Lista podmiotów przetwarzających

O tej liście

CV Score jest prowadzony przez The CodeCave GmbH, Alfred-Nobel-Straße 29, 50226 Frechen, Niemcy. Do prowadzenia Usługi korzystamy z niewielkiej liczby usługodawców, którzy przetwarzają dane osobowe w naszym imieniu. Na tej stronie wymieniamy każdego z nich, abyś jeszcze przed przesłaniem czegokolwiek wiedział, kto jest zaangażowany.

Każdy z tych dostawców działa jako podmiot przetwarzający w rozumieniu art. 28 RODO i jest zobowiązany:

Przetwarzać dane wyłącznie zgodnie z naszymi udokumentowanymi poleceniami i wyłącznie we wskazanym celu
Stosować odpowiednie techniczne i organizacyjne środki bezpieczeństwa
Zobowiązać swój personel do zachowania poufności
Korzystać z dalszych podmiotów przetwarzających wyłącznie na równoważnych warunkach
Usunąć dane lub zwrócić je po zakończeniu współpracy

Aktualne podmioty przetwarzające

OpenAI

USA

Cel

Ocena Twojego CV przez AI

Przetwarzane dane

Tekst wyodrębniony z Twojego CV wraz z zawartymi w nim danymi osobowymi, takimi jak imię i nazwisko oraz dane kontaktowe. Bez identyfikatora konta, bez adresu e-mail używanego do logowania, bez danych płatniczych.

Gwarancje

Standardowe klauzule umowne UE na podstawie art. 46 ust. 2 lit. c RODO

Używanym modelem jest gpt-4o-mini, wywoływany przez biznesowe API. Zgodnie z warunkami API OpenAI treści przesyłane w ten sposób domyślnie nie są wykorzystywane do trenowania modeli OpenAI.

Zobacz politykę prywatności →

Supabase

USA

Cel

Uwierzytelnianie, baza danych i przechowywanie przesłanych plików CV

Przetwarzane dane

Dane konta (adres e-mail, skrót hasła, identyfikator użytkownika), pliki CV, wyniki ocen, zapisy płatności, odpowiedzi z ankiety, wiadomości z opiniami

Gwarancje

Standardowe klauzule umowne UE na podstawie art. 46 ust. 2 lit. c RODO

Pliki CV znajdują się w prywatnym obszarze pamięci, oddzielonym dla każdego użytkownika i niedostępnym publicznie. Dostęp do bazy danych jest ograniczony zabezpieczeniami na poziomie wierszy.

Zobacz politykę prywatności →

Google Cloud

Serwery we Frankfurcie nad Menem, Niemcy (europe-west3)

Cel

Hosting naszego backendu API oraz zadań zaplanowanych, które wyzwalają nasze e-maile

Przetwarzane dane

Wszystkie dane, które backend obsługuje podczas przetwarzania żądania, w tym tekst CV w trakcie wyodrębniania, oraz logi serwerów

Gwarancje

Standardowe klauzule umowne UE na podstawie art. 46 ust. 2 lit. c RODO

Serwery, z których korzystamy, znajdują się w Niemczech. Google należy jednak do grupy kapitałowej z siedzibą w USA, więc dostępu z państwa trzeciego nie można wykluczyć.

Zobacz politykę prywatności →

Netlify

USA

Cel

Dostarczanie aplikacji internetowej pod adresem app.cvscore.net

Przetwarzane dane

Adres IP, dane przeglądarki i dane żądań w logach serwerów

Gwarancje

Standardowe klauzule umowne UE na podstawie art. 46 ust. 2 lit. c RODO

Netlify jedynie dostarcza pliki aplikacji do Twojej przeglądarki. Pliki CV i wyniki ocen nie są tam przechowywane.

Zobacz politykę prywatności →

Railway

USA

Cel

Dostarczanie strony internetowej pod adresem cvscore.net

Przetwarzane dane

Adres IP, dane przeglądarki i dane żądań w logach serwerów

Gwarancje

Standardowe klauzule umowne UE na podstawie art. 46 ust. 2 lit. c RODO

Dotyczy wyłącznie publicznych stron informacyjnych. Nie są tu przetwarzane żadne dane kont ani żadne CV.

Zobacz politykę prywatności →

Polar

USA

Cel

Obsługa płatności, ustalanie podatku i fakturowanie

Przetwarzane dane

Adres e-mail, dane metody płatności i dane rozliczeniowe, kwota, waluta, dane transakcji

Gwarancje

Standardowe klauzule umowne UE na podstawie art. 46 ust. 2 lit. c RODO

Dane karty wprowadzane są na stronach Polar i nigdy do nas nie trafiają. Otrzymujemy wyłącznie adres e-mail, kwotę, status i numer referencyjny transakcji.

