Política de privacidad

La privacidad importa. Esta Política de Privacidad explica qué datos personales recogemos, cómo los utilizamos y qué derechos existen. Se aplica al contactar con nosotros sobre Kit o al utilizar Kit como titular de una cuenta (empleador, seleccionador o miembro de un equipo). Esta Política de Privacidad forma parte de nuestras Condiciones de Servicio.

1. Quiénes somos

Kit es operado por Ernest Bursa (empresario individual), Dabrowskiego 96/5b, 60-576 Poznan, Poland. Somos el responsable del tratamiento de los datos personales descritos en esta Política de Privacidad.

• Correo electrónico: [email protected]
• Delegado de Protección de Datos: No hemos designado un DPD, ya que no alcanzamos los umbrales que lo exigen en virtud del artículo 37 del RGPD. Para consultas sobre protección de datos, contacte con nosotros en la dirección de correo electrónico indicada anteriormente.
• Autoridad de control: Nuestra autoridad de control principal es la Autoridad Polaca de Protección de Datos (UODO), ul. Stawki 2, 00-193 Warsaw, Poland (uodo.gov.pl).

2. Ámbito de aplicación y nuestra doble función

Kit presta servicio a dos tipos de usuarios, y nuestra función conforme a la normativa de protección de datos difiere para cada uno:

• Empleadores, seleccionadores y miembros de equipos (usted): Usted crea cuentas y utiliza Kit para gestionar procesos de selección. Somos el responsable del tratamiento de los datos de su cuenta. Esta Política de Privacidad rige esa relación.
• Candidatos y solicitantes: Cuando los candidatos se postulan a sus ofertas de empleo, sus datos son tratados por Kit en su nombre. Usted es el responsable del tratamiento de los datos de candidatos, y Kit actúa como encargado del tratamiento. Esta relación se rige por nuestro Acuerdo de Encargo del Tratamiento, no por esta Política de Privacidad.

Si usted es un candidato, contacte con el empleador ante el que se postuló para ejercer sus derechos de protección de datos. Dicho empleador es el responsable del tratamiento de sus datos.

3. Información que recogemos

3.1 Información de la cuenta

Cuando usted crea una cuenta, recogemos:

• Nombre y dirección de correo electrónico
• Contraseña (almacenada como un hash criptográfico, no en texto plano)
• Nombre de la organización y función en el equipo
• Información del perfil que usted decida proporcionar
• Idioma preferido y preferencias de notificaciones

Al enviar una consulta comercial, recogemos la dirección de correo electrónico, el problema descrito, el momento elegido para el seguimiento y, de forma opcional, el nombre y la empresa.

3.2 Información de inicio de sesión con terceros

Si inicia sesión mediante un servicio de terceros (como Google o GitHub OAuth), recibimos su nombre, dirección de correo electrónico y foto de perfil de dicho servicio. No recibimos ni almacenamos su contraseña de terceros.

3.3 Información de uso

Cuando utiliza Kit, recogemos automáticamente:

• Datos de registro (dirección IP, tipo de navegador, información del dispositivo)
• Páginas visitadas y funciones utilizadas
• Fecha y hora de sus visitas
• Sitio web de referencia u origen

3.4 Información de pago

El procesamiento de pagos es gestionado por Stripe, Inc. No almacenamos números completos de tarjetas de crédito. Solo recibimos información limitada, como los últimos cuatro dígitos de su tarjeta, el tipo de tarjeta y la dirección de facturación. La política de privacidad de Stripe rige el tratamiento de sus datos de pago por parte de Stripe.

4. Base jurídica del tratamiento

Tratamos sus datos personales sobre las siguientes bases jurídicas en virtud del artículo 6, apartado 1, del RGPD:

5. Cómo compartimos su información

No vendemos sus datos personales. Solo compartimos sus datos con las siguientes categorías de destinatarios:

5.1 Subencargados del tratamiento

Utilizamos los siguientes proveedores de servicios para operar Kit. Se mantiene una lista completa con los mecanismos de transferencia en nuestro Acuerdo de Encargo del Tratamiento (Anexo 3).

