Polityka prywatności

1. Wprowadzenie

CV Score jest usługą spółki The CodeCave GmbH („my”, „nas”, „nasz”). Niniejsza Polityka prywatności wyjaśnia, w jaki sposób przetwarzamy dane osobowe, gdy odwiedzasz naszą stronę cvscore.net, korzystasz z aplikacji internetowej pod adresem app.cvscore.net lub zlecasz za jej pośrednictwem ocenę swojego CV (łącznie „Usługa”).

Ponieważ nasza siedziba znajduje się w Niemczech, do wszystkich naszych operacji przetwarzania stosuje się unijne ogólne rozporządzenie o ochronie danych (RODO) oraz niemiecka federalna ustawa o ochronie danych (BDSG), niezależnie od tego, gdzie mieszkasz. W zależności od miejsca pobytu mogą Ci przysługiwać dodatkowe prawa wynikające z prawa lokalnego — na przykład z UK GDPR, California Consumer Privacy Act (CCPA/CPRA), brazylijskiej LGPD, kanadyjskiej PIPEDA, australijskiej ustawy Privacy Act, singapurskiej PDPA lub południowoafrykańskiej POPIA. Omawiamy je w osobnych sekcjach poniżej.

Niniejsza polityka obowiązuje od daty wskazanej powyżej i opisuje Usługę w jej obecnym kształcie. Dane naszej spółki publikujemy dodatkowo w nocie prawnej (Impressum).

2. Administrator danych

Administratorem danych w rozumieniu art. 4 pkt 7 RODO dla opisanych tu operacji przetwarzania jest:

Ponieważ administrator ma siedzibę w Unii Europejskiej, przedstawiciel w rozumieniu art. 27 RODO nie jest wymagany ani wyznaczony. W sprawach dotyczących ochrony danych pisz na privacy@cvscore.net.

3. Jakie dane przetwarzamy

Zakres przetwarzanych danych zależy od tego, w jaki sposób korzystasz z Usługi:

Dane konta

CV możesz przesłać i zlecić jego ocenę bez konta; aby zobaczyć wynik, konto jest wymagane. Dla konta przetwarzamy:

• Twój adres e-mail
• Twoje hasło — tylko w przypadku kont, które logują się adresem e-mail i hasłem; przechowywane przez naszego dostawcę uwierzytelniania wyłącznie jako skrót kryptograficzny, nigdy w postaci jawnej
• Jeśli logujesz się przez Google lub LinkedIn: adres e-mail i podstawowe dane profilowe, które przekazuje nam dany dostawca
• Wewnętrzny identyfikator użytkownika (UUID) oraz znaczniki czasu utworzenia konta i logowania
• Czy Twój adres e-mail został potwierdzony
• Status Twojej zgody marketingowej oraz, w stosownych przypadkach, czas i kanał jej późniejszego wycofania

Ocena bez konta

CV możesz przesłać i zlecić jego ocenę, zanim założysz konto. Przetwarzamy wówczas:

• Losowy identyfikator (UUID), który generuje Twoja przeglądarka i zapisuje w swojej pamięci lokalnej. Jest on jedynym powiązaniem między Tobą a Twoją oceną, nic o Tobie nie mówi i nie jest plikiem cookie
• Przesłane CV i wynik oceny, na tych samych zasadach, jakie opisano poniżej dla plików CV i wyników ocen
• Kryptograficzną sumę kontrolną (HMAC) Twojego adresu IP, dzięki której ograniczamy anonimowe przesłania do pięciu na adres IP na godzinę. Przechowujemy wyłącznie tę sumę kontrolną, nigdy samego adresu IP

Pliki CV

Gdy przesyłasz CV do oceny, przetwarzamy:

• Przesłany plik PDF (maksymalnie 5 MB i 3 strony)
• Nazwę pliku, rozmiar pliku i liczbę stron
• Sumę kontrolną SHA-256 pliku, służącą do rozpoznania ponownego przesłania tego samego dokumentu i uniknięcia podwójnego obciążenia Cię opłatą
• Wybrany przez Ciebie język raportu oraz czas przesłania

Wyniki oceny

Dla każdej oceny przechowujemy:

• Wynik ogólny oraz wyniki 8 kategorii i ich podkategorii
• Pozytywne i negatywne spostrzeżenia dla każdej podkategorii, do trzech najważniejszych mocnych stron i do siedmiu kluczowych obszarów poprawy, każdy z oznaczeniem wysokiego lub średniego wpływu
• Teksty te formułuje sam model; mogą odnosić się do treści Twojego CV i przytaczać poszczególne sformułowania z niego
• Użyty identyfikator modelu, wersję promptu i wersję schematu, aby wynik pozostał odtwarzalny
• Status przetwarzania, ewentualny komunikat o błędzie oraz to, czy i kiedy pełny raport został odblokowany
• Przed analizą możesz dobrowolnie podać branżę, docelowe stanowisko (tekst dowolny, po usunięciu skrajnych spacji ograniczony do 120 znaków) i przedział doświadczenia. Przesłany kontekst jest zapisywany z oceną i podlega tym samym zasadom przechowywania i usuwania. Analiza jest możliwa bez tych danych.

Dane płatnicze

Płatności obsługuje nasz dostawca płatności Polar. Po naszej stronie przechowujemy wyłącznie:

• Adres e-mail użyty do zakupu
• Kwotę, walutę, status, numer referencyjny transakcji nadany przez dostawcę oraz zakupiony produkt
• Stan Twojego salda kredytów i rejestr każdej zmiany salda — uznanie przy zakupie, obciążenie przy odblokowaniu raportu
• W przypadku kont z dawną subskrypcją: jej plan, status i bieżący okres rozliczeniowy
• Czy wyświetlono Ci jednorazową, ograniczoną czasowo ofertę i czy z niej skorzystałeś
• Zapis o rozpoczęciu procesu płatności (identyfikator płatności, adres e-mail, produkt), na podstawie którego wykrywamy porzucone zakupy

Gdy rozpoczynasz zakup, przekazujemy do Polar Twój adres e-mail oraz wewnętrzny identyfikator Twojego konta, aby płatność mogła zostać przypisana do konta. Nigdy nie otrzymujemy ani nie przechowujemy numeru Twojej karty, kodu weryfikacyjnego karty ani innych danych uwierzytelniających płatność. Dane te, wraz z danymi rozliczeniowymi niezbędnymi do ustalenia właściwej stawki podatku, przetwarza Polar na własną odpowiedzialność. Po faktury i w celu zarządzania subskrypcją kierujemy Cię do portalu klienta Polar.

Nieobowiązkowa ankieta

Po analizie możemy zadać kilka dobrowolnych pytań, aby umieścić Twój wynik w kontekście. Odpowiedzi zapisujemy wyłącznie jako przedziały, nigdy jako dokładne wartości:

• Liczbę wysłanych aplikacji i uzyskanych rozmów kwalifikacyjnych, jako przedział
• Oczekiwania płacowe jako widełki, wraz z opcją nieudzielania takiej informacji
• Czy jesteś obecnie między stanowiskami, czy pracujesz i chcesz zmienić pracę
• Czy chcesz zmienić pracę i czy chcesz, abyśmy skontaktowali się z Tobą w sprawie opinii

Opinie i wsparcie

Jeśli wyślesz nam z poziomu aplikacji opinię lub zgłoszenie do wsparcia, przechowujemy:

• Twoją wiadomość oraz informację, czy oznaczyłeś ją jako opinię, czy jako zgłoszenie do wsparcia
• Adres e-mail Twojego konta i czas przesłania

Dane techniczne i dane o korzystaniu

Podczas korzystania ze strony internetowej i aplikacji automatycznie przetwarzane są:

• Dane z logów serwerów naszych dostawców hostingu, w tym adres IP, data i godzina, żądany zasób, status HTTP i strona odsyłająca
• Informacje o przeglądarce i urządzeniu przekazywane przez Twoją przeglądarkę
• Logi błędów aplikacji, które rejestrują techniczne komunikaty o błędach, a nie treść CV
• Twój adres IP na potrzeby ograniczania liczby żądań i zapobiegania nadużyciom
• Twój token logowania, przechowywany w Twojej przeglądarce (zob. sekcja 16)
• Zagregowane dane pomiaru zasięgu (zob. sekcja 16)

4. Skąd pozyskujemy te dane

Bezpośrednio od Ciebie: Gdy zakładasz konto, przesyłasz CV, odpowiadasz na nieobowiązkową ankietę, kupujesz raport lub kontaktujesz się z nami.

Automatycznie: Poprzez logi serwerów, technicznie niezbędny token logowania oraz nasz własny pomiar zasięgu podczas korzystania przez Ciebie z Usługi.

