Vzor informace o zpracování osobních údajů pro uchazeče

0. Pokyn pro správce: jak tento vzor vyplnit a používat

DŮLEŽITÉ UPOZORNĚNÍ. Tento dokument je pouze nezávazným vzorem, který poskytuje Provozovatel aplikace A1Hire (společnost A1 GEN s.r.o.) jako podporu svým uživatelům. Tento vzor NEVYDÁVÁ Provozovatel vůči uchazečům; vydává jej a za jeho obsah a správnost odpovídá výhradně Uživatel jako správce osobních údajů uchazečů, tedy zaměstnavatel, náborář nebo personalista, který životopisy uchazečů do aplikace nahrává a hodnotí.

Před předáním uchazečům je správce povinen vzor pečlivě přizpůsobit svým konkrétním poměrům, zejména doplnit všechny zástupné texty uvedené v hranatých závorkách (například „[DOPLŇTE: ...]“), zvolit z nabízených variant tu, která odpovídá skutečnosti, a vypustit části, které se na jeho zpracování nevztahují. Správce odpovídá za to, že výsledný text je úplný, pravdivý, aktuální a v souladu s právními předpisy.

ZÁSADNÍ ROZLIŠENÍ ČL. 13 A ČL. 14 GDPR. Tento vzor je koncipován primárně pro situaci, kdy správce získal osobní údaje uchazeče NEPŘÍMO, tedy nikoli přímo od něj (například z náborové platformy, z profesní sítě, od personální agentury či z doporučení) — na tu se vztahuje čl. 14 GDPR. Získá-li však správce životopis PŘÍMO od uchazeče (uchazeč sám zaslal nebo nahrál své CV v reakci na inzerát), použije se namísto čl. 14 informační povinnost podle čl. 13 GDPR, která má odlišné lhůty a náležitosti — zejména je třeba uvést, zda je poskytnutí osobních údajů zákonným či smluvním požadavkem nebo požadavkem nutným k uzavření smlouvy, zda má uchazeč povinnost údaje poskytnout a jaké jsou možné důsledky jejich neposkytnutí (čl. 13 odst. 2 písm. e) GDPR). V takovém případě je nutné vzor upravit do režimu čl. 13: vypustit čl. 3 (zdroj údajů) a navazující odkazy, upravit lhůtu pro poskytnutí informace v čl. 10 a doplnit zmíněnou náležitost o povaze poskytnutí údajů. Získává-li správce údaje zčásti přímo a zčásti nepřímo, je třeba splnit obě informační povinnosti.

• Doplňte totožnost a kontaktní údaje správce (zaměstnavatele) v čl. 1 a případně údaje pověřence pro ochranu osobních údajů, byl-li jmenován.
• V čl. 3 (uplatní se jen v režimu čl. 14, tj. při nepřímém získání údajů) zvolte a popište skutečný zdroj, z něhož jste životopis získali, a uveďte, zda pocházel z veřejně přístupných zdrojů. Získali-li jste CV přímo od uchazeče, čl. 3 vypusťte a postupujte podle čl. 13 (viz výše).
• V čl. 5 zvolte správný právní základ zpracování (oprávněný zájem na obsazení pozice a vedení výběrového řízení, nebo souhlas uchazeče) a doplňte konkrétní účel; u oprávněného zájmu výslovně a konkrétně popište, v čem váš oprávněný zájem spočívá (čl. 14 odst. 2 písm. b) GDPR).
• Volíte-li u některých zpracování souhlas pro budoucí pracovní příležitosti (varianta B), mějte na paměti, že jde o samostatný účel s vlastní dobou uchování; v čl. 5 a čl. 7 jej odlište od zpracování pro aktuální výběrové řízení a uveďte samostatnou dobu uchování i podmínky odvolání souhlasu.
• V čl. 7 doplňte konkrétní dobu uchování osobních údajů uchazeče a zajistěte, aby technická existence dat v aplikaci A1Hire tuto dobu nepřesáhla (data v aplikaci po uplynutí lhůty smažte).
• V čl. 8 přizpůsobte výčet práv zvolenému právnímu základu; zejména právo na přenositelnost a právo vznést námitku se neuplatní u každého právního základu (viz poznámky v čl. 8).
• Pečlivě zkontrolujte, zda výčet příjemců a dalších zpracovatelů odpovídá vašemu skutečnému nastavení; údaje o Provozovateli a jeho dalších zpracovatelích relevantních pro zpracování životopisů (Google) jsou v tomto vzoru předvyplněny, neboť vyplývají z fungování aplikace A1Hire.
• Tento vzor neslouží jako právní poradenství; před jeho použitím doporučujeme konzultaci s osobou odborně způsobilou v oblasti ochrany osobních údajů.

