Traducido automáticamente por comodidad. La versión en inglés en /legal/privacy es el texto legalmente vinculante.

Política de Privacidad

Versión 0.4 — correo de contacto + entidad legal incorporados · Última actualización 2026-05-09

⚠️ Este es un borrador de trabajo. No ha sido revisado por un abogado. No publicar externamente sin esa revisión. El documento interno complementario es SECURITY_AND_PERSONAL_INFORMATION.md, que entra más a fondo en los detalles técnicos.

1. Quiénes somos

AI Stream Jobs es una herramienta de adaptación de CV operada por Næxt AI ("nosotros", "nos", "nuestro"). Puede contactarnos en el correo electrónico indicado en §11 Contacto.

Si reside en la UE, el EEE o el Reino Unido, el responsable del tratamiento de sus datos personales es Næxt AI.

2. La versión breve

Recopilamos lo que cabría esperar: su correo de cuenta, el contenido del CV que sube, las ofertas de empleo que guarda y cómo usa el producto (borradores generados, plan, facturación). Los usamos para operar el producto, generar CV y cartas de presentación adaptadas con IA, cobrarle correctamente y mejorar el servicio. Enviamos el texto de su CV y la descripción del puesto a Anthropic y a Google cuando genera un borrador, porque son los proveedores de IA que hacen la reescritura; sus condiciones comerciales les prohíben entrenar con estos datos. Nunca vendemos sus datos. Puede exportar o eliminar todo lo que ha introducido en cualquier momento.

A continuación, la versión completa.

3. Qué recopilamos, por qué y la base jurídica (RGPD Artículo 6)

No recopilamos categorías sensibles según el Artículo 9 del RGPD (raza, religión, salud, biometría, etc.) intencionadamente. Los CV mencionan a veces estas categorías — es contenido aportado voluntariamente por el usuario; lo tratamos igual que el resto del CV (cifrado en reposo, enviado solo a los proveedores de IA enumerados, eliminable a petición).

4. Cuánto tiempo lo conservamos

5. Con quién lo compartimos

No vendemos sus datos personales. Solo los compartimos con los proveedores que hacen funcionar el producto:

Tanto Anthropic como Google se comprometen, en sus condiciones comerciales, a no entrenar modelos con el tráfico de API en producción. Publicaremos Contratos de Encargado del Tratamiento firmados con ambos antes del lanzamiento en la UE. (Ver el Plan de implementación para el calendario.)

Nunca compartiremos sus datos para marketing, publicidad o venta a terceros.

Minimización de PII en llamadas auxiliares. Cuando enviamos el texto de su CV a un proveedor de IA para tareas que en realidad no necesitan identificarle — puntuar la coincidencia entre su CV y una oferta, extraer su perfil profesional (función, nivel, puestos objetivo) para las sugerencias de búsqueda — eliminamos su nombre (cuando proceda), correo, teléfono, URL de LinkedIn y otros identificadores personales del texto antes de enviarlo. El proveedor ve algo como "[NOMBRE_REDACTADO] trabajó como Senior Engineer en Stripe 2020–2024" y produce una puntuación/extracción igual de precisa. Las tareas que sí necesitan su contenido completo — generar CV adaptados, reescribir viñetas, redactar cartas de presentación, generar preguntas de preparación de entrevistas — conservan el texto completo porque la salida le menciona por nombre y escribe con su voz.

6. Transferencias internacionales

Si está en la UE, el EEE, el Reino Unido o Suiza, sus datos pueden ser transferidos y tratados en Estados Unidos por los proveedores anteriores. Nos basamos en:

• Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea, integradas en nuestros DPA con Anthropic, Google y Stripe (firmados antes del lanzamiento en la UE — ver brecha abierta arriba).
• Decisiones de adecuación cuando proceda (Marco UE-EE.UU. de Privacidad de Datos a fecha de 2026).

Cuando llegue la residencia de datos en la UE (previsto, ver Plan de implementación §7), el contenido del CV, los borradores, las solicitudes y las llamadas al modelo de IA de los usuarios de la UE permanecerán dentro de la región europe-west1 de Google Cloud. Queda una excepción: ver §6.1.

6.1 Excepción documentada — Identidad de Firebase Authentication

AI Stream Jobs utiliza Google Firebase Authentication para gestionar el inicio de sesión. A fecha de 2026, Firebase Authentication no ofrece residencia de datos en la UE: su identidad de inicio de sesión (dirección de correo y nombre para mostrar) se almacena y procesa en Estados Unidos por Google.