Od Google lub LinkedIn: Jeśli zdecydujesz się zalogować przez Google lub LinkedIn, otrzymujemy od danego dostawcy Twój adres e-mail i podstawowe dane profilowe.

Od naszego dostawcy płatności: Polar informuje nas o rozpoczęciu procesu płatności oraz o tym, że płatność się powiodła, została zwrócona lub zakwestionowana, i przekazuje nam adres e-mail, kwotę oraz numer referencyjny transakcji.

5. Cele i podstawy prawne

Dane osobowe przetwarzamy wyłącznie wtedy, gdy istnieje podstawa prawna z art. 6 ust. 1 RODO:

NIE wykorzystujemy Twojego CV do celów reklamowych, do profilowania ani do trenowania modeli AI i nie sprzedajemy danych osobowych.

6. Przetwarzanie z użyciem AI i decyzje zautomatyzowane

Twoje CV jest oceniane w pełni automatycznie. Ta sekcja wyjaśnia dokładnie, co się przy tym dzieje, co opuszcza nasze systemy i jak oceniamy to w świetle art. 22 RODO.

Jak przebiega ocena

Gdy przesyłasz CV:

1. Sprawdzamy plik (PDF, najwyżej 5 MB i 3 strony) oraz — na podstawie sumy kontrolnej — czy dokładnie tego dokumentu nie oceniłeś już wcześniej w tym samym języku.
2. Tekst jest wyodrębniany na naszym własnym serwerze. Jeśli plik PDF nie zawiera tekstu odczytywalnego maszynowo, na tym samym serwerze uruchamiane jest rozpoznawanie tekstu (OCR). W żadnym z tych kroków nie uczestniczy podmiot trzeci. Sam plik PDF zapisujemy w prywatnym obszarze pamięci Twojego konta.
3. Wyodrębniony tekst CV jest przesyłany do API OpenAI wraz z naszą instrukcją oceny. Używanym modelem jest gpt-5.6-luna, z temperaturą 0 i stałą wartością początkową, dzięki czemu ten sam tekst daje niemal identyczny wynik.
4. Wynik jest zapisywany przy Twoim koncie i wyświetlany Tobie. Pełny raport jest widoczny po jego odblokowaniu.

Co jest oceniane

Model ocenia dokument w ośmiu kategoriach:

• Dane kontaktowe i nagłówek
• Podsumowanie zawodowe
• Doświadczenie zawodowe
• Wykształcenie i kwalifikacje
• Umiejętności i kompetencje
• Layout i projekt wizualny
• Język i komunikacja
• ATS i pozycjonowanie strategiczne

Ważne ograniczenia

• To nie jest narzędzie rekrutacyjne: CV Score powstał z myślą o Twojej własnej samoocenie. Nie jest przeznaczony do selekcji kandydatów przez pracodawców, wyboru aplikujących ani procesów HR.
• Brak gwarancji: wysoki wynik nie gwarantuje zaproszeń na rozmowy ani ofert pracy, a niski wynik nie oznacza, że nie masz kwalifikacji.
• Wyłącznie jakość dokumentu: ocena dotyczy sposobu prezentacji dokumentu, a nie Twoich kwalifikacji, Twojego doświadczenia ani Twojej przydatności na danym stanowisku.
• Brak porad prawnych i doradztwa zawodowego: wynik ma charakter informacyjny i nie stanowi profesjonalnej porady.

Czy jest to decyzja zautomatyzowana w rozumieniu art. 22 RODO?

Ocena powstaje bez udziału człowieka. W naszej ocenie nie jest to jednak decyzja wywołująca wobec Ciebie skutki prawne ani w podobny sposób istotnie na Ciebie wpływająca w rozumieniu art. 22 ust. 1 RODO: analizę inicjujesz samodzielnie, wynik ma charakter doradczy, jest wyświetlany wyłącznie Tobie, a żaden podmiot trzeci — w szczególności żaden pracodawca ani rekruter — go nie otrzymuje i nie podejmuje na jego podstawie żadnych rozstrzygnięć. Nie przekazujemy wyników pracodawcom, rekruterom ani portalom z ofertami pracy. Jest to nasza ocena; jeśli widzisz to inaczej, możesz ją zakwestionować w opisany poniżej sposób.