Pro účely tohoto vzoru se „Správcem“ rozumí Uživatel (zaměstnavatel) vydávající tuto informaci a „Provozovatelem“ se rozumí společnost A1 GEN s.r.o. jakožto zpracovatel provozující aplikaci A1Hire.

1. Totožnost a kontaktní údaje správce

Správcem vašich osobních údajů, který rozhoduje o účelech a prostředcích jejich zpracování v souvislosti s výběrovým řízením, je:

• obchodní firma / jméno správce: [DOPLŇTE: obchodní firma nebo jméno zaměstnavatele],
• identifikační číslo (IČO): [DOPLŇTE: IČO],
• sídlo / adresa: [DOPLŇTE: adresa sídla nebo místa podnikání],
• kontaktní e-mail: [DOPLŇTE: kontaktní e-mail],
• kontaktní telefon (nepovinné): [DOPLŇTE: telefon],
• (dále jen „Správce“).

Pověřenec pro ochranu osobních údajů: [DOPLŇTE: jméno a kontaktní údaje pověřence pro ochranu osobních údajů, byl-li jmenován; nebyl-li pověřenec jmenován, uveďte „Správce pověřence pro ochranu osobních údajů nejmenoval.“].

Ve všech záležitostech týkajících se zpracování vašich osobních údajů a uplatnění vašich práv se můžete obracet na výše uvedené kontaktní údaje Správce.

2. K čemu tato informace slouží

Tuto informaci vám Správce poskytuje proto, aby splnil svou informační povinnost podle obecného nařízení o ochraně osobních údajů (nařízení Evropského parlamentu a Rady (EU) 2016/679, dále jen „GDPR“). Vzhledem k tomu, že vaše osobní údaje nebyly získány přímo od vás, nýbrž z jiného zdroje, řídí se obsah a lhůta poskytnutí této informace čl. 14 GDPR. Pokud byste tuto informaci obdrželi v situaci, kdy jste své údaje (svůj životopis) poskytli Správci přímo, vztahuje se na vás namísto toho čl. 13 GDPR a Správce vám poskytne informaci v jemu odpovídajícím rozsahu.

Správce zpracovává vaše osobní údaje v souvislosti s výběrovým řízením na obsazení pracovní pozice. K hodnocení a porovnání životopisů uchazečů Správce využívá webovou aplikaci A1Hire, kterou provozuje společnost A1 GEN s.r.o. jako zpracovatel jednající podle pokynů Správce. Bližší informace o této aplikaci a o zapojených zpracovatelích naleznete v dalších částech této informace.

3. Zdroj osobních údajů

Tento článek se uplatní v situaci, kdy Správce získal vaše osobní údaje nepřímo, tj. nikoli přímo od vás (režim čl. 14 GDPR). V souladu s čl. 14 odst. 2 písm. f) GDPR vás Správce informuje, že vaše osobní údaje získal z následujícího zdroje:

• [ZVOLTE / DOPLŇTE zdroj, z něhož byl životopis získán, například:] z náborové nebo pracovní platformy [DOPLŇTE: název platformy], na které jste svůj profil či životopis zveřejnil/a;
• z profesní či sociální sítě [DOPLŇTE: název sítě], kde byl váš profil veřejně dostupný;
• od personální agentury nebo jiného zprostředkovatele [DOPLŇTE: identifikace zprostředkovatele], který nám váš životopis předal;
• z doporučení třetí osoby [DOPLŇTE: bližší určení], která nám vaše údaje poskytla.

