Cómo tratamos tus datos personales

1. Identidad del responsable del tratamiento

El responsable del tratamiento de tus datos personales es GraiQ (en adelante, "GraiQ", "nosotros" o "el servicio"), operado por [Razón social legal], con RUC [RUC] y domicilio legal en [Dirección legal en Perú]. Para cualquier consulta sobre privacidad, escríbenos a hola@graiq.com.

Esta política se rige por la Ley N° 29733, Ley de Protección de Datos Personales del Perú, su Reglamento aprobado por DS N° 003-2013-JUS y demás normativa aplicable. La autoridad de control es la Autoridad Nacional de Protección de Datos Personales (ANPDP) del Ministerio de Justicia y Derechos Humanos.

2. Datos personales que recolectamos

Para que el servicio funcione, recolectamos los siguientes datos:

• Datos de cuenta: dirección de correo electrónico y contraseña (almacenada con cifrado bcrypt; nunca en texto claro).
• Contenido de tu CV: nombre completo, datos de contacto (teléfono, email, ubicación), fotografía si la subes, historial laboral, formación académica, habilidades, idiomas y cualquier otra información que incluyas voluntariamente.
• Datos técnicos: dirección IP, identificador del navegador (user-agent), fecha y hora de cada acceso. Se usan únicamente para seguridad, depuración de errores y prevención de abuso.
• Cookies estrictamente necesarias: una cookie de sesión cifrada (graiq.sid) que mantiene tu acceso mientras estás logueado. No usamos cookies publicitarias ni de seguimiento de terceros.
• Datos de pago: NO almacenamos los datos de tu tarjeta. Cuando pagas, esos datos los procesa directamente nuestro procesador de pagos. Nosotros solo recibimos un identificador de transacción para confirmar el pago.

El archivo PDF o DOCX original que subes no se persiste: lo procesamos en memoria para extraer su texto y luego se descarta. Lo que sí guardamos es el resultado del análisis y la versión reescrita.

3. Finalidad del tratamiento

Tratamos tus datos exclusivamente para:

• Crear y administrar tu cuenta.
• Analizar, puntuar y reescribir tu CV con tecnología de inteligencia artificial.
• Generar el archivo final (PDF o Word) para tu descarga.
• Procesar tu pago cuando contratas el plan pago.
• Comunicarte cambios importantes del servicio o de la presente política.
• Prevenir abusos, fraudes y mantener la seguridad del servicio.
• Cumplir obligaciones legales y atender requerimientos de autoridades competentes.

No usamos tus datos para publicidad de terceros, no los vendemos ni los cedemos a fines comerciales ajenos al servicio.

4. Tu CV viaja a proveedores de inteligencia artificial

Para analizar y reescribir tu CV, el contenido del documento se envía a uno o más proveedores externos de inteligencia artificial con los que GraiQ mantiene una relación contractual. Estos proveedores procesan el texto del CV para devolvernos el análisis y la versión optimizada.

Nuestros proveedores de IA tienen políticas que prohíben el uso de los datos enviados por API para entrenar sus modelos y aplican plazos de retención técnica máximos para depuración (típicamente no mayores a 30 días). En cualquier caso, si esto no te resulta aceptable, tienes el derecho a no usar el servicio.

Estos proveedores pueden estar ubicados fuera del Perú, principalmente en Estados Unidos. Al usar el servicio, autorizas la transferencia internacional de tus datos personales necesarios para el procesamiento descrito.

5. Terceros con quienes compartimos datos

Para prestar el servicio nos apoyamos en proveedores tecnológicos especializados. Compartimos con cada uno únicamente los datos estrictamente necesarios para la función que cumplen, agrupados de la siguiente manera:

• Proveedores de inteligencia artificial que procesan el contenido textual de tu CV para el análisis y la reescritura.
• Proveedores de infraestructura cloud (almacenamiento de base de datos y de archivos) donde se guardan tu cuenta, los CVs procesados y, eventualmente, las imágenes que subas.
• Procesadores de pagos: los datos de tu medio de pago no nos llegan a nosotros. Los maneja directamente el procesador correspondiente bajo su propia política de privacidad y cumpliendo los estándares de seguridad de la industria (PCI-DSS).
• Servicios de mensajería transaccional para envío de correos como confirmaciones, magic links y avisos críticos del servicio.

Todos nuestros proveedores operan bajo cláusulas contractuales de protección de datos y, cuando corresponde, mecanismos de transferencia internacional reconocidos. No incluimos rastreadores publicitarios ni herramientas de seguimiento de terceros en el sitio.

La lista completa y actualizada de proveedores está disponible escribiéndonos a hola@graiq.com, conforme al derecho de información del titular de los datos.

