Zásady ochrany osobních údajů

Z pohledu aplikace předpisů na ochranu osobních údajů se naše právní postavení mění v závislosti na tom, čí data a za jakým účelem zpracováváme. Toto rozlišení je klíčové pro uplatňování Vašich práv:

A.HeyHire jako SPRÁVCE

Jako správce zpracováváme osobní údaje fyzických osob (subjektů údajů), kterými jsou zejména návštěvníci našeho webu, kontaktní osoby a uživatelé našich firemních zákazníků a dále fakturační či smluvní údaje. V těchto případech určujeme účel a prostředky zpracování my.

B.HeyHire jako ZPRACOVATEL

Pokud jste náš zákazník (zaměstnavatel či agentura) a využíváte platformu heyree pro nábor, vkládáte do ní osobní údaje uchazečů (Kandidátů) a další tzv. Klientská data. V tomto vztahu jste Správcem vždy Vy (zákazník). My vystupujeme výhradně jako Váš zpracovatel a řídíme se Vašimi pokyny a uzavřenou Zpracovatelskou smlouvou (DPA).

Poznámka pro Kandidáty: Pokud jsou Vaše údaje vedené v heyree konkrétní firmou, do které se hlásíte, obracejte se pro uplatnění svých práv typicky primárně na tuto firmu.

Pokud jste zástupcem zákazníka, zájemcem o služby nebo návštěvníkem webu, zpracováváme o Vás tyto údaje:

2.1Kontaktní, obchodní a smluvní údaje

• Co zpracováváme: Jméno, příjmení, pracovní e-mail, telefon, pozice, společnost, obsah naší komunikace, identifikační údaje firmy, fakturační a platební údaje.
• Proč: Pro jednání o smlouvě, plnění smlouvy (onboarding, poskytování podpory) a vedení účetnictví.
• Právní základ: Zpracování je nezbytné pro splnění smlouvy nebo pro provedení opatření přijatých před uzavřením smlouvy na Vaši žádost (čl. 6 odst. 1 písm. b) GDPR) a zpracování je nezbytné pro splnění právní povinnosti, která se na nás vztahuje, např. v oblasti daňových předpisů (čl. 6 odst. 1 písm. c) GDPR).

2.2Technické údaje o webu a bezpečnosti

• Co zpracováváme: IP adresa, identifikátory zařízení/prohlížeče, logy přístupů.
• Proč: Pro zabezpečení systémů, prevenci zneužití a odhalování chyb.
• Právní základ: Zpracování je nezbytné pro účely našich oprávněných zájmů spočívajících v zajištění kybernetické a informační bezpečnosti (čl. 6 odst. 1 písm. f) GDPR ve spojení s recitálem 49 GDPR).

2.3Marketing a analytika webu

• Co zpracováváme: Údaje o Vaší interakci s webem (např. chování na stránce, technické identifikátory) a e-mailovou adresu v případě přihlášení k odběru obchodních sdělení.
• Proč: Pro analýzu návštěvnosti, zlepšování webu a zasílání obchodních sdělení (B2B).
• Právní základ: V případě pokročilé analytiky zpracováváme údaje na základě Vašeho svobodného a informovaného souhlasu (čl. 6 odst. 1 písm. a) GDPR).

Obchodní sdělení zasíláme na základě Vašeho souhlasu nebo v rámci existujícího obchodního vztahu se zákazníky v souladu s § 7 zákona č. 480/2004 Sb. V omezeném rozsahu můžeme údaje zpracovávat také na základě našeho oprávněného zájmu (např. základní měření návštěvnosti nebo ochrana proti zneužití služby).

Pokud jste náš firemní zákazník a využíváte platformu heyree pro svůj nábor, vkládáte do ní osobní údaje uchazečů. My tyto údaje zpracováváme výhradně Vaším jménem, na Váš pokyn a neneseme odpovědnost za určení účelů a prostředků jejich zpracování.

