Política de Privacidad

Esta política explica qué datos personales recopilamos sobre usted, por qué los recopilamos, cómo los usamos y compartimos, cuánto tiempo los conservamos y los derechos que tiene. Se aplica a las apps móviles de PASS, al sitio web de PASS en pass.kitchen y a la aplicación de escritorio de PASS (conjuntamente, el Servicio).

1. Quiénes somos

Oventro Technologies Ltd (que opera como PASS) es el responsable del tratamiento de los datos personales tratados a través del Servicio, salvo cuando actuamos como encargado por cuenta de un local contratante (véase la sección 8). Puede contactar a nuestro equipo de privacidad en hi@getonpass.com o por correo postal en la dirección que figura al final de esta política.

Cuando un local contratante utiliza PASS para buscar, evaluar, contactar o conservar registros sobre candidatos, ese local es un responsable independiente de los datos personales que recopila, consulta o exporta a través del Servicio, y su propio aviso de privacidad se aplicará a esas actividades.

Dónde operamos

PASS está disponible en todo el mundo. Hay personas que se registran desde muchos países, incluidos el Reino Unido, el Espacio Económico Europeo (EEE), los Estados Unidos y otros lugares. Oventro Technologies Ltd está establecida en el Reino Unido y es el responsable del tratamiento de sus datos personales. En esta política, RGPD significa el RGPD del Reino Unido (el Reglamento General de Protección de Datos de la UE conservado tal como forma parte del Derecho de Inglaterra y Gales, junto con la Data Protection Act 2018) y, dado que ofrecemos el Servicio a personas en el EEE, el RGPD de la UE (Reglamento (UE) 2016/679), que se aplica a ese tratamiento en virtud de su artículo 3(2). La legislación de protección de datos de su propio país también puede aplicarse a usted, y nada en esta política le priva de los derechos que tenga en virtud de la ley imperativa del país donde reside.

Nuestro representante en la UE (artículo 27)

Dado que ofrecemos el Servicio a personas en el EEE pero no estamos establecidos allí, estamos designando un representante en la Unión Europea en virtud del artículo 27 del RGPD de la UE. Hasta que se finalice esa designación, puede plantear cualquier asunto de protección de datos de la UE a nuestro equipo de privacidad en hi@getonpass.com, indicando que es para la atención de nuestro representante en la UE, y publicaremos aquí el nombre y los datos de contacto del representante una vez designado. Representante en la UE: pendiente de designación.

Nuestro contacto de privacidad y Delegado de Protección de Datos

No hemos designado un Delegado de Protección de Datos (DPD) estatutario. La responsabilidad de la protección de datos recae en nuestro equipo de privacidad, que responde de cómo PASS gestiona los datos personales y es su primer punto de contacto para cualquier pregunta, solicitud o reclamación sobre privacidad. Contacte al equipo de privacidad en hi@getonpass.com. Mantenemos bajo revisión la necesidad de un DPD a medida que crece el Servicio y designaremos uno si la ley lo exige.

2. Los datos que recopilamos

Recopilamos las siguientes categorías de datos personales, según cómo utilice el Servicio:

• Datos de identidad y perfil — su nombre, el alias elegido, la foto de perfil, la fecha de nacimiento (para confirmar que es mayor de 18 años), los puestos de trabajo, las habilidades y la biografía y el contenido multimedia que decida añadir.
• Datos de contacto y teléfono — si inicia sesión o se verifica con un número de teléfono, su número de móvil, que usamos para el inicio de sesión, los códigos de verificación de un solo uso y las notificaciones de la cuenta. También almacenamos una forma cifrada de un solo sentido (hash) de su número para que quienes ya lo tengan puedan encontrarle en PASS. No subimos ni almacenamos su agenda de contactos.
• Datos de historial laboral y verificación — los puestos, locales y fechas que indique; las confirmaciones, referencias y avales aportados por los jefes de cocina, gerentes o locales que le emplearon; y los documentos justificativos que suba.
• Datos de derecho a trabajar y elegibilidad — cuando sea pertinente para un puesto, información sobre su nacionalidad, situación migratoria o de visado y documentos que acrediten su derecho a trabajar en un país determinado.
• Datos de contenido y actividad — duelos, clips, votos, comentarios, mensajes, pruebas, solicitudes y otras interacciones que genere en el Servicio.
• Datos de pago — para los locales, los datos de facturación tratados de forma segura a través de nuestro proveedor de pagos. No almacenamos números de tarjeta completos.
• Datos técnicos y de uso — identificadores de dispositivo, dirección IP cifrada (hash), versión de la app, sistema operativo, registros de fallos y cómo navega por el Servicio.
• Datos de ubicación aproximada — una ubicación imprecisa, redondeada aproximadamente al nivel de ciudad y nunca su posición precisa, derivada de la ciudad que introduzca y, cuando esté disponible, de su dirección IP. La usamos para conectarle con trabajo cercano y mostrar distancias aproximadas; no rastreamos su ubicación en tiempo real.
• Datos de comunicaciones — el contenido de los mensajes que nos envía y los registros de su contacto con nuestro equipo de soporte.

