Esta Política de Privacidad describe cómo Villard Executive, S.L.U. (en adelante, "Persunity") trata los datos personales del Usuario en cumplimiento del Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y el Reglamento (UE) 2024/1689 de Inteligencia Artificial (AI Act) en lo que resulte de aplicación.
Responsable: Villard Executive, S.L.U. (Persunity)
NIF: B23831712
Domicilio: Calle Alcalde Sainz de Baranda, 19, 1.º B, 28009 Madrid
Email de contacto: dpo@persunity.com
Sitio web: https://persunity.com
Persunity ha designado un Delegado de Protección de Datos al que el Usuario puede dirigirse para cualquier consulta o reclamación relativa al tratamiento de sus datos personales.
Las funciones de DPO son asumidas internamente por el fundador, con auditoría periódica independiente realizada por un DPO externo profesional. Está previsto que la función pase a ser ejercida en exclusiva por dicho DPO externo, eliminando cualquier potencial conflicto de interés. Esta transición está documentada y supervisada por el propio DPO externo.
Contacto del DPO: dpo@persunity.com
En función de la actividad del Usuario en la plataforma, Persunity puede tratar las siguientes categorías de datos personales:
Datos biométricos: verificación de identidad. Persunity trata datos biométricos (art. 9 RGPD) de forma limitada y con una única finalidad: verificar la identidad del candidato. Esta verificación es obligatoria y se realiza antes de que una empresa cliente pueda citar al candidato a una entrevista; sin ella, el proceso no avanza a esa fase.
La verificación la realiza un servicio de verificación de identidad y consiste en el cotejo del documento de identidad aportado por el candidato con una imagen facial tomada en ese momento. El candidato aporta ambos directamente al proveedor, en su entorno.
Persunity no recibe, no almacena y no tiene acceso al documento de identidad ni a la imagen facial. Del proveedor recibe únicamente el resultado de la comprobación (verificada / no verificada), la fecha y un identificador técnico de la sesión de verificación. La conservación de los documentos e imágenes por parte del proveedor se rige por su propia política de privacidad.
Base jurídica: consentimiento explícito del interesado (art. 9.2.a RGPD). El candidato inicia la verificación mediante una acción afirmativa y específica destinada únicamente a esa finalidad, y puede no realizarla o retirar su consentimiento en cualquier momento escribiendo a dpo@persunity.com. Consecuencia de no prestarlo o de retirarlo: el proceso de selección no podrá avanzar a la fase de entrevista con la empresa cliente. No se deriva ninguna otra consecuencia, y el resto de funcionalidades de la cuenta siguen disponibles.
Fuera de este supuesto, Persunity no trata categorías especiales de datos (art. 9 RGPD) tales como origen racial, opiniones políticas, religión, afiliación sindical, datos genéticos, de salud o relativos a la vida sexual u orientación sexual. El Usuario se compromete a no incluir voluntariamente este tipo de información en su CV.
La siguiente tabla resume los tratamientos principales realizados por Persunity, con indicación de la finalidad, la base legal habilitante y el plazo de conservación aplicable a cada uno. Esta tabla constituye un extracto del Registro de Actividades del Tratamiento (RAT) mantenido internamente conforme al artículo 30 del RGPD.
| Tratamiento | Datos tratados | Finalidad | Base legal | Plazo |
|---|---|---|---|---|
| Registro candidato | Nombre, email, CV o URL LinkedIn | Crear perfil para acceso al servicio de matching | Ejecución del contrato (art. 6.1.b RGPD) | Mientras la cuenta esté activa + 6 años bloqueo |
| Análisis CV mediante IA | Contenido del CV (formación, experiencia, idiomas, etc.) | Extracción estructurada de datos profesionales para matching | Consentimiento explícito (art. 6.1.a RGPD) | Mientras la cuenta esté activa |
| Registro empresa | Razón social, CIF, persona de contacto, email | Acceso al servicio para publicar vacantes (Fase 2) | Ejecución del contrato (art. 6.1.b RGPD) | Mientras la cuenta esté activa + 6 años bloqueo |
| Comunicaciones operativas | Nombre, email | Notificaciones de servicio, alertas, soporte | Ejecución del contrato (art. 6.1.b RGPD) | Mientras la cuenta esté activa |
| Obligaciones legales | Datos fiscales y contables | Cumplimiento normativa mercantil, fiscal y contable | Obligación legal (art. 6.1.c RGPD) | Plazos legales (mínimo 6 años Cód. Comercio) |
| Registro de consentimiento | Fecha, IP/user agent, consentimientos aceptados | Acreditación del consentimiento (art. 7.1 RGPD) | Obligación legal (art. 6.1.c RGPD) | Mientras subsista la relación + 3 años |
| Conversaciones con los asistentes conversacionales | Contenido de la conversación mantenida con el asistente e identificador de quien la mantiene | Prestar la asistencia solicitada, acreditar qué se comunicó al Usuario y analizar la calidad del servicio | Ejecución del contrato (art. 6.1.b RGPD) e interés legítimo en acreditar y mejorar el servicio (art. 6.1.f RGPD) | Mientras la cuenta esté activa + 2 años tras la baja |
El Usuario puede retirar el consentimiento prestado en cualquier momento, sin que ello afecte a la licitud del tratamiento realizado con anterioridad. La retirada del consentimiento puede implicar la imposibilidad de continuar prestando el servicio de matching, dado que el análisis del CV mediante IA constituye un elemento esencial del mismo.
