Polityka prywatności

Polityka prywatności wyjaśnia, jakie dane osobowe zbieramy, w jaki sposób je wykorzystujemy oraz jakie przysługują ci prawa. Dotyczy ona kontaktu z nami w sprawie Kit oraz korzystania z Kit jako posiadacza konta (pracodawcy, rekrutera lub członka zespołu). Niniejsza Polityka prywatności stanowi część naszego Regulaminu.

1. Kim jesteśmy

Kit jest prowadzony przez Ernesta Bursę (jednoosobowa działalność gospodarcza), Dąbrowskiego 96/5b, 60-576 Poznań, Polska. Jesteśmy administratorem danych osobowych opisanych w niniejszej Polityce prywatności.

• E-mail: [email protected]
• Inspektor ochrony danych: Nie wyznaczyliśmy inspektora ochrony danych, ponieważ nie spełniamy przesłanek wymagających jego wyznaczenia zgodnie z art. 37 RODO. W sprawach dotyczących ochrony danych osobowych prosimy o kontakt pod powyższym adresem e-mail.
• Organ nadzorczy: Naszym wiodącym organem nadzorczym jest UODO (Urząd Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warszawa, Polska (uodo.gov.pl).

2. Zakres i nasza podwójna rola

Kit obsługuje dwa typy użytkowników, a nasza rola na gruncie przepisów o ochronie danych osobowych różni się w zależności od typu:

• Pracodawcy, rekruterzy i członkowie zespołu (ty): Tworzysz konto i korzystasz z Kit do zarządzania rekrutacją. Jesteśmy administratorem danych w odniesieniu do danych twojego konta. Niniejsza Polityka prywatności reguluje tę relację.
• Kandydaci i aplikujący: Gdy kandydaci aplikują na twoje ogłoszenia o pracę, ich dane są przetwarzane przez Kit w twoim imieniu. Jesteś administratorem danych kandydatów, a Kit działa jako podmiot przetwarzający. Relację tę reguluje nasza Umowa powierzenia przetwarzania danych, a nie niniejsza Polityka prywatności.

Jeśli chcesz skorzystać z praw dotyczących danych przekazanych w rekrutacji, skontaktuj się z pracodawcą, do którego trafiła twoja aplikacja. To pracodawca jest administratorem twoich danych.

3. Informacje, które zbieramy

3.1 Dane konta

Podczas tworzenia konta zbieramy następujące dane:

• Imię, nazwisko i adres e-mail
• Hasło (przechowywane w formie skrótu kryptograficznego, a nie jako tekst jawny)
• Nazwa organizacji i rola w zespole
• Informacje profilowe, które zdecydujesz się podać
• Preferowany język i ustawienia powiadomień

Przy wysyłaniu zapytania sprzedażowego zbieramy adres e-mail, opis problemu, preferowany termin kontaktu oraz opcjonalnie imię, nazwisko i nazwę firmy.

3.2 Informacje z logowania przez usługi zewnętrzne

Jeśli logujesz się za pośrednictwem usługi zewnętrznej (takiej jak Google lub GitHub OAuth), otrzymujemy od tej usługi twoje imię i nazwisko, adres e-mail oraz zdjęcie profilowe. Nie otrzymujemy ani nie przechowujemy twojego hasła do usługi zewnętrznej.

3.3 Dane o korzystaniu z Usługi

Podczas korzystania z Kit automatycznie zbieramy:

• Dane dziennika (adres IP, typ przeglądarki, informacje o urządzeniu)
• Odwiedzane strony i używane funkcje
• Datę i godzinę wizyt
• Stronę odsyłającą lub źródło wejścia

3.4 Dane płatnicze

Płatności są przetwarzane przez Stripe, Inc. Nie przechowujemy pełnych numerów kart płatniczych. Otrzymujemy jedynie ograniczone informacje, takie jak cztery ostatnie cyfry karty, typ karty i adres rozliczeniowy. Polityka prywatności Stripe reguluje przetwarzanie twoich danych płatniczych przez Stripe.

