Zásady ochrany osobních údajů

Z pohledu aplikace předpisů na ochranu osobních údajů se naše právní postavení mění v závislosti na tom, čí data a za jakým účelem zpracováváme. Toto rozlišení je klíčové pro uplatňování Vašich práv:

A.HeyHire jako SPRÁVCE

Jako správce zpracováváme osobní údaje fyzických osob (subjektů údajů), kterými jsou zejména návštěvníci našeho webu, kontaktní osoby a uživatelé našich firemních zákazníků a dále fakturační či smluvní údaje. V těchto případech určujeme účel a prostředky zpracování my.

B.HeyHire jako ZPRACOVATEL

Pokud jste náš zákazník (zaměstnavatel či agentura) a využíváte platformu heyree pro nábor, vkládáte do ní osobní údaje uchazečů (Kandidátů) a další tzv. Klientská data. V tomto vztahu jste Správcem vždy Vy (zákazník). My vystupujeme výhradně jako Váš zpracovatel a řídíme se Vašimi pokyny a uzavřenou Zpracovatelskou smlouvou (DPA).

Poznámka pro Kandidáty: Pokud jsou Vaše údaje vedené v heyree konkrétní firmou, do které se hlásíte, obracejte se pro uplatnění svých práv typicky primárně na tuto firmu.

Pokud jste zástupcem zákazníka, zájemcem o služby nebo návštěvníkem webu, zpracováváme o Vás tyto údaje:

2.1Kontaktní, obchodní a smluvní údaje

• Co zpracováváme: Jméno, příjmení, pracovní e-mail, telefon, pozice, společnost, obsah naší komunikace, identifikační údaje firmy, fakturační a platební údaje.
• Proč: Pro jednání o smlouvě, plnění smlouvy (onboarding, poskytování podpory) a vedení účetnictví.
• Právní základ: Zpracování je nezbytné pro splnění smlouvy nebo pro provedení opatření přijatých před uzavřením smlouvy na Vaši žádost (čl. 6 odst. 1 písm. b) GDPR) a zpracování je nezbytné pro splnění právní povinnosti, která se na nás vztahuje, např. v oblasti daňových předpisů (čl. 6 odst. 1 písm. c) GDPR).

2.2Technické údaje o webu a bezpečnosti

• Co zpracováváme: IP adresa, identifikátory zařízení/prohlížeče, logy přístupů.
• Proč: Pro zabezpečení systémů, prevenci zneužití a odhalování chyb.
• Právní základ: Zpracování je nezbytné pro účely našich oprávněných zájmů spočívajících v zajištění kybernetické a informační bezpečnosti (čl. 6 odst. 1 písm. f) GDPR ve spojení s recitálem 49 GDPR).

2.3Marketing a analytika webu

• Co zpracováváme: Údaje o Vaší interakci s webem (např. chování na stránce, technické identifikátory) a e-mailovou adresu v případě přihlášení k odběru obchodních sdělení.
• Proč: Pro analýzu návštěvnosti, zlepšování webu a zasílání obchodních sdělení (B2B).
• Právní základ: V případě pokročilé analytiky zpracováváme údaje na základě Vašeho svobodného a informovaného souhlasu (čl. 6 odst. 1 písm. a) GDPR).

Obchodní sdělení zasíláme na základě Vašeho souhlasu nebo v rámci existujícího obchodního vztahu se zákazníky v souladu s § 7 zákona č. 480/2004 Sb. V omezeném rozsahu můžeme údaje zpracovávat také na základě našeho oprávněného zájmu (např. základní měření návštěvnosti nebo ochrana proti zneužití služby).

Pokud jste náš firemní zákazník a využíváte platformu heyree pro svůj nábor, vkládáte do ní osobní údaje uchazečů. My tyto údaje zpracováváme výhradně Vaším jménem, na Váš pokyn a neneseme odpovědnost za určení účelů a prostředků jejich zpracování.

3.1Klientská náborová data (Údaje Kandidátů)

• Co zpracováváme: Identifikační a kontaktní údaje Kandidátů, profesní informace (praxe, vzdělání, dovednosti), nahrané dokumenty (životopisy, portfolia, motivační dopisy), interní komunikaci, poznámky a hodnocení z výběrového řízení a AI výstupy vytvořené na základě těchto dat (např. automatická sumarizace profilu).
• Proč: Abychom Vám (jakožto našemu zákazníkovi) mohli poskytovat funkce ATS platformy heyree, umožnili Vám efektivně spravovat výběrová řízení a využívat asistenci naší umělé inteligence.
• Právní základ: Z naší strany (Zpracovatele) probíhá zpracování primárně na základě pokynů Správce v rámci uzavřené Zpracovatelské smlouvy (DPA) dle čl. 28 GDPR.

