Zásady ochrany osobních údajů

1. Totožnost a kontaktní údaje správce

Provozovatelem aplikace A1Hire a v rozsahu uvedeném v těchto zásadách správcem osobních údajů je společnost A1 GEN s.r.o., provozující službu pod značkou A1Gen (dále jen „provozovatel“, „my“ nebo „správce“). Identifikační údaje provozovatele jsou následující:

• Obchodní firma: A1 GEN s.r.o.
• IČO: 24939684
• Sídlo: Rybná 716/24, Staré Město, 110 00 Praha 1
• Webové stránky: https://www.a1gen.ai/
• Kontaktní e-mail: info@a1gen.ai

Provozovatel nejmenoval pověřence pro ochranu osobních údajů. Ve všech záležitostech týkajících se zpracování osobních údajů a uplatnění vašich práv se na nás můžete obracet prostřednictvím e-mailové adresy info@a1gen.ai.

2. Rozlišení rolí: správce a zpracovatel

Pro správné pochopení těchto zásad je klíčové rozlišovat dvě odlišné role, v nichž provozovatel ve vztahu k osobním údajům vystupuje. Postavení provozovatele se liší podle toho, o které kategorie údajů jde.

Ve vztahu k údajům uživatelského účtu (registrační údaje uživatele aplikace) a k údajům o využití služby vystupuje provozovatel jako SPRÁVCE osobních údajů – sám určuje účely a prostředky jejich zpracování. V této roli na provozovatele dopadají povinnosti správce, včetně informační povinnosti, kterou plní zejména prostřednictvím těchto zásad.

Ve vztahu k osobním údajům kandidátů obsaženým v životopisech (CV), které do aplikace nahrává uživatel (zpravidla náborář či zaměstnavatel), vystupuje provozovatel jako ZPRACOVATEL. Správcem těchto údajů je samotný uživatel, který určuje účel a prostředky jejich zpracování (výběrové řízení, hodnocení kandidátů apod.) a osobní údaje do aplikace vkládá. Provozovatel tyto údaje zpracovává pouze na základě doložených pokynů uživatele a za podmínek sjednaných ve smlouvě o zpracování osobních údajů, která tvoří součást smluvních podmínek služby.

Smlouva o zpracování osobních údajů uzavřená mezi provozovatelem (zpracovatelem) a uživatelem (správcem) obsahuje podstatné náležitosti dle čl. 28 odst. 3 GDPR, zejména:

• Předmět a dobu trvání zpracování: zpracování osobních údajů obsažených v nahraných životopisech po dobu trvání smlouvy o poskytování služby A1Hire a do jejich smazání uživatelem.
• Povahu a účel zpracování: uložení životopisů, jejich předání AI k automatizovanému hodnocení, výpočet skóre a sestavení žebříčku kandidátů na pokyn uživatele.
• Typ osobních údajů: identifikační a kontaktní údaje, údaje o vzdělání, pracovních zkušenostech, dovednostech a další údaje uvedené kandidátem v životopise.
• Kategorie subjektů údajů: uchazeči o zaměstnání (kandidáti), jejichž životopisy uživatel do aplikace nahraje.
• Práva a povinnosti smluvních stran: zejména povinnost mlčenlivosti, přijetí vhodných technických a organizačních opatření, poskytování součinnosti správci, zapojení dalších zpracovatelů a naložení s údaji po ukončení zpracování.

Aktuální znění smlouvy o zpracování osobních údajů je uživateli k dispozici v rámci smluvních podmínek služby a na vyžádání na adrese info@a1gen.ai.

Důsledky tohoto rozlišení: u údajů kandidátů odpovídá za splnění informačních povinností vůči kandidátům (čl. 13 a 14 GDPR), za existenci a platnost právního základu pro zpracování jejich životopisů a za vyřízení jejich práv jako subjektů údajů primárně uživatel jako správce. Provozovatel uživateli poskytuje potřebnou součinnost. Uplatní-li kandidát svá práva přímo u provozovatele, předá provozovatel takový požadavek příslušnému uživateli, který je správcem daných údajů.

