Umowa powierzenia przetwarzania danych osobowych

1. Administrator — Pracodawca, który założył Konto w serwisie BRYGADA.
2. Podmiot przetwarzający — Kacper Miłosz, ul. Adama Mickiewicza 12 96-100 Skierniewice (Usługodawca); kontakt: miloszkacper@vp.pl.
3. Umowa zostaje zawarta z chwilą akceptacji Regulaminu przy zakładaniu Konta. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie. RODO oznacza rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679.

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych Kandydatów w zakresie niezbędnym do świadczenia usług Serwisu.
2. Celem przetwarzania jest umożliwienie Administratorowi prowadzenia rekrutacji: przeprowadzenie przez Asystenta rozmowy z Kandydatem, uporządkowanie zgłoszenia, udostępnienie go Administratorowi, umawianie spotkań i przekazywanie informacji o pierwszym dniu pracy.
3. Charakter przetwarzania: zbieranie, utrwalanie, porządkowanie, przechowywanie, udostępnianie Administratorowi, przesyłanie do dostawcy modelu językowego w celu wygenerowania odpowiedzi, anonimizacja i usuwanie — w sposób zautomatyzowany, w systemach informatycznych.
4. Umowa obowiązuje przez czas korzystania z Serwisu przez Administratora. Dane Kandydatów są automatycznie anonimizowane po 6 miesiącach od rozpoczęcia rozmowy, chyba że Administrator lub Kandydat usunie je wcześniej.

1. Kategorie osób: kandydaci do pracy lub współpracy, którzy rozmawiają z Asystentem w związku z ogłoszeniem Administratora.
2. Rodzaj danych: imię i nazwisko (lub samo imię), numer telefonu, adres e-mail, informacje o doświadczeniu, wykonywanych pracach, umiejętnościach, uprawnieniach i kwalifikacjach, dostępności, oczekiwaniach finansowych, pytania do Administratora, treść rozmowy z Asystentem, terminy spotkań, skrót adresu IP.
3. Serwis nie jest przeznaczony do przetwarzania szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO). Asystent nie pyta o takie dane i jest instruowany, by ich nie zapisywać.

1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem jest Regulamin, niniejsza umowa oraz działania Administratora w panelu Serwisu (np. publikacja ogłoszenia, zmiana statusu zgłoszenia, usunięcie danych).
2. Podmiot przetwarzający nie wykorzystuje danych Kandydatów do własnych celów.
3. Jeżeli polecenie Administratora w ocenie Podmiotu przetwarzającego narusza przepisy, Podmiot przetwarzający niezwłocznie o tym informuje.

1. Dostęp do danych mają wyłącznie osoby upoważnione przez Podmiot przetwarzający, zobowiązane do zachowania ich w tajemnicy.
2. Podmiot przetwarzający stosuje środki techniczne i organizacyjne odpowiednie do ryzyka (art. 32 RODO), w szczególności: szyfrowanie połączeń (HTTPS), rozdzielenie danych poszczególnych Administratorów na poziomie bazy danych, przechowywanie haseł i kluczy dostępu Kandydatów wyłącznie w postaci skrótów, przechowywanie zamiast adresu IP jedynie jego skrótu, ograniczenie dostępu administracyjnego oraz automatyczną anonimizację danych po upływie okresu przechowywania.

1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających. Na dzień zawarcia umowy są to:

• Supabase Inc. — baza danych i uwierzytelnianie (dane przechowywane w UE, Frankfurt);
• Vercel Inc. — hosting aplikacji;
• OpenAI — model językowy generujący odpowiedzi Asystenta (dane przesyłane przez API nie są domyślnie używane do trenowania modeli);
• Resend — wysyłka wiadomości e-mail.

2. O zamiarze dodania lub zmiany podprzetwarzającego Podmiot przetwarzający informuje Administratora e-mailem z co najmniej 14-dniowym wyprzedzeniem. Administrator może w tym czasie zgłosić sprzeciw, a w razie jego nieuwzględnienia — rozwiązać umowę.
3. Podmiot przetwarzający nakłada na podprzetwarzających obowiązki ochrony danych nie mniejsze niż wynikające z niniejszej umowy.
4. Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się wyłącznie przy zastosowaniu zabezpieczeń przewidzianych w rozdziale V RODO — decyzji stwierdzającej odpowiedni stopień ochrony (m.in. EU-US Data Privacy Framework) lub standardowych klauzul umownych.

1. Podmiot przetwarzający pomaga Administratorowi w realizacji praw Kandydatów (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw). Serwis umożliwia Kandydatowi samodzielne usunięcie danych z rozmowy, a Administratorowi — wgląd w dane i ich usunięcie w panelu.
2. Jeżeli Kandydat zwróci się z żądaniem bezpośrednio do Podmiotu przetwarzającego, ten niezwłocznie przekazuje je Administratorowi.
3. Podmiot przetwarzający, uwzględniając charakter przetwarzania, pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO.

Podmiot przetwarzający po stwierdzeniu naruszenia ochrony danych osobowych zgłasza je Administratorowi bez zbędnej zwłoki, nie później niż w ciągu 36 godzin, przekazując informacje potrzebne do oceny naruszenia i ewentualnego zgłoszenia go organowi nadzorczemu.

Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO. Administrator może przeprowadzić audyt po uprzednim powiadomieniu z co najmniej 14-dniowym wyprzedzeniem, w dni robocze i w sposób nieutrudniający działania Serwisu — w pierwszej kolejności w formie pisemnych pytań.

Po zakończeniu korzystania z Serwisu Podmiot przetwarzający usuwa lub anonimizuje dane Kandydatów w terminie 30 dni, chyba że przepisy prawa nakazują ich dalsze przechowywanie. Na prośbę zgłoszoną przed usunięciem Konta Podmiot przetwarzający przekaże Administratorowi kopię zgłoszeń.