1. Kto odpowiada za Twoje dane
Administratorem Twoich danych osobowych jest operator serwisu MySkillsSpace. Jego pełne dane identyfikacyjne, adres siedziby i numery rejestrowe są opublikowane na stronie Kontakt, która stanowi część tej informacji.
W każdej sprawie dotyczącej tej informacji oraz w celu skorzystania z praw opisanych w punkcie 11 skorzystaj z formularza kontaktowego. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania żądania. Jeśli sprawa jest złożona, poinformujemy Cię o tym w tym terminie i możemy przedłużyć go o kolejne dwa miesiące.
Nie wyznaczyliśmy inspektora ochrony danych, ponieważ opisane tu przetwarzanie nie spełnia przesłanek z art. 37 ust. 1 RODO. Jeśli to się zmieni, jego dane kontaktowe zostaną podane w tym miejscu.
2. Czego dotyczy ta informacja
Niniejsza informacja obejmuje serwis MySkillsSpace i strefę konta za nim. Opisuje usługę tak, jak rzeczywiście działa dziś: specjaliści publikują profil i wycenione usługi, samodzielnie lub jako zespół; każdy może przeglądać specjalistów, usługi i zespoły; zalogowane firmy mogą zapisywać profile, wysyłać wiadomości i zaproszenia rekrutacyjne, prowadzić proces rekrutacyjny i prosić specjalistę o wykonanie sprawdzenia umiejętności.
Nie ma tu tablicy ofert pracy, katalogu pracodawców ani narzędzi płacowych, chyba że widzisz te sekcje w interfejsie; domyślnie są wyłączone. Nie ma płatności, reklam, pozycji sponsorowanych ani automatycznych decyzji dotyczących Ciebie.
3. Jakie dane zbieramy
Dane konta, które musisz podać, aby je założyć: adres e-mail, imię i nazwisko, hasło (przechowywane wyłącznie jako skrót bcrypt, nigdy w postaci czytelnej), wybraną rolę i język interfejsu. Bez nich konto nie może powstać.
Dane profilu i oferty, w całości nieobowiązkowe i w całości napisane przez Ciebie: nagłówek, podsumowanie, miasto i kraj, umiejętności, języki, historia zatrudnienia z nazwami pracodawców i datami, wykształcenie, certyfikaty, osiągnięcia, linki do portfolio, dostępność, oczekiwania finansowe oraz publikowane usługi z opisem, ceną i adresem kontaktowym, który zdecydujesz się pokazać. To Ty decydujesz, co i komu jest widoczne.
Pliki, które wgrywasz: CV i inne dokumenty, awatar oraz zdjęcie w tle. Pliki są sprawdzane pod kątem zgodności z deklarowanym typem i przechowywane na własnym serwerze serwisu, a nie u zewnętrznego dostawcy przestrzeni dyskowej.
Dane o aktywności powstające podczas korzystania z usługi: rozmowy i ich wiadomości, zaproszenia, powiadomienia oraz włączone dla nich subskrypcje powiadomień push w przeglądarce, zapisane wyszukiwania, zapisane profile i usługi, a w przypadku zalogowanych firm zapis, że profil Skills First został im odsłonięty. Zespoły, które tworzysz lub do których dołączasz: Twoje członkostwo, rola w zespole oraz związane z nim zaproszenia i prośby o dołączenie. Procesy rekrutacyjne, w których uczestniczysz: ich etapy, decyzje i dziennik aktywności. Sprawdzenia umiejętności, które wykonujesz: odpowiedzi, wyniki i rezultaty wraz z technicznymi zdarzeniami sesji (rozpoczęcie, przesłanie, zmiany fokusu i połączenia, czas), przechowywanymi jako neutralny zapis przebiegu sesji. Gdy treść napisana przez użytkownika jest wyświetlana w innym języku, tłumaczenie tego tekstu jest zapisywane, aby nie trzeba było tworzyć go ponownie.
Dane techniczne zapisywane przez serwer: adres IP, identyfikator przeglądarki, czas i wynik żądania w logach serwera; adres IP i identyfikator przeglądarki dołączone do zapisu zgody, aby można ją było wykazać; oraz wpisy audytowe dla działań istotnych dla bezpieczeństwa, takich jak logowanie, zmiana hasła, usunięcie konta i decyzje administracyjne.