4. Podstawa prawna przetwarzania

Przetwarzamy twoje dane osobowe na następujących podstawach prawnych wynikających z art. 6 ust. 1 RODO:

5. Udostępnianie danych

Nie sprzedajemy twoich danych osobowych. Udostępniamy twoje dane wyłącznie następującym kategoriom odbiorców:

5.1 Podwykonawcy przetwarzania (podmioty przetwarzające)

Korzystamy z następujących dostawców usług w celu obsługi Kit. Pełna lista wraz z mechanizmami transferu danych jest prowadzona w naszej Umowie powierzenia przetwarzania danych (Załącznik 3).

5.2 Inne przypadki ujawnienia danych

• Wymogi prawne: Gdy jest to wymagane przez prawo, orzeczenie sądu lub organ władzy publicznej
• Przekształcenia biznesowe: W związku z fuzją, przejęciem lub sprzedażą aktywów twoje dane mogą zostać przekazane podmiotowi przejmującemu
• Za twoją zgodą: Gdy wyraźnie wyrażasz zgodę na udostępnienie informacji

6. Pliki cookies i śledzenie

Używamy plików cookies i podobnych technologii na naszej stronie internetowej. Oto co stosujemy:

Niezbędne pliki cookies są konieczne do prawidłowego funkcjonowania Usługi i nie wymagają zgody. Nie wyświetlamy baneru cookies, a Microsoft Clarity nie czeka na zgodę: ładuje się na naszej stronie, w dokumentacji i onboardingu, w aplikacji Kit po zalogowaniu oraz na publicznych stronach kariery i stronach bezpieczeństwa, które prowadzimy dla naszych klientów. Clarity rejestruje, jak wyświetla się każda strona i jak z niej korzystasz: kliknięcia, przewijanie, ruchy myszy, adres strony, dane urządzenia i przeglądarki oraz przybliżoną lokalizację ustaloną na podstawie adresu IP. Tekst stron jest maskowany w nagraniach, z wyjątkiem naszych stron marketingowych, publicznej dokumentacji i publicznych ogłoszeń o pracę. Clarity nie ładuje się na stronach, których adres zawiera link logowania, token lub wyszukiwaną frazę, w portalach kandydatów, badaczy bezpieczeństwa, szkoleń i referencji, podczas płatności ani wtedy, gdy administrator Kit jest zalogowany jako ty. Gdy jesteś zalogowany, oznaczamy twoje nagrania twoim identyfikatorem użytkownika Kit (nigdy adresem e-mail), aby odnaleźć je, gdy ci pomagamy. Polecamy Clarity pozostawić wyłączone przechowywanie danych reklamowych.

Microsoft Ireland Operations Limited działa jako niezależny administrator danych Clarity na podstawie własnych warunków. Microsoft przechowuje te dane w chmurze Azure i może przekazywać je do Microsoft Corporation w Stanach Zjednoczonych na podstawie standardowych klauzul umownych.

Aby zrezygnować z Clarity, zablokuj pliki cookies lub skrypty z clarity.ms w przeglądarce; Kit działa bez nich normalnie. Możesz kontrolować pliki cookies za pośrednictwem ustawień przeglądarki. Wyłączenie niezbędnych plików cookies może uniemożliwić korzystanie z Usługi.

7. Okres przechowywania danych

Przechowujemy twoje dane osobowe tak długo, jak jest to niezbędne do celów opisanych w niniejszej polityce:

• Dane konta: Przez okres istnienia konta. W przypadku usunięcia konta twoje dane osobowe zostaną usunięte w ciągu 30 dni.
• Konta bez opłaconej subskrypcji: Jeżeli konto przez 45 dni nie ma aktywnej płatnej subskrypcji, powiadamiamy właściciela konta, a po upływie kolejnych 14 dni automatycznie usuwamy konto i zawarte w nim dane osobowe, chyba że subskrypcja zostanie przywrócona. Szczegóły znajdziesz w naszym Regulaminie.
• Logi serwera: Przechowywane przez okres do 90 dni w celach bezpieczeństwa i diagnostyki.
• Zapytania sprzedażowe: Przechowywane przez maksymalnie 180 dni. Po utworzeniu konta do danych konta mają zastosowanie okresy podane powyżej.
• Dane płatnicze i rozliczeniowe: Przechowywane przez 7 lat zgodnie z wymogami polskiego prawa podatkowego.
• Korespondencja e-mail: Przechowywana przez okres istnienia konta, a następnie usuwana wraz z kontem.
• Dane analityczne: Microsoft Clarity przechowuje nagrania przez 30 dni. Nagrania oznaczone jako ulubione oraz losowa próbka wybrana przez Microsoft są przechowywane do 9 miesięcy.
• Kopie zapasowe: Kopie zapasowe zawierające twoje dane są przechowywane przez okres do 30 dni po usunięciu danych pierwotnych.

