1. Responsable y encargado
RHPrisma, con domicilio en los Estados Unidos Mexicanos, opera el sitio rhprisma.com y el portal app.rhprisma.com, y es responsable de los datos de las cuentas de administración, de los datos de facturación de las organizaciones y de los mensajes que se envían por el formulario de contacto.
Los datos de las personas evaluadas (colaboradores y candidatos) y de quienes se postulan a las vacantes del Cliente los decide y controla la organización que contrata RHPrisma (el "Cliente"): el Cliente elige a quién evaluar, con qué instrumento y para qué. Respecto de esos datos, el Cliente es el responsable y RHPrisma actúa como encargado: los trata únicamente para prestar el servicio y conforme a las instrucciones del Cliente.
Como responsable, al Cliente le corresponde contar con su propio aviso de privacidad frente a las personas que evalúa, tener una base legal para evaluarlas y decidir el uso que da a los resultados. RHPrisma no toma decisiones sobre las personas evaluadas ni valida las que tome el Cliente.
RHPrisma no está dirigido a menores de 18 años. Si el Cliente evalúa a una persona menor de edad, le corresponde obtener el consentimiento de quien ejerza la patria potestad o la tutela.
Contacto para asuntos de privacidad y ejercicio de derechos: [email protected].
2. Datos personales que se tratan
Cuentas de administración: nombre y correo de la cuenta con la que inicias sesión (Google, Microsoft o un código enviado a tu correo), y tu rol dentro de la organización (propietario, administrador o miembro).
Datos de la organización: razón social, RFC, giro, tamaño, nombre y correo de la persona responsable de Capital Humano y, si contrata un plan de pago, los datos fiscales para el comprobante (régimen, código postal y uso del CFDI) y el historial de cargos.
Personas evaluadas: nombre, correo, área, puesto y notas internas que registre el Cliente.
Respuestas y resultados: respuestas, fechas y horas, folio, resultado calculado (puntaje, salud por dimensión o nivel de riesgo) y la dirección IP desde la que se envía. En el modo seguro también se registra cuántas veces la persona salió de la pantalla y si la evaluación se canceló por anomalía.
Datos técnicos: cookies de sesión y de seguridad del inicio de sesión, y la dirección IP para prevenir abusos (límites de envíos).
Candidatos a vacantes: nombre, correo, teléfono, el CV y la información que contenga, el mensaje que envíen, la etapa del proceso, las notas del Cliente, las evaluaciones que se les envíen y el resultado del análisis del CV.
Documentos de contratación, solo si el Cliente los pide a un candidato: los archivos que la persona sube (por ejemplo identificación oficial, CURP, constancia de situación fiscal, número de seguridad social, acta de nacimiento, comprobante de domicilio, comprobante de estudios y estado de cuenta con CLABE para la nómina), las claves que el sistema detecta en ellos (CURP, RFC, NSS y CLABE) y el resultado de su revisión.
Control de tiempo y ausencias, si el Cliente tiene ese módulo: la hora en que cada persona marca el inicio y el fin de su jornada, las horas que captura por centro de costo, quién las aprobó y cuándo, y sus solicitudes de ausencia (tipo, fechas, días, estado, quién las firmó y el motivo si se rechazan), además del saldo de días de cada año. La banda salarial que el Cliente asigna a cada puesto y, con ella, el costo por hora que se usa para costear los proyectos.
Evaluaciones de desempeño: quién evalúa a quién y con qué relación (jefe, par, colaborador o autoevaluación), las respuestas de cada participante y los promedios que se muestran.
Personal externo: nombre, área, puesto y notas de las personas o proveedores que el Cliente registra sin correo porque no son de su nómina y no entran al portal.
Inventario, si el Cliente tiene ese módulo: qué equipo se le entregó a cada persona, desde cuándo, su marca, modelo, número de serie y etiqueta, y el registro de cuándo lo devolvió.
Formulario de contacto: nombre, correo, empresa y mensaje.
