1. Quién es responsable de sus datos
El responsable del tratamiento de sus datos personales es el operador del servicio MySkillsSpace. Sus datos completos de identificación, su domicilio social y sus números de registro se publican en la página de Contacto, que forma parte de este aviso.
Para cualquier consulta sobre este aviso, o para ejercer cualquiera de los derechos descritos en la sección 11, utilice el formulario de contacto. Las solicitudes en materia de privacidad se responden sin dilación indebida y, en todo caso, en el plazo de un mes desde su recepción; si una solicitud es compleja, se lo comunicaremos dentro de ese mes y podremos prorrogarlo dos meses más.
No se ha designado un delegado de protección de datos, porque el tratamiento aquí descrito no cumple las condiciones del artículo 37, apartado 1, del RGPD. Si esto cambia, los datos de contacto del delegado se publicarán aquí.
2. Qué abarca este aviso
Este aviso cubre el sitio web MySkillsSpace y el área de cuenta que hay detrás. Describe el servicio tal como funciona hoy: los profesionales publican un perfil y servicios con precio, por su cuenta o como equipo; cualquiera puede consultar profesionales, servicios y equipos; las empresas con sesión iniciada pueden guardar perfiles, enviar mensajes e invitaciones de contratación, gestionar un proceso de selección y pedir a un profesional que realice una evaluación de habilidades.
En el servicio que usted utiliza no hay bolsa de empleo, ni directorio de empleadores, ni herramientas salariales, salvo que pueda ver esas secciones en la interfaz; están desactivadas de forma predeterminada. No hay pagos, ni publicidad, ni posiciones patrocinadas, ni decisiones automatizadas sobre usted.
3. Qué recogemos
Datos de cuenta, que debe facilitar para tener una cuenta: dirección de correo electrónico, nombre y apellidos, una contraseña (almacenada únicamente como hash bcrypt, nunca en forma legible), el rol con el que se registra y el idioma de su interfaz. Sin estos datos no se puede crear una cuenta.
Datos de perfil y de oferta, todos ellos opcionales y todos escritos por usted: titular, resumen, ciudad y país, competencias, idiomas, historial laboral con nombres de empleadores y fechas, formación, certificaciones, logros, enlaces a portafolio, disponibilidad, expectativas de tarifa y los servicios que publica con sus descripciones, sus precios y la dirección de contacto que decida mostrar. Usted decide cuáles de estos datos son visibles y para quién.
Archivos que sube: el CV y otros documentos, un avatar y una imagen de portada. Los archivos subidos se comprueban frente al tipo de archivo que declaran y se almacenan en el servidor propio del servicio, no en un proveedor de almacenamiento externo.
Datos de actividad creados al usar el servicio: conversaciones y sus mensajes, invitaciones, notificaciones y las suscripciones push del navegador que actives para ellas, búsquedas guardadas, perfiles y servicios guardados y, para las empresas con sesión iniciada, el registro de que se les reveló un perfil Skills First. Equipos que creas o a los que te unes: tu pertenencia, tu rol en el equipo y las invitaciones y solicitudes de ingreso relacionadas. Procesos de selección en los que participas: sus etapas, decisiones y registro de actividad. Evaluaciones de habilidades que realizas: tus respuestas, puntuaciones y resultados, junto con los eventos técnicos de la sesión (inicio, envío, cambios de foco y de conexión, tiempos) que se conservan como evidencia neutral de cómo transcurrió. Cuando el contenido escrito por un usuario se muestra en otro idioma, la traducción de ese texto se almacena para no tener que generarla de nuevo.
Datos técnicos registrados por el servidor: dirección IP, agente de usuario del navegador, hora y resultado de la solicitud en los registros del servidor; la dirección IP y el agente de usuario asociados a un registro de consentimiento para que pueda probarse; y entradas de auditoría de acciones relevantes para la seguridad, como el inicio de sesión, el cambio de contraseña, la eliminación de la cuenta y las decisiones administrativas.
Datos de uso, solo si acepta el análisis: páginas vistas, acciones realizadas, detalles técnicos del navegador y del dispositivo, una ubicación aproximada derivada de la dirección IP y, si ha iniciado sesión, el identificador y el rol de su cuenta. PostHog los recoge siguiendo nuestras instrucciones y no se usan para mostrarle anuncios.
