Политика конфиденциальности и использования cookie
Англоязычная версия является аутентичным текстом и имеет преимущественную силу при любых расхождениях между переводами.
Настоящая Политика объясняет, как HRGuru обрабатывает персональные данные посетителей сайта, пользователей-компаний (рекрутеров/работодателей) и кандидатов, использующих наш Конструктор CV. В отношении данных кандидатов внутри процесса найма работодателя HRGuru выступает обработчиком — см. DPA.
HRGuru («мы», «нас», «наш») — рекрутинговая платформа на базе ИИ, оператором которой является Ganna Razheva, компания, зарегистрированная в Moldova, регистрационный номер 2024810615405. Контакт по защите данных: privacy@hrguru.work.
Настоящая Политика применяется к посетителям hrguru.work, пользователям-компаниям, кандидатам и к лицам, чьи данные обрабатываются от имени наших B2B-клиентов. Термины «персональные данные», «обработка», «оператор», «обработчик» и «надзорный орган» имеют значения, придаваемые им GDPR, Законом Республики Молдова № 133/2011 (и Законом № 195/2024 с 23 августа 2026 года) и Законом Украины № 2297-VI, в применимой части.
Юрисдикция. Мы применяем стандарт защиты данных, применимый к вашей юрисдикции. При работе в нескольких регионах мы стремимся соответствовать более строгим из применимых к вам требований ЕС, Молдовы, Украины и штатов США.
1. Кто мы и наша роль
| Контекст | Роль HRGuru | Оператор |
|---|---|---|
| Посетители сайта, маркетинг, cookie | Оператор | Ganna Razheva |
| Пользователи-компании (рекрутеры/сотрудники работодателя) | Оператор | Ganna Razheva |
| Кандидат, использующий Конструктор CV (B2C) | Оператор | Ganna Razheva |
| Данные кандидата в процессе найма работодателя (B2B) | Обработчик | Работодатель (наш клиент) |
Когда HRGuru выступает обработчиком, оператором является работодатель, его собственное уведомление о конфиденциальности регулирует такую обработку, а наши обязанности изложены в Соглашении об обработке данных (DPA).
2. Какие данные мы собираем
2.1 Пользователи-компании (HR / рекрутеры)
- Имя, рабочий email, телефон, должность — правовое основание: договор (ст. 6(1)(b)) — срок хранения: договор + 2 года.
- Операционные журналы входа, IP-адрес — законный интерес (ст. 6(1)(f)) — 12 месяцев.
- Платёжные данные — договор + правовая обязанность — в соответствии с законодательством о бухгалтерском учёте.
- Обращения в поддержку — договор / законный интерес — 3 года.
- Заявки на доступ с личной (некорпоративной) почты — если аккаунт компании регистрируется с личного ящика, указанные вами email, название компании и ссылка на профиль LinkedIn используются только для проверки того, что вы представляете компанию, до предоставления доступа — правовое основание: действия до заключения договора (ст. 6(1)(b)) и законный интерес в предотвращении мошеннических регистраций (ст. 6(1)(f)) — срок хранения: до принятия решения; при отказе — удаляются через 30 дней после решения (вместе с аккаунтом, если в нём нет других данных); при одобрении — хранятся в составе аккаунта компании.
2.2 Кандидаты (прямые пользователи Конструктора CV)
- Имя, email, телефон, местоположение — договор/согласие — до удаления аккаунта.
- Содержание CV (опыт работы, навыки) — договор — до удаления + 30 дней.
- Заявки на вакансии, история этапов — договор — 2 года.
- Аналитика использования — согласие (cookie) — 13 месяцев.
2.3 Кандидаты, обрабатываемые для B2B-клиентов
Когда наши B2B-клиенты загружают CV или получают заявки, оператором является компания-работодатель, а HRGuru — обработчиком согласно ст. 28 GDPR. Мы обрабатываем текст CV для оценки ИИ, сгенерированные ИИ оценки и анализ, историю этапов и заметки рекрутера, а также извлечённые метаданные. Мы не обрабатываем биометрические данные, фотографии, видео или защищённые характеристики. Наш ИИ оценивает только навыки и опыт.
