Polityka prywatności

§ 1. Informacje wstępne

1. Niniejsza Polityka prywatności (dalej: „Polityka”) wyjaśnia, w jaki sposób [pełna nazwa firmy] przetwarza dane osobowe osób korzystających z serwisu internetowego „MedMigrant praca” dostępnego pod adresem https://praca.medmigrant.pl (dalej: „Serwis”), oraz w jaki sposób Serwis korzysta z plików cookies i podobnych technologii.
2. Polityka stanowi wykonanie obowiązku informacyjnego, o którym mowa w art. 13 i 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej: „RODO”), a także obowiązku informacyjnego dotyczącego plików cookies wynikającego z art. 399 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej (która zastąpiła ustawę z dnia 16 lipca 2004 r. – Prawo telekomunikacyjne) oraz z ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną.
3. Pojęcia pisane wielką literą, niezdefiniowane w § 2, mają znaczenie nadane im w Regulaminie Serwisu dostępnym pod adresem [adres URL Regulaminu].
4. Polityka dotyczy wyłącznie Serwisu. Nie obejmuje ona przetwarzania danych przez Pracodawców po przekazaniu im Aplikacji (§ 6 ust. 2) ani przetwarzania danych w serwisach zewnętrznych, do których prowadzą odnośniki z Serwisu; w tych przypadkach należy zapoznać się z politykami prywatności tych podmiotów.

§ 2. Definicje

1. Administrator – [pełna nazwa firmy], podmiot wskazany w § 3 ust. 1, który samodzielnie ustala cele i sposoby przetwarzania danych osobowych w Serwisie.
2. Aplikacja – zgłoszenie Kandydata na Ofertę pracy złożone przez formularz w Serwisie, obejmujące dane Kandydata, załączone CV oraz ewentualne dodatkowe informacje lub dokumenty.
3. Dane osobowe – wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.
4. EOG – Europejski Obszar Gospodarczy, obejmujący państwa członkowskie Unii Europejskiej oraz Islandię, Liechtenstein i Norwegię.
5. Kandydat – osoba fizyczna, która przegląda Oferty pracy, składa Aplikacje, zapisuje Oferty pracy lub otrzymuje Powiadomienia.
6. Konto – konto Użytkownika w Serwisie, w profilu Kandydata albo Pracodawcy.
7. Oferta pracy – ogłoszenie o pracy w sektorze ochrony zdrowia opublikowane w Serwisie przez Pracodawcę.
8. Pliki cookies – niewielkie pliki tekstowe zapisywane na urządzeniu Użytkownika przez przeglądarkę internetową podczas korzystania z Serwisu; w Polityce pojęcie to obejmuje również podobne technologie (np. local storage, piksele, identyfikatory urządzeń).
9. Powiadomienia – wiadomości e-mail o nowych Ofertach pracy wysyłane na żądanie Użytkownika.
10. Pracodawca – podmiot publikujący Oferty pracy w Serwisie (podmiot leczniczy, inny podmiot zatrudniający personel medyczny albo Agencja zatrudnienia) oraz osoby działające w jego imieniu.
11. Przetwarzanie – każda operacja wykonywana na Danych osobowych, w szczególności zbieranie, utrwalanie, przechowywanie, przeglądanie, udostępnianie i usuwanie.
12. Użytkownik – każda osoba fizyczna korzystająca z Serwisu, zarejestrowana lub nie, w tym Kandydat oraz osoba działająca w imieniu Pracodawcy.

§ 3. Administrator danych i kontakt

1. Administratorem Danych osobowych przetwarzanych w Serwisie jest [pełna nazwa firmy] z siedzibą w [adres siedziby], [KRS / CEIDG], NIP: [NIP], REGON: [REGON].
2. Z Administratorem można skontaktować się we wszystkich sprawach dotyczących Danych osobowych:
   1. pocztą elektroniczną: [adres e-mail do kontaktu w sprawach danych osobowych];
   2. listownie: [adres do korespondencji].
3. [Administrator wyznaczył Inspektora Ochrony Danych, z którym można kontaktować się pod adresem e-mail: [adres e-mail IOD, jeśli powołano] lub listownie na adres Administratora z dopiskiem „IOD”. / Administrator nie wyznaczył Inspektora Ochrony Danych; we wszystkich sprawach dotyczących Danych osobowych należy kontaktować się w sposób wskazany w ust. 2 – do decyzji właściciela.]
4. W zakresie Danych osobowych Kandydata zawartych w Aplikacji, od chwili jej przekazania Pracodawcy, odrębnym administratorem tych danych jest Pracodawca, który opublikował Ofertę pracy (§ 6 ust. 2). Dane kontaktowe Pracodawcy są podane w Ofercie pracy lub w jego profilu w Serwisie.

