Polityka prywatności platformy CV-Online.pl
1. Wstęp
1.1. Niniejsza Polityka Prywatności określa zasady przetwarzania danych osobowych Użytkowników korzystających z platformy umożliwiającej tworzenie CV i innych dokumentów aplikacyjnych, dostępnej pod adresem CV-Online.pl oraz za pośrednictwem aplikacji mobilnej („Aplikacja”), zwanych łącznie „Platformą”. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.
1.2. Administratorem danych osobowych Użytkowników jest Konrad Sroga, prowadzący działalność nierejestrowaną w rozumieniu art. 5 ust. 1 ustawy z dnia 6 marca 2018 r. - Prawo przedsiębiorców, adres do korespondencji: skrytka pocztowa nr 3019, plac Wyzwolenia 4, 40-424 Katowice, e-mail: [email protected] („Administrator”).
1.3. Podanie danych osobowych przez Użytkownika jest dobrowolne, jednak niezbędne do korzystania z określonych funkcji Platformy (w szczególności: założenia Konta, zakupu Usług Premium, skorzystania z narzędzi AI, otrzymywania komunikacji marketingowej). Brak podania danych uniemożliwi skorzystanie z danej funkcji.
2. Zakres danych osobowych, cele i podstawy prawne przetwarzania
2.1. Tworzenie i edycja dokumentów (kreator). Administrator przetwarza dane podane przez Użytkownika w kreatorze CV i listów motywacyjnych, w szczególności: imię, nazwisko, adres e-mail, numer telefonu, adres zamieszkania, zdjęcie, dane o wykształceniu, doświadczeniu zawodowym, umiejętnościach oraz inne informacje dobrowolnie zawarte w dokumencie.
Cel: świadczenie usługi tworzenia, edycji, generowania dokumentów w formacie PDF oraz - na żądanie Użytkownika - wysyłki gotowego dokumentu na adres e-mail przypisany do Konta.
Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy o świadczenie usługi drogą elektroniczną).
2.2. Prowadzenie Konta. Administrator przetwarza dane rejestracyjne (imię, nazwisko, adres e-mail, hasło w formie zaszyfrowanej), dane z logowania przez zewnętrznego dostawcę tożsamości (szczegóły w rozdziale 9), dane uwierzytelniania dwuskładnikowego, o ile Użytkownik je włączył, oraz dane sesji logowania: adres IP i przybliżony kraj w chwili logowania, rodzaj przeglądarki lub urządzenia, czas utworzenia i ostatniego użycia sesji oraz informację, czy Użytkownik wybrał opcję „Zapamiętaj mnie”. Administrator odnotowuje również datę ostatniej aktywności na Koncie.
Cel: utrzymanie Konta, umożliwienie korzystania z funkcji wymagających rejestracji, utrzymanie sesji logowania, prezentacja Użytkownikowi listy aktywnych sesji z możliwością ich zakończenia, wykrywanie przejęcia sesji oraz ustalanie okresu braku aktywności Konta (pkt 4.1).
Podstawa prawna: art. 6 ust. 1 lit. b RODO, a w zakresie bezpieczeństwa sesji - art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora - ochrona Kont przed nieuprawnionym dostępem).
2.3. Usługi Premium i płatności. Administrator przetwarza dane dotyczące płatności, takie jak: identyfikator transakcji lub zamówienia, data i godzina płatności, kwota, zakupiony plan, status płatności oraz dane techniczne przekazywane przez Operatora płatności. Przy zakupie w Aplikacji Administrator otrzymuje od operatora Sklepu z aplikacjami identyfikator zakupu, który przekazuje temu operatorowi w celu weryfikacji zakupu. Administrator nie otrzymuje ani nie przechowuje pełnych danych karty płatniczej.
Cel: realizacja i weryfikacja płatności, obsługa zamówienia, przesłanie potwierdzenia zawarcia umowy, rozliczenia, zapobieganie nadużyciom oraz obsługa reklamacji i odstąpień od umowy.
Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy), art. 6 ust. 1 lit. c RODO (obowiązki prawne, w tym podatkowe i wynikające z ustawy o prawach konsumenta) oraz art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora - zapewnienie bezpieczeństwa transakcji, rozliczeń oraz ustalenie, dochodzenie lub obrona roszczeń).
2.4. Narzędzia AI. Administrator przetwarza treść CV lub listu motywacyjnego przesłaną lub wprowadzoną przez Użytkownika, a w przypadku dopasowania CV do oferty pracy - także treść wskazanej oferty. Treść ta jest kierowana do dostawcy AI, a wynik zwracany jest Użytkownikowi (szczegóły w rozdziale 8).
Cel: realizacja wybranej przez Użytkownika funkcji AI, prezentacja historii wyników oraz ochrona przed nadużyciami (kontrola limitów użycia).
Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie usługi na żądanie Użytkownika) oraz art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora - ochrona przed nadużyciami i egzekwowanie limitów).
2.5. Komunikacja marketingowa. Administrator przetwarza adres e-mail, imię oraz - w zakresie opisanym w rozdziale 11 - informacje dotyczące aktywności Użytkownika służące segmentacji odbiorców.
Cel: przesyłanie informacji marketingowych dotyczących Platformy.
Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda Użytkownika) w połączeniu z art. 398 ustawy z dnia 12 lipca 2024 r. - Prawo komunikacji elektronicznej.