3. Datos personales sensibles
Algunos instrumentos recaban datos personales sensibles, en especial sobre salud y bienestar: la NOM-035-STPS-2018 Guía de referencia I (acontecimientos traumáticos severos y sus efectos), las Guías II y III (factores de riesgo psicosocial, incluida la violencia laboral) y otras encuestas de bienestar.
Antes de comenzar cualquier instrumento, la persona debe marcar una casilla en la que declara haber leído este Aviso y otorga su consentimiento expreso para el tratamiento de sus respuestas, incluidos los datos sensibles. Sin ese consentimiento el instrumento no se puede iniciar. La fecha y hora del consentimiento se guardan como constancia junto con la respuesta.
Estos datos se usan solo para la finalidad del instrumento y para que el Cliente cumpla la NOM-035. Se protegen con medidas de seguridad reforzadas y, dentro del portal, solo pueden consultarlos las cuentas que el Cliente autorice (ver la sección 5).
El resultado de la Guía I no es un diagnóstico: indica únicamente si, conforme a la norma, la persona debe ser canalizada a una valoración clínica, que corresponde realizar a un profesional de la salud.
Los CV pueden traer datos sensibles que la persona decida incluir, como información de salud o creencias. La bolsa de trabajo pide no incluirlos, no se usan para evaluar el perfil y el análisis con inteligencia artificial tiene instrucción de ignorarlos.
Las ausencias por incapacidad, maternidad o paternidad revelan datos de salud por su sola naturaleza. En RHPrisma solo se registran el tipo de ausencia y sus fechas —nunca un diagnóstico ni un documento médico— y se usan únicamente para autorizar la ausencia y descontar los días; las ven el jefe directo de la persona y Capital Humano, que es quien de todos modos autoriza el permiso.
Los documentos de contratación pueden incluir datos financieros o patrimoniales (la cuenta bancaria para la nómina) y, si el Cliente pide un certificado médico, datos de salud. Antes de subir el primer documento, el candidato otorga su consentimiento expreso en su enlace de seguimiento; la fecha y hora se guardan como constancia.
4. Finalidades del tratamiento
Finalidades primarias, necesarias para prestar el servicio: (a) autenticar a las personas administradoras y controlar el acceso al portal. (b) Operar las evaluaciones: registrar al personal, enviar invitaciones por correo, mostrar los instrumentos, registrar las respuestas y calcular los resultados. (c) Generar folios verificables y expedientes en PDF. (d) Mostrar al Cliente el avance de participación y el cumplimiento de la NOM-035. (e) Mantener la seguridad del servicio, incluido el modo seguro y la prevención de abusos. (f) Facturar y cobrar los planes de pago. (g) Atender mensajes de contacto y solicitudes de derechos. (h) Reclutamiento: publicar las vacantes del Cliente, recibir postulaciones y CV, mostrar al candidato el avance de su proceso, enviarle avisos por correo y, cuando el Cliente lo solicita, analizar el CV con inteligencia artificial como apoyo para su revisión. (i) Contratación: recibir los documentos que el Cliente pida al candidato que contrata, revisarlos automáticamente como apoyo y permitir que el Cliente los apruebe, rechace y descargue para su expediente de personal.
Finalidades primarias de los módulos de operación: (j) control de tiempo: registrar la jornada y las horas por centro de costo, autorizarlas, calcular el costo y la rentabilidad de cada proyecto con las bandas salariales del Cliente, y administrar las ausencias y los saldos de días con la firma del jefe directo y de Capital Humano. (k) Desempeño: aplicar evaluaciones de 90, 180, 270 o 360 grados y mostrar los resultados en promedio. (l) Inventario: llevar el registro del equipo de la empresa, a quién se le entregó y cuándo se devolvió.
El registro de jornada de RHPrisma es una herramienta de gestión del Cliente. No sustituye las obligaciones que la Ley Federal del Trabajo impone al patrón en materia de jornada, descansos, vacaciones y sus registros: quien responde por ellas es el Cliente.
