Powrót do strony głównej

POLITYKA PRYWATNOŚCI

serwisu zatrudnijmnie.pl

Wersja: 2.0 | Data wejścia w życie: 01.06.2026

1. Postanowienia ogólne

  1. Niniejsza Polityka Prywatności („Polityka”) określa zasady przetwarzania i ochrony danych osobowych osób korzystających z serwisu internetowego dostępnego pod adresem https://zatrudnijmnie.pl („Serwis”) oraz usług świadczonych za jego pośrednictwem.

  2. Polityka wyjaśnia w szczególności:

    a. kto jest administratorem danych osobowych,

    b. w jakich celach, na jakiej podstawie prawnej i przez jaki czas przetwarzamy dane,

    c. komu dane mogą być ujawniane i czy są przekazywane poza Europejski Obszar Gospodarczy („EOG”),

    d. jakie prawa przysługują osobom, których dane dotyczą,

    e. w jaki sposób wykorzystujemy pliki cookies oraz inne technologie.

  3. Polityka ma zastosowanie do przetwarzania danych osobowych:

    a. Kandydatów rejestrujących konta i publikujących ogłoszenia o poszukiwaniu pracy,

    b. Rekruterów i pracodawców zakładających Konta rekrutera lub Konta zespołowe,

    c. osób odwiedzających Serwis bez rejestracji,

    d. osób kontaktujących się z nami za pośrednictwem formularza kontaktowego, e-maila lub w inny sposób.

  4. Administrator przetwarza dane osobowe zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE („RODO”), ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych, ustawą z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, ustawą z dnia 12 lipca 2024 r. -- Prawo komunikacji elektronicznej oraz innymi przepisami powszechnie obowiązującego prawa.

  5. Serwis pełni funkcję dostawcy usług pośrednich w rozumieniu Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2065 (Akt o usługach cyfrowych, „DSA”). Serwis wyłącznie udostępnia platformę umożliwiającą publikację ogłoszeń kandydatów i dostęp rekruterów do bazy kandydatów -- nie uczestniczy w procesach rekrutacyjnych, negocjacjach umów o pracę ani nie odpowiada za decyzje rekrutacyjne podejmowane przez Rekruterów.

2. Administrator danych i kontakt

  1. Administratorem danych osobowych w rozumieniu RODO jest: ZATRUDNIJMNIE Sp. z o.o. z siedzibą w Warszawie, ul. Puławska 182, 02-670 Warszawa, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0001234697, NIP: 5214160956, REGON: 544486122. („Administrator”, „my”).

  2. Kontakt w sprawach ochrony danych osobowych:

    a. e-mail: [email protected],

    b. formularz kontaktowy dostępny w Serwisie,

    c. korespondencyjnie na adres: ZATRUDNIJMNIE Sp. z o.o., ul. Puławska 182, 02-670 Warszawa.

  3. Administrator nie wyznaczył Inspektora Ochrony Danych (IOD). We wszelkich sprawach dotyczących przetwarzania danych osobowych można kontaktować się z Administratorem pod adresem e-mail wskazanym w pkt 2 ppkt a) powyżej.

  4. Niniejsza Polityka Prywatności stanowi integralną część Regulaminu serwisu zatrudnijmnie.pl i powinna być czytana łącznie z Regulaminem. W zakresie nieuregulowanym w Polityce zastosowanie mają postanowienia Regulaminu oraz przepisy powszechnie obowiązującego prawa.

3. Definicje

„Serwis” -- serwis internetowy dostępny pod adresem https://zatrudnijmnie.pl, w tym podstrony informacyjne, treści marketingowe i wszystkie funkcjonalności dostępne za pośrednictwem tego adresu.

„Kandydat” -- osoba fizyczna, która założyła konto kandydata w Serwisie w celu publikacji ogłoszenia o poszukiwaniu pracy.

„Rekruter” -- osoba fizyczna lub podmiot działający w celach zawodowych bądź gospodarczych, który założył konto rekrutera lub konto zespołowe w Serwisie w celu uzyskania dostępu do bazy kandydatów.

„Użytkownik” -- każda osoba fizyczna korzystająca z Serwisu, w tym Kandydat, Rekruter oraz osoba odwiedzająca Serwis bez rejestracji.

„RODO” -- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.

„EOG” -- Europejski Obszar Gospodarczy.

„DSA” -- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2065 (Akt o usługach cyfrowych).

„CMP” -- mechanizm zarządzania zgodami w Serwisie, umożliwiający Użytkownikowi podjęcie i zmianę decyzji dotyczącej opcjonalnych kategorii cookies, podobnych technologii oraz narzędzi partnerów.

„Zgody banerowe” -- zgody lub odmowy wyrażane za pomocą CMP dla konkretnej przeglądarki lub urządzenia, niezależne od zgód konta Użytkownika dostępnych w ustawieniach Serwisu.

„Consent Mode” -- mechanizm przekazywania do narzędzi Google informacji o stanie zgód Użytkownika, w szczególności w zakresie przechowywania danych analitycznych i reklamowych oraz wykorzystywania danych do pomiaru i personalizacji reklam.

„dataLayer” -- techniczna warstwa zdarzeń wykorzystywana do komunikacji Serwisu z Google Tag Managerem i innymi narzędziami tag management. Do dataLayer nie przekazujemy danych osobowych podawanych w formularzach Serwisu.

4. Kategorie danych osobowych i źródła pozyskania

4.1. Dane podawane bezpośrednio przez Użytkownika

  1. Dane rejestracyjne (wszystkie typy kont):

    a. adres e-mail,

    b. imię i nazwisko (konto kandydata, konto rekrutera),

    c. nazwa firmy (konto zespołowe),

    d. typ konta (kandydat / rekruter / konto zespołowe),

    e. numer telefonu (konto kandydata i konto rekrutera w rejestracji tradycyjnej -- wymagany do weryfikacji SMS OTP; niewymagany przy rejestracji przez LinkedIn).