2.6. Bezpieczeństwo i ochrona przed nadużyciami. Administrator przetwarza dane techniczne (adres IP, identyfikatory sesji, nieodwracalne skróty kryptograficzne treści CV, pseudonimizowane skróty adresów IP, czas i rodzaj żądań, informacje o zablokowanych adresach IP i przyczynie blokady), dane o aktywności Użytkownika w zakresie niezbędnym do kontroli limitów użycia i wykrywania nadużyć oraz dane przetwarzane przez usługę ochrony formularzy przed zautomatyzowanym ruchem (botami), stosowaną w wybranych formularzach Platformy.
Cel: zapewnienie stabilności i bezpieczeństwa Platformy, egzekwowanie limitów użycia, ochrona przed botami, atakami i nadużyciami.
Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora).
2.7. Reklamacje i kontakt. Administrator przetwarza dane podane w ramach zgłoszenia reklamacyjnego, formularza kontaktowego, zgłoszenia treści, o którym mowa w §11 Regulaminu, lub kontaktu e-mail.
Cel: rozpatrzenie zgłoszenia i udzielenie odpowiedzi.
Podstawa prawna: art. 6 ust. 1 lit. c RODO (obowiązki prawne wynikające w szczególności z ustawy o prawach konsumenta oraz aktu o usługach cyfrowych) oraz art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora - udzielenie odpowiedzi na zapytanie).
2.8. Ankieta przy usuwaniu Konta. Przy zgłoszeniu usunięcia Konta Użytkownik może dobrowolnie wskazać powód rezygnacji, wybierając jedną z predefiniowanych odpowiedzi (w tym opcję „Nie chcę podawać powodu”) oraz opcjonalnie dodając krótki komentarz. Odpowiedź zapisywana jest bez identyfikatora Użytkownika, bez adresu e-mail i bez powiązania z Kontem. Wraz z odpowiedzią zapisywana jest wyłącznie informacja, czy Konto posiadało aktywną Usługę Premium, oraz miesiąc udzielenia odpowiedzi (bez dokładnej daty i godziny). Udzielenie odpowiedzi jest dobrowolne i nie stanowi warunku usunięcia Konta ani realizacji prawa, o którym mowa w art. 17 RODO.
Cel: analiza zbiorczych przyczyn rezygnacji z Konta i rozwój Platformy.
Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora - ulepszanie Usługi).
2.9. Wiadomości serwisowe. Administrator przesyła na adres e-mail przypisany do Konta wiadomości związane ze świadczeniem Usługi, w szczególności: potwierdzenie adresu e-mail, odzyskiwanie i zmianę hasła, zmianę adresu e-mail, potwierdzenie zakupu Usługi Premium, informację o zbliżającym się wygaśnięciu Usługi Premium, potwierdzenie i przebieg usuwania Konta, powiadomienia o planowanym usunięciu nieaktywnego Konta (pkt 4.1), informacje o zmianach Regulaminu lub Polityki Prywatności oraz dokumenty wysyłane na żądanie Użytkownika. Wiadomości serwisowe nie zawierają treści marketingowych i są wysyłane niezależnie od zgody, o której mowa w rozdziale 11.
Cel: wykonanie umowy, realizacja obowiązków informacyjnych oraz zapewnienie bezpieczeństwa Konta.
Podstawa prawna: art. 6 ust. 1 lit. b RODO, art. 6 ust. 1 lit. c RODO (w zakresie obowiązków wynikających z przepisów, np. potwierdzenia zawarcia umowy) oraz art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora - informowanie Użytkownika o sprawach dotyczących jego Konta i danych).
2.10. Monitorowanie błędów. W przypadku wystąpienia błędu w serwisie internetowym, Aplikacji lub na serwerze Platformy do zewnętrznego dostawcy usługi monitorowania błędów przesyłany jest raport błędu, który może zawierać: adres IP, informacje o przeglądarce, urządzeniu i systemie, adres podstrony, dane techniczne żądania oraz przebieg czynności technicznych poprzedzających błąd. W kreatorze serwisu internetowego, wyłącznie po wyrażeniu przez Użytkownika zgody na analityczne pliki cookies, raport może obejmować także zapis przebiegu sesji (rozdział 6), w którym treści wpisywane i wyświetlane oraz obrazy są maskowane przed wysłaniem.
Cel: wykrywanie, diagnozowanie i usuwanie błędów Platformy.
Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora - zapewnienie prawidłowego działania Platformy), a w zakresie zapisu przebiegu sesji - art. 6 ust. 1 lit. a RODO (zgoda Użytkownika).
2.11. Programy partnerskie. Jeżeli Platforma prowadzi program partnerski, w którym dostęp do Usług Premium przyznawany jest Użytkownikom posługującym się adresem e-mail w określonej domenie (np. uczelni lub organizacji), Administrator po potwierdzeniu adresu e-mail sprawdza, czy jego domena jest objęta programem, i odnotowuje przyznanie dostępu. Partner programu może otrzymać od Administratora wyłącznie zbiorcze, anonimowe informacje (np. liczbę osób, które skorzystały z programu). Przekazanie partnerowi danych osobowych Użytkownika mogłoby nastąpić wyłącznie na podstawie odrębnej zgody Użytkownika.
Cel: przyznanie dostępu do Usług Premium w ramach programu partnerskiego.
Podstawa prawna: art. 6 ust. 1 lit. b RODO.
2.12. Dokumentowanie zgód. Administrator zapisuje informacje dokumentujące decyzję Użytkownika w sprawie zgody marketingowej (jej wyrażenie, odmowę lub wycofanie): datę i godzinę, miejsce w Platformie, w którym decyzja została podjęta, oraz adres IP.
