Obvestilo o zasebnosti Kadroflow

To obvestilo pojasnjuje, kako upravljavec Kadroflow obdeluje osebne podatke za spletno mesto, račune, naročnine, varnost in podporo. Pojasnjuje tudi običajno delitev vlog, ko naročnik uporablja platformo za zaposlovanje ali kadrovske evidence.

Organizacija naročnika mora kandidatom in zaposlenim zagotoviti svoje obvestilo. Spodnja kratka razlaga kandidatom, obvestilo o piškotkih in obvestilo o UI to obvestilo dopolnjujejo, ne nadomeščajo obveznosti naročnika.

Za lastne namene Kadroflow glede računov, obračuna, spletnega mesta, varnosti, preprečevanja zlorab, podpore in pravne skladnosti je upravljavec Kadroflow, Kranj. Stefetova ulica. Kontakt: support@kadroflow.com.

Pooblaščena oseba za varstvo podatkov trenutno ni imenovana. Polno registrirano pravno ime in oblika ponudnika, celoten uradni naslov, registrska številka in status DDV morajo biti pred produkcijsko objavo še preverjeni.

Naročnik praviloma odloča, zakaj in kako se uporabljajo podatki kandidatov, prijav, razgovorov in zaposlenih. Pri tej obdelavi je naročnik upravljavec, Kadroflow pa obdeluje podatke po njegovih dokumentiranih navodilih. Kandidati naj pravice praviloma uveljavljajo pri organizaciji, ki vodi postopek.

Kadroflow je samostojni upravljavec za upravljanje računov, obračun, varnostne dnevnike, preprečevanje zlorab, pravne zahtevke in skladnost. Če bi Kadroflow določil dodaten namen za Podatke naročnika, na primer učenje splošnega modela, je treba vlogo in podlago oceniti ter razkriti pred začetkom. To obvestilo take uporabe ne dovoljuje.

• Račun in organizacija: ime, službena e-pošta, avtentikacijski identifikatorji, delovni prostor, vloga, dovoljenja, jezik in nastavitve.
• Poslovni podatki: paket, stanje naročnine, obračunski kontakt, davčni podatki in stanje plačila. Celotne kartične podatke obdeluje ponudnik plačil.
• Tehnični in varnostni: varnostni dogodki, povezani z IP, naprava/seja, prijave, revizijski dogodki, časi, napake in diagnostika podpore.
• Podatki zaposlovanja in HR pod nadzorom naročnika: identiteta, kontakti, CV, zaposlitev, izobrazba, veščine, faze, opombe, ocene, vir, komunikacija, razgovori, posnetki, transkripti, ponudbe, dokumenti, naloge in zgodovina aktivnosti.
• Vhodi in izhodi UI: vsebina, poslana funkciji UI, navodila, izluščena dejstva, ocene, povzetki, osnutki in izvor podatkov, kjer je izveden.

Podatki lahko izvirajo od imetnika računa, uporabnikov naročnika, kandidata, pooblaščene integracije, priporočila ali javnega poklicnega vira, ki ga izbere naročnik. Naročnik mora evidentirati in razkriti posredne vire, kjer velja 14. člen GDPR.

• Zagotavljanje in upravljanje računov: pogodba ali zahtevani predpogodbeni ukrepi; 6(1)(b) GDPR.
• Obračun, davki in računovodstvo: pogodba in pravne obveznosti; 6(1)(b) in (c).
• Varnost, revizija, goljufije in celovitost: zakoniti interesi za zaščito strank, oseb in sistemov; 6(1)(f), ob tehtanju pravic.
• Podpora in zahtevana komunikacija: pogodba in zakoniti interesi; 6(1)(b) in (f).
• Pravni zahtevki in organi: pravna obveznost ali zakoniti interesi; 6(1)(c) in (f).
• Izbirno trženje ali nenujna analitika: privolitev, kjer jo zahteva pravo, z enostavno zavrnitvijo in preklicem.

Naročnik mora sam določiti in dokumentirati podlago za zaposlovanje in HR. Splošno potrditveno polje platforme ne pomeni privolitve kandidata za naročnika.

Naročniki ne smejo nalagati podatkov o zdravju, invalidnosti, biometriji, rasnem ali etničnem poreklu, političnih ali verskih prepričanjih, sindikatih, spolnem življenju, kazenskih obsodbah ali podobno občutljivih podatkov, razen če so strogo potrebni, zakoniti, omejeni in podprti z ustreznim pogojem iz 9. ali 10. člena GDPR ter nacionalnega prava. Prosto besedilno polje ne pomeni dovoljenja. Izogibati se je treba družinskemu stanu, nosečnosti in podatkom brez povezave z delom.