3. Zdroje osobních údajů a informační povinnost vůči kandidátům

Osobní údaje získáváme z různých zdrojů podle jejich kategorie a podle role, v níž provozovatel vystupuje:

• Údaje uživatelského účtu a údaje o využití služby získáváme přímo od subjektu údajů, tedy od uživatele, který se do aplikace registruje a aktivně ji používá. V tomto rozsahu plníme informační povinnost dle čl. 13 GDPR prostřednictvím těchto zásad.
• Osobní údaje kandidátů obsažené v životopisech získáváme nepřímo – nikoli od samotných kandidátů, nýbrž od uživatele (náboráře), který je do aplikace nahrává. Vůči těmto kandidátům je provozovatel pouze zpracovatelem.
• Technické a analytické údaje získáváme automatizovaně v souvislosti s používáním aplikace (viz sekce o cookies).

Vzhledem k tomu, že osobní údaje kandidátů jsou získávány nepřímo, vzniká informační povinnost dle čl. 14 GDPR. Tuto povinnost vůči kandidátům plní uživatel jako správce jejich osobních údajů, neboť on určuje účel zpracování a zná souvislosti náboru. Tyto zásady proto nejsou primárním informačním dokumentem ve vztahu ke kandidátům; primární informace o zpracování svých údajů by měl kandidát obdržet od uživatele (zaměstnavatele či náboráře), který jeho životopis do aplikace nahrál.

4. Kategorie zpracovávaných osobních údajů

V souvislosti s provozem aplikace zpracováváme následující kategorie osobních údajů:

• Údaje uživatelského účtu: jméno, e-mailová adresa a heslo (uložené v zabezpečené, hashované podobě prostřednictvím služby Firebase Authentication) uživatele, který se registruje a využívá aplikaci.
• Osobní údaje kandidátů z nahraných životopisů: životopisy ve formátu PDF nahrané uživatelem a veškeré osobní údaje v nich obsažené (zejména jméno a příjmení, kontaktní údaje, údaje o vzdělání, pracovních zkušenostech, dovednostech a další informace, které kandidát do svého životopisu uvedl). U těchto údajů je provozovatel v postavení zpracovatele (viz sekce 2).
• Údaje o využití služby: informace o čerpání kreditů, aktivitě v aplikaci, vytvořených pracovních pozicích, provedených hodnoceních a čas posledního přihlášení.
• Technické a analytické údaje: anonymizované nebo agregované údaje o používání webové aplikace získané prostřednictvím nástroje Vercel Web Analytics, technické údaje nezbytné pro provoz a zabezpečení služby.

Provozovatel aktivně nevyžaduje a nepožaduje, aby do životopisů byly vkládány zvláštní kategorie osobních údajů (citlivé údaje) ve smyslu čl. 9 GDPR. Za obsah nahraných životopisů odpovídá uživatel jako správce.

5. Účely zpracování a právní základy

Osobní údaje zpracováváme vždy pouze pro vymezené a legitimní účely a na základě odpovídajícího právního titulu dle čl. 6 GDPR. Pro jednotlivé kategorie a účely platí následující:

• Vytvoření a správa uživatelského účtu, poskytování funkcí aplikace a zajištění přihlášení – právním základem je plnění smlouvy mezi uživatelem a provozovatelem dle čl. 6 odst. 1 písm. b) GDPR.
• Vyúčtování, evidence čerpání kreditů a vedení záznamů o využití služby – právním základem je plnění smlouvy dle čl. 6 odst. 1 písm. b) GDPR a plnění právních povinností (zejména účetních a daňových) dle čl. 6 odst. 1 písm. c) GDPR.
• Zpracování osobních údajů kandidátů z nahraných životopisů (jejich uložení, předání AI k hodnocení a sestavení žebříčku) – provozovatel je zpracovává jako zpracovatel na základě pokynů uživatele dle čl. 28 GDPR; právní základ tohoto zpracování zajišťuje uživatel jako správce (typicky oprávněný zájem na obsazení pozice nebo souhlas kandidáta).
• Zajištění bezpečnosti, stability a ochrany aplikace, prevence zneužití a vedení provozních a bezpečnostních logů – právním základem je oprávněný zájem provozovatele dle čl. 6 odst. 1 písm. f) GDPR.
• Měření návštěvnosti a zlepšování služby pomocí anonymizovaných analytických údajů (Vercel Web Analytics) – právním základem je oprávněný zájem provozovatele dle čl. 6 odst. 1 písm. f) GDPR. Tento nástroj pracuje bez cookies a bez ukládání identifikátorů do koncového zařízení uživatele, a jeho provoz proto zpravidla nevyžaduje souhlas; souhlas dle čl. 6 odst. 1 písm. a) GDPR bychom vyžádali pouze tehdy, pokud by byly v budoucnu nasazeny analytické technologie, které jej dle právních předpisů vyžadují.
• Zasílání obchodních sdělení a marketingové komunikace (je-li nabízeno) – právním základem je souhlas dle čl. 6 odst. 1 písm. a) GDPR nebo oprávněný zájem dle čl. 6 odst. 1 písm. f) GDPR u stávajících zákazníků.
• Vyřizování dotazů, požadavků a uplatněných práv a vedení související komunikace – právním základem je oprávněný zájem provozovatele dle čl. 6 odst. 1 písm. f) GDPR a plnění právních povinností dle čl. 6 odst. 1 písm. c) GDPR.

