Política de Privacidad

1. Ámbito de aplicación

1.1. Esta Política se aplica a los datos personales tratados a través del Servicio, de su sitio público, de su panel, de sus interfaces de programación y de su conector para agentes de inteligencia artificial (MCP), junto con el servidor de autorización mediante el cual esos agentes se conectan.

1.2. No se aplica a los sitios, aplicaciones o servicios de terceros, que se rigen por sus propias políticas, en particular: los agentes que el usuario conecta y sus proveedores; las plataformas de empleo y los sitios de los empleadores donde el usuario se postula; y Google y GitHub, cuando el usuario ingresa a través de ellos.

2. Doble rol: responsable y encargado

2.1. Respecto de los datos de la cuenta, del contexto profesional propio del usuario y de los datos de uso del Servicio, Whilehaus reviste la condición de responsable del tratamiento.

2.2. Respecto de los datos personales de terceros que el usuario o su agente incorporen al Servicio, como los nombres de empleadores, contactos, reclutadores o referencias en el currículum, en los registros de postulación o en las respuestas, el usuario reviste la condición de responsable y Whilehaus la de encargado del tratamiento. En tal supuesto, Whilehaus trata dichos datos únicamente conforme a las instrucciones que el usuario imparte mediante el uso del Servicio, no los aplica a finalidades ajenas y los suprime o restituye a la extinción de la relación, en los términos del artículo 25 de la Ley 25.326.

2.3. El usuario es responsable de contar con una base de legitimación suficiente para incorporar datos personales de terceros al Servicio y de informar a dichos terceros cuando corresponda.

3. Categorías de datos tratados

3.1. Datos suministrados por el usuario, o por los agentes que conecta actuando en su nombre:

• Datos identificatorios y de contacto: dirección de correo electrónico, nombre visible, identificador público, titular profesional e idioma preferido.
• Credenciales: cuando el usuario ingresa con correo electrónico y contraseña, la contraseña es la de la cuenta Whilehaus y se almacena exclusivamente mediante función de hash, nunca en forma legible. Cuando el usuario ingresa a través de Google o GitHub, se reciben los datos de identidad que ese proveedor devuelve: el identificador de la cuenta, la dirección de correo asociada y, cuando se devuelven, el nombre y la imagen de perfil. El ingreso con un enlace enviado por correo electrónico no requiere contraseña.
• Currículum: un documento en el formato JSON Resume y sus extensiones, con la información que el usuario decide incluir, como datos de contacto, experiencia laboral, formación, habilidades, idiomas, proyectos y referencias. Cada cambio crea una nueva versión, y las versiones anteriores se conservan con la cuenta.
• Evidencias: su tipo, título, resumen, fecha, enlace o referencia a una fuente no pública (como un repositorio privado o un commit), su estado (pendiente, aprobada o descartada) y la conexión que la propuso.
• Afirmaciones: habilidades y logros, con su detalle y las evidencias que los respaldan.
• Capa privada: datos que el usuario reserva, como la pretensión salarial, la autorización para trabajar y la disponibilidad, cada uno con una nota opcional. El valor y la nota se almacenan cifrados, conforme la sección 7; el nombre de cada dato se almacena en claro.
• Registros de postulación y respuestas: la empresa, el puesto, el enlace, la plataforma, el estado, las notas y las fechas de cada postulación que el agente del usuario registra, y las preguntas, respuestas, idioma y límites de caracteres de las respuestas dadas.
• Comunicaciones de soporte: el contenido de los mensajes dirigidos a Whilehaus.

3.2. Datos generados por el uso del Servicio:

• Datos técnicos y de conexión: dirección IP, agente de usuario, marcas de tiempo, registros de acceso y registros de errores.
• Datos de las conexiones: de cada conexión, su nombre, si incluye la capa privada, cuándo se creó, cuándo se usó por última vez, el cliente que informó y, cuando corresponde, cuándo se revocó; de las conexiones realizadas mediante OAuth, el nombre del cliente registrado y sus direcciones de redirección. Los tokens de acceso se almacenan exclusivamente como hash. Cada registro que escribe un agente conserva qué conexión lo escribió por última vez.