Cuando elige Presencial para una etapa de entrevista, esa pantalla de configuración, y solo esa, carga el autocompletado de direcciones de Google. Su navegador envía la dirección que escribe, su dirección IP y datos del navegador directamente a Google Maps Platform; Kit guarda únicamente la dirección seleccionada y su identificador de lugar de Google. Los candidatos reciben solo un enlace a las indicaciones en google.com; ningún dato de candidatos llega a Google a través de Kit. Google Ireland Limited actúa como responsable independiente del tratamiento de estos datos conforme a las condiciones de Google Maps Platform para el EEE y las condiciones de protección de datos entre responsables de Google.

5.2 Otras comunicaciones

• Requerimientos legales: Cuando lo exija la ley, una orden judicial o una autoridad gubernamental
• Transmisiones empresariales: En el contexto de una fusión, adquisición o venta de activos, sus datos podrán transferirse a la entidad sucesora
• Con su consentimiento: Cuando usted acepte expresamente compartir información

6. Cookies y seguimiento

Utilizamos cookies y tecnologías similares en nuestro sitio web. A continuación detallamos las que empleamos:

Las cookies esenciales son necesarias para el funcionamiento del Servicio y no requieren consentimiento. No mostramos un banner de cookies, y Microsoft Clarity no espera a su consentimiento: se carga en nuestro sitio web, en la documentación y el onboarding, en la aplicación Kit con sesión iniciada y en las páginas públicas de empleo y de seguridad que alojamos para nuestros clientes. Registra cómo se muestra cada página y cómo la usa usted: clics, desplazamiento, movimientos del ratón, la dirección de la página, datos del dispositivo y del navegador, y una ubicación aproximada derivada de su dirección IP. El texto de las páginas se enmascara en las grabaciones, salvo en nuestras páginas de marketing, la documentación pública y las ofertas de empleo públicas. Clarity no se carga en páginas cuya dirección contiene un enlace de inicio de sesión, un token o un término de búsqueda, en los portales de candidatos, investigadores de seguridad, formación y referencias, en el pago, ni mientras un administrador de Kit ha iniciado sesión en su nombre. Cuando usted ha iniciado sesión, etiquetamos sus grabaciones con su ID de usuario de Kit (nunca con su correo electrónico) para poder encontrarlas cuando le ayudamos. Indicamos a Clarity que mantenga desactivado su almacenamiento publicitario.

Microsoft Ireland Operations Limited actúa como responsable independiente del tratamiento de los datos de Clarity conforme a sus propias condiciones. Microsoft almacena estos datos en su nube Azure y puede transferirlos a Microsoft Corporation en Estados Unidos al amparo de cláusulas contractuales tipo.

Para excluirse de Clarity, bloquee las cookies o los scripts de clarity.ms en su navegador; Kit funciona con normalidad sin ellos. Puede controlar las cookies a través de la configuración de su navegador. La desactivación de las cookies esenciales puede impedir el uso del Servicio.

7. Conservación de datos

Conservamos sus datos personales durante el tiempo necesario para las finalidades descritas en esta política:

• Datos de la cuenta: Durante la vigencia de su cuenta. Si elimina su cuenta, eliminaremos sus datos personales en un plazo de 30 días.
• Cuentas sin suscripción: Si una cuenta permanece 45 días sin una suscripción de pago activa, se lo notificamos al titular de la cuenta y, transcurrido un plazo adicional de 14 días, eliminamos automáticamente la cuenta y sus datos personales, salvo que se restaure una suscripción. Consulte nuestras Condiciones de Servicio para más detalles.
• Registros del servidor: Conservados durante un máximo de 90 días con fines de seguridad y depuración.
• Consultas comerciales: Conservadas durante un máximo de 180 días. Si se crea una cuenta, sus datos se conservan durante los plazos indicados anteriormente.
• Registros de pago y facturación: Conservados durante 7 años conforme a la legislación fiscal polaca.
• Registros de comunicaciones por correo electrónico: Conservados durante la vigencia de su cuenta y eliminados junto con ella.
• Datos de analítica: Microsoft Clarity conserva las grabaciones durante 30 días. Las grabaciones marcadas como favoritas y una muestra aleatoria seleccionada por Microsoft se conservan hasta 9 meses.
• Datos de copias de seguridad: Las copias de seguridad que contengan sus datos se conservan durante un máximo de 30 días tras la eliminación de los datos primarios.