  2. Dane profilu kandydata:

    a. oczekiwania finansowe i preferowany tryb pracy (zdalny / stacjonarny / hybrydowy),

    b. opis doświadczenia zawodowego zamieszczony w treści ogłoszenia,

    c. CV i portfolio zawodowe (opcjonalnie -- załączane przez Kandydata),

    d. informacja o posiadaniu orzeczenia o niepełnosprawności (opcjonalnie; szczególna kategoria danych -- przetwarzanie wyłącznie na podstawie wyraźnej zgody, art. 9 ust. 2 lit. a RODO),

    e. wizerunek (jeśli Kandydat załączy zdjęcie profilowe lub zdjęcie w CV) -- przetwarzany na podstawie zgody (art. 6 ust. 1 lit. a RODO) w zakresie wykraczającym poza wykonanie umowy.

  3. Dane profilu rekrutera:

    a. dane firmy lub pracodawcy wymagane w formularzu rejestracyjnym albo w ustawieniach Konta,

    b. numer NIP, jeżeli jest wymagany do automatycznej weryfikacji uprawnienia do korzystania z Konta rekrutera albo do realizacji płatności lub obowiązków księgowo-podatkowych,

    c. dane dotyczące statusu weryfikacji firmy lub pracodawcy, jeżeli taka weryfikacja jest przeprowadzana.

  4. Przy rejestracji Konta rekrutera za pomocą LinkedIn numer telefonu ani NIP nie są wymagane na etapie utworzenia Konta, chyba że Serwis wyraźnie wskaże inaczej dla konkretnej funkcji lub procesu.

  5. Jeśli Kandydat załączy CV, może ono zawierać dodatkowe informacje osobowe, takie jak wykształcenie, doświadczenie zawodowe, umiejętności, certyfikaty, a także potencjalnie dane szczególnych kategorii (zob. pkt 4.4 poniżej).

  6. Dane płatności:

    a. dane identyfikacyjne nabywcy (imię i nazwisko / nazwa firmy, NIP),

    b. adres rozliczeniowy,

    c. identyfikatory transakcji i informacje o statusie płatności,

    d. szczegóły dostępu lub usług promocyjnych (rodzaj planu lub promocji, kwota, okres obowiązywania).

  7. Dane kart płatniczych nie są przetwarzane przez Administratora -- są obsługiwane bezpośrednio przez operatora płatności (Paynow -- usługa mBank S.A.) jako odrębnego administratora danych.

  8. Dane weryfikacji SMS OTP (konta kandydata i rekrutera rejestrowane tradycyjnie oraz konta, dla których Użytkownik włączy MFA):

    a. numer telefonu przypisany do konta, jeżeli został podany,

    b. informacje techniczne związane z wysłaniem i potwierdzeniem kodu, liczbą prób, statusem wykorzystania kodu oraz — jeżeli Użytkownik włączy MFA — obsługą tej funkcji przy logowaniu.

  9. Dane komunikacji: treść korespondencji prowadzonej przez formularz kontaktowy, e-mail lub czat w Serwisie, wraz z metadanymi (data, czas, adres e-mail nadawcy).

4.2. Dane pozyskiwane przy rejestracji i logowaniu przez LinkedIn

  1. Jeżeli Użytkownik wybierze rejestrację lub logowanie za pomocą LinkedIn, Administrator może otrzymać od LinkedIn lub od dostawcy infrastruktury uwierzytelniania wyłącznie dane niezbędne do obsługi tej metody, w szczególności:

    a. adres e-mail przypisany do konta LinkedIn,

    b. informację, czy adres e-mail został potwierdzony przez LinkedIn,

    c. imię i nazwisko albo nazwę profilu, jeżeli LinkedIn udostępni te dane w ramach zakresu uprawnień,

    d. techniczny identyfikator konta LinkedIn.

  2. Techniczny identyfikator konta LinkedIn nie jest przechowywany w Serwisie w postaci jawnej. Administrator przetwarza go w formie pseudonimizowanej, jako skrót kryptograficzny, w celu powiązania konta w Serwisie z kontem LinkedIn, obsługi logowania oraz przeciwdziałania nadużyciom.

  3. Administrator nie pobiera z LinkedIn listy kontaktów, prywatnych wiadomości, postów, historii zatrudnienia ani innych danych wykraczających poza zakres niezbędny do rejestracji i logowania. Serwis korzysta wyłącznie z zakresów uprawnień niezbędnych do identyfikacji Użytkownika i potwierdzenia adresu e-mail.

  4. Przy rejestracji przez LinkedIn numer telefonu nie jest wymagany. Może być on przetwarzany wyłącznie wtedy, gdy Użytkownik poda go w innym procesie dostępnym w Serwisie, np. w celu włączenia dodatkowego zabezpieczenia konta.

4.3. Dane zbierane automatycznie

  1. Podczas korzystania z Serwisu automatycznie zbieramy:

    a. adres IP oraz identyfikatory techniczne niezbędne do zapewnienia bezpieczeństwa Serwisu, obsługi żądań HTTP, przeciwdziałania nadużyciom,

    b. informacje o urządzeniu i przeglądarce (typ, wersja, system operacyjny, rozdzielczość ekranu),

    c. dane o aktywności w Serwisie (odwiedzane podstrony, czas wizyty, źródło wejścia),

    d. logi serwera (adres IP, data i czas, informacje o przeglądarce) -- wykorzystywane wyłącznie do celów administracyjnych i bezpieczeństwa.

  2. Analityka Serwisu (Umami Analytics) działa w modelu cookieless -- nie zapisuje plików cookie na urządzeniu Użytkownika.

  3. W związku z obsługą CMP możemy przetwarzać informacje o decyzji Użytkownika dotyczącej zgód banerowych, w szczególności identyfikator zgody (consent_id), wersję katalogu zgód, wybrane kategorie, typ akcji, źródło decyzji oraz znacznik czasu. Jeżeli Użytkownik jest zalogowany, rekord zgody może zostać powiązany z identyfikatorem konta w zakresie niezbędnym do wykazania zgodności. Rekord zgody banerowej nie obejmuje pełnego adresu IP, User-Agent ani fingerprintingu.

