Política de privacidad

NextStep ("nosotros") opera bajo la entidad legal propietaria de la marca NextStep (la "Compañía"). Actuamos como responsable del tratamiento de los datos personales procesados al usar el sitio y las apps móviles NextStep (el "Servicio"). Para preguntas de privacidad, escribe a support@nextstep-today.com. Nuestro representante en UE/Reino Unido y (cuando aplique) el Delegado de Protección de Datos se designarán y publicarán en esta sección antes del lanzamiento general en esas regiones.

Esta política se aplica al sitio NextStep en nextstep.app (y subdominios) y a las apps móviles NextStep para iOS y Android. No cubre sitios de terceros, páginas de carreras de empleadores, bolsas de empleo, calendarios u otros servicios externos a los que puedas acceder desde el Servicio. Cada uno tiene su propia política — léelas por separado.

Recopilamos las siguientes categorías de datos personales:

• —Datos de cuenta — correo, hash de contraseña, fecha de creación, idioma, país, consentimiento de correos de marketing.
• —Datos de perfil — nombre, puesto actual y deseado, años de experiencia, ubicación, rango salarial, URLs públicas de redes que elijas compartir.
• —Contenido del CV — texto y campos estructurados de cada CV que crees o subas, incluyendo experiencia, educación, habilidades, certificaciones y enlaces.
• —Contenido de búsqueda de empleo — jobs guardados en el tracker, estado de las aplicaciones, notas, contactos, entrevistas agendadas.
• —Grabaciones de voz — audio que subes a los módulos de CV de voz y simulación de entrevistas, más las transcripciones generadas.
• —Datos de uso — páginas vistas, funciones usadas, eventos de producto ("corrí chequeo ATS", "completé paso 3 de onboarding") y telemetría de sesión agregada.
• —Datos de dispositivo — dirección IP, user-agent, tipo de dispositivo, versión de SO, versión de app, zona horaria y un identificador pseudónimo de dispositivo.
• —Datos de pago — dirección de facturación, últimos cuatro dígitos de la tarjeta, plan, moneda, impuestos. No vemos ni guardamos el número completo de la tarjeta — eso lo maneja exclusivamente el procesador de pagos.
• —Comunicaciones — tickets de soporte, feedback in-app, respuestas a correos transaccionales.

Recopilamos datos personales directamente de ti (cuando te registras, completas tu perfil, subes un CV, grabas voz, guardas un job o escribes a soporte) y automáticamente al usar el Servicio (uso y dispositivo). Si inicias sesión con Google o Apple, también recibimos el correo y la información básica de perfil que autorizaste a compartir.

Procesamos tus datos personales para los siguientes fines. Donde aplique el GDPR de UE/UK, la base legal se indica entre paréntesis:

• —Prestar el Servicio — crear CVs, generar análisis, llevar el tracker, formar nudges de coaching (ejecución de contrato, art. 6(1)(b) GDPR).
• —Procesar pagos, calcular impuestos y prevenir fraude (ejecución de contrato; obligación legal; interés legítimo en prevenir fraude).
• —Enviar mensajes transaccionales — recibos, alertas de seguridad, recordatorios de prueba (ejecución de contrato; interés legítimo).
• —Mejorar el Servicio mediante analítica agregada y pseudonimizada y evaluación de calidad de salidas IA (interés legítimo; puedes oponerte en cualquier momento).
• —Enviar correos de marketing opcionales sobre nuevas funciones (solo con tu consentimiento explícito; puedes retirarlo desde Ajustes).
• —Cumplir obligaciones legales — impuestos, contabilidad y requerimientos legítimos de autoridades (obligación legal).

Cuando subes grabaciones de voz (CV de voz, simulación de entrevista, ejercicios de pronunciación), transcribimos el audio a texto y procesamos la transcripción para generar feedback. No usamos tu voz para identificación biométrica ni huellas de voz. Por defecto, las grabaciones se guardan hasta 90 días para que las puedas reproducir; puedes borrar cualquier grabación desde Ajustes y se elimina de nuestros sistemas en 24 horas.

El texto de tus CVs y JDs se procesa mediante proveedores externos de modelos de lenguaje para generar los análisis y sugerencias que pides. Por contrato, esos proveedores no pueden entrenar sus modelos con datos que enviamos por API y conservan nuestros prompts solo el tiempo estrictamente necesario para detectar abuso (típicamente hasta 30 días).

NextStep usa IA para generar sugerencias, puntuaciones, borradores y recomendaciones. Son herramientas orientativas — un humano (tú) toma la decisión final sobre qué CV enviar, a qué job aplicar y cómo responder en una entrevista. No tomamos decisiones únicamente automatizadas con efectos jurídicos o significativos similares sobre ti. No te filtramos a favor ni en contra de ningún empleo, empleador u oportunidad, y el Servicio no es usado por empleadores para evaluar candidatos.