4. Por qué los usamos y sobre qué base jurídica
Para prestar el servicio que ha solicitado: crear y gestionar su cuenta, publicar su perfil y sus servicios, la búsqueda y la navegación, la mensajería, las invitaciones, las notificaciones y los elementos guardados. Base jurídica: la ejecución de un contrato, artículo 6, apartado 1, letra b), del RGPD. Si no facilita los datos de cuenta indicados en la sección 3, no podemos prestar el servicio.
Para mantener el servicio seguro y operativo: limitación de la frecuencia de solicitudes, prevención de abusos, registros del servidor y de auditoría, e investigación de incidentes. Base jurídica: nuestro interés legítimo en un servicio que no sea objeto de abusos, artículo 6, apartado 1, letra f), del RGPD.
Para moderar el contenido publicado y hacer cumplir las Condiciones, incluida la restricción o retirada de contenido y la suspensión de cuentas, y para comunicar a la persona afectada los motivos. Base jurídica: nuestro interés legítimo en una plataforma conforme a la ley y, cuando la ley exija la medida, el cumplimiento de una obligación legal, artículo 6, apartado 1, letras f) y c), del RGPD.
Para responder a los mensajes enviados a través del formulario de contacto y para tramitar reclamaciones. Base jurídica: nuestro interés legítimo en responder a quienes nos escriben, artículo 6, apartado 1, letra f), del RGPD.
Para enviar información comercial por correo electrónico, cuando usted se haya suscrito por separado. Base jurídica: su consentimiento, artículo 6, apartado 1, letra a), del RGPD junto con el artículo 398 de la Ley polaca de Comunicaciones Electrónicas. Puede retirarlo en cualquier momento mediante el enlace de baja, sin que ello afecte a lo que haya recibido antes.
Para entender cómo se usa el servicio, cuando acepta el análisis: qué páginas se abren, qué acciones se realizan, el tipo de dispositivo y de navegador, y una ubicación aproximada derivada de la dirección IP. Lo hacemos con PostHog. Base jurídica: su consentimiento, artículo 6(1)(a) del RGPD junto con el artículo 399 de la Ley polaca de comunicaciones electrónicas. Puede retirarlo en cualquier momento desde el aviso de cookies, sin afectar lo registrado antes.
5. Qué pueden ver otras personas
La visibilidad de su perfil la fija usted: público, solo miembros que hayan iniciado sesión, solo empresas que hayan iniciado sesión, identidad oculta o privado. El ajuste lo aplica el servidor en todas las rutas que puedan devolver un perfil, no se limita a ocultarlo en la interfaz, y un perfil que no es público se deniega a los visitantes que no tienen derecho a verlo.
El modo de identidad oculta esconde tu nombre, foto, empleadores, datos de contacto, enlaces, expectativas salariales e identificador de perfil, y reduce tu ubicación y la de cada puesto como máximo al país. Dentro de los textos que escribiste, el servidor también sustituye tu nombre, cualquier dirección de correo, tu teléfono y cualquier dirección web antes de enviar la página. Es una opción de visualización, no una garantía de imposibilidad de vinculación: lo que escribes sobre ti puede seguir identificándote si es lo bastante distintivo, por ejemplo un empleador nombrado en una descripción o un servicio descrito de forma muy concreta. La comprobación de privacidad de tus ajustes enumera lo que encontró en tus textos; considera el modo de identidad oculta como mostrar tu trabajo sin tu nombre, no como algo imposible de rastrear.
Los datos de contacto y los archivos de CV nunca se muestran a visitantes anónimos. Solo se muestran si usted los activa y, en ese caso, únicamente a las empresas que hayan iniciado sesión y a los administradores. Su perfil público se ofrece a los motores de búsqueda solo si activa la indexación; está desactivada de forma predeterminada.
6. Cómo se ordenan los resultados y el porcentaje de coincidencia
Los resultados de búsqueda se ordenan según el criterio que elija el visitante: de forma predeterminada, primero los publicados más recientemente, o por precio, o por la disponibilidad indicada. Nadie puede pagar por una posición más alta y no hay resultados promocionados ni patrocinados.
El porcentaje que se muestra junto a un servicio es un cálculo sencillo y fijo sobre la información que usted mismo ha publicado: lo completo que está el perfil, si se indican competencias, si se indican un precio y una disponibilidad. Es aritmética, no inteligencia artificial, no altera el orden de los resultados y no produce ninguna decisión sobre usted. No se realiza elaboración de perfiles en el sentido del artículo 22 del RGPD, ni se adopta automáticamente ninguna decisión con efectos jurídicos o de modo similar significativos.
