas Contractuales Tipo).
• Resend Inc. — Envío de emails de screening (EE.UU., bajo Cláusulas Contractuales Tipo).
• Deepgram Inc. — Transcripción de voz en tiempo real durante entrevistas (EE.UU., bajo Cláusulas Contractuales Tipo).
• Google LLC (Gemini) — Funcionalidades de inteligencia artificial: generación de documentos, análisis de CV, informes automatizados (EE.UU., bajo Cláusulas Contractuales Tipo).
• LeapLane Lda (OneShot) — Cribado con IA de las candidaturas del funnel público: extracción del CV + puntuación automatizada (UE — Portugal). Tratamiento transitorio; sin conservación de datos del candidato.
• OpenAI, L.L.C. — Procesamiento mediante modelos de lenguaje para el análisis de CV del funnel de candidatura (EE.UU., bajo la propia cuenta de OpenAI de Recru: Cláusulas Contractuales Tipo + DPA de OpenAI; tratamiento transitorio, nunca usado para entrenamiento, conservación de hasta 30 días para monitorización de abuso).

El Encargado notificará al Responsable con al menos 30 días de antelación cualquier cambio en los subencargados, otorgando al Responsable la posibilidad de oponerse.

8. Transferencias internacionales

Los datos se almacenan en servidores ubicados en la Unión Europea. Para los subencargados ubicados fuera del EEE (SendGrid, Deepgram, OpenAI), se aplican Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea como garantía adecuada conforme al artículo 46 del RGPD. LeapLane (OneShot) está establecida en la UE (Portugal), por lo que su tratamiento no implica ninguna transferencia internacional.

9. Notificación de brechas de seguridad

El Encargado notificará al Responsable cualquier violación de la seguridad de los datos personales sin dilación indebida y, a más tardar, en un plazo de 72 horas desde que tenga conocimiento de la misma. La notificación incluirá la naturaleza de la violación, las categorías de datos afectados, las consecuencias probables y las medidas adoptadas.

10. Política de retención y eliminación

Al finalizar el contrato, el Responsable dispone de 30 días para exportar sus datos. Transcurrido este periodo, el Encargado procederá a la anonimización o eliminación automática de los datos de candidatos del tenant cancelado. El proceso de retención se ejecuta diariamente de forma automatizada y cada acción queda registrada en el log de auditoría RGPD.

11. Derechos de auditoría

El Responsable tiene derecho a realizar auditorías, incluidas inspecciones, para verificar el cumplimiento de este acuerdo. El Encargado facilitará el acceso a la información necesaria y cooperará con las auditorías. Las auditorías deberán comunicarse con un preaviso razonable y no interferir en la operativa normal del servicio.

12. Contacto del Delegado de Protección de Datos

Para cuestiones relacionadas con la protección de datos: privacy@recru-app.com