3.3. Datos obtenidos de terceros: los datos de identidad que suministran Google o GitHub, con el alcance antes descrito, y la respuesta del servicio de la cuenta Whilehaus acerca de si el usuario ya tiene iniciada la sesión de la cuenta Whilehaus compartida.

4. Finalidades y bases de legitimación

• Prestación del Servicio: alta y administración de la cuenta, guarda del contexto profesional, su exhibición al usuario en el panel y la conservación de sus versiones. Base: ejecución del contrato.
• Entrega del contexto profesional a los agentes que el usuario conecta, dentro de las capacidades de cada conexión. Base: ejecución del contrato y el consentimiento que el usuario presta al crear cada conexión, que puede revocar en todo momento.
• Ingreso con la cuenta Whilehaus que comparten los productos de Whilehaus: informar al servicio de la cuenta Whilehaus de cada ingreso y, cuando el usuario ingresa con contraseña, verificarla contra ese servicio. Base: ejecución del contrato.
• Comunicaciones transaccionales: enlaces de ingreso y mensajes sobre la cuenta o sobre cambios sustanciales. Base: ejecución del contrato.
• Seguridad e integridad: registros de acceso, límites de uso, la lista de invitaciones, y la detección y prevención de accesos no autorizados y abusos. Base: interés legítimo.
• Atención de consultas y soporte. Base: ejecución del contrato e interés legítimo.
• Cumplimiento de requerimientos de autoridades competentes y ejercicio o defensa de derechos. Base: cumplimiento de obligaciones legales e interés legítimo.

4.1. Cuando la base invocada es el interés legítimo, se ha ponderado que el tratamiento resulta necesario, proporcionado y no lesivo de las expectativas razonables del titular.

4.2. No se adoptan decisiones automatizadas que produzcan efectos jurídicos sobre el titular o lo afecten significativamente de modo similar. El Servicio no evalúa, puntúa ni clasifica a sus usuarios.

4.3. El Servicio no utiliza datos personales con fines publicitarios, no elabora perfiles para terceros y no trata datos personales con modelos de inteligencia artificial.

5. Los agentes del usuario y el conector MCP

5.1. El usuario puede conectar sus propios agentes al Servicio, mediante tokens de acceso que genera en el panel, que se muestran una sola vez y se almacenan solo como hash, o autorizando a un agente mediante el procedimiento de autorización OAuth 2.1, en una página de consentimiento del Servicio.

5.2. Una conexión puede leer el contexto profesional del usuario y escribir en él, dentro de los límites establecidos en los Términos. La capa privada solo se lee y se escribe a través de las conexiones para las que el usuario la mantenga habilitada; el usuario puede desactivarla o activarla para cada conexión en todo momento desde el panel, y el cambio tiene efecto inmediato.

5.3. Ningún agente puede aprobar ni descartar evidencias, suprimir datos, cambiar el identificador público o el estado del perfil, ni crear, modificar o revocar conexiones: el Servicio no ofrece medio alguno para hacerlo y su panel rechaza los pedidos hechos con el token de un agente.

5.4. Lo que un agente lee sale del Servicio y es tratado por ese agente y por su proveedor, como Anthropic en el caso de Claude, en el marco de la relación que el usuario tiene con ellos y conforme a sus propios términos y políticas. Whilehaus no elige esos proveedores ni tiene acuerdo alguno con ellos a este fin, y no actúan como sus encargados. El usuario decide qué agentes conecta y qué les pide.

5.5. Revocar una conexión pone fin a su acceso de inmediato. Los datos que un agente ya hubiera leído antes de la revocación quedan fuera del control del Servicio.

5.6. Cada conexión está sujeta a límites de tamaño de los pedidos y de cantidad de llamadas por minuto, a fin de proteger el Servicio y los datos del usuario.