Categorías especiales de datos

Parte de la información que decida facilitar — por ejemplo, documentos que revelen su nacionalidad u origen étnico como parte de una comprobación del derecho a trabajar — constituye categorías especiales de datos en virtud del RGPD del Reino Unido. La tratamos únicamente cuando usted ha dado su consentimiento explícito, o cuando el tratamiento es necesario para cumplir obligaciones en el ámbito del Derecho laboral, y aplicamos salvaguardias adicionales. Nunca está obligado a subir categorías especiales de datos para usar el Servicio principal.

3. Cómo los recopilamos

Recopilamos datos directamente de usted cuando crea una cuenta, construye su perfil o nos contacta; de otros usuarios (por ejemplo, un jefe de cocina que verifica su puesto, o un local que valora una prueba); automáticamente de su dispositivo cuando usa el Servicio; y de nuestros proveedores de servicios (por ejemplo, socios de prevención del fraude y de pagos). Cuando crea una cuenta, también podemos vincularla a una verificación o invitación que un antiguo empleador haya enviado previamente a su correo electrónico o número de teléfono, de modo que su historial laboral confirmado esté listo para usted a su llegada.

4. Por qué los usamos y nuestras bases jurídicas

En virtud del RGPD del Reino Unido, debemos tener una base jurídica para cada uso de sus datos personales. Nuestros usos y bases son:

Cuando nos basamos en el interés legítimo, hemos realizado una evaluación de ponderación para garantizar que nuestros intereses no prevalezcan sobre sus derechos. Puede solicitarnos los detalles de esa evaluación.

5. Conexión y elaboración de perfiles automatizadas

PASS utiliza sistemas automatizados, incluidos modelos de aprendizaje automático ("PASS AI"), para generar puntuaciones de coincidencia y clasificar a los profesionales frente a las necesidades declaradas de un local, basándose en el historial laboral verificado, los avales, las habilidades, la disponibilidad y el rendimiento en duelos. Esto constituye elaboración de perfiles según la definición del RGPD del Reino Unido.

Estos sistemas asisten a la toma de decisiones humana; por sí mismos no producen efectos jurídicos o de manera similar significativos sobre usted sin intervención humana. La decisión de un local de contactarle, hacerle una prueba o contratarle siempre la toma una persona de ese local. Si alguna vez una decisión que le afecte significativamente se tomara exclusivamente por medios automatizados, tendría derecho a obtener intervención humana, a expresar su punto de vista y a impugnar la decisión. Puede preguntarnos cómo se generó una puntuación escribiendo a hi@getonpass.com.

6. Quién puede ver sus datos en el Servicio

PASS es una red, por lo que algunos datos se comparten por diseño. Usted controla gran parte de lo que es visible:

• Perfil público — su alias, foto, puestos verificados y contenido público son visibles para otros usuarios, conforme a su configuración de privacidad.
• Locales contratantes — los locales verificados con un plan de pago pueden ver los perfiles y, una vez que usted acepte un contacto, intercambiar mensajes con usted. Un local solo recibe sus datos de contacto cuando usted lo acepta.
• Verificadores — se pide a un jefe de cocina o gerente que usted indique que confirme un puesto; solo ven la afirmación concreta que están confirmando.

7. Compartición con terceros

No vendemos sus datos personales. Solo los compartimos con:

• Proveedores de servicios (encargados del tratamiento) que actúan siguiendo nuestras instrucciones — por ejemplo, alojamiento en la nube, procesamiento de pagos, analítica, atención al cliente y prevención del fraude — todos ellos vinculados por contratos escritos.
• Asesores profesionales, auditores y aseguradoras cuando sea necesario.
• Autoridades, reguladores y fuerzas del orden cuando estemos legalmente obligados a revelar, o para proteger la seguridad de los usuarios.
• Un comprador o sucesor en caso de fusión, adquisición o reorganización, con sujeción a esta política.