Správce vás v souladu s čl. 14 odst. 2 písm. f) GDPR rovněž informuje, zda dotčené osobní údaje pocházely z veřejně přístupných zdrojů: [DOPLŇTE: ano / ne a případně bližší určení zdroje].

POZNÁMKA PRO SPRÁVCE (nezahrnujte do verze pro uchazeče): Scénář, kdy uchazeč své CV poskytl Správci přímo (například je sám zaslal nebo nahrál v reakci na inzerát), do tohoto článku ani do režimu čl. 14 nespadá — uplatní se na něj čl. 13 GDPR. V takovém případě tento čl. 3 vypusťte a postupujte podle pokynu v čl. 0.

4. Kategorie dotčených osobních údajů

Správce o vás zpracovává osobní údaje v rozsahu, který vyplývá z vašeho životopisu a z průběhu výběrového řízení, zejména:

• identifikační a kontaktní údaje (jméno a příjmení, titul, e-mailová adresa, telefonní číslo, adresa bydliště, popřípadě datum narození, je-li v životopise uvedeno),
• údaje o dosaženém vzdělání, kvalifikaci, kurzech a certifikacích,
• údaje o dosavadních pracovních zkušenostech a profesní historii,
• údaje o dovednostech, jazykových znalostech a dalších schopnostech,
• další údaje, které jste dobrovolně uvedl/a ve svém životopise, motivačním dopise nebo souvisejících dokumentech,
• výsledky hodnocení vašeho životopisu v aplikaci A1Hire (vážené skóre a pořadí v žebříčku kandidátů).

Správce po vás aktivně nevyžaduje zvláštní kategorie osobních údajů ve smyslu čl. 9 GDPR (například údaje o zdravotním stavu, etnickém původu, náboženském vyznání či politických názorech). Pokud takové údaje sám uvedete ve svém životopise, budou zpřístupněny Správci a jím pověřeným zpracovatelům. Doporučujeme do životopisu uvádět pouze údaje nezbytné pro posouzení vaší vhodnosti pro danou pozici.

5. Účely a právní základ zpracování

Správce zpracovává vaše osobní údaje pro tyto účely: [DOPLŇTE / UPŘESNĚTE účel, zpravidla:] posouzení vaší vhodnosti pro obsazovanou pracovní pozici, vedení a vyhodnocení výběrového řízení, vzájemné porovnání uchazečů a komunikaci s vámi v jeho průběhu.

Právním základem zpracování je [ZVOLTE jednu z následujících variant podle skutečnosti]:

• Varianta A — oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR): zpracování je nezbytné pro účely oprávněných zájmů Správce, jimiž jsou [DOPLŇTE / KONKRETIZUJTE oprávněný zájem, zpravidla: obsazení volné pracovní pozice vhodným uchazečem a efektivní vedení a vyhodnocení výběrového řízení]. Uvedení konkrétních oprávněných zájmů je povinnou náležitostí podle čl. 14 odst. 2 písm. b) GDPR. Proti tomuto zpracování máte právo vznést námitku (viz čl. 8).
• Varianta B — souhlas (čl. 6 odst. 1 písm. a) GDPR): zpracování probíhá na základě vašeho souhlasu, zejména pokud si Správce přeje uchovat váš životopis pro budoucí pracovní příležitosti nad rámec aktuálního výběrového řízení. Jde o samostatný účel s vlastní (zpravidla delší) dobou uchování uvedenou v čl. 7. Souhlas je dobrovolný a můžete jej kdykoli odvolat (viz čl. 8); odvoláním není dotčena zákonnost zpracování před jeho odvoláním.

[DOPLŇTE: označte zvolenou variantu právního základu a případně ji blíže popište. Zpracovává-li Správce výjimečně zvláštní kategorie osobních údajů podle čl. 9 GDPR, uveďte rovněž odpovídající výjimku podle čl. 9 odst. 2 GDPR.]

POZNÁMKA PRO SPRÁVCE (nezahrnujte do verze pro uchazeče): Jako právní základ pro pouhé posouzení uchazeče a vedení výběrového řízení zpravidla nelze spolehlivě použít čl. 6 odst. 1 písm. b) GDPR (opatření před uzavřením smlouvy přijatá na žádost subjektu údajů), neboť podle převažujícího výkladu dozorových úřadů samotné hodnocení uchazeče zaměstnavatelem nepředstavuje opatření „na žádost“ uchazeče. Tento právní základ je vhodný spíše až v pokročilé fázi přímo směřující k uzavření pracovní smlouvy. Ve fázi náboru proto preferujte oprávněný zájem (varianta A), případně souhlas (varianta B).