6. Postulaciones asistidas y datos de terceros

6.1. Cuando el usuario se postula con la ayuda de su agente, el agente completa el formulario en el propio navegador del usuario y se detiene antes del envío final. El Servicio recibe solo lo que el agente registra: el registro de la postulación y las respuestas dadas.

6.2. El Servicio nunca envía datos a empleadores, reclutadores ni plataformas de empleo, y nunca los contacta. Lo que el usuario envía a un empleador es una comunicación que realiza el usuario, regida por la política de privacidad de ese empleador o plataforma.

6.3. Los nombres de empleadores, contactos o reclutadores que figuran en los registros de postulación y en las respuestas se tratan en los términos del apartado 2.2.

7. Mecanismos de protección de datos

7.1. Los siguientes mecanismos protegen la totalidad de los datos personales que trata el Servicio, incluidos los datos de usuario de Google y de GitHub recibidos al ingresar y, con especial cuidado, la capa privada:

• Cifrado en tránsito: todas las comunicaciones entre el usuario, sus agentes y el Servicio, y entre el Servicio y sus proveedores, viajan mediante HTTPS con TLS 1.2 o superior.
• Cifrado en reposo: la base de datos del Servicio y sus copias de seguridad se almacenan cifradas mediante AES-256 en la infraestructura del proveedor de base de datos.
• Cifrado a nivel de aplicación de la capa privada: el valor y la nota de cada dato privado se cifran mediante AES-256-GCM, con un vector de inicialización aleatorio nuevo para cada valor, bajo una clave que no reside en la base de datos. Cada valor cifrado queda ligado a su titular, a su dato y a su campo, de modo que un valor copiado a otro lugar no puede descifrarse.
• Secretos almacenados como hash: las contraseñas, los tokens de acceso de las conexiones, los tokens de acceso y de renovación de OAuth y los códigos de autorización se almacenan solo como hash, y los tokens no vuelven a mostrarse después de emitidos.
• Control de acceso: el acceso requiere autenticación; cada pedido al panel y cada llamada de una conexión quedan circunscriptos a una sola persona, tomada de su sesión o de la propia conexión, y ninguna operación acepta el identificador de otra persona; la seguridad a nivel de fila está habilitada en todas las tablas de la base de datos y ningún rol público ni autenticado de la base tiene acceso a ellas; el panel rechaza los pedidos hechos con el token de un agente; y el acceso administrativo al Servicio y a las consolas de sus proveedores se restringe a las cuentas de Whilehaus que lo necesitan para operar el Servicio.
• Capacidades por conexión: a la capa privada solo se llega a través de las conexiones para las que el usuario la mantenga habilitada, y el usuario puede revocar cualquier conexión con efecto inmediato.
• Minimización: Google y GitHub se utilizan solo para identificar la cuenta; el Servicio no solicita acceso al correo, los archivos, el calendario, los contactos, los canales ni los repositorios del usuario, y no almacena en su base de datos las credenciales de acceso que esos proveedores emiten al ingresar.
• Ausencia de acceso humano: el contexto profesional no es leído por personas, salvo que el usuario lo pida para una operación de soporte determinada, que resulte necesario por razones de seguridad, incluida la investigación de abusos o vulnerabilidades, o que lo exija la ley.
• Límites y trazabilidad: los pedidos están sujetos a límites de tamaño y de frecuencia, y el Servicio registra cuándo se usó por última vez cada conexión y qué conexión escribió por última vez cada registro.
• Supresión: lo que el usuario suprime en el panel, como un dato privado o una afirmación, se elimina de la base de datos en el acto; la supresión de la cuenta se rige por la sección 11.
• Gestión de incidentes: resulta de aplicación lo previsto en 12.2.

8. Ingreso con Google y GitHub, y Uso Limitado

8.1. El Servicio se integra con Google y GitHub con un único fin: el ingreso, cuando el usuario elige uno de ellos.

8.2. A Google, el Servicio le solicita solo los permisos básicos de ingreso, que identifican la cuenta (openid), dan su dirección de correo electrónico (email) y dan el perfil básico que Google le asocia (profile). Se utilizan únicamente para identificar la cuenta y para completar de antemano el nombre visible. No se solicita permiso alguno para acceder a Google Drive, Gmail, Calendar, Contactos, YouTube ni a ningún otro dato de Google.

