Smlouva o zpracování osobních údajů

Tato smlouva o zpracování osobních údajů („Smlouva“) se uzavírá mezi Uživatelem Služby jako správcem osobních údajů („Správce“) a společností SearchTeam One s.r.o., IČO: 23868945, se sídlem Pacholíkova 2310/22, Modřany, 143 00 Praha 4, jako zpracovatelem („Zpracovatel“), podle čl. 28 nařízení (EU) 2016/679 („GDPR“).

Smlouva je nedílnou součástí Podmínek používání služby Hiringly („Podmínky“) a je uzavřena spolu s nimi, registrací nebo užíváním Služby. Pojmy s velkým počátečním písmenem mají význam podle Podmínek. Ve věcech ochrany osobních údajů má tato Smlouva přednost před Podmínkami.

Zpracovatel zpracovává osobní údaje pro Správce výhradně za účelem poskytování Služby, zejména:

• ukládání a správa údajů kandidátů a jejich životopisů;
• analýza životopisů a hodnocení shody s pozicí pomocí AI;
• zveřejnění nabídek práce Správce a přijímání přihlášek uchazečů, včetně získání a evidence jejich souhlasu;
• odesílání e-mailů kandidátům a uchazečům jménem Správce (potvrzení přihlášky, žádosti o souhlas, pozvánky na pohovor);
• plánování pohovorů a sdílení kandidátů s osobami, které určí Správce (např. hiring manažeři);
• technický provoz, zabezpečení a zálohování Služby.

Zpracování trvá po dobu užívání Služby Správcem a dále po dobu nezbytnou k výmazu podle článku 11.

• Subjekty údajů: kandidáti a uchazeči o zaměstnání či spolupráci (včetně uchazečů z veřejných nabídek práce), osoby, se kterými Správce sdílí kandidáty (např. hiring manažeři), a další osoby uvedené v podkladech, které Správce do Služby vloží (např. reference).
• Osobní údaje: identifikační a kontaktní údaje; údaje z životopisu (pracovní historie, vzdělání, dovednosti, jazyky, případně fotografie); platová očekávání a dostupnost; hodnocení, poznámky a výstupy AI; komunikace a termíny pohovorů; záznamy o udělení a odvolání souhlasu.
• Zvláštní kategorie osobních údajů (čl. 9 GDPR) Služba cíleně nezpracovává. Správce je do Služby nevkládá nad rámec toho, co uchazeč sám uvede v životopisu.

Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů Správce, a to i pokud jde o předání do třetích zemí, ledaže mu zpracování ukládá právo EU nebo členského státu; v takovém případě Správce předem informuje, pokud to toto právo nezakazuje. Doloženými pokyny jsou tato Smlouva, Podmínky a nastavení a úkony, které Správce provádí ve Službě.

Má-li Zpracovatel za to, že pokyn porušuje GDPR nebo jiné předpisy o ochraně osobních údajů, Správce o tom neprodleně informuje.

Zpracovatel:

• zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti;
• přijme technická a organizační opatření podle čl. 32 GDPR, zejména: šifrovaný přenos dat (HTTPS/TLS), hesla uložená pouze jako kryptografický otisk, řízení přístupu podle rolí a oddělení dat jednotlivých Uživatelů, přístupové odkazy a tokeny uložené pouze jako otisk, omezení počtu pokusů proti zneužití, provoz na serveru v EU a denní šifrované zálohy s pravidelným testem obnovy;
• nepoužije osobní údaje Správce k jiným účelům než k poskytování Služby, zejména je nepoužije k trénování AI modelů; AI služby využívá v režimu, v němž jejich poskytovatel data k trénování nepoužívá;
• s ohledem na povahu zpracování je Správci nápomocen při vyřizování žádostí subjektů údajů (čl. 12 až 22 GDPR), zejména funkcemi Služby pro export, opravu a výmaz údajů a správu souhlasu; žádost, kterou obdrží přímo, předá Správci bez zbytečného odkladu;
• je Správci nápomocen při plnění povinností podle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu a předchozí konzultace);
• poskytne Správci informace potřebné k doložení plnění povinností podle čl. 28 GDPR (článek 9).