6. Příjemci osobních údajů a zapojení zpracovatelé

Vaše osobní údaje mohou být zpřístupněny následujícím příjemcům, popřípadě kategoriím příjemců, kteří je zpracovávají pro Správce nebo jeho jménem:

• oprávnění zaměstnanci a spolupracovníci Správce podílející se na výběrovém řízení,
• společnost A1 GEN s.r.o., IČO 24939684, se sídlem Rybná 716/24, Staré Město, 110 00 Praha 1, web https://www.a1gen.ai/, kontaktní e-mail info@a1gen.ai (dále jen „Provozovatel“), jakožto zpracovatel provozující aplikaci A1Hire, který na základě smlouvy o zpracování osobních údajů podle čl. 28 GDPR a podle pokynů Správce ukládá nahrané životopisy, předává jejich obsah umělé inteligenci k hodnocení, vypočítává skóre, sestavuje žebříček kandidátů a zpřístupňuje výsledky Správci, včetně možnosti jejich exportu do PDF,
• [DOPLŇTE: případní další příjemci, například personální agentura, externí poradce, mateřská či sesterská společnost Správce apod.].

Provozovatel při zpracování vašeho životopisu zapojuje na základě smlouvy podle čl. 28 GDPR jako dalšího zpracovatele (subdodavatele) společnost Google. Smluvním partnerem Provozovatele je společnost Google Ireland Limited (se sídlem v Irsku, tj. v Evropském hospodářském prostoru); v rámci poskytování služby může subdodavatelsky docházet k zapojení společnosti Google LLC (USA) a k předání údajů do USA, které je kryto zárukami popsanými v čl. 7. Pro účely zpracování životopisů uchazečů jsou využívány tyto služby Google:

• Cloud Storage — bezpečné uložení nahraných životopisů ve formátu PDF,
• Cloud Firestore — uložení souvisejících údajů a výsledků hodnocení (skóre a pořadí v žebříčku),
• Google Gemini API — automatizované hodnocení obsahu životopisů umělou inteligencí. Provozovatel využívá placenou (zpoplatněnou) úroveň tohoto rozhraní, v jejímž rámci Google podle svých smluvních podmínek nepoužívá data zákazníka k trénování svých modelů a poskytuje smlouvu o zpracování osobních údajů a standardní smluvní doložky.

Vaše osobní údaje mohou být dále zpřístupněny orgánům veřejné moci, vyžadují-li to právní předpisy nebo je-li to nezbytné k ochraně práv a oprávněných zájmů Správce.

7. Předání do třetích zemí a doba uchování

Někteří z výše uvedených dalších zpracovatelů, popřípadě jejich subdodavatelé, mohou osobní údaje zpracovávat ve třetích zemích mimo Evropský hospodářský prostor, především ve Spojených státech amerických. Předání osobních údajů do těchto zemí je zajištěno vhodnými zárukami podle GDPR, a to následujícím způsobem:

• primárně standardními smluvními doložkami schválenými Evropskou komisí podle čl. 46 odst. 2 GDPR, které jsou součástí smluv o zpracování osobních údajů uzavřených s příslušnými zpracovateli;
• u příjemců v USA, kteří jsou certifikováni v rámci mechanismu EU–US Data Privacy Framework, se předání opírá o rozhodnutí Evropské komise o odpovídající ochraně ze dne 10. července 2023 podle čl. 45 GDPR.

Jde o dva odlišné právní mechanismy: rozhodnutí o odpovídající ochraně podle čl. 45 GDPR se uplatní pouze ve vztahu k subjektům certifikovaným v rámci EU–US Data Privacy Framework, zatímco standardní smluvní doložky podle čl. 46 GDPR slouží jako vhodná záruka v ostatních případech. Kopii standardních smluvních doložek, resp. informaci o konkrétně použitých vhodných zárukách a o tom, kde byly zpřístupněny, vám Správce na vyžádání poskytne prostřednictvím kontaktních údajů uvedených v čl. 1.