7. Quién más recibe los datos
Otros usuarios, pero solo dentro de los límites que usted establezca: lo que permita su ajuste de visibilidad, el contenido de las conversaciones en las que participe y las invitaciones que reciba. Los administradores del servicio pueden ver datos de cuenta y de contenido cuando sea necesario para la moderación y la asistencia.
Proveedores que actúan según nuestras instrucciones: cyber_Folks S.A., que aloja el servidor en el que funciona el servicio; Resend, que envía los correos de la cuenta, como restablecimientos de contraseña y enlaces de verificación; Cloudflare, Inc., que proporciona el DNS del dominio, actúa como proxy inverso delante del servicio, por lo que las solicitudes pasan por él, y proporciona el almacenamiento de objetos (Cloudflare R2) donde guardamos nuestras copias de seguridad externas cifradas; y PostHog, Inc., que proporciona la analítica del producto, solo tras tu consentimiento. Ninguna red publicitaria, proveedor de pagos ni proveedor de inteligencia artificial recibe tus datos, porque el servicio no utiliza ninguno.
Google es destinatario en dos situaciones. Si inicia sesión con Google, Google gestiona ese inicio de sesión y nos devuelve su dirección de correo, su nombre y su foto de perfil. Si un usuario se registró así, su foto se sirve desde Google, por lo que su navegador contacta con Google para mostrarla. Además, su propio navegador establece dos conexiones: al abrir el mapa se cargan las teselas de OpenStreetMap, que recibe su dirección IP, y nuestro servidor consulta Nominatim de OpenStreetMap para convertir un nombre de lugar escrito en coordenadas, lo que transmite ese nombre y parte de nuestro servidor, no de usted.
Si acepta el análisis, su navegador envía eventos de uso a nuestro propio origen y nosotros los reenviamos a la nube europea de PostHog. PostHog ve entonces las páginas que visita, las acciones que realiza, su dirección IP, la información del navegador y del dispositivo, y un identificador aleatorio. Si ha iniciado sesión, añadimos el identificador y el rol de su cuenta, no su dirección de correo ni su nombre. PostHog no recibe el contenido de los mensajes, las contraseñas ni los archivos que sube. Puede detenerlo en cualquier momento desde el aviso de cookies; entonces dejamos de enviar eventos y pedimos a PostHog que olvide el identificador usado en este navegador.
8. Transferencias fuera del Espacio Económico Europeo
El servicio, su base de datos y los archivos subidos se alojan en un servidor en Polonia. Las copias de seguridad cifradas se guardan en un bucket de Cloudflare R2 creado con la restricción de jurisdicción de la Unión Europea, por lo que permanecen en centros de datos dentro de la UE. Los eventos de analítica que hayas aceptado se procesan en la nube de PostHog en la Unión Europea. Cloudflare y Resend operan infraestructura distribuida globalmente, y Google y PostHog, Inc. están establecidos fuera del Espacio Económico Europeo, por lo que parte de su tratamiento puede realizarse fuera de él.
Cuando eso ocurre, la transferencia se apoya en las garantías previstas en nuestro acuerdo con ese proveedor, como una decisión de adecuación, una certificación o cláusulas contractuales tipo aprobadas por la Comisión Europea. Puede preguntarnos cuál se aplica a un proveedor concreto mediante el formulario de contacto y se lo indicaremos.
9. Cuánto tiempo los conservamos
Datos de cuenta, de perfil, de oferta y de archivos: mientras exista la cuenta. Cuando elimina su cuenta, el registro de la cuenta y todo lo que hay en su perfil se anonimizan de inmediato, los archivos subidos se borran del servidor, el historial laboral, los servicios publicados, los documentos y los elementos guardados se eliminan, y todas las sesiones se cierran. Se conserva un registro anonimizado y vacío de la cuenta para que las conversaciones y los registros de otras personas no se rompan; no contiene ningún dato que le identifique.
Los mensajes que envió a otro usuario permanecen en la conversación de esa persona después de que su cuenta desaparezca, mostrados frente a una cuenta anonimizada. Son el registro de esa persona tanto como el suyo, y por eso no se eliminan junto con su perfil.
Registros del servidor y de auditoría y registros de consentimiento: se conservan por seguridad y por responsabilidad proactiva. Los registros de consentimiento se conservan mientras puedan ser necesarios para probar el consentimiento y para defenderse frente a reclamaciones; las entradas de auditoría de acciones de cuenta se conservan por el mismo motivo.
