Aviso de privacidad de Mi CV

1. Responsable del tratamiento

YAPI S.A.S., RUC 1091798207001 (en adelante, «YAPI») trata los datos personales de Mi CV conforme a la Ley Orgánica de Protección de Datos Personales del Ecuador (LOPDP).

2. Qué datos tratamos, para qué y hasta cuándo

• Quien arma su hoja de vida: Lo que escribe en su hoja de vida (cifrado): nombres y apellidos, y si los pone, cédula, fecha de nacimiento, nacionalidad, estado civil, ciudad, dirección, teléfono, correo, su perfil, su experiencia, sus estudios, sus cursos, sus habilidades y sus idiomas, Su foto, si la pone, sin metadatos ni ubicación, Su carta de presentación, si la escribe (cifrada): a qué empresa y cargo va y su texto, La plantilla que eligió, si la compró y cuándo, hasta cuándo vale y cuándo la descargó sin marca por primera vez. Finalidad: Mostrarle su hoja de vida y su carta, y armar sus PDF cuando las compra. Solo las ve quien entra con su cuenta. Conservación: Hasta 90 días después de la última vez que la abre o la cambia (con un aviso por correo 7 días antes), o hasta que la borra. Los PDF no se guardan: se arman cada vez que los descarga.
• Las personas que alguien pone como referencias en su hoja de vida: Su nombre, y si se pone, su cargo, su empresa y su teléfono (cifrados, dentro de la hoja de vida). Finalidad: Que aparezcan en la hoja de vida de quien las nombró, para que un empleador pueda pedirles referencias. Las escribe quien arma su hoja: a ellas no les pedimos nada ni les escribimos. Conservación: Las de la hoja de vida en que aparecen: se borran con ella. Si eres una de esas personas y no quieres aparecer, escríbenos a privacidad@yapi.ec.
• Quien arma su hoja de vida (su cuenta): Correo electrónico (cifrado), Si entra con Google, un identificador de su cuenta de Google (guardado como resumen criptográfico), Cuándo aceptó los términos y el aviso de privacidad (y qué versión), y cuándo entró por última vez. Finalidad: Entrar sin contraseña desde cualquier teléfono, y avisarle por correo cuando su pago se valida y antes de que se borre una hoja de vida. El enlace para entrar se envía con nuestro proveedor de correo; si entra con Google, Google solo nos confirma su correo (no recibimos su contraseña ni sus contactos). Conservación: Mientras tenga hojas de vida; sin ninguna, se borra 90 días después de la última vez que entró. La puede borrar cuando quiera desde «Tu cuenta», con todas sus hojas de vida.
• Quien arma su hoja de vida, para la seguridad de su cuenta: Sus sesiones abiertas: un resumen criptográfico del código de su cookie, cómo entró, en qué dispositivo (solo un nombre corto como «Chrome en Android», sacado de lo que dice su navegador) y cuándo la usó por última vez, Un registro de seguridad: entradas, salidas, intentos fallidos, enlaces pedidos y el borrado de la cuenta, con su fecha, un resumen criptográfico de la dirección IP (nunca el correo) y el tipo de navegador. Finalidad: Proteger la cuenta: limitar los intentos, detectar accesos indebidos y poder investigarlos. Conservación: Cada sesión, hasta 90 días (30 sin usarla) o hasta que sale; los enlaces para entrar vencen en 15 minutos y se borran al día siguiente; el registro de seguridad, 365 días, también después de borrar la cuenta.
• Quien compra (quien paga): Nombre de quien pagó, como sale en su comprobante de pago (cifrado), Lo que compró, su monto, el medio de pago, a qué cuenta (o PayPal) dijo pagar, el número de la transferencia o el código de PayPal y la fecha, Foto o PDF del comprobante de pago. Finalidad: Comprobar a mano que el pago llegó antes de liberar la hoja de vida, avisar a quien revisa si el mismo comprobante o la misma referencia se usan en otra compra, y llevar el registro de las ventas. Lo revisa quien opera Mi CV en YAPI, todos los días, de 8:00 a 22:00 (hora de Ecuador). Conservación: El registro de la venta (con el nombre de quien pagó, cifrado, y sin nada de la hoja de vida), 7 años desde la compra, aunque se borre la hoja o la cuenta. La foto o el PDF del comprobante de pago, 90 días después de revisarlo (al validarlo o rechazarlo) y, si nadie lo revisa, a lo sumo 180 días después de subirlo.
• Quien compra con el enlace de un afiliado: Una huella seudónima del correo de su cuenta: un código que se calcula a partir del correo con una clave secreta (HMAC) y que, sin esa clave, no permite saber cuál es el correo. Nunca el correo. Finalidad: YAPI tiene un programa de afiliados: personas que recomiendan Mi CV con su propio enlace, que lleva su código, y ganan una comisión por las compras que traen. Cuando se valida el pago de una compra, Mi CV avisa al sistema de YAPI que lleva ese programa (svc-afiliados) qué se compró, el monto sin IVA, la fecha, un identificador de la venta que no dice quién compró y el código de referido si llegaste con el enlace de un afiliado; y, si después se devuelve el pago, que se devolvió. Solo si la compra trae un código de referido le envía también la huella, para detectar que un afiliado se compre a sí mismo con su propio código: esa compra no le da comisión. Conservación: Mi CV no la guarda: la calcula al enviar cada venta. svc-afiliados la compara en el momento con la del afiliado y tampoco la guarda: solo conserva el resultado de la comparación. Si la cuenta ya se borró cuando se envía la venta, va sin huella.