Správce uděluje Zpracovateli obecné povolení zapojit další zpracovatele. Aktuální seznam je uveden v Zásadách ochrany osobních údajů (oddíl Sub-zpracovatelé): poskytovatel serveru v EU (provoz, databáze a soubory), OpenAI (AI analýza, koncový bod v EU), Resend (doručování e-mailů) a Backblaze (úložiště záloh, které jsou před odesláním zašifrovány). Platební brána Stripe zpracovává pouze fakturační údaje Uživatele, nikoli údaje kandidátů.

O zamýšleném přidání nebo nahrazení dalšího zpracovatele informuje Zpracovatel Správce e-mailem nejméně 14 dní předem. Správce může v této lhůtě vznést námitku; nedojde-li k dohodě, může užívání Služby ukončit.

Zpracovatel uloží dalším zpracovatelům stejné povinnosti ochrany osobních údajů, jaké stanoví tato Smlouva, a za jejich plnění Správci odpovídá.

Zpracovává-li další zpracovatel osobní údaje mimo Evropský hospodářský prostor nebo z něj, zajistí Zpracovatel, aby předání probíhalo v souladu s kapitolou V GDPR, zejména na základě rozhodnutí o odpovídající ochraně (EU–US Data Privacy Framework) nebo standardních smluvních doložek.

Zpracovatel ohlásí Správci porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin poté, co se o něm dozvěděl, e-mailem na adresu účtu Správce. Ohlášení obsahuje informace podle čl. 33 odst. 3 GDPR, které má Zpracovatel k dispozici; další informace doplní, jakmile je zjistí. Ohlášení dozorovému úřadu a subjektům údajů provádí Správce.

Zpracovatel poskytne Správci na žádost informace potřebné k doložení plnění této Smlouvy. Správce nebo jím pověřený auditor vázaný mlčenlivostí může provést audit, včetně kontroly, nejvýše jednou ročně (častěji při porušení zabezpečení nebo na žádost dozorového úřadu), s oznámením nejméně 30 dní předem a na vlastní náklady. Audit nesmí ohrozit zabezpečení ani důvěrnost údajů ostatních Uživatelů.

Správce:

• odpovídá za právní základ zpracování a za informování subjektů údajů;
• seznámí se se zněním souhlasu a informací, které Služba zobrazuje a zasílá uchazečům z veřejných nabídek práce jeho jménem, a odpovídá za to, že odpovídají jeho zpracování;
• odpovídá za správnost fakturačních údajů (název společnosti a IČO), které Služba uvádí uchazečům jako identifikaci správce;
• maže osobní údaje po uplynutí doby uchování, zejména přihlášky z veřejných nabídek práce, jejichž souhlas vypršel (Služba je označuje), a to nejpozději do 30 dnů po vypršení souhlasu, jak je uchazečům sděleno.

Smlouva trvá po dobu užívání Služby. Po ukončení poskytování Služby Zpracovatel podle rozhodnutí Správce osobní údaje vymaže nebo mu je vrátí a vymaže existující kopie, ledaže právo EU nebo členského státu vyžaduje jejich uložení. Správce si může údaje před ukončením exportovat funkcemi Služby nebo požádat o jejich předání. Nepožádá-li Správce o vrácení, Zpracovatel údaje vymaže nejpozději do 30 dnů po ukončení Služby.

V šifrovaných zálohách mohou smazané údaje přetrvat nejdéle 6 měsíců, než jsou v rámci pravidelné rotace odstraněny; zálohy se používají výhradně k obnově Služby.

Odpovědnost stran za škodu způsobenou porušením GDPR se řídí čl. 82 GDPR; ve vztahu mezi stranami se jinak uplatní ustanovení Podmínek o odpovědnosti. Smlouva se řídí právem České republiky a mění se stejným způsobem jako Podmínky. Rozhodující je česká verze.

Kontakt pro ochranu osobních údajů: privacy@hiringly.ai