8.3. A GitHub, el Servicio le solicita solo el acceso a la dirección de correo electrónico del usuario, y recibe el identificador de la cuenta, la dirección de correo y, cuando están disponibles, el nombre y la imagen de perfil. No se solicita acceso a repositorios, organizaciones ni a ningún otro dato de GitHub.

8.4. El uso y la transferencia que hace Proofheim de la información recibida de las API de Google se ajustan a la Política de Datos del Usuario de los Servicios de API de Google, incluidos sus requisitos de Uso Limitado. En particular, esa información:

• Se utiliza exclusivamente para el ingreso del usuario y para identificar su cuenta en el Servicio.
• No se transfiere a terceros, salvo en la medida estrictamente necesaria para prestar esa funcionalidad, cuando lo exija la ley o una autoridad competente, o cuando el usuario preste su consentimiento expreso.
• No se utiliza con fines publicitarios ni se cede a plataformas publicitarias, intermediarios de datos, revendedores de información ni proveedores de inteligencia de mercado.
• No es leída por personas, salvo que el usuario preste su consentimiento expreso para una operación de soporte determinada, que resulte necesario por razones de seguridad, incluida la investigación de abusos o vulnerabilidades, o que lo exija la ley.
• No se utiliza para desarrollar, mejorar ni entrenar modelos generalizados de inteligencia artificial o de aprendizaje automático, propios de Whilehaus ni de terceros, ni se cede a proveedor alguno con ese fin.

8.5. El usuario puede revocar el acceso del Servicio en todo momento desde su cuenta de Google, en https://myaccount.google.com/permissions, o desde la configuración de GitHub, en https://github.com/settings/applications. La revocación impide ingresar a través de ese proveedor, pero no suprime la cuenta ni el contexto profesional, a los que el usuario puede seguir accediendo con un enlace de ingreso enviado por correo electrónico, y cuya supresión se rige por la sección 11.

9. Destinatarios y encargados

9.1. Los datos no se ceden a terceros, salvo a los proveedores necesarios para la operación del Servicio, que actúan como encargados del tratamiento y se encuentran obligados contractualmente a tratarlos conforme a instrucciones, con deber de confidencialidad y con medidas de seguridad adecuadas:

• Supabase Inc.: base de datos y autenticación, incluido el envío de los correos de autenticación. Infraestructura alojada en Amazon Web Services, región us-east-1 (Virginia del Norte, Estados Unidos).
• Vercel Inc.: alojamiento de la aplicación, red de distribución de contenidos y registros de la aplicación (Estados Unidos).
• Google LLC: autenticación federada, cuando el usuario opta por ella.
• GitHub, Inc.: autenticación federada, cuando el usuario opta por ella.
• Resend: envío de correos electrónicos transaccionales, cuando los correos del Servicio se envían a través de él.

9.2. El servicio de la cuenta Whilehaus en app.whilehaus.net, operado por el mismo responsable, interviene en cada ingreso: el Servicio le informa la dirección de correo electrónico y el identificador de la cuenta del usuario que ingresa, mediante tokens firmados de corta validez, para que los demás productos de Whilehaus reconozcan la sesión del usuario; y, cuando el usuario ingresa con contraseña, la contraseña se verifica contra ese servicio y se mantiene sincronizada con él. Ese tratamiento se describe en la política de privacidad general de Whilehaus.

9.3. Los agentes que el usuario conecta, y sus proveedores, reciben los datos que el usuario les permite leer, por decisión del usuario y en el marco de la relación que el usuario tiene con ellos, en los términos del apartado 5.4. No son destinatarios elegidos por Whilehaus.

9.4. Los datos podrán ser comunicados a autoridades administrativas o judiciales competentes ante requerimiento fundado, y a asesores profesionales sujetos a deber de confidencialidad, en la medida necesaria para el ejercicio o la defensa de derechos.