V omezeném rozsahu však můžeme osobní údaje zpracovávat také pro vlastní účely, zejména za účelem zajištění bezpečnosti, provozu a zlepšování Služby (např. technické logování, prevence zneužití nebo odstraňování chyb), a to na základě našeho oprávněného zájmu dle čl. 6 odst. 1 písm. f) GDPR.

Zajištění platného právního titulu vůči samotným Kandidátům (např. jejich souhlas, oprávněný zájem nebo jednání o smlouvě) je plně v odpovědnosti Vás jakožto Správce. Přesná přístupová práva a doby uchování si určujete a spravujete Vy přímo v nastavení služby heyree.

HeyHire je moderní platforma využívající umělou inteligenci. Při využití AI funkcí (např. sumarizace CV) dbáme na maximální bezpečnost, etiku a uplatňování principů Data protection by design and by default (záměrná a standardní ochrana osobních údajů dle čl. 25 GDPR).

Zásady AI v heyree, které striktně dodržujeme:

• Žádné automatizované rozhodování: AI je v naší platformě pouze podpůrný nástroj. Finální rozhodnutí (např. o přijetí/zamítnutí kandidáta) dělá vždy člověk.
• Zero Retention (Nulové uchovávání): Využíváme výhradně takové podnikové (Enterprise) poskytovatele a nastavení, u kterých nedochází k ukládání obsahu promptů na jejich straně.
• No Training (Zákaz trénování): Je smluvně a technicky zaručeno, že nedochází k trénování globálních AI modelů na Klientských datech.

Přestože primární data uchováváme a zpracováváme v rámci Evropské unie, při využití některých specifických služeb (např. zabezpečené AI gateway pro přístup k pokročilým modelům) může dojít k předání části dat našim subdodavatelům do třetích zemí, zejména do USA.

Předávání dat do třetích zemí je vždy právně zajištěno vhodnými zárukami ve smyslu kapitoly V. GDPR. Typicky se jedná o aplikaci Standardních smluvních doložek (SCC) schválených Evropskou komisí a ověření certifikace příjemce v rámci Data Privacy Framework (DPF) mezi EU a USA. Detailní úprava a přesný seznam subdodavatelů ze třetích zemí jsou popsány v naší Zpracovatelské smlouvě (DPA).

Pro produktovou a marketingovou analytiku využíváme platformu PostHog.

• Lokalizace: Abychom chránili Vaše data, využíváme pro PostHog výhradně EU cloud region (servery umístěné ve Frankfurtu, Německo).
• Správa souhlasu: Nastavení analytických cookies je plně ve Vašich rukou. Lze jej spravovat a souhlas kdykoli změnit či odvolat přes odkaz Cookie Settings umístěný v patičce našeho webu. Funkční cookies jsou nezbytné pro provoz webu a nelze je vypnout.

Veškerá primární Klientská data (včetně životopisů, profilů kandidátů a veškerých příloh) jsou fyzicky uložena na serverech v rámci Evropské unie (EU).

Provoz webu a aplikace může v zájmu rychlosti a bezpečnosti využívat distribuované infrastruktury. Některé technologické vrstvy (například sítě pro doručování obsahu – CDN) mohou z technické podstaty zpracovávat dočasná provozní data v globální síti. K tomuto dochází vždy pouze v nezbytném rozsahu nutném pro rychlé doručení a kybernetické zabezpečení Služby.

Vaše údaje neprodáváme. Můžeme je však sdílet s prověřenými třetími stranami (subdodavateli), avšak pouze v rozsahu nezbytně nutném pro provozování, vývoj a zabezpečení Služby.

Těmito příjemci jsou zejména poskytovatelé:

• cloudového hostingu a databázové infrastruktury,
• AI infrastruktury a modelů (za podmínek dle čl. 4),
• analytických a komunikačních nástrojů.

Aktuální a přesný seznam subzpracovatelů podílejících se na zpracování Klientských dat je nedílnou součástí Zpracovatelské smlouvy (DPA).

Data zpracováváme a uchováváme jen tak dlouho, jak je to nutné:

• Pokud jsme Správce (zákazníci, web): Údaje uchováváme po dobu trvání smluvního vztahu a následně po nezbytnou dobu pro ochranu našich právních nároků (typicky po dobu běhu promlčecích lhůt, 3 až 10 let) a pro splnění zákonných povinností (např. archivace účetních dokladů).
• Pokud jsme Zpracovatel (Klientská data v heyree): Tato data uchováváme výhradně dle naší smlouvy se zákazníkem. Po ukončení smluvního vztahu má Klient 30 dnů na export svých dat; následně jsou data nenávratně smazána z produkčních systémů nejpozději do dalších 60 dnů (tj. celkem do 90 dnů po ukončení smlouvy), v souladu s exportní a mazací lhůtou specifikovanou v našich Obchodních podmínkách a DPA.

