Політика конфіденційності та використання cookie

Ця Політика пояснює, як HRGuru обробляє персональні дані відвідувачів сайту, користувачів-компаній (рекрутерів/роботодавців) та кандидатів, які використовують наш Конструктор CV. Щодо даних кандидатів усередині процесу найму роботодавця HRGuru виступає процесором — див. DPA.

HRGuru («ми», «нас», «наш») — рекрутингова платформа на базі ШІ, оператором якої є Ganna Razheva, компанія, зареєстрована в Moldova, реєстраційний номер 2024810615405. Контакт із захисту даних: privacy@hrguru.work.

Ця Політика застосовується до відвідувачів hrguru.work, користувачів-компаній, кандидатів і до осіб, чиї дані обробляються від імені наших B2B-клієнтів. Терміни «персональні дані», «обробка», «контролер», «процесор» та «наглядовий орган» мають значення, надані їм GDPR, Законом Республіки Молдова № 133/2011 (та Законом № 195/2024 з 23 серпня 2026 року) і Законом України № 2297-VI, у застосовній частині.

Юрисдикція. Ми застосовуємо стандарт захисту даних, застосовний до вашої юрисдикції. Працюючи в кількох регіонах, ми прагнемо відповідати суворішим із застосовних до вас вимог ЄС, Молдови, України та штатів США.

1. Хто ми та наша роль

Коли HRGuru виступає процесором, контролером є роботодавець, його власне повідомлення про конфіденційність регулює таку обробку, а наші обов'язки викладені в Угоді про обробку даних (DPA).

2. Які дані ми збираємо

2.1 Користувачі-компанії (HR / рекрутери)

• Ім'я, робочий email, телефон, посада — правова підстава: договір (ст. 6(1)(b)) — строк зберігання: договір + 2 роки.
• Операційні журнали входу, IP-адреса — законний інтерес (ст. 6(1)(f)) — 12 місяців.
• Платіжні дані — договір + правовий обов'язок — відповідно до законодавства про бухгалтерський облік.
• Звернення до підтримки — договір / законний інтерес — 3 роки.
• Запити на доступ з особистої (некорпоративної) пошти — якщо акаунт компанії реєструється з особистої скриньки, вказані вами email, назва компанії та посилання на профіль LinkedIn використовуються лише для перевірки того, що ви представляєте компанію, до надання доступу — правова підстава: дії до укладення договору (ст. 6(1)(b)) і законний інтерес у запобіганні шахрайським реєстраціям (ст. 6(1)(f)) — строк зберігання: до ухвалення рішення; у разі відмови — видаляються через 30 днів після рішення (разом з акаунтом, якщо в ньому немає інших даних); у разі схвалення — зберігаються у складі акаунта компанії.

2.2 Кандидати (прямі користувачі Конструктора CV)

• Ім'я, email, телефон, місцезнаходження — договір/згода — до видалення облікового запису.
• Зміст CV (досвід роботи, навички) — договір — до видалення + 30 днів.
• Заявки на вакансії, історія етапів — договір — 2 роки.
• Аналітика використання — згода (cookie) — 13 місяців.

2.3 Кандидати, що обробляються для B2B-клієнтів

Коли наші B2B-клієнти завантажують CV або отримують заявки, контролером є компанія-роботодавець, а HRGuru — процесором згідно зі ст. 28 GDPR. Ми обробляємо текст CV для оцінювання ШІ, згенеровані ШІ оцінки та аналіз, історію етапів і нотатки рекрутера, а також видобуті метадані. Ми не обробляємо біометричні дані, фотографії, відео чи захищені характеристики. Наш ШІ оцінює лише навички та досвід.

2.4 Кандидати із зовнішніх джерел (із сайтів вакансій і публічних профілів)

Коли клієнт залучає кандидатів зі сторонніх платформ (наприклад, rabota.md, delucru.md, work.ua, LinkedIn) через інтеграції або наше браузерне розширення, контролером є клієнт, і він несе відповідальність за правомірність такого залучення. Коли персональні дані отримані опосередковано, контролер зобов'язаний надати інформацію, що вимагається ст. 14 GDPR, у встановлений строк. HRGuru не гарантує точність або правомірність даних, отриманих зі сторонніх джерел.