9.5. En caso de reorganización societaria, fusión o transferencia de la unidad de negocio, los datos podrán transferirse al sucesor, que quedará obligado por esta Política. El usuario será notificado.

10. Transferencias internacionales

10.1. La infraestructura del Servicio se encuentra alojada en los Estados Unidos de América. Determinados encargados pueden tratar datos en otras jurisdicciones.

10.2. Los Estados Unidos no cuentan con una declaración general de adecuación en los términos del artículo 12 de la Ley 25.326. En consecuencia, las transferencias se amparan en el consentimiento informado del titular, en la necesidad de la transferencia para la ejecución del contrato y en la celebración con cada encargado de compromisos contractuales que replican los estándares de protección exigidos por la normativa argentina y, cuando resulta aplicable, por el Reglamento (UE) 2016/679, mediante cláusulas contractuales tipo. Los datos que leen los agentes del usuario, y que sus proveedores pueden tratar en otras jurisdicciones, viajan por decisión del usuario, en los términos del apartado 5.4.

11. Plazos de conservación

• Datos de la cuenta y contexto profesional: se conservan mientras la cuenta permanezca activa y resulten necesarios para prestar el Servicio. Las versiones anteriores del currículum se conservan con la cuenta.
• Datos que el usuario suprime en el panel, como un dato privado o una afirmación: se eliminan de la base de datos en el acto.
• Conexiones revocadas: el registro de la conexión, con su nombre y sus fechas, se conserva para que el panel pueda mostrar que fue revocada y para que los registros que escribió conserven su autor; el token revocado ya no puede utilizarse.
• Supresión de la cuenta: todavía no existe la supresión autogestionada. El usuario la solicita escribiendo a hola@whilehaus.net desde el correo electrónico registrado en la cuenta, y la cuenta y su contexto profesional se eliminan de los sistemas productivos dentro de los treinta (30) días corridos desde la solicitud, previa verificación razonable de la identidad del solicitante. Las copias de seguridad que conserva el proveedor de base de datos pueden mantener los datos hasta noventa (90) días adicionales, hasta su rotación. La cuenta Whilehaus que comparten otros productos se conserva salvo que el usuario también solicite su supresión.
• Personas que ingresan sin invitación: se crea la cuenta de ingreso, pero no se crea un perfil ni puede guardarse contexto profesional alguno; esa cuenta se suprime a pedido.
• Registros de un solo uso del ingreso con la cuenta Whilehaus compartida: se eliminan después de su vencimiento.
• Registros técnicos y de seguridad: hasta doce (12) meses, salvo que resulten necesarios para la investigación de un incidente.

12. Medidas de seguridad

12.1. Se aplican medidas técnicas y organizativas adecuadas al riesgo, detalladas en la sección 7: cifrado de las comunicaciones mediante HTTPS con TLS 1.2 o superior; cifrado de los datos en reposo, incluidas las copias de seguridad, mediante AES-256 en la infraestructura del proveedor de base de datos; cifrado adicional a nivel de aplicación de la capa privada mediante AES-256-GCM con una clave que no reside en la base de datos; almacenamiento de contraseñas y tokens mediante función de hash; circunscripción de cada operación a los datos de una sola persona y seguridad a nivel de fila en todas las tablas; capacidades por conexión; límites a los pedidos; y restricción del acceso interno al mínimo necesario.

12.2. Ningún sistema es invulnerable. En caso de verificarse un incidente de seguridad que afecte datos personales, se adoptarán las medidas de contención correspondientes y se cursarán las notificaciones que imponga la normativa aplicable, a los titulares y a la autoridad de control, en los plazos previstos.

12.3. Estas medidas alcanzan a la totalidad de los datos personales tratados por el Servicio, incluidos los datos de usuario de Google recibidos al ingresar, y todo otro dato que por su naturaleza exija un resguardo reforzado, como la capa privada. Ello, sin perjuicio de que el Servicio no solicita datos sensibles en los términos del artículo 2 de la Ley 25.326, que el usuario no debería incluir en su contexto profesional.

