Zásady ochrany osobných údajov

Z pohľadu aplikácie predpisov na ochranu osobných údajov sa naše právne postavenie mení v závislosti od toho, čie údaje a za akým účelom spracúvame. Toto rozlíšenie je kľúčové pre uplatňovanie Vašich práv:

A.HeyHire ako PREVÁDZKOVATEĽ

Ako prevádzkovateľ spracúvame osobné údaje fyzických osôb (dotknutých osôb), ktorými sú najmä návštevníci nášho webu, kontaktné osoby a používatelia našich firemných zákazníkov, ako aj fakturačné či zmluvné údaje. V týchto prípadoch určujeme účel a prostriedky spracúvania my.

B.HeyHire ako SPROSTREDKOVATEĽ

Ak ste náš zákazník (zamestnávateľ či agentúra) a využívate platformu heyree na nábor, vkladáte do nej osobné údaje uchádzačov (Kandidátov) a ďalšie tzv. Klientske dáta. V tomto vzťahu ste Prevádzkovateľom vždy Vy (zákazník). My vystupujeme výhradne ako Váš sprostredkovateľ a riadime sa Vašimi pokynmi a uzatvorenou Zmluvou o spracúvaní (DPA).

Poznámka pre Kandidátov: Ak sú Vaše údaje vedené v heyree konkrétnou firmou, do ktorej sa hlásite, obracajte sa pre uplatnenie svojich práv typicky primárne na túto firmu.

Ak ste zástupcom zákazníka, záujemcom o služby alebo návštevníkom webu, spracúvame o Vás tieto údaje:

2.1Kontaktné, obchodné a zmluvné údaje

• Čo spracúvame: Meno, priezvisko, pracovný e-mail, telefón, pozícia, spoločnosť, obsah našej komunikácie, identifikačné údaje firmy, fakturačné a platobné údaje.
• Prečo: Pre rokovanie o zmluve, plnenie zmluvy (onboarding, poskytovanie podpory) a vedenie účtovníctva.
• Právny základ: Spracúvanie je nevyhnutné na plnenie zmluvy alebo na vykonanie opatrení prijatých pred uzatvorením zmluvy na Vašu žiadosť (čl. 6 ods. 1 písm. b) GDPR) a spracúvanie je nevyhnutné na splnenie právnej povinnosti, napr. v oblasti daňových predpisov (čl. 6 ods. 1 písm. c) GDPR).

2.2Technické údaje o webe a bezpečnosti

• Čo spracúvame: IP adresa, identifikátory zariadenia/prehliadača, logy prístupov.
• Prečo: Pre zabezpečenie systémov, prevenciu zneužitia a odhaľovanie chýb.
• Právny základ: Spracúvanie je nevyhnutné na účely našich oprávnených záujmov spočívajúcich v zaistení kybernetickej a informačnej bezpečnosti (čl. 6 ods. 1 písm. f) GDPR v spojení s recitálom 49 GDPR).

2.3Marketing a analytika webu

• Čo spracúvame: Údaje o Vašej interakcii s webom (napr. správanie na stránke, technické identifikátory) a e-mailovú adresu v prípade prihlásenia na odber obchodných oznámení.
• Prečo: Pre analýzu návštevnosti, zlepšovanie webu a zasielanie obchodných oznámení (B2B).
• Právny základ: V prípade pokročilej analytiky spracúvame údaje na základe Vášho slobodného a informovaného súhlasu (čl. 6 ods. 1 písm. a) GDPR).

Obchodné oznámenia zasielame na základe Vášho súhlasu alebo v rámci existujúceho obchodného vzťahu so zákazníkmi v súlade s § 7 zákona č. 480/2004 Sb. V obmedzenom rozsahu môžeme údaje spracúvať aj na základe nášho oprávneného záujmu (napr. základné meranie návštevnosti alebo ochrana proti zneužitiu služby).

Ak ste náš firemný zákazník a využívate platformu heyree pre svoj nábor, vkladáte do nej osobné údaje uchádzačov. My tieto údaje spracúvame výhradne Vaším menom, na Váš pokyn a nenesieme zodpovednosť za určenie účelov a prostriedkov ich spracúvania.