La revisión automática de los documentos solo comprueba que el archivo se pueda leer, que parezca el documento pedido, que traiga el nombre de la persona y que las claves sean válidas. No se usa inteligencia artificial para esto y no aprueba nada: cada documento lo aprueba o rechaza el personal del Cliente.
El análisis del CV es automatizado y solo considera la información relacionada con el puesto. No se toman decisiones basadas únicamente en ese análisis: las decisiones sobre cada candidato las toma el personal del Cliente. Si te postulaste, puedes pedir que tu perfil se revise sin el análisis automatizado.
No hay finalidades secundarias con los datos del portal: no se usan para mercadotecnia, publicidad, prospección comercial ni para entrenar modelos de terceros. Lo único que se mide con un fin publicitario ocurre en el sitio público, antes de que exista una cuenta: si una visita que llegó desde un anuncio terminó en el alta de una empresa (sección 9). Ahí no entra nada del portal, ni de las personas evaluadas, ni de los candidatos.
5. Confidencialidad: quién ve qué
RHPrisma no le muestra su resultado a la persona evaluada: le entrega un comprobante con folio. Compartirle su resultado es decisión del Cliente.
En el portal, las respuestas y los resultados individuales solo se muestran a las cuentas que el Cliente autorizó dentro de su organización. El Cliente decide quién de su personal tiene esas cuentas y responde por el uso que haga de esa información. En el panel de monitoreo los resultados se muestran de forma agregada.
El personal de RHPrisma no consulta respuestas ni resultados individuales, salvo cuando sea necesario para dar soporte a petición del Cliente, mantener la seguridad y el funcionamiento del servicio o cumplir una obligación legal, y siempre bajo deber de confidencialidad.
La página pública de verificación de folio confirma que la constancia existe y muestra el nombre de la persona, el instrumento, la organización y la fecha. En los cuestionarios NOM-035 no muestra el nombre del cuestionario, solo "Cuestionario confidencial". No muestra respuestas ni resultados.
En el control de tiempo, el jefe directo ve las horas y las solicitudes de ausencia de la gente que le reporta, y Capital Humano las de toda la organización. Los sueldos y las bandas salariales solo se ven en la pantalla de Bandas y equipo, reservada a las cuentas de administración: no aparecen en el expediente de la persona ni en su portal.
En las evaluaciones de desempeño, la persona evaluada y el Cliente ven los promedios, nunca quién dijo qué. Cuando un grupo de evaluadores tiene menos de tres respuestas, sus resultados no se desglosan por separado, precisamente para que no se pueda deducir quién contestó.
En el inventario, cada persona ve en su portal lo que trae a su nombre y no lo puede modificar; quién tiene qué lo administran las cuentas de administración del Cliente.
Los expedientes en PDF incluyen resultados y cómo se calcularon, pero no reproducen las respuestas de las encuestas.
Quien se postula a una vacante ve en su página de seguimiento solo la etapa de su proceso, sin las notas del Cliente ni el análisis de su CV. Si le piden documentos, ahí ve cuáles faltan y los sube, pero desde ese enlace no se pueden descargar: solo las cuentas del Cliente pueden verlos.
6. Dónde se guarda la información y por cuánto tiempo
La información del portal, incluidos los CV, se guarda en los servidores del servicio que opera RHPrisma. El tráfico entre tu navegador y el servicio pasa cifrado por la red de Cloudflare. Dentro del portal, cada organización accede solo a su propia información.
En tu navegador, RHPrisma solo guarda preferencias de la interfaz (tema claro u oscuro y el recorrido guiado) y borradores de formularios del portal; aparte de eso están las cookies de sesión, de medición y de publicidad que describe la sección 9. No se guardan respuestas, resultados ni historial.
Los expedientes en PDF se generan cuando el Cliente los solicita y no se almacenan de forma permanente en el servidor.
Los datos se conservan mientras el Cliente mantenga activa su cuenta. Si la cierra o solicita la supresión, se eliminan, salvo lo que deba conservarse por una obligación legal (por ejemplo, la información fiscal durante el plazo que marca la ley).