Cel: wykazanie, że Użytkownik wyraził zgodę (art. 7 ust. 1 RODO).
Podstawa prawna: art. 6 ust. 1 lit. c RODO w związku z art. 7 ust. 1 RODO oraz art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora - obrona przed roszczeniami).
3. Bezpieczeństwo danych osobowych
3.1. Administrator dokłada wszelkich starań, aby zapewnić wysoki poziom bezpieczeństwa przetwarzania danych osobowych. Wszelkie dane przesyłane do i z Platformy są szyfrowane za pomocą protokołu TLS (https).
3.2. Hasła Użytkowników są przechowywane w formie zaszyfrowanej (hash) z użyciem współczesnych algorytmów kryptograficznych. Treść dokumentów zapisanych na Platformie jest przechowywana w bazie danych w postaci zaszyfrowanej.
3.3. Dostęp do baz danych i kopii zapasowych zabezpieczony jest środkami technicznymi i organizacyjnymi odpowiednimi do ryzyka, w tym ograniczeniem dostępu do uprawnionych osób.
4. Okres przechowywania danych
4.1. Dane Konta i dokumentów - w przypadku zarejestrowanych Użytkowników przetwarzane są przez okres aktywnego Konta. Po usunięciu Konta dane są usuwane w terminie do 30 dni, z zastrzeżeniem pkt 4.11. Konto można usunąć samodzielnie z poziomu ustawień Konta w serwisie internetowym lub w Aplikacji albo przesyłając żądanie na adres [email protected]; w przypadku usunięcia z poziomu ustawień żądanie należy potwierdzić linkiem wysłanym na adres e-mail przypisany do Konta i jest ono realizowane po upływie 14 dni od potwierdzenia, w którym to okresie Użytkownik może je anulować. Konto uznaje się za nieaktywne, jeżeli przez 24 miesiące Użytkownik nie zalogował się do Konta ani nie korzystał z Platformy jako zalogowany Użytkownik; do tego okresu nie wlicza się czasu, w którym Użytkownikowi przysługuje aktywna Usługa Premium. Konto nieaktywne jest usuwane automatycznie wraz z dokumentami, po uprzednim powiadomieniu Użytkownika wiadomością e-mail wysłaną na adres przypisany do Konta co najmniej 30 dni przed planowanym usunięciem oraz przypomnieniem wysłanym na 7 dni przed tym terminem. Jeżeli adres e-mail przypisany do Konta jest wyłączony z wysyłki z powodu trwałych błędów doręczenia lub zgłoszenia wiadomości jako niechcianej, Konto nieaktywne jest usuwane po upływie 30 dni bez powiadomienia. Zalogowanie się do Konta przed upływem wskazanego terminu anuluje usunięcie. Wiadomości te mają charakter wyłącznie informacyjny, nie stanowią komunikacji marketingowej i są wysyłane niezależnie od zgody, o której mowa w rozdziale 11; podstawą prawną ich wysyłki jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora polegający na poinformowaniu Użytkownika o planowanym usunięciu jego danych). Dokument usunięty przez Użytkownika z poziomu Konta jest trwale usuwany w terminie do 30 dni od jego usunięcia. W przypadku Użytkowników niezarejestrowanych, korzystających z kreatora bez założenia Konta, dane dokumentu przechowywane są do 24 miesięcy od ostatniej modyfikacji dokumentu, po czym są automatycznie usuwane. Identyfikacja takiego Użytkownika oraz powiązanie z jego dokumentem odbywa się za pośrednictwem identyfikatora technicznego (UID) zapisywanego na urządzeniu Użytkownika (w pamięci przeglądarki lub Aplikacji); usunięcie identyfikatora przez Użytkownika (np. wyczyszczenie danych przeglądarki) uniemożliwia powiązanie dokumentu z urządzeniem.
4.2. Dane dotyczące transakcji płatniczych - 5 lat od końca roku kalendarzowego, w którym dokonano transakcji (obowiązki podatkowe i dowodowe). Usunięcie Konta nie skraca tego okresu; po usunięciu Konta dane transakcji przechowywane są bez powiązania z Kontem.
4.3. Dane marketingowe - do momentu wycofania zgody przez Użytkownika lub usunięcia Konta. Informacje dokumentujące decyzję w sprawie zgody (pkt 2.12) - przez okres istnienia Konta. Adres e-mail, na który doręczenie trwale się nie powiodło lub z którego zgłoszono wiadomość jako niechcianą, a także adres wpisany na żądanie Użytkownika, jest umieszczany na liście wykluczeń (suppression list) w celu uniemożliwienia wysyłania na niego wiadomości marketingowych, przez okres 5 lat od umieszczenia na liście; wpis na liście wykluczeń nie jest usuwany wraz z Kontem, ponieważ służy zapewnieniu, że wiadomości nie będą ponownie wysyłane na ten adres.
4.4. Dane techniczne związane z bezpieczeństwem: logi aktywności Konta, logi aplikacji oraz adresy IP zapisywane przy pobraniu dokumentu - do 30 dni; dane sesji logowania (pkt 2.2) - do 30 dni po upływie maksymalnego okresu ważności sesji, który wynosi 90 dni od zalogowania w serwisie internetowym i 365 dni od zalogowania w Aplikacji, także jeżeli sesja została wcześniej zakończona (np. przez wylogowanie) - w celu wykrywania prób ponownego użycia przejętej sesji; poprzednie tokeny odświeżonej sesji - do 30 dni od odświeżenia; informacje o zablokowanych adresach IP - do 90 dni; dane do kontroli limitów użycia przechowywane w pamięci podręcznej - do 24 godzin; nieodwracalne skróty kryptograficzne treści CV wraz z wynikami analizy ATS Checker przechowywane w pamięci podręcznej (pkt 8.7) oraz przetworzona treść ofert pracy wskazanych do dopasowania CV (pkt 8.10) - do 30 dni.