2.4 Кандидаты из внешних источников (с сайтов вакансий и публичных профилей)
Когда клиент привлекает кандидатов со сторонних платформ (например, rabota.md, delucru.md, work.ua, LinkedIn) через интеграции или наше браузерное расширение, оператором является клиент, и он несёт ответственность за правомерность такого привлечения. Когда персональные данные получены косвенно, оператор обязан предоставить информацию, требуемую ст. 14 GDPR, в установленный срок. HRGuru не гарантирует точность или правомерность данных, полученных из сторонних источников.
2.5 Вход через сторонние сервисы (Google, Microsoft и LinkedIn)
HRGuru предлагает опциональный вход через ваш аккаунт Google, аккаунт Microsoft (Entra ID / Microsoft 365) или аккаунт LinkedIn, реализованный через Supabase Auth (наш обработчик аутентификации).
К чему мы получаем доступ. При входе через Google мы запрашиваем только базовые scope OpenID Connect: openid, email и profile. Из них мы получаем ваше имя, адрес электронной почты, фото профиля (если доступно) и идентификатор аккаунта Google. Мы не запрашиваем доступ к Gmail, Google Drive, Google Calendar, Google Contacts или иным чувствительным либо ограниченным данным Google. При входе через Microsoft мы запрашиваем только базовые scope openid, email, profile и (для продления сессии) offline_access, а также разрешение User.Read. Из них мы получаем ваше имя, адрес электронной почты, базовый профиль каталога (может включать отображаемое имя, имя, фамилию, должность, рабочий телефон, местоположение офиса, предпочитаемый язык и основное имя пользователя) и идентификатор аккаунта Microsoft. Мы не запрашиваем доступ к вашей почте, файлам, календарю или иному содержимому Microsoft 365. При входе через LinkedIn мы запрашиваем только scope OpenID Connect openid, profile и email. Из них мы получаем ваше имя, адрес электронной почты, фото профиля (если доступно) и идентификатор участника LinkedIn. Мы не запрашиваем доступ к вашим контактам, сообщениям, публикациям или иным данным LinkedIn.
Как мы это используем. Исключительно для создания и защиты вашего аккаунта HRGuru, вашей аутентификации при каждом входе, заполнения вашего профиля и связи с вами по вопросам сервиса. Мы не используем эти данные для рекламы.
Как мы это храним и защищаем. Эти данные хранятся в нашей базе данных на Supabase, шифруются при передаче (TLS/HTTPS) и в покое. Токены доступа хранятся только столько, сколько необходимо для поддержания вашей сессии; мы не храним долгоживущие токены доступа Google, Microsoft или LinkedIn сверх этой цели.
Как мы этим делимся. Мы не продаём ваши данные и не передаём их третьим лицам для их собственных целей. Мы передаём их только инфраструктурным субобработчикам, обеспечивающим работу HRGuru (в настоящее время Supabase), на условиях договорных обязательств по защите данных и когда это требуется законом.
Хранение и удаление. Мы храним данные входа, пока ваш аккаунт активен. Вы можете удалить свой аккаунт и связанные данные в любое время, написав на privacy@hrguru.work. Вы также можете отозвать доступ HRGuru в аккаунте Google (myaccount.google.com/permissions), Microsoft (myapps.microsoft.com) или LinkedIn (linkedin.com/psettings/permitted-services).
Отклик через LinkedIn. На странице вакансий компании вы можете нажать «Apply with LinkedIn», чтобы заполнить имя и email из вашего аккаунта LinkedIn (те же scope, что выше). Это не создаёт аккаунт HRGuru и не выполняет вход: сохраняются только имя и подтверждённый email — не дольше 5 минут во временном cookie браузера, чтобы заполнить форму, а токен доступа LinkedIn сразу удаляется. Ничего не сохраняется, если вы не отправите отклик; после отправки он обрабатывается согласно §2.3.