§ 4. Źródła i kategorie Danych osobowych

1. Administrator przetwarza Dane osobowe, które:
   1. Użytkownik podaje samodzielnie – w formularzu rejestracji, w ustawieniach Konta, w formularzu Aplikacji (w tym w CV), w formularzu dodawania Oferty pracy, w formularzu Powiadomień, w formularzu kontaktowym, w zgłoszeniu treści lub w reklamacji;
   2. są zbierane automatycznie podczas korzystania z Serwisu – adres IP, identyfikatory Plików cookies, dane o urządzeniu i przeglądarce, data i godzina żądania, odwiedzane podstrony, źródło wejścia do Serwisu, przybliżona lokalizacja na podstawie adresu IP;
   3. pochodzą z publicznie dostępnych rejestrów (KRS, CEIDG, Rejestr Podmiotów Wykonujących Działalność Leczniczą, Krajowy Rejestr Agencji Zatrudnienia, rejestry zagraniczne) – w zakresie danych osób reprezentujących Pracodawcę, w celu weryfikacji Pracodawcy;
   4. pochodzą od innych Użytkowników – w szczególności gdy inny Użytkownik zgłasza treść lub składa reklamację dotyczącą danego Użytkownika.
2. Kategorie przetwarzanych Danych osobowych obejmują w szczególności:
   1. Kandydaci: imię i nazwisko, adres e-mail, numer telefonu, dane zawarte w CV i innych załącznikach (np. wykształcenie, przebieg zatrudnienia, kwalifikacje, prawo wykonywania zawodu, znajomość języków, wizerunek – jeśli Kandydat zamieścił zdjęcie), treść wiadomości do Pracodawcy, lista zapisanych Ofert pracy, kryteria Powiadomień, historia Aplikacji;
   2. osoby działające w imieniu Pracodawcy: imię i nazwisko, stanowisko, służbowy adres e-mail i numer telefonu, dane identyfikujące Pracodawcę (w przypadku osób fizycznych prowadzących działalność gospodarczą – także NIP, adres i numer KRAZ);
   3. wszyscy Użytkownicy: dane logowania (adres e-mail, hasło w postaci zaszyfrowanej), dane techniczne wskazane w ust. 1 pkt 2, treść korespondencji z Administratorem.
3. Administrator nie wymaga podawania Danych osobowych szczególnych kategorii (art. 9 RODO), np. dotyczących stanu zdrowia, wyznania czy orientacji seksualnej. Jeżeli Kandydat dobrowolnie zamieści takie dane w CV lub w wiadomości do Pracodawcy, Administrator przetwarza je wyłącznie w zakresie technicznego przechowania i przekazania Aplikacji Pracodawcy, na podstawie art. 9 ust. 2 lit. a RODO (wyraźna zgoda wyrażona przez świadome zamieszczenie tych danych). Administrator zaleca nieumieszczanie takich danych w Aplikacji.
4. Serwis nie jest przeznaczony dla osób poniżej 18 lat i Administrator nie zbiera świadomie ich danych.

§ 5. Cele, podstawy prawne i okresy przechowywania Danych osobowych

1. Administrator przetwarza Dane osobowe w celach, na podstawach prawnych i przez okresy wskazane w poniższej tabeli.

1. Prawnie uzasadnione interesy, o których mowa w tabeli, zostały wyważone z interesami, prawami i wolnościami Użytkowników. Użytkownik może w każdej chwili wnieść sprzeciw wobec przetwarzania opartego na tej podstawie (§ 9 ust. 1 pkt 6).
2. Po upływie okresów przechowywania Dane osobowe są usuwane albo anonimizowane. Jeżeli dla tych samych danych zachodzi kilka celów przetwarzania, dane są przechowywane przez najdłuższy z mających zastosowanie okresów.

