Política de privacidad

Última actualización: 16 de abril de 2026

1. Introducción e identidad del responsable del tratamiento

Esta Política de privacidad explica cómo Zumia («nosotros», «nos» o «nuestro») recopila, utiliza, almacena y protege tus datos personales cuando usas nuestro servicio de optimización de CV con IA en zumia.app.

Zumia es operado por una persona física con sede en Suiza. No existe una entidad corporativa formal. A efectos del Reglamento General de Protección de Datos de la UE (RGPD) y de la Ley Federal Suiza de Protección de Datos (FADP), el operador actúa como responsable del tratamiento. Los datos de contacto se facilitan en la Sección 12.

Al usar Zumia, aceptas las prácticas descritas en esta política. Consulta también nuestros Términos del servicio.

2. Datos que recopilamos

Información de la cuenta

  • Dirección de correo electrónico - utilizada para la autenticación, la recuperación de la cuenta y las notificaciones transaccionales
  • Contraseña - protegida mediante hash seguro con estándares del sector (nunca almacenamos contraseñas en texto plano)
  • Fechas de la cuenta - cuándo se creó tu cuenta y la fecha de tu última actividad

Información de la solicitud de acceso

  • Dirección de correo electrónico enviada para acceso anticipado - recopilada cuando solicitas acceso para que podamos revisar tu solicitud y ponernos en contacto contigo cuando se conceda el acceso

Datos del CV y del puesto

  • Contenido del CV base - el CV que subes o pegas en el servicio
  • Especificaciones del puesto - descripciones del puesto y requisitos que proporcionas
  • CV optimizados generados por IA - versiones personalizadas creadas por el asistente de IA
  • Historial de conversaciones - tus interacciones con el asistente de IA. Se trata con el mismo cuidado que el contenido de tu CV y se incluye en todas las exportaciones y eliminaciones de datos.
  • Elementos de la biblioteca de conocimientos - datos reutilizables sobre tu experiencia que guardas para futuras optimizaciones de CV

Preferencias del usuario

  • Directrices de IA (instrucciones personalizadas para el asistente de IA)
  • Plantilla de nombre de archivo
  • Márgenes de impresión
  • Idioma preferido

Datos de facturación

  • Saldo de créditos e historial de transacciones - gestionados a través de Lemon Squeezy. No almacenamos directamente los datos de la tarjeta de pago.

Datos analíticos (solo con consentimiento)

  • Analíticas de PostHog - vistas de página, uso de funciones y excepciones. Estos datos solo se recopilan si das tu consentimiento para las analíticas. Si las rechazas, no se recopilan datos de seguimiento.

3. Cómo utilizamos tus datos

Tratamos tus datos personales para las siguientes finalidades, cada una con una base jurídica específica conforme al RGPD:

Prestación del servicio de optimización de CV

Finalidad: Tratamiento de tu contenido de CV, especificaciones del puesto e historial de conversaciones para generar sugerencias personalizadas de optimización del CV.

Base jurídica: Ejecución de un contrato (art. 6(1)(b) del RGPD): este tratamiento es necesario para prestar el servicio al que te has registrado.

Gestión de la cuenta y notificaciones

Finalidad: Envío de correos electrónicos transaccionales (verificación de la cuenta, restablecimiento de contraseña) a través de Loops.

Base jurídica: Ejecución de un contrato (art. 6(1)(b) del RGPD).

Facturación y gestión de créditos

Finalidad: Gestión de tu saldo de créditos y tramitación de transacciones a través de Lemon Squeezy.

Base jurídica: Ejecución de un contrato (art. 6(1)(b) del RGPD).

Gestión de solicitudes de acceso

Finalidad: Gestionar las solicitudes de acceso y notificar a los usuarios cuando se conceda el acceso.

Base jurídica: Interés legítimo (art. 6(1)(f) del RGPD): necesitamos controlar el acceso a la beta y contactar a quienes solicitan acceso sobre el estado de su solicitud.