3.1Klientská náborová data (Údaje Kandidátů)

• Co zpracováváme: Identifikační a kontaktní údaje Kandidátů, profesní informace (praxe, vzdělání, dovednosti), nahrané dokumenty (životopisy, portfolia, motivační dopisy), interní komunikaci, poznámky a hodnocení z výběrového řízení a AI výstupy vytvořené na základě těchto dat (např. automatická sumarizace profilu).
• Proč: Abychom Vám (jakožto našemu zákazníkovi) mohli poskytovat funkce ATS platformy heyree, umožnili Vám efektivně spravovat výběrová řízení a využívat asistenci naší umělé inteligence.
• Právní základ: Z naší strany (Zpracovatele) probíhá zpracování primárně na základě pokynů Správce v rámci uzavřené Zpracovatelské smlouvy (DPA) dle čl. 28 GDPR.

V omezeném rozsahu však můžeme osobní údaje zpracovávat také pro vlastní účely, zejména za účelem zajištění bezpečnosti, provozu a zlepšování Služby (např. technické logování, prevence zneužití nebo odstraňování chyb), a to na základě našeho oprávněného zájmu dle čl. 6 odst. 1 písm. f) GDPR.

Zajištění platného právního titulu vůči samotným Kandidátům (např. jejich souhlas, oprávněný zájem nebo jednání o smlouvě) je plně v odpovědnosti Vás jakožto Správce. Přesná přístupová práva a doby uchování si určujete a spravujete Vy přímo v nastavení služby heyree.

HeyHire je moderní platforma využívající umělou inteligenci. Při využití AI funkcí (např. sumarizace CV) dbáme na maximální bezpečnost, etiku a uplatňování principů Data protection by design and by default (záměrná a standardní ochrana osobních údajů dle čl. 25 GDPR).

Zásady AI v heyree, které striktně dodržujeme:

• Žádné automatizované rozhodování: AI je v naší platformě pouze podpůrný nástroj. Finální rozhodnutí (např. o přijetí/zamítnutí kandidáta) dělá vždy člověk.
• Zero Retention (Nulové uchovávání): Využíváme výhradně takové podnikové (Enterprise) poskytovatele a nastavení, u kterých nedochází k ukládání obsahu promptů na jejich straně.
• No Training (Zákaz trénování): Je smluvně a technicky zaručeno, že nedochází k trénování globálních AI modelů na Klientských datech.

Přestože primární data uchováváme a zpracováváme v rámci Evropské unie, při využití některých specifických služeb (např. zabezpečené AI gateway pro přístup k pokročilým modelům) může dojít k předání části dat našim subdodavatelům do třetích zemí, zejména do USA.

Předávání dat do třetích zemí je vždy právně zajištěno vhodnými zárukami ve smyslu kapitoly V. GDPR. Typicky se jedná o aplikaci Standardních smluvních doložek (SCC) schválených Evropskou komisí a ověření certifikace příjemce v rámci Data Privacy Framework (DPF) mezi EU a USA. Detailní úprava a přesný seznam subdodavatelů ze třetích zemí jsou popsány v naší Zpracovatelské smlouvě (DPA).

Pro produktovou a marketingovou analytiku využíváme platformu PostHog.

• Lokalizace: Abychom chránili Vaše data, využíváme pro PostHog výhradně EU cloud region (servery umístěné ve Frankfurtu, Německo).
• Správa souhlasu: Nastavení analytických cookies je plně ve Vašich rukou. Lze jej spravovat a souhlas kdykoli změnit či odvolat přes odkaz Cookie Settings umístěný v patičce našeho webu. Funkční cookies jsou nezbytné pro provoz webu a nelze je vypnout.

Veškerá primární Klientská data (včetně životopisů, profilů kandidátů a veškerých příloh) jsou fyzicky uložena na serverech v rámci Evropské unie (EU).

Provoz webu a aplikace může v zájmu rychlosti a bezpečnosti využívat distribuované infrastruktury. Některé technologické vrstvy (například sítě pro doručování obsahu – CDN) mohou z technické podstaty zpracovávat dočasná provozní data v globální síti. K tomuto dochází vždy pouze v nezbytném rozsahu nutném pro rychlé doručení a kybernetické zabezpečení Služby.

Vaše údaje neprodáváme. Můžeme je však sdílet s prověřenými třetími stranami (subdodavateli), avšak pouze v rozsahu nezbytně nutném pro provozování, vývoj a zabezpečení Služby.

Těmito příjemci jsou zejména poskytovatelé:

• cloudového hostingu a databázové infrastruktury,
• AI infrastruktury a modelů (za podmínek dle čl. 4),
• analytických a komunikačních nástrojů.