§ 6. Odbiorcy Danych osobowych

1. Administrator udostępnia Dane osobowe wyłącznie w zakresie niezbędnym do realizacji celów wskazanych w § 5 następującym kategoriom odbiorców.
2. Pracodawcy – odrębni administratorzy. Dane osobowe Kandydata zawarte w Aplikacji (imię i nazwisko, adres e-mail, numer telefonu, CV, załączniki, treść wiadomości) są przekazywane Pracodawcy, który opublikował Ofertę pracy, na którą Kandydat aplikował. Przekazanie następuje przez udostępnienie Aplikacji w panelu Pracodawcy w Serwisie [oraz przez wysłanie jej na adres e-mail Pracodawcy]. Z chwilą przekazania Pracodawca staje się odrębnym (samodzielnym) administratorem tych danych i przetwarza je w celu prowadzenia rekrutacji na własną odpowiedzialność, w szczególności:
   1. samodzielnie wypełnia obowiązek informacyjny wobec Kandydata (art. 13 RODO) – Administrator zobowiązuje Pracodawców w Regulaminie do jego wykonania;
   2. samodzielnie ustala okres przechowywania Aplikacji i realizuje prawa Kandydata (dostęp, usunięcie itd.) w odniesieniu do posiadanej kopii;
   3. jeśli Pracodawca ma siedzibę poza EOG – odpowiada za przetwarzanie zgodnie z prawem swojego państwa; informację o kraju Pracodawcy Kandydat znajdzie w Ofercie pracy przed złożeniem Aplikacji (§ 7). Administrator nie ma wpływu na to, w jaki sposób Pracodawca wykorzystuje otrzymane dane, i nie ponosi za to odpowiedzialności. Jeżeli Kandydat chce cofnąć Aplikację lub skorzystać z praw wobec kopii posiadanej przez Pracodawcę, powinien zwrócić się bezpośrednio do Pracodawcy; Administrator w razie potrzeby pomaga w ustaleniu danych kontaktowych Pracodawcy.
3. Inni Użytkownicy. Dane osób reprezentujących Pracodawcę, które Pracodawca umieścił w Ofercie pracy lub w profilu (np. imię i nazwisko osoby kontaktowej, służbowy e-mail i telefon), są publicznie widoczne dla wszystkich Użytkowników Serwisu i mogą być indeksowane przez wyszukiwarki internetowe. Dane Kandydatów nie są publicznie widoczne.
4. Podmioty przetwarzające – dostawcy usług działający na zlecenie Administratora na podstawie umów powierzenia przetwarzania (art. 28 RODO), w szczególności:
   1. dostawca hostingu i infrastruktury serwerowej: [nazwa dostawcy hostingu, kraj];
   2. dostawca usługi poczty elektronicznej i systemu wysyłki Powiadomień oraz wiadomości transakcyjnych: [nazwa dostawcy poczty / platformy mailingowej, kraj];
   3. dostawca narzędzi analitycznych: [nazwa narzędzia analitycznego, np. Matomo (własna instalacja) / Google Analytics / Plausible, kraj] – wyłącznie w przypadku wyrażenia zgody w banerze cookies;
   4. dostawca map wykorzystywanych w Mapie ofert: [nazwa dostawcy map, kraj];
   5. dostawca systemu obsługi zgłoszeń i poczty elektronicznej Administratora: [nazwa, kraj];
   6. dostawca narzędzi do tworzenia kopii zapasowych i ochrony przed atakami (np. CDN, zapora aplikacyjna): [nazwa, kraj];
   7. po wprowadzeniu odpłatnych usług – operator płatności: [nazwa operatora płatności, kraj] (operator płatności może działać jako odrębny administrator w zakresie wymaganym przepisami o usługach płatniczych) oraz biuro rachunkowe: [nazwa, kraj];
   8. podmioty świadczące usługi prawne, doradcze i informatyczne na rzecz Administratora.
5. Organy publiczne – sądy, organy ścigania, Prezes Urzędu Ochrony Danych Osobowych, koordynator ds. usług cyfrowych, Państwowa Inspekcja Pracy, organy podatkowe oraz inne organy uprawnione do żądania danych na podstawie przepisów prawa, w tym na podstawie nakazów wydanych w trybie art. 9 i 10 DSA.
6. Administrator nie sprzedaje Danych osobowych i nie udostępnia ich podmiotom trzecim do celów ich własnego marketingu.

