Polityka prywatności CoffeeJob
Ostatnia aktualizacja: 17 lipca 2026
Polityka prywatności stanowi CZĘŚĆ II Regulaminu serwisu CoffeeJob i realizuje obowiązek informacyjny z art. 13 i 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Regulamin (CZĘŚĆ I) dostępny jest pod adresem coffeejob.pl/terms.
§ 1. Administrator danych osobowych
- Administratorem danych osobowych Użytkowników Serwisu CoffeeJob jest [PEŁNA NAZWA FIRMY], [ADRES], NIP: [NIP] („Administrator").
- Kontakt z Administratorem w sprawach danych osobowych: [E-MAIL DS. PRYWATNOŚCI — do uzupełnienia].
- Administrator nie wyznaczył Inspektora Ochrony Danych (brak obowiązku z art. 37 ust. 1 RODO). Punktem kontaktowym w sprawach ochrony danych osobowych jest adres wskazany w ust. 2.
§ 2. Jakie dane zbieramy
Przy zakładaniu konta:
- adres e-mail — obowiązkowy, używany do logowania;
- imię — opcjonalne, pobierane z konta Google lub z wgranego CV;
- numer telefonu — opcjonalny, przechowywany wyłącznie w postaci zaszyfrowanej;
- dane do faktury VAT (nazwa firmy, NIP opcjonalny, adres) — wyłącznie jeśli Użytkownik wybierze fakturę.
Z wgranego CV:
- imię, nazwisko, adres, telefon, e-mail — jeżeli znajdują się w dokumencie;
- historia zatrudnienia (firmy, stanowiska, daty);
- wykształcenie, umiejętności, języki, certyfikaty;
- dane szczególnej kategorii (art. 9 RODO) — jeżeli Użytkownik je zawarł w CV (zob. § 6 Regulaminu);
- zdjęcie — wyłącznie jeśli Użytkownik wgra je osobno w kroku wyboru szablonu; nie jest przekazywane do modelu AI.
Z ogłoszenia o pracę:
- treść oferty wklejona przez Użytkownika; opcjonalnie adres URL;
- zawód, branża, poziom stanowiska — rozpoznane automatycznie z treści.
Dane analityczne (tylko po wyrażeniu zgody na cookies):
- identyfikator cookie i identyfikator sesji;
- parametry kampanii (UTM, identyfikatory Google i Meta);
- adres IP — wyłącznie w postaci skrótu kryptograficznego (nie zapisujemy IP w postaci jawnej);
- skrócona informacja o przeglądarce.
§ 3. Cele i podstawy prawne przetwarzania
| Cel przetwarzania | Podstawa prawna (RODO) | Okres retencji |
|---|---|---|
| Rejestracja i obsługa Konta | art. 6 ust. 1 lit. b — umowa | Do usunięcia Konta |
| Świadczenie usługi Analizy (przetwarzanie CV i oferty przez AI) | art. 6 ust. 1 lit. b — umowa | 90 dni od wgrania |
| Dane szczególnej kategorii w CV (art. 9 RODO) | art. 9 ust. 2 lit. a — wyraźna zgoda, pobierana przed wgraniem CV poprzez dedykowany checkbox | 90 dni od wgrania |
| Profilowanie (szacowanie płci z imienia oraz wieku z dat wykształcenia i zatrudnienia) | art. 6 ust. 1 lit. f — uzasadniony interes Administratora (dobór form gramatycznych w sugestiach językowych); Użytkownik ma prawo sprzeciwu i może wyłączyć funkcję w ustawieniach Konta | W sesji Analizy |
| Obsługa płatności (Autopay) | art. 6 ust. 1 lit. b i c — umowa, obowiązek prawny | 5 lat (obowiązek podatkowy) |
| Wystawianie faktur VAT | art. 6 ust. 1 lit. c — obowiązek prawny (art. 112 uVAT) | 5 lat od końca roku podatkowego |
| Wysyłka e-maili transakcyjnych (Resend) | art. 6 ust. 1 lit. b — umowa | Do usunięcia Konta |
| Analityka statystyczna (GA4) — za zgodą | art. 6 ust. 1 lit. a — zgoda (cookies) | 90 dni (TTL partycji BigQuery) |
| Reklama i śledzenie konwersji (Meta Pixel) — za zgodą | art. 6 ust. 1 lit. a — zgoda (cookies) | 90 dni |
| Monitoring błędów (Sentry) | art. 6 ust. 1 lit. f — uzasadniony interes (bezpieczeństwo) | 90 dni |
| Dziennik zgód (consent log) | art. 6 ust. 1 lit. c — obowiązek prawny (RODO art. 7) | Bezterminowo |
| Obrona i dochodzenie roszczeń | art. 6 ust. 1 lit. f — uzasadniony interes | Do 6 lat po usunięciu Konta |
| Komunikacja marketingowa i afiliacyjna | art. 6 ust. 1 lit. a — zgoda; art. 398 ustawy Prawo komunikacji elektronicznej | Do chwili wycofania zgody |
§ 4. Komu udostępniamy dane (podmioty przetwarzające)
§ 4.1 Dostawcy Modeli AI
Usługodawca korzysta z usług zewnętrznych dostawców modeli językowych sztucznej inteligencji (Modeli AI) w celu świadczenia usługi Analizy CV. Każdy dostawca przetwarza dane osobowe Użytkownika wyłącznie jako podmiot przetwarzający, na podstawie zawartej z Usługodawcą umowy powierzenia przetwarzania danych (DPA), a w przypadku przekazywania danych poza Europejski Obszar Gospodarczy — również na podstawie Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską.