Če ste se prijavili neposredno: je organizacija iz oglasa ali sporočila praviloma upravljavec. Podatke uporablja za oceno in vodenje postopka ter mora navesti podlago, prejemnike, rok hrambe, obveznost podatkov in način uveljavljanja pravic.

Če je evidenco ustvaril rekruter, uvozil CV, prejel priporočilo ali vas poiskal: mora organizacija navesti izvor in zagotoviti informacije iz 14. člena GDPR najpozneje ob prvem sporočilu, prvem razkritju ali v enem mesecu, odvisno od prvega veljavnega roka. Javni profil te dolžnosti ne odpravi.

Kadroflow evidenco gosti in obdeluje za organizacijo. Zahtevo najprej pošljite organizaciji. Če je ne morete prepoznati ali menite, da je Kadroflow odgovoren za lastno obdelavo, pišite na support@kadroflow.com.

Kadroflow lahko pomaga pri izluščanju, povzetkih, osnutkih, primerjanju, ocenjevanju in prepisovanju. Glede na nastavitev in uporabo gre lahko za profiliranje. Vhodi in izhodi lahko vsebujejo podatke kandidatov ali zaposlenih ter se po navodilu naročnika pošljejo nastavljenemu ponudniku UI.

Rezultati so lahko napačni ali pristranski. Predvideni potek zahteva, da usposobljena oseba preveri izvorne dokaze, razume omejitve in sprejme odločitev. Storitve ni dovoljeno nastaviti ali uporabljati za odločitev s pravnimi ali podobno pomembnimi učinki, ki bi temeljila izključno na avtomatizirani obdelavi. Naročnik, ki preseže ta potek, mora samostojno oceniti 22. člen GDPR, delovno pravo in Akt o UI.

Človeški pregled izvaja kadrovska ekipa naročnika, ki lahko pregleda izvorne dokaze in odgovarja za končno odločitev. Kadroflow ne dovoljuje, da bi funkcija UI brez človeške potrditve zavrnila, napredovala, razvrstila ali zaposlila osebo. Pregledana konfiguracija namestitve pošilja besedilne in slikovne zahteve na evropsko končno točko API Mistral, za privzeti prepis govora pa uporablja Cloudflare Workers AI. Natančni pogodbeni subjekti, roki hrambe in pogoji dostopa ponudnikov, različice modelov za posamezne funkcije ter morebitno izboljševanje modela Kadroflow zahtevajo še pogodbeno in produkcijsko preveritev. To obvestilo ne dovoljuje uporabe Podatkov naročnika za učenje splošnega modela ponudnika.

Snemanje in prepis nadzoruje naročnik. Pred snemanjem mora obvestiti vsakega udeleženca, določiti ustrezno podlago, pridobiti privolitev, kjer je potrebna, zagotoviti nesnemano možnost, kjer je zahtevana, omejiti dostop in določiti kratek rok. Kadroflow zvok, transkript in metapodatke obdeluje le po dokumentiranih navodilih, razen če pravo zahteva drugače.

Podatki so lahko dostopni pooblaščenim uporabnikom naročnika, osebju Kadroflow, ki jih potrebuje za podporo ali varnost, svetovalcem, organom, kadar to zahteva pravo, in odobrenim ponudnikom infrastrukture, komunikacij, plačil ali UI za zahtevane funkcije.

Storitve, prepoznane v pregledani konfiguraciji namestitve, vključujejo Cloudflare za dostavo aplikacije, infrastrukturo API, zasebno hrambo objektov in prepis govora; Neon za glavno podatkovno zbirko; Supabase za avtentikacijo in preostale funkcije Edge; Resend za e-pošto; Stripe za obračun; ter evropsko končno točko API Mistral za besedilne in slikovne funkcije UI. Izbirne integracije po navodilih naročnika vključujejo Google Workspace, Microsoft 365 in GitHub. Ta seznam blagovnih znamk iz kode ni preverjen produkcijski register podobdelovalcev in se ga kot takega ne sme obravnavati. Register mora pred objavo navesti natančen pogodbeni subjekt, vlogo, lokacijo, prenosni mehanizem in postopek obveščanja o spremembah.

Ob prenosu izven EGP mora odgovorna stranka uporabiti mehanizem iz V. poglavja GDPR, na primer odločbo o ustreznosti ali odobrene standardne pogodbene klavzule, ter izvesti zahtevano oceno in dodatne ukrepe. Kadroflow ne trdi določene ustreznosti, sodelovanja v DPF, modula SCC ali regije gostovanja, dokler niso preverjeni ustrezna produkcijska pogodba in nastavitve najemnika.