§ 7. Przekazywanie Danych osobowych poza EOG

1. Administrator przechowuje Dane osobowe co do zasady na serwerach zlokalizowanych w EOG: [kraj lokalizacji serwerów]. Przekazanie danych do państw trzecich (poza EOG) może nastąpić w przypadkach opisanych poniżej.
2. Przekazanie Aplikacji Pracodawcy z siedzibą poza EOG. Serwis obejmuje Oferty pracy m.in. z Wielkiej Brytanii i Szwajcarii, które nie należą do EOG. Norwegia, choć nie jest członkiem Unii Europejskiej, należy do EOG i RODO ma w niej bezpośrednie zastosowanie – przekazanie danych Pracodawcy norweskiemu nie jest przekazaniem do państwa trzeciego. Składając Aplikację na Ofertę pracy Pracodawcy z siedzibą w Wielkiej Brytanii lub Szwajcarii, Kandydat przekazuje swoje dane do państwa trzeciego. Przekazanie to jest dopuszczalne, ponieważ:
   1. Wielka Brytania – Komisja Europejska przyjęła decyzję stwierdzającą odpowiedni stopień ochrony danych osobowych na podstawie art. 45 RODO (decyzja wykonawcza (UE) 2021/1772 z dnia 28 czerwca 2021 r., przedłużona przez Komisję Europejską w 2025 r. – [zweryfikować aktualny okres obowiązywania]);
   2. Szwajcaria – Komisja Europejska stwierdziła odpowiedni stopień ochrony decyzją 2000/518/WE z dnia 26 lipca 2000 r., której obowiązywanie potwierdzono w przeglądzie z 2024 r. Dzięki decyzjom o adekwatności przekazanie danych do tych państw nie wymaga dodatkowych zabezpieczeń ani odrębnej zgody. Gdyby w przyszłości Serwis objął Oferty pracy z państw, dla których nie wydano decyzji o adekwatności, Kandydat zostanie o tym wyraźnie poinformowany przed złożeniem Aplikacji, a przekazanie nastąpi na podstawie art. 49 ust. 1 lit. b RODO (niezbędność do wykonania umowy zawieranej na żądanie Kandydata) albo na podstawie wyraźnej zgody Kandydata (art. 49 ust. 1 lit. a RODO) po poinformowaniu o ryzyku.
3. Dostawcy usług spoza EOG. Niektórzy dostawcy, z których usług korzysta Administrator (§ 6 ust. 4), mogą mieć siedzibę lub przetwarzać dane poza EOG, w szczególności w Stanach Zjednoczonych. W takim przypadku Administrator zapewnia, że przekazanie odbywa się:
   1. do podmiotu certyfikowanego w ramach Ram ochrony danych UE–USA (EU-U.S. Data Privacy Framework) objętych decyzją wykonawczą Komisji (UE) 2023/1795 z dnia 10 lipca 2023 r. stwierdzającą odpowiedni stopień ochrony; albo
   2. na podstawie standardowych klauzul umownych przyjętych przez Komisję Europejską (decyzja wykonawcza (UE) 2021/914), uzupełnionych w razie potrzeby o dodatkowe środki zabezpieczające; albo
   3. na innej podstawie przewidzianej w rozdziale V RODO.
4. Wykaz dostawców spoza EOG wraz ze stosowaną podstawą przekazania: [uzupełnić, np. „dostawca poczty – USA – Data Privacy Framework”]. Użytkownik może uzyskać kopię stosowanych zabezpieczeń, kontaktując się z Administratorem (§ 3 ust. 2).

§ 8. Okresy przechowywania Danych osobowych

1. Szczegółowe okresy przechowywania dla poszczególnych celów zawiera tabela w § 5 ust. 1. W uproszczeniu:
   1. dane Konta – przez czas posiadania Konta, a po jego usunięciu do 30 dni (usunięcie z kopii zapasowych);
   2. kopia Aplikacji w Serwisie – [np. 12 miesięcy] od jej złożenia, chyba że Kandydat wcześniej zażąda jej usunięcia;
   3. Powiadomienia i newsletter – do czasu rezygnacji lub wycofania zgody;
   4. korespondencja i reklamacje – [np. 12 miesięcy] od zakończenia sprawy, a w przypadku reklamacji i spraw moderacyjnych – [np. 3 lata];
   5. logi serwera – [np. 90 dni];
   6. dane niezbędne do obrony przed roszczeniami – do upływu terminu przedawnienia;
   7. dokumenty księgowe – 5 lat od końca roku, w którym powstał obowiązek podatkowy.
2. Konto, na którym nie zalogowano się przez [np. 24 miesiące], może zostać usunięte po uprzednim powiadomieniu Użytkownika e-mailem, zgodnie z Regulaminem.