Si la organización está en el plan Gratis, o su plan de pago terminó y no se renovó, y pasan 10 meses seguidos sin que nadie de la organización entre al portal, su cuenta y toda su información se eliminan de forma definitiva, con aviso previo por correo a sus administradores (Términos y Condiciones, sección 14). RHPrisma no entrega respaldos: los internos solo sirven para recuperar el servicio ante fallas y se borran solos a los 90 días.
Las horas, las jornadas, las ausencias y los movimientos de inventario se conservan mientras la cuenta del Cliente esté activa, porque son el respaldo de lo que ya se autorizó y se costeó. Dar de baja un artículo del inventario no borra su historial: cambia su estado y guarda la fecha y el motivo.
Los datos de los candidatos, incluidos sus documentos de contratación, se conservan mientras el Cliente mantenga la vacante y su cuenta, o hasta que los elimine. El Cliente puede eliminar a un candidato, su CV, sus documentos y su historial en cualquier momento. Una vez que integre los documentos a su expediente de personal, se recomienda eliminarlos del portal.
7. Encargados y transferencias
No transferimos datos personales a terceros para fines propios de esos terceros, salvo cuando lo requiera una autoridad competente o en los demás casos en que la ley lo permite sin tu consentimiento. La excepción es la medición de publicidad del sitio público: lo que Google Ads recibe ahí (sección 9) también lo usa para sus propios fines de medición y publicidad, no solo siguiendo nuestras instrucciones. Por eso está acotado a lo que dice esa sección, y nada del portal entra en ello.
Nos apoyamos en proveedores que tratan los datos siguiendo nuestras instrucciones: Google LLC y Microsoft Corporation (inicio de sesión), Cloudflare, Inc. (red, seguridad y entrega del sitio), el proveedor de correo electrónico configurado (Resend o SendGrid) para invitaciones y avisos y Mercado Pago para procesar pagos. RHPrisma no recibe ni almacena datos de tarjetas.
El análisis de CV con inteligencia artificial, solo cuando el Cliente lo solicita, lo hace un modelo de lenguaje que corre en los servidores de RHPrisma: el CV no se envía a proveedores externos de inteligencia artificial.
Algunos de estos proveedores pueden tratar los datos fuera de México. Estas comunicaciones a encargados no requieren tu consentimiento conforme a la ley.
8. Derechos ARCO y revocación del consentimiento
Puedes ejercer tus derechos de Acceso, Rectificación, Cancelación y Oposición (ARCO), revocar tu consentimiento y limitar el uso o divulgación de tus datos escribiendo a [email protected] con tu nombre, la cuenta o el correo con el que participaste y la descripción clara de tu solicitud. Para proteger tus datos, podemos pedirte que acredites tu identidad o, en su caso, la representación legal antes de atender la solicitud. Responderemos en los plazos que marca la ley.
Si eres una persona evaluada o te postulaste a una vacante, el responsable de tus datos es la organización que te envió el instrumento o publicó la vacante: puedes dirigirte a ella directamente, o escribirnos y canalizaremos tu solicitud.
9. Cookies y almacenamiento local
Las cookies que instala RHPrisma son únicamente las estrictamente necesarias: "skillcheck_session" mantiene tu sesión iniciada (firmada, HttpOnly, SameSite=Lax, caduca a las 12 horas) y "skillcheck_oauth_state" protege el inicio de sesión y se elimina al terminar el proceso. Las demás cookies que puedes encontrar en el sitio las pone Google en las páginas públicas, y son las que se describen a continuación.
Medición de las páginas públicas: el sitio público de RHPrisma (inicio, planes, cómo funciona, contacto, la bienvenida y las bolsas de trabajo) usa Google Analytics 4, que instala sus propias cookies ("_ga") para contar visitantes distintos y saber qué páginas se ven. Google trata esos datos como encargado; tu dirección IP le llega al conectarte a sus servidores, pero, según su documentación, Analytics 4 no la guarda. Puedes bloquearlo con la extensión oficial de Google o con el bloqueo de cookies de tu navegador, y el sitio sigue funcionando igual.
