Polityka Prywatności

I. Ogólne informacje

1. Niniejsza Polityka Prywatności określa zasady pozyskiwania, przetwarzania i zabezpieczania danych osobowych Użytkowników serwisu Lobby dostępnego pod adresem https://lobby.workplays.it/ („Serwis").
2. Polityka jest adresowana do wszystkich osób korzystających z Serwisu („Użytkownicy").
3. Niniejsza Polityka może być zmieniana i aktualizowana w przypadku zmian praktyk przetwarzania danych lub zmian prawa. O zmianach Administrator informuje na stronie Serwisu. Zachęcamy do regularnego zapoznawania się z jej treścią.
4. Korzystanie z Serwisu wiąże się z koniecznością zapoznania się z niniejszą Polityką Prywatności i Regulaminem Serwisu oraz ich akceptacji.

II. Administrator danych osobowych

1. Administratorem danych osobowych Użytkowników jest:
   WORKPLAYS IT SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ
   KRS: 0001097357 · NIP: 7123473171 · REGON: 528250745
   ul. Związkowa 26, 20-148 Lublin
   („Administrator")
2. Kontakt w sprawach przetwarzania danych osobowych: office@workplays.it lub pisemnie na adres siedziby.

III. Definicje

1. Dane osobowe – wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.
2. Przetwarzanie – wszelkie operacje wykonywane na danych osobowych (zbieranie, przechowywanie, używanie, ujawnianie, usuwanie itp.).
3. RODO – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.
4. EOG – Europejski Obszar Gospodarczy (UE + Islandia, Liechtenstein, Norwegia).
5. SCC – Standardowe Klauzule Umowne zatwierdzone przez Komisję Europejską.
6. EU-US DPF – Ramy ochrony danych UE-USA (EU-US Data Privacy Framework).

IV. Jakie dane zbieramy

Administrator przetwarza następujące kategorie danych osobowych:

1. Dane rejestracyjne (obowiązkowe):
   • a) adres e-mail,
   • b) hasło (przechowywane wyłącznie w formie zaszyfrowanej bcrypt),
   • c) data i godzina rejestracji,
   • d) status weryfikacji adresu e-mail.
   W przypadku rejestracji przez Google lub LinkedIn: adres e-mail i identyfikator konta zewnętrznego (bez automatycznego importu innych danych profilowych).
2. Dane Profilu zawodowego (opcjonalne, uzupełniane przez Użytkownika):
   • a) imię i nazwisko,
   • b) stanowisko i poziom seniority,
   • c) lata doświadczenia zawodowego,
   • d) krótki opis zawodowy (bio),
   • e) lokalizacja (miasto/region),
   • f) preferowany model pracy (stacjonarny/zdalny/hybrydowy),
   • g) technologie, specjalizacje, branże,
   • h) oczekiwania wynagrodzeniowe (widełki min./max., waluta),
   • i) języki,
   • j) historia zatrudnienia (nazwa firmy, stanowisko, daty, opis),
   • k) linki do portfolio, profilu LinkedIn, GitHub.
3. Dane z analizy CV:
   • a) wynik analizy (score 0–100),
   • b) dane wyodrębnione z CV: stanowisko, seniority, technologie, lokalizacja, lata doświadczenia,
   • c) pełny wynik analizy AI (oceny, rekomendacje, wskazówki),
   • d) nazwa przesłanego pliku CV,
   • e) data i godzina przeprowadzenia analizy.
   Ważne: Treść przesłanego pliku CV jest przetwarzana w celu wygenerowania analizy, lecz nie jest trwale przechowywana przez Administratora. Przechowywane są wyłącznie wyniki analizy.
4. Dane techniczne zbierane automatycznie (pliki cookie, Google Analytics):
   • a) zanonimizowany adres IP,
   • b) typ przeglądarki i systemu operacyjnego,
   • c) daty i godziny wizyt,
   • d) informacje o odwiedzanych podstronach.
5. Dane zgody na Bazę Kandydatów: fakt wyrażenia zgody (tak/nie) oraz data i godzina wyrażenia zgody.