§ 9. Prawa osób, których dane dotyczą

1. Każdej osobie, której Dane osobowe przetwarza Administrator, przysługują następujące prawa:
   1. prawo dostępu do danych (art. 15 RODO) – uzyskania potwierdzenia, czy Administrator przetwarza jej dane, informacji o tym przetwarzaniu oraz kopii danych;
   2. prawo do sprostowania danych (art. 16 RODO) – żądania poprawienia danych nieprawidłowych lub uzupełnienia danych niekompletnych; Użytkownik posiadający Konto może samodzielnie poprawić dane w ustawieniach Konta;
   3. prawo do usunięcia danych („prawo do bycia zapomnianym”, art. 17 RODO) – w szczególności gdy dane nie są już niezbędne do celów, dla których je zebrano, gdy osoba wycofała zgodę, wniosła skuteczny sprzeciw lub gdy dane były przetwarzane niezgodnie z prawem; prawo to nie przysługuje, gdy przetwarzanie jest niezbędne do wywiązania się z obowiązku prawnego lub do ustalenia, dochodzenia lub obrony roszczeń;
   4. prawo do ograniczenia przetwarzania (art. 18 RODO) – np. na czas weryfikacji prawidłowości danych lub rozpatrzenia sprzeciwu;
   5. prawo do przenoszenia danych (art. 20 RODO) – otrzymania w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego danych, które osoba dostarczyła Administratorowi i które są przetwarzane na podstawie zgody lub umowy w sposób zautomatyzowany, oraz przesłania ich innemu administratorowi;
   6. prawo do sprzeciwu (art. 21 RODO) – wobec przetwarzania opartego na prawnie uzasadnionym interesie Administratora (art. 6 ust. 1 lit. f RODO), z przyczyn związanych ze szczególną sytuacją osoby; Administrator zaprzestanie wówczas przetwarzania, chyba że wykaże istnienie ważnych prawnie uzasadnionych podstaw nadrzędnych wobec interesów, praw i wolności tej osoby, albo podstaw do ustalenia, dochodzenia lub obrony roszczeń. Sprzeciw wobec przetwarzania danych na potrzeby marketingu bezpośredniego jest zawsze skuteczny;
   7. prawo do wycofania zgody (art. 7 ust. 3 RODO) – w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem; zgodę na Powiadomienia i newsletter można wycofać przez link w każdej wiadomości, a zgodę na Pliki cookies – przez ustawienia banera cookies (§ 13 ust. 7);
   8. prawo do wniesienia skargi do organu nadzorczego – Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl – jeżeli osoba uzna, że przetwarzanie jej danych narusza RODO. Osoba mająca zwykłe miejsce pobytu w innym państwie członkowskim może wnieść skargę do organu nadzorczego tego państwa.
2. Prawa wskazane w ust. 1 pkt 1–7 można realizować, kontaktując się z Administratorem w sposób wskazany w § 3 ust. 2 [lub § 3 ust. 3]. Administrator udziela odpowiedzi bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania; w sprawach skomplikowanych lub w razie dużej liczby żądań termin ten może zostać przedłużony o kolejne dwa miesiące, o czym Administrator poinformuje wraz z podaniem przyczyny.
3. Realizacja praw jest bezpłatna. Jeżeli żądania są ewidentnie nieuzasadnione lub nadmierne, w szczególności ze względu na ich ustawiczny charakter, Administrator może pobrać rozsądną opłatę albo odmówić podjęcia działań.
4. Administrator może zwrócić się o dodatkowe informacje niezbędne do potwierdzenia tożsamości osoby składającej żądanie, jeżeli ma uzasadnione wątpliwości co do jej tożsamości.
5. W odniesieniu do kopii Aplikacji posiadanej przez Pracodawcę prawa, o których mowa w ust. 1, należy realizować bezpośrednio wobec Pracodawcy jako odrębnego administratora (§ 6 ust. 2).

§ 10. Dobrowolność podania Danych osobowych

1. Podanie Danych osobowych jest dobrowolne, jednak w niektórych przypadkach jest niezbędne do skorzystania z określonych funkcji Serwisu:
   1. założenie Konta – wymaga podania adresu e-mail i hasła, a w przypadku Konta Pracodawcy – także danych identyfikujących Pracodawcę i osobę go reprezentującą; bez tych danych nie można założyć Konta;
   2. złożenie Aplikacji – wymaga podania imienia i nazwiska, adresu e-mail oraz załączenia CV; bez tych danych Aplikacja nie zostanie przyjęta; pozostałe pola formularza są opcjonalne;
   3. Powiadomienia – wymagają podania adresu e-mail;
   4. Oferta pracy – wymaga podania danych Pracodawcy i danych kontaktowych wymaganych Regulaminem.
2. Przeglądanie Ofert pracy, korzystanie z Mapy ofert i wyszukiwarki nie wymaga podawania Danych osobowych ani rejestracji.
3. Wyrażenie zgody na Pliki cookies analityczne i marketingowe oraz na newsletter jest w pełni dobrowolne i nie wpływa na możliwość korzystania z Serwisu.