Seguridad de la cuenta

Finalidad: Verificación CAPTCHA mediante Cloudflare Turnstile para prevenir abusos y ataques automatizados.

Base jurídica: Interés legítimo (art. 6(1)(f) del RGPD): proteger el servicio y a sus usuarios frente al fraude y el abuso.

Analíticas y mejora del servicio

Finalidad: Comprender cómo se utiliza el servicio para mejorar la calidad y corregir incidencias mediante las analíticas de PostHog.

Base jurídica: Consentimiento (art. 6(1)(a) del RGPD): las analíticas solo se recopilan si das tu consentimiento explícito.

No vendemos, alquilamos ni compartimos tus datos personales con terceros con fines publicitarios o de marketing.

¿Es obligatorio facilitar tus datos? Facilitar tu correo electrónico para solicitar acceso y, más adelante, tu dirección de correo electrónico y el contenido de tu CV para usar el servicio son pasos necesarios en cada fase. Sin ellos, no podemos tramitar tu solicitud ni prestar el servicio. Los datos analíticos son completamente opcionales.

4. Tratamiento con IA y servicios de terceros

OpenAI - tratamiento con IA

Zumia utiliza la API de OpenAI para impulsar su asistente de IA. OpenAI tiene su sede en Estados Unidos. Usamos los modelos lingüísticos actuales de OpenAI para las interacciones de chat, el análisis de CV, la extracción de contenido y los embeddings semánticos.

Datos enviados a OpenAI:

  • Tu contenido de CV
  • Especificaciones del puesto
  • Historial de conversaciones
  • Elementos de la biblioteca de conocimientos
  • Directrices de IA que hayas configurado

Salvaguardas importantes:

  • El modo de retención cero está activado - OpenAI no conserva ningún dato de solicitud ni de respuesta después de procesar tu solicitud.
  • No se utiliza para entrenar modelos - conforme a las condiciones de la API de OpenAI, los datos enviados a través de la API no se utilizan para entrenar ni mejorar los modelos de OpenAI.
  • No hay decisiones autónomas - la IA te ayuda a optimizar tu CV generando sugerencias. No toma decisiones autónomas que produzcan efectos jurídicos o efectos significativamente similares sobre ti. Conservas el control total para aceptar, modificar o rechazar cualquier sugerencia generada por IA.

Otros servicios de terceros

  • Supabase - alojamiento de la base de datos y autenticación (UE, Fráncfort)
  • Digital Ocean - infraestructura del servidor (UE, Fráncfort)
  • Lemon Squeezy - facturación y procesamiento de pagos (Estados Unidos)
  • Loops - envío de correos electrónicos transaccionales (Estados Unidos)
  • Cloudflare Turnstile - verificación CAPTCHA para la seguridad de la cuenta (Estados Unidos)
  • PostHog - analíticas (solo con consentimiento, UE)

Hemos formalizado acuerdos de tratamiento de datos con todos los encargados del tratamiento externos.

5. Almacenamiento y seguridad de los datos

Nos tomamos muy en serio la seguridad de tus datos y aplicamos las siguientes medidas:

  • Base de datos: - Tus datos se almacenan en Supabase con controles de acceso estrictos que garantizan que cada usuario solo pueda acceder a sus propios datos.
  • Cifrado en tránsito: - Todos los datos transmitidos entre tu navegador, nuestros servidores y los servicios de terceros están cifrados.
  • Cifrado en reposo: - Los datos almacenados en la base de datos están cifrados en reposo.
  • Seguridad de la contraseña: - Las contraseñas se protegen mediante hash con estándares del sector a través de Supabase Auth. Nunca almacenamos ni tenemos acceso a contraseñas en texto plano.
  • Infraestructura del servidor: - La aplicación se despliega en Digital Ocean con configuraciones seguras por defecto.