Weryfikacja przez człowieka

Niezależnie od powyższej oceny dobrowolnie przyznajemy Ci gwarancje z art. 22 ust. 3 RODO:

• Możesz zażądać weryfikacji każdej oceny przez człowieka, pisząc na support@cvscore.net
• Możesz przedstawić własne stanowisko i zakwestionować wynik
• Na takie żądania odpowiadamy w ciągu miesiąca

Trenowanie modeli AI

Korzystamy z OpenAI za pośrednictwem jego biznesowego API. Zgodnie z warunkami API OpenAI treści przesyłane przez API domyślnie nie są wykorzystywane do trenowania modeli OpenAI. My sami nie wykorzystujemy Twojego CV, Twoich wyników ani Twoich opinii do trenowania własnych modeli.

7. Odbiorcy Twoich danych

Dane przekazujemy wyłącznie w następujących przypadkach:

Podmioty przetwarzające: Usługodawcy, którzy przetwarzają dane wyłącznie zgodnie z naszymi poleceniami i są związani umową powierzenia przetwarzania danych na podstawie art. 28 RODO. Wymieniamy ich w sekcji 8.

Dostawca płatności: Polar realizuje samą płatność na własną odpowiedzialność i przekazuje nam jedynie informację o jej wyniku.

Obowiązki prawne: Ujawniamy dane, gdy jesteśmy do tego prawnie zobowiązani, na przykład wobec sądów lub organów publicznych działających w granicach swoich uprawnień.

Przeniesienie działalności: Jeśli nasza działalność lub jej część zostanie przeniesiona, dane mogą przejść na nabywcę. O takiej zmianie poinformowalibyśmy Cię z wyprzedzeniem.

Nie sprzedajemy Twoich danych osobowych. Nie wynajmujemy ich, nie handlujemy nimi i nie udostępniamy ich podmiotom trzecim do ich własnych celów reklamowych.

8. Podmioty przetwarzające

Do prowadzenia CV Score korzystamy z następujących usługodawców:

Szczegóły dotyczące poszczególnych dostawców, drogi Twoich danych oraz gwarancji, na których się opieramy, znajdziesz w naszej Liście podmiotów przetwarzających.

Jeśli dodajemy lub zmieniamy podmiot przetwarzający, aktualizujemy niniejszą politykę oraz listę podmiotów przetwarzających. Nasz pomiar zasięgu działa na naszej własnej infrastrukturze i dlatego nie jest tu wymieniony — zob. sekcja 16.

9. Przekazywanie do państw trzecich

Część naszych podmiotów przetwarzających ma siedzibę w Stanach Zjednoczonych lub należy do grupy kapitałowej z siedzibą w USA. W takich przypadkach dane osobowe są przekazywane do państwa spoza Europejskiego Obszaru Gospodarczego, w odniesieniu do którego Komisja Europejska nie stwierdziła równoważnego poziomu ochrony.

Gwarancje

W przypadku tych przekazań opieramy się na następujących gwarancjach:

• Standardowe klauzule umowne: klauzule przyjęte przez Komisję Europejską na podstawie art. 46 ust. 2 lit. c RODO, uzgodnione z naszymi dostawcami w ramach umów powierzenia przetwarzania danych.
• EU-US Data Privacy Framework: jeżeli dostawca posiada certyfikację w ramach tego programu, dodatkowo zastosowanie ma art. 45 RODO na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony z 10 lipca 2023 r.
• Środki uzupełniające: szyfrowana transmisja, dostęp ograniczony do niezbędnego minimum oraz minimalizacja danych — w szczególności nie przekazujemy identyfikatorów kont ani danych płatniczych naszemu dostawcy AI.

Które dane trafiają gdzie

Tekst Twojego CV jest przekazywany do OpenAI w USA. Dane konta, pliki CV i wyniki są przechowywane u Supabase, spółki amerykańskiej. Płatności przebiegają przez Polar, a e-maile przez Resend — obie spółki są amerykańskie. Nasz backend API działa na serwerach Google Cloud we Frankfurcie nad Menem w Niemczech, jednak Google należy do grupy kapitałowej z siedzibą w USA. Ponadto aplikacja pod adresem app.cvscore.net ładuje swój krój pisma z Google Fonts; Twoja przeglądarka łączy się przy tym bezpośrednio z serwerami Google LLC i przekazuje im Twój adres IP. Strony w domenie cvscore.net korzystają z krojów pisma hostowanych przez nas. Mimo powyższych gwarancji pozostaje ryzyko szczątkowe, że organy w państwie trzecim będą żądać dostępu do danych na podstawie tamtejszego prawa; nie możemy tego wykluczyć.