Dónde NO se mide: no hay analítica de terceros en el portal de Capital Humano, en el portal del equipo, en los cuestionarios y exámenes, ni en las ligas personales de constancias, postulaciones y evaluaciones de desempeño. Esas direcciones contienen tu identificador y no salen de RHPrisma.
Publicidad: la etiqueta de Google Ads se carga en todas las páginas públicas, porque sin ella no hay manera de ligar una visita con el anuncio del que vino. Lo que se cuenta es una sola cosa y en una sola página: en la página pública de bienvenida, si esa visita terminó en la creación de una cuenta de empresa.
Al contar esa alta, a Google Ads viajan: una referencia aleatoria de un solo uso, que sirve para que recargar la página no cuente el alta dos veces; un valor fijo de 1 y la moneda MXN, iguales en todas las altas y sin relación con lo que pagas; la dirección de la página de bienvenida, que no lleva nada tuyo (ni correo, ni empresa, ni token); y de qué sitio llegaste, cuando es un sitio ajeno —si vienes de una dirección de las que RHPrisma no mide, como el portal, ese dato no se envía—. Como en cualquier sitio que use su etiqueta, Google recibe además lo que la etiqueta recoge por su cuenta: la dirección y el título de la página que estás viendo, el idioma y las características de tu navegador, el identificador del clic en el anuncio (el parámetro "gclid") cuando viene en la dirección con la que llegaste al sitio, y tu dirección IP, que le llega por el solo hecho de conectarte a sus servidores. No se envía tu correo, ni el nombre de tu empresa, ni tu plan, ni la dirección de ninguna página privada.
Para poder atribuir la visita al anuncio, Google Ads instala sus propias cookies en el dominio del sitio; la que siempre aparece se llama "_gcl_au". Ahí se guarda lo que hace falta para ligar el alta con el anuncio, y es la razón por la que la atribución funciona aunque el clic y el alta ocurran en momentos distintos.
No vendemos datos ni hacemos publicidad dirigida a partir de tu perfil: RHPrisma no le manda a Google listas de personas ni información del portal para segmentar anuncios, y las cookies de publicidad son las de atribución que se acaban de describir, que solo aparecen en las páginas públicas. Puedes bloquearlas desde tu navegador y el sitio sigue funcionando igual. Si bloqueas las cookies necesarias no podrás iniciar sesión.
Estadística de visitas sin cookies: en las páginas públicas y en las bolsas de trabajo registramos qué página se abrió, de qué sitio se llegó (por ejemplo LinkedIn o Google), el país y la ciudad aproximados que indica nuestro proveedor de red y si fue desde celular o computadora. No guardamos tu dirección IP: para contar visitantes distintos usamos una huella que cambia cada día y no permite identificarte ni seguirte de un día a otro. La empresa que publica una vacante ve estos datos solo en conjunto, nunca por persona. Se conservan 13 meses. Las ligas privadas (evaluaciones y seguimiento de postulaciones) no se registran.
10. Seguridad
Aplicamos medidas administrativas, técnicas y físicas razonables: conexiones cifradas (HTTPS), sesiones firmadas, control de acceso por organización y por rol, modo seguro en las evaluaciones y límites contra abusos. Ningún sistema es infalible. Si detectamos una vulneración que afecte de forma significativa tus derechos, te lo informaremos conforme a la ley.
11. Cambios al Aviso de Privacidad
Cualquier cambio a este Aviso se publicará en esta misma página con su fecha de actualización. Te recomendamos revisarla periódicamente.
12. Marco legal y autoridad
Este Aviso se rige por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF, 20 de marzo de 2025), su normativa y los lineamientos aplicables. Si consideras que tus derechos fueron vulnerados, puedes acudir a la Secretaría Anticorrupción y Buen Gobierno, autoridad en materia de protección de datos personales en posesión de particulares. Cualquier controversia se sujeta a las leyes y tribunales competentes de los Estados Unidos Mexicanos.
¿Dudas o quieres ejercer tus derechos?
Escríbenos y te respondemos en los plazos que marca la ley.
[email protected]