Polityka prywatności

Polityka Prywatności serwisu Łowca Pracy (lowcapracy.pl)

Wersja 1.1 · obowiązuje od 14 sierpnia 2026 r. · poprzednia wersja: 1.0 z 30 maja 2026 r. Historia zmian znajduje się w §13.

1. Administrator danych

Administratorem Twoich danych osobowych jest Jakub Tomas, osoba fizyczna prowadząca działalność nierejestrowaną w rozumieniu art. 5 ust. 1 ustawy Prawo przedsiębiorców, prowadząca serwis Łowca Pracy (lowcapracy.pl).

Adres do korespondencji: dostępny na żądanie przez e-mail kontaktowy. E-mail kontaktowy: [email protected].

Działalność nierejestrowana nie posiada numerów NIP ani REGON jako przedsiębiorca. Jeżeli identyfikacja podatkowa jest potrzebna, stosuje się numer PESEL.

Inspektor Ochrony Danych nie został powołany, ponieważ przy tej skali przetwarzania nie ma takiego obowiązku. W sprawach ochrony danych prosimy o kontakt pod adresem [email protected].

2. Jakie dane przetwarzamy

Zakres wynika z faktycznego działania serwisu.

Dane konta

  • Przykłady: adres e-mail będący loginem, nazwa, hash hasła, identyfikatory OAuth (Google).
  • Źródło: rejestracja i logowanie.

Profil zawodowy

  • Przykłady: treść CV lub profilu LinkedIn, stanowiska, technologie, umiejętności, doświadczenie, preferowane lokalizacje, oczekiwania finansowe, podsumowanie.
  • Źródło: dane wgrane lub wklejone przez Ciebie.

Ustawienia

  • Przykłady: słowa kluczowe wyszukiwania, intencja wyszukiwania, konfiguracja powiadomień.
  • Sekrety techniczne: hasło SMTP przechowujemy w postaci zaszyfrowanej (AES-GCM).
  • Źródło: dane podane przez Ciebie.

Dopasowania i aktywność

  • Przykłady: dopasowane oferty, oferty zapisane i odrzucone, historia aplikacji, logi uruchomień aktualizacji, zużycie AI, zagregowane kliknięcia w linki do portali źródłowych (liczba kliknięć w podziale na portal, bez zapisu konkretnej oferty).
  • Źródło: system.

Logi techniczne i bezpieczeństwa

  • Przykłady: adres IP rejestracji, identyfikator urządzenia (UUID zapisany w pamięci lokalnej przeglądarki), identyfikator żądania, zdarzenia audytowe, logi błędów, zapis akceptacji Regulaminu i Polityki Prywatności wraz z numerem wersji obowiązującej w chwili akceptacji.
  • Źródło: dane zbierane automatycznie.

Kontakt i live chat

  • Przykłady: imię, adres e-mail, treść wiadomości z formularza kontaktowego lub live chatu, temat sprawy, adres strony, z której rozpoczęto rozmowę, skrót adresu IP używany do ochrony antyspamowej, a także pliki załączone przez Ciebie w czacie, na przykład zrzuty ekranu i dokumenty PDF.
  • Źródło: formularz kontaktowy albo widget live chat. Po zalogowaniu widget może automatycznie przekazać do rozmowy imię i adres e-mail z konta, aby nie trzeba było wpisywać ich ponownie.
  • Ważne: rozmowa z live chatu, obejmująca treść, imię, adres e-mail i załączniki, jest przekazywana do naszego wewnętrznego kanału obsługi w Microsoft Teams oraz na skrzynkę wsparcia. Tam odpowiada konsultant. Nie umieszczaj w czacie haseł ani danych szczególnych kategorii. Czat nie służy do przesyłania CV.

Nie zbieramy świadomie danych szczególnych kategorii, o których mowa w art. 9 RODO. Prosimy nie umieszczać ich w profilu ani w CV.

3. Cele i podstawy prawne (art. 6 RODO)

  • Świadczenie usługi, obejmujące konto, dopasowywanie ofert i powiadomienia: art. 6 ust. 1 lit. b (umowa).
  • Parsowanie CV lub profilu LinkedIn oraz dopasowanie: art. 6 ust. 1 lit. b, a dla opcjonalnej oceny AI art. 6 ust. 1 lit. a (zgoda, którą można wycofać, wyłączając funkcję w ustawieniach).
  • Bezpieczeństwo, zapobieganie nadużyciom, audyt, ograniczanie liczby żądań oraz ochrona przed zakładaniem wielu kont: art. 6 ust. 1 lit. f (uzasadniony interes).
  • Analityka ruchu wychodzącego do portali źródłowych: art. 6 ust. 1 lit. f (uzasadniony interes polegający na mierzeniu zaangażowania użytkowników, raportowaniu jakości ruchu i prowadzeniu rozmów o integracjach z portalami).
  • Rozliczenia i płatności: art. 6 ust. 1 lit. b oraz lit. c.
  • Obsługa zgłoszeń i live chatu: art. 6 ust. 1 lit. b albo lit. f (odpowiedź na pytanie, utrzymanie ciągłości rozmowy, ochrona przed spamem).
  • Wykazanie akceptacji Regulaminu i Polityki Prywatności: art. 6 ust. 1 lit. c oraz lit. f (rozliczalność i obrona przed roszczeniami).
  • Marketing własny, jeżeli będzie prowadzony: art. 6 ust. 1 lit. a albo lit. f, z możliwością wniesienia sprzeciwu lub wycofania zgody w każdej chwili.