10. Okres przechowywania

Dane przechowujemy tak długo, jak jest to niezbędne do celu, w którym zostały zebrane, lub tak długo, jak wymagają tego przepisy prawa. Poza ocenami utworzonymi bez konta nie ma automatycznego usuwania po upływie ustalonego okresu — o tym, kiedy znikną Twoje oceny, decydujesz Ty:

Każdą pojedynczą ocenę oraz całe konto możesz w dowolnym momencie usunąć samodzielnie w aplikacji. Usunięcie oceny powoduje usunięcie jej rekordu z bazy danych oraz zgłoszenie do usunięcia powiązanego pliku PDF z pamięci. Usunięcie konta powoduje usunięcie Twojego konta u naszego dostawcy uwierzytelniania oraz powiązanych z nim rekordów — ocen, wyników, odpowiedzi z ankiety, opinii, salda i historii kredytów, danych subskrypcji, zapisów o procesach płatności, dziennika wiadomości e-mail oraz statusu Twojej zgody. Zapisy płatności pozostają — bez powiązania z Twoim kontem — tak długo, jak wymagają tego wskazane wyżej okresy przechowywania. Kopie mogą przez krótki czas pozostawać w kopiach zapasowych, dopóki nie zostaną one nadpisane w zwykłym cyklu. Jeśli chcesz otrzymać potwierdzenie usunięcia, napisz na privacy@cvscore.net.

11. Twoje prawa

W odniesieniu do danych osobowych, które przetwarzamy na Twój temat, przysługują Ci następujące prawa:

• Dostęp (art. 15 RODO): Uzyskanie potwierdzenia, czy przetwarzamy dane na Twój temat, oraz kopii tych danych
• Sprostowanie (art. 16 RODO): Sprostowanie nieprawidłowych danych i uzupełnienie danych niekompletnych
• Usunięcie (art. 17 RODO): Usunięcie Twoich danych, gdy zachodzi jedna z przesłanek wskazanych w RODO
• Ograniczenie (art. 18 RODO): Żądanie ograniczenia przetwarzania zamiast usunięcia danych
• Przenoszenie danych (art. 20 RODO): Otrzymanie dostarczonych przez Ciebie danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego
• Sprzeciw (art. 21 RODO): Wniesienie w dowolnym momencie sprzeciwu wobec przetwarzania opartego na naszych prawnie uzasadnionych interesach, z przyczyn związanych z Twoją szczególną sytuacją
• Wycofanie zgody (art. 7 ust. 3 RODO): Wycofanie udzielonej zgody w dowolnym momencie ze skutkiem na przyszłość — w tym zgody na e-maile marketingowe, za pomocą linku do rezygnacji w każdej takiej wiadomości lub w ustawieniach konta

Oceny i całe konto możesz w każdej chwili samodzielnie usunąć w aplikacji. We wszystkich pozostałych sprawach pisz na privacy@cvscore.net. Odpowiadamy w ciągu miesiąca; w przypadku skomplikowanego żądania termin ten może zostać przedłużony o maksymalnie dwa kolejne miesiące, o czym Cię wtedy poinformujemy.

12. Skargi i organ nadzorczy

Jeśli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, możesz wnieść skargę do organu nadzorczego — bez uszczerbku dla innych środków ochrony prawnej.

• Organ właściwy dla nas: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, Niemcy (organ ochrony danych kraju związkowego Nadrenia Północna-Westfalia)
• Twój lokalny organ: Skargę możesz wnieść także do organu nadzorczego właściwego dla Twojego miejsca zwykłego pobytu lub miejsca pracy
• Prawo do wyjaśnienia: Możesz zażądać od nas wyjaśnienia logiki stojącej za zautomatyzowaną oceną (zob. sekcja 6)
• Sądowy środek ochrony prawnej: Zachowujesz prawo do skutecznego środka ochrony prawnej przed sądem na podstawie art. 79 RODO

Organem właściwym dla nas jest Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (organ ochrony danych i wolności informacji kraju związkowego Nadrenia Północna-Westfalia), ponieważ nasza siedziba znajduje się we Frechen w Nadrenii Północnej-Westfalii.