3.1Klientske náborové dáta (Údaje Kandidátov)

• Čo spracúvame: Identifikačné a kontaktné údaje Kandidátov, profesijné informácie (prax, vzdelanie, zručnosti), nahrané dokumenty (životopisy, portfóliá, motivačné listy), internú komunikáciu, poznámky a hodnotenia z výberového konania a AI výstupy vytvorené na základe týchto dát (napr. automatická sumarizácia profilu).
• Prečo: Aby sme Vám (ako nášmu zákazníkovi) mohli poskytovať funkcie ATS platformy heyree, umožnili Vám efektívne spravovať výberové konania a využívať asistenciu našej umelej inteligencie.
• Právny základ: Z našej strany (Sprostredkovateľa) prebieha spracúvanie primárne na základe pokynov Prevádzkovateľa v rámci uzatvorenej Zmluvy o spracúvaní (DPA) podľa čl. 28 GDPR.

V obmedzenom rozsahu však môžeme osobné údaje spracúvať aj na vlastné účely, najmä na účely zaistenia bezpečnosti, prevádzky a zlepšovania Služby (napr. technické logovanie, prevencia zneužitia alebo odstraňovanie chýb), a to na základe nášho oprávneného záujmu podľa čl. 6 ods. 1 písm. f) GDPR.

Zaistenie platného právneho titulu voči samotným Kandidátom (napr. ich súhlas, oprávnený záujem alebo rokovanie o zmluve) je plne v zodpovednosti Vás ako Prevádzkovateľa. Presné prístupové práva a doby uchovania si určujete a spravujete Vy priamo v nastaveniach služby heyree.

HeyHire je moderná platforma využívajúca umelú inteligenciu. Pri využívaní AI funkcií (napr. sumarizácia CV) dbáme na maximálnu bezpečnosť, etiku a uplatňovanie princípov Data protection by design and by default (zámerná a štandardná ochrana osobných údajov podľa čl. 25 GDPR).

Zásady AI v heyree, ktoré striktne dodržiavame:

• Žiadne automatizované rozhodovanie: AI je v našej platforme len podporný nástroj. Finálne rozhodnutie (napr. o prijatí/zamietnutí kandidáta) robí vždy človek.
• Zero Retention (Nulové uchovávanie): Využívame výhradne takých podnikových (Enterprise) poskytovateľov a nastavenia, pri ktorých nedochádza k ukladaniu obsahu promptov na ich strane.
• No Training (Zákaz trénovania): Je zmluvne a technicky garantované, že nedochádza k trénovaniu globálnych AI modelov na Klientskych dátach.

Hoci primárne dáta uchovávame a spracúvame v rámci Európskej únie, pri využití niektorých špecifických služieb (napr. zabezpečené AI gateway pre prístup k pokročilým modelom) môže dôjsť k odovzdaniu časti dát našim subdodávateľom do tretích krajín, najmä do USA.

Prenos dát do tretích krajín je vždy právne zaistený vhodnými zárukami v zmysle kapitoly V. GDPR. Typicky ide o aplikáciu Štandardných zmluvných doložiek (SCC) schválených Európskou komisiou a overenie certifikácie príjemcu v rámci Data Privacy Framework (DPF) medzi EÚ a USA. Detailná úprava a presný zoznam subdodávateľov z tretích krajín sú popísané v našej Zmluve o spracúvaní (DPA).

Pre produktovú a marketingovú analytiku využívame platformu PostHog.

• Lokalizácia: Aby sme chránili Vaše dáta, využívame pre PostHog výhradne EU cloud región (servery umiestnené vo Frankfurte, Nemecko).
• Správa súhlasu: Nastavenie analytických cookies je plne vo Vašich rukách. Možno ho spravovať a súhlas kedykoľvek zmeniť či odvolať cez odkaz Cookie Settings umiestnený v päte nášho webu. Funkčné cookies sú nevyhnutné pre prevádzku webu a nemožno ich vypnúť.

Všetky primárne Klientske dáta (vrátane životopisov, profilov kandidátov a všetkých príloh) sú fyzicky uložené na serveroch v rámci Európskej únie (EÚ).

Prevádzka webu a aplikácie môže v záujme rýchlosti a bezpečnosti využívať distribuovanej infraštruktúry. Niektoré technologické vrstvy (napríklad siete na doručovanie obsahu – CDN) môžu z technickej podstaty spracúvať dočasné prevádzkové dáta v globálnej sieti. K tomu dochádza vždy len v nevyhnutnom rozsahu potrebnom pre rýchle doručenie a kybernetické zabezpečenie Služby.

Vaše údaje nepredávame. Môžeme ich však zdieľať s preverenými tretími stranami (subdodávateľmi), avšak len v rozsahu nevyhnutne potrebnom pre prevádzkovanie, vývoj a zabezpečenie Služby.

Týmito príjemcami sú najmä poskytovatelia:

• cloudového hostingu a databázovej infraštruktúry,
• AI infraštruktúry a modelov (za podmienok podľa čl. 4),
• analytických a komunikačných nástrojov.