Persunity utiliza servicios de inteligencia artificial gestionados, procesados íntegramente en regiones de la Unión Europea, para las siguientes finalidades:
El tratamiento se realiza bajo cláusulas contractuales que garantizan que los datos del Usuario no se utilizan para entrenar el modelo.
El sistema de emparejamiento se clasifica como sistema de IA de alto riesgo conforme al Anexo III, punto 4 (a) del Reglamento (UE) 2024/1689 sobre Inteligencia Artificial (AI Act), por aplicarse al ámbito de la selección de personal. Persunity mantiene y actualiza la documentación técnica, el sistema de gestión de riesgos, la gobernanza de datos, las medidas de transparencia, la supervisión humana, la robustez y el registro exigidos por dicha norma.
Ninguna decisión sobre una persona se toma de forma automatizada. El emparejamiento produce una propuesta, no una decisión: la revisa una persona del equipo de Persunity antes de que llegue a ninguna empresa, y la decisión de entrevistar o contratar corresponde siempre a la empresa cliente, que mantiene el control humano efectivo. No existe ningún tratamiento que produzca efectos jurídicos o significativamente análogos sobre el Usuario en el sentido del art. 22 RGPD sin intervención humana.
Derechos del Usuario: obtener intervención humana, expresar su punto de vista e impugnar el resultado, conforme al art. 22.3 RGPD, escribiendo a dpo@persunity.com.
Para la prestación del servicio, Persunity recurre a los siguientes proveedores que actúan como encargados del tratamiento en el sentido del art. 28 RGPD, vinculados por contrato (Data Processing Agreement) y con garantías adecuadas de protección de datos:
Acceso a la plataforma mediante LinkedIn. Si el candidato elige darse de alta con su cuenta de LinkedIn, es él quien autoriza a LinkedIn Ireland Unlimited Company a comunicar a Persunity su nombre, apellidos, dirección de correo electrónico y titular profesional. LinkedIn no actúa como encargado del tratamiento de Persunity: es el origen de esos datos, y su tratamiento por parte de LinkedIn se rige por las políticas de dicha compañía.
Persunity no cede datos personales a terceros con fines comerciales ni los vende bajo ninguna circunstancia. Los encargados indicados procesan datos exclusivamente bajo instrucciones de Persunity y con las finalidades estrictamente necesarias para la prestación de sus respectivos servicios. La comunicación de datos del candidato a las empresas clientes, que forma parte del servicio, se describe en la sección siguiente.
Poner en contacto a un candidato con una empresa es la finalidad del servicio, y para ello Persunity comunica datos del candidato a la empresa cliente. Esta comunicación es gradual y está diseñada para revelar lo mínimo en cada fase.
Garantía técnica. El ocultamiento no depende de que nadie se acuerde de aplicarlo: se aplica al guardar el dato y otra vez al mostrarlo, de modo que un fallo en el primer momento no puede convertirse en una revelación; y el paso a la segunda fase está condicionado por el estado del proceso, comprobado por el sistema en cada consulta.
Base jurídica: ejecución del servicio solicitado por el candidato (art. 6.1.b RGPD) y su consentimiento para avanzar en cada proceso concreto (art. 6.1.a RGPD). El candidato decide proceso a proceso: puede rechazar una oportunidad sin que ello afecte a su cuenta ni a las demás.
A partir del momento en que recibe los datos, la empresa cliente los trata como responsable independiente dentro de su propio proceso de selección, conforme a su propia política de privacidad. Persunity impone contractualmente a las empresas clientes la obligación de tratar dichos datos únicamente para el proceso de selección de que se trate y de cumplir la normativa de protección de datos.
El tratamiento mediante inteligencia artificial se realiza íntegramente en regiones de la Unión Europea y no implica ninguna transferencia internacional de datos.