Żądania na podstawie RODO rozpatrujemy w ciągu miesiąca. W razie potrzeby termin ten może zostać przedłużony o dwa kolejne miesiące, z uwzględnieniem skomplikowanego charakteru i liczby żądań; o każdym przedłużeniu Cię poinformujemy.

13. Prawa do prywatności w Kalifornii (CCPA/CPRA)

Jeśli mieszkasz w Kalifornii, przysługują Ci szczególne prawa na podstawie California Consumer Privacy Act w brzmieniu nadanym przez California Privacy Rights Act:

Kategorie informacji osobowych

W ciągu ostatnich 12 miesięcy zebraliśmy następujące kategorie:

• Identyfikatory: adres e-mail, adres IP, identyfikator konta
• Informacje zawodowe: treść Twojego CV
• Informacje handlowe: zakupy i zapisy płatności
• Aktywność w internecie: zagregowane korzystanie z naszych stron i z aplikacji

Twoje prawa w Kalifornii

• Prawo do informacji: Żądanie ujawnienia kategorii oraz konkretnych informacji osobowych, które zebraliśmy
• Prawo do usunięcia: Żądanie usunięcia Twoich informacji osobowych, z zastrzeżeniem wyjątków ustawowych
• Prawo do sprostowania: Żądanie sprostowania nieprawidłowych informacji osobowych
• Prawo do sprzeciwu wobec sprzedaży: Sprzeciw wobec sprzedaży lub udostępniania informacji osobowych — nie sprzedajemy ich ani nie udostępniamy
• Prawo do ograniczenia wykorzystania wrażliwych informacji osobowych: Ograniczenie wykorzystania wrażliwych informacji osobowych — wykorzystujemy je wyłącznie do świadczenia Usługi
• Prawo do niedyskryminacji: Brak odmiennego traktowania z powodu skorzystania z praw do prywatności

Technologia zautomatyzowanego podejmowania decyzji (ADMT)

Nasza ocena powstaje w wyniku zautomatyzowanego przetwarzania. W związku z tym:

• Masz prawo do informacji o tym, jak działa ocena (zob. sekcja 6)
• Możesz zażądać weryfikacji każdej oceny przez człowieka
• Możesz całkowicie uniknąć zautomatyzowanego przetwarzania, nie przesyłając CV

W celu ochrony Twoich danych możemy być zmuszeni zweryfikować Twoją tożsamość przed rozpatrzeniem żądania. Wykorzystujemy do tego adres e-mail powiązany z Twoim kontem.

Aby skorzystać ze swoich praw w Kalifornii, napisz na privacy@cvscore.net, wpisując w temacie „CCPA Request”. Odpowiadamy w ciągu 45 dni.

Możesz upoważnić pełnomocnika do złożenia żądania w Twoim imieniu. Możemy zażądać dowodu takiego upoważnienia.

14. Prawa do prywatności w Wielkiej Brytanii (UK GDPR)

Jeśli przebywasz w Zjednoczonym Królestwie, przysługują Ci prawa na podstawie UK General Data Protection Regulation oraz Data Protection Act 2018:

Twoje prawa w dużej mierze odpowiadają prawom z unijnego RODO opisanym w sekcjach 11 i 12: dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie danych, sprzeciw oraz gwarancje dotyczące decyzji zautomatyzowanych.

Skargę możesz wnieść do Information Commissioner's Office (ICO) pod adresem ico.org.uk. Zwróć uwagę, że nasza siedziba znajduje się w Niemczech, więc właściwym dla nas organem nadzorczym jest organ wskazany w sekcji 12.

Uwaga: UK Data (Use and Access) Act 2025 zmienił część brytyjskiego prawa ochrony danych. Zaktualizujemy niniejszą politykę, gdy zostaną opublikowane wytyczne wykonawcze.

15. Inne jurysdykcje

W sprawie żądań na podstawie jednej z tych ustaw napisz na privacy@cvscore.net i podaj, gdzie przebywasz.

16. Pliki cookie, pamięć lokalna i pomiar zasięgu

To, co jest zapisywane na Twoim urządzeniu, ograniczamy do minimum niezbędnego do działania Usługi:

Przechowywanie technicznie niezbędne

• Token logowania (sb-…-auth-token): po zalogowaniu token Twojej sesji jest zapisywany w pamięci lokalnej przeglądarki, abyś pozostawał zalogowany pomiędzy kolejnymi wywołaniami stron. Bez niego korzystanie z aplikacji nie jest możliwe. Podstawa prawna: § 25 ust. 2 TDDDG, ponieważ takie przechowywanie jest bezwzględnie konieczne do świadczenia żądanej przez Ciebie usługi.