Aktualna, na bieżąco aktualizowana lista dostawców Modeli AI, wraz z celem przetwarzania, krajem przetwarzania oraz warunkami retencji danych u każdego z nich, dostępna jest pod adresem: [URL]. Zasady aktualizacji listy opisane są w § 11.
§ 4.2 Podmioty przetwarzające
| Podmiot | Cel | Kraj | Podstawa transferu |
|---|---|---|---|
| Anthropic, PBC | Analiza CV — model Claude (API) | USA | SCC; retencja standard. 30 dni; dane API nie trenują modeli |
| Google Cloud Platform | Hosting, bazy danych (PostgreSQL, europe-central2 Warszawa), Cloud Storage, BigQuery | UE | SCC / siedziba w UE |
| Autopay S.A. | Obsługa płatności (BLIK, karta, przelew) | Polska | Umowa krajowa (DPA — do skompletowania) |
| Resend | Wysyłka e-maili transakcyjnych i magic linków | USA | SCC (DPA — do skompletowania) |
| Cookiebot (Cybot A/S) | Zarządzanie zgodami na cookies | UE | Umowa powierzenia |
| Google Analytics 4 | Statystyki użycia (tylko za zgodą) | USA | SCC |
| Meta Pixel | Śledzenie konwersji reklamowych (tylko za zgodą) | USA | SCC |
| Sentry | Wykrywanie błędów aplikacji | USA | Umowa powierzenia (SCC) |
§ 5. Transfer danych poza EOG
Następujące podmioty przetwarzają dane poza Europejskim Obszarem Gospodarczym (EOG), w tym w USA: dostawcy Modeli AI wskazani w § 4 (Anthropic, PBC), Resend, Sentry, Google Analytics 4, Meta Pixel. Podstawą transferu w każdym przypadku są Standardowe Klauzule Umowne (SCC) zatwierdzone przez Komisję Europejską. Dane hostowane są na Google Cloud Platform w regionie Warszawa (europe-central2) i nie opuszczają terytorium UE. Zero Data Retention (ZDR) oznacza, że dane przekazane dostawcy Modelu AI w ramach pojedynczego zapytania nie są przez niego przechowywane po zakończeniu przetwarzania odpowiedzi ani wykorzystywane do trenowania modeli.