6. Transferencias internacionales de datos

Dado que Zumia se opera desde Suiza y utiliza proveedores de servicios internacionales, tus datos pueden transferirse fuera de Suiza y del Espacio Económico Europeo (EEE). Nos aseguramos de que existan salvaguardas adecuadas para todas las transferencias:

  • OpenAI (Estados Unidos) - El contenido del CV y los datos de conversación se envían a los servidores de OpenAI en EE. UU. para su tratamiento con IA. OpenAI está certificado conforme al Marco de Privacidad de Datos UE-EE. UU. Además, el modo de retención cero implica que OpenAI no conserva tus datos después del tratamiento.
  • PostHog (Unión Europea) - los datos analíticos se alojan dentro de la UE y solo se recopilan si das tu consentimiento.
  • Supabase (UE, Fráncfort) - servicios de alojamiento de base de datos y autenticación. No hay transferencia fuera del EEE.
  • Digital Ocean (UE, Fráncfort) - infraestructura del servidor. No hay transferencia fuera del EEE.
  • Lemon Squeezy (Estados Unidos) - facturación y tratamiento de datos de pago.
  • Loops (Estados Unidos) - envío de correos electrónicos transaccionales.
  • Cloudflare (Estados Unidos) - verificación CAPTCHA (Turnstile).

La Comisión Europea reconoce que Suiza ofrece un nivel adecuado de protección de datos. Para las transferencias a Estados Unidos, nos basamos, cuando procede, en el Marco de Privacidad de Datos UE-EE. UU., en las cláusulas contractuales tipo (SCC) aprobadas por la Comisión Europea o en otras salvaguardas adecuadas exigidas por la ley.

7. Conservación de datos

  • Solicitudes de acceso pendientes - las direcciones de correo electrónico enviadas a través de la lista de espera de solicitud de acceso se conservan hasta 12 meses mientras la solicitud está pendiente y después se eliminan automáticamente.
  • Datos de cuentas activas - tu contenido de CV, especificaciones del puesto, historial de conversaciones, biblioteca de conocimientos, preferencias y otros datos de la cuenta se conservan mientras tu cuenta permanezca activa.
  • Cuentas inactivas - si tu cuenta no registra ninguna actividad significativa durante 365 días, enviamos correos electrónicos de aviso 30 días y 7 días antes de eliminar tus contextos de empleo guardados, elementos de la biblioteca de conocimientos, versiones del CV, notificaciones, CV base y directrices de IA. Tu cuenta, credenciales de autenticación, saldos de créditos, historial de créditos, idioma preferido, plantilla de nombre de archivo y márgenes de impresión seguirán disponibles para que puedas empezar de nuevo.
  • Datos del tratamiento con IA - el modo de retención cero está activado. OpenAI no conserva ningún dato de solicitud ni de respuesta después del tratamiento.
  • Datos analíticos - sujetos a las políticas de conservación de PostHog. Las analíticas son solo con consentimiento.
  • Transacciones de créditos - el historial de transacciones se conserva para los registros de facturación mientras exista tu cuenta y se elimina cuando se elimina tu cuenta.
  • Actividad significativa - crear o actualizar un contexto de empleo, crear o actualizar un elemento de la biblioteca de conocimientos, generar o descargar un CV, o actualizar tu configuración reinicia el temporizador de inactividad. Iniciar sesión o simplemente actualizar la sesión no lo reinicia.

8. Tus derechos

En virtud del RGPD y de la FADP suiza, tienes los siguientes derechos respecto de tus datos personales:

  • Derecho de acceso (art. 15 RGPD) - puedes solicitar una copia de tus datos personales. Zumia ofrece una función integrada de exportación de datos en la configuración de tu cuenta.
  • Derecho de rectificación (art. 16 RGPD) - puedes corregir los datos inexactos. Todos tus datos (contenido del CV, biblioteca de conocimientos, preferencias, etc.) pueden editarse directamente dentro de la aplicación.
  • Derecho de supresión (art. 17 RGPD) - puedes eliminar tu cuenta y todos los datos asociados en cualquier momento mediante la función de eliminación de cuenta en tu configuración. Esta acción es irreversible e incluye la eliminación de tu cuenta y credenciales de autenticación, contenido del CV y especificaciones del puesto, CV optimizados generados por IA, historial de conversaciones, elementos de la biblioteca de conocimientos, preferencias y configuración del usuario, y saldo de créditos e historial de transacciones.
  • Derecho a la portabilidad de los datos (art. 20 RGPD) - puedes exportar todos tus datos en un archivo estructurado y legible por máquina mediante la función de exportación de la configuración de tu cuenta. Esto incluye tu contenido de CV, especificaciones del puesto, historial de conversaciones, elementos de la biblioteca de conocimientos y preferencias, lo que te permite transferir tus datos a otro servicio si así lo decides.
  • Derecho a la limitación del tratamiento (art. 18 RGPD) - puedes solicitar que limitemos la forma en que se tratan tus datos. Ponte en contacto con nosotros en privacy@zumia.app.
  • Derecho de oposición (art. 21 RGPD) - puedes oponerte al tratamiento basado en el interés legítimo. Ponte en contacto con nosotros en privacy@zumia.app.
  • Derechos relacionados con la toma de decisiones automatizada (art. 22 RGPD) - El asistente de IA de Zumia solo ofrece sugerencias y recomendaciones. No toma decisiones autónomas que produzcan efectos jurídicos o efectos significativamente similares sobre ti. Siempre mantienes el control total sobre si aceptas, modificas o rechazas las sugerencias de la IA.

Para ejercer cualquiera de estos derechos, puedes utilizar las funciones integradas de la aplicación o ponerte en contacto con nosotros en privacy@zumia.app. Responderemos a tu solicitud en un plazo de 30 días.

9. Cookies y tecnologías de seguimiento

Almacenamiento esencial

Utilizamos el almacenamiento local de tu navegador (no cookies) para la funcionalidad esencial:

  • Sesión de autenticación de Supabase - mantiene tu sesión iniciada
  • Preferencia de idioma - recuerda el idioma que has elegido

Estos elementos son estrictamente necesarios para que el servicio funcione y no requieren consentimiento.

Analíticas (solo con consentimiento)

Si das tu consentimiento para las analíticas, PostHog recopila datos de uso (vistas de página, uso de funciones y excepciones) para ayudarnos a mejorar el servicio. Si rechazas las analíticas, no se establecen cookies ni identificadores de seguimiento.

Lo que no utilizamos

  • No utilizamos cookies publicitarias
  • No utilizamos rastreadores de marketing de terceros
  • No utilizamos píxeles de seguimiento de redes sociales

Puedes cambiar tu consentimiento para las analíticas en cualquier momento desde la configuración de cookies de la aplicación o borrando el almacenamiento local de tu navegador.

10. Privacidad de los menores

Zumia no está destinado a personas menores de 16 años. No recopilamos conscientemente datos personales de menores de 16 años. Si crees que un menor de 16 años nos ha proporcionado datos personales, ponte en contacto con nosotros en privacy@zumia.app y tomaremos medidas para eliminar esa información.

11. Cambios en esta política

Podemos actualizar esta Política de privacidad periódicamente para reflejar cambios en nuestras prácticas, la tecnología o los requisitos legales. Si realizamos cambios sustanciales, te lo notificaremos por correo electrónico o mediante un aviso destacado dentro de la aplicación antes de que los cambios entren en vigor.

Te animamos a revisar esta página periódicamente. La fecha de «Última actualización» en la parte superior indica cuándo se revisó por última vez la política.

12. Contacto y autoridad de control

Si tienes alguna pregunta, inquietud o solicitud relacionada con esta Política de privacidad o con el tratamiento de tus datos personales, ponte en contacto con nosotros:

Si crees que se han vulnerado tus derechos en materia de protección de datos, tienes derecho a presentar una reclamación ante una autoridad de control:

  • Para usuarios de Suiza: el Comisionado Federal de Protección de Datos e Información (FDPIC) - www.edoeb.admin.ch
  • Para usuarios de la UE: tu autoridad local de protección de datos (DPA) del Estado miembro de la UE en el que residas, trabajes o en el que se haya producido la presunta infracción.