Политика за поверителност

Администратор на личните данни (юридическото лице, което решава защо и как се обработват данните ви), обработвани чрез платформата, е:

Изключение: за HR документи и данни на кандидати за работа, въвеждани от наемателя, администратор е самият наемател, а платформата действа само като обработващ данните — вж. т.3.

[ПОПЪЛНИ В .env: OPERATOR_LEGAL_NAME - точното юридическо име на администратора на лични данни]
[ПОПЪЛНИ В .env: OPERATOR_EIK - ЕИК/Булстат, ако операторът е юридическо лице]
Адрес: гр. София, бул. „Александър Стамболийски“ № 227, ет. 6, ап. 3
Имейл за контакт: igizdarski@gmail.com

В зависимост от начина, по който се ползва платформата, обработваме:

• Данни за регистрация на фирма: име на фирмата, сектор, имейл и парола (хеширана) на лицето, което регистрира акаунта.
• Данни за системата за управление на качеството (СУК): документи, процеси, несъответствия, рискове, одити и свързаните с тях бележки — въвеждани от самата фирма.
• Лични данни на служители на наемателя (само при активно използване на съответните модули): име, имейл, длъжност, трудов договор, план за кариерно развитие, атестации, квалификационни предложения и други HR документи, качени от администратора на фирмата.
• Данни на кандидати за работа (само при активно използване на модула за подбор на персонал от наемателя): име, имейл, телефон, кандидатствана позиция и — при изпратен тест за преценка — отговорите и резултата от него.
• Технически данни: IP адрес (за целите на защитата срещу опити за неоторизиран достъп), данни от бисквитки за сесия (виж т. 6).

• Изпълнение на договора за ползване на платформата — обработката на фирмените и потребителски данни е необходима, за да функционира услугата.
• Легитимен интерес (интерес на бизнеса, преценен като балансиран спрямо вашите права, без да е нужно изрично съгласие) — сигурност на системата (защита срещу неоторизиран достъп, дневник на опитите за вход), поддръжка на резервни копия.
• Законово задължение — когато наемателят въвежда HR документи (трудови договори, атестации) или данни на кандидати за работа, той действа като самостоятелен администратор на тези данни спрямо своите служители/кандидати; платформата действа единствено като обработващ данните (изпълнява обработката от името на наемателя, без сама да решава целите ѝ) от негово име, съгласно приложимото трудово и осигурително законодателство.

При въпроси или искания във връзка с тези данни, служителят или кандидатът следва да се обърне към наемателя (своя работодател или към фирмата, при която е кандидатствал), а не към оператора на платформата.

Платформата е multi-tenant (една инсталация обслужва много отделни фирми едновременно) — данните на всяка фирма са логически изолирани и недостъпни за други фирми. Служителският портал показва на всеки служител единствено собственото му досие (read-only), с технически контроли, които блокират достъп до чужди записи. Достъп до данните на конкретна фирма извън самата фирма имат единствено операторът на платформата (вж. т.1; за техническа поддръжка, чрез именувани администраторски акаунти) и — по възлагане от оператора и след одобрение от фирмата за определен срок — упълномощен консултант.

Достъпът на оператора до данните на фирма е контролиран:

• влизането във фирма се извършва само с посочена причина или номер на заявка, по подразбиране е само за четене и без достъп до модулите с данни на служители (HR досиета, договори, атестации, кандидати, обучения), за ограничено време (до 60 минути);
• пълен достъп (включително запис и HR данни) се получава само с изрично разрешение на фирмата за определен срок (24 часа или 7 дни), което фирмата може да оттегли по всяко време. Изключение са тестови фирми без реални данни на клиент и аварийният достъп при сериозен инцидент със сигурността, който е ограничен до оператори с пълни права, записва се в отделен журнал и се съобщава незабавно на фирмата;
• фирмата получава имейл при влизане на оператора, при заявка за пълен достъп и преди изтичане на дадено разрешение, и вижда журнал на достъпа в раздел „Настройки“;
• всеки достъп и действие на оператора се записва в одитен журнал, а входът в административния панел изисква задължителна двуфакторна автентикация.

За да функционира платформата, отделни технически операции се извършват от следните доставчици:

• AI доставчик (Anthropic) — за автоматично генериране на съдържание на документи и вътрешен AI одит (напр. откриване на противоречия между документи) по искане на потребителя. Изпратеният текст може да напусне ЕС/ЕИП; Anthropic прилага собствени договорни гаранции за трансфер на данни.
• Доставчик на имейл услуги — за изпращане на системни известия (покани за служителския портал, напомняния, известия по договори).
• Доставчик на хостинг инфраструктура — виртуален сървър, на който работи платформата и се съхраняват данните, в дейта център в София (България), в рамките на ЕС. Платформата е достъпна през собствен домейн със защитена (HTTPS) връзка. Обработването на лични данни от хостинг доставчика е уредено в неговите общи условия и политика за поверителност.