3. Base legal

Tratamos tus datos con tu consentimiento, que das al aceptar este aviso, y para ejecutar el servicio que solicitas.

La huella del correo de quien compra con el enlace de un afiliado la enviamos por el interés legítimo de YAPI en prevenir el fraude en su programa de afiliados: que un afiliado cobre comisión por compras que hace él mismo. Usamos lo mínimo: una huella seudónima en lugar del correo, solo en las compras que traen un código de referido, y ni micv ni svc-afiliados la guardan. Puedes oponerte a este uso escribiendo a privacidad@yapi.ec: revisamos tu caso y te respondemos.

4. Cómo los protegemos

Los datos personales se guardan cifrados. Los archivos que subes se limpian de metadatos (como la ubicación de la foto) y solo se muestran mediante enlaces temporales a quien tiene derecho a verlos.

5. Con quién los compartimos

No vendemos ni cedemos tus datos. Usamos proveedores de infraestructura (servidores y almacenamiento en la nube); algunos de ellos pueden estar fuera de Ecuador y tratan los datos solo para prestar el servicio.

Si pagas por PayPal o por transferencia, PayPal o tu banco tratan ese pago según sus propias condiciones; nosotros solo vemos lo que sale en tu comprobante de pago.

Dónde están tus datos: los servidores de Mi CV y su base de datos están en Alemania (Hetzner Online GmbH, en la Unión Europea), y ahí también funciona svc-afiliados; el envío de cada venta a svc-afiliados pasa por Cloudflare, Inc., que protege su API. Las fotos y los comprobantes de pago se guardan en Cloudflare R2 (de Cloudflare, Inc.), en el este de Norteamérica, y las copias de seguridad de la base, en su servidor de Alemania y también en Cloudflare R2. El proveedor de correo y Google, que nombra este aviso, pueden tratarlos fuera de Ecuador.

6. Cookies y analítica

Mi CV solo pone cookies técnicas y necesarias: al entrar a tu cuenta, una cookie de sesión que dura hasta 90 días (30 sin usarla) y se borra al salir; si entras con Google, otra que dura 10 minutos, para comprobar la vuelta desde Google y, si es tu primera vez, guardar cifrado el correo que Google nos confirmó mientras aceptas los términos; y si llegas con el enlace de un afiliado, una cookie que recuerda su código durante 30 días (vale el último enlace que abriste). El borrador de tu hoja de vida, mientras no tienes cuenta, lo guarda tu propio navegador (no es una cookie y no nos llega). Si hay analítica, es sin cookies y sin datos personales.

7. Borrado automático

Cada hoja de vida (con su foto y su carta) se borra de forma automática 90 días después de la última vez que la abres o la cambias. Una hoja de vida no hay que cerrarla: el plazo corre solo desde la última vez que la usas, así que ninguna queda en el servicio más de 90 días sin usarse, la hayas comprado o no. Las copias de seguridad de la base de datos conservan lo borrado hasta que caducan (30 días) y no se usan para devolver al servicio datos borrados. Se conserva el registro de cada venta (quién pagó, cuánto, cuándo, por qué medio y su referencia), como se indica arriba.

8. Tus derechos

Puedes pedir acceso, rectificación, eliminación, oposición o portabilidad de tus datos escribiendo a privacidad@yapi.ec. También puedes acudir a la Autoridad de Protección de Datos Personales.