Pokud je zpracování založeno na souhlasu, máte právo jej kdykoli odvolat, aniž je dotčena zákonnost zpracování provedeného před jeho odvoláním.

6. Příjemci osobních údajů a zpracovatelé

Pro provoz aplikace využíváme spolehlivé poskytovatele technologických služeb, kteří pro nás zpracovávají osobní údaje jako zpracovatelé (resp. v případě údajů kandidátů jako další zpracovatelé). S každým z nich máme uzavřenou odpovídající smlouvu o zpracování osobních údajů dle čl. 28 GDPR. Jedná se zejména o:

• Google LLC – služby Firebase, konkrétně Firebase Authentication (přihlášení e-mailem a heslem), Cloud Firestore (databáze aplikace) a Cloud Storage (uložení nahraných životopisů ve formátu PDF). Tyto služby zajišťují autentizaci uživatelů a uložení dat aplikace.
• Google LLC – Google Gemini API, které slouží k automatizovanému hodnocení obsahu životopisů umělou inteligencí a k výpočtu skóre a žebříčku kandidátů.
• Vercel Inc. – hosting webové aplikace a nástroj Vercel Web Analytics pro anonymizované měření návštěvnosti a výkonu aplikace.

Osobní údaje mohou být dále zpřístupněny osobám poskytujícím provozovateli účetní, daňové a právní služby, a to v nezbytném rozsahu. Osobní údaje můžeme zpřístupnit též orgánům veřejné moci, vyžaduje-li to právní předpis. Osobní údaje neprodáváme a nepředáváme třetím stranám pro jejich vlastní marketingové účely.

7. Předání osobních údajů do třetích zemí

Někteří z výše uvedených zpracovatelů (zejména Google LLC a Vercel Inc.) sídlí ve Spojených státech amerických nebo mohou údaje zpracovávat na serverech umístěných mimo Evropský hospodářský prostor. V takovém případě dochází k předání osobních údajů do třetí země ve smyslu kapitoly V GDPR.

Toto předání zajišťujeme některým z následujících mechanismů poskytujících přiměřené záruky ochrany vašich osobních údajů:

• Standardní smluvní doložky (Standard Contractual Clauses) přijaté Evropskou komisí jako vhodné záruky dle čl. 46 GDPR.
• Rozhodnutí Evropské komise o odpovídající úrovni ochrany dle čl. 45 GDPR, je-li příjemce certifikován v rámci EU–USA Data Privacy Framework (DPF). DPF je rozhodnutím o odpovídající úrovni ochrany dle čl. 45 GDPR, nikoli zárukou dle čl. 46 GDPR.

Kopii uplatňovaných vhodných záruk, resp. informaci o použitém mechanismu předání, si můžete vyžádat na adrese info@a1gen.ai.

8. Doby uchování osobních údajů

Osobní údaje uchováváme pouze po dobu nezbytně nutnou k naplnění příslušného účelu zpracování nebo po dobu stanovenou právními předpisy. Po uplynutí těchto dob jsou údaje vymazány nebo anonymizovány.