Платформата не продава и не споделя лични данни с трети страни за маркетингови цели.

Платформата използва единствено технически необходими бисквитки: бисквитка за сесия (за да остане потребителят влязъл — валидна до 30 дни след последна активност или до изричен изход) и бисквитка за защита от CSRF атаки (защита срещу изпращане на фалшиви заявки от чуждо име). Не се използват бисквитки за проследяване или реклама.

Данните на регистрирана фирма се съхраняват, докато акаунтът е активен, плюс разумен период след прекратяване за целите на архив и възможно възстановяване. HR документи на служители и данни на кандидати за работа се съхраняват съгласно приложимите срокове по трудовото и осигурителното законодателство, определени от самия наемател като администратор на тези конкретни данни. При въпрос за конкретен срок на съхранение — свържете се с igizdarski@gmail.com.

Съобщенията, изпратени чрез бутона „Обратна връзка“ (текст, вид, екран, версия на платформата, име, имейл и роля на подателя), се съхраняват, докато фирмата използва платформата, и се изтриват заедно с данните ѝ. Те са видими за оператора на платформата. Моля, не въвеждайте лични данни в тях.

Оценките с палец (👍/👎) под AI отговорите се съхраняват с функцията, причината и по избор коментар; текстът на самия AI отговор се записва само ако потребителят изрично даде съгласие. Кратката анкета за удовлетвореност (0–10) се показва само на собственика на фирмата и се записва с оценката, по избор коментар и фирмата. Не се оценяват отделни служители.

Гласовете за елементи от роудмапа „Какво предстои“ се записват с фирмата и потребителя, който е гласувал (само собственикът на фирмата и упълномощени от него лица), и се изтриват заедно с данните на фирмата. Други фирми виждат само общия брой гласове и брой фирми, без имена и без идентификация на гласувалите; операторът на платформата вижда броя гласове по фирма. При промяна на статуса на елемент гласувалите получават имейл, който може да бъде изключен от настройките за известия.

Платформата прилага следните технически мерки за сигурност:

• Паролите на всички потребители (фирмени акаунти, служители, консултанти, административен достъп) се съхраняват само в хеширан вид, никога в четим текст; изисква се парола с дължина поне 12 символа.
• Достъпът до вътрешния административен панел на оператора е защитен с индивидуални акаунти по служител, ограничени права по роля и задължителна двуфакторна автентикация (2FA); достъпът на оператора до данните на фирма е с посочена причина, по подразбиране само за четене, със срок и журнал (вж. т.4).
• Всички заявки за въвеждане/промяна на данни са защитени срещу CSRF атаки.
• Входът във всички модули на платформата е защитен срещу автоматизирани опити за отгатване на пароли (rate limiting (ограничение на броя опити за вход в определен период)).
• Връзката към платформата се осъществява през защитен (HTTPS) канал, а бисквитките за сесия са допълнително защитени (HttpOnly, Secure, SameSite).
• Прилагат се стандартни защитни HTTP заглавия срещу често срещани уеб атаки (clickjacking, MIME-sniffing и др.).
• Има ограничение на размера на качваните файлове, за да се предотврати злоупотреба.
• Базата данни се архивира автоматично на дневна база, включително извън локалния сървър.

Съгласно Общия регламент за защита на данните (GDPR), като субект на данни (човекът, чиито лични данни се обработват — т.е. вие) имате право на: достъп до собствените си данни, коригиране на неточни данни, изтриване („право да бъдеш забравен“), ограничаване на обработката, преносимост на данните (да получите данните си в структуриран вид и да ги прехвърлите другаде) и възражение срещу обработка на легитимен интерес. За упражняване на тези права пишете на igizdarski@gmail.com.

Имате право да подадете жалба до Комисията за защита на личните данни (КЗЛД), www.cpdp.bg, ако смятате, че обработката на данните ви нарушава приложимото законодателство.

Платформата използва AI единствено като помощен инструмент за генериране и анализ на съдържание по изрично искане на потребителя (напр. изготвяне на документи, вътрешен одит за противоречия) — AI не взема самостоятелно решения с правни или друг вид значими последици за физически лица, а резултатите винаги подлежат на преглед и одобрение от потребителя.

Тази политика може да бъде актуализирана при промяна в услугата или приложимото законодателство. Съществени промени ще бъдат съобщени на активните потребители.