Doba uchování: Správce uchovává vaše osobní údaje pouze po dobu nezbytně nutnou k dosažení účelů zpracování, a to po dobu [DOPLŇTE: doba uchování, například „trvání výběrového řízení a následně X měsíců“; je-li právním základem souhlas pro budoucí příležitosti, uveďte zvlášť „po dobu platnosti vašeho souhlasu, nejdéle však po dobu X měsíců/let“]. Po uplynutí této doby, po naplnění účelu zpracování, po odvolání souhlasu (byl-li právním základem souhlas) nebo na základě úspěšně uplatněné námitky budou vaše osobní údaje vymazány nebo anonymizovány, nestanoví-li právní předpis povinnost je uchovávat déle.

Vaše osobní údaje jsou po dobu zpracování technicky uloženy v aplikaci A1Hire u Provozovatele jakožto zpracovatele. Správce zajistí jejich výmaz (nebo anonymizaci) v aplikaci A1Hire nejpozději po uplynutí výše uvedené doby uchování, kterou stanovil, takže technická existence vašich údajů u Provozovatele tuto dobu nepřesáhne. Nezávisle na tom Provozovatel údaje vymaže (nebo je na žádost vrátí) také po ukončení smlouvy o poskytování aplikace A1Hire nebo na pokyn Správce, nestanoví-li právní předpis jinak.

8. Vaše práva jako subjektu údajů

V souvislosti se zpracováním vašich osobních údajů vám náležejí níže uvedená práva, která můžete uplatnit u Správce prostřednictvím kontaktních údajů uvedených v čl. 1. Rozsah některých práv závisí na zvoleném právním základu zpracování:

• právo na přístup k osobním údajům (čl. 15 GDPR), tj. právo získat potvrzení, zda jsou vaše údaje zpracovávány, a získat k nim přístup a kopii,
• právo na opravu nepřesných a doplnění neúplných osobních údajů (čl. 16 GDPR),
• právo na výmaz osobních údajů, tzv. právo být zapomenut (čl. 17 GDPR), jsou-li splněny zákonné podmínky,
• právo na omezení zpracování (čl. 18 GDPR),
• právo na přenositelnost údajů (čl. 20 GDPR) — toto právo se uplatní pouze tehdy, je-li zpracování založeno na souhlasu (čl. 6 odst. 1 písm. a) GDPR) nebo na smlouvě (čl. 6 odst. 1 písm. b) GDPR) a probíhá automatizovaně; je-li právním základem oprávněný zájem (varianta A), právo na přenositelnost se neuplatní,
• právo vznést námitku proti zpracování založenému na oprávněném zájmu (čl. 21 GDPR) — uplatní se pouze u varianty A; po vznesení námitky Správce zpracování ukončí, neprokáže-li závažné oprávněné důvody pro pokračování,
• právo kdykoli odvolat udělený souhlas (čl. 7 odst. 3 GDPR) — uplatní se pouze u varianty B; odvoláním souhlasu není dotčena zákonnost předchozího zpracování.

POZNÁMKA PRO SPRÁVCE (nezahrnujte do verze pro uchazeče): Výčet práv přizpůsobte zvolenému právnímu základu — z výše uvedeného seznamu vypusťte právo na námitku, není-li právním základem oprávněný zájem, a právo na odvolání souhlasu, není-li právním základem souhlas. Obdobně upravte zmínku o právu na přenositelnost.

Domníváte-li se, že zpracováním vašich osobních údajů jsou porušovány právní předpisy, máte rovněž právo podat stížnost u dozorového úřadu, kterým je Úřad pro ochranu osobních údajů, se sídlem Pplk. Sochora 27, 170 00 Praha 7, internetová adresa www.uoou.cz. Tím není dotčena možnost obrátit se na soud.