8. Międzynarodowe transfery danych

Główna infrastruktura Kit jest hostowana w Unii Europejskiej (Hetzner Cloud, Norymberga, Niemcy). Podstawowe dane twojego konta są przechowywane i przetwarzane na terytorium UE.

Niektórzy z naszych dostawców mają siedzibę w Stanach Zjednoczonych lub mogą tam przekazywać dane: Stripe, Sentry, Cloudflare, Axiom, Google (Gemini API, które może tymczasowo przechowywać prompty w każdym kraju, w którym Google ma infrastrukturę), TypeSafe AI i Microsoft (Clarity). W przypadku tych transferów opieramy się na:

• Ramach ochrony danych UE-USA (DPF), w przypadku gdy dostawca posiada certyfikat DPF
• Standardowych klauzulach umownych (SCC) przyjętych przez Komisję Europejską (decyzja 2021/914)

Szczegóły mechanizmów transferu dla poszczególnych dostawców znajdują się w naszej Umowie powierzenia przetwarzania danych (Załącznik 3).

9. AI i zautomatyzowane przetwarzanie

Funkcje AI w Kit domyślnie działają na kluczu Google Gemini należącym do Kit (zob. sekcja 5.1). W ustawieniach AI możesz przełączyć je na własny klucz API Gemini, Anthropic lub OpenRouter; embeddingi wyszukiwania zawsze korzystają z Gemini.

• Automatycznie: kontrola spamu i przypisanie komponentu dla każdego nowego zgłoszenia bezpieczeństwa, skan pod kątem prompt injection i klasyfikacja każdego zgłoszenia bezpieczeństwa (zawsze przez TypeSafe AI, także z własnym kluczem), odczyt każdego przesłanego CV, streszczenia e-maili rekrutacyjnych oraz, z dodatkiem Outreach, research potencjalnych klientów, klasyfikacja odpowiedzi i szkice odpowiedzi. Nie ma przełącznika dla poszczególnych funkcji.
• Tylko po skonfigurowaniu lub na prośbę: odczyt własnych pól aplikacji w ogłoszeniach, w których skonfigurujesz takie pola, oraz asystent AI i czat, gdy użytkownik o coś je poprosi.
• Gdy korzystasz z własnego klucza, dane trafiają do wybranego przez ciebie dostawcy na podstawie twojej umowy z nim.
• Kit nie wykorzystuje twoich danych do trenowania modeli AI.
• Żadne wyłącznie zautomatyzowane decyzje wywołujące skutki prawne lub w podobny sposób istotnie wpływające na osoby fizyczne nie są podejmowane bez udziału człowieka.
• Przysługuje ci prawo do zażądania weryfikacji przez człowieka każdej decyzji, która została podjęta na podstawie wyników wygenerowanych przez AI.

9.1 Podłączeni asystenci AI

Możesz podłączyć asystenta AI, takiego jak Claude, ChatGPT czy Claude Code, do swojego konta Kit przez Model Context Protocol (MCP). Wtedy:

• Jakie dane zbieramy: nazwę i adres przekierowania, które asystent rejestruje w Kit, konto i moduły, do których dajesz dostęp na ekranie zgody, wydane przez nas tokeny dostępu oraz datę autoryzacji i ostatniego użycia połączenia. Kit otrzymuje wyłącznie żądania, które asystent wysyła do Kit. Kit nie otrzymuje twoich rozmów z asystentem.
• Do czego ich używamy: do uwierzytelnienia asystenta, wykonania każdego żądania w granicach twojej roli i przyznanych modułów, wyświetlenia podłączonych asystentów w twoich ustawieniach oraz ograniczania liczby żądań, żeby zapobiegać nadużyciom.
• Udostępnianie: Kit przekazuje wynik każdego żądania do podłączonego przez ciebie asystenta. Dostawca asystenta (na przykład Anthropic w przypadku Claude) przetwarza go następnie na podstawie twojej umowy z tym dostawcą i jego polityki prywatności. To ty wybierasz asystenta; Kit go nie wybiera ani nie kontroluje. Danych otrzymanych przez te połączenia nie udostępniamy nikomu poza podmiotami przetwarzającymi wymienionymi w sekcji 5.1.
• Dziennik audytu: gdy asystent użyje narzędzia, które wysyła e-mail lub wiadomość do kogoś spoza twojego konta (kandydata, badacza lub zaproszonej osoby), zapisujemy, które narzędzie zadziałało, twój identyfikator użytkownika i konta, wynik oraz, jeśli narzędzie go poda, zamaskowany adres odbiorcy. Treści wiadomości nigdy nie zapisujemy. Ten dziennik podlega okresowi przechowywania logów serwera z sekcji 7.
• Okres przechowywania: tokeny przechowujemy, dopóki połączenie jest aktywne. Połączenie wygasa, gdy je odwołasz albo po 90 dniach nieużywania, a jego rekordy tokenów usuwamy 30 dni później. Rekordy autoryzacji powstające przy podłączaniu (twój identyfikator użytkownika, asystent, przyznane moduły i data) przechowujemy do usunięcia konta Kit. Rejestracja asystenta (jego nazwa i adres przekierowania) nie zawiera danych osobowych i jest przechowywana, żeby asystent mógł połączyć się ponownie. Dane, które tworzysz lub zmieniasz przez asystenta, są danymi konta i podlegają sekcji 7.

Dane kandydatów zwracane twojemu asystentowi przetwarzamy w twoim imieniu na podstawie naszej Umowy powierzenia przetwarzania danych (zob. sekcja 2). Pytania dotyczące podłączonych asystentów kieruj na dane kontaktowe z sekcji 17.

10. Twoje prawa

Na podstawie RODO, UK GDPR oraz obowiązujących przepisów o ochronie danych osobowych przysługują ci następujące prawa w odniesieniu do twoich danych osobowych:

• Prawo dostępu (art. 15 RODO): Możesz zażądać kopii danych osobowych, które przechowujemy na twój temat.
• Prawo do sprostowania (art. 16 RODO): Możesz poprosić o skorygowanie nieprawidłowych lub niekompletnych danych.
• Prawo do usunięcia danych (art. 17 RODO): Możesz zażądać usunięcia twoich danych osobowych.
• Prawo do ograniczenia przetwarzania (art. 18 RODO): Możesz poprosić o ograniczenie sposobu wykorzystywania twoich danych.
• Prawo do przenoszenia danych (art. 20 RODO): Możesz zażądać przekazania danych w ustrukturyzowanym formacie nadającym się do odczytu maszynowego.
• Prawo do sprzeciwu (art. 21 RODO): Możesz wnieść sprzeciw wobec przetwarzania twoich danych, gdy opiera się ono na prawnie uzasadnionym interesie. Zaprzestaniemy przetwarzania, chyba że wykażemy istnienie ważnych prawnie uzasadnionych podstaw.
• Prawo do wycofania zgody (art. 7 RODO): W przypadku gdy przetwarzanie odbywa się na podstawie zgody, możesz ją wycofać w dowolnym momencie. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.
• Prawo dotyczące zautomatyzowanego podejmowania decyzji (art. 22 RODO): Przysługuje ci prawo do niepodlegania decyzji opierającej się wyłącznie na zautomatyzowanym przetwarzaniu, która wywołuje wobec ciebie skutki prawne lub w podobny sposób istotnie na ciebie wpływa.

