Contrato de encargo del tratamiento (art. 28 RGPD)
Versión 1.1 · 28 sep 2026
1. Partes y objeto
El Cliente (responsable) encarga a Antonio Bernabé (autónomo) (encargado) el tratamiento de los datos personales necesarios para prestar el servicio Kandu: recibir, guardar, mostrar y organizar las candidaturas del Cliente.
2. Duración
Mientras dure la suscripción, más el plazo de devolución y borrado del punto 10.
3. Datos e interesados
Candidatos del Cliente: datos identificativos y de contacto, respuestas a los formularios, currículum y lo que contenga (incluida la imagen), vídeo si lo envían, notas y decisiones del equipo. Usuarios del Cliente: nombre, correo y actividad en la herramienta. No se tratan categorías especiales de datos de forma intencionada.
4. Instrucciones
Kandu trata los datos solo siguiendo las instrucciones documentadas del Cliente, que son este contrato y la configuración que el Cliente hace en la herramienta. Si una instrucción infringe la normativa, Kandu lo avisará.
5. Confidencialidad
Las personas autorizadas por Kandu para tratar los datos se han comprometido a guardar confidencialidad. El personal de soporte solo accede al espacio del Cliente con su permiso expreso, en modo lectura y con registro.
6. Seguridad (art. 32 RGPD)
Cifrado en tránsito y en reposo; separación de los datos de cada Cliente; control de acceso por roles; registro de actividad; copias de seguridad; revisión periódica de las medidas.
7. Subencargados
El Cliente autoriza de forma general a los subencargados de la lista. Kandu avisará con antelación de cualquier cambio para que el Cliente pueda oponerse, e impondrá a cada subencargado las mismas obligaciones. Lista actual: Supabase (base de datos, autenticación y archivos; servidores en París, UE); Hostinger (servidor de la aplicación); Purelymail (envío de los correos del sistema); Anthropic (lectura automática de currículums; Estados Unidos; sin uso de los datos para entrenar modelos); Google (solo si una persona usuaria del Cliente conecta su Google Calendar: eventos de entrevistas); Stripe Payments Europe (pagos, cuando se active).
8. Transferencias internacionales
La base de datos y los archivos se alojan en la Unión Europea. La lectura automática de currículums (Anthropic) y, si se conecta, Google Calendar implican transferencias a Estados Unidos, que se hacen con las garantías del capítulo V del RGPD (cláusulas contractuales tipo de la Comisión Europea y, en su caso, el Marco de Privacidad de Datos UE-EE. UU.). Kandu avisará al Cliente antes de añadir otras transferencias.
9. Asistencia al Cliente
Kandu ayuda al Cliente a atender los derechos de los candidatos (la herramienta permite exportar y borrar sus datos), a cumplir las obligaciones de seguridad y, en su caso, a realizar evaluaciones de impacto. Kandu notificará al Cliente cualquier violación de seguridad sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga conocimiento, con la información disponible.
10. Fin del encargo
Al terminar la suscripción, el Cliente puede exportar sus datos durante 30 días. Después, Kandu los borra, incluidas las copias, salvo que la ley obligue a conservarlos.
11. Auditoría
Kandu pone a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato y permite auditorías razonables, avisando con antelación.