8. Transferencias internacionales de datos

La infraestructura principal de Kit está alojada en la Unión Europea (Hetzner Cloud, Nuremberg, Alemania). Los datos principales de su cuenta se almacenan y tratan dentro de la UE.

Algunos de nuestros proveedores están establecidos en Estados Unidos o pueden transferir datos allí: Stripe, Sentry, Cloudflare, Axiom, Google (API de Gemini, que puede almacenar en caché las instrucciones en cualquier país donde Google tenga instalaciones, y Maps Platform), TypeSafe AI y Microsoft (Clarity). Para estas transferencias, nos basamos en:

• El Marco de Privacidad de Datos UE-EE. UU. (DPF) cuando el proveedor está certificado bajo el DPF
• Cláusulas Contractuales Tipo (CCT) adoptadas por la Comisión Europea (Decisión 2021/914)

Los detalles de los mecanismos de transferencia por proveedor se recogen en nuestro Acuerdo de Encargo del Tratamiento (Anexo 3).

9. IA y tratamiento automatizado

Las funciones de IA de Kit usan de forma predeterminada la clave de Google Gemini de Kit (véase la Sección 5.1). Puede cambiarlas a su propia clave de API de Gemini, Anthropic u OpenRouter en su configuración de IA; los embeddings de búsqueda siempre usan Gemini.

• Automáticas: filtrado de spam y asignación de componente de cada nuevo informe de seguridad, análisis de inyección de prompt y clasificación de cada informe de seguridad (siempre con TypeSafe AI, también con su propia clave), extracción de cada CV subido, resúmenes de correos de selección y, con el complemento Outreach, investigación de prospectos, clasificación de respuestas y borradores de respuesta. No hay un ajuste por función.
• Solo si se configuran o se solicitan: la extracción de campos de candidatura personalizados, en las ofertas donde usted configure campos extraídos por IA, y el asistente y el chat de IA, cuando un usuario les pregunta algo.
• Cuando usa su propia clave, los datos se envían al proveedor que usted eligió, conforme a su acuerdo con ese proveedor.
• Kit no utiliza sus datos para entrenar modelos de IA.
• No se adoptan decisiones exclusivamente automatizadas con efectos jurídicos o igualmente significativos sobre las personas sin revisión humana.
• Usted tiene derecho a solicitar la revisión humana de cualquier decisión que haya sido informada por un resultado generado por IA.

9.1 Asistentes de IA que usted conecta

Usted puede conectar un asistente de IA, como Claude, ChatGPT o Claude Code, a su cuenta de Kit mediante el Model Context Protocol (MCP). En ese caso:

• Qué datos recopilamos: el nombre y la dirección de redirección que el asistente registra en Kit, la cuenta y los módulos que usted concede en la pantalla de consentimiento, los tokens de acceso que emitimos y la fecha en que se autorizó y se usó por última vez la conexión. Kit recibe únicamente las solicitudes que el asistente envía a Kit. Kit no recibe sus conversaciones con el asistente.
• Cómo los utilizamos: para autenticar al asistente, ejecutar cada solicitud dentro de su rol y de los módulos concedidos, mostrar sus asistentes conectados en su configuración y limitar el volumen de solicitudes para prevenir abusos.
• Comunicación a terceros: Kit envía el resultado de cada solicitud al asistente que usted conectó. El proveedor del asistente (por ejemplo, Anthropic en el caso de Claude) lo trata después conforme a su acuerdo con dicho proveedor y a la política de privacidad de este. Usted elige qué asistente conecta; Kit no lo selecciona ni lo controla. No compartimos los datos recibidos a través de estas conexiones con nadie más, salvo con los subencargados indicados en la sección 5.1.
• Registro de auditoría: cuando el asistente usa una herramienta que envía un correo o un mensaje a alguien ajeno a su cuenta (un candidato, un investigador o un invitado), registramos qué herramienta se ejecutó, sus identificadores de usuario y de cuenta, el resultado y, si la herramienta la proporciona, una dirección de destinatario enmascarada. El contenido de los mensajes nunca se registra. Este registro sigue el plazo de conservación de los registros del servidor de la sección 7.
• Conservación: los tokens se conservan mientras la conexión esté activa. Una conexión termina cuando usted la revoca o tras 90 días sin uso, y sus registros de tokens se eliminan 30 días después. Los registros de autorización creados al conectar (su identificador de usuario, el asistente, los módulos concedidos y la fecha) se conservan hasta que se elimina la cuenta de Kit. El registro de un asistente (su nombre y su dirección de redirección) no contiene datos personales y se conserva para que el asistente pueda volver a conectarse. Los datos que usted crea o modifica a través de un asistente son datos de la cuenta y se rigen por la sección 7.