Google Limited Use. Использование HRGuru информации, полученной от Google API, соответствует Политике Google API Services User Data Policy, включая требования Limited Use.
3. Как работает наш ИИ — уведомление о прозрачности
ИИ — это поддержка решений, а не лицо, принимающее решение. Наша система оценки CV классифицирована как ВЫСОКОГО РИСКА согласно Приложению III, пункт 4(a) Закона ЕС об ИИ (наём). Решение о найме всегда принимает человек.
Что делает ИИ: анализирует текст CV; сравнивает профиль кандидата с критериями вакансии, заданными работодателем; формирует оценку 0–100, классификацию уровня и пояснение; устанавливает флаг «Спорный» (когда разброс между оценщиками превышает 30 баллов), что делает человеческую проверку обязательной.
Что ИИ НЕ делает: не принимает окончательное решение; не использует демографические или защищённые данные; не обучается на данных кандидатов и не хранит их для обучения сторонних моделей. Оценка ИИ — один из нескольких входных факторов и никогда не является единственным основанием решения. HRGuru спроектирован так, чтобы оценки ИИ носили рекомендательный характер и подлежали проверке человеком. Если оценка всё же будет использована как решающая (см. решение Суда ЕС C-634/21), кандидаты пользуются правами по ст. 22 GDPR: требовать участия человека, выразить свою точку зрения и оспорить оценку — через компанию-работодателя или по адресу privacy@hrguru.work.
Ваши права в отношении автоматизированной обработки: быть информированным, на проверку человеком (через компанию-работодателя), на пояснение и на возражение (ЕС/ЕЭЗ, ст. 21). Кандидаты из Нью-Йорка: HRGuru является AEDT согласно Local Law 144 г. Нью-Йорка; компании-работодатели обязаны проводить ежегодные аудиты предвзятости и предоставлять уведомление.
4. Срок хранения данных
| Тип данных | Срок по умолчанию | Настраивается? | Способ удаления |
|---|---|---|---|
| CV кандидатов (B2B) | 365 дней с момента загрузки | Да (30–730 дней) | Автоудаление; оценка обезличивается |
| Оценки и анализ ИИ | Как у CV | Да | Обезличивается; агрегат сохраняется |
| Журналы аудита / решений | 3 года | Нет | Безопасное удаление |
| Операционные журналы входа | 12 месяцев | Нет | Безопасное удаление |
| Согласия | Срок согласия + срок исковой давности | Нет | Безопасное удаление |
| Аккаунты компаний | Договор + 2 года | Нет | Удаление по запросу |
| Заявки на доступ с личной почты (включая ссылку LinkedIn) | До решения; 30 дней после отказа | Нет | Автоудаление |
| Резервные копии | Скользящие 30 дней | Нет | Автоочистка |
Почему журналы аудита/решений хранятся 3 года. GDPR не устанавливает фиксированный срок; мы обосновываем хранение сроком исковой давности по правовым требованиям. Поскольку наём с использованием ИИ может порождать иски о дискриминации или несправедливой оценке, срок давности по которым превышает один год, мы храним журналы решений 3 года для установления, осуществления или защиты правовых требований (ст. 17(3)(e) GDPR). Журналы минимизированы до идентификаторов и отметок времени.