§ 6. Retencja danych — szczegółowe okresy
| Kategoria danych | Okres | Uzasadnienie |
|---|---|---|
| CV (plik PDF/DOCX i dane wyodrębnione) | 90 dni od wgrania, chyba że Użytkownik wcześniej usunie CV lub Konto | Cel zbierania wyczerpany; spójnie z § 3 (usuwanie automatyczne po 90 dniach) |
| Treść ogłoszenia o pracę | 90 dni | Powiązane z CV |
| Wynik Analizy AI | 90 dni | Usuwany razem z CV (powiązane technicznie) |
| Zdarzenia analityczne (BigQuery) | 60 dni, następnie anonimizacja (TTL partycji) | Po 60 dniach dostępne tylko dane zanonimizowane |
| Dane statystyczne zanonimizowane | Bezterminowo | Brak danych osobowych po anonimizacji |
| Dane do faktur VAT | 5 lat od końca roku podatkowego | Obowiązek z art. 112 ustawy o VAT |
| Dziennik zgód (consent log) | Bezterminowo | Obowiązek wykazania zgody (RODO art. 7) |
| Dane konta (e-mail, imię) | Do usunięcia Konta + 6 lat na roszczenia | Obrona przed roszczeniami; po tym terminie trwale usuwane w ciągu 30 dni |
| Logi błędów (Sentry) | 90 dni | Minimalizacja danych; wystarczające technicznie do debugowania |
| Token logowania jednorazowego („magic link") | 15 minut od wygenerowania (ważność); usuwany natychmiast po wykorzystaniu | Minimalizacja ryzyka przechwycenia; ograniczenie okna ataku brute-force |
| Sesja użytkownika (cookie sesji) | 12, 24 lub 36 godzin — zgodnie z wyborem Użytkownika (Regulamin §4 ust. 4) | Wygoda + bezpieczeństwo — user decyduje o kompromisie |
§ 7. Prawa osób, których dane dotyczą
Użytkownikowi przysługuje prawo do:
- dostępu do danych,
- sprostowania,
- usunięcia („prawo do bycia zapomnianym"),
- ograniczenia przetwarzania,
- przenoszenia danych,
- sprzeciwu wobec przetwarzania (w tym wobec profilowania na podstawie uzasadnionego interesu),
- wycofania zgody w każdym czasie, bez wpływu na legalność przetwarzania dokonanego przed jej wycofaniem.
Użytkownik może wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl). Wnioski kierować na adres: [E-MAIL DS. PRYWATNOŚCI — do uzupełnienia].
§ 8. Profilowanie
Serwis szacuje przybliżoną płeć Użytkownika na podstawie imienia zawartego w CV, a przybliżony wiek — na podstawie dat wykształcenia i historii zatrudnienia z CV. Profilowanie to służy wyłącznie dostosowaniu treści językowych sugestii (np. doboru form gramatycznych). Nie wpływa na ocenę dopasowania kandydata do oferty pracy i nie wywołuje skutków prawnych wobec Użytkownika w rozumieniu art. 22 RODO. Użytkownik może wyłączyć tę funkcję w ustawieniach Konta.
§ 9. Cookies i zgody
Serwis korzysta z plików cookies i podobnych technologii. Dane analityczne i reklamowe są zbierane wyłącznie po wyrażeniu przez Użytkownika zgody za pośrednictwem Cookiebot (Cybot A/S). Użytkownik może w każdym czasie zmienić lub wycofać zgodę w ustawieniach cookies dostępnych w stopce Serwisu. Adres IP jest zapisywany wyłącznie w postaci skrótu kryptograficznego. Usługodawca nie przechowuje jawnych adresów IP.
§ 10. Bezpieczeństwo danych
Usługodawca stosuje następujące środki bezpieczeństwa:
- szyfrowanie transmisji danych (TLS/SSL);
- szyfrowanie numeru telefonu w bazie danych;
- przekształcenie adresu IP do postaci skrótu kryptograficznego;
- tokeny logowania jednorazowego („magic link") ważne 15 minut, usuwane natychmiast po wykorzystaniu; rate-limiting żądań wysyłki tokenu na adres e-mail;
- przechowywanie danych na Google Cloud Platform w regionie Warszawa (europe-central2);
- monitoring błędów i anomalii za pomocą Sentry;
- ograniczenie dostępu do danych na zasadzie minimalnych uprawnień.
§ 11. Zmiany Polityki prywatności
- Administrator może aktualizować niniejszą Politykę prywatności, informując Użytkowników o zmianach za pośrednictwem poczty e-mail z co najmniej 14-dniowym wyprzedzeniem. Aktualna wersja Polityki jest zawsze dostępna w Serwisie pod adresem coffeejob.pl/privacy.
- Aktualizacja wykazu dostawców Modeli AI, o którym mowa w § 4.1, ograniczona do dodania lub zmiany dostawcy bez zmiany celów przetwarzania, podstaw prawnych lub warunków retencji, jest publikowana na bieżąco pod adresem wskazanym w § 4.1 z chwilą wejścia w życie i nie podlega 14-dniowemu terminowi, o którym mowa w ust. 1. Użytkownikowi przysługują w tym zakresie prawa opisane w § 7, w tym prawo sprzeciwu i prawo do usunięcia Konta.