V. Cele i podstawy prawne przetwarzania

1. Wykonanie umowy (art. 6 ust. 1 lit. b RODO):
   • – prowadzenie Konta Użytkownika,
   • – świadczenie usługi analizy CV,
   • – wysyłanie wiadomości e-mail niezbędnych do funkcjonowania Serwisu (weryfikacja, powiadomienia transakcyjne),
   • – obsługa żądań usunięcia Konta i realizacja uprawnień Użytkownika.
2. Zgoda (art. 6 ust. 1 lit. a RODO):
   • – włączenie do Bazy Kandydatów (Blind Profile) i kontakt rekrutacyjny,
   • – wysyłanie powiadomień marketingowych (jeśli Użytkownik wyrazi odrębną zgodę),
   • – instalacja analitycznych plików cookie (Google Analytics),
   • – przekazanie treści CV do przetworzenia przez modele AI Anthropic.
   Zgoda może być wycofana w każdym czasie bez wpływu na zgodność wcześniejszego przetwarzania z prawem.
3. Uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO):
   • – zapewnienie bezpieczeństwa technicznego Serwisu,
   • – tworzenie zagregowanych, anonimowych statystyk rynkowych i analitycznych,
   • – dochodzenie lub obrona ewentualnych roszczeń.
4. Obowiązek prawny (art. 6 ust. 1 lit. c RODO):
   • – wypełnianie obowiązków wynikających z przepisów prawa (m.in. podatkowych, rachunkowych).

VI. Analiza CV – przetwarzanie przez AI (Anthropic)

1. Funkcja analizy CV polega na wyodrębnieniu tekstu z przesłanego pliku (do ok. 8 000 znaków) i przekazaniu go do modeli językowych Anthropic w celu wygenerowania oceny i rekomendacji.
2. Dostawcą technologii AI jest Anthropic Ireland Limited, 2nd Floor, Palace Street Upper, Dublin 2, Irlandia. Anthropic przetwarza dane jako podmiot przetwarzający na podstawie stosownej umowy powierzenia (DPA).
3. Treść CV jest przetwarzana wyłącznie w celu realizacji Analizy CV na rzecz Użytkownika. Administrator nie przechowuje trwale treści pliku CV – przechowywane są jedynie wygenerowane wyniki (oceny, rekomendacje, metadane analizy).
4. Podstawą przetwarzania jest zgoda Użytkownika wyrażana przez przesłanie pliku CV do analizy.
5. Polityka prywatności Anthropic: https://www.anthropic.com/privacy

VII. Import danych z LinkedIn (Apify)

1. Użytkownik może opcjonalnie zaimportować dane ze swojego profilu LinkedIn, podając adres URL profilu w Panelu Użytkownika.
2. Import odbywa się przy pomocy technologii dostarczanej przez Apify Technologies s.r.o., Vodičkova 704/36, 110 00 Praha 1, Republika Czeska (podmiot w EOG).
3. Import następuje wyłącznie na aktywne żądanie Użytkownika – dane nie są pobierane automatycznie.
4. W wyniku importu do Profilu mogą zostać przeniesione: imię i nazwisko, stanowisko, bio, lokalizacja, historia zatrudnienia, umiejętności, języki.
5. Użytkownik jest odpowiedzialny za przestrzeganie Warunków Użytkowania LinkedIn podczas korzystania z tej funkcji.
6. Polityka prywatności Apify: https://apify.com/privacy-policy

VIII. Rejestracja i logowanie przez Google i LinkedIn (OAuth)

1. Użytkownik może zarejestrować się i logować do Serwisu za pomocą konta Google lub LinkedIn.
2. W przypadku logowania przez Google: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia, udostępnia Administratorowi adres e-mail i identyfikator konta Google. Polityka prywatności Google: https://policies.google.com/privacy
3. W przypadku logowania przez LinkedIn: LinkedIn Ireland Unlimited Company, Wilton Plaza, Dublin 2, Irlandia, udostępnia adres e-mail i identyfikator konta LinkedIn. Polityka prywatności LinkedIn: https://www.linkedin.com/legal/privacy-policy
4. Administrator nie importuje automatycznie danych profilowych z Google ani LinkedIn – wszelkie dane uzupełniane są ręcznie przez Użytkownika lub za pomocą dedykowanej funkcji importu (§ VII).