Aktuální a přesný seznam subzpracovatelů podílejících se na zpracování Klientských dat je nedílnou součástí Zpracovatelské smlouvy (DPA).

Data zpracováváme a uchováváme jen tak dlouho, jak je to nutné:

• Pokud jsme Správce (zákazníci, web): Údaje uchováváme po dobu trvání smluvního vztahu a následně po nezbytnou dobu pro ochranu našich právních nároků (typicky po dobu běhu promlčecích lhůt, 3 až 10 let) a pro splnění zákonných povinností (např. archivace účetních dokladů).
• Pokud jsme Zpracovatel (Klientská data v heyree): Tato data uchováváme výhradně dle naší smlouvy se zákazníkem. Po ukončení smluvního vztahu má Klient 30 dnů na export svých dat; následně jsou data nenávratně smazána z produkčních systémů nejpozději do dalších 60 dnů (tj. celkem do 90 dnů po ukončení smlouvy), v souladu s exportní a mazací lhůtou specifikovanou v našich Obchodních podmínkách a DPA.

K ochraně dat uplatňujeme přísná a přiměřená technická i organizační opatření. Mezi standardní praktiky platformy heyree patří zejména:

• šifrovaný přenos dat (HTTPS/TLS) a šifrování dat v klidu (Data at rest),
• striktní řízení přístupů a ověřování identity,
• logování bezpečnostních událostí a pravidelné zálohy,
• proaktivní incident response procesy.

Podrobný technický přehled o našich bezpečnostních opatřeních poskytujeme firemním zákazníkům na vyžádání v rámci naší GDPR compliance dokumentace.

Evropské nařízení GDPR Vám dává rozsáhlou kontrolu nad Vašimi osobními údaji. Abychom byli maximálně transparentní, uvádíme detailní přehled Vašich práv.

11.1Vaše práva vůči HeyHire (když jsme v roli Správce)

Pokud zpracováváme Vaše údaje jako správce (jste náš B2B zákazník, zástupce zákazníka nebo návštěvník webu), máte kdykoliv právo požadovat:

• Právo na přístup (čl. 15 GDPR): Máte právo vědět, jaké údaje o Vás zpracováváme, za jakým účelem, jak dlouho je budeme uchovávat a komu je předáváme. Máte právo získat bezplatnou kopii těchto údajů.
• Právo na opravu (čl. 16 GDPR): Zjistíte-li, že jsou Vaše osobní údaje, které vedeme, nepřesné, neaktuální nebo neúplné, máte právo na jejich bezodkladnou opravu či doplnění.
• Právo na výmaz / „být zapomenut" (čl. 17 GDPR): Můžete nás požádat o trvalé smazání Vašich údajů, zejména pokud již pominul účel jejich zpracování, odvolali jste svůj souhlas nebo jste oprávněně vznesli námitku proti zpracování.
• Právo na omezení zpracování (čl. 18 GDPR): V určitých případech (např. než ověříme přesnost údajů nebo vyřešíme Vaši námitku) nás můžete požádat, abychom Vaše údaje dočasně přestali aktivně zpracovávat a pouze je uchovali.
• Právo na přenositelnost (čl. 20 GDPR): Máte právo získat své údaje, které zpracováváme automatizovaně na základě Vašeho souhlasu nebo smlouvy, ve strukturovaném a strojově čitelném formátu a případně je předat jinému správci.
• Právo vznést námitku (čl. 21 GDPR): Pokud Vaše údaje zpracováváme na základě tzv. oprávněného zájmu (což zahrnuje i B2B přímý marketing), můžete proti tomuto zpracování vznést námitku. V případě marketingu s takovým zpracováním po obdržení námitky okamžitě přestaneme.
• Právo odvolat souhlas (čl. 7 GDPR): Pokud je zpracování založeno na Vašem souhlasu (např. pro pokročilé analytické cookies), můžete jej kdykoliv odvolat, aniž by to mělo vliv na zákonnost zpracování provedeného před jeho odvoláním.

Jak tato práva uplatnit? Své žádosti směřujte na naši e-mailovou adresu legal@heyree.com. Na Vaši žádost odpovíme bez zbytečného odkladu, nejpozději však do 30 dnů od jejího obdržení. Ve složitějších případech si vyhrazujeme právo lhůtu prodloužit o další dva měsíce, o čemž Vás budeme informovat. Vyřízení žádosti je zásadně bezplatné.