4.5. Historia korzystania z Narzędzi AI (rodzaj funkcji, data, dokument, którego dotyczyło użycie, wynik, status oraz - w przypadku Użytkowników niezalogowanych - pseudonimizowany skrót adresu IP) - w przypadku ATS Checker oraz importu CV z pliku do 90 dni od dnia użycia, a w przypadku pozostałych funkcji do 12 miesięcy od dnia użycia; w przypadku zalogowanych Użytkowników nie dłużej niż do usunięcia Konta.
4.6. Dane dotyczące reklamacji, odstąpień od umowy i zgłoszeń - przez okres rozpatrywania sprawy oraz do czasu przedawnienia ewentualnych roszczeń (co do zasady 6 lat).
4.7. Odpowiedzi z ankiety przy usuwaniu Konta (pkt 2.8) - przechowywane bezterminowo w postaci uniemożliwiającej przypisanie ich do konkretnego Użytkownika i wykorzystywane wyłącznie w formie zbiorczych statystyk. Odpowiedzi nie są usuwane wraz z Kontem, ponieważ w momencie zapisu nie zawierają danych pozwalających na identyfikację osoby, której dotyczą.
4.8. Dane statystyczne o usuniętych Kontach i dokumentach - po usunięciu Konta lub dokumentu Administrator zachowuje zapis statystyczny obejmujący wyłącznie: miesiąc założenia Konta lub utworzenia dokumentu, miesiąc usunięcia, przyczynę usunięcia (na żądanie Użytkownika, przez Administratora, z powodu braku aktywności Konta albo upływu okresu przechowywania), sposób rejestracji (adres e-mail lub dostawca zewnętrzny), informację, czy adres e-mail był zweryfikowany, czy Użytkownik dokonał płatności, liczbę dokumentów, rodzaj dokumentu oraz informację, czy dokument został pobrany. Informacje o pobraniach dokumentów (data pobrania, wybrany szablon oraz informacja, czy był to szablon premium) po usunięciu dokumentu przechowywane są bez powiązania z tym dokumentem, a po usunięciu Konta - bez powiązania z Kontem; adres IP pobrania jest usuwany zgodnie z pkt 4.4. Zapisy te nie zawierają identyfikatora Użytkownika, adresu e-mail, treści dokumentów ani dokładnych dat założenia lub usunięcia, są przechowywane bezterminowo i wykorzystywane wyłącznie w formie zbiorczych statystyk.
4.9. Rejestr wiadomości e-mail wysłanych do Użytkownika (rodzaj i temat wiadomości, adres odbiorcy, status wysyłki, data oraz informacja o kliknięciu linku w wiadomości) - przez okres istnienia Konta.
4.10. Raporty błędów (pkt 2.10) - do 90 dni od ich przesłania.
4.11. Kopie zapasowe - dane są objęte kopiami zapasowymi bazy danych, które są cyklicznie nadpisywane. Dane usunięte z Platformy mogą pozostawać w kopiach zapasowych do 4 miesięcy od ich usunięcia. W tym czasie kopie są zabezpieczone i nie są wykorzystywane do innych celów niż odtworzenie Platformy po awarii; w razie odtworzenia danych z kopii zapasowej Administrator ponownie usuwa dane, których usunięcie zostało wcześniej zrealizowane.
4.12. Po upływie okresów wskazanych powyżej dane są usuwane lub anonimizowane. Okres przechowywania może zostać przedłużony wyłącznie wtedy, gdy dane są niezbędne do ustalenia, dochodzenia lub obrony roszczeń albo gdy wymagają tego przepisy prawa.
5. Odbiorcy danych osobowych
5.1. Administrator powierza przetwarzanie danych osobowych podmiotom przetwarzającym, działającym na jego zlecenie na podstawie umowy powierzenia zgodnej z art. 28 RODO, należącym do następujących kategorii: dostawcy hostingu, infrastruktury serwerowej, baz danych, kopii zapasowych oraz magazynu plików (w tym zdjęć dodawanych do dokumentów); dostawcy usług sieci dostarczania treści (CDN) i ochrony Platformy przed atakami, przez których infrastrukturę przechodzi ruch do Platformy; dostawcy modeli sztucznej inteligencji (rozdział 8); dostawca serwisu pobierającego treść stron internetowych na potrzeby dopasowania CV do oferty pracy (pkt 8.10); dostawcy usług wysyłki wiadomości e-mail; dostawca usługi monitorowania błędów (pkt 2.10).
5.2. Dane osobowe mogą być udostępniane także podmiotom przetwarzającym je we własnym imieniu jako niezależni administratorzy: operatorom płatności - w zakresie niezbędnym do realizacji i weryfikacji płatności, w tym operatorowi Sklepu z aplikacjami przy zakupach w Aplikacji; zewnętrznym dostawcom tożsamości - w przypadku rejestracji lub logowania przez konto zewnętrzne (rozdział 9); dostawcom narzędzi analitycznych i reklamowych - wyłącznie na podstawie zgody, o której mowa w rozdziale 6; dostawcy usługi ochrony formularzy przed zautomatyzowanym ruchem (pkt 2.6); podmiotom uprawnionym do ich otrzymania na podstawie przepisów prawa (organy ścigania, organy podatkowe, sądy).