2.5 Вхід через сторонні сервіси (Google, Microsoft та LinkedIn)

HRGuru пропонує опціональний вхід через ваш акаунт Google, акаунт Microsoft (Entra ID / Microsoft 365) або акаунт LinkedIn, реалізований через Supabase Auth (наш процесор автентифікації).

До чого ми отримуємо доступ. Під час входу через Google ми запитуємо лише базові scope OpenID Connect: openid, email та profile. З них ми отримуємо ваше ім'я, адресу електронної пошти, фото профілю (якщо доступне) та ідентифікатор акаунта Google. Ми не запитуємо доступ до Gmail, Google Drive, Google Calendar, Google Contacts чи інших чутливих або обмежених даних Google. Під час входу через Microsoft ми запитуємо лише базові scope openid, email, profile та (для продовження сесії) offline_access, а також дозвіл User.Read. З них ми отримуємо ваше ім'я, адресу електронної пошти, базовий профіль каталогу (може включати відображуване ім'я, ім'я, прізвище, посаду, робочий телефон, розташування офісу, бажану мову та основне ім'я користувача) та ідентифікатор акаунта Microsoft. Ми не запитуємо доступ до вашої пошти, файлів, календаря чи іншого вмісту Microsoft 365. Під час входу через LinkedIn ми запитуємо лише scope OpenID Connect openid, profile та email. З них ми отримуємо ваше ім'я, адресу електронної пошти, фото профілю (якщо доступне) та ідентифікатор учасника LinkedIn. Ми не запитуємо доступ до ваших контактів, повідомлень, публікацій чи інших даних LinkedIn.

Як ми це використовуємо. Виключно для створення та захисту вашого акаунта HRGuru, вашої автентифікації під час кожного входу, заповнення вашого профілю та зв'язку з вами щодо сервісу. Ми не використовуємо ці дані для реклами.

Як ми це зберігаємо та захищаємо. Ці дані зберігаються в нашій базі даних на Supabase, шифруються під час передавання (TLS/HTTPS) та у стані спокою. Токени доступу зберігаються лише стільки, скільки потрібно для підтримання вашої сесії; ми не зберігаємо довгоживучі токени доступу Google, Microsoft або LinkedIn понад цю мету.

Як ми цим ділимося. Ми не продаємо ваші дані й не передаємо їх третім особам для їхніх власних цілей. Ми передаємо їх лише інфраструктурним субпроцесорам, що забезпечують роботу HRGuru (наразі Supabase), на умовах договірних зобов'язань із захисту даних і коли цього вимагає закон.

Зберігання та видалення. Ми зберігаємо дані входу, поки ваш акаунт активний. Ви можете видалити свій акаунт і пов'язані дані будь-коли, написавши на privacy@hrguru.work. Ви також можете відкликати доступ HRGuru в акаунті Google (myaccount.google.com/permissions), Microsoft (myapps.microsoft.com) або LinkedIn (linkedin.com/psettings/permitted-services).

Відгук через LinkedIn. На сторінці вакансій компанії ви можете натиснути «Apply with LinkedIn», щоб заповнити ім'я та email з вашого акаунта LinkedIn (ті самі scope, що вище). Це не створює акаунт HRGuru і не виконує вхід: зберігаються лише ім'я та підтверджений email — не довше 5 хвилин у тимчасовому cookie браузера, щоб заповнити форму, а токен доступу LinkedIn одразу видаляється. Нічого не зберігається, якщо ви не надішлете відгук; після надсилання він обробляється згідно з §2.3.

Google Limited Use. Використання HRGuru інформації, отриманої від Google API, відповідає Політиці Google API Services User Data Policy, включно з вимогами Limited Use.

3. Як працює наш ШІ — повідомлення про прозорість

ШІ — це підтримка рішень, а не особа, що ухвалює рішення. Наша система оцінювання CV класифікована як ВИСОКОГО РИЗИКУ згідно з Додатком III, пункт 4(a) Закону ЄС про ШІ (найм). Рішення про найм завжди ухвалює людина.

Що робить ШІ: аналізує текст CV; порівнює профіль кандидата з критеріями вакансії, заданими роботодавцем; формує оцінку 0–100, класифікацію рівня та пояснення; встановлює прапорець «Спірний» (коли розкид між оцінювачами перевищує 30 балів), що робить перевірку людиною обов'язковою.