• Údaje uživatelského účtu: po dobu trvání registrace a využívání služby; po zrušení účtu jsou vymazány zpravidla do 30 dnů, není-li delší uchování nezbytné pro splnění právní povinnosti nebo ochranu oprávněných zájmů.
• Osobní údaje kandidátů z nahraných životopisů: po dobu stanovenou pokyny uživatele (správce); standardně po dobu existence příslušné pracovní pozice v účtu uživatele, dokud je uživatel nesmaže nebo dokud nedojde k ukončení smlouvy a smazání účtu. Po ukončení poskytování služby tyto údaje na pokyn uživatele vymažeme nebo vrátíme.
• Údaje o využití služby (kredity, aktivita, přihlášení): po dobu trvání účtu a následně po dobu nezbytnou pro vyúčtování a uplatnění nebo obhajobu právních nároků.
• Účetní a daňové doklady: po dobu vyžadovanou příslušnými právními předpisy. Zákon o účetnictví stanoví pro účetní záznamy zpravidla 5 let a pro účetní závěrku 10 let; zákon o dani z přidané hodnoty vyžaduje uchování daňových dokladů po dobu 10 let. Tyto údaje tak uchováváme po dobu 5 až 10 let dle povahy dokladu a příslušného předpisu.
• Technické a analytické údaje: v anonymizované nebo agregované podobě, případně po dobu nezbytnou pro zajištění bezpečnosti provozu (provozní logy zpravidla v řádu měsíců).
• Údaje zpracovávané na základě souhlasu: do odvolání souhlasu, nejdéle však po dobu, pro kterou byl souhlas udělen.

9. Automatizované zpracování, profilování a hodnocení pomocí umělé inteligence

Podstatou aplikace A1Hire je automatizované hodnocení životopisů kandidátů pomocí umělé inteligence (Google Gemini). Aplikace na základě uživatelem zvolených kategorií (například vzdělání, technické dovednosti, zkušenosti a vlastní kategorie) vyhodnocuje obsah životopisů, přiřazuje vážené skóre v rozmezí 0–100 a sestavuje žebříček kandidátů.

Výsledky hodnocení generovaného umělou inteligencí jsou pouze orientační a podpůrné. Mohou obsahovat nepřesnosti, chyby nebo zkreslení a nenahrazují lidský úsudek a rozhodnutí. Výsledky nesmějí být jediným podkladem pro rozhodnutí, které má vůči kandidátovi právní účinky nebo se jej obdobně významně dotýká (například rozhodnutí o nepřijetí do zaměstnání).

Provozovatel jako zpracovatel sám nečiní žádné automatizované rozhodnutí s právními nebo obdobně významnými účinky vůči kandidátům. Aplikace pouze poskytuje uživateli podpůrné podklady (skóre a žebříček). Konečné rozhodnutí o kandidátech činí vždy uživatel (náborář) na základě vlastního posouzení s podstatným zapojením člověka.

Aplikace tak není koncipována tak, aby na její straně docházelo k automatizovanému individuálnímu rozhodování včetně profilování ve smyslu čl. 22 GDPR bez lidského zásahu. Za zajištění smysluplného lidského zásahu, za posouzení, zda v konkrétním náborovém procesu nedochází k rozhodování dle čl. 22 GDPR, a za soulad konečného rozhodnutí s čl. 22 GDPR odpovídá uživatel jako správce osobních údajů kandidátů. Uplatní-li se ve vztahu k některému kandidátovi čl. 22 GDPR, náleží tomuto kandidátovi právo na lidský zásah, právo vyjádřit svůj názor a právo napadnout rozhodnutí; tato práva kandidát uplatňuje u uživatele (správce), nikoli u provozovatele.

10. Práva subjektu údajů

V souvislosti se zpracováním osobních údajů vám jako subjektu údajů náležejí níže uvedená práva dle GDPR.

Klíčové je, u koho práva uplatnit, neboť to závisí na roli provozovatele ve vztahu k dotčeným údajům:

• U údajů uživatelského účtu a údajů o využití služby je správcem provozovatel; tato práva proto uplatňujete u provozovatele na adrese info@a1gen.ai.
• U osobních údajů obsažených v životopisech kandidátů je správcem uživatel (náborář), který je do aplikace nahrál; tato práva, včetně práv souvisejících s automatizovaným rozhodováním dle čl. 22 GDPR, uplatňuje kandidát zpravidla u tohoto uživatele. Provozovatel jako zpracovatel poskytuje uživateli pouze nezbytnou součinnost a případnou žádost doručenou provozovateli předá příslušnému uživateli.