K ochraně dat uplatňujeme přísná a přiměřená technická i organizační opatření. Mezi standardní praktiky platformy heyree patří zejména:

• šifrovaný přenos dat (HTTPS/TLS) a šifrování dat v klidu (Data at rest),
• striktní řízení přístupů a ověřování identity,
• logování bezpečnostních událostí a pravidelné zálohy,
• proaktivní incident response procesy.

Podrobný technický přehled o našich bezpečnostních opatřeních poskytujeme firemním zákazníkům na vyžádání v rámci naší GDPR compliance dokumentace.

Evropské nařízení GDPR Vám dává rozsáhlou kontrolu nad Vašimi osobními údaji. Abychom byli maximálně transparentní, uvádíme detailní přehled Vašich práv.

11.1Vaše práva vůči HeyHire (když jsme v roli Správce)

Pokud zpracováváme Vaše údaje jako správce (jste náš B2B zákazník, zástupce zákazníka nebo návštěvník webu), máte kdykoliv právo požadovat:

• Právo na přístup (čl. 15 GDPR): Máte právo vědět, jaké údaje o Vás zpracováváme, za jakým účelem, jak dlouho je budeme uchovávat a komu je předáváme. Máte právo získat bezplatnou kopii těchto údajů.
• Právo na opravu (čl. 16 GDPR): Zjistíte-li, že jsou Vaše osobní údaje, které vedeme, nepřesné, neaktuální nebo neúplné, máte právo na jejich bezodkladnou opravu či doplnění.
• Právo na výmaz / „být zapomenut" (čl. 17 GDPR): Můžete nás požádat o trvalé smazání Vašich údajů, zejména pokud již pominul účel jejich zpracování, odvolali jste svůj souhlas nebo jste oprávněně vznesli námitku proti zpracování.
• Právo na omezení zpracování (čl. 18 GDPR): V určitých případech (např. než ověříme přesnost údajů nebo vyřešíme Vaši námitku) nás můžete požádat, abychom Vaše údaje dočasně přestali aktivně zpracovávat a pouze je uchovali.
• Právo na přenositelnost (čl. 20 GDPR): Máte právo získat své údaje, které zpracováváme automatizovaně na základě Vašeho souhlasu nebo smlouvy, ve strukturovaném a strojově čitelném formátu a případně je předat jinému správci.
• Právo vznést námitku (čl. 21 GDPR): Pokud Vaše údaje zpracováváme na základě tzv. oprávněného zájmu (což zahrnuje i B2B přímý marketing), můžete proti tomuto zpracování vznést námitku. V případě marketingu s takovým zpracováním po obdržení námitky okamžitě přestaneme.
• Právo odvolat souhlas (čl. 7 GDPR): Pokud je zpracování založeno na Vašem souhlasu (např. pro pokročilé analytické cookies), můžete jej kdykoliv odvolat, aniž by to mělo vliv na zákonnost zpracování provedeného před jeho odvoláním.

Jak tato práva uplatnit? Své žádosti směřujte na naši e-mailovou adresu legal@heyree.com. Na Vaši žádost odpovíme bez zbytečného odkladu, nejpozději však do 30 dnů od jejího obdržení. Ve složitějších případech si vyhrazujeme právo lhůtu prodloužit o další dva měsíce, o čemž Vás budeme informovat. Vyřízení žádosti je zásadně bezplatné.

11.2Specifická pravidla pro Kandidáty (když jsme v roli Zpracovatele)

Pokud jste uchazeč o zaměstnání (Kandidát) a Vaše údaje jsou zpracovávány uvnitř platformy heyree naším zákazníkem (např. potenciálním zaměstnavatelem nebo personální agenturou), uplatňujte svá práva (zejména právo na výmaz životopisu či přístup k němu) vždy primárně přímo u tohoto zákazníka, který vystupuje jako Správce Vašich osobních údajů. K tomuto Správci by měla primárně směřovat i Vaše případná stížnost podaná u Úřadu pro ochranu osobních údajů (ÚOOÚ).

Důležité upozornění: HeyHire je v tomto vztahu pouze poskytovatelem softwaru (technologickým zpracovatelem). Z právního hlediska nemáme oprávnění z vlastní vůle mazat, upravovat či exportovat náborová data bez výslovného pokynu zaměstnavatele (Správce). Pokud obdržíme žádost přímo od Kandidáta, naši klienti mají k dispozici nástroje, jak Vaší žádosti uvnitř naší platformy bezodkladně vyhovět. Případně Vaši žádost přepošleme příslušnému správci a poskytneme mu technickou součinnost.

11.3Právo podat stížnost u dozorového úřadu

Pokud se domníváte, že s Vašimi údaji nenakládáme v souladu s příslušnými právními předpisy, máte právo podat stížnost u dozorového úřadu. V České republice je tímto úřadem Úřad pro ochranu osobních údajů (ÚOOÚ), se sídlem Pplk. Sochora 27, 170 00 Praha 7 (webové stránky: www.uoou.cz).