11.2Specifická pravidla pro Kandidáty (když jsme v roli Zpracovatele)

Pokud jste uchazeč o zaměstnání (Kandidát) a Vaše údaje jsou zpracovávány uvnitř platformy heyree naším zákazníkem (např. potenciálním zaměstnavatelem nebo personální agenturou), uplatňujte svá práva (zejména právo na výmaz životopisu či přístup k němu) vždy primárně přímo u tohoto zákazníka, který vystupuje jako Správce Vašich osobních údajů. K tomuto Správci by měla primárně směřovat i Vaše případná stížnost podaná u Úřadu pro ochranu osobních údajů (ÚOOÚ).

Důležité upozornění: HeyHire je v tomto vztahu pouze poskytovatelem softwaru (technologickým zpracovatelem). Z právního hlediska nemáme oprávnění z vlastní vůle mazat, upravovat či exportovat náborová data bez výslovného pokynu zaměstnavatele (Správce). Pokud obdržíme žádost přímo od Kandidáta, naši klienti mají k dispozici nástroje, jak Vaší žádosti uvnitř naší platformy bezodkladně vyhovět. Případně Vaši žádost přepošleme příslušnému správci a poskytneme mu technickou součinnost.

11.3Právo podat stížnost u dozorového úřadu

Pokud se domníváte, že s Vašimi údaji nenakládáme v souladu s příslušnými právními předpisy, máte právo podat stížnost u dozorového úřadu. V České republice je tímto úřadem Úřad pro ochranu osobních údajů (ÚOOÚ), se sídlem Pplk. Sochora 27, 170 00 Praha 7 (webové stránky: www.uoou.cz).

12.1Jaká data získáváme a proč

Pokud k heyree připojíte poštovní schránku Gmail nebo Google Kalendář, případně pokud administrátor připojí adresář Google Workspace Vaší organizace, získáváme pouze ta uživatelská data Google, která jsou nezbytná pro poskytování funkcí, které používáte:

• Gmail: odesíláme e-maily kandidátům z Vaší vlastní adresy, čteme zprávy a přílohy vyměněné s kandidáty Vaší organizace, aby se zobrazily v kartě kandidáta, a synchronizujeme stav jejich přečtení mezi heyree a Gmailem. Abychom tyto zprávy rozpoznali, načteme každou novou zprávu ve Vaší schránce a ověříme, zda je její odesílatel nebo příjemce kandidátem Vaší organizace; ostatní zprávy včetně příloh ihned zahodíme a nikdy je neukládáme.
• Google Kalendář: čteme události ve Vašem hlavním kalendáři, abychom věděli, kdy jste obsazeni, a pohovory i odkazy pro samoobslužné plánování kandidátů tak nabízely jen volný čas. Dále vytváříme, upravujeme a rušíme události pohovorů, které heyree naplánuje, včetně jejich odkazů Google Meet.
• Adresář Google Workspace: pokud administrátor Vaší organizace připojí Google Workspace v heyree v části Nastavení → Zakládání uživatelů, získáme k jeho adresáři přístup pouze pro čtení: k uživatelům (jméno, primární e-mailová adresa, ID uživatele Google a informace, zda je účet pozastaven nebo archivován), ke skupinám a jejich členům a k doménám, které pro něj Google ověřil. Čteme také e-mailovou adresu administrátora, který připojení provedl, abychom mohli zobrazit, kdo je nastavil. Tato data používáme pouze k tomu, abychom uživatele, které administrátor zvolí (členy vybrané skupiny nebo všechny), přidali do Vaší organizace v heyree, udržovali jejich jména aktuální, deaktivovali je, když je jejich účet pozastaven či archivován nebo když vybranou skupinu opustí, a ověřili, že každá e-mailová adresa patří k ověřené doméně. Tento přístup může udělit pouze administrátor Google Workspace a ve Vašem adresáři Google Workspace nikdy nic neměníme.