Compartimos datos personales solo con las categorías de destinatarios listadas abajo y solo en la medida estrictamente necesaria para operar el Servicio:

• —Proveedores de hosting cloud y bases de datos — para almacenar tus datos y correr nuestra infraestructura.
• —Proveedores de autenticación e inicio de sesión — para verificar tu identidad (incluyendo Google y Apple si usas social sign-in).
• —Procesador de pagos — para suscripciones, impuestos, chargebacks y reembolsos donde aplique.
• —Proveedores de IA / LLM — para generar análisis, puntuaciones, borradores, transcripciones y mensajes de coaching.
• —Proveedores de correo y notificaciones push — para entregar mensajes transaccionales y (con consentimiento) de marketing.
• —Herramientas de atención al cliente — para gestionar tus tickets.
• —App-stores (Apple, Google) — para compras in-app, verificación de recibos y reportes de fallos.
• —Asesores profesionales, auditores, reguladores y autoridades — donde la ley lo requiera estrictamente.

No vendemos datos personales y no los compartimos para publicidad conductual cross-contexto. La lista actualizada de subprocesadores nombrados está disponible bajo petición en support@nextstep-today.com.

Nuestra infraestructura corre principalmente en la UE y EE. UU., y algunos proveedores operan globalmente. Cuando se transfieren datos personales fuera del EEE, Reino Unido u otra jurisdicción con restricciones de transferencia, nos apoyamos en garantías adecuadas como las Cláusulas Contractuales Tipo de la Comisión Europea, el UK International Data Transfer Addendum, decisiones de adecuación o el EU–US Data Privacy Framework cuando el destinatario está certificado. Copia de las garantías aplicables disponible bajo petición.

Conservamos los datos personales solo el tiempo necesario:

• —Cuenta, perfil, CVs, jobs y análisis — mientras tu cuenta esté activa.
• —Grabaciones de voz — hasta 90 días desde la subida, o hasta que las borres antes.
• —Registros de facturación — hasta 7 años, como exige la ley fiscal y contable.
• —Logs de seguridad y prevención de abuso — hasta 12 meses.
• —Datos de engagement con correos de marketing — hasta que retires el consentimiento.

Cuando borras tu cuenta, eliminamos o anonimizamos tus datos personales en 30 días, salvo cuando la ley exija conservar registros concretos más tiempo (por ejemplo, facturación).

Aplicamos medidas estándar de la industria: TLS 1.2+ en tránsito, AES-256 en reposo, control de acceso basado en roles, audit logs, principio de mínimo privilegio para el equipo, revisiones de seguridad periódicas y un proceso documentado de respuesta a incidentes. Ningún sistema es perfectamente seguro: notificaremos cualquier brecha de datos personales según exija la ley y sin demora indebida.

Según donde vivas puedes tener derecho a: acceder a tus datos; corregir datos inexactos; eliminarlos; restringir u oponerte al tratamiento; recibirlos en formato portable; retirar el consentimiento (sin afectar el tratamiento previo lícito); presentar una reclamación ante tu autoridad de control. La mayoría se ejerce directamente desde Ajustes (exportar, corregir, eliminar). Para lo demás escribe a support@nextstep-today.com — respondemos en 30 días.

El Servicio no está dirigido a menores. Debes tener al menos 16 años en el EEE y Reino Unido, al menos 18 en India, o al menos 13 con consentimiento parental verificable en EE. UU. (según COPPA) para usar NextStep. No recopilamos a sabiendas datos personales de menores de la edad mínima aplicable. Si crees que lo hicimos, escribe a support@nextstep-today.com y los eliminaremos.

Usamos solo cookies y almacenamiento local estrictamente necesarios para operar el Servicio: una cookie de sesión de autenticación, una de preferencia de idioma y una de protección CSRF. No usamos cookies de marketing, publicidad, retargeting ni de analítica de terceros, ni incrustamos pixeles de tracking de terceros.

Si eres residente de California, tienes todos los derechos descritos en la sección 12 más: derecho a saber qué información personal recopilamos y cómo la usamos; a solicitar su eliminación; a corregir información inexacta; a oponerte a la "venta" o "compartición" de información personal; a limitar el uso de información personal sensible; a no ser discriminado por ejercer estos derechos. No vendemos información personal ni la compartimos para publicidad conductual cross-contexto. Para ejercer derechos CCPA: support@nextstep-today.com o usa las herramientas en Ajustes.

Podemos actualizar esta política a medida que el Servicio evoluciona. Para cambios materiales avisaremos por correo y mediante un banner in-app con al menos 30 días antes de que entren en vigor. Los cambios no materiales (erratas, aclaraciones, refresco de subprocesadores) tienen efecto al publicarse. La fecha "vigente desde" arriba refleja siempre la versión actual.

Preguntas y solicitudes de derechos: support@nextstep-today.com. Los usuarios de UE/UK/EEE tienen derecho a presentar reclamación ante su autoridad local de protección de datos. Nuestro representante en UE/UK se designará y publicará en esta sección antes del lanzamiento general en esas regiones.