§ 11. Zautomatyzowane podejmowanie decyzji i profilowanie

1. Administrator nie podejmuje wobec Użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec nich skutki prawne lub w podobny sposób istotnie na nich wpływały (art. 22 RODO).
2. Dopasowywanie Powiadomień do kryteriów wybranych przez Użytkownika (zawód, kraj, region) odbywa się automatycznie, ale wyłącznie na podstawie kryteriów wskazanych przez samego Użytkownika i nie stanowi profilowania wywołującego skutki prawne.
3. [Administrator może stosować proste, zautomatyzowane mechanizmy wstępnego wykrywania treści potencjalnie naruszających Regulamin (np. filtr słów kluczowych, wykrywanie duplikatów Ofert pracy, ograniczanie liczby zapytań z jednego adresu IP). Każda decyzja o usunięciu treści lub blokadzie Konta jest podejmowana lub weryfikowana przez człowieka. – do potwierdzenia przez właściciela, zgodnie z § 10 ust. 6 Regulaminu.]
4. Administrator nie wykorzystuje danych Kandydatów do automatycznej oceny ich kwalifikacji ani do automatycznego odrzucania Aplikacji. Sposób oceny Aplikacji przez Pracodawcę pozostaje w gestii Pracodawcy jako odrębnego administratora.

§ 12. Bezpieczeństwo Danych osobowych

1. Administrator stosuje środki techniczne i organizacyjne odpowiednie do ryzyka naruszenia praw i wolności osób, których dane dotyczą, w szczególności:
   1. szyfrowanie transmisji danych (protokół HTTPS/TLS);
   2. przechowywanie haseł wyłącznie w postaci skrótów kryptograficznych;
   3. ograniczenie dostępu do danych do osób upoważnionych, na zasadzie niezbędnej wiedzy;
   4. regularne kopie zapasowe i procedury przywracania danych;
   5. aktualizacje oprogramowania i monitorowanie bezpieczeństwa;
   6. umowy powierzenia z dostawcami usług oraz weryfikacja stosowanych przez nich zabezpieczeń.
2. W razie naruszenia ochrony Danych osobowych, które może powodować wysokie ryzyko naruszenia praw lub wolności osób, Administrator bez zbędnej zwłoki zawiadamia te osoby oraz – w ciągu 72 godzin – Prezesa Urzędu Ochrony Danych Osobowych, zgodnie z art. 33 i 34 RODO.
3. Administrator zaleca Użytkownikom stosowanie unikalnych, silnych haseł, nieudostępnianie danych logowania osobom trzecim oraz zachowanie ostrożności wobec wiadomości e-mail podszywających się pod Serwis lub Pracodawców. Administrator nigdy nie prosi o podanie hasła w wiadomości e-mail ani o dokonanie jakiejkolwiek wpłaty w związku z rekrutacją.

§ 13. Pliki cookies i podobne technologie

1. Serwis korzysta z Plików cookies, czyli niewielkich plików tekstowych zapisywanych przez przeglądarkę na urządzeniu Użytkownika, oraz z podobnych technologii (local storage, piksele). Pliki cookies mogą być własne (zapisywane przez Serwis) albo zewnętrzne (zapisywane przez dostawców usług, z których Serwis korzysta, np. dostawcę map lub narzędzia analitycznego).
2. Ze względu na czas przechowywania Pliki cookies dzielą się na sesyjne (usuwane po zamknięciu przeglądarki) i trwałe (przechowywane przez określony czas, nie dłuższy niż wskazany w ust. 3, albo do ich usunięcia przez Użytkownika).
3. Serwis wykorzystuje następujące rodzaje Plików cookies:

1. Serwis [nie korzysta / korzysta] z wtyczek mediów społecznościowych zapisujących cookies. Odnośniki do profili Serwisu w mediach społecznościowych są zwykłymi linkami i nie powodują przekazania danych do tych serwisów do czasu kliknięcia.
2. Baner zgody. Przy pierwszej wizycie w Serwisie Użytkownikowi wyświetlany jest baner, w którym może:
   1. zaakceptować wszystkie Pliki cookies;
   2. odrzucić wszystkie Pliki cookies poza niezbędnymi – przycisk odrzucenia jest równie widoczny i łatwo dostępny jak przycisk akceptacji;
   3. wybrać poszczególne kategorie (funkcjonalne, analityczne, mapa, marketingowe). Pliki cookies inne niż niezbędne nie są zapisywane przed wyrażeniem zgody. Brak działania Użytkownika (np. dalsze przeglądanie Serwisu bez kliknięcia w banerze) nie jest traktowany jako zgoda. Decyzja Użytkownika jest zapamiętywana przez [np. 12 miesięcy], po czym baner wyświetlany jest ponownie.
3. Narzędzia analityczne. [Opis wybranego narzędzia – do uzupełnienia, np.: „Serwis korzysta z narzędzia Matomo zainstalowanego na serwerze Administratora w EOG; adresy IP są skracane przed zapisaniem, a dane nie są przekazywane podmiotom trzecim.” albo: „Serwis korzysta z Google Analytics 4 dostarczanego przez Google Ireland Limited; dane mogą być przekazywane do Google LLC w USA na podstawie Ram ochrony danych UE–USA; Użytkownik może dodatkowo zablokować Google Analytics, instalując dodatek do przeglądarki udostępniony przez Google.”]
4. Zarządzanie Plikami cookies. Użytkownik może w każdej chwili:
   1. zmienić lub wycofać zgodę, klikając odnośnik „Ustawienia cookies” w stopce Serwisu, który ponownie otwiera baner zgody;
   2. usunąć lub zablokować Pliki cookies w ustawieniach przeglądarki. Instrukcje dla najpopularniejszych przeglądarek są dostępne na stronach ich producentów: Chrome, Firefox, Safari, Edge, Opera. Zablokowanie wszystkich Plików cookies, w tym niezbędnych, może uniemożliwić logowanie i korzystanie z niektórych funkcji Serwisu;
   3. włączyć w przeglądarce tryb prywatny, w którym Pliki cookies są usuwane po zamknięciu okna.
5. Dane zbierane za pomocą Plików cookies, które pozwalają na identyfikację Użytkownika (np. w połączeniu z adresem IP lub danymi Konta), są Danymi osobowymi i podlegają postanowieniom § 5–9.

§ 14. Zmiany Polityki

1. Administrator może zmieniać Politykę w razie zmiany przepisów prawa, zmiany zakresu lub sposobu przetwarzania danych (np. wprowadzenia nowych narzędzi, odpłatnych usług lub nowych krajów Ofert pracy), zmiany dostawców usług albo w celu poprawy przejrzystości Polityki.
2. O istotnych zmianach Polityki Administrator informuje Użytkowników posiadających Konto wiadomością e-mail oraz komunikatem w Serwisie co najmniej [np. 14 dni] przed ich wejściem w życie. Jeżeli zmiana wymaga nowej zgody (np. nowy cel przetwarzania oparty na zgodzie), Administrator zwraca się o nią odrębnie.
3. Aktualna wersja Polityki jest zawsze dostępna pod adresem [adres URL Polityki prywatności] wraz z datą ostatniej aktualizacji. Wersje archiwalne są dostępne na żądanie.

§ 15. Postanowienia końcowe

1. Polityka została sporządzona w języku polskim. W przypadku udostępnienia tłumaczeń, w razie rozbieżności rozstrzygająca jest wersja polska.
2. W sprawach nieuregulowanych w Polityce stosuje się RODO, ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych, ustawę z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, ustawę z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej oraz rozporządzenie (UE) 2022/2065 (akt o usługach cyfrowych).
3. Polityka obowiązuje od dnia [data].

Do uzupełnienia przed publikacją

Poniższa lista nie jest częścią Polityki. Przed publikacją właściciel Serwisu powinien uzupełnić pola i podjąć następujące decyzje:

Dane Administratora

• ☐ Pełna nazwa firmy, adres siedziby, KRS lub CEIDG, NIP, REGON – § 3 ust. 1.
• ☐ Adres e-mail i adres korespondencyjny do spraw ochrony danych – § 3 ust. 2.
• ☐ Decyzja, czy powołać Inspektora Ochrony Danych (obowiązek powstaje m.in. przy przetwarzaniu na dużą skalę danych szczególnych kategorii lub regularnym, systematycznym monitorowaniu osób na dużą skalę; w przypadku portalu z ofertami pracy zwykle nie jest obowiązkowy, ale bywa zalecany ze względu na CV zawierające dane wrażliwe) – § 3 ust. 3. Jeśli IOD zostanie powołany: adres e-mail IOD i zgłoszenie do PUODO w terminie 14 dni.
• ☐ Adres URL Regulaminu i Polityki – § 1 ust. 3, § 14 ust. 3.

