Política de Privacidad de Mainder

1. Identificación del Encargado del Tratamiento

Genius for People S.L., NIF B44879849, con domicilio en C/ Badajoz Nº 32, 08005 Barcelona, España (en adelante, "Mainder"), actúa como Encargado del Tratamiento de los datos personales de las personas candidatas por cuenta de nuestros clientes (los "Responsables del Tratamiento"). Mainder tratará dichos datos exclusivamente bajo las instrucciones documentadas del Responsable y con la única finalidad de prestar servicios tecnológicos para la gestión de procesos de selección, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).

Contacto en materia de protección de datos: privacy@mainder.ai.

2. Marco contractual y finalidades

No se autoriza otra finalidad, cesión ni comercialización de los datos sin consentimiento expreso. El tratamiento se regirá por el contrato suscrito con el Responsable, que recoge las obligaciones del Encargado y las garantías para los interesados.

Mainder trata los datos personales de la persona candidata exclusivamente para:

Prestar servicios tecnológicos para la gestión de procesos de selección al Responsable.
Evaluar la idoneidad de la persona candidata a las posiciones ofertadas mediante sistemas de inteligencia artificial (ver apartado 5).
Comunicar a la persona candidata el estado de la candidatura.
Cumplir las obligaciones legales aplicables.
Cuando la persona candidata preste consentimiento expreso y el cliente Mainder ofrezca el servicio, compartir su perfil con otros clientes Mainder a través de Mainder Connect (ver apartado 12).

3. Bases jurídicas

Gestión del proceso de selección: Art. 6.1.b RGPD (medidas precontractuales) y/o Art. 6.1.f (interés legítimo del Responsable).
Evaluación AI-asistida: Art. 6.1.f RGPD (interés legítimo del Responsable, con garantías).
Mainder Connect: Art. 6.1.a RGPD (consentimiento expreso, cuando el cliente ofrezca el servicio).
Cumplimiento legal: Art. 6.1.c RGPD.

4. Categorías de datos

Mainder trata datos personales facilitados voluntariamente por la persona candidata (CV, formularios, correspondencia) y datos obtenidos de fuentes profesionales públicas (LinkedIn y similares) cuando lo permitan las bases jurídicas aplicables.

Categorías especiales de datos (Art. 9 RGPD): Mainder no solicita ni infiere datos relativos a salud, origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos o biométricos, vida sexual u orientación sexual. Si tales datos aparecen incidentalmente en el CV facilitado, Mainder los descarta y no los utiliza para evaluación automatizada alguna.

5. Uso de Inteligencia Artificial (Art. 13-14 RGPD, Art. 50 AI Act)

Mainder utiliza sistemas de inteligencia artificial para asistir el proceso de selección. La persona candidata debe ser consciente de que:

Lo que nuestros sistemas hacen:

AI Scoring: evalúa el ajuste entre el perfil y los requisitos del puesto en cuatro dimensiones objetivas (rol, habilidades técnicas, experiencia y ubicación).
CV Parsing: estructura el contenido del CV en campos navegables.
Enriquecimiento profesional: complementa, cuando es lícito, con información profesional pública.
Evaluación de entrevistas (HireVoice): cuando el cliente activa esta funcionalidad, las respuestas a una entrevista grabada son procesadas por un subencargado especializado.

Lo que nuestros sistemas NO hacen (compromiso explícito):

No infieren ni reconocen emociones, estados mentales, rasgos de personalidad o intenciones.
No realizan categorización biométrica.
No analizan expresiones faciales, gestos o tono de voz con fines afectivos.
No usan categorías especiales de datos del Art. 9 RGPD.

Decisiones automatizadas (Art. 22 RGPD): la decisión final de contratación es siempre humana. Los sistemas de IA producen recomendaciones y rankings, pero no toman decisiones con efectos jurídicos o significativamente similares sin intervención humana. La persona candidata tiene derecho a:

Solicitar intervención humana en la evaluación.
Expresar su punto de vista y aportar información adicional.
Impugnar la decisión y solicitar revisión.
Solicitar información comprensible sobre la lógica aplicada.

Estos derechos se ejercen escribiendo a privacy@mainder.ai o al Responsable del Tratamiento (la empresa contratante).

6. Sub-encargados

Mainder utiliza sub-encargados vinculados por contrato al amparo del Art. 28 RGPD. La lista completa y actualizada está disponible en /legal/subprocessors y se mantiene también en el Registro de Sub-encargados disponible al Responsable.

