Acuerdo de Encargo de Tratamiento (DPA)

1. Partes

Este Acuerdo de Encargo de Tratamiento (en adelante, el "DPA") se celebra entre COSMIC TOMORROW (que opera como RECRU), NIF 519123069, con domicilio en R. Alfredo Allen n.º 455-461, 4200-135 Oporto, Portugal (en adelante, el "Encargado"), y el cliente que contrata los servicios de la plataforma RECRU (en adelante, el "Responsable").

2. Objeto

Este DPA regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable en el marco de la prestación del servicio de automatización de recruiting, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).

3. Naturaleza y finalidad del tratamiento

El Encargado tratará los datos únicamente para prestar los servicios contratados: almacenamiento, organización y automatización de los procesos de selección gestionados por el Responsable.

4. Tipo de datos personales

Datos de candidatos introducidos por el Responsable: nombre, apellidos, email, teléfono, CV, notas de evaluación y cualquier otro dato que el Responsable decida incluir en la plataforma.

5. Categorías de interesados

Candidatos a los puestos de trabajo gestionados por el Responsable.

6. Obligaciones del Encargado

El Encargado se compromete a:

• Tratar los datos únicamente siguiendo instrucciones documentadas del Responsable.
• Garantizar que las personas autorizadas para tratar los datos se han comprometido a la confidencialidad.
• Aplicar medidas técnicas y organizativas de seguridad apropiadas conforme al artículo 32 del RGPD (cifrado TLS en tránsito, cifrado en reposo, control de acceso por tenant, registros de auditoría).
• Asistir al Responsable en el cumplimiento de las obligaciones relativas a los derechos de los interesados (acceso, supresión, portabilidad, limitación).
• Suprimir o devolver todos los datos personales al Responsable una vez finalizados los servicios, en un plazo máximo de 30 días.
• Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD.

7. Subencargados

El Encargado puede subcontratar los siguientes servicios, que actúan como subencargados:

• Supabase Inc. — Infraestructura de base de datos, autenticación y almacenamiento de archivos (servidores en el EEE)
• Twilio Inc. (SendGrid) — Envío de comunicaciones transaccionales por email (EE. UU., con Cláusulas Contractuales Tipo)
• Resend Inc. — Envío de emails de screening (EE. UU., con Cláusulas Contractuales Tipo)
• Deepgram Inc. — Transcripción de voz en tiempo real durante las entrevistas (EE. UU., con Cláusulas Contractuales Tipo)
• Google LLC (Gemini) — Funcionalidades de inteligencia artificial: generación de documentos, análisis de CV, informes automáticos (EE. UU., con Cláusulas Contractuales Tipo)

El Encargado notificará al Responsable cualquier cambio de subencargados con al menos 30 días de antelación, dando al Responsable la oportunidad de oponerse.

8. Transferencias internacionales

Las transferencias de datos a subencargados ubicados fuera del EEE (en concreto SendGrid/Twilio en EE. UU.) se realizan al amparo de las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea mediante la Decisión de Ejecución (UE) 2021/914.

9. Duración

Este DPA permanece vigente durante la vigencia del contrato de servicios entre las partes. Su terminación conlleva la obligación de supresión de datos descrita en el apartado 6.

10. Contacto

Para cualquier cuestión relativa a este DPA: privacy@recru-app.com