5.3. Administrator dobiera dostawców z należytą starannością i może ich zmieniać w ramach kategorii wskazanych w pkt 5.1 i 5.2. Aktualna lista dostawców jest udostępniana na żądanie Użytkownika zgłoszone na adres e-mail: [email protected].
5.4. Administrator nie sprzedaje ani nie udostępnia danych osobowych Użytkowników w celach marketingowych podmiotom trzecim.
6. Pliki cookies i podobne technologie
6.1. Serwis internetowy wykorzystuje pliki cookies oraz podobne technologie zapisu i odczytu informacji na urządzeniu Użytkownika (w szczególności pamięć przeglądarki - localStorage i sessionStorage). Zasady korzystania z tych technologii w Aplikacji opisuje rozdział 10.
6.2. Technologie niezbędne - konieczne do świadczenia Usługi, o którą prosi Użytkownik: utrzymanie sesji zalogowanego Użytkownika (w tym sesji odświeżanej przy wybraniu opcji „Zapamiętaj mnie”), zabezpieczenia przed atakami, zapamiętanie decyzji dotyczącej plików cookies, zapamiętanie wybranego języka, identyfikator dokumentu Użytkownika niezarejestrowanego (pkt 4.1), robocza kopia edytowanego dokumentu chroniąca przed utratą zmian oraz ochrona formularzy przed zautomatyzowanym ruchem. Nie wymagają zgody Użytkownika (art. 399 ust. 3 ustawy - Prawo komunikacji elektronicznej); podstawą przetwarzania danych jest art. 6 ust. 1 lit. b lub f RODO.
6.3. Technologie analityczne - służące do zbierania statystyk korzystania z Platformy, analizy sposobu korzystania z serwisu (w tym zapisów przebiegu sesji, obejmujących ruchy kursora, kliknięcia i przewijanie, z maskowaniem treści wpisywanych w pola formularzy) oraz - w kreatorze - zapisów przebiegu sesji wykorzystywanych do diagnozowania błędów (pkt 2.10). Wymagają zgody Użytkownika.
6.4. Technologie reklamowe - służące do pomiaru skuteczności kampanii reklamowych Platformy prowadzonych w zewnętrznych serwisach (np. ustalenia, czy wizyta z reklamy zakończyła się rejestracją lub zakupem) oraz do kierowania reklam Platformy do osób, które wcześniej ją odwiedziły (remarketing). Wymagają zgody Użytkownika.
6.5. Przy pierwszej wizycie wyświetlany jest baner, w którym Użytkownik może zaakceptować wszystkie technologie („Akceptuję wszystkie”) albo korzystać wyłącznie z technologii niezbędnych („Tylko niezbędne”). Decyzję można w każdej chwili zmienić lub wycofać zgodę za pośrednictwem odnośnika do zarządzania zgodami w stopce serwisu oraz w ustawieniach kreatora. Do czasu wyrażenia zgody technologie analityczne i reklamowe nie zapisują na urządzeniu Użytkownika plików cookies ani innych identyfikatorów.
6.6. Podstawą zapisu i odczytu informacji na urządzeniu Użytkownika w celach analitycznych i reklamowych jest zgoda Użytkownika (art. 399 ust. 1 ustawy - Prawo komunikacji elektronicznej), a podstawą przetwarzania danych osobowych w tym zakresie - art. 6 ust. 1 lit. a RODO. Wycofanie zgody nie wpływa na legalność przetwarzania dokonanego przed jej wycofaniem.
6.7. Narzędzia analityczne i reklamowe mogą gromadzić informacje takie jak: adres IP (w miarę możliwości skracany lub maskowany), identyfikatory plików cookies i urządzeń, rodzaj przeglądarki, czas wizyty, odwiedzane podstrony, źródło wizyty oraz działania wykonane w serwisie. Dostawcy tych narzędzi mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym na zasadach opisanych w rozdziale 7. Niezależnie od zgody Platforma korzysta z pomiaru wydajności udostępnianego przez dostawcę CDN, który nie wykorzystuje plików cookies ani identyfikatorów urządzenia.
6.8. Użytkownik może skonfigurować przeglądarkę internetową w sposób blokujący pliki cookies lub informujący o ich wysyłaniu. Zablokowanie technologii niezbędnych może jednak uniemożliwić korzystanie z niektórych funkcji Platformy.
7. Transfer danych do państw trzecich
7.1. W związku z korzystaniem z usług dostawców mających siedzibę lub infrastrukturę poza Europejskim Obszarem Gospodarczym (w szczególności w Stanach Zjednoczonych), dane osobowe Użytkowników mogą być przekazywane do państw trzecich. Dotyczy to w szczególności dostawców modeli sztucznej inteligencji, usług CDN i ochrony Platformy, monitorowania błędów oraz - za zgodą Użytkownika - narzędzi analitycznych i reklamowych.
7.2. Transfer odbywa się z zapewnieniem odpowiednich zabezpieczeń zgodnie z RODO, na podstawie jednego lub obu z następujących mechanizmów: decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (art. 45 RODO), w tym decyzji dotyczącej ram EU-US Data Privacy Framework w przypadku dostawców objętych certyfikacją; standardowych klauzul umownych zatwierdzonych przez Komisję Europejską, stosowanych w umowach zawieranych pomiędzy Administratorem a dostawcą (art. 46 RODO).
7.3. Użytkownik ma prawo żądać od Administratora informacji o zastosowanych zabezpieczeniach transferu oraz ich kopii, kontaktując się na adres: [email protected].