Aktuálny a presný zoznam sub-spracovateľov podieľajúcich sa na spracúvaní Klientskych dát je neoddeliteľnou súčasťou Zmluvy o spracúvaní (DPA).

Dáta spracúvame a uchovávame len tak dlho, ako je to nutné:

• Ak sme Prevádzkovateľ (zákazníci, web): Údaje uchovávame počas trvania zmluvného vzťahu a následne počas nevyhnutnej doby pre ochranu našich právnych nárokov (typicky počas behu premlčacích lehôt, 3 až 10 rokov) a pre splnenie zákonných povinností (napr. archivácia účtovných dokladov).
• Ak sme Sprostredkovateľ (Klientske dáta v heyree): Tieto dáta uchovávame výhradne podľa našej zmluvy so zákazníkom. Po ukončení zmluvného vzťahu má Klient 30 dní na export svojich dát; následne sú dáta nenávratne zmazané z produkčných systémov najneskôr do ďalších 60 dní (t. j. spolu do 90 dní po ukončení zmluvy), v súlade s exportnou a mazacou lehotou špecifikovanou v našich Obchodných podmienkach a DPA.

Na ochranu dát uplatňujeme prísne a primerané technické i organizačné opatrenia. Medzi štandardné praktiky platformy heyree patria najmä:

• šifrovaný prenos dát (HTTPS/TLS) a šifrovanie dát v pokoji (Data at rest),
• striktné riadenie prístupov a overovanie identity,
• logovanie bezpečnostných udalostí a pravidelné zálohy,
• proaktívne incident response procesy.

Podrobný technický prehľad o našich bezpečnostných opatreniach poskytujeme firemným zákazníkom na vyžiadanie v rámci našej GDPR compliance dokumentácie.

Európske nariadenie GDPR Vám dáva rozsiahlu kontrolu nad Vašimi osobnými údajmi. Aby sme boli maximálne transparentní, uvádzame detailný prehľad Vašich práv.

11.1Vaše práva voči HeyHire (keď sme v úlohe Prevádzkovateľa)

Ak spracúvame Vaše údaje ako prevádzkovateľ (ste náš B2B zákazník, zástupca zákazníka alebo návštevník webu), máte kedykoľvek právo požadovať:

• Právo na prístup (čl. 15 GDPR): Máte právo vedieť, aké údaje o Vás spracúvame, za akým účelom, ako dlho ich budeme uchovávať a komu ich odovzdávame. Máte právo získať bezplatnú kópiu týchto údajov.
• Právo na opravu (čl. 16 GDPR): Ak zistíte, že sú Vaše osobné údaje, ktoré vedieme, nepresné, neaktuálne alebo neúplné, máte právo na ich bezodkladnú opravu či doplnenie.
• Právo na výmaz / „byť zabudnutý" (čl. 17 GDPR): Môžete nás požiadať o trvalé zmazanie Vašich údajov, najmä ak už pominul účel ich spracúvania, odvolali ste svoj súhlas alebo ste oprávnene podali námietku proti spracúvaniu.
• Právo na obmedzenie spracúvania (čl. 18 GDPR): V určitých prípadoch (napr. kým overíme presnosť údajov alebo vyriešime Vašu námietku) nás môžete požiadať, aby sme Vaše údaje dočasne prestali aktívne spracúvať a iba ich uchovali.
• Právo na prenosnosť (čl. 20 GDPR): Máte právo získať svoje údaje, ktoré spracúvame automatizovane na základe Vášho súhlasu alebo zmluvy, v štruktúrovanom a strojovo čitateľnom formáte a prípadne ich odovzdať inému prevádzkovateľovi.
• Právo podať námietku (čl. 21 GDPR): Ak Vaše údaje spracúvame na základe tzv. oprávneného záujmu (čo zahŕňa aj B2B priamy marketing), môžete proti tomuto spracúvaniu podať námietku. V prípade marketingu s takýmto spracúvaním po prijatí námietky okamžite prestaneme.
• Právo odvolať súhlas (čl. 7 GDPR): Ak je spracúvanie založené na Vašom súhlase (napr. pre pokročilé analytické cookies), môžete ho kedykoľvek odvolať, bez toho, aby to malo vplyv na zákonnosť spracúvania pred jeho odvolaním.

Ako tieto práva uplatniť? Svoje žiadosti smerujte na našu e-mailovú adresu legal@heyree.com. Na Vašu žiadosť odpovieme bez zbytočného odkladu, najneskôr však do 30 dní od jej prijatia. V zložitejších prípadoch si vyhradzujeme právo lehotu predĺžiť o ďalšie dva mesiace, o čom Vás budeme informovať. Vybavenie žiadosti je zásadne bezplatné.