5. Международная передача данных
Наша инфраструктура находится в ЕС (Франкфурт, Германия). Субобработчики за пределами ЕС/ЕЭЗ используют Стандартные договорные положения (SCC), а для Молдовы — SCC, утверждённые CNPDCP.
| Субобработчик | Страна | Назначение | Гарантия |
|---|---|---|---|
| Supabase | ЕС, Франкфурт | База данных, хранение, аутентификация | Размещение в ЕС |
| OpenAI | США | Оценка CV ИИ (только API) | SCC; без обучения на переданном содержимом |
| Vercel | США/ЕС | Хостинг приложения; аналитика посещений без отслеживания (публичные страницы, с согласия) | Регион ЕС приоритетно; SCC |
| Resend | США | Доставка email | SCC; без CV |
| Upstash Redis | ЕС, Запад | Очередь | Регион ЕС; временные данные |
| Sentry | США/ЕС | Мониторинг ошибок | Обезличено; без CV |
Актуальный список — на hrguru.work/subprocessors. Мы заранее уведомляем об изменениях, и клиенты могут возражать по обоснованным причинам защиты данных (см. DPA).
6. Cookie
| Категория | Примеры | Можно отказаться? |
|---|---|---|
| Необходимые | Сессия, CSRF, токены аутентификации | Нет |
| Функциональные | NEXT_LOCALE, выбор темы | Да |
| Аналитика (без отслеживания) | Vercel Web Analytics — статистика посещений без cookie, только на публичных страницах, подключается лишь с вашего согласия на аналитику | Да |
| Маркетинговые | В настоящее время отсутствуют | Н/Д |
Мы не используем Google Analytics, Facebook Pixel или cookie поведенческой рекламы. Мы учитываем сигнал Global Privacy Control (GPC).
7. Ваши права
Для реализации любого права напишите на privacy@hrguru.work. Мы отвечаем в течение одного месяца (с продлением до трёх для сложных запросов). Первые запросы бесплатны.
| Право | ЕС/ЕЭЗ | Молдова | Украина | Калифорния |
|---|---|---|---|---|
| Доступ / знать | ✓ ст. 15 | ✓ | ✓ | ✓ |
| Исправление | ✓ ст. 16 | ✓ | ✓ | ✓ |
| Удаление | ✓ ст. 17 | ✓ | ✓ | ✓ |
| Переносимость | ✓ ст. 20 | ✓ | — | ✓ |
| Возражение против обработки | ✓ ст. 21 | ✓ | ✓ | — |
| Возражение против автоматизированных решений | ✓ ст. 22 | ✓ | ✓ | — |
| Ограничение обработки | ✓ ст. 18 | ✓ | ✓ | — |
| Отзыв согласия | ✓ ст. 7(3) | ✓ | ✓ | ✓ |
Для субъектов данных в Республике Молдова с 23 августа 2026 года эти права осуществляются на основании Закона № 195/2024; надзорным органом является Национальный центр по защите персональных данных (CNPDCP, datepersonale.md).
8. Резиденты Калифорнии — CCPA / CPRA
Резиденты Калифорнии имеют права знать, удалять, исправлять, отказаться от продажи/передачи, ограничить использование чувствительных персональных данных и на недискриминацию. HRGuru не продаёт персональные данные и не передаёт их для межконтекстной поведенческой рекламы. Напишите на privacy@hrguru.work с темой «CCPA Request»; мы проверяем личность и отвечаем в течение 45 дней.
9. Надзорные органы
- ЕС/ЕЭЗ: ваш национальный надзорный орган (через EDPB) — edpb.europa.eu
- Молдова: CNPDCP — datepersonale.md · +373 22 820 801
- Украина: Уполномоченный по правам человека (Омбудсмен) — ombudsman.gov.ua
- Калифорния: California Privacy Protection Agency — cppa.ca.gov
10. Контакты и обновления
Оператор: Ganna Razheva. Контакт по конфиденциальности: privacy@hrguru.work. Специалист по защите данных (DPO): Ganna Razheva.
Мы уведомляем зарегистрированных пользователей о существенных изменениях по email и публикуем обновления на hrguru.work/privacy. Доступно на EN, RO, UK и RU; в случае расхождений преимущественную силу имеет английская версия.
Требуется юридическая проверка: заполните все поля в [скобках] и обеспечьте подтверждение итогового текста квалифицированным юристом (Молдова/ЕС/Украина) до публикации.