12.2Jak data ukládáme a chráníme

Přístupové a obnovovací tokeny OAuth ukládáme šifrovaně ve vyhrazeném trezoru tajemství (WorkOS Vault), nikdy v čitelné podobě v naší databázi. E-maily kandidátů a jejich přílohy ukládáme jako součást karty kandidáta. Události z kalendáře synchronizujeme, abychom mohli zobrazit Vaši dostupnost a v závislosti na Vašem nastavení soukromí i Vaše události v týmovém kalendáři; u událostí označených v Googlu jako soukromé nebo důvěrné vidí kolegové vždy jen to, že jste v daném čase obsazeni, nikdy jejich název ani jiné podrobnosti.

Pro synchronizaci adresáře ukládáme u každého synchronizovaného uživatele jméno, e-mailovou adresu, ID uživatele Google a stav, dále zvolenou skupinu, doménu Vašeho Google Workspace, e-mailovou adresu administrátora, který připojení provedl, a záznam posledních změn v zakládání uživatelů (nejvýše 200 položek). Seznamy skupin, členství ve skupinách a seznam ověřených domén čteme při každé synchronizaci a neukládáme je. Abychom uživatele do Vaší organizace přidali, předáváme jejich jméno a e-mailovou adresu našemu poskytovateli přihlašování WorkOS (jednomu z našich subdodavatelů uvedených v oddílu 8).

12.3Omezené použití (Limited Use)

Používání a předávání informací získaných z rozhraní Google API do jakékoli jiné aplikace ze strany heyree se řídí Zásadami pro uživatelská data služeb Google API (Google API Services User Data Policy), včetně požadavků na omezené použití (Limited Use). Zejména:

• uživatelská data Google používáme pouze k poskytování a zlepšování funkcí pro uživatele popsaných výše;
• neprodáváme je a nepoužíváme ani nepředáváme je pro účely reklamy, včetně personalizované, retargetingové či na zájmech založené reklamy;
• nepoužíváme je k trénování obecných modelů umělé inteligence ani strojového učení (viz také oddíl 4). Pokud využíváte funkce HeyAI, například návrh odpovědi kandidátovi, příslušný obsah e-mailu zpracovávají naši subdodavatelé AI výhradně za účelem vytvoření tohoto výsledku, a to v režimu bez uchovávání dat (Zero Retention);
• neumožňujeme lidem je číst, s výjimkou případů, kdy k tomu u konkrétních zpráv udělíte výslovný souhlas, kdy je to nezbytné z bezpečnostních důvodů (např. při vyšetřování zneužití), pro splnění právních předpisů nebo pro interní provoz, jsou-li data agregována a anonymizována;
• třetím stranám je předáváme pouze v rozsahu nezbytném pro poskytování či zlepšování těchto funkcí (naši subdodavatelé uvedení v oddílu 8), pro splnění právních předpisů nebo v rámci fúze, akvizice či prodeje aktiv, o nichž uživatele předem informujeme.

12.4Odpojení a výmaz

Gmail nebo Google Kalendář můžete kdykoli odpojit v heyree v části Nastavení → Integrace, případně můžete přístup heyree odvolat ve svém účtu Google na adrese myaccount.google.com/permissions. Při odpojení v heyree smažeme uložené přístupové tokeny a ukončíme veškerou synchronizaci. Pokud přístup odvoláte pouze ve svém účtu Google, synchronizace se zastaví, protože tokeny přestanou fungovat; uložené tokeny smažeme, jakmile účet odpojíte i v heyree nebo nás o to požádáte. E-maily kandidátů, které jsou již součástí karty kandidáta, zůstávají její součástí a jsou smazány v souladu s oddílem 9. Pokud si přejete smazat synchronizované události kalendáře nebo jiná uživatelská data Google, kontaktujte nás na adrese legal@heyree.com.

Administrátor může Google Workspace kdykoli odpojit v heyree v části Nastavení → Zakládání uživatelů, případně může přístup heyree odvolat v účtu Google, kterým připojení provedl. Při odpojení v heyree smažeme uložený obnovovací token i synchronizované záznamy adresáře a ukončíme synchronizaci. Pokud je přístup odvolán pouze v účtu Google, synchronizace se zastaví a uložený token smažeme, jakmile bude Google Workspace odpojen i v heyree. Členové, kteří již byli do Vaší organizace přidáni, si přístup ponechají, aby odpojení nikoho nezablokovalo; administrátor je může odebrat v části Nastavení → Tým.