8. Korzystanie z narzędzi sztucznej inteligencji (AI)
8.1. Platforma udostępnia narzędzia wykorzystujące sztuczną inteligencję, w tym w szczególności: analizę CV pod kątem zgodności z systemami rekrutacyjnymi ATS (tzw. ATS Checker), analizę CV i listu motywacyjnego w kreatorze, generowanie i podpowiadanie treści (m.in. podsumowań zawodowych, opisów doświadczenia, umiejętności oraz listów motywacyjnych), tłumaczenie CV na inny język, import istniejącego CV z pliku (przeniesienie i ustrukturyzowanie treści w kreatorze), dopasowanie CV do wybranej oferty pracy oraz inne funkcje wyraźnie oznaczone w interfejsie Platformy jako AI.
8.2. W celu realizacji powyższych funkcji treść dokumentu Użytkownika jest przesyłana do zewnętrznego dostawcy modelu sztucznej inteligencji, który działa jako podmiot przetwarzający (processor) na zlecenie Administratora, na podstawie umowy powierzenia przetwarzania zgodnej z art. 28 RODO. Administrator może korzystać z więcej niż jednego dostawcy, w tym z dostawcy zapasowego wykorzystywanego w przypadku niedostępności dostawcy podstawowego. Administrator korzysta z usług, w ramach których przesyłane treści nie są wykorzystywane przez dostawcę do trenowania modeli.
8.3. Przed przesłaniem treści do dostawcy AI Administrator automatycznie maskuje w pamięci serwera możliwe do zidentyfikowania dane osobowe, w szczególności: adres e-mail, numer telefonu, linki do profili społecznościowych, kody pocztowe, daty urodzenia, identyfikatory takie jak PESEL/NIP oraz imię i nazwisko z nagłówka dokumentu. Maskowanie realizowane jest na podstawie popularnych wzorców - ograniczenie to oznacza, że imię, nazwisko lub inne dane osobowe występujące wewnątrz treści (np. w opisie doświadczenia) mogą nie zostać zamaskowane. Zaleca się nieumieszczanie w przesyłanych treściach danych szczególnie wrażliwych.
8.4. Podstawą prawną przetwarzania jest art. 6 ust. 1 lit. b RODO (wykonanie usługi na żądanie Użytkownika) oraz art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora polegający na ochronie przed nadużyciami i egzekwowaniu limitów użycia, w tym poprzez mechanizm cache opisany w pkt 8.7).
8.5. Dane mogą być przekazywane do państw trzecich spoza EOG, w szczególności do Stanów Zjednoczonych, na zasadach opisanych w rozdziale 7.
8.6. Przetwarzanie plików przesłanych do narzędzi AI. W ramach funkcji umożliwiających wgranie pliku CV (m.in. ATS Checker oraz import CV do kreatora) plik w formacie PDF lub DOCX przesłany przez Użytkownika jest przetwarzany w pamięci serwera wyłącznie w celu ekstrakcji tekstu, a następnie usuwany natychmiast po zakończeniu tego procesu. Administrator nie przechowuje oryginalnych plików przesłanych przez Użytkownika.
8.7. Cache wyników analizy ATS Checker. W celu optymalizacji działania Platformy oraz ochrony przed nadużyciami Administrator przechowuje przez okres do 30 dni w pamięci podręcznej nieodwracalny skrót kryptograficzny treści CV wraz z wynikiem analizy AI. Skrót pełni funkcję klucza technicznego i sam w sobie nie zawiera danych osobowych. Przy ponownym przesłaniu identycznej treści CV w tym okresie system może zwrócić wynik z pamięci podręcznej, bez ponownego wysyłania treści do dostawcy AI.
8.8. Historia wyników. Wyniki działania Narzędzi AI są zapisywane wraz z informacją o rodzaju funkcji i dacie użycia - w przypadku zalogowanych Użytkowników przy Koncie i dokumencie, którego dotyczyły - w celu prezentacji Użytkownikowi wcześniejszych wyników oraz kontroli limitów użycia. Okres przechowywania określa pkt 4.5. Zasady przechowywania dokumentów utworzonych w kreatorze opisano w pkt 2.1 i 4.1.
8.9. Wyniki generowane przez narzędzia AI nie stanowią zautomatyzowanej decyzji w rozumieniu art. 22 RODO (szczegóły w rozdziale 12). Treści wygenerowane przez narzędzia AI są prezentowane w interfejsie jako propozycje, które Użytkownik może przyjąć, zmienić lub odrzucić.
8.10. Dopasowanie CV do oferty pracy. Użytkownik może wskazać ofertę pracy, podając link do ogłoszenia albo wklejając jego treść. W przypadku podania linku adres publicznie dostępnego ogłoszenia jest przekazywany zewnętrznemu serwisowi pobierającemu treść stron internetowych. Do tego serwisu trafia wyłącznie adres ogłoszenia, bez treści CV i danych Użytkownika. Treść oferty, po automatycznym zamaskowaniu zawartych w niej danych kontaktowych, oraz treść CV są przekazywane dostawcy AI na zasadach opisanych w pkt 8.2-8.3. Wskazane oferty wraz z ostatnim wynikiem dopasowania są przechowywane przy danym CV do czasu ich usunięcia przez Użytkownika, usunięcia CV albo usunięcia Konta (pkt 4.1).
8.11. Użytkownik ma prawo odmówić przetwarzania swoich danych przez narzędzia AI - wystarczy nie korzystać z funkcji oznaczonych jako AI; wszystkie pozostałe funkcje Platformy (w tym tworzenie, edycja i pobieranie dokumentów w formacie PDF) pozostaną w pełni dostępne.