IX. Baza Kandydatów (Blind Profile)

1. Użytkownik może dobrowolnie wyrazić zgodę na włączenie swojego Profilu do niepublicznej Bazy Kandydatów Administratora.
2. Podstawą przetwarzania jest zgoda Użytkownika (art. 6 ust. 1 lit. a RODO), udzielana poprzez zaznaczenie opcji „Blind Profile" w Panelu Użytkownika.
3. W ramach Bazy Kandydatów Administrator może kontaktować się z Użytkownikiem drogą e-mail wyłącznie w przypadku pojawienia się projektu rekrutacyjnego odpowiadającego jego profilowi zawodowemu.
4. Dane z Bazy Kandydatów nie są udostępniane zewnętrznym pracodawcom, agencjom rekrutacyjnym ani żadnym innym podmiotom trzecim.
5. Zgoda może być wycofana w każdym czasie poprzez odznaczenie opcji w Panelu Użytkownika. Wycofanie zgody nie wpływa na zgodność przetwarzania dokonanego przed jej wycofaniem.

X. Udostępnianie danych osobowych

1. Administrator może udostępniać dane osobowe Użytkowników:
   • a) podmiotom przetwarzającym na podstawie umów powierzenia przetwarzania danych (dostawcy infrastruktury technicznej, AI, e-mail, hostingu – szczegółowo opisani w §XI),
   • b) osobom upoważnionym przez Administratora,
   • c) organom państwowym na podstawie przepisów prawa (np. sądy, organy ścigania).
2. Administrator nie sprzedaje danych osobowych Użytkowników.
3. Administrator nie udostępnia danych z Bazy Kandydatów zewnętrznym pracodawcom, agencjom rekrutacyjnym ani innym podmiotom trzecim.

XI. Podmioty trzecie – procesory danych

Administrator korzysta z usług następujących podmiotów przetwarzających dane osobowe:

XII. Google Analytics

1. Administrator korzysta z narzędzia Google Analytics dostarczanego przez Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia (infrastruktura: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA). Google LLC przystąpiło do EU-US Data Privacy Framework.
2. Google Analytics pozwala na:
   • a) śledzenie ruchu na stronie (liczba Użytkowników, źródła wejść),
   • b) monitorowanie zachowań Użytkowników (czas na stronie, odwiedzane podstrony),
   • c) segmentację demograficzną i technologiczną.
3. Administrator stosuje anonimizację adresów IP (ostatni oktet maskowany przed zapisem). Google Analytics pliki cookie instalowane są wyłącznie po wyrażeniu zgody przez Użytkownika.
4. Administrator stosuje tryb Consent Mode – bez zgody zbierane są wyłącznie anonimowe, zagregowane dane, bez możliwości identyfikacji Użytkownika.
5. Okres przechowywania danych w Google Analytics: 14 miesięcy.
6. Użytkownik może zrezygnować z Google Analytics, instalując wtyczkę: https://tools.google.com/dlpage/gaoptout
7. Polityka prywatności Google: https://policies.google.com/privacy

XIII. Pliki cookie

1. Serwis korzysta z plików cookie – małych plików tekstowych przechowywanych w przeglądarce Użytkownika.
2. Używamy następujących kategorii plików cookie:
   • Cookie niezbędne – wymagane do prawidłowego funkcjonowania Serwisu (sesja logowania, preferencje interfejsu). Podstawa: art. 399 Prawa Komunikacji Elektronicznej. Nie wymagają zgody.
   • Cookie analityczne (Google Analytics – _ga, _gid, _gat) – do analizy ruchu na stronie. Instalowane wyłącznie za zgodą Użytkownika. Podstawa: zgoda (art. 6 ust. 1 lit. a RODO).
3. Użytkownik może zarządzać plikami cookie poprzez ustawienia przeglądarki lub narzędzie do zarządzania zgodami na Serwisie.
4. Wyłączenie cookie niezbędnych może uniemożliwić lub utrudnić korzystanie z Serwisu.