7. Localización de los datos y transferencias internacionales

Los servidores principales de Mainder se ubican en el Espacio Económico Europeo (EEE), cumpliendo con los requisitos del RGPD. Algunos sub-encargados (apartado 6) procesan datos en EE. UU. o Reino Unido. En esos casos Mainder aplica:

Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914), módulo 2 o 3 según corresponda.
Decisiones de adecuación cuando aplique (UK Adequacy Decision; EU-US Data Privacy Framework, según vigencia).
Medidas técnicas y organizativas suplementarias (cifrado en tránsito y en reposo, control de acceso, minimización).

Disponemos de Transfer Impact Assessment (TIA) bajo demanda al Responsable.

8. Plazos de conservación

Datos de candidatura dentro de un proceso activo: mientras dure el proceso.
Datos de candidatura tras cierre del proceso: 12 meses, salvo obligación legal o consentimiento Mainder Connect.
Datos en Mainder Connect: hasta revocación del consentimiento.
Logs de auditoría y seguridad: 24 meses.

Transcurridos estos plazos los datos se suprimen o anonimizan de forma segura.

9. Seguridad

Mainder aplica medidas técnicas y organizativas apropiadas para proteger los datos personales, garantizando un nivel de seguridad adecuado al riesgo (Art. 32 RGPD): cifrado en tránsito (TLS) y en reposo, control de acceso basado en roles, registro de auditoría, segregación de entornos, copias de seguridad, formación del personal, gestión de incidentes y plan de continuidad de negocio.

10. Notificación de brechas

En caso de brecha de datos personales, Mainder notificará al Responsable del Tratamiento sin dilación indebida y en un plazo máximo de 48 horas desde su constatación, conforme al Art. 33 RGPD y al contrato de tratamiento de datos.

11. Derechos de la persona candidata

Las personas interesadas podrán ejercer en cualquier momento los derechos reconocidos por el RGPD (acceso, rectificación, supresión, limitación del tratamiento, oposición y portabilidad), así como los previstos en los artículos 15 a 22 RGPD y en la LOPDGDD, dirigiendo sus solicitudes al Responsable del Tratamiento (la empresa contratante) o a Mainder como Encargado a través de privacy@mainder.ai. Más detalle y plantilla de solicitud en /legal/data-subject-rights.

Igualmente tienen derecho a presentar reclamación ante la Agencia Española de Protección de Datos (AEPD) si lo estiman oportuno: www.aepd.es.

12. Mainder Connect

Cuando la persona candidata preste consentimiento expreso al postular a una vacante, Mainder y el cliente Mainder al que postula podrán tratar sus datos personales con tres finalidades adicionales:

Conservación post-proceso: mantener el perfil y CV de la persona candidata, tras el cierre del proceso de selección al que postula, para considerarla en futuras oportunidades compatibles con su perfil dentro de la misma agencia o cliente Mainder.
Sugerencias por correo electrónico: enviar a la persona candidata, por correo electrónico, comunicaciones con vacantes que encajen con su perfil profesional. Cada comunicación incluirá un enlace de baja que permite revocar este consentimiento de forma sencilla.
Red de clientes Mainder: compartir el perfil con otros clientes de la red Mainder a efectos de procesos de selección compatibles con el perfil de la persona candidata. Esta cesión se limita a clientes Mainder vinculados contractualmente al amparo del Art. 28 RGPD; no se cederán ni comercializarán datos a terceros ajenos a la red Mainder sin nuevo consentimiento expreso.

Estos tratamientos adicionales se basan en consentimiento expreso (Art. 6.1.a RGPD), prestado libremente, de forma específica, informada e inequívoca, y son independientes del tratamiento del proceso de selección al que la persona candidata postula (que se basa en el Art. 6.1.b RGPD y no requiere consentimiento separado).

La persona candidata puede revocar este consentimiento en cualquier momento, sin afectar a la licitud del tratamiento llevado a cabo hasta ese momento, escribiendo a privacy@mainder.ai o desde el enlace de baja incluido en cada correo. La revocación implica la supresión de los datos del talent pool, la baja de las comunicaciones por correo y la retirada del perfil de la red de clientes Mainder, salvo obligación legal de conservación. Mainder seguirá actuando como Encargado del Tratamiento bajo las mismas condiciones contractuales y de seguridad indicadas. La persona interesada conserva todos sus derechos, que podrá ejercer ante el Responsable o ante Mainder.