Mensajes del formulario de contacto: durante el tiempo necesario para atender el asunto y cualquier seguimiento.
Copias de seguridad: cada día se hace una copia de la base de datos en el servidor y allí se conservan las 14 copias más recientes. Una vez al día, la copia más reciente, junto con un archivo de los ficheros subidos, se cifra y se envía al almacén externo descrito en las secciones 7 y 8, donde se conservan las últimas 14 copias diarias, 4 semanales y 6 mensuales y las más antiguas se eliminan automáticamente. Una copia de seguridad contiene todo lo que la base de datos y el almacén de archivos guardan en ese momento, incluidos datos de cuentas eliminadas después, por lo que los datos eliminados pueden permanecer en una copia hasta seis meses antes de que se descarte la última copia que los contiene. Las copias existen solo para restaurar el servicio tras un fallo; no restauramos una copia de seguridad para reinstaurar datos eliminados.
10. Cómo se protegen los datos
Las contraseñas se almacenan únicamente como hashes bcrypt. El tráfico se sirve mediante TLS. Las sesiones utilizan tokens de acceso de corta duración y un refresh token guardado en una cookie que JavaScript no puede leer; cerrar una sesión o cambiar la contraseña invalida los tokens de inmediato, en lugar de dejar que caduquen.
El servidor deniega en todas las rutas el acceso a los datos de otro usuario, los archivos subidos se comprueban frente al tipo de archivo que declaran y las solicitudes están sujetas a límites de frecuencia. Las acciones administrativas quedan registradas en un registro de auditoría.
Ningún sistema es perfectamente seguro, y no afirmamos lo contrario. Si se produce una violación de seguridad que probablemente entrañe un riesgo para sus derechos y libertades, lo notificaremos a la autoridad de control y, cuando la ley lo exija, a usted.
Las copias de seguridad se cifran en nuestro servidor antes de salir de él, con una clave que solo nosotros poseemos; el proveedor de almacenamiento recibe únicamente archivos cifrados y no puede leerlos. El acceso a las copias está limitado a las personas que operan el servicio, el almacén conserva versiones anteriores de cada archivo para que una copia no pueda destruirse silenciosamente, y las restauraciones se prueban para que una copia sea algo en lo que realmente podamos confiar.
11. Sus derechos
Tiene derecho de acceso a sus datos y a obtener una copia de ellos, a la rectificación, a la supresión, a la limitación del tratamiento, a oponerse al tratamiento basado en nuestros intereses legítimos y a la portabilidad de los datos. Cuando el tratamiento se base en su consentimiento, puede retirarlo en cualquier momento; ello no afecta al tratamiento realizado antes de la retirada.
Varios de estos derechos puede ejercerlos usted mismo, de inmediato: editar o corregir cualquier dato de su perfil en el área de cuenta, cambiar su visibilidad, descargar una copia de sus datos como archivo desde la configuración de la cuenta, retirar el consentimiento del boletín desde el enlace de baja y eliminar su cuenta desde la configuración de la cuenta tras confirmar su contraseña.
Para todo lo demás - limitación, oposición o una consulta sobre cómo se ha tramitado un derecho - utilice el formulario de contacto. Le pediremos la información suficiente para asegurarnos de que la solicitud procede de usted, y no cobraremos por ello salvo que una solicitud sea manifiestamente infundada o excesiva.
También tiene derecho a presentar una reclamación ante la autoridad de control. En Polonia es el Presidente de la Oficina de Protección de Datos Personales (Prezes Urzędu Ochrony Danych Osobowych), ul. Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl. Si vive o trabaja en otro país del EEE, puede reclamar ante la autoridad de control de ese país.
13. Edad
MySkillsSpace es un servicio para personas que ofrecen servicios profesionales y para las empresas que las buscan. No está dirigido a menores y las cuentas están destinadas a personas de 16 años o más. Si cree que un menor ha creado una cuenta, comuníquenoslo a través del formulario de contacto y la eliminaremos.
14. Cambios en este aviso
Este aviso puede cambiar cuando cambie el servicio o cuando cambie la ley. La versión en vigor se identifica por la fecha de entrada en vigor que se muestra en la parte superior de esta página.
Si un cambio afecta de forma sustancial al uso que se hace de sus datos, se informará a los titulares de cuenta antes de que surta efecto, mediante un correo electrónico o un aviso en el servicio, en lugar de mediante una modificación silenciosa.