Cómo tratamos tus datos personales

1Responsable del tratamiento

Highlander Recruitment, S.L. (nombre comercial Highlander HR), NIF B93599884, con domicilio en Calle Severo Ochoa nº 27, Campanillas, 29590 Málaga, España. Teléfono +34 951 59 25 25.

• Contacto general: hola@highlanderhr.com
• Protección de datos / ejercicio de derechos: privacidad@highlanderhr.com (también lopd@highlanderhr.com)
• Sitio corporativo: https://www.highlanderhr.com
• Portal objeto de esta política: https://app.highlanderhr.com

No se ha designado Delegado de Protección de Datos (DPD/DPO) al no resultar obligatorio en este momento. Las consultas de privacidad se atienden en las direcciones anteriores.

2Ámbito y roles del portal

Esta política se aplica al uso del portal público y del BFF asociados a Highlander HR, incluyendo las landings de empleo, empresas y afiliados, el acceso por enlace mágico al email y los paneles de candidato, empresa y afiliado.

• Candidatos: buscan ofertas, mantienen perfil/CV, se inscriben y gestionan candidaturas.
• Empresas: publican vacantes (self-service o con gestión Highlander), reciben candidaturas y gestionan pipeline.
• Afiliados: recomiendan talento con enlaces/códigos trazables y gestionan comisiones y datos de cobro.
• Staff interno (impersonación controlada): solo personal autorizado, con auditoría y límites de acciones sensibles.

Highlander actúa como responsable del tratamiento de los datos del portal. Cuando una empresa cliente trata candidaturas en su propio proceso de selección, puede actuar como responsable independiente o, en determinados servicios gestionados, en el marco contractual con Highlander. Te informaremos del reparto de roles cuando sea relevante para un proceso concreto.

3Categorías de datos que tratamos

Solo tratamos datos necesarios para cada finalidad. Según el rol y lo que nos facilites, pueden incluir:

• Identificación y contacto: nombre, apellidos, email, teléfono, idioma, ubicación aproximada o ciudad.
• Datos profesionales: CV, experiencia, formación, competencias, disponibilidad, preferencias de empleo, carta de presentación, enlaces profesionales.
• Candidaturas: oferta, etapa del proceso, notas operativas, comunicaciones relacionadas con la selección.
• Empresa: nombre comercial, datos de contacto RRHH, miembros del equipo, ofertas publicadas, estado de publicación, datos fiscales de facturación cuando proceda (NIF/CIF, razón social, domicilio fiscal).
• Afiliado: código/enlace de referido, atribuciones, comisiones, estado de cuenta y, si cobras, datos de facturación (nombre fiscal, NIF, IBAN, dirección fiscal).
• Datos de verificación o identidad reforzada: solo cuando el flujo lo requiera (p. ej. verificación de perfil), con medidas de protección reforzadas.
• Datos de uso técnico: dirección IP, logs de acceso al BFF, user-agent, identificadores de sesión, errores y métricas de seguridad (rate limiting).
• Comunicaciones: contenido necesario de emails/WhatsApp transaccionales o de proceso cuando el canal esté activado.
• Datos inferidos o asistidos por IA: extracciones de CV, borradores de carta o moderación de textos de ofertas — siempre como ayuda operativa, no como decisión de contratación automática vinculante.

Datos de categorías especiales (salud, afiliación sindical, etc.): no los solicitamos de forma sistemática. Si los incluyes voluntariamente en un CV o mensaje, te pedimos que evites datos no necesarios. Solo los trataremos si hay base legal suficiente y el contexto lo justifica (p. ej. adaptaciones laborales que nos indiques expresamente).

4Finalidades y bases jurídicas

Tratamos datos solo cuando existe una base del art. 6 RGPD (y, en su caso, art. 9). Resumen por finalidad:

• Prestación del servicio de portal (cuenta, perfil, candidaturas, panel empresa/afiliado): ejecución de medidas precontractuales o del contrato (art. 6.1.b) y, en lo necesario, interés legítimo en operar la plataforma de forma segura (art. 6.1.f).
• Selección y mediación con empresas (presentación de candidaturas, shortlist, procesos gestionados por Highlander): ejecución contractual / medidas precontractuales contigo y con el cliente (art. 6.1.b) e interés legítimo de agencia de colocación (art. 6.1.f), con equilibrio de derechos.
• Publicación y moderación de ofertas: interés legítimo en un listado legítimo y de calidad (art. 6.1.f); cumplimiento de obligaciones legales cuando apliquen.
• Programa de afiliados (atribución, comisiones, liquidación): ejecución contractual (art. 6.1.b) y obligaciones contables/fiscales (art. 6.1.c).
• Acceso por magic link y sesión: medidas precontractuales / contrato e interés legítimo de seguridad (art. 6.1.b y f).
• Seguridad, prevención de abuso, auditoría de impersonación staff: interés legítimo (art. 6.1.f) y, en su caso, obligación legal.
• Comunicaciones transaccionales (enlace de acceso, estado de candidatura, avisos de servicio): art. 6.1.b y/o f.
• Comunicaciones comerciales o de marketing no estrictamente necesarias para el servicio: solo con consentimiento (art. 6.1.a), revocable en cualquier momento.
• Asistencia con IA (parseo de CV, borradores, validación de textos de oferta): interés legítimo en mejorar la eficiencia del servicio (art. 6.1.f) y, cuando el flujo lo exija, tu solicitud expresa (art. 6.1.b). No adoptamos decisiones exclusivamente automatizadas con efectos jurídicos sobre ti sin salvaguardas (art. 22 RGPD).
• Cumplimiento legal (fiscal, laboral, requerimientos de autoridades): art. 6.1.c.

5Origen de los datos

• Los que nos facilitas tú (formularios, CV, perfil, alta empresa, datos de cobro afiliado).
• Los generados por el uso del portal (candidaturas, logs, sesión, atribuciones de afiliado).
• Los que aporta una empresa cliente o Highlander en el marco de un proceso de selección, cuando sea lícito.
• Fuentes públicas o redes profesionales solo cuando exista base legítima y proporcionalidad (p. ej. datos que tú enlazas o haces públicos en un perfil profesional).

6Destinatarios y encargados del tratamiento

No vendemos tus datos. Podemos comunicar o permitir acceso a:

• Empresas cliente u organizaciones que publican u ofrecen vacantes a las que aplicas o a las que te presentamos, en la medida necesaria para el proceso.
• Proveedores que actúan como encargados (art. 28 RGPD) bajo contrato: hosting e infraestructura, CRM operativo (Twenty / stack Highlander), email transaccional (p. ej. Resend), proveedores de IA cuando se invocan funciones asistidas, mensajería (p. ej. WhatsApp Cloud si el canal está activo), herramientas de soporte y seguridad.
• Asesores profesionales (legal, fiscal, auditoría) bajo secreto profesional cuando sea necesario.
• Administraciones, jueces o fuerzas de seguridad cuando exista obligación o requerimiento legal.

Los encargados solo tratan datos según nuestras instrucciones, con medidas de seguridad y, si hay transferencia internacional, con las garantías del RGPD (decisión de adecuación, cláusulas contractuales tipo u otras del Capítulo V).

7Transferencias internacionales

Preferimos proveedores y regiones en el EEE. Si un encargado trata datos fuera del EEE (por ejemplo, ciertos servicios cloud o de IA), solo se hace con una base del Capítulo V del RGPD: decisión de adecuación de la Comisión Europea, cláusulas contractuales tipo aprobadas, o medidas suplementarias cuando proceda. Puedes solicitar más detalle de los transfer mechanisms aplicables escribiendo a privacidad@highlanderhr.com.

8Plazos de conservación

Conservamos los datos el tiempo necesario para la finalidad y, después, los bloqueamos o eliminamos/anonimizamos. Orientación operativa (sin perjuicio de plazos legales superiores):

• Cuenta y perfil de candidato/afiliado/empresa activos: mientras la relación esté vigente y no solicites la supresión.
• Candidatos inactivos (sin interacción relevante): hasta 24 meses desde la última interacción significativa, salvo que pidas borrar antes o exista un proceso abierto que lo justifique.
• Candidaturas y documentación de procesos: el tiempo del proceso y un periodo posterior razonable para reclamaciones o recontactos legítimos (típicamente hasta 24 meses tras el cierre, salvo obligación mayor).
• Datos de afiliado y comisiones: mientras dure el programa y los plazos contables/fiscales aplicables (en España, con carácter general, hasta 6 años para documentación mercantil/fiscal cuando proceda).
• Datos fiscales de empresa/afiliado: plazos de la normativa tributaria y mercantil.
• Logs de seguridad y auditoría de acceso/impersonación: el mínimo necesario para seguridad e investigación (orden de meses, salvo incidente que exija más).
• Cookies técnicas de sesión: ver Política de cookies (máx. 14 días para la sesión del portal).

