Política de privacidad de Kandu

Quién es el responsable

Antonio Bernabé, profesional autónomo, que presta el servicio con el nombre comercial Kandu («Kandu»). Para cualquier asunto de privacidad: privacidad@kandu.work.

A qué se aplica

A la web kandu.work, a la aplicación app.kandu.work y al chat de soporte. Explica cómo tratamos los datos de las empresas cliente y de sus usuarios, de las personas que nos escriben y de quienes visitan la web. Los datos de los candidatos que las empresas gestionan en Kandu tienen su propio apartado más abajo.

Cómo usa Kandu los datos de Google (Google Calendar)

Kandu ofrece una conexión opcional con Google Calendar. Este apartado explica exactamente a qué datos de Google accede Kandu y cómo los usa, guarda, comparte y borra. Se aplica a todos los datos que Kandu recibe a través de las API de Google.

A qué datos accedemos. Solo si la persona usuaria pulsa «Conectar Google Calendar» en Kandu y da su permiso en la pantalla de Google, Kandu recibe: (1) su dirección de correo (permisos openid y userinfo.email); y (2) permiso para crear y gestionar eventos en su propio calendario (permiso calendar.events). Kandu no pide acceso a Gmail, a los contactos, a Drive ni a ningún otro dato de Google.

Para qué los usamos. Kandu usa el permiso calendar.events solo para añadir a su Google Calendar las entrevistas y pruebas que programa en Kandu, cambiarlas si cambia la fecha, la hora o quién la hace, quitarlas si las anula y, si lo elige, añadirles un enlace de Google Meet. Kandu no lee, lista, copia ni analiza ningún otro evento de su calendario. El correo solo se usa para mostrar qué cuenta de Google está conectada. Los datos de Google solo se usan para dar esta función a quien la conectó, nunca para publicidad, perfiles ni ningún otro fin.

Cómo los guardamos. Kandu guarda solo el token de acceso, el correo conectado y los identificadores de los eventos que el propio Kandu creó, en nuestra base de datos en la Unión Europea (Supabase, París), cifrados en tránsito y en reposo y accesibles solo para el servidor de Kandu. El personal de Kandu no los consulta, salvo que la persona nos pida soporte y lo autorice, por seguridad o por obligación legal.

Con quién los compartimos. Kandu no vende los datos de Google ni los comparte con terceros, salvo los proveedores que alojan el servicio con contrato de encargo (Supabase y Hostinger) o por obligación legal. Kandu no usa los datos de Google para desarrollar, mejorar ni entrenar modelos generales de inteligencia artificial o aprendizaje automático, ni los envía a ningún servicio de inteligencia artificial.

Cuánto tiempo y cómo borrarlos. El token y el correo se borran en el momento en que la persona pulsa «Desconectar» en Kandu, retira el acceso en https://myaccount.google.com/permissions o se borra su cuenta de Kandu. Los eventos ya creados siguen en su propio calendario, donde puede borrarlos. También puede pedir el borrado en cualquier momento escribiendo a privacidad@kandu.work.

Uso limitado. El uso que hace Kandu de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, cumple la Política de datos de usuario de los servicios de API de Google (https://developers.google.com/terms/api-services-user-data-policy), incluidos los requisitos de Uso limitado.

Datos de las empresas y de sus usuarios

Al crear una cuenta o ser invitado a una: nombre, correo, contraseña (se guarda cifrada y nadie de Kandu puede verla), empresa, papel en el equipo y preferencias. Mientras se usa Kandu: registro de actividad (qué acción se hizo, quién y cuándo), para dar el servicio, dar soporte y por seguridad. Para facturar: razón social, NIF, dirección, plan y facturas. El pago con tarjeta lo gestiona Stripe; Kandu no ve ni guarda el número de la tarjeta.

Soporte, contacto y reseñas

Si nos escribes por el chat de soporte, por correo o por el formulario de contacto, guardamos tu mensaje, tu nombre y tu correo si nos los das, y la página desde la que escribes, para responderte. El chat lo contesta primero un asistente automático de inteligencia artificial con información sobre Kandu; si no puede ayudarte o lo pides, la conversación pasa a una persona del equipo. Si dejas una reseña, solo se publica si tú lo eliges, con el nombre que indiques.