8. Cuando un local es el responsable del tratamiento

Cuando un local contratante utiliza PASS para elaborar una lista de candidatos, registrar los resultados de una prueba o exportar datos para sus propios registros de contratación, el local determina cómo usa esos datos y es un responsable independiente. Actuamos como encargado del local para esas actividades concretas en virtud de un acuerdo de tratamiento de datos. Las preguntas sobre el uso que un local hace de sus datos deben dirigirse a ese local.

9. Transferencias internacionales

PASS está disponible en todo el mundo, y nuestros proveedores de servicios — incluidos nuestros socios de IA, pagos, alojamiento, supervisión de errores e identidad — se encuentran en varios países, incluidos los Estados Unidos. Por tanto, sus datos personales pueden transferirse y tratarse en países distintos de aquel en el que reside, incluidos países fuera del Reino Unido y del EEE. Cuando transferimos datos personales fuera del Reino Unido, los protegemos con una garantía reconocida por el RGPD del Reino Unido — una normativa de adecuación del Reino Unido (como la Extensión del Reino Unido al Marco de Privacidad de Datos UE–EE. UU., el "Puente de Datos Reino Unido–EE. UU."), el Acuerdo Internacional de Transferencia de Datos del Reino Unido, o el Anexo del Reino Unido a las Cláusulas Contractuales Tipo de la UE. Cuando transferimos datos personales fuera del EEE, nos basamos en una decisión de adecuación de la UE o en las Cláusulas Contractuales Tipo de la UE. En cada caso, la transferencia se apoya en una evaluación de riesgo de la transferencia cuando es necesario. Puede solicitar una copia de la garantía correspondiente.

10. Cuánto tiempo los conservamos

Conservamos los datos personales solo el tiempo necesario para las finalidades anteriores:

• Datos de cuenta y perfil — mientras su cuenta esté activa, y después se eliminan o anonimizan en un plazo de 30 días desde la eliminación de la cuenta (véase la política de datos y eliminación de cuenta más abajo).
• Registros de verificación — se conservan mientras su cuenta esté activa para preservar la integridad de su historial verificado.
• Registros de transacciones e impuestos — se conservan durante 6 años para cumplir las obligaciones contables y fiscales del Reino Unido.
• Registros de seguridad, fraude y legales — se conservan el tiempo necesario para formular, ejercer o defender reclamaciones legales, o para cumplir la ley.
• Preferencias de marketing — se conservan hasta que usted se oponga o retire el consentimiento, más un registro de supresión para respetar su elección.

11. Sus derechos

Con sujeción a las condiciones de la ley, usted tiene derecho a:

• ser informado sobre cómo usamos sus datos (esta política);
• acceder a una copia de los datos personales que tenemos sobre usted;
• rectificar datos inexactos o incompletos;
• suprimir sus datos ("derecho al olvido");
• limitar nuestro tratamiento en determinadas circunstancias;
• portabilidad de los datos — recibir determinados datos en un formato portátil;
• oponerse al tratamiento basado en el interés legítimo, y al marketing directo en cualquier momento;
• retirar el consentimiento cuando nos basemos en él, sin que afecte al tratamiento previo; y
• no ser objeto de decisiones exclusivamente automatizadas con efecto jurídico o de manera similar significativo.

Para ejercer cualquier derecho, escriba a hi@getonpass.com o use las herramientas dentro de la app. Responderemos en el plazo de un mes. Normalmente no hay cargo.

12. Reclamaciones

Nos gustaría tener la oportunidad de resolver primero cualquier inquietud, así que le rogamos que nos contacte. Si se encuentra en el Reino Unido, tiene derecho a reclamar ante la Information Commissioner's Office (ICO) del Reino Unido en ico.org.uk o en el 0303 123 1113. Si se encuentra en el EEE, tiene derecho a presentar una reclamación ante la autoridad de control de protección de datos de su país (puede encontrar la suya a través del Comité Europeo de Protección de Datos en edpb.europa.eu), y también puede contactar a nuestro representante en la UE (véase la sección 1). Si se encuentra en los Estados Unidos, puede plantear una inquietud ante el Fiscal General de su estado. Dondequiera que resida, es posible que pueda reclamar ante su regulador local de protección de datos.

13. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo — incluidos el cifrado en tránsito, controles de acceso, acceso del personal con privilegios mínimos, registro y revisión periódica. Ningún sistema es perfectamente seguro, pero nos tomamos en serio nuestra responsabilidad sobre sus datos y le notificaremos a usted y al regulador correspondiente una violación de datos personales cuando la ley lo exija.