11.2Špecifické pravidlá pre Kandidátov (keď sme v úlohe Sprostredkovateľa)

Ak ste uchádzač o zamestnanie (Kandidát) a Vaše údaje sú spracúvané vnútri platformy heyree naším zákazníkom (napr. potenciálnym zamestnávateľom alebo personálnou agentúrou), uplatňujte svoje práva (najmä právo na výmaz životopisu či prístup k nemu) vždy primárne priamo u tohto zákazníka, ktorý vystupuje ako Prevádzkovateľ Vašich osobných údajov. K tomuto Prevádzkovateľovi by mala primárne smerovať aj Vaša prípadná sťažnosť podaná u dozorného úradu.

Dôležité upozornenie: HeyHire je v tomto vzťahu len poskytovateľom softvéru (technologickým sprostredkovateľom). Z právneho hľadiska nemáme oprávnenie z vlastnej vôle mazať, upravovať či exportovať náborové dáta bez výslovného pokynu zamestnávateľa (Prevádzkovateľa). Ak dostaneme žiadosť priamo od Kandidáta, naši klienti majú k dispozícii nástroje, ako Vašu žiadosť vnútri našej platformy bezodkladne vyhovieť. Prípadne Vašu žiadosť prepošleme príslušnému prevádzkovateľovi a poskytneme mu technickú súčinnosť.

11.3Právo podať sťažnosť u dozorného úradu

Ak sa domnievate, že s Vašimi údajmi nenakladáme v súlade s príslušnými právnymi predpismi, máte právo podať sťažnosť u dozorného úradu. Na Slovensku je týmto úradom Úrad na ochranu osobných údajov SR, so sídlom Hraničná 12, 820 07 Bratislava 27 (webová stránka: www.dataprotection.gov.sk). V Českej republike je dozorným úradom Úrad pre ochranu osobných údajov (ÚOOÚ), so sídlom Pplk. Sochora 27, 170 00 Praha 7 (web: www.uoou.cz).

12.1Aké údaje získavame a prečo

Ak k heyree pripojíte poštovú schránku Gmail alebo Kalendár Google, prípadne ak administrátor pripojí adresár Google Workspace Vašej organizácie, získavame len tie používateľské údaje Google, ktoré sú nevyhnutné na poskytovanie funkcií, ktoré používate:

• Gmail: odosielame e-maily kandidátom z Vašej vlastnej adresy, čítame správy a prílohy vymenené s kandidátmi Vašej organizácie, aby sa zobrazili na karte kandidáta, a synchronizujeme stav ich prečítania medzi heyree a Gmailom. Aby sme tieto správy rozpoznali, načítame každú novú správu vo Vašej schránke a overíme, či je jej odosielateľ alebo príjemca kandidátom Vašej organizácie; ostatné správy vrátane príloh ihneď zahodíme a nikdy ich neukladáme.
• Kalendár Google: čítame udalosti vo Vašom hlavnom kalendári, aby sme vedeli, kedy ste obsadení, a pohovory aj odkazy na samoobslužné plánovanie kandidátov tak ponúkali len voľný čas. Ďalej vytvárame, upravujeme a rušíme udalosti pohovorov, ktoré heyree naplánuje, vrátane ich odkazov Google Meet.
• Adresár Google Workspace: ak administrátor Vašej organizácie pripojí Google Workspace v heyree v časti Nastavenia → Zakladanie používateľov, získame k jeho adresáru prístup len na čítanie: k používateľom (meno, primárna e-mailová adresa, ID používateľa Google a informácia, či je účet pozastavený alebo archivovaný), ku skupinám a ich členom a k doménam, ktoré preň Google overil. Čítame aj e-mailovú adresu administrátora, ktorý pripojenie vykonal, aby sme mohli zobraziť, kto ho nastavil. Tieto údaje používame len na to, aby sme používateľov, ktorých administrátor zvolí (členov vybranej skupiny alebo všetkých), pridali do Vašej organizácie v heyree, udržiavali ich mená aktuálne, deaktivovali ich, keď je ich účet pozastavený či archivovaný alebo keď vybranú skupinu opustia, a overili, že každá e-mailová adresa patrí k overenej doméne. Tento prístup môže udeliť len administrátor Google Workspace a vo Vašom adresári Google Workspace nikdy nič nemeníme.