4. Dane ogłoszeń o pracę

Indeksujemy publicznie dostępne ogłoszenia z portali pracy i dopasowujemy je do Twojego profilu, a następnie odsyłamy Cię do ogłoszenia na oryginalnym portalu, gdzie składasz aplikację. Przechowujemy skrócone fragmenty opisów oraz linki i nie republikujemy pełnych treści.

Dane kontaktowe osób prywatnych, czyli numery telefonów i adresy e-mail, pochodzące z ogłoszeń lokalnych oraz z tablic zleceń i serwisów freelance, usuwamy automatycznie przed zapisem. W celu kontaktu z ogłoszeniodawcą zawsze odsyłamy do oryginalnego ogłoszenia.

5. Sztuczna inteligencja (LLM)

Do parsowania CV i do opcjonalnej oceny dopasowania korzystamy z dostawcy modelu językowego, którym jest OpenAI, L.L.C. z siedzibą w USA. Do dostawcy trafia zredagowana treść profilu lub CV, z której przed wysłaniem usuwamy adresy e-mail, numery telefonów i adresy URL, oraz fragmenty ogłoszeń. Nie wysyłamy całego CV w postaci surowej. Szczegóły znajdują się w §7.

Ocenę AI można wyłączyć w ustawieniach. Zgodnie z warunkami API OpenAI dane przesyłane do modelu nie są wykorzystywane do trenowania ani ulepszania modelu.

Live chat nie korzysta z modelu językowego. Odpowiada w nim mechanizm regułowy oparty na gotowych odpowiedziach, a rozmowę przejmuje konsultant.

6. Okresy przechowywania

  • Konto i profil: do czasu usunięcia konta przez Ciebie.
  • Oferty nieaktywne i niedopasowane: 3 dni. Oferty lokalne: 14 dni.
  • Dopasowane oferty, wobec których nie podjęto żadnej aktywności, czyli niezapisane, bez aplikacji i bez notatki: 180 dni od dopasowania. Oferty zapisane, oferty z wysłaną aplikacją oraz oferty z notatką pozostają do czasu usunięcia konta.
  • Logi operacyjne, obejmujące uruchomienia aktualizacji, powiadomienia i digesty: 400 dni.
  • Zagregowane kliknięcia do portali źródłowych w podziale na użytkownika i portal: do czasu usunięcia konta. Dzienne statystyki pozbawione identyfikatora użytkownika możemy przechowywać dłużej jako dane zbiorcze.
  • Ewidencja zużycia AI: 400 dni. Po usunięciu konta jest anonimizowana, a nie usuwana, ponieważ zanonimizowane dane zbiorcze służą do rozliczeń.
  • Techniczne dane sesji czatu: zamknięte sesje usuwamy automatycznie po krótkim, skonfigurowanym czasie, domyślnie po około 2 godzinach.
  • Pliki załączone w live chacie: kopię roboczą na serwerze czatu usuwamy przy zamknięciu sesji, a pliki osierocone najpóźniej po 14 dniach. Kopia załącznika trafia jednak do kanału Microsoft Teams i powiązanego magazynu SharePoint, gdzie pozostaje do czasu ręcznego usunięcia przez nas.
  • Zgłoszenia kontaktowe i transkrypty live chatu zapisane w skrzynce wsparcia oraz w kanale Microsoft Teams: do czasu obsługi zgłoszenia albo do wcześniejszego żądania usunięcia, o ile nie musimy zachować danych w celu obrony przed roszczeniami. Kanał Teams nie ma automatycznej retencji, więc rozmowy usuwamy ręcznie na Twoje żądanie.
  • Dziennik audytowy, w tym zapis akceptacji Regulaminu i Polityki Prywatności: 1095 dni, czyli około 3 lata, na potrzeby ewentualnych roszczeń.

Po upływie tych okresów dane są usuwane albo anonimizowane przez automatyczne zadania retencyjne.

7. Odbiorcy i podmioty przetwarzające

Korzystamy z następujących podmiotów przetwarzających.

Mikrus (hosting VPS)

  • Rola i cel: hosting serwera, na którym działa aplikacja i baza danych.
  • Dane: wszystkie dane aplikacji przechowywane w bazie, w tym konto, profil i dopasowane oferty.
  • Lokalizacja: Polska (EOG).
  • Transfer poza EOG: nie.

OVH

  • Rola i cel: serwer SMTP do wysyłki wiadomości e-mail oraz obsługa domeny.
  • Dane: treść wysyłanych wiadomości, czyli powiadomień i digestów, oraz adresy odbiorców.
  • Lokalizacja: Unia Europejska (EOG).
  • Transfer poza EOG: nie.

