Umowa powierzenia przetwarzania danych osobowych (DPA)

Załącznik nr 1 do Regulaminu świadczenia usług SkillCheck · Wersja 1.0 · obowiązuje od 29.10.2026

§ 1. Strony i zawarcie

1. Administrator – Klient, którego dane zostały podane w Koncie SkillCheck.
2. Podmiot przetwarzający – KTIG CONSULTING spółka z ograniczoną odpowiedzialnością, ul. Michała Kajki 10–12, 10-547 Olsztyn, KRS 0001110252, NIP 7394002294, REGON 528903093; kontakt w sprawach danych i incydentów: pomoc@skillcheck.pl, tel. +48 730 266 909.
3. Umowa zostaje zawarta w formie elektronicznej z chwilą akceptacji Regulaminu przez osobę upoważnioną do działania w imieniu Administratora i obowiązuje przez czas świadczenia usług SkillCheck oraz do czasu usunięcia lub zwrotu danych zgodnie z § 7. Data, wersja dokumentu i osoba akceptująca są zapisywane w Koncie.
4. Umowa wykonuje art. 28 ust. 3 RODO. W sprawach danych osobowych ma pierwszeństwo przed Regulaminem.

§ 2. Przedmiot, cel i charakter przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu dane osobowe opisane w § 9 wyłącznie w celu świadczenia usług SkillCheck: przyjęcia i przekształcenia CV do tekstu, redakcji danych, powiązania z rekrutacją i stanowiskiem, analizy AI zgodności z wymaganiami, przeglądu przez człowieka, przygotowania shortlisty i raportu, eksportu oraz usuwania danych.
2. Przetwarzanie odbywa się w sposób zautomatyzowany w systemach informatycznych. Pliki CV są przekształcane do tekstu; oryginalny plik nie jest przechowywany.

§ 3. Obowiązki Podmiotu przetwarzającego

1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora; poleceniem są w szczególności czynności Użytkowników wykonywane w Koncie. Jeżeli obowiązek przetwarzania wynika z prawa, Podmiot przetwarzający informuje o tym Administratora przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania.
2. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy.
3. Dostęp do danych mają wyłącznie osoby upoważnione, zobowiązane do zachowania poufności, w zakresie niezbędnym do wykonania usługi.
4. Podmiot przetwarzający nie wykorzystuje danych do własnych celów, w tym do trenowania modeli AI.

§ 4. Bezpieczeństwo (art. 32 RODO)

Podmiot przetwarzający stosuje w szczególności: uwierzytelnianie Użytkowników i role z minimalnymi uprawnieniami, rozdzielenie danych Klientów na poziomie bazy danych (Row Level Security), szyfrowanie transmisji (TLS) i danych w bazie, kontrolę dostępu do sekretów, redakcję danych zatwierdzaną przez człowieka przed analizą AI, rejestrowanie operacji, kopie zapasowe oraz procedurę obsługi incydentów.

§ 5. Dalsze powierzenie

1. Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających wymienionych w § 10.
2. O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym terminie zgłosić uzasadniony sprzeciw; w razie braku porozumienia Administrator może rozwiązać umowę ze skutkiem natychmiastowym i otrzymać zwrot proporcjonalnej części opłaty za niewykorzystane Analizy.
3. Dalszy podmiot przetwarzający jest związany obowiązkami odpowiadającymi tej umowie. Podmiot przetwarzający odpowiada za jego działania jak za własne.
4. Przekazanie danych poza EOG następuje wyłącznie przy zastosowaniu mechanizmów z rozdziału V RODO (decyzja stwierdzająca odpowiedni stopień ochrony lub standardowe klauzule umowne).

§ 6. Pomoc Administratorowi, incydenty i audyt

1. Podmiot przetwarzający pomaga Administratorowi w realizacji praw osób, których dane dotyczą. Żądanie otrzymane bezpośrednio od Kandydata przekazuje Administratorowi bez zbędnej zwłoki, nie później niż w ciągu 3 dni roboczych.
2. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, przekazując informacje wymagane w art. 33 ust. 3 RODO w zakresie, w jakim są dostępne.
3. Podmiot przetwarzający pomaga Administratorowi w ocenie skutków dla ochrony danych (DPIA) i konsultacjach z organem nadzorczym w zakresie dotyczącym usługi.
4. Podmiot przetwarzający udostępnia informacje niezbędne do wykazania zgodności z art. 28 RODO i umożliwia audyt po uprzednim zgłoszeniu z co najmniej 14-dniowym wyprzedzeniem, nie częściej niż raz w roku (chyba że audyt jest następstwem naruszenia), w sposób niezagrażający danym innych Klientów. Koszty audytu ponosi Administrator.

§ 7. Usunięcie i zwrot danych

1. Administrator może w każdej chwili usunąć dane Kandydata lub całą rekrutację w Koncie albo zlecić to Podmiotowi przetwarzającemu.
2. Po zakończeniu świadczenia usług Podmiot przetwarzający, według wyboru Administratora, zwraca dane (eksport) lub usuwa je w terminie 30 dni, chyba że prawo nakazuje ich dalsze przechowywanie. Usunięcie obejmuje teksty CV, wersje po redakcji, wyniki analiz, rankingi i raporty.
3. Dane w kopiach zapasowych są usuwane w cyklu ich rotacji, nie dłuższym niż 30 dni. W razie odtworzenia kopii dane wcześniej usunięte nie są ponownie udostępniane.
4. Na żądanie Podmiot przetwarzający potwierdza usunięcie danych.

§ 8. Odpowiedzialność i postanowienia końcowe

1. Odpowiedzialność stron określają RODO i Regulamin.
2. Zmiana zakresu przetwarzania, w tym uruchomienie nowych funkcji wymagających innych kategorii danych (np. rozmów głosowych), wymaga aktualizacji niniejszej umowy przed rozpoczęciem takiego przetwarzania.

§ 9. Kategorie osób i danych

• Kategorie osób: Kandydaci Administratora; osoby uczestniczące w rekrutacji po stronie Administratora w zakresie ocen i komentarzy.
• Kategorie danych: dane identyfikacyjne i kontaktowe w zakresie zawartym w CV lub wprowadzonym przez Administratora, wykształcenie, przebieg zatrudnienia, umiejętności i kwalifikacje, treść CV, oceny, notatki i komentarze, wyniki analiz, rankingi i raporty.
• Dane szczególnych kategorii: nie są przedmiotem powierzenia. Administrator usuwa je z CV przed analizą, chyba że ma podstawę prawną ich przetwarzania.
• Czas przetwarzania: do zakończenia celu rekrutacji określonego przez Administratora, nie dłużej niż przez czas świadczenia usług i okres z § 7.

§ 10. Dalsze podmioty przetwarzające

Pobierz dokument (.docx)