Pomiar zasięgu za pomocą Rybbit

Aby uzyskać ogólny obraz korzystania z naszych stron i z aplikacji, używamy Rybbit. Oprogramowanie działa na serwerze, który prowadzimy sami; żadne dane nie są przekazywane podmiotom trzecim i nie jest to sieć reklamowa. Rybbit nie zapisuje plików cookie, przechowuje jednak jeden losowo wygenerowany identyfikator w pamięci lokalnej Twojej przeglądarki, dzięki któremu odróżniamy w obrębie tej samej przeglądarki wizyty powracające od nowych. Rejestrowane są wyświetlone strony, strona odsyłająca, przybliżony region, typ urządzenia i przeglądarki oraz pojedyncze interakcje — w aplikacji dodatkowo zdarzenia takie jak zakończone przesłanie pliku czy odblokowanie raportu, niekiedy wraz z wartościami technicznymi, na przykład identyfikatorem oceny lub wynikiem punktowym. Identyfikator możesz w każdej chwili usunąć lub zablokować; sposób opisujemy w naszej Polityce plików cookie. Podstawa prawna: art. 6 ust. 1 lit. f RODO, nasz prawnie uzasadniony interes w statystyce minimalizującej dane.

Rybbit rejestruje te dane także przy wyborze odpowiedzi, opuszczeniu pola stanowiska (również po edycji), przesłaniu kontekstu i rozpoczęciu analizy. Puste lub pominięte wartości nie są dodawane. Analiza bez danych nie przesyła kontekstu dla tej analizy, ale nie cofa zapisanych już interakcji. Przy potwierdzonych zakupach i odblokowaniach powiązanych z oceną pobieramy jej zapisany kontekst przez autoryzowane API i dodajemy go do zdarzeń potwierdzenia. Nie wywnioskujemy kontekstu dla zakupów bez oceny.

Wykorzystujemy te dane do analizy grup odbiorców i interakcji z produktem, w tym tego, które grupy kupują, oraz do ulepszania produktu i doświadczenia użytkowników. Rozszerzenie nie dodaje pamięci w przeglądarce ani wywołań identyfikacji użytkowników. Imiona i nazwiska, adresy e-mail, treść CV i odpowiedzi na późniejsze ankiety nie są celowo dodawane. Pole stanowiska może jednak zawierać wpisane przez Ciebie dane osobowe: zdarzenia nie muszą być anonimowe. Wpisz tylko nazwę stanowiska, bez nazwisk, danych kontaktowych i informacji wrażliwych.

Czego nie stosujemy

• Żadnych reklamowych plików cookie, żadnego retargetingu, żadnych sieci reklamowych
• Żadnych zewnętrznych usług analitycznych, takich jak Google Analytics
• Żadnych wtyczek mediów społecznościowych ani pikseli śledzących
• Żadnego nagrywania sesji ani śledzenia ruchów myszy
• Żadnego śledzenia Twojego zachowania między witrynami

Przechowywanie przez podmioty trzecie

Jeśli logujesz się przez Google, Google może przechowywać dane w swoich własnych domenach. Jeśli dokonujesz zakupu, Polar może robić to samo na swoich stronach płatności; po faktury i w celu zarządzania subskrypcją również kierujemy Cię do Polar. Aplikacja pod adresem app.cvscore.net ładuje ponadto swój krój pisma z Google Fonts; Twoja przeglądarka łączy się przy tym z serwerami Google LLC i przekazuje im Twój adres IP. Strony w domenie cvscore.net korzystają z krojów pisma hostowanych przez nas. Jeśli korzystasz z funkcji udostępniania, wygenerowany link zawiera wyłącznie Twój wynik punktowy, a na platformie, na której go opublikujesz, obowiązują jej własne zasady. Do wszystkich tych procesów stosuje się polityki prywatności odpowiednich dostawców, a nie nasza.

Dane zapisane lokalnie możesz w każdej chwili usunąć w ustawieniach przeglądarki. Jeśli usuniesz token logowania, zostaniesz wylogowany i będziesz musiał zalogować się ponownie.

