Zasady powierzenia danych

1. Strony i charakter przetwarzania

Klient jest administratorem danych wprowadzanych do swojej przestrzeni w związku z jego procesami rekrutacyjnymi. Podmiotem przetwarzającym jest MultiDoradztwo Jakub Głowiński, ul. Herbu Oksza 14/112, 02-495 Warszawa, Polska, NIP 5223268699. Zasady te uzupełniają regulamin i dotyczą wyłącznie przetwarzania na rzecz klienta; dane konta obsługiwane przez operatora we własnych celach opisuje polityka prywatności.

Przedmiot obejmuje przechowywanie, porządkowanie, wyszukiwanie, odczyt, aktualizację, udostępnianie w uzgodnionym zakresie, eksport i usuwanie danych za pomocą Rekrivo. Przetwarzanie trwa przez okres realizacji usługi i niezbędnego zwrotu lub usunięcia danych po jej zakończeniu.

2. Osoby i kategorie danych

Osobami objętymi przetwarzaniem mogą być kandydaci, rekruterzy, członkowie zespołów zatrudniających i osoby kontaktowe klienta. Kategorie obejmują dane identyfikacyjne i kontaktowe, przebieg edukacji i pracy, kompetencje, CV, dokumenty, zgody, aplikacje, oceny, notatki, wiadomości, terminy i ustalenia dotyczące procesu.

Klient minimalizuje zakres danych. Szczególne kategorie danych i informacje o wyrokach nie są objęte domyślnym zakresem usługi; ich powierzenie wymaga uprzedniego odrębnego uzgodnienia właściwych podstaw i zabezpieczeń.

3. Instrukcje i poufność

Operator przetwarza dane wyłącznie na udokumentowane polecenie klienta, w tym instrukcje wynikające z regulaminu, ustawień i autoryzowanych działań w przestrzeni, chyba że przepis wymaga inaczej; w takim przypadku informuje klienta, o ile prawo tego nie zabrania.

Dostęp otrzymują wyłącznie upoważnione osoby zobowiązane do poufności. Operator nie wykorzystuje powierzonych CV do własnego marketingu ani treningu modeli. Jeżeli polecenie w jego ocenie narusza przepisy ochrony danych, niezwłocznie informuje klienta i wyjaśnia dalszy sposób postępowania.

4. Środki ochrony

Ochrona obejmuje kontrolę uprawnień i organizacji, RLS w PostgreSQL, ograniczone konta usług, szyfrowane połączenia, zabezpieczenie sekretów integracji, ochronę sesji, rejestry zmian i dostępów administracyjnych oraz procedury obsługi zdarzeń. Klient odpowiada za uprawnienia swoich użytkowników, odbiorców zaproszeń i bezpieczeństwo ich kont Google.

Środki są dobierane i aktualizowane z uwzględnieniem ryzyka. Opis zabezpieczeń nie stanowi zgody na testy penetracyjne lub próby dostępu do danych innych klientów bez osobnego uzgodnienia.

5. Podwykonawcy i przekazywanie

Klient udziela ogólnego zezwolenia na korzystanie z dostawców niezbędnych dla usługi: Hetzner, Neon i Brevo/Sendinblue, a w okresie przenoszenia kont także OpenAI Sites. Zależnie od aktywowanych czynności przetwarzanie może obejmować odrębnie autoryzowaną integrację, np. kalendarz, pocztę lub narzędzie spotkań.

Operator zapewnia, aby dalszy podmiot przetwarzający był związany odpowiednimi obowiązkami ochrony danych. O planowanej zmianie istotnego podwykonawcy informuje klienta z co najmniej 14-dniowym wyprzedzeniem, umożliwiając uzasadniony sprzeciw dotyczący ochrony danych i ustalenie rozwiązania, w tym zakończenia objętej zmianą usługi.

Przekazanie poza EOG wymaga zgodności z rozdziałem V RODO, w tym właściwego mechanizmu transferu. Samo włączenie integracji nie jest zwolnieniem z tych obowiązków; klient musi również ocenić samodzielnie wybranego odbiorcę.

6. Pomoc, incydenty i audyt

Operator, w zakresie przetwarzania i dostępnych informacji, pomaga klientowi realizować prawa osób oraz obowiązki związane z bezpieczeństwem, oceną skutków i konsultacją z organem. Żądanie dotyczące danych klienta otrzymane od osoby przekazuje klientowi bez samodzielnego rozstrzygania o podstawie jego rekrutacji.

O stwierdzonym naruszeniu ochrony powierzonych danych operator zawiadamia klienta bez zbędnej zwłoki, przekazując dostępne informacje o charakterze, zakresie, możliwych skutkach i działaniach zaradczych oraz uzupełnia je w miarę ustaleń. Strony współpracują przy ocenie obowiązków zawiadomienia osób i organu.

Operator udostępnia informacje konieczne do wykazania przestrzegania obowiązków i umożliwia uzgodniony audyt lub inspekcję przez klienta albo upoważnionego audytora. Organizacja audytu musi chronić poufność i dane innych klientów. Nie ogranicza to uprawnień organu nadzorczego.

7. Zakończenie i kontakt

Po zakończeniu usługi klient może polecić zwrot lub usunięcie danych i ich kopii, z wyjątkiem zakresu, którego zachowanie nakazuje prawo. Terminy i techniczny sposób zwrotu, usunięcia oraz wygaśnięcia kopii zapasowych uzgadnia się przy zamknięciu przestrzeni. Polecenia i kontakt w sprawie powierzenia: kubaglowinski13@gmail.com.

W zakresie nieuregulowanym stosuje się RODO, w szczególności art. 28, oraz regulamin. Gdy operator działa jako niezależny administrator konkretnej rekrutacji, właściwe są odrębne informacje i uzgodnienia dotyczące tego procesu.