Dane o korzystaniu z serwisu, wyłącznie jeśli zgodzisz się na analitykę: przeglądane strony, podejmowane działania, dane techniczne przeglądarki i urządzenia, przybliżona lokalizacja wynikająca z adresu IP oraz, gdy jesteś zalogowany, identyfikator konta i rola. Zbiera je PostHog na nasze polecenie i nie służą do wyświetlania reklam.
4. Po co ich używamy i na jakiej podstawie prawnej
Aby świadczyć usługę, o którą prosisz: prowadzenie konta, publikowanie profilu i usług, wyszukiwanie i przeglądanie, wiadomości, zaproszenia, powiadomienia i zapisane elementy. Podstawa prawna: wykonanie umowy, art. 6 ust. 1 lit. b RODO. Bez danych konta wskazanych w punkcie 3 nie możemy świadczyć usługi.
Aby serwis był bezpieczny i działał: ograniczanie liczby żądań, przeciwdziałanie nadużyciom, logi serwera i audytu oraz wyjaśnianie incydentów. Podstawa prawna: nasz prawnie uzasadniony interes w tym, by serwis nie był nadużywany, art. 6 ust. 1 lit. f RODO.
Aby moderować publikowane treści i egzekwować Regulamin, w tym ograniczać lub usuwać treści i zawieszać konta oraz informować osobę, której to dotyczy, o powodach. Podstawa prawna: nasz prawnie uzasadniony interes w zgodnym z prawem funkcjonowaniu platformy oraz, gdy przepis tego wymaga, obowiązek prawny, art. 6 ust. 1 lit. f i lit. c RODO.
Aby odpowiadać na wiadomości z formularza kontaktowego i rozpatrywać reklamacje. Podstawa prawna: nasz prawnie uzasadniony interes w odpowiadaniu osobom, które do nas piszą, art. 6 ust. 1 lit. f RODO.
Aby wysyłać informacje handlowe pocztą elektroniczną, jeśli osobno się na to zapiszesz. Podstawa prawna: Twoja zgoda, art. 6 ust. 1 lit. a RODO w związku z art. 398 Prawa komunikacji elektronicznej. Możesz ją wycofać w każdej chwili linkiem do wypisu, co nie wpływa na wysyłki sprzed wycofania.
Aby zrozumieć, jak używany jest serwis, gdy zgodzisz się na analitykę: które strony są otwierane, jakie działania są podejmowane, typ urządzenia i przeglądarki oraz przybliżona lokalizacja wynikająca z adresu IP. Robimy to z PostHog. Podstawa prawna: Twoja zgoda, art. 6 ust. 1 lit. a RODO w związku z art. 399 Prawa komunikacji elektronicznej. Możesz ją wycofać w każdej chwili z informacji o plikach cookie, co nie wpływa na dane zapisane wcześniej.
5. Co widzą inni
Widoczność profilu ustawiasz sam: publiczny, tylko dla zalogowanych, tylko dla zalogowanych firm, z ukrytą tożsamością albo prywatny. Ustawienie jest stosowane przez serwer na każdej ścieżce, która może zwrócić profil, a nie tylko ukrywane w interfejsie; profil, który nie jest publiczny, nie zostanie wydany osobie nieuprawnionej.
Tryb ukrytej tożsamości ukrywa imię i nazwisko, zdjęcie, pracodawców, dane kontaktowe, linki, oczekiwania płacowe i adres profilu, a Twoją lokalizację i lokalizację każdego stanowiska sprowadza co najwyżej do kraju. W napisanych przez Ciebie tekstach serwer zastępuje też imię i nazwisko, każdy adres e-mail, numer telefonu i każdy adres internetowy, zanim strona zostanie wysłana. To wybór sposobu wyświetlania, a nie gwarancja braku możliwości powiązania: to, co piszesz o sobie, nadal może Cię zidentyfikować, jeśli jest wystarczająco charakterystyczne, na przykład pracodawca wymieniony w opisie albo wąsko opisana usługa. Kontrola prywatności w ustawieniach wymienia, co znalazła w Twoich tekstach; traktuj tryb ukrytej tożsamości jako pokazywanie pracy bez nazwiska, a nie jako brak możliwości ustalenia tożsamości.
Dane