Czy Hero Parser jest dostosowany do wymogów RODO?

Czy Hero Parser jest dostosowany do wymogów RODO?

Krótka odpowiedź: Hero Parser jest zaprojektowany tak, aby wspierać realizację obowiązków związanych z ochroną danych osobowych kandydatów (RODO), m.in. przez funkcje usuwania danych i kontrolę dostępu. Jednocześnie „gotowości na RODO” w rozumieniu prawnym nie zapewnia sama aplikacja - musisz ją połączyć z politykami i procesami Twojej organizacji.

Kto jest administratorem danych

Zwykle administratorem danych kandydatów jest Twój pracodawca lub klient korzystający z Hero Parser do rekrutacji. To Ty decydujesz o celach przetwarzania (np. rekrutacja na konkretne stanowisko), podstawie prawnej, okresie przechowywania oraz treści informacji dla kandydatów.

Hero Parser jako podmiot przetwarzający

W modelu SaaS operator aplikacji (Hero Parser) działa jako podmiot przetwarzający w rozumieniu art. 28 RODO - przetwarza powierzone dane wyłącznie w Twoim imieniu i na Twoją dokumentowaną instrukcję, w zakresie niezbędnym do świadczenia usługi opisanej w umowie głównej (regulaminie).

W umowie powierzenia strona zamawiająca usługę jest administratorem; dostawca oprogramowania jest podmiotem przetwarzającym. To rozróżnienie ma znaczenie praktyczne: administrator odpowiada m.in. za podstawę prawną, klauzulę informacyjną dla kandydata i realizację praw osób, których dane dotyczą, przy czym podmiot przetwarzający wspiera te procesy środkami technicznymi tam, gdzie jest to możliwe.

Umowa powierzenia przetwarzania danych osobowych

Warunki powierzenia są uregulowane w Umowie powierzenia przetwarzania danych osobowych, która stanowi integralną część umowy głównej (regulaminu świadczenia usługi drogą elektroniczną) między Tobą a dostawcą Hero Parser. Zawarcie tej umowy dokumentuje polecenie administratora, żeby dane były przetwarzane przez podmiot przetwarzający w celu realizacji usługi.

W skrócie umowa określa m.in.:

• Przedmiot i cel: przetwarzanie wyłącznie w celu realizacji usługi Hero Parser (np. obsługa rekrutacji, kont użytkowników, danych kandydatów przetwarzanych w aplikacji).
• Kategorie osób, których dane mogą być objęte usługą: m.in. pracownicy i współpracownicy administratora, kandydaci, użytkownicy aplikacji - zgodnie z faktycznym korzystaniem z produktu.
• Obowiązki podmiotu przetwarzającego: stosowanie odpowiednich środków bezpieczeństwa (w tym technicznych i organizacyjnych), poufność osób upoważnionych, pomoc administratorowi w zakresie wykonywania praw osób oraz obowiązków z art. 32-36 RODO tam, gdzie jest to możliwe z uwagi na charakter przetwarzania.
• Naruszenia ochrony danych: zgłaszanie ich administratorowi bez zbędnej zwłoki (zgodnie z treścią umowy), przy czym szczegóły kontaktu mogą być powiązane z polem Kontakt RODO w ustawieniach aplikacji.
• Podpowierzenie (podwykonawcy): możliwość angażowania podwykonawców na zasadach RODO, w tym informowanie administratora o istotnych zmianach oraz prawo sprzeciwu w określonych terminach - szczegóły i lista podwykonawców znajdują się w załącznikach do umowy.
• Transfery poza EOG: wyłącznie przy spełnieniu warunków przewidzianych w RODO i umowie (np. odpowiedni stopień ochrony, standardowe klauzule umowne tam, gdzie mają zastosowanie).

Treść pełnej umowy i załączników (m.in. wykaz podwykonawców, opis środków bezpieczeństwa) otrzymujesz w ramach dokumentacji kontraktowej - w Centrum Pomocy zamieszczamy skrót merytoryczny, a nie pełny tekst prawny.

Co oferuje produkt pod kątem RODO

• Moduł RODO (/gdpr) - pomaga zrealizować prawo do usunięcia danych kandydata na żądanie (usuwanie spójne dla rekordów powiązanych z danym adresem e-mail w Twoim kontekście).
• Anonimizacja kandydatów - ręczna lub automatyczna (wg okresu retencji w ustawieniach zespołu) zamazuje dane osobowe bez pełnego usunięcia profilu; patrz poradnik Anonimizacja kandydatów.
• Zespoły i role - ograniczenie dostępu do rekrutacji i kandydatów wyłącznie do upoważnionych osób.
• Transparentność procesu - działania masowe lub automatyczne (np. scoring) powinny być opisane w dokumentacji i komunikacji z kandydatem po Twojej stronie.

Czego aplikacja sama nie załatwi

• Nie zastąpi przygotowanej przez Ciebie klauzuli informacyjnej dla kandydata ani pełnej oceny skutków (DPIA), jeśli są wymagane - te dokumenty pozostają po stronie administratora i działu prawnego lub DPO. Umowa powierzenia z operatorem Hero Parser jest natomiast częścią dokumentacji umowy z usługodawcą aplikacji.
• Nie decyzuje o okresie archiwizacji dokumentów kadrowych poza systemem.

Przy zapytaniach od regulatora lub kandydata warto mieć procedurę: jak potwierdzacie tożsamość podmiotu danych, jak logujecie żądania i jak korzystacie z modułu RODO przy usuwaniu.

Kontakt RODO w ustawieniach

W Ustawienia → Zespół możesz uzupełnić pole Kontakt RODO - adres e-mail osoby odpowiedzialnej za sprawy ochrony danych w organizacji. Informacja ta jest wykorzystywana w komunikacji z operatorem i przy obsłudze zgłoszeń.

Powiązane poradniki: Jak usunąć dane wybranego kandydata, Anonimizacja kandydatów.