14. Menores

PASS no está destinado a nadie menor de 18 años. No recopilamos deliberadamente datos de menores. Si cree que un menor tiene una cuenta, díganoslo y la eliminaremos.

15. Cambios en esta política

Podemos actualizar esta política de vez en cuando. Si realizamos un cambio sustancial, se lo notificaremos en la app o por correo electrónico antes de que surta efecto. La fecha "Efectiva" que figura arriba indica la versión actual.

16. Nuestros subencargados

Utilizamos un pequeño conjunto de proveedores de confianza para operar el Servicio, cada uno actuando según nuestras instrucciones en virtud de un contrato escrito. Incluyen: Railway (alojamiento de la aplicación), Cloudflare R2 (almacenamiento de medios), Mux (alojamiento y streaming de vídeo), Resend (correo transaccional), Stripe (pagos y facturación de los locales), Sightengine (moderación de contenido), Anthropic y OpenAI (conexión por IA y funciones de asistente), Google (búsquedas de direcciones y lugares, e "Iniciar sesión con Google"), Apple ("Iniciar sesión con Apple"), CARTO y OpenStreetMap (teselas de mapa), Sentry (supervisión de fallos y errores) y, cuando esté habilitado, Twilio (verificación por SMS). Ninguno de ellos usa sus datos para sus propios fines, y ninguno es una red publicitaria. No vendemos sus datos personales.

17. Sus derechos de privacidad estatales en EE. UU.

Si es residente de los Estados Unidos, su estado puede otorgarle derechos sobre la información personal ("PI") que tenemos sobre usted. Dos puntos se aplican a todas las personas en EE. UU.: PASS no vende su información personal y PASS no "comparte" su información personal para publicidad conductual (dirigida) intercontextual, tal como se definen esos términos en las leyes de privacidad estatales de EE. UU. No mostramos publicidad dirigida y no usamos cookies de publicidad ni de rastreo entre sitios. Tampoco le discriminamos ni tomamos represalias por ejercer cualquier derecho de privacidad.

California (CCPA / CPRA)

Si es residente de California, tiene derecho a: saber qué información personal recopilamos y cómo la usamos y divulgamos; acceder a una copia de ella; eliminarla; corregir información inexacta; optar por no participar en cualquier "venta" o "compartición" (no hacemos ninguna); y limitar el uso de información personal sensible. Las categorías que recopilamos se describen en la sección 2 anterior; las recopilamos para los fines empresariales de la sección 4 y las divulgamos únicamente a los proveedores de servicios de la sección 16. Los documentos de derecho a trabajar, inmigración y similares pueden ser información personal sensible en virtud de la CPRA — los usamos únicamente para prestar el Servicio que usted solicita y nunca para inferir características sobre usted. Para ejercer un derecho, escriba a hi@getonpass.com; verificaremos su identidad antes de responder, y puede usar un agente autorizado.

Otros estados de EE. UU.

Si reside en otro estado de EE. UU. con una ley integral de privacidad (por ejemplo, Virginia, Colorado, Connecticut, Texas, Oregón, Montana u otros a medida que entren en vigor), tiene derechos comparables para confirmar, acceder, corregir, eliminar y obtener una copia portátil de sus datos personales, y para optar por no participar en la publicidad dirigida, la venta de datos personales y cierta elaboración de perfiles. Dado que no vendemos datos, no mostramos publicidad dirigida ni realizamos una elaboración de perfiles que produzca efectos jurídicos o de manera similar significativos sin intervención humana (véase la sección 5), por lo general no hay nada de lo que optar por no participar — pero aún puede ejercer sus derechos de acceso, corrección y eliminación en hi@getonpass.com, y puede recurrir una decisión respondiendo a nuestra contestación.

Do Not Track y Global Privacy Control

La mayoría de los navegadores web ofrecen una configuración "Do Not Track" (DNT). No existe un estándar común del sector sobre cómo responder al DNT, por lo que no respondemos a las señales DNT — pero nuestras prácticas ya reflejan esa preferencia, porque no le rastreamos entre sitios ni vendemos sus datos. Cuando una señal reconocida de preferencia de exclusión como el Global Privacy Control (GPC) le sea aplicable, la trataremos como una solicitud válida de exclusión de cualquier "venta" o "compartición" de su información personal (de nuevo, no hacemos ninguna).