6. Transferencia internacional de datos

Algunos de nuestros proveedores tecnológicos operan desde infraestructura ubicada fuera del Perú. La Ley 29733 reconoce esta transferencia siempre que existan garantías equivalentes a las exigidas por la normativa peruana, lo cual aseguramos mediante los acuerdos contractuales con cada proveedor.

Al crear una cuenta y continuar usando el servicio, prestas tu consentimiento previo, informado, expreso e inequívoco para esta transferencia internacional, en los términos del artículo 13.5 de la Ley 29733.

7. Tiempo de retención de los datos

• CVs activos: mientras tengas la cuenta activa o decidas eliminarlos individualmente.
• Datos de cuenta: mientras la cuenta esté activa. Se eliminan al borrarla.
• Cuentas inactivas: se eliminan automáticamente después de 24 meses sin actividad.
• Logs técnicos: 90 días, para auditoría de seguridad y debugging.
• Registros de pagos: conservamos los registros mínimos exigidos por normativa tributaria peruana (incluyendo SUNAT) por el plazo legal correspondiente, incluso si borras tu cuenta.
• Backups: los respaldos que contengan tus datos se purgan dentro del ciclo normal de retención de backups (máximo 30 días desde la eliminación).

8. Tus derechos como titular de los datos

De acuerdo con la Ley 29733, tienes los siguientes derechos sobre tus datos personales (denominados derechos ARCO):

• Acceso: solicitar qué datos tenemos sobre ti y cómo los tratamos.
• Rectificación: corregir datos inexactos o desactualizados.
• Cancelación (eliminación): solicitar la eliminación total de tus datos.
• Oposición: oponerte al tratamiento de tus datos para fines específicos.
• Información: ser informado sobre los terceros con los que compartimos tus datos.
• Revocación del consentimiento en cualquier momento.

Para ejercer cualquiera de estos derechos:

• Por autoservicio: borra tus CVs desde "Mis CVs" o tu cuenta entera desde "Cuenta → Borrar cuenta".
• Por solicitud manual: envía un correo a hola@graiq.com indicando tu derecho a ejercer y adjuntando copia de tu DNI. Tenemos hasta 20 días hábiles para responder, conforme al artículo 19 del reglamento.

Si consideras que tu solicitud no fue atendida adecuadamente, puedes presentar reclamo ante la Autoridad Nacional de Protección de Datos Personales (ANPDP) del Ministerio de Justicia, en www.gob.pe/anpdp.

9. Edad mínima

El servicio está dirigido exclusivamente a personas mayores de 16 años, conforme al artículo 17.4 del reglamento de la Ley 29733. Si eres menor de 16 años no puedes registrarte ni usar el servicio. Al crear tu cuenta declaras tener al menos 16 años cumplidos.

10. Seguridad de la información

Aplicamos medidas técnicas y organizativas razonables para proteger tus datos:

• Cifrado de contraseñas con bcrypt.
• Cifrado en tránsito (TLS) en todas las conexiones.
• Cifrado en reposo de la base de datos (provisto por MongoDB Atlas).
• Cookies de sesión con atributos HttpOnly y SameSite.
• Limitadores de tasa (rate limiting) por endpoint para prevenir ataques de fuerza bruta.
• Registro de eventos de seguridad para auditoría.
• Acceso interno restringido al personal autorizado de GraiQ.

A pesar de estas medidas, ninguna transmisión por internet es 100% segura. Si llegamos a tener conocimiento de una vulneración que afecte tus datos personales, te lo comunicaremos sin demora indebida, conforme al artículo 16 del reglamento.

11. Cookies y tecnologías similares

Solo usamos cookies estrictamente necesarias para el funcionamiento del servicio:

• graiq.sid: cookie de sesión que mantiene tu inicio de sesión. Caduca a las 12 horas o al cerrar sesión.

No usamos cookies de seguimiento publicitario, analítica de terceros ni perfilado.

12. Cambios a esta política

Podemos actualizar esta política para reflejar cambios en el servicio o en la normativa. Si el cambio es material, te avisaremos por correo electrónico antes de que entre en vigor. La fecha de "Última actualización" en la parte superior te indica cuándo fue la última revisión.

13. Inscripción en el RNPDP

Conforme a la Ley 29733, los bancos de datos personales gestionados por GraiQ se inscribirán en el Registro Nacional de Protección de Datos Personales (RNPDP) ante la ANPDP cuando se cumplan los umbrales legales de operación.

14. Contacto

Para cualquier consulta, ejercicio de derechos ARCO, reclamo o sugerencia relacionada con el tratamiento de tus datos:

Email: hola@graiq.com
Razón social: [Razón social legal]
RUC: [RUC]
Dirección: [Dirección legal en Perú]