Чого ШІ НЕ робить: не ухвалює остаточне рішення; не використовує демографічні чи захищені дані; не навчається на даних кандидатів і не зберігає їх для навчання сторонніх моделей. Оцінка ШІ — один із кількох вхідних чинників і ніколи не є єдиною підставою рішення. HRGuru спроєктований так, щоб оцінки ШІ мали рекомендаційний характер і підлягали перевірці людиною. Якщо оцінку все ж буде використано як вирішальну (див. рішення Суду ЄС C-634/21), кандидати користуються правами за ст. 22 GDPR: вимагати участі людини, висловити свою точку зору та оскаржити оцінку — через компанію-роботодавця або на адресу privacy@hrguru.work.

Ваші права щодо автоматизованої обробки: бути поінформованим, на перевірку людиною (через компанію-роботодавця), на пояснення та на заперечення (ЄС/ЄЕЗ, ст. 21). Кандидати з Нью-Йорка: HRGuru є AEDT згідно з Local Law 144 м. Нью-Йорка; компанії-роботодавці зобов'язані проводити щорічні аудити упередженості та надавати повідомлення.

4. Строк зберігання даних

Чому журнали аудиту/рішень зберігаються 3 роки. GDPR не встановлює фіксованого строку; ми обґрунтовуємо зберігання строком позовної давності за правовими вимогами. Оскільки найм із використанням ШІ може породжувати позови про дискримінацію чи несправедливе оцінювання, строк давності за якими перевищує один рік, ми зберігаємо журнали рішень 3 роки для встановлення, здійснення чи захисту правових вимог (ст. 17(3)(e) GDPR). Журнали мінімізовані до ідентифікаторів і позначок часу.

5. Міжнародна передача даних

Наша інфраструктура розташована в ЄС (Франкфурт, Німеччина). Субпроцесори за межами ЄС/ЄЕЗ використовують Стандартні договірні положення (SCC), а для Молдови — SCC, затверджені CNPDCP.

Актуальний список — на hrguru.work/subprocessors. Ми завчасно повідомляємо про зміни, і клієнти можуть заперечувати з обґрунтованих причин захисту даних (див. DPA).

6. Cookie

Ми не використовуємо Google Analytics, Facebook Pixel чи cookie поведінкової реклами. Ми враховуємо сигнал Global Privacy Control (GPC).

7. Ваші права

Для реалізації будь-якого права напишіть на privacy@hrguru.work. Ми відповідаємо протягом одного місяця (з продовженням до трьох для складних запитів). Перші запити безкоштовні.

Для суб'єктів даних у Республіці Молдова з 23 серпня 2026 року ці права здійснюються на підставі Закону № 195/2024; наглядовим органом є Національний центр із захисту персональних даних (CNPDCP, datepersonale.md).

8. Резиденти Каліфорнії — CCPA / CPRA

Резиденти Каліфорнії мають права знати, видаляти, виправляти, відмовитися від продажу/передачі, обмежити використання чутливих персональних даних і на недискримінацію. HRGuru не продає персональні дані й не передає їх для міжконтекстної поведінкової реклами. Напишіть на privacy@hrguru.work з темою «CCPA Request»; ми перевіряємо особу та відповідаємо протягом 45 днів.

9. Наглядові органи

• ЄС/ЄЕЗ: ваш національний наглядовий орган (через EDPB) — edpb.europa.eu
• Молдова: CNPDCP — datepersonale.md · +373 22 820 801
• Україна: Уповноважений з прав людини (Омбудсмен) — ombudsman.gov.ua
• Каліфорнія: California Privacy Protection Agency — cppa.ca.gov

10. Контакти та оновлення

Контролер: Ganna Razheva. Контакт із конфіденційності: privacy@hrguru.work. Уповноважений із захисту даних (DPO): Ganna Razheva.

Ми повідомляємо зареєстрованих користувачів про істотні зміни електронною поштою та публікуємо оновлення на hrguru.work/privacy. Доступно EN, RO, UK та RU; у разі розбіжностей переважну силу має англійська версія.

Потрібна юридична перевірка: заповніть усі поля в [дужках] і забезпечте підтвердження підсумкового тексту кваліфікованим юристом (Молдова/ЄС/Україна) до публікації.