Lista de encargados del tratamiento
Última actualización: 2026-09-06
Sobre esta lista
CV Score es operado por The CodeCave GmbH, Alfred-Nobel-Straße 29, 50226 Frechen, Alemania. Para prestar el Servicio recurrimos a un número reducido de prestadores que tratan datos personales por cuenta nuestra. Esta página los nombra a todos, para que sepas quién interviene antes de subir nada.
Cada uno de estos proveedores actúa como encargado del tratamiento conforme al art. 28 del RGPD y está obligado a:
- Tratar los datos únicamente siguiendo nuestras instrucciones documentadas y solo para la finalidad indicada
- Aplicar medidas de seguridad técnicas y organizativas apropiadas
- Someter a su personal a un deber de confidencialidad
- Recurrir a subencargados solo bajo obligaciones equivalentes
- Suprimir o devolver los datos al término de la relación
Encargados del tratamiento actuales
OpenAI
EE. UU.Finalidad
Evaluación por IA de tu currículum
Datos tratados
El texto extraído de tu currículum, incluidos los datos personales que contenga, como tu nombre y tus datos de contacto. Ningún identificador de cuenta, ninguna dirección de correo de inicio de sesión, ningún dato de pago.
Garantías
Cláusulas contractuales tipo de la UE conforme al art. 46.2.c) del RGPD
El modelo utilizado es gpt-4o-mini, invocado a través de la interfaz de programación empresarial. Según las condiciones de la API de OpenAI, los contenidos enviados por esta vía no se utilizan por defecto para entrenar los modelos de OpenAI.
Supabase
EE. UU.Finalidad
Autenticación, base de datos y almacenamiento de los archivos de currículum subidos
Datos tratados
Datos de la cuenta (dirección de correo electrónico, hash de la contraseña, identificador de usuario), archivos de currículum, resultados de evaluación, registros de pago, respuestas del cuestionario, mensajes de comentarios
Garantías
Cláusulas contractuales tipo de la UE conforme al art. 46.2.c) del RGPD
Los archivos de currículum se guardan en un área de almacenamiento privada, separada por usuario, que no es accesible públicamente. El acceso a la base de datos está limitado por una restricción a nivel de fila.
Google Cloud
Servidores en Fráncfort del Meno, Alemania (europe-west3)Finalidad
Alojamiento de nuestro backend de API y de las tareas programadas que disparan nuestros correos
Datos tratados
Todos los datos que el backend maneja al tramitar una solicitud, incluido el texto del currículum durante la extracción, así como los registros del servidor
Garantías
Cláusulas contractuales tipo de la UE conforme al art. 46.2.c) del RGPD
Los servidores que utilizamos están ubicados en Alemania. Aun así, Google forma parte de un grupo con sede en EE. UU., por lo que no puede descartarse un acceso desde un tercer país.
Netlify
EE. UU.Finalidad
Entrega de la aplicación web en app.cvscore.net
Datos tratados
Dirección IP, datos del navegador y de la solicitud en los registros del servidor
Garantías
Cláusulas contractuales tipo de la UE conforme al art. 46.2.c) del RGPD
Netlify solo entrega los archivos de la aplicación a tu navegador. Allí no se almacenan archivos de currículum ni resultados de evaluación.
Railway
EE. UU.Finalidad
Entrega del sitio web en cvscore.net
Datos tratados
Dirección IP, datos del navegador y de la solicitud en los registros del servidor
Garantías
Cláusulas contractuales tipo de la UE conforme al art. 46.2.c) del RGPD
Afecta únicamente a las páginas informativas públicas. Aquí no se tratan datos de cuenta ni currículums.
Polar
EE. UU.Finalidad
Tramitación de pagos, determinación de impuestos y facturación
Datos tratados
Dirección de correo electrónico, medio de pago y datos de facturación, importe, moneda, datos de transacción
Garantías
Cláusulas contractuales tipo de la UE conforme al art. 46.2.c) del RGPD
Los datos de la tarjeta se introducen en las páginas de Polar y nunca llegan hasta nosotros. Solo recibimos la dirección de correo electrónico, el importe, el estado y una referencia de transacción.