Algunos de los encargados del tratamiento pueden tratar datos fuera del Espacio Económico Europeo (EEE). En esos casos, Persunity ha verificado que la transferencia cuenta con alguna de las garantías adecuadas previstas en el Capítulo V del RGPD: una decisión de adecuación de la Comisión Europea o las cláusulas contractuales tipo aprobadas por ella, con las medidas técnicas adicionales que procedan en cada caso.
Los datos de cuenta, el currículum y su contenido extraído, los emparejamientos y las conversaciones con los asistentes se almacenan y se tratan en la Unión Europea.
El Usuario puede solicitar copia de las garantías aplicables enviando una solicitud a dpo@persunity.com.
El Usuario puede ejercer en cualquier momento los siguientes derechos reconocidos por el RGPD y la LOPDGDD:
Si el Usuario considera que el tratamiento de sus datos personales por parte de Persunity infringe el RGPD o la LOPDGDD, tiene derecho a presentar una reclamación ante la autoridad de control competente, sin perjuicio de cualquier otro recurso administrativo o judicial.
Agencia Española de Protección de Datos (AEPD)
Domicilio: C/ Jorge Juan, 6. 28001 Madrid
Sede electrónica: sedeagpd.gob.es
Web: www.aepd.es
Antes de acudir a la AEPD, Persunity recomienda al Usuario contactar previamente con el DPO para intentar resolver la cuestión directamente.
Los plazos de conservación aplicables a cada categoría de datos son los siguientes:
| Categoría de datos | Plazo de conservación activa | Plazo de bloqueo posterior |
|---|---|---|
| Cuenta de candidato (perfil + CV) | Mientras la cuenta esté activa | Supresión inmediata tras la baja, salvo las conversaciones con los asistentes conversacionales, que siguen su propio plazo, y salvo las excepciones legales aplicables |
| Cuenta de empresa | Mientras la cuenta esté activa | 6 años por obligaciones mercantiles y fiscales |
| Registro de consentimientos | Mientras subsista la relación | 3 años adicionales como prueba (art. 7.1 RGPD) |
| Logs técnicos de sistema | 30 días (seguridad operativa) | No aplica |
| Datos contables y fiscales | Año fiscal en curso | 6 años Cód. Comercio / 4 años Ley General Tributaria |
| Comunicaciones email | Mientras la cuenta esté activa | 1 año tras baja por fines de auditoría |
| Conversaciones con los asistentes conversacionales | Mientras la cuenta esté activa | 2 años tras la baja |
Transcurridos los plazos indicados, los datos se suprimirán de forma definitiva o se anonimizarán de modo irreversible.
Supresión y conversaciones. Cuando el Usuario ejerce su derecho de supresión, las conversaciones mantenidas con los asistentes no se eliminan: se sustituyen dentro de ellas su nombre y su dirección de correo electrónico por una marca de dato suprimido, y el registro deja de estar asociado a su identidad, de modo que ya no permite identificarle ni localizarle. Se conserva de este modo la constancia de qué se le comunicó, necesaria para acreditar la actuación de Persunity frente a una eventual reclamación, sin conservar el dato personal.
Persunity aplica medidas técnicas y organizativas apropiadas para proteger los datos personales frente a tratamientos no autorizados, pérdida accidental, alteración o acceso indebido, conforme al art. 32 RGPD. Las medidas principales incluyen:
El servicio de Persunity está dirigido exclusivamente a personas mayores de 18 años. Persunity no recoge intencionadamente datos personales de menores de edad. Si Persunity tuviera conocimiento de que se han recogido datos de un menor sin la autorización del titular de la patria potestad o tutela, procederá a la supresión inmediata de dichos datos.
Si el Usuario considera que se han facilitado datos de un menor sin autorización, puede notificarlo a dpo@persunity.com para que se proceda a la supresión.
Persunity podrá modificar la presente Política de Privacidad para adaptarla a novedades legislativas, jurisprudenciales o de práctica habitual del sector, así como para reflejar cambios en los servicios prestados. En caso de modificaciones sustanciales, Persunity notificará al Usuario por los medios habituales (email registrado y aviso destacado en la plataforma) y, cuando legalmente sea exigible, solicitará un nuevo consentimiento.
Se recomienda al Usuario revisar periódicamente esta Política. El uso continuado del servicio tras la publicación de las modificaciones implica la aceptación de las mismas, sin perjuicio de los consentimientos específicos que sean exigibles.
Para cualquier consulta sobre la presente Política de Privacidad o sobre el tratamiento de datos personales por parte de Persunity, el Usuario puede contactar con el Delegado de Protección de Datos:
Email: dpo@persunity.com
Asunto recomendado: "Consulta privacidad" o "Ejercicio de derechos"
Plazo de respuesta: 1 mes máximo (art. 12.3 RGPD)