Cloudflare, Inc.

  • Rola i cel: warstwa brzegowa, ochrona przed atakami DDoS, reverse proxy.
  • Dane: metadane ruchu, w tym adres IP i nagłówki. Cloudflare nie otrzymuje treści aplikacji, ponieważ połączenie jest zabezpieczone TLS end-to-end.
  • Lokalizacja: USA (sieć anycast).
  • Transfer poza EOG: tak, na podstawie umowy powierzenia i standardowych klauzul umownych.

Stripe Payments Europe, Ltd.

  • Rola i cel: płatności i subskrypcje.
  • Dane: adres e-mail, identyfikator klienta, metadane płatności. Pełne dane karty płatniczej nigdy nie docierają do nas; są przetwarzane po stronie Stripe zgodnie ze standardem PCI DSS.
  • Lokalizacja: Irlandia oraz USA.
  • Transfer poza EOG: tak, na podstawie umowy powierzenia i standardowych klauzul umownych.

Microsoft Ireland Operations Limited (Microsoft 365 i Teams)

  • Rola i cel: obsługa zgłoszeń z live chatu. Rozmowa jest przekazywana do naszego wewnętrznego kanału Microsoft Teams, w którym odpowiada konsultant, a załączniki trafiają do powiązanego magazynu SharePoint lub OneDrive.
  • Dane: imię, adres e-mail, treść rozmowy, temat, adres strony, z której rozpoczęto rozmowę, oraz pliki załączone przez Ciebie w czacie.
  • Lokalizacja: Unia Europejska w zakresie danych Microsoft 365 oraz USA, ponieważ usługa Azure Bot Service pośrednicząca w dostarczaniu wiadomości działa globalnie.
  • Transfer poza EOG: możliwy, na podstawie Microsoft Products and Services Data Protection Addendum oraz standardowych klauzul umownych.

OpenAI, L.L.C.

  • Rola i cel: parsowanie CV lub profilu LinkedIn oraz opcjonalna ocena ogłoszeń.
  • Dane: treść CV lub profilu po usunięciu danych kontaktowych, czyli adresów e-mail, numerów telefonów i adresów URL, oraz opisy ogłoszeń.
  • Lokalizacja: USA.
  • Transfer poza EOG: tak, na podstawie umowy powierzenia i standardowych klauzul umownych.
  • Trenowanie modeli: dane przesyłane przez API nie są używane do trenowania.

Z każdym z tych podmiotów zawarta jest umowa powierzenia przetwarzania danych zgodnie z art. 28 RODO.

8. Transfer poza EOG

OpenAI, Cloudflare, Stripe oraz Microsoft w zakresie Teams i Azure Bot Service mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym. Transfer odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską, a w przypadku Stripe dodatkowo na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony w zakresie objętym umową powierzenia.

9. Twoje prawa

Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, wniesienia sprzeciwu oraz wycofania zgody. W aplikacji udostępniamy:

  • eksport danych w Ustawieniach, w zakładce Konto, w formacie JSON,
  • usunięcie konta w Ustawieniach, w zakładce Konto. Usunięcie konta kasuje dane użytkownika i anonimizuje ewidencję zużycia AI.

Masz też prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).

10. Bezpieczeństwo

Stosujemy szyfrowanie transmisji (HTTPS), szyfrowanie sekretów w spoczynku (AES-GCM, z kluczem odrębnym od klucza podpisu sesji), ograniczanie liczby żądań, kontrolę dostępu administracyjnego, dziennik audytowy oraz minimalizację danych przed wysłaniem do modelu językowego, polegającą na usunięciu danych kontaktowych z CV.

11. Pliki cookies i pamięć przeglądarki

11.1. Używamy wyłącznie plików cookies niezbędnych do działania serwisu, to jest cookie sesji oraz cookie zabezpieczającego przed atakami CSRF. Nie stosujemy plików cookies do celów analitycznych ani marketingowych.

11.2. Poza plikami cookies korzystamy z pamięci lokalnej przeglądarki (localStorage), w której zapisujemy identyfikator urządzenia używany do ochrony przed zakładaniem wielu kont, informację o zamknięciu komunikatu o plikach cookies oraz wybrane preferencje interfejsu, na przykład język. Dane te możesz w każdej chwili usunąć, czyszcząc dane witryny w przeglądarce.

12. Zmiany

O istotnych zmianach Polityki Prywatności poinformujemy w serwisie albo e-mailem, z wyprzedzeniem co najmniej 14 dni.

13. Historia wersji

  • Wersja 1.1 — 14 sierpnia 2026 r. Dodano opis pamięci lokalnej przeglądarki i preferencji interfejsu (§11.2). Dodano zapis akceptacji Regulaminu i Polityki Prywatności jako kategorię danych oraz odrębną podstawę prawną (§2, §3). Wprost wskazano, że live chat nie korzysta z modelu językowego (§5). Ujednolicono terminologię i sformułowania na neutralne rodzajowo.
  • Wersja 1.0 — 30 maja 2026 r. Pierwsza wersja Polityki Prywatności.