Aby skorzystać z któregokolwiek z powyższych praw, skontaktuj się z nami pod adresem [email protected]. Odpowiemy bez zbędnej zwłoki, nie później niż w terminie jednego miesiąca kalendarzowego. Jeżeli twoje żądanie jest złożone, możemy przedłużyć ten termin o kolejne dwa miesiące, o czym cię poinformujemy.

Przysługuje ci również prawo do wniesienia skargi do organu nadzorczego. Dla użytkowników w Polsce organem tym jest UODO (Urząd Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warszawa, Polska.

11. Komunikacja e-mail

Wysyłamy następujące rodzaje wiadomości e-mail:

• Wiadomości transakcyjne (powiadomienia o koncie, alerty bezpieczeństwa, potwierdzenia płatności): Są niezbędne do obsługi twojego konta i nie można zrezygnować z ich otrzymywania.
• Aktualizacje produktu i wiadomości wprowadzające: Możesz zrezygnować z ich otrzymywania w dowolnym momencie, korzystając z linku rezygnacji w każdej wiadomości lub zmieniając preferencje powiadomień w ustawieniach konta. Obsługujemy rezygnację jednym kliknięciem zgodnie z RFC 8058.

12. Bezpieczeństwo danych

Wdrażamy odpowiednie środki techniczne i organizacyjne w celu ochrony twoich danych osobowych, w tym:

• Szyfrowanie danych w trakcie przesyłania (TLS 1.2+) i w stanie spoczynku
• Szyfrowanie wrażliwych pól danych na poziomie aplikacji (Active Record Encryption)
• Cała podstawowa infrastruktura hostowana na terytorium UE (Hetzner Cloud, Norymberga, Niemcy)
• Ruch bazodanowy izolowany w sieci prywatnej
• Regularne skanowanie bezpieczeństwa i audyt zależności
• Kontrola dostępu oparta na rolach i ograniczanie zakresu tokenów API

Żadna metoda transmisji ani przechowywania nie jest całkowicie bezpieczna. Chociaż dokładamy wszelkich starań w celu ochrony twoich danych, nie możemy zagwarantować ich absolutnego bezpieczeństwa.

13. Prywatność dzieci

Kit jest narzędziem biznesowym nieprzeznaczonym do użytku przez dzieci. Nie gromadzimy świadomie danych osobowych osób poniżej 18. roku życia. Jeśli uważasz, że dziecko przekazało nam swoje dane osobowe, prosimy o kontakt, a my je niezwłocznie usuniemy.

14. Informacja CCPA (rezydenci Kalifornii)

Jeśli jesteś rezydentem Kalifornii, kalifornijska ustawa o ochronie prywatności konsumentów (CCPA) zmieniona przez CPRA przyznaje ci dodatkowe prawa:

• Nie sprzedajemy ani nie udostępniamy twoich danych osobowych w rozumieniu CCPA.
• Masz prawo wiedzieć, jakie dane osobowe zbieramy i w jaki sposób je wykorzystujemy.
• Masz prawo zażądać usunięcia swoich danych osobowych.
• Nie możesz być dyskryminowany(-a) z powodu korzystania z przysługujących ci praw do prywatności.

Aby skorzystać z tych praw, skontaktuj się z nami pod adresem [email protected].

15. Dane użytkownika Google

Jeśli połączysz konto Google, Kit uzyskuje dostęp wyłącznie do danych objętych udzielonymi przez ciebie uprawnieniami i wyłącznie w celach opisanych poniżej. To ty decydujesz, które konto Google połączyć oraz z których kalendarzy (jeśli w ogóle) Kit może korzystać.