Resend
EE. UU.Finalidad
Envío de nuestros correos transaccionales y comerciales
Datos tratados
Dirección de correo electrónico del destinatario, asunto y contenido del mensaje
Garantías
Cláusulas contractuales tipo de la UE conforme al art. 46.2.c) del RGPD
Los correos comerciales se envían únicamente con tu consentimiento y siempre incluyen un enlace de baja de un solo clic.
Notas sobre la infraestructura
Dos puntos que es fácil pasar por alto al leer la tabla anterior:
| Proveedor | Utilizado por | Finalidad | Clasificación |
|---|---|---|---|
| Rybbit | No es encargado del tratamiento | Medición de audiencia de nuestras páginas y de la aplicación: sin cookies, un identificador en el almacenamiento local, sin cesión a terceros | Autoalojado y, por tanto, no figura como encargado del tratamiento |
| Inicio de sesión con Google | Solo si tú lo eliges | Inicio de sesión opcional; Google nos transmite entonces tu dirección de correo electrónico y datos básicos de perfil, y actúa como responsable independiente de su propio tratamiento | Se aplica la política de privacidad de Google |
| Google Fonts | Solo la aplicación | La tipografía de app.cvscore.net se carga desde servidores de Google; en ese proceso tu dirección IP llega a Google. Las páginas de cvscore.net utilizan tipografías alojadas por nosotros mismos. | Se aplica la política de privacidad de Google |
El recorrido de tus datos
Qué ocurre entre la subida y el informe terminado:
Subes un currículum
Guardado bajo tu cuenta, no accesible públicamente
Se extrae el texto
La extracción y, en PDF escaneados, el reconocimiento de texto se ejecutan en nuestro servidor, sin intervención de terceros
Se ejecuta la evaluación por IA
No se transmite ningún identificador de cuenta, ninguna dirección de correo de inicio de sesión ni datos de pago
Se almacena el resultado
Asociado a tu cuenta hasta que la elimines
Se te avisa
Mensaje transaccional que te comunica que el informe está listo
Garantías para las transferencias a terceros países
Varios de los proveedores anteriores están establecidos en los Estados Unidos o pertenecen a un grupo estadounidense. Para esas transferencias nos apoyamos en:
Cláusulas contractuales tipo de la UE
Las cláusulas adoptadas por la Comisión Europea conforme al art. 46.2.c) del RGPD, acordadas como parte de los contratos de encargo del tratamiento con nuestros proveedores.
Se aplica a: Todos los proveedores fuera del EEE
Marco de Privacidad de Datos UE-EE. UU.
Cuando un proveedor está certificado conforme a este marco, se aplica además la decisión de adecuación de la Comisión Europea de 10 de julio de 2023.
Se aplica a: Proveedores estadounidenses certificados
Medidas complementarias
Transmisión cifrada, accesos limitados a lo necesario y minimización de datos; en particular, no se transmiten identificadores de cuenta ni datos de pago a nuestro proveedor de IA.
Se aplica a: Todos los proveedores
Pese a estas garantías, subsiste un riesgo residual de que las autoridades de un tercer país pretendan acceder a los datos con arreglo a su Derecho nacional. No podemos descartarlo, y preferimos decirlo antes que dar a entender lo contrario.
Cambios en esta lista
De vez en cuando añadimos o sustituimos encargados del tratamiento. Cuando lo hacemos:
- Actualizamos esta lista y el apartado correspondiente de nuestra política de privacidad
- Actualizamos la fecha indicada en la cabecera de esta página
- A la clientela empresarial con su propio contrato de encargo del tratamiento la informamos según lo pactado en dicho contrato
Si tienes reparos respecto de alguno de estos proveedores, escribe a privacy@cvscore.net.
Preguntas
Si tienes preguntas sobre nuestros encargados del tratamiento o sobre cómo se manejan tus datos, contáctanos en privacy@cvscore.net