Nos basamos en las siguientes bases jurídicas para esta transferencia:

• RGPD Artículo 6(1)(b) — ejecución de un contrato. No podemos operar el servicio sin almacenar su identidad de autenticación. Por tanto, este tratamiento no es "consentimiento" en el sentido del Artículo 6(1)(a), sino una necesidad contractual. Si no acepta esta excepción, por favor, no cree una cuenta.
• Cláusulas Contractuales Tipo — la transferencia UE-EE.UU. de su identidad de inicio de sesión está cubierta por las CCT del Anexo de Tratamiento de Datos de Google Cloud, que puede consultar en cloud.google.com/terms/data-processing-addendum.
• Marco UE-EE.UU. de Privacidad de Datos — Google es participante certificado donde el marco resulta aplicable.

Lo que cubre y no cubre esta excepción:

A cada usuario de la UE se le muestra esta excepción en el diálogo de consentimiento al registrarse y debe reconocerla expresamente mediante una casilla — la traza de auditoría de las aceptaciones está en Firestore en users/{uid}/consents/*.

Revisaremos esta excepción cuando (a) Firebase Authentication ofrezca residencia plena de datos en la UE, o (b) nuestra base de clientes en la UE nos exija migrar a un proveedor de autenticación con sede en la UE (Auth0 EU, Descope, FusionAuth o similar). La decisión se documentará en el Plan de implementación.

7. Sus derechos

Viva donde viva, puede:

• Acceder a lo que conservamos — Ajustes → Datos → Exportar todo (previsto /api/account/export).
• Rectificar lo incorrecto — edítelo directamente en la aplicación.
• Suprimir todo — Ajustes → Zona de peligro → Eliminar cuenta (previsto /api/account/delete). Es permanente.
• Portabilidad — mismo endpoint de exportación, JSON legible por máquina.
• Retirar el consentimiento para enviar contenido del CV a proveedores de IA — interruptor en Ajustes → Privacidad. Esto detiene futuras llamadas de IA; no elimina retroactivamente los borradores ya generados.
• Oponerse a un tratamiento concreto — escríbanos vía §11 Contacto.
• Presentar una reclamación ante su autoridad de protección de datos si vive en la UE/EEE/Reino Unido. Le agradeceríamos un aviso previo para poder corregir lo que esté mal.

Respondemos a las solicitudes de derechos en un plazo de 30 días (a menudo en 7).

8. Cookies (la lista completa)

Usamos un pequeño número de cookies, todas estrictamente necesarias para el funcionamiento del Servicio. Sin cookies de seguimiento, publicidad o analítica. Sin cookies de terceros.

Conforme a la Directiva ePrivacy (Artículo 5(3)) y a las orientaciones de los reguladores de la UE, las cookies estrictamente necesarias están exentas del requisito de banner de consentimiento — por eso no mostramos ninguno. La lista completa:

Eso es todo. Ambas cookies se establecen al iniciar sesión y se borran al cerrarla. Nunca son legibles por JavaScript (httpOnly), solo se envían por HTTPS (Secure) y nunca se envían en solicitudes entre sitios (SameSite=Lax).

No usamos:

• Google Analytics, Meta Pixel ni ningún otro rastreador conductual
• Cookies publicitarias de ningún tipo
• Cookies de terceros
• localStorage como mecanismo de seguimiento (lo usamos como caché por dispositivo para sus borradores; descrito en §3)

El Cloud Logging que sí utilizamos es exclusivamente del lado del servidor — no deja cookies en su dispositivo. Las solicitudes de su navegador a /api/* producen una línea de registro con la ruta de la solicitud, su IP truncada (/24 para IPv4, /48 para IPv6) y el tiempo — ver §3 "Registros de servidor".

9. Menores

AI Stream Jobs es para adultos. No recopilamos conscientemente datos de menores de 16 años. Si cree que un menor se ha registrado, contáctenos y eliminaremos la cuenta.

10. Cambios

Cuando cambiemos esta política, incrementaremos la versión en el encabezado, registraremos el cambio en §13 y (para cambios sustanciales) le enviaremos un correo antes de que la nueva versión entre en vigor. Para cambios no sustanciales (erratas, enlaces) simplemente publicamos.

11. Contacto

Correo: support@aistreamjobs.com Dirección: (por completar — obligatoria para el RGPD; puede ser un apartado postal; pendiente de revisión legal)

Si tiene un hallazgo de seguridad, por favor, envíenos un correo en lugar de abrir una incidencia pública en GitHub.

12. Definiciones

• Datos personales — cualquier cosa que pueda identificarle, directa o indirectamente, incluyendo su nombre, correo, dirección IP y el contenido de su CV.
• Tratamiento — cualquier operación realizada sobre datos personales: recoger, almacenar, usar, compartir, suprimir.
• Proveedor de IA — Anthropic y Google. Ambos operan sus API bajo condiciones comerciales que excluyen el tráfico de API del entrenamiento de modelos.

13. Registro de cambios