9. Rejestracja i logowanie przez dostawców zewnętrznych
9.1. Platforma umożliwia rejestrację i logowanie za pośrednictwem kont zewnętrznych dostawców tożsamości, dostępnych na ekranie logowania („Dostawca OAuth”). W Aplikacji logowanie przez Dostawcę OAuth odbywa się w przeglądarce systemowej urządzenia, po czym Użytkownik jest przekierowywany z powrotem do Aplikacji.
9.2. W przypadku skorzystania z tej funkcji Administrator otrzymuje od Dostawcy OAuth zakres danych niezbędnych do założenia i utrzymania Konta: imię, nazwisko, adres e-mail oraz identyfikator Użytkownika u Dostawcy OAuth. Administrator nie otrzymuje hasła Użytkownika ani dostępu do innych danych przechowywanych u Dostawcy OAuth, o ile Użytkownik nie wyrazi na to odrębnej zgody po stronie Dostawcy OAuth.
9.3. Podstawą prawną udostępnienia danych Administratorowi przez Dostawcę OAuth jest zgoda Użytkownika wyrażona w procesie autoryzacji po stronie Dostawcy OAuth.
9.4. Podstawą prawną przetwarzania otrzymanych danych przez Administratora jest art. 6 ust. 1 lit. b RODO (wykonanie umowy o prowadzenie Konta).
9.5. Dostawcy OAuth działają jako niezależni administratorzy danych osobowych w zakresie uwierzytelniania, na zasadach określonych w ich politykach prywatności, dostępnych na ich stronach internetowych.
9.6. Użytkownik może w każdej chwili cofnąć dostęp Platformy do swojego konta w panelu swojego konta u Dostawcy OAuth. Cofnięcie dostępu uniemożliwi dalsze logowanie tą metodą, nie powoduje jednak usunięcia Konta na Platformie - w tym celu należy skorzystać z pkt 4.1.
10. Aplikacja mobilna
10.1. Aplikacja korzysta z tego samego Konta i tych samych danych co serwis internetowy. Postanowienia niniejszej Polityki Prywatności stosuje się do Aplikacji w całości, z uwzględnieniem niniejszego rozdziału.
10.2. Aplikacja przechowuje w pamięci urządzenia dane niezbędne do jej działania: dane sesji logowania, identyfikator dokumentu, wybrany język oraz roboczą kopię edytowanego dokumentu, która umożliwia pracę bez dostępu do sieci i jest synchronizowana z Platformą po przywróceniu połączenia. Dane sesji są usuwane po wylogowaniu, a pozostałe dane - po usunięciu danych Aplikacji lub jej odinstalowaniu. Pobrane dokumenty PDF są zapisywane na urządzeniu lub udostępniane wyłącznie na polecenie Użytkownika.
10.3. Aplikacja uzyskuje dostęp do aparatu lub galerii zdjęć urządzenia wyłącznie wtedy, gdy Użytkownik dodaje zdjęcie do dokumentu, i wyłącznie w zakresie wybranego zdjęcia. Aplikacja nie uzyskuje dostępu do lokalizacji, kontaktów ani innych danych urządzenia.
10.4. Aplikacja nie wykorzystuje narzędzi analitycznych ani reklamowych, nie zapisuje przebiegu sesji i nie wyświetla reklam. Do dostawcy usługi monitorowania błędów przesyłane są wyłącznie raporty błędów na zasadach opisanych w pkt 2.10.
10.5. Zakupy Usług Premium w Aplikacji są realizowane za pośrednictwem Sklepu z aplikacjami (pkt 2.3). Dane płatnicze Użytkownika przetwarza operator Sklepu z aplikacjami jako niezależny administrator, na zasadach określonych w jego polityce prywatności.
10.6. Usunięcie Konta jest możliwe bezpośrednio w Aplikacji (w ustawieniach Konta) oraz bez logowania, zgodnie z instrukcją dostępną pod adresem cv-online.pl/usuwanie-konta. Odinstalowanie Aplikacji nie powoduje usunięcia Konta.
11. Komunikacja marketingowa
11.1. Za uprzednią, dobrowolną i odrębną zgodą Użytkownika Administrator może przesyłać na podany adres e-mail informacje handlowe dotyczące Platformy, w szczególności: wskazówki dotyczące tworzenia CV i dopasowania go do ofert pracy, przypomnienia o dokumentach rozpoczętych na Platformie, informacje o nowych funkcjach Platformy oraz oferty promocyjne dotyczące Usług Premium.
11.2. Podstawą prawną jest zgoda Użytkownika (art. 6 ust. 1 lit. a RODO) w połączeniu z art. 398 ustawy z dnia 12 lipca 2024 r. - Prawo komunikacji elektronicznej.
11.3. Zgoda jest w pełni dobrowolna - jej brak lub wycofanie nie ogranicza dostępu do żadnej funkcji Platformy. Zgoda może zostać wyrażona podczas rejestracji, w ustawieniach Konta lub w odpowiedzi na prośbę o zgodę wyświetlaną w trakcie korzystania z Platformy. Wiadomości marketingowe są wysyłane wyłącznie na adres e-mail, którego posiadanie Użytkownik potwierdził.
11.4. Użytkownik może w każdej chwili wycofać zgodę bez podania przyczyny: klikając link „Wypisz się” w stopce każdej otrzymanej wiadomości marketingowej lub korzystając z funkcji wypisania się udostępnianej przez program pocztowy, wysyłając e-mail na [email protected], lub w panelu ustawień Konta.