Los datos de candidatos devueltos a su asistente se tratan en su nombre conforme a nuestro Acuerdo de Encargo del Tratamiento (véase la sección 2). Para consultas sobre asistentes conectados, contáctenos según se indica en la sección 17.

10. Sus derechos

En virtud del RGPD, el RGPD del Reino Unido y la legislación de protección de datos aplicable, usted dispone de los siguientes derechos respecto a sus datos personales:

• Derecho de acceso (art. 15): Puede solicitar una copia de los datos personales que conservamos sobre usted.
• Derecho de rectificación (art. 16): Puede solicitar la corrección de datos inexactos o incompletos.
• Derecho de supresión (art. 17): Puede solicitar la eliminación de sus datos personales.
• Derecho a la limitación del tratamiento (art. 18): Puede solicitar que limitemos el uso de sus datos.
• Derecho a la portabilidad de los datos (art. 20): Puede solicitar sus datos en un formato estructurado, de uso común y lectura mecánica.
• Derecho de oposición (art. 21): Puede oponerse al tratamiento de sus datos cuando nos basemos en el interés legítimo. Cesaremos el tratamiento salvo que demostremos motivos legítimos imperiosos.
• Derecho a retirar el consentimiento (art. 7): Cuando el tratamiento se base en el consentimiento, puede retirarlo en cualquier momento. La retirada no afecta a la licitud del tratamiento anterior a la misma.
• Derecho en relación con las decisiones automatizadas (art. 22): Tiene derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos o que le afecte significativamente de manera análoga.

Para ejercer cualquiera de estos derechos, contacte con nosotros en [email protected]. Responderemos sin dilación indebida y dentro del plazo de un mes natural. Si su solicitud es compleja, podremos ampliar este plazo hasta dos meses adicionales, previa notificación.

También tiene derecho a presentar una reclamación ante su autoridad de control. Para los usuarios en Polonia, esta es UODO (Urzad Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warsaw, Poland.

11. Comunicaciones por correo electrónico

Enviamos los siguientes tipos de correos electrónicos:

• Correos electrónicos transaccionales (notificaciones de la cuenta, alertas de seguridad, recibos de facturación): Son necesarios para el funcionamiento de su cuenta y no es posible cancelar su suscripción.
• Actualizaciones del producto y correos electrónicos de incorporación: Puede darse de baja en cualquier momento utilizando el enlace de cancelación de suscripción en cada correo electrónico o desde las preferencias de notificaciones en la configuración de su cuenta. Admitimos la cancelación con un solo clic conforme a la RFC 8058.

12. Seguridad de los datos

Implementamos las medidas técnicas y organizativas adecuadas para proteger sus datos personales, entre las que se incluyen:

• Cifrado de datos en tránsito (TLS 1.2+) y en reposo
• Cifrado a nivel de aplicación de los campos de datos sensibles (Active Record Encryption)
• Toda la infraestructura principal alojada en la UE (Hetzner Cloud, Nuremberg, Alemania)
• Tráfico de bases de datos aislado en una red privada
• Escaneos de seguridad periódicos y auditoría de dependencias
• Controles de acceso basados en roles y alcance de tokens de API

Ningún método de transmisión o almacenamiento es completamente seguro. Aunque nos esforzamos por proteger sus datos, no podemos garantizar una seguridad absoluta.

13. Privacidad de los menores

Kit es una herramienta empresarial que no está destinada al uso por parte de menores. No recogemos intencionadamente datos personales de personas menores de 18 años. Si cree que un menor nos ha proporcionado datos personales, contacte con nosotros y los eliminaremos.

14. Aviso CCPA (residentes de California)

Si usted es residente de California, la Ley de Privacidad del Consumidor de California (CCPA), en su versión modificada por la CPRA, le otorga derechos adicionales:

• No vendemos ni compartimos su información personal en los términos definidos por la CCPA.
• Tiene derecho a conocer qué información personal recogemos y cómo la utilizamos.
• Tiene derecho a solicitar la eliminación de su información personal.
• Tiene derecho a la no discriminación por ejercer sus derechos de privacidad.