Subjektu údajů náležejí zejména následující práva:

• Právo na přístup k osobním údajům – získat potvrzení, zda jsou vaše údaje zpracovávány, a obdržet jejich kopii a informace o zpracování (čl. 15 GDPR).
• Právo na opravu nepřesných a doplnění neúplných osobních údajů (čl. 16 GDPR).
• Právo na výmaz („právo být zapomenut“) za podmínek stanovených v čl. 17 GDPR.
• Právo na omezení zpracování v případech uvedených v čl. 18 GDPR.
• Právo na přenositelnost údajů – získat údaje, které jste poskytli, ve strukturovaném, běžně používaném a strojově čitelném formátu a předat je jinému správci (čl. 20 GDPR).
• Právo vznést námitku proti zpracování založenému na oprávněném zájmu, jakož i proti zpracování pro účely přímého marketingu (čl. 21 GDPR).
• Právo odvolat kdykoli udělený souhlas se zpracováním, aniž je dotčena zákonnost zpracování před jeho odvoláním (čl. 7 odst. 3 GDPR).
• Právo nebýt předmětem výhradně automatizovaného rozhodování s právními nebo obdobně významnými účinky (čl. 22 GDPR); toto právo se ve vztahu k údajům kandidátů uplatňuje u uživatele jako správce.
• Právo podat stížnost u dozorového úřadu.

Domníváte-li se, že zpracováním vašich osobních údajů byla porušena právní úprava ochrany osobních údajů, máte právo podat stížnost u dozorového úřadu, kterým je Úřad pro ochranu osobních údajů, se sídlem Pplk. Sochora 27, 170 00 Praha 7, webové stránky www.uoou.cz.

11. Zabezpečení osobních údajů

Přijali jsme vhodná technická a organizační opatření k zajištění úrovně zabezpečení odpovídající rizikům zpracování, jak požaduje čl. 32 GDPR. Cílem je chránit osobní údaje před náhodným nebo protiprávním zničením, ztrátou, změnou, neoprávněným zpřístupněním nebo přístupem.

• Šifrování přenosu dat prostřednictvím protokolu HTTPS/TLS.
• Ukládání hesel v zabezpečené, hashované podobě prostřednictvím služby Firebase Authentication (hesla nejsou uchovávána v čitelné ani vratně zašifrované podobě).
• Řízení a omezení přístupu k osobním údajům na pověřené osoby a na základě oprávnění.
• Využívání renomovaných poskytovatelů cloudové infrastruktury (Google, Vercel) s odpovídajícími bezpečnostními standardy a certifikacemi.
• Pravidelná aktualizace a monitoring systémů a vedení provozních a bezpečnostních záznamů.

12. Cookies a obdobné technologie

Webová aplikace používá cookies a obdobné technologie, které jsou nezbytné pro její fungování (zejména pro přihlášení a udržení relace), a v omezeném rozsahu analytické technologie pro měření návštěvnosti (Vercel Web Analytics ve formě anonymizovaných údajů, který pracuje bez cookies a bez ukládání identifikátorů do koncového zařízení).

Ukládání informací do koncového zařízení uživatele a přístup k nim se řídí § 89 zákona č. 127/2005 Sb., o elektronických komunikacích, ve znění pozdějších předpisů. Ukládání nezbytných cookies nevyžaduje souhlas; k ukládání cookies, které nejsou nezbytné, je souhlas vyžádán, je-li takových cookies užíváno.

Podrobné informace o používaných cookies, jejich účelu, době uložení a možnostech jejich nastavení naleznete v samostatném dokumentu Zásady používání cookies.

13. Kontakt pro uplatnění práv a závěrečná ustanovení

Pro uplatnění svých práv, vznesení dotazů či námitek nebo odvolání souhlasu nás můžete kontaktovat na e-mailové adrese info@a1gen.ai. Vaši žádost vyřídíme bez zbytečného odkladu, nejpozději do jednoho měsíce od jejího obdržení; tuto lhůtu lze ve výjimečných případech prodloužit o další dva měsíce, o čemž vás budeme informovat. Za účelem ověření vaší totožnosti vás můžeme požádat o doplňující údaje.

Týká-li se vaše žádost osobních údajů obsažených v životopisech nahraných uživatelem, u nichž je provozovatel pouze zpracovatelem, předáme vaši žádost příslušnému uživateli (správci), který je oprávněn a povinen ji vyřídit, a poskytneme mu nezbytnou součinnost.

Tyto zásady ochrany osobních údajů jsme oprávněni v případě potřeby aktualizovat, zejména v reakci na změny právních předpisů nebo poskytovaných služeb. O podstatných změnách vás budeme vhodným způsobem informovat. Aktuální znění je vždy dostupné v rámci aplikace. Tyto zásady se řídí českým právním řádem, zejména nařízením GDPR, zákonem č. 110/2019 Sb. a v rozsahu cookies též zákonem č. 127/2005 Sb.