Datos técnicos y cookies

Nuestros servidores registran la dirección IP, la fecha y el navegador de cada petición, por seguridad y para resolver errores; se borran en pocas semanas. Solo usamos cookies y almacenamiento del navegador técnicos (sesión iniciada, tema claro u oscuro). No usamos cookies de publicidad ni herramientas de análisis de terceros. Más detalle en la Política de cookies.

Datos de candidatos

Las empresas usan Kandu para gestionar las candidaturas que reciben. De esos datos la empresa es la responsable y Kandu el encargado del tratamiento, según el Contrato de encargo del tratamiento: solo los tratamos para dar el servicio a esa empresa y siguiendo sus instrucciones. Incluyen lo que la persona envía en el formulario (datos de contacto, respuestas, currículum y, si quiere, un vídeo), su localidad o código postal para calcular la distancia al centro de trabajo, y las notas y decisiones del equipo de la empresa. El currículum se lee de forma automática con un proveedor de inteligencia artificial para ordenar en la ficha la experiencia, la formación, los carnets y los idiomas; nunca se usa para puntuar, ordenar ni descartar a nadie, y todas las decisiones las toma la empresa. Para ejercer tus derechos como candidato, dirígete a la empresa a la que enviaste la candidatura (sus datos aparecen en el formulario y en tu página de candidatura), o escríbenos y se lo trasladaremos.

Base jurídica

Ejecutar el contrato con la empresa cliente y dar acceso a sus usuarios (art. 6.1.b RGPD); cumplir obligaciones legales, como las fiscales y contables (art. 6.1.c); nuestro interés legítimo en responder consultas, dar soporte, mantener la seguridad y mejorar el servicio (art. 6.1.f); y tu consentimiento cuando lo pedimos, por ejemplo para publicar una reseña o conectar Google Calendar (art. 6.1.a), que puedes retirar cuando quieras.

Cuánto tiempo los guardamos

Los datos de la cuenta, mientras la cuenta exista. Al darse de baja, la empresa puede exportar sus datos durante 30 días y después se borran, incluidas las copias. Las facturas y los datos fiscales, seis años por obligación legal. Las conversaciones de soporte, dos años. Los registros técnicos, unas semanas. Los datos de candidatos, lo que decida cada empresa (6, 12 o 24 meses tras cerrar el proceso) y después se borran solos.

Proveedores que tratan datos por nosotros

Solo los necesarios para dar el servicio, todos con contrato de encargo: Supabase (base de datos, inicio de sesión y archivos; servidores en París, Unión Europea); Hostinger (servidor donde funcionan la web y la aplicación); Purelymail (correo electrónico de kandu.work y envío de los avisos por correo); Anthropic (lectura automática de currículums y asistente del chat de soporte; Estados Unidos; no usa estos datos para entrenar sus modelos); Google (solo si una persona usuaria conecta su Google Calendar; ver el apartado siguiente); Stripe (cobro de la suscripción, cuando se active el pago con tarjeta). Para calcular distancias a partir de un código postal o de la ubicación que la persona decide compartir, consultamos OpenStreetMap (Nominatim) desde nuestro servidor, sin enviar su dirección IP. También podemos comunicar datos a las administraciones públicas cuando la ley lo exige. No vendemos datos personales a nadie.

Transferencias fuera de la Unión Europea

Anthropic y Google están en Estados Unidos. Las transferencias se hacen con las garantías del capítulo V del RGPD: cláusulas contractuales tipo aprobadas por la Comisión Europea y, cuando el proveedor está adherido, el Marco de Privacidad de Datos UE-EE. UU. Solo se envía lo imprescindible para cada tarea.

Seguridad

Conexiones cifradas (HTTPS), datos cifrados en reposo, separación de los datos de cada empresa, permisos por papel dentro del equipo, registro de actividad y copias de seguridad. El personal de Kandu solo entra en el espacio de una empresa si esta lo permite, para darle soporte.

Menores

Kandu es un servicio para empresas y profesionales. No está dirigido a menores de 16 años y no tratamos a sabiendas sus datos.

Tus derechos

Puedes pedir acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad de tus datos, y retirar tu consentimiento, escribiendo a privacidad@kandu.work. Te responderemos en un máximo de un mes. Si crees que no hemos atendido bien tu petición, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

Cambios en esta política

Si cambiamos algo importante, lo publicaremos aquí con la nueva fecha y, si afecta a las empresas cliente, se lo avisaremos por correo antes de que se aplique.