9. Hodnocení životopisu pomocí umělé inteligence

Správce vás tímto výslovně informuje, že váš životopis je v rámci výběrového řízení hodnocen s pomocí umělé inteligence. Hodnocení provádí webová aplikace A1Hire provozovaná Provozovatelem, která prostřednictvím služby umělé inteligence třetí strany (konkrétní poskytovatel je uveden v čl. 6; ke dni vydání této informace jde o model Google Gemini, což se může v čase změnit) analyzuje obsah životopisů, přiřazuje jim vážené skóre na škále 0 až 100 podle předem zvolených kategorií (například vzdělání, dovednosti či zkušenosti) a sestavuje z uchazečů žebříček.

Smysl a logika hodnocení: aplikace strojově vyhodnocuje informace obsažené ve vašem životopise a porovnává je s kritérii, která pro danou pozici nastavil Správce; jednotlivým kritériím přiřadí dílčí body, které podle nastavených vah sloučí do souhrnného skóre 0 až 100, a podle tohoto skóre uchazeče seřadí do žebříčku. Výstupem je tedy číselné ohodnocení a pořadí, jejichž významem je usnadnit Správci orientaci mezi uchazeči a předvýběr. Výsledky hodnocení umělou inteligencí mohou obsahovat nepřesnosti a nepředstavují konečné rozhodnutí o vaší osobě.

Konečné rozhodnutí o uchazečích činí vždy člověk, tedy Správce, s podstatným lidským zapojením a vlastním posouzením. Skóre a pořadí v žebříčku jsou pouze podpůrným podkladem. Nejde proto o rozhodování založené výhradně na automatizovaném zpracování, které by mělo vůči vám právní účinky nebo se vás obdobně významně dotýkalo ve smyslu čl. 22 GDPR; tento článek popisuje stav, kdy o takové automatizované rozhodování NEjde.

POZNÁMKA PRO SPRÁVCE (uveďte následující odstavec ve verzi pro uchazeče POUZE tehdy, pokud by ve vašem konkrétním nasazení šlo o rozhodování založené výhradně na automatizovaném zpracování ve smyslu čl. 22 GDPR — tj. bez podstatného lidského zapojení; jinak jej vypusťte):

[Uplatní se jen při automatizovaném rozhodování dle čl. 22 GDPR:] Ve vašem případě dochází k rozhodování založenému výhradně na automatizovaném zpracování. V souladu s čl. 14 odst. 2 písm. g) GDPR vám proto Správce poskytuje tuto smysluplnou informaci o použité logice a o významu a předpokládaných důsledcích takového zpracování: aplikace A1Hire vyhodnocuje údaje z vašeho životopisu podle kritérií a jejich vah nastavených Správcem pro danou pozici, sloučí je do souhrnného skóre 0 až 100 a sestaví žebříček uchazečů; předpokládaným důsledkem je, že na základě tohoto skóre a pořadí může být [DOPLŇTE: rozhodnuto o vašem postupu, či nepostupu do dalšího kola výběrového řízení / o vyřazení z výběrového řízení apod.]. Máte právo na lidský zásah ze strany Správce, právo vyjádřit svůj názor a právo napadnout toto rozhodnutí; v takovém případě vaši věc posoudí pověřená osoba Správce.

10. Lhůta pro poskytnutí této informace a závěrečná ustanovení

Vzhledem k tomu, že vaše osobní údaje nebyly získány přímo od vás, poskytuje vám Správce tuto informaci v souladu s čl. 14 odst. 3 GDPR v přiměřené lhůtě po získání osobních údajů, nejpozději však do jednoho měsíce; mají-li být údaje použity pro komunikaci s vámi, nejpozději v okamžiku první komunikace; a mají-li být zpřístupněny dalšímu příjemci, nejpozději při jejich prvním zpřístupnění. (Byly-li by údaje získány přímo od vás, poskytl by vám Správce informaci podle čl. 13 GDPR již při jejich získání.)

Zpracování osobních údajů se řídí právním řádem České republiky, zejména GDPR (nařízení (EU) 2016/679) a zákonem č. 110/2019 Sb., o zpracování osobních údajů. Tato informace může být Správcem v případě potřeby aktualizována; aktuální znění vám Správce na vyžádání poskytne prostřednictvím kontaktních údajů uvedených v čl. 1.

Tato informace byla vydána dne [DOPLŇTE: datum vydání] Správcem uvedeným v čl. 1.