Dalsze szczegóły znajdziesz w naszej Polityce plików cookie.

17. Bezpieczeństwo

Stosujemy odpowiednie środki techniczne i organizacyjne w celu ochrony Twoich danych:

• Cały ruch pomiędzy Twoją przeglądarką, naszą stroną internetową, aplikacją i naszym API jest szyfrowany podczas transmisji (HTTPS/TLS)
• Przesłane pliki CV znajdują się w prywatnym obszarze pamięci, oddzielonym dla każdego użytkownika; nie są publicznie dostępne
• Oceny i wyniki można pobrać wyłącznie przez nasze uwierzytelnione API; bezpośredni dostęp do bazy danych jest ograniczony na poziomie wierszy
• Każdy punkt końcowy przetwarzający dane osobowe wymaga ważnego tokenu logowania; żądania bez niego są odrzucane
• Hasła są przechowywane wyłącznie jako skróty kryptograficzne; alternatywnie dostępne jest logowanie przez Google lub LinkedIn
• Ograniczenia liczby żądań przy przesyłaniu plików, przy usuwaniu konta i w innych wrażliwych punktach końcowych, aby zautomatyzowane nadużycia były kosztowne
• API można wywoływać wyłącznie z naszych własnych domen (lista dozwolonych źródeł CORS)
• Przesyłane pliki są przed przetworzeniem ograniczane pod względem typu pliku, rozmiaru i liczby stron
• Powiadomienia od naszego dostawcy płatności przyjmujemy wyłącznie z ważnym podpisem kryptograficznym
• Linki rezygnacji w naszych wiadomościach są podpisane kryptograficznie, więc nikt nie wypisze cudzego adresu
• Dane dostępowe przekazujemy środowisku uruchomieniowemu jako zmienne środowiskowe; nie są częścią naszego kodu źródłowego

Żadna transmisja przez internet ani żadna forma przechowywania nie jest całkowicie bezpieczna. Nie możemy zatem zagwarantować bezwzględnego bezpieczeństwa.

Jeśli znajdziesz lukę bezpieczeństwa, zgłoś ją nam pod adresem security@cvscore.net, zanim ujawnisz ją publicznie.

18. Osoby niepełnoletnie

Usługa nie jest przeznaczona dla osób poniżej 16. roku życia. Świadomie nie zbieramy danych dzieci poniżej 16. roku życia.

Jeśli dowiemy się, że otrzymaliśmy dane dziecka poniżej 16. roku życia, usuwamy je bez zbędnej zwłoki. Jeśli przypuszczasz, że tak się stało, skontaktuj się z nami pod adresem privacy@cvscore.net.

19. Naruszenia ochrony danych

W przypadku naruszenia ochrony danych osobowych:

• Zgłaszamy je właściwemu organowi nadzorczemu w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia Twoich praw i wolności (art. 33 RODO)
• Bez zbędnej zwłoki zawiadamiamy osoby, których dane dotyczą, jeżeli naruszenie może powodować wysokie ryzyko naruszenia ich praw i wolności (art. 34 RODO)
• Dokumentujemy każde naruszenie, jego skutki i podjęte środki
• Utrzymujemy procedury wykrywania, badania i usuwania incydentów

Jeśli przypuszczasz, że Twoje dane mogły zostać naruszone, skontaktuj się z nami niezwłocznie pod adresem security@cvscore.net.

20. Zmiany niniejszej polityki

Aktualizujemy niniejszą politykę, gdy zmieniają się nasze operacje przetwarzania. O istotnych zmianach informujemy Cię:

• Publikując zaktualizowaną wersję na tej stronie z nową datą
• Wysyłając e-mail do zarejestrowanych użytkowników, gdy zmiana jest znacząca
• Wyświetlając informację w ramach Usługi

Zalecamy okresowe przeglądanie tej strony. Obowiązuje zawsze wersja opublikowana w tym miejscu.

Jeżeli zmiana istotnie wpływa na Twoje prawa lub na sposób wykorzystywania Twoich danych, ogłaszamy ją co najmniej 30 dni przed jej wejściem w życie.

21. Kontakt

W razie pytań, żądań lub skarg dotyczących ochrony danych skontaktuj się z nami:

Na zapytania ogólne staramy się odpowiadać w ciągu pięciu dni roboczych, a żądania na podstawie RODO realizować w ciągu miesiąca.