• Adres e-mail, podstawowe dane profilu i tożsamość OpenID (email, profile, openid): służą do uwierzytelnienia twojej tożsamości oraz do utworzenia lub dopasowania twojego konta w Kit, a także do wyświetlania twojego imienia i nazwiska oraz zdjęcia profilowego w aplikacji.
• Kalendarz Google (calendar): służy do pobrania listy kalendarzy z twojego konta i zapisania ich metadanych (nazwa, strefa czasowa, poziom dostępu); do sprawdzania wolnych i zajętych przedziałów czasu (free/busy), dzięki czemu strony rezerwacji rozmów kwalifikacyjnych proponują wyłącznie terminy, w których faktycznie jesteś dostępny(-a); do subskrybowania powiadomień o zmianach, aby twoja dostępność pozostawała aktualna; oraz, w kalendarzach, w których włączyłeś(-aś) opcję „Zezwól na tworzenie zdarzeń w tym kalendarzu”, do tworzenia, aktualizowania i usuwania wpisu w kalendarzu dotyczącego rozmowy, do której zostałeś(-aś) przypisany(-a). Nie odczytujemy treści twoich zdarzeń w kalendarzu. Wyniki zapytań free/busy służą wyłącznie do wyliczenia dostępnych terminów i nie są przechowywane.
• Google Meet (meetings.space.created, meetings.space.readonly): służą do utworzenia pokoju Google Meet na potrzeby zaplanowanej rozmowy oraz do odczytania danych o tych spotkaniach, w tym wyświetlanych nazw uczestników, godzin dołączenia do spotkania i jego opuszczenia, a także łącznego czasu trwania, dzięki czemu zespoły rekrutacyjne mogą po rozmowie sprawdzić obecność. Jeśli ze spotkania sporządzono transkrypcję, pobieramy przez API Meet również jej tekst i zapisujemy go w postaci zaszyfrowanej przy danej rozmowie, dzięki czemu zespół rekrutacyjny może sprawdzić, co zostało powiedziane. Nie uzyskujemy dostępu do Google Drive i nie pobieramy nagrań spotkań ani samego dokumentu transkrypcji.

Ograniczone wykorzystanie (Limited Use). Wykorzystanie informacji otrzymanych z zakresów uprawnień Google Workspace jest zgodne z Google User Data Policy, w tym z Limited Use requirements.

W szczególności dane uzyskane za pośrednictwem interfejsów API Google:

• nigdy nie są sprzedawane ani wykorzystywane do reklam lub kierowania reklam;
• nigdy nie są przekazywane, sprzedawane ani wykorzystywane do tworzenia, trenowania ani ulepszania jakichkolwiek modeli uczenia maszynowego lub sztucznej inteligencji, w tym modeli uogólnionych lub niespersonalizowanych (zob. także sekcja 9);
• nigdy nie są odczytywane przez człowieka, z wyjątkiem sytuacji, gdy wyraźnie nas o to poprosisz, gdy jest to niezbędne ze względów bezpieczeństwa lub w celu zbadania nadużyć, albo gdy wymagają tego przepisy prawa;
• są wykorzystywane wyłącznie do świadczenia lub ulepszania funkcji opisanych powyżej i nie są przekazywane podmiotom trzecim w żadnym innym celu.

Konto Google możesz odłączyć w dowolnym momencie na stronie połączonych kont w Kit albo cofnąć dostęp aplikacji Kit bezpośrednio pod adresem myaccount.google.com/permissions. Odłączenie konta powoduje usunięcie zapisanych tokenów OAuth oraz metadanych kalendarzy, które Kit przechowywał dla tego konta. Aby zażądać usunięcia danych o spotkaniach Meet lub innych przechowywanych przez nas danych pochodzących z Google, skontaktuj się z nami pod adresem [email protected], a usuniemy je w sposób opisany w sekcji 7.

16. Zmiany Polityki prywatności

Możemy okresowo aktualizować niniejszą Politykę prywatności. W przypadku istotnych zmian powiadomimy cię drogą elektroniczną z co najmniej 30-dniowym wyprzedzeniem przed wejściem zmian w życie. W przypadku zmian dotyczących podstawy prawnej przetwarzania uzyskamy twoją zgodę tam, gdzie jest to wymagane.

17. Kontakt

W razie pytań dotyczących niniejszej Polityki prywatności lub naszych praktyk w zakresie przetwarzania danych:

• E-mail: [email protected]
• Adres: Ernest Bursa, Dąbrowskiego 96/5b, 60-576 Poznań, Polska

Przysługuje ci również prawo do wniesienia skargi do właściwego organu ochrony danych osobowych, jeśli uważasz, że nie przetwarzamy twoich danych osobowych w sposób prawidłowy.