XIV. Przekazywanie danych poza EOG

1. Dane osobowe mogą być przekazywane poza Europejski Obszar Gospodarczy w związku z korzystaniem z usług: Vercel Inc., MongoDB Inc., Twilio SendGrid, Google LLC (Analytics, OAuth) oraz Anthropic Ireland Limited (infrastruktura Anthropic w USA).
2. Przekazanie danych odbywa się z zastosowaniem odpowiednich zabezpieczeń wymaganych przez Rozdział V RODO:
   • a) Standardowe Klauzule Umowne (SCC) – zatwierdzone przez Komisję Europejską,
   • b) EU-US Data Privacy Framework – dla podmiotów certyfikowanych (Google LLC, Twilio SendGrid, MongoDB).

XV. Okres przechowywania danych

1. Dane Konta (e-mail, hasło): do momentu usunięcia Konta przez Użytkownika lub przez Administratora.
2. Dane Profilu zawodowego: do momentu usunięcia Konta lub ręcznego wyczyszczenia Profilu.
3. Wyniki analiz CV: do momentu usunięcia Konta. Pliki CV nie są trwale przechowywane.
4. Dane Google Analytics: 14 miesięcy.
5. Dane dotyczące roszczeń: do upływu terminów przedawnienia zgodnie z art. 118 Kodeksu Cywilnego.
6. Dane zgody Bazy Kandydatów: do wycofania zgody lub usunięcia Konta.
7. Tokeny weryfikacyjne e-mail: 24 godziny od wygenerowania.

XVI. Prawa Użytkowników

Każdemu Użytkownikowi przysługują następujące prawa w związku z przetwarzaniem danych osobowych:

1. Prawo dostępu – uzyskanie informacji o tym, jakie dane Administrator przetwarza, w jakim celu i komu je udostępnia, a także uzyskanie kopii danych.
2. Prawo do sprostowania – żądanie poprawienia błędnych lub uzupełnienia niekompletnych danych.
3. Prawo do usunięcia („prawo do bycia zapomnianym") – żądanie usunięcia danych, gdy nie są już potrzebne, zgoda została wycofana lub przetwarzanie jest niezgodne z prawem.
4. Prawo do ograniczenia przetwarzania – żądanie wstrzymania operacji na danych w określonych przypadkach.
5. Prawo do przenoszenia danych – otrzymanie danych w formacie nadającym się do odczytu maszynowego (w przypadku przetwarzania na podstawie umowy lub zgody).
6. Prawo sprzeciwu – sprzeciw wobec przetwarzania opartego na uzasadnionym interesie Administratora; w przypadku sprzeciwu wobec marketingu bezpośredniego – przetwarzanie zostaje bezwzględnie zaprzestane.
7. Prawo wycofania zgody – wycofanie w każdym czasie zgody na przetwarzanie danych opartego na tej podstawie, bez wpływu na zgodność wcześniejszego przetwarzania z prawem.
8. Prawo do skargi – złożenie skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

Wnioski dotyczące realizacji powyższych praw należy kierować na adres: office@workplays.it lub pisemnie na adres siedziby Administratora.

XVII. Bezpieczeństwo danych

1. Administrator wdrożył odpowiednie techniczne i organizacyjne środki ochrony danych osobowych, w szczególności:
   • a) szyfrowanie haseł algorytmem bcrypt,
   • b) bezpieczne połączenie HTTPS (TLS),
   • c) kontrolę dostępu do danych – wyłącznie uprawniony personel,
   • d) regularne kopie zapasowe (backup).
2. Administrator nie ponosi odpowiedzialności za skutki ujawnienia danych logowania przez Użytkownika osobom trzecim.
3. Użytkownicy są odpowiedzialni za bezpieczne przesyłanie danych do Administratora po stronie swojego urządzenia i sieci.