  4. Jeżeli Użytkownik wyrazi odpowiednią zgodę banerową i dane narzędzie jest aktywne w konfiguracji Serwisu, w ramach narzędzi analitycznych lub marketingowych partnerów mogą być przetwarzane także techniczne informacje o zdarzeniach w Serwisie, takie jak identyfikator zdarzenia, typ zdarzenia, transaction_id, typ konta, adres URL, źródło wejścia, identyfikatory kliknięć reklamowych (np. gclid, gbraid, wbraid, jeżeli występują), informacje o urządzeniu i przeglądarce oraz adres IP przetwarzany przez dostawcę narzędzia zgodnie z jego zasadami. W modelu Enhanced Conversions dane kontaktowe wykorzystywane do dopasowania konwersji są przed wysyłką normalizowane i hashowane po stronie serwera; hashe traktujemy jako dane pseudonimowe, a nie anonimowe.

4.4. Dane, o które nie prosimy

  1. Poza opcjonalnym polem dotyczącym orzeczenia o niepełnosprawności (przetwarzanym wyłącznie na podstawie wyraźnej zgody -- art. 9 ust. 2 lit. a RODO), Administrator nie zwraca się o podawanie danych szczególnych kategorii w rozumieniu art. 9 RODO (np. dane o zdrowiu, pochodzeniu rasowym, poglądach politycznych, przekonaniach religijnych) ani danych dotyczących wyroków w sprawach karnych (art. 10 RODO).

  2. Jeśli takie dane zostaną przypadkowo podane (np. w treści CV lub opisu ogłoszenia), Administrator będzie je moderować zgodnie z polityką treści i może je usunąć lub zanonimizować. Podstawa prawna moderacji: art. 6 ust. 1 lit. f RODO (uzasadniony interes polegający na zapewnieniu bezpieczeństwa platformy).

4.5. Ograniczenia wiekowe i dane osób młodocianych

  1. Serwis jest przeznaczony dla osób, które ukończyły co najmniej minimalny wiek wymagany do podjęcia pracy zgodnie z prawem polskim. Administrator nie gromadzi świadomie danych osób, które nie spełniają wymogów wiekowych. W przypadku powzięcia informacji o takim fakcie Administrator podejmie działania w celu niezwłocznego usunięcia danych i/lub zablokowania Konta.

  2. Osoby młodociane (nieposiadające pełnej zdolności do czynności prawnych) mogą korzystać z Serwisu wyłącznie za zgodą przedstawiciela ustawowego i w zakresie zgodnym z przepisami prawa pracy. Informacja o udzielonej zgodzie może być przetwarzana w celu jej wykazania.