12.2Ako údaje ukladáme a chránime

Prístupové a obnovovacie tokeny OAuth ukladáme šifrovane vo vyhradenom trezore tajomstiev (WorkOS Vault), nikdy nie v čitateľnej podobe v našej databáze. E-maily kandidátov a ich prílohy ukladáme ako súčasť karty kandidáta. Udalosti z kalendára synchronizujeme, aby sme mohli zobraziť Vašu dostupnosť a v závislosti od Vášho nastavenia súkromia aj Vaše udalosti v tímovom kalendári; pri udalostiach označených v Googli ako súkromné alebo dôverné vidia kolegovia vždy len to, že ste v danom čase obsadení, nikdy ich názov ani iné podrobnosti.

Na synchronizáciu adresára ukladáme pri každom synchronizovanom používateľovi meno, e-mailovú adresu, ID používateľa Google a stav, ďalej zvolenú skupinu, doménu Vášho Google Workspace, e-mailovú adresu administrátora, ktorý pripojenie vykonal, a záznam posledných zmien v zakladaní používateľov (najviac 200 položiek). Zoznamy skupín, členstvá v skupinách a zoznam overených domén čítame pri každej synchronizácii a neukladáme ich. Aby sme používateľov do Vašej organizácie pridali, odovzdávame ich meno a e-mailovú adresu nášmu poskytovateľovi prihlasovania WorkOS (jednému z našich subdodávateľov uvedených v oddiele 8).

12.3Obmedzené použitie (Limited Use)

Používanie a odovzdávanie informácií získaných z rozhraní Google API do akejkoľvek inej aplikácie zo strany heyree sa riadi Zásadami pre používateľské údaje služieb Google API (Google API Services User Data Policy) vrátane požiadaviek na obmedzené použitie (Limited Use). Najmä:

• používateľské údaje Google používame len na poskytovanie a zlepšovanie funkcií pre používateľov opísaných vyššie;
• nepredávame ich a nepoužívame ani neodovzdávame ich na účely reklamy vrátane personalizovanej, retargetingovej či na záujmoch založenej reklamy;
• nepoužívame ich na trénovanie všeobecných modelov umelej inteligencie ani strojového učenia (pozri aj oddiel 4). Ak využívate funkcie HeyAI, napríklad návrh odpovede kandidátovi, príslušný obsah e-mailu spracúvajú naši subdodávatelia AI výlučne na vytvorenie tohto výsledku, a to v režime bez uchovávania údajov (Zero Retention);
• neumožňujeme ľuďom ich čítať, s výnimkou prípadov, keď na to pri konkrétnych správach udelíte výslovný súhlas, keď je to nevyhnutné z bezpečnostných dôvodov (napr. pri vyšetrovaní zneužitia), na splnenie právnych predpisov alebo na internú prevádzku, ak sú údaje agregované a anonymizované;
• tretím stranám ich odovzdávame len v rozsahu nevyhnutnom na poskytovanie či zlepšovanie týchto funkcií (naši subdodávatelia uvedení v oddiele 8), na splnenie právnych predpisov alebo v rámci fúzie, akvizície či predaja aktív, o ktorých používateľov vopred informujeme.

12.4Odpojenie a vymazanie

Gmail alebo Kalendár Google môžete kedykoľvek odpojiť v heyree v časti Nastavenia → Integrácie, prípadne môžete prístup heyree odvolať vo svojom účte Google na adrese myaccount.google.com/permissions. Pri odpojení v heyree vymažeme uložené prístupové tokeny a ukončíme všetku synchronizáciu. Ak prístup odvoláte iba vo svojom účte Google, synchronizácia sa zastaví, pretože tokeny prestanú fungovať; uložené tokeny vymažeme, len čo účet odpojíte aj v heyree alebo nás o to požiadate. E-maily kandidátov, ktoré sú už súčasťou karty kandidáta, zostávajú jej súčasťou a sú vymazané v súlade s oddielom 9. Ak si želáte vymazať synchronizované udalosti kalendára alebo iné používateľské údaje Google, kontaktujte nás na adrese legal@heyree.com.

Administrátor môže Google Workspace kedykoľvek odpojiť v heyree v časti Nastavenia → Zakladanie používateľov, prípadne môže prístup heyree odvolať v účte Google, ktorým pripojenie vykonal. Pri odpojení v heyree vymažeme uložený obnovovací token aj synchronizované záznamy adresára a ukončíme synchronizáciu. Ak je prístup odvolaný iba v účte Google, synchronizácia sa zastaví a uložený token vymažeme, len čo bude Google Workspace odpojený aj v heyree. Členovia, ktorí už boli do Vašej organizácie pridaní, si prístup ponechajú, aby odpojenie nikoho nezablokovalo; administrátor ich môže odobrať v časti Nastavenia → Tím.