Pregledana izvorna koda uporablja piškotek sidebar_state sedem dni za pomnjenje nastavitve vmesnika. Uporablja tudi shrambo brskalnika za prijavo/sejo, jezik, temo, aktivni delovni prostor, osnutke, pogled in kontinuiteto poteka. Nekatera delovna shramba lahko vsebuje Podatke naročnika in se omejuje ter čisti z nadzori aplikacije.

Nujna shramba podpira prijavo, varnost in zahtevane nastavitve. Pregledana koda v varnostni politiki dovoljuje končne točke Cloudflare Web Analytics, vendar sama ne dokazuje, da je analitika vključena v produkcijski nadzorni plošči. Produkcijski status je treba preveriti. Kjer pravo zahteva privolitev za analitično shranjevanje ali dostop, mora analitika ostati izključena do svobodne izbire obiskovalca; zavrnitev mora biti enako preprosta kot sprejetje, preklic pa vedno dostopen.

Kadroflow bo seznam dejansko nameščenih piškotkov in shrambe vzdrževal na podlagi produkcijskih pregledov omrežja čez marketing, prijavo, aplikacijo in plačilo. Končni nadzor privolitve mora odražati dejanska imena, ponudnike, namene, trajanje in prejemnike.

Če se vključi nenujna analitika, mora biti pred njenim zagonom uveden in preizkušen produkcijski nadzor privolitve.

Lastne podatke upravljavca o računih, obračunu, varnosti in pravu hranimo le za potreben namen in veljavne pravne ali zastaralne roke. Podatki kandidatov in HR pod nadzorom naročnika sledijo njegovemu dokumentiranemu urniku in navodilom za izbris.

Produkcija vsebuje brisanje evidenc in delovnega prostora na zahtevo naročnika ter kratkožive tehnične evidence v nekaterih potekih. Konkretni roki za kandidate, posnetke, zaprtje računa in varnostne kopije bodo objavljeni šele po tehničnem preverjanju celotnega urnika in poteka kopij. Do takrat mora naročnik določiti lasten dokumentiran urnik hrambe pri zaposlovanju in zahtevati izbris, ko namen preneha.

Dokazi v repozitoriju vključujejo prijavo, izbirni MFA, preverjanje vlog in organizacije, politike vrstičnega dostopa, zasebno shrambo, časovno omejen dostop do datotek, strežniška preverjanja občutljivih operacij, omejevanje zahtev, revizijske dogodke in varnostne glave brskalnika. Ukrepi se pregledujejo glede na tveganje.

To niso certifikacija ali jamstvo. Produkcijske nastavitve, regije, obnovitveni testi, odziv na incidente, ponudniki in učinkovitost politik morajo biti preverjeni. Uporabniki morajo varovati prijavne podatke, naprave, vloge in povezane račune.

Ob zakonskih pogojih lahko zahtevate dostop, popravek, izbris, omejitev, prenosljivost, ugovarjate zakonitim interesom, prekličete privolitev brez vpliva na prejšnjo zakonitost ter pridobite informacije o prenosnih varovalkah. Kjer velja 22. člen, lahko zahtevate informacije o avtomatizirani obdelavi in izpodbijate izključno avtomatizirano pomembno odločitev.

Za zaposlitveno evidenco kontaktirajte naročnika. Za račun, spletno mesto, obračun ali varnost Kadroflow pišite na support@kadroflow.com. Za preveritev identitete in usmeritev lahko zahtevamo sorazmerne podatke, ne več kot je potrebno.

Pritožbo lahko vložite pri nadzornem organu kraja prebivališča, dela ali domnevne kršitve. V Sloveniji je to Informacijski pooblaščenec Republike Slovenije. Vabimo vas, da najprej kontaktirate nas, vendar to ni pogoj za pritožbo.

Poslovni računi Kadroflow niso namenjeni otrokom; ustvari jih lahko le oseba, stara najmanj 18 let, ki deluje za poslovno ali poklicno organizacijo. Evidenca kandidata lahko zajema mlajšega kandidata le, če ima naročnik zakonit zaposlitveni razlog in uporabi zahtevane zaščite.

Nove različice bomo datirali in o bistveni spremembi ustrezno obvestili. Novega namena, ki ni združljiv s prvotnim, ne bomo uvedli samo s spremembo tega obvestila; zahteva lastno presojo in po potrebi privolitev.

Osnutek temelji na Splošni uredbi EU o varstvu podatkov, trenutnem prečiščenem Aktu EU o umetni inteligenci, slovenskem ZVOP-2, ZDR-1 in ZEKom-2. Potreben je končni pregled glede na izveden izdelek in pogodbe.

Kontakt za zasebnost: support@kadroflow.com. Poštni naslov: Kranj. Stefetova ulica.