5. Cele, podstawy prawne i okresy przetwarzania danych

  1. Poniższa tabela przedstawia cele przetwarzania danych osobowych, odpowiadające im podstawy prawne oraz okresy przechowywania danych:
Cel przetwarzania Podstawa prawna Okres przechowywania
Świadczenie usług: prowadzenie konta, publikacja ogłoszeń, obsługa płatności, umożliwienie kontaktu między Kandydatami a Rekruterami, w tym rejestracja i logowanie przez LinkedIn art. 6 ust. 1 lit. b RODO (wykonanie umowy) Przez okres posiadania konta + 14 dni po usunięciu konta (chyba że dłuższy okres wynika z przepisów prawa lub konieczności obrony przed roszczeniami)
Rejestracja i logowanie za pomocą LinkedIn: obsługa procesu OAuth/OIDC, potwierdzenie zweryfikowanego adresu e-mail, powiązanie konta z pseudonimizowanym identyfikatorem LinkedIn oraz przeciwdziałanie nadużyciom art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. f RODO (uzasadniony interes: bezpieczeństwo konta) Przez okres posiadania konta + do 14 dni po usunięciu konta; pseudonimizowany identyfikator LinkedIn przez okres powiązania konta, chyba że dłuższy okres jest niezbędny do obrony przed roszczeniami
Weryfikacja numeru telefonu (SMS OTP) – konta rejestrowane tradycyjnie oraz obsługa MFA art. 6 ust. 1 lit. b RODO (zabezpieczenie konta) oraz art. 6 ust. 1 lit. f RODO (zapobieganie nadużyciom) Numer telefonu: przez okres posiadania konta + 14 dni po usunięciu, jeżeli został podany. Kody OTP i dane techniczne: usuwane automatycznie po wygaśnięciu/wykorzystaniu kodu. Ustawienia MFA: przez okres posiadania konta
Realizacja obowiązków prawnych: rachunkowość, podatki, archiwizacja, wystawianie dokumentów księgowych art. 6 ust. 1 lit. c RODO (obowiązek prawny) Co najmniej 5 lat od końca roku obrotowego, w którym powstał dokument
Bezpieczeństwo platformy, moderacja treści, przeciwdziałanie nadużyciom, weryfikacja wieku/tożsamości art. 6 ust. 1 lit. f RODO (uzasadniony interes) oraz – w zakresie obowiązków wynikających z DSA i przepisów prawa – art. 6 ust. 1 lit. c RODO Logi serwera: do 12 miesięcy. Dane weryfikacji tożsamości: do 90 dni od zakończenia procesu. Dane moderacyjne: do 12 mies. od zakończenia postępowania. Bany permanentne: zob. ust. 2 poniżej
Analityka ruchu w modelu privacy-first (Umami Analytics, cookieless) art. 6 ust. 1 lit. f RODO (uzasadniony interes: analiza ruchu i optymalizacja Serwisu) Dane zagregowane bez identyfikatorów; analityka wewnętrzna serwera: do 180 dni; Umami Analytics (cookieless): bezterminowo w formie zagregowanej
Opcjonalna analityka partnerów (w szczególności Google Analytics 4 uruchamiana przez Google Tag Manager) – wyłącznie po zgodzie banerowej art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 399 Prawa komunikacji elektronicznej w zakresie przechowywania lub dostępu do informacji na urządzeniu Do cofnięcia zgody albo zgodnie z ustawieniami retencji w narzędziu partnera; szczegółowe okresy zależą od konfiguracji konta i polityk dostawcy
Opcjonalny marketing partnerów, pomiar konwersji i optymalizacja kampanii (Google Ads, Conversion Linker, Enhanced Conversions, Meta Pixel/CAPI, LinkedIn Insight Tag) – wyłącznie po zgodzie banerowej art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 399 i art. 398 Prawa komunikacji elektronicznej Do cofnięcia zgody albo zgodnie z ustawieniami retencji w narzędziach partnerów; techniczna kolejka Enhanced Conversions jest przechowywana przez czas niezbędny do wysyłki, retry, diagnostyki i rozliczalności
Marketing własnych usług (np. informacje o funkcjach Serwisu) art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 398 Prawa komunikacji elektronicznej Do cofnięcia zgody lub wniesienia sprzeciwu
Dochodzenie lub obrona przed roszczeniami art. 6 ust. 1 lit. f RODO (uzasadniony interes: ochrona praw) Do upływu terminów przedawnienia roszczeń (co do zasady 3 lata, a dla roszczeń związanych z działalnością gospodarczą – do 6 lat od końca roku)
Obsługa zgłoszeń naruszeń i skarg (procedura notice-and-action wg DSA) art. 6 ust. 1 lit. c RODO (obowiązek z DSA) oraz art. 6 ust. 1 lit. f RODO Do 12 miesięcy od zakończenia postępowania wyjaśniającego (chyba że dłuższy okres jest niezbędny do obrony przed roszczeniami)
Przetwarzanie danych szczególnych kategorii (np. informacja o orzeczeniu o niepełnosprawności, dane wrażliwe w CV) art. 9 ust. 2 lit. a RODO (wyraźna zgoda) Do cofnięcia zgody lub usunięcia konta + do 14 dni po usunięciu konta (okres retencji danych konta); jeśli dane występują w treści ogłoszenia – do 14 dni po usunięciu ogłoszenia
Rekordy zgód konta i potwierdzeń RODO (np. znacznik czasu, treść oświadczenia, identyfikatory techniczne w zakresie wymaganym dowodowo) art. 6 ust. 1 lit. f RODO (uzasadniony interes: wykazanie zgodności, art. 7 ust. 1 RODO) Przez cały okres obowiązywania zgody + 3 lata po jej cofnięciu
Rekordy zgód banerowych CMP (consent_id, wersja zgód, wybrane kategorie, akcja, źródło decyzji, znacznik czasu, user_id tylko dla zalogowanych) art. 6 ust. 1 lit. f RODO (wykazanie zgodności, art. 7 ust. 1 RODO) oraz art. 399 Prawa komunikacji elektronicznej Przez okres ważności zgody oraz nie dłużej niż 3 lata po jej zmianie lub cofnięciu, chyba że dłuższy okres jest niezbędny do obrony przed roszczeniami
Ogłoszenia kandydatów (treść ogłoszenia, dane kontaktowe) art. 6 ust. 1 lit. b RODO (wykonanie umowy) Przez okres wyświetlania ogłoszenia + do 14 dni po usunięciu ogłoszenia
Korespondencja (formularz kontaktowy, e-mail) – przetwarzana w systemach dostawcy poczty (EmailLabs – Vercom S.A.) art. 6 ust. 1 lit. f RODO (uzasadniony interes: obsługa zapytań) / art. 6 ust. 1 lit. b RODO (jeśli dotyczy umowy) Przez okres prowadzenia korespondencji oraz po jej zakończeniu zgodnie z polityką retencji podmiotu przetwarzającego
Wizerunek (zdjęcie profilowe, zdjęcie w CV) art. 6 ust. 1 lit. a RODO (zgoda – dobrowolne załączenie przez Kandydata) Do cofnięcia zgody lub usunięcia konta/ogłoszenia. Pliki CV usuwane do 14 dni od usunięcia ogłoszenia; dane profilowe – do 14 dni od usunięcia konta
  1. W przypadku nałożenia na Użytkownika banu permanentnego z powodu poważnego naruszenia Regulaminu, Administrator przechowuje zminimalizowany zakres danych identyfikacyjnych (adres e-mail, numer telefonu -- jeśli został podany -- oraz powód banu) przez cały okres obowiązywania banu, w celu uniemożliwienia ponownej rejestracji i ochrony bezpieczeństwa platformy. Podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes Administratora polegający na ochronie Serwisu przed nadużyciami). Użytkownik, wobec którego nałożono ban permanentny, zachowuje prawo do wniesienia sprzeciwu wobec przetwarzania (art. 21 RODO) -- sprzeciw zostanie rozpatrzony z uwzględnieniem tego, czy istnieją ważne prawnie uzasadnione podstawy do przetwarzania, nadrzędne wobec interesów Użytkownika.

6. Udostępnianie danych kandydatów Rekruterom -- zmiana administratora

  1. Rekruterzy posiadający aktywny dostęp do bazy kandydatów (opłacony jednorazowo lub w ramach okresu próbnego) uzyskują wgląd do:

    a. danych kontaktowych Kandydata (imię, nazwisko, adres e-mail, numer telefonu -- jeżeli został podany),

    b. treści ogłoszenia Kandydata,

    c. załączonego CV -- wyłącznie jeśli Kandydat wyraził na to odrębną zgodę (art. 6 ust. 1 lit. a RODO).

  2. Z chwilą pobrania danych kontaktowych Kandydata lub uzyskania dostępu do CV, Rekruter staje się odrębnym administratorem danych osobowych Kandydata w rozumieniu art. 4 pkt 7 RODO -- w zakresie dalszego przetwarzania tych danych na potrzeby własnych procesów rekrutacyjnych.

  3. Skutki zmiany administratora:

    a. Rekruter samodzielnie określa cele i sposoby dalszego przetwarzania danych Kandydata,

    b. Rekruter jest zobowiązany do spełnienia obowiązków informacyjnych wobec Kandydata w terminie 1 miesiąca od pozyskania danych lub przy pierwszym kontakcie z Kandydatem, w zależności od tego, co nastąpi wcześniej,

    c. Rekruter odpowiada za zapewnienie podstawy prawnej przetwarzania, bezpieczeństwo danych oraz realizację praw Kandydata,

    d. Administrator (zatrudnijmnie.pl) nie ponosi odpowiedzialności za przetwarzanie danych Kandydata dokonywane przez Rekrutera po pobraniu danych z Serwisu.