13. Cookies y tecnologías similares

13.1. El Servicio utiliza únicamente cookies técnicamente necesarias: la cookie de sesión que sostiene la autenticación, la que registra el idioma seleccionado, una cookie que recuerda la página a la que volver después de ingresar, y una marca de pocos minutos que registra que ya se verificó el ingreso con la cuenta Whilehaus compartida. Deshabilitarlas impide el funcionamiento del Servicio.

13.2. El Servicio no exhibe publicidad, no incorpora cookies ni herramientas publicitarias, de analítica ni de seguimiento entre sitios, y no comparte datos con plataformas publicitarias.

14. Derechos del titular

14.1. El titular de los datos puede ejercer los derechos de acceso, rectificación, actualización, supresión, portabilidad y, cuando corresponda, oposición y limitación del tratamiento. Determinados derechos pueden ejercerse de manera directa desde el panel, donde el usuario ve su contexto profesional, edita su perfil, suprime datos privados y afirmaciones, revoca conexiones y exporta su currículum como un documento JSON Resume; los restantes, incluida la supresión de la cuenta, mediante solicitud a hola@whilehaus.net. Las solicitudes se atienden dentro de los plazos legales, previa verificación razonable de la identidad del solicitante.

14.2. Cuando la solicitud se refiera a datos respecto de los cuales Whilehaus actúe como encargado, será derivada al usuario responsable de ese contenido, a quien corresponde resolverla.

14.3. El titular de los datos personales tiene la facultad de ejercer el derecho de acceso a los mismos en forma gratuita a intervalos no inferiores a seis meses, salvo que se acredite un interés legítimo al efecto, conforme lo establecido en el artículo 14, inciso 3 de la Ley 25.326.

14.4. La Agencia de Acceso a la Información Pública, en su carácter de órgano de control de la Ley 25.326, tiene la atribución de atender las denuncias y reclamos que interpongan quienes resulten afectados en sus derechos por incumplimiento de las normas vigentes en materia de protección de datos personales.

14.5. Los titulares domiciliados en el Espacio Económico Europeo o en el Reino Unido cuentan además con los derechos reconocidos por el Reglamento (UE) 2016/679 y por la legislación británica equivalente, incluido el de presentar reclamo ante la autoridad de control de su jurisdicción. Los titulares domiciliados en jurisdicciones de los Estados Unidos que hubieren sancionado legislación de privacidad cuentan con los derechos que aquella les reconozca.

15. Menores de edad

15.1. El Servicio se dirige exclusivamente a personas mayores de dieciocho (18) años. No se recaban deliberadamente datos de menores de edad. De verificarse la existencia de una cuenta perteneciente a un menor, será suprimida junto con los datos asociados.

16. Servicio en desarrollo

16.1. El Servicio se encuentra en una etapa de desarrollo y el acceso es, por ahora, por invitación, conforme lo establecido en los Términos. Durante esta etapa los datos pueden perderse o alterarse como consecuencia de errores o de cambios en la estructura de los datos; el usuario debería conservar una copia propia, a cuyo fin el Servicio ofrece la exportación del currículum.

16.2. La publicación de páginas públicas está prevista para una etapa posterior, y hoy el Servicio no publica nada. De llegar a estar disponible, la publicación ocurrirá únicamente a pedido expreso del usuario, la capa privada nunca será publicada, y esta Política se actualizará antes para describir qué pasa a ser público y de qué modo.

17. Modificaciones de esta Política

17.1. Esta Política puede ser actualizada. Las modificaciones sustanciales serán notificadas al correo electrónico registrado o mediante aviso dentro del Servicio, con antelación razonable a su entrada en vigencia. La fecha de la última actualización se consigna al inicio del documento.

18. Contacto

Consultas relativas a esta Política y ejercicio de derechos: hola@whilehaus.net. Martin Bonafede (Whilehaus), CUIT 20-33215496-7, Av. Rivadavia 5785, piso 15, departamento 1, Ciudad Autónoma de Buenos Aires (CP 1406), República Argentina.