Para ejercer estos derechos, contacte con nosotros en [email protected].

15. Datos de usuario de Google

Si conecta una cuenta de Google, Kit accede únicamente a los datos amparados por los permisos que usted otorgue, y solo para los fines que se indican a continuación. Usted decide qué cuenta de Google conecta y qué calendarios, en su caso, puede utilizar Kit.

• Dirección de correo electrónico, perfil básico e identidad OpenID (email, profile, openid): se utilizan para autenticarle y para crear o asociar su cuenta de Kit, así como para mostrar su nombre y su avatar dentro de la aplicación.
• Google Calendar (calendar): se utiliza para enumerar los calendarios de su cuenta y almacenar sus metadatos (nombre, zona horaria, nivel de acceso); para consultar los intervalos de disponibilidad (libre/ocupado), de modo que las páginas de reserva de entrevistas solo ofrezcan horas en las que usted esté realmente libre; para suscribirse a las notificaciones de cambios y mantener así actualizada su disponibilidad; y, en los calendarios en los que haya activado «Permitir crear eventos en este calendario», para crear, actualizar y eliminar la entrada de calendario correspondiente a una entrevista que se le haya asignado. No leemos el contenido de sus eventos de calendario. Los resultados de disponibilidad (libre/ocupado) se emplean para calcular las horas disponibles y no se almacenan.
• Google Meet (meetings.space.created, meetings.space.readonly): se utiliza para crear un espacio de Meet destinado a una entrevista programada y para consultar los detalles de dichas reuniones —incluidos los nombres visibles de los participantes, las horas de entrada y salida y la duración total— de modo que los equipos de contratación puedan revisar la asistencia después de una entrevista. Cuando se haya transcrito una reunión, recuperamos también el texto de la transcripción a través de la API de Meet y lo almacenamos cifrado y asociado a la entrevista correspondiente, para que el equipo de contratación pueda consultar lo que se dijo. No accedemos a Google Drive y no recuperamos las grabaciones de las reuniones ni el documento de transcripción en sí.

Uso limitado (Limited Use). El uso de la información recibida de los ámbitos de acceso (scopes) de Google Workspace se ajustará a la Google User Data Policy, incluidos los Limited Use requirements.

En concreto, los datos obtenidos a través de las API de Google:

• nunca se venden, ni se utilizan con fines publicitarios o de segmentación de anuncios;
• nunca se transfieren, venden ni utilizan para crear, entrenar ni mejorar ningún modelo de aprendizaje automático o de inteligencia artificial, incluidos los modelos generalizados o no personalizados (véase también la sección 9);
• nunca son leídos por una persona, salvo que usted nos lo solicite expresamente, salvo cuando resulte necesario por motivos de seguridad o para investigar un uso indebido, o cuando estemos legalmente obligados a ello;
• se utilizan únicamente para prestar o mejorar las funciones descritas anteriormente, y no se transfieren a terceros para ningún otro fin.

Puede desconectar una cuenta de Google en cualquier momento desde la página de cuentas conectadas de Kit, o revocar el acceso de Kit directamente en myaccount.google.com/permissions. La desconexión elimina los tokens de OAuth almacenados y los metadatos de calendario que Kit conservaba para esa cuenta. Para solicitar la eliminación de los registros de conferencias de Meet o de cualquier otro dato derivado de Google que aún conservemos, contacte con nosotros en [email protected] y los eliminaremos según lo descrito en la sección 7.

16. Modificaciones de esta Política

Podremos actualizar esta Política de Privacidad periódicamente. Cuando realicemos cambios sustanciales, se lo notificaremos por correo electrónico con al menos 30 días de antelación antes de que los cambios entren en vigor. Para los cambios que afecten a la base jurídica del tratamiento, solicitaremos su consentimiento cuando así se exija.

17. Contacto

Si tiene preguntas sobre esta Política de Privacidad o nuestras prácticas en materia de datos:

• Correo electrónico: [email protected]
• Dirección: Ernest Bursa, Dabrowskiego 96/5b, 60-576 Poznan, Poland

También tiene derecho a presentar una reclamación ante su autoridad de protección de datos local si considera que no hemos tratado sus datos personales de forma adecuada.