  4. Rekruterzy są zobowiązani do przestrzegania przepisów RODO, co stanowi również warunek korzystania z Serwisu określony w Regulaminie.

  5. Kandydat może w każdej chwili cofnąć zgodę na udostępnienie CV, co skutkuje zaprzestaniem prezentowania CV nowym Rekruterom. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed cofnięciem.

7. Odbiorcy danych

  1. Dane osobowe mogą być przekazywane wyłącznie w niezbędnym zakresie następującym kategoriom odbiorców:

A. Podmioty przetwarzające (procesorzy) -- na podstawie umów powierzenia (art. 28 RODO):

a. dostawca hostingu i poczty e-mail (np. RapidDC) -- EOG,

b. dostawca bazy danych i infrastruktury uwierzytelniania (np. Supabase, centrum danych w Niemczech) -- EOG,

c. dostawca wysyłki e-mail / SMTP (np. EmailLabs) -- EOG,

d. dostawca wysyłki SMS OTP (np. SMS-fly.pl) -- EOG,

e. księgowość i doradcy prawni -- w zakresie niezbędnym do realizacji obowiązków prawnych,

f. dostawcy narzędzi antyfraud i weryfikacji tożsamości/wieku (jeśli wdrożone) -- EOG,

g. agencja marketingowa lub podmiot wspierający konfigurację kampanii, analityki i tagów -- w zakresie dostępu do kont i raportów GA4, GTM, Google Ads, Meta lub LinkedIn oraz wyłącznie zgodnie z nadanymi uprawnieniami i instrukcjami Administratora; szczegółowa rola prawna takiego podmiotu jest określana umownie odpowiednio do modelu współpracy.

h. Cloudflare lub inny dostawca infrastruktury pośredniczącej -- jeżeli zostanie uruchomiony Google Tag Gateway lub podobny mechanizm first-party routing dla tagów, w zakresie technicznego routingu, bezpieczeństwa i dostępności.

Wszystkie podmioty przetwarzające działają na podstawie umów powierzenia danych i zapewniają poziom bezpieczeństwa zgodny z RODO.

B. Odrębni administratorzy:

a) operator płatności: Paynow (usługa mBank S.A.) -- w zakresie realizacji płatności online; mBank S.A. samodzielnie określa cele i sposoby przetwarzania danych płatniczych,

b) Google LLC -- w zakresie usługi reCAPTCHA v3 (zob. pkt 11.5 poniżej),

c) LinkedIn Ireland Unlimited Company oraz podmioty z grupy LinkedIn -- w zakresie korzystania przez Użytkownika z rejestracji lub logowania za pomocą LinkedIn; LinkedIn przetwarza dane na zasadach określonych we własnej polityce prywatności,

d) Rekruterzy -- w zakresie opisanym w pkt 6,

e) organy uprawnione na podstawie przepisów prawa (np. sądy, organy ścigania, UODO) -- gdy wystąpi stosowny obowiązek prawny,

f) Google Ireland Limited / Google LLC -- w zakresie Google Tag Manager, Google Analytics 4, Google Ads, Conversion Linker, Google Tag Gateway, Google Ads Enhanced Conversions oraz innych usług Google uruchamianych zgodnie ze zgodą Użytkownika,

g) Meta Platforms Ireland Limited / Meta Platforms, Inc. -- w zakresie Meta Pixel, Meta Conversions API, pomiaru konwersji i kampanii reklamowych Meta uruchamianych zgodnie ze zgodą Użytkownika,

h) LinkedIn Ireland Unlimited Company / LinkedIn Corporation -- w zakresie LinkedIn Insight Tag, pomiaru konwersji i kampanii reklamowych LinkedIn uruchamianych zgodnie ze zgodą Użytkownika.

8. Przekazywanie danych do państw trzecich (poza EOG)

  1. Co do zasady dane osobowe Użytkowników są przetwarzane w obrębie EOG.

  2. W związku z korzystaniem z usługi Google reCAPTCHA v3, a także opcjonalnych usług Google uruchamianych po zgodzie Użytkownika, dane mogą być przekazywane do Google LLC (USA). Transfer ten jest objęty decyzją wykonawczą Komisji Europejskiej z dnia 10 lipca 2023 r. stwierdzającą odpowiedni stopień ochrony w ramach EU-US Data Privacy Framework (DPF, decyzja 2023/1795), o ile dany odbiorca posiada aktywny certyfikat DPF.

  3. W przypadku uruchomienia Meta Pixel, Meta Conversions API, LinkedIn Insight Tag, Google Tag Gateway przez Cloudflare lub innych narzędzi partnerów, dane techniczne i dane o zdarzeniach mogą być przetwarzane przez podmioty z grup kapitałowych z siedzibą poza EOG. Transfery są legalizowane przez decyzję o adekwatności, DPF, standardowe klauzule umowne lub inny mechanizm przewidziany w Rozdziale V RODO, stosownie do aktualnego statusu danego dostawcy i konfiguracji usługi.

  4. W związku z korzystaniem z rejestracji lub logowania przez LinkedIn dane mogą być przetwarzane przez LinkedIn Ireland Unlimited Company oraz podmioty z grupy LinkedIn, w tym poza EOG. Transfery takie odbywają się zgodnie z mechanizmami przewidzianymi w Rozdziale V RODO, w szczególności na podstawie decyzji stwierdzającej odpowiedni stopień ochrony, standardowych klauzul umownych lub innych zabezpieczeń wskazanych w polityce prywatności LinkedIn.

  5. Jeżeli w przyszłości dojdzie do przekazania danych poza EOG w związku z korzystaniem z innych usług podmiotów trzecich, Administrator zapewni zastosowanie odpowiedniego mechanizmu legalizującego transfer zgodnie z Rozdziałem V RODO, w szczególności:

    a. standardowych klauzul umownych (SCC) przyjętych decyzją wykonawczą Komisji (UE) 2021/914,

    b. decyzji stwierdzającej odpowiedni stopień ochrony,

    c. innego mechanizmu dopuszczonego przez RODO (np. wiążące reguły korporacyjne, art. 49 RODO).