11.5. Wycofanie zgody nie wpływa na legalność przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem.
11.6. Segmentacja odbiorców. Administrator może dokonywać segmentacji odbiorców komunikacji marketingowej na podstawie aktywności na Platformie (np. utworzenia lub pobrania dokumentu, korzystania z określonych funkcji, posiadania Usługi Premium) oraz kliknięć w linki zawarte w wysyłanych wiadomościach, rejestrowanych przy przejściu z wiadomości na Platformę. Segmentacja służy wyłącznie dostosowaniu treści do sytuacji Użytkownika i nie stanowi zautomatyzowanego podejmowania decyzji wywołującego skutki prawne. Podstawą prawną segmentacji jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora w postaci dostarczania treści dopasowanych do odbiorcy). Użytkownik może w każdej chwili wnieść sprzeciw wobec segmentacji, kontaktując się z Administratorem.
11.7. Dane osobowe przetwarzane na potrzeby komunikacji marketingowej przechowywane są zgodnie z pkt 4.3. Adresy, na które doręczenie trwale się nie powiodło lub z których zgłoszono wiadomość jako niechcianą, są automatycznie wpisywane na listę wykluczeń na podstawie informacji zwrotnych od dostawcy usług wysyłki e-mail.
11.8. Administrator korzysta z zewnętrznych dostawców usług wysyłki e-mail, którzy działają jako podmioty przetwarzające dane osobowe na podstawie umowy powierzenia zgodnej z art. 28 RODO.
12. Zautomatyzowane podejmowanie decyzji i profilowanie
12.1. Administrator nie podejmuje wobec Użytkowników zautomatyzowanych decyzji wywołujących skutki prawne ani w podobny sposób istotnie wpływających na Użytkownika w rozumieniu art. 22 RODO.
12.2. Wyniki generowane przez narzędzia AI (analizy, podpowiedzi treści, tłumaczenia, rekomendacje) mają charakter wyłącznie informacyjny i rekomendacyjny. Ostateczne decyzje dotyczące wykorzystania dokumentów oraz procesu rekrutacyjnego podejmuje wyłącznie Użytkownik.
12.3. Segmentacja odbiorców komunikacji marketingowej (pkt 11.6) stanowi profilowanie w rozumieniu art. 4 pkt 4 RODO, ale nie wywołuje skutków prawnych ani nie wpływa istotnie na sytuację Użytkownika. Użytkownikowi przysługuje prawo sprzeciwu.
13. Prawa Użytkowników
13.1. Użytkownikowi przysługują następujące prawa: prawo dostępu do danych (art. 15 RODO) - uzyskanie informacji o przetwarzanych danych oraz kopii tych danych; prawo do sprostowania danych (art. 16 RODO) - poprawienie nieprawidłowych lub niekompletnych danych; prawo do usunięcia danych („prawo do bycia zapomnianym”, art. 17 RODO); prawo do ograniczenia przetwarzania (art. 18 RODO); prawo do przenoszenia danych (art. 20 RODO) - otrzymanie danych w ustrukturyzowanym, powszechnie używanym formacie oraz ich przesłanie innemu administratorowi; prawo sprzeciwu wobec przetwarzania (art. 21 RODO) - w szczególności wobec przetwarzania na podstawie prawnie uzasadnionego interesu oraz wobec profilowania marketingowego; prawo do wycofania zgody (art. 7 ust. 3 RODO) - w każdej chwili, bez podania przyczyny, w zakresie przetwarzania opartego na zgodzie. Wycofanie zgody nie wpływa na legalność przetwarzania dokonanego przed jej wycofaniem; prawo do wniesienia skargi do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa), gdy Użytkownik uzna, że przetwarzanie jego danych narusza przepisy RODO.
13.2. Użytkownik może wykonać swoje prawa, kontaktując się z Administratorem za pośrednictwem adresu e-mail: [email protected]. Administrator udzieli odpowiedzi bez zbędnej zwłoki, nie później niż w terminie 30 dni od otrzymania żądania. W uzasadnionych przypadkach termin ten może zostać przedłużony o kolejne 60 dni, o czym Administrator poinformuje Użytkownika.
13.3. Wykonanie praw Użytkownika może wymagać weryfikacji jego tożsamości w celu ochrony przed udostępnieniem danych osobie nieuprawnionej.
14. Zmiany w Polityce Prywatności
14.1. Administrator zastrzega sobie prawo do wprowadzenia zmian w niniejszej Polityce Prywatności, w szczególności w związku ze zmianą przepisów prawa, zakresu funkcji Platformy lub sposobu przetwarzania danych. O zmianach wpływających na zakres lub cele przetwarzania danych albo na prawa Użytkowników, Użytkownicy posiadający Konto zostaną powiadomieni z co najmniej 14-dniowym wyprzedzeniem przed wejściem zmian w życie, za pośrednictwem wiadomości e-mail na adres przypisany do Konta. Zmiany o charakterze wyłącznie redakcyjnym lub porządkowym, a także zmiana dostawcy w ramach kategorii odbiorców wskazanych w rozdziale 5, wchodzą w życie z chwilą publikacji.
14.2. Poprzednie wersje Polityki Prywatności są archiwizowane przez Administratora i udostępniane na żądanie Użytkownika zgłoszone na adres e-mail: [email protected].
15. Kontakt
15.1. W przypadku pytań dotyczących przetwarzania danych osobowych przez Administratora, Użytkownik może skontaktować się za pośrednictwem adresu e-mail: [email protected].