Puedes solicitar la eliminación de tu cuenta de candidato desde el panel (anonimización/disociación de candidaturas) o escribir a privacidad@highlanderhr.com. Atenderemos en el plazo legal, salvo que debamos conservar datos bloqueados por obligación legal o ejercicio/defensa de reclamaciones.

9Decisiones automatizadas e inteligencia artificial

Highlander puede usar sistemas de apoyo (p. ej. extracción de datos de un CV, sugerencias de texto o validación de claridad/legitimidad de una oferta). Estos sistemas no sustituyen la decisión humana de contratar o rechazar a una persona en un proceso de selección de Highlander o del cliente.

• No realizamos profiling con efectos jurídicos o significativamente análogos de forma exclusivamente automatizada sin las garantías del art. 22 RGPD.
• Puedes oponerte al uso de tratamientos basados en interés legítimo y solicitar intervención humana cuando una decisión te afecte de forma relevante.
• Los textos generados o sugeridos por IA deben ser revisados por ti antes de enviarlos a terceros.

10Menores de edad

Los servicios del portal están dirigidos a personas con capacidad laboral y de obrar suficiente. No recopilamos de forma consciente datos de menores de 14 años. Si detectas un registro indebido, contacta con privacidad@highlanderhr.com para su borrado.

11Seguridad

Aplicamos medidas técnicas y organizativas apropiadas al riesgo: cifrado en tránsito (HTTPS), control de acceso, secretos de sesión en servidor, cookies de sesión HttpOnly, rate limiting, minimización en APIs (zero-leak de datos ajenos a la sesión), auditoría de acciones sensibles de staff y principios de least privilege en el BFF.

Ningún sistema es 100 % invulnerable. Si detectamos un incidente con alto riesgo para tus derechos, te lo comunicaremos y, cuando proceda, a la autoridad de control, conforme a los arts. 33 y 34 RGPD.

12Tus derechos

Puedes ejercer, respecto a tus datos personales:

• Acceso (incl. copia de tus datos).
• Rectificación de datos inexactos.
• Supresión («derecho al olvido») cuando proceda.
• Limitación del tratamiento.
• Portabilidad, cuando el tratamiento se base en consentimiento o contrato y sea automatizado.
• Oposición a tratamientos basados en interés legítimo o a marketing directo.
• Retirada del consentimiento en cualquier momento, sin afectar a la licitud del tratamiento previo.
• No ser objeto de decisiones exclusivamente automatizadas en los términos del art. 22 RGPD.

Cómo ejercerlos: desde tu cuenta (exportación y borrado de candidato cuando esté disponible) o por email a privacidad@highlanderhr.com / lopd@highlanderhr.com, o por escrito al domicilio social, indicando «RGPD» y datos que permitan verificarte. Responderemos en el plazo de un mes (prorrogable según el RGPD en casos complejos).

También puedes reclamar ante la Agencia Española de Protección de Datos (AEPD): www.aepd.es · C/ Jorge Juan, 6, 28001 Madrid.

13Cookies y tecnologías similares

El portal utiliza cookies y almacenamiento necesario para la sesión y la seguridad. El detalle (tipos, duración, finalidad y gestión) está en la Política de cookies. Las cookies no esenciales, si se introdujeran en el futuro, requerirán consentimiento previo conforme a la LSSI y la guía AEPD.

14Exactitud de los datos

Eres responsable de la veracidad y actualización de los datos que facilitas. Te pedimos que mantengas tu perfil y CV al día para no perjudicar procesos de selección ni a terceros.

15Cambios en esta política

Podemos actualizar esta política para reflejar cambios legales, de servicio o de proveedores. Publicaremos la versión vigente en esta URL con la fecha de última actualización. Si el cambio es sustancial, lo comunicaremos por un medio razonable (aviso en el portal o email cuando proceda).