  6. Informacje o zastosowanych zabezpieczeniach transferu można uzyskać kontaktując się z Administratorem (pkt 2).

9. Prawa Użytkowników

Na podstawie RODO Użytkownikom przysługują następujące prawa:

Prawo Podstawa Opis
Prawo dostępu do danych art. 15 RODO Uzyskanie potwierdzenia, czy dane są przetwarzane, oraz dostępu do nich i kopii.
Prawo do sprostowania art. 16 RODO Poprawienie nieprawidłowych lub uzupełnienie niepełnych danych.
Prawo do usunięcia („prawo do bycia zapomnianym”) art. 17 RODO Usunięcie danych, jeśli nie są już niezbędne do celów przetwarzania lub wystąpi inna przesłanka z art. 17.
Prawo do ograniczenia przetwarzania art. 18 RODO Ograniczenie przetwarzania np. w razie kwestionowania prawidłowości danych.
Prawo do przenoszenia danych art. 20 RODO Otrzymanie danych w ustrukturyzowanym formacie (dot. danych przetwarzanych na podstawie zgody lub umowy).
Prawo do sprzeciwu art. 21 RODO Sprzeciw wobec przetwarzania opartego na uzasadnionym interesie (lit. f). Bezwarunkowy sprzeciw wobec marketingu bezpośredniego.
Prawo do cofnięcia zgody art. 7 ust. 3 RODO Cofnięcie zgody w dowolnym momencie – bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem.
Prawo do złożenia skargi art. 77 RODO Skarga do organu nadzorczego – Prezesa UODO (www.uodo.gov.pl).

Żądania można składać na adres [email protected] lub pisemnie na adres siedziby Administratora. Administrator udziela odpowiedzi bez zbędnej zwłoki, nie później niż w ciągu 1 miesiąca od otrzymania żądania. Termin może zostać przedłużony o kolejne 2 miesiące w przypadku złożoności lub liczby żądań -- Administrator poinformuje o tym w ciągu pierwszego miesiąca (art. 12 ust. 3 RODO).

W przypadku uzasadnionych wątpliwości co do tożsamości osoby składającej żądanie, Administrator może zażądać dodatkowych informacji niezbędnych do potwierdzenia tożsamości (art. 12 ust. 6 RODO).

10. Dobrowolność podania danych i konsekwencje

  1. Podanie danych wymaganych do rejestracji konta, publikacji ogłoszeń oraz realizacji płatności jest niezbędne do zawarcia i wykonania umowy o świadczenie usług Serwisu. W przypadku tradycyjnej rejestracji konta kandydata i rekrutera obejmuje to również numer telefonu i jego skuteczną weryfikację kodem SMS OTP. W przypadku wyboru rejestracji lub logowania przez LinkedIn numer telefonu nie jest wymagany, natomiast konieczne jest skorzystanie z konta LinkedIn i przekazanie przez LinkedIn danych niezbędnych do identyfikacji oraz potwierdzenia adresu e-mail. Brak przekazania tych danych uniemożliwi skorzystanie z metody LinkedIn, ale nie wyłącza możliwości skorzystania z innej dostępnej metody rejestracji lub logowania.

  2. Podanie danych w celach marketingowych jest dobrowolne. Brak zgody nie wpływa na możliwość korzystania z Serwisu.

  3. W zakresie danych wymaganych przepisami prawa (np. rachunkowość, podatki) podanie danych stanowi obowiązek ustawowy; ich niepodanie uniemożliwi realizację obowiązków prawnych przez Administratora.

  4. Potwierdzenia i zgody przy tworzeniu ogłoszenia kandydata:

    a. przetwarzanie danych kontaktowych i danych niezbędnych do publikacji ogłoszenia odbywa się na podstawie art. 6 ust. 1 lit. b RODO (wykonanie umowy) -- Kandydat potwierdza zapoznanie się z informacją o przetwarzaniu danych (art. 13 RODO) poprzez zaznaczenie odpowiedniego pola; nie jest to wyrażenie zgody, lecz potwierdzenie zapoznania się z klauzulą informacyjną,

    b. zgoda na udostępnienie CV Rekruterom (art. 6 ust. 1 lit. a RODO) -- opcjonalna; brak zgody nie uniemożliwia publikacji ogłoszenia; CV bez udzielonej zgody nie jest prezentowane Rekruterom,

    c. zgoda marketingowa na otrzymywanie informacji o usługach drogą elektroniczną (art. 6 ust. 1 lit. a RODO w zw. z art. 398 Prawa komunikacji elektronicznej) -- opcjonalna; cofnięcie możliwe w każdej chwili w ustawieniach konta.

11. Pliki cookies i technologie śledzenia

11.1. Cookies niezbędne (techniczne)

Serwis wykorzystuje niezbędne własne pliki cookies i podobne technologie w celu zapewnienia podstawowej funkcjonalności, bezpieczeństwa i rozliczalności Serwisu, w szczególności: obsługi sesji Użytkownika, tokenów CSRF, realizacji płatności, ochrony przed nadużyciami oraz zapamiętania decyzji podjętej w CMP. Cookies te nie wymagają zgody Użytkownika, ponieważ są niezbędne do dostarczenia usługi żądanej przez Użytkownika lub do zapamiętania jego wyboru dotyczącego prywatności.

Do cookies niezbędnych należy w szczególności cookie zm_cookie_consent, które służy do zapamiętania decyzji Użytkownika dotyczącej zgód banerowych. Cookie to zawiera wersję zgód, wybrane kategorie, znacznik czasu oraz losowy identyfikator zgody. Nie zawiera hasła, tokenu uwierzytelniającego, adresu e-mail, numeru telefonu ani treści formularzy. Cookie jest ustawiane na okres do 13 miesięcy, z atrybutami bezpieczeństwa właściwymi dla Serwisu, w tym Secure, SameSite=Lax oraz Path=/.