Zobacz politykę prywatności →

Resend

USA

Cel

Wysyłka naszych e-maili transakcyjnych i marketingowych

Przetwarzane dane

Adres e-mail odbiorcy, temat i treść wiadomości

Gwarancje

Standardowe klauzule umowne UE na podstawie art. 46 ust. 2 lit. c RODO

E-maile marketingowe wysyłamy wyłącznie za Twoją zgodą i zawsze z linkiem do rezygnacji dostępnym jednym kliknięciem.

Zobacz politykę prywatności →

Uwagi dotyczące infrastruktury

Dwie kwestie, które przy lekturze powyższej tabeli łatwo przeoczyć:

Dostawca	Używane przez	Cel	Klasyfikacja
Rybbit	Nie jest podmiotem przetwarzającym	Pomiar ruchu na naszych stronach i w aplikacji — bez plików cookie, jeden identyfikator w pamięci lokalnej, bez przekazywania podmiotom trzecim	Prowadzony we własnym zakresie, dlatego nie jest wymieniony jako podmiot przetwarzający
Logowanie przez Google	Tylko jeśli je wybierzesz	Opcjonalne logowanie; Google przekazuje nam wówczas Twój adres e-mail i podstawowe dane profilowe, a w zakresie własnego przetwarzania działa jako niezależny administrator danych	Obowiązuje polityka prywatności Google
Google Fonts	Tylko aplikacja	Krój pisma app.cvscore.net jest ładowany z serwerów Google; Twój adres IP trafia przy tym do Google. Strony w domenie cvscore.net korzystają z krojów pisma hostowanych przez nas.	Obowiązuje polityka prywatności Google

Droga Twoich danych

Co dzieje się pomiędzy przesłaniem pliku a gotowym raportem:

Przesyłasz CV

Dane: Plik PDF, najwyżej 5 MB i 3 stronyDo: Prywatny obszar pamięci u Supabase

Przypisany do Twojego konta, niedostępny publicznie

Tekst jest wyodrębniany

Dane: Tekst Twojego CVDo: Nasz własny backend na Google Cloud we Frankfurcie

Wyodrębnianie oraz, w przypadku zeskanowanych plików PDF, rozpoznawanie tekstu odbywają się na naszym serwerze — bez udziału podmiotów trzecich

Uruchamiana jest ocena AI

Dane: Pełny tekst CV wraz z zawartymi w nim danymi osobowymiDo: API OpenAI (gpt-4o-mini), USA

Nie są przekazywane identyfikator konta, adres e-mail używany do logowania ani dane płatnicze

Wynik jest zapisywany

Dane: Wyniki punktowe, spostrzeżenia, mocne strony i obszary poprawyDo: Baza danych u Supabase

Powiązane z Twoim kontem, dopóki go nie usuniesz

Otrzymujesz powiadomienie

Dane: Twój adres e-mail i samo powiadomienieDo: Resend, USA

Wiadomość transakcyjna z informacją, że raport jest gotowy

Gwarancje przy przekazywaniu do państw trzecich

Kilku z wymienionych wyżej dostawców ma siedzibę w Stanach Zjednoczonych lub należy do grupy kapitałowej z siedzibą w USA. W przypadku tych przekazań opieramy się na:

Standardowe klauzule umowne UE

Klauzule przyjęte przez Komisję Europejską na podstawie art. 46 ust. 2 lit. c RODO, uzgodnione w ramach umów powierzenia przetwarzania danych z naszymi dostawcami.

Dotyczy: Wszyscy dostawcy spoza EOG

EU-US Data Privacy Framework

Jeżeli dostawca posiada certyfikację w ramach tego programu, dodatkowo zastosowanie ma decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony z 10 lipca 2023 r.

Dotyczy: Certyfikowani dostawcy z USA

Środki uzupełniające

Szyfrowana transmisja, dostęp ograniczony do niezbędnego minimum oraz minimalizacja danych — w szczególności naszemu dostawcy AI nie są przekazywane identyfikatory kont ani dane płatnicze.

Dotyczy: Wszyscy dostawcy

Mimo tych gwarancji pozostaje ryzyko szczątkowe, że organy w państwie trzecim będą żądać dostępu do danych na podstawie tamtejszego prawa. Nie możemy tego wykluczyć i wolimy to powiedzieć wprost, niż sugerować coś przeciwnego.

Zmiany w tej liście

Od czasu do czasu dodajemy lub zmieniamy podmioty przetwarzające. Gdy tak się dzieje:

Aktualizujemy tę listę oraz odpowiednią sekcję naszej polityki prywatności
Aktualizujemy datę widoczną na górze tej strony
Klientów biznesowych z własną umową powierzenia przetwarzania danych informujemy w sposób uzgodniony w tej umowie

Jeśli masz zastrzeżenia wobec któregoś z tych dostawców, napisz na privacy@cvscore.net.

Pytania

Jeśli masz pytania dotyczące naszych podmiotów przetwarzających lub postępowania z Twoimi danymi, skontaktuj się z nami pod adresem privacy@cvscore.net