Dostawcy usług (podmioty przetwarzające) – § 6 ust. 4 i § 7

• ☐ Hosting / infrastruktura (nazwa, kraj serwerów, umowa powierzenia).
• ☐ Dostawca poczty transakcyjnej i wysyłki Powiadomień (np. własny SMTP, Mailgun, SendGrid, Brevo, Amazon SES) – kraj, podstawa przekazania poza EOG, jeśli dotyczy.
• ☐ Narzędzie analityczne: decyzja między rozwiązaniem bez przekazywania danych poza EOG (np. Matomo na własnym serwerze, Plausible) a Google Analytics 4 (wymaga zgody, opisu przekazania do USA na podstawie Data Privacy Framework i weryfikacji statusu certyfikacji Google) – § 6 ust. 4 pkt 3, § 13 ust. 6.
• ☐ Dostawca map: OpenStreetMap z własnym serwerem kafelków (najmniej danych), Google Maps (cookies i przekazanie do USA – wymaga zgody przed załadowaniem), Mapbox lub inny – § 6 ust. 4 pkt 4, § 13 ust. 3.
• ☐ CDN / zapora aplikacyjna (np. Cloudflare) – jeśli używane.
• ☐ Operator płatności i biuro rachunkowe – po wprowadzeniu odpłatnych usług.
• ☐ Sporządzenie wykazu dostawców spoza EOG z podstawą przekazania – § 7 ust. 4.
• ☐ Zawarcie umów powierzenia (art. 28 RODO) z każdym z dostawców i prowadzenie rejestru czynności przetwarzania (art. 30 RODO).

Okresy przechowywania – § 5 i § 8

• ☐ Okres przechowywania kopii Aplikacji w Serwisie (proponowane: 12 miesięcy).
• ☐ Okres przechowywania archiwalnych Ofert pracy (proponowane: 24 miesiące).
• ☐ Okres przechowywania logów serwera (proponowane: 90 dni).
• ☐ Okres przechowywania korespondencji, reklamacji i dokumentacji moderacyjnej (proponowane: 12 miesięcy / 3 lata).
• ☐ Okres nieaktywności Konta, po którym jest usuwane (proponowane: 24 miesiące).
• ☐ Czas ważności decyzji w banerze cookies (proponowane: 12 miesięcy).

Decyzje produktowe wpływające na Politykę

• ☐ Czy Aplikacje są wysyłane Pracodawcy e-mailem, czy tylko udostępniane w panelu (e-mail zwiększa ryzyko i wymaga opisania w § 6 ust. 2).
• ☐ Czy stosowane są automatyczne mechanizmy wstępnej moderacji – § 11 ust. 3 (musi zgadzać się z § 10 ust. 6 Regulaminu).
• ☐ Czy Serwis korzysta z wtyczek mediów społecznościowych – § 13 ust. 4.
• ☐ Czy w formularzu Aplikacji dodać pole zgody na przetwarzanie danych przez Pracodawcę w przyszłych rekrutacjach (zgoda zbierana na rzecz Pracodawcy – wymaga odpowiedniego sformułowania i przekazania informacji Pracodawcy).
• ☐ Przygotowanie krótkiej klauzuli informacyjnej wyświetlanej bezpośrednio pod formularzem Aplikacji, formularzem rejestracji i formularzem Powiadomień (warstwa pierwsza obowiązku informacyjnego z odesłaniem do Polityki).
• ☐ Przygotowanie wzoru klauzuli informacyjnej dla Pracodawców, którą mogą wykorzystać wobec Kandydatów (dobra praktyka ułatwiająca Pracodawcom spełnienie art. 13 RODO).

Przepisy do weryfikacji przez prawnika

• ☐ Aktualność decyzji o adekwatności dla Wielkiej Brytanii (przedłużenie z 2025 r. i jego okres obowiązywania) – § 7 ust. 2 pkt 1.
• ☐ Status Ram ochrony danych UE–USA (Data Privacy Framework) w dacie publikacji oraz certyfikacja konkretnych dostawców – § 7 ust. 3.
• ☐ Numeracja przepisów Prawa komunikacji elektronicznej dotyczących cookies (art. 399) i marketingu elektronicznego (art. 398) oraz relacja do art. 10 ustawy o świadczeniu usług drogą elektroniczną – § 5 (poz. 4 i 10), § 13.
• ☐ Wdrożenie banera cookies zgodnego z wytycznymi PUODO i Europejskiej Rady Ochrony Danych (równorzędny przycisk „Odrzuć”, brak domyślnie zaznaczonych kategorii, brak zapisu cookies przed zgodą) – § 13 ust. 5.
• ☐ Data wejścia w życie Polityki – § 15 ust. 3.