11.2. Mechanizm zarządzania zgodami (CMP)

Serwis wykorzystuje CMP do obsługi opcjonalnych zgód banerowych. CMP umożliwia Użytkownikowi: (a) zaakceptowanie wszystkich opcjonalnych kategorii, (b) odrzucenie wszystkich opcjonalnych kategorii, (c) dostosowanie preferencji oddzielnie dla dostępnych kategorii.

Kategorie CMP obejmują:

a.  **Niezbędne** -- zawsze aktywne, wymagane do działania Serwisu, bezpieczeństwa, zapamiętania wyboru oraz realizacji usług żądanych przez Użytkownika,

b.  **Analityczne partnerów** -- domyślnie wyłączone; mogą obejmować opcjonalne narzędzia analityczne partnerów uruchamiane dopiero po zgodzie Użytkownika,

c.  **Marketingowe partnerów** -- domyślnie wyłączone; mogą obejmować opcjonalne narzędzia reklamowe, pomiar konwersji i podobne technologie partnerów uruchamiane dopiero po zgodzie Użytkownika.

Brak decyzji, brak cookie zgody, nieprawidłowe cookie lub nieaktualna wersja zgody oznaczają stan odmowy dla kategorii opcjonalnych. Użytkownik może w każdej chwili zmienić lub wycofać zgody banerowe za pomocą linku „Ustawienia prywatności” dostępnego w stopce Serwisu. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

Zgody banerowe są niezależne od zgód konta Użytkownika, takich jak zgoda na komunikację marketingową Administratora, zgoda na udostępnienie CV Rekruterom lub ustawienia analityki konta w sekcji prywatności.

11.3. Consent Mode, dataLayer i narzędzia partnerów

Serwis przekazuje sygnały zgód do narzędzi tag management i pomiaru konwersji zgodnie z wyborem Użytkownika. Domyślnie, przed wyrażeniem zgody, kategorie opcjonalne pozostają w stanie odmowy. Do warstwy technicznej dataLayer nie przekazujemy imienia, nazwiska, adresu e-mail, numeru telefonu, treści formularzy, CV ani innych danych osobowych podawanych w Serwisie. Przekazywane mogą być wyłącznie techniczne informacje o stanie zgód, takie jak wersja zgody, akcja, źródło decyzji oraz wartości logiczne kategorii.

Po wyrażeniu odpowiedniej zgody i po aktywacji danego narzędzia w konfiguracji Serwisu mogą być wykorzystywane w szczególności: Google Tag Manager, Google Analytics 4, Google Ads, Conversion Linker, Google Tag Gateway, Google Ads Enhanced Conversions, Meta Pixel, Meta Conversions API oraz LinkedIn Insight Tag. Narzędzia analityczne partnerów działają wyłącznie w zakresie zgody na kategorię „Analityczne partnerów”, a narzędzia reklamowe, pomiar konwersji, remarketing, tworzenie grup odbiorców i Enhanced Conversions działają wyłącznie w zakresie zgody na kategorię „Marketingowe partnerów”.

Eventy rejestracji przekazywane do dataLayer są rozdzielone na typ konta i mogą obejmować zdarzenia registration_candidate, registration_recruiter oraz registration_company. Payload takich zdarzeń nie zawiera danych osobowych; obejmuje wyłącznie nazwę zdarzenia, typ konta oraz techniczny transaction_id służący do deduplikacji.

Google Ads Enhanced Conversions są obsługiwane w modelu server-side. Oznacza to, że Google Tag Manager otrzymuje zdarzenie konwersji bez danych osobowych, natomiast backend Serwisu, wyłącznie po zgodzie marketingowej, może przesłać do Google Ads API zahashowane identyfikatory klienta, takie jak hash SHA-256 znormalizowanego adresu e-mail lub numeru telefonu, czas konwersji, identyfikator akcji konwersji oraz transaction_id. Hashowane identyfikatory są danymi pseudonimowymi, a nie anonimowymi.

Nie zezwalamy na pobieranie przez GTM lub tagi partnerów danych osobowych z formularzy, pól input, DOM ani stron podziękowania. Jeżeli narzędzia partnerów wykorzystują identyfikatory kliknięć reklamowych, takie jak gclid, gbraid lub wbraid, ich obsługa odbywa się wyłącznie zgodnie z zakresem zgody Użytkownika i konfiguracją Serwisu.

11.4. Analityka privacy-first (Umami Analytics)

Serwis korzysta z narzędzia Umami Analytics, które działa w modelu cookieless -- nie zapisuje żadnych plików na urządzeniu Użytkownika, nie stosuje identyfikatorów śledzących między stronami (cross-site tracking), fingerprintingu ani profilowania. Dane są przetwarzane w formie zagregowanej, bez możliwości identyfikacji Użytkownika. Podstawa prawna: art. 6 ust. 1 lit. f RODO.

Zalogowani użytkownicy mogą włączyć lub wyłączyć analitykę w sekcji „Powiadomienia i prywatność” w ustawieniach konta.

11.5. Google reCAPTCHA v3

Serwis wykorzystuje usługę Google reCAPTCHA v3 (Google LLC) w celu ochrony formularzy (rejestracja, kontakt, dodawanie ogłoszenia) przed botami i spamem. reCAPTCHA v3 działa niewidocznie -- analizuje zachowanie użytkownika i przyznaje punktację ryzyka. Dane zbierane przez reCAPTCHA mogą obejmować adres IP, informacje o urządzeniu i przeglądarce oraz dane o interakcji z formularzem. Z uwagi na funkcję zabezpieczającą, niezbędną do bezpiecznego świadczenia usługi żądanej przez Użytkownika, podstawą przetwarzania jest art. 6 ust. 1 lit. f RODO (uzasadniony interes: bezpieczeństwo Serwisu i przeciwdziałanie nadużyciom). Transfer do USA: objęty decyzją o adekwatności EU-US DPF (zob. pkt 8). Więcej informacji: https://policies.google.com/privacy.

11.6. Zewnętrzne usługi logowania i cookies podmiotów zewnętrznych

Strony i formularze zewnętrznego operatora płatności (Paynow - mBank) oraz strony LinkedIn wykorzystywane podczas rejestracji lub logowania przez LinkedIn mogą stosować własne pliki cookies lub podobne technologie zgodnie z politykami prywatności tych podmiotów. Administrator nie ma kontroli nad cookies stosowanymi na stronach podmiotów zewnętrznych. Samo przeglądanie Serwisu nie powoduje logowania przez LinkedIn; przekierowanie do LinkedIn następuje dopiero po wybraniu tej metody przez Użytkownika.

Jeżeli w przyszłości zostaną uruchomione dodatkowe opcjonalne narzędzia partnerów niewymienione w niniejszej Polityce, będą one działały zgodnie z wyborem Użytkownika w CMP, a Polityka zostanie wcześniej uzupełniona o informacje wymagane przez RODO i Prawo komunikacji elektronicznej.

11.7. Zarządzanie cookies w przeglądarce

Użytkownik może zarządzać ustawieniami cookies w swojej przeglądarce (usuwanie, blokowanie). Zablokowanie cookies technicznych może uniemożliwić korzystanie z niektórych funkcji Serwisu.

12. Bezpieczeństwo danych

  1. Administrator stosuje odpowiednie środki techniczne i organizacyjne, o których mowa w art. 32 RODO, w tym:

    a. szyfrowanie danych w transmisji (TLS/HTTPS),

    b. kontrolę dostępu -- dane przetwarzają wyłącznie upoważnione osoby,

    c. zabezpieczenia serwerów i infrastruktury (firewall, aktualizacje),

    d. ochronę formularzy (reCAPTCHA v3),

    e. regularne przeglądy i testy bezpieczeństwa.

  2. W przypadku naruszenia ochrony danych osobowych, które może powodować ryzyko naruszenia praw lub wolności osób fizycznych, Administrator powiadomi Prezesa UODO bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. W przypadku wysokiego ryzyka poinformowani zostaną również dotknięci Użytkownicy.

13. Zautomatyzowane podejmowanie decyzji i profilowanie

  1. Dane osobowe Użytkowników nie są przedmiotem zautomatyzowanego podejmowania decyzji, w tym profilowania, które wywołuje skutki prawne wobec Użytkownika lub w podobny sposób istotnie na niego wpływa.

  2. Serwis stosuje automatyczne dopasowywanie ogłoszeń kandydatów do kryteriów wyszukiwania rekruterów (np. branża, lokalizacja, tryb pracy) w celu powiadamiania rekruterów o nowych ogłoszeniach. Proces ten nie wywołuje skutków prawnych wobec Kandydatów -- służy wyłącznie ułatwieniu kontaktu rekrutacyjnego. Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. f RODO (uzasadniony interes).

  3. Opcjonalne narzędzia analityczne lub marketingowe partnerów uruchamiane po uzyskaniu zgody Użytkownika mogą służyć do pomiaru skuteczności działań marketingowych, pomiaru konwersji, optymalizacji kampanii, remarketingu, tworzenia grup odbiorców reklamowych lub personalizacji reklam w ramach systemów partnerów. Nie będą one wykorzystywane przez Administratora do zautomatyzowanego podejmowania decyzji wywołujących skutki prawne wobec Użytkownika lub w podobny sposób istotnie na niego wpływających.

14. Powiadomienia i wyświetlanie komunikatów

  1. Cele wysyłki e-maili i wiadomości SMS:

    a. wiadomości transakcyjne i administracyjne (potwierdzenie rejestracji, reset hasła, aktualizacje stanu konta, informacje o płatnościach) -- na podstawie art. 6 ust. 1 lit. b RODO,

    b. techniczne wiadomości SMS z jednorazowym kodem OTP -- w celu weryfikacji numeru telefonu przy tradycyjnej rejestracji kont kandydata i rekrutera oraz, jeżeli Użytkownik włączy opcjonalne uwierzytelnianie dwuskładnikowe (MFA), w celu potwierdzenia tożsamości przy logowaniu, w tym w związku z obsługą funkcji zapamiętania urządzenia lub ponowną weryfikacją uzasadnioną względami bezpieczeństwa -- na podstawie art. 6 ust. 1 lit. b RODO,

    c. informacje o zmianach Polityki Prywatności, Regulaminu oraz istotnych aktualizacjach Serwisu -- na podstawie art. 6 ust. 1 lit. f RODO,

    d. wiadomości marketingowe (informacje o nowych funkcjach, promocjach) -- wyłącznie na podstawie wyraźnej zgody (art. 6 ust. 1 lit. a RODO w zw. z art. 398 Prawa komunikacji elektronicznej).

  2. Wiadomości transakcyjne, administracyjne i SMS OTP nie podlegają opcji rezygnacji, ponieważ są niezbędne do świadczenia usług. Z wiadomości marketingowych można zrezygnować w każdej chwili w ustawieniach konta lub przez link „wypisz się” w treści wiadomości.

15. Linki zewnętrzne i treści osób trzecich

  1. Serwis może zawierać linki do zewnętrznych stron internetowych lub usług, w tym do strony operatora płatności. Administrator nie ponosi odpowiedzialności za treści, polityki prywatności ani praktyki ochrony danych osobowych stosowane przez te podmioty.

  2. Treści zamieszczane przez Użytkowników w ogłoszeniach (np. linki do portfolio, stron osobistych) są publikowane na odpowiedzialność Użytkownika. Administrator nie weryfikuje treści dostępnych pod tymi linkami.

  3. Zalecamy zapoznanie się z politykami prywatności każdej odwiedzanej strony zewnętrznej.

16. Zmiany Polityki Prywatności

  1. Administrator zastrzega prawo do zmiany niniejszej Polityki Prywatności.

  2. W przypadku istotnych zmian wpływających na zakres lub cele przetwarzania danych, Użytkownicy zostaną poinformowani w sposób adekwatny do charakteru zmiany (w szczególności przez powiadomienie w Serwisie lub wiadomość e-mail). Jeżeli podstawą przetwarzania jest zgoda i przepisy prawa tego wymagają, Administrator pozyska ją ponownie przed rozpoczęciem przetwarzania na nowych zasadach.

  3. O zmianach Administrator będzie informować poprzez Serwis.

  4. Zmiany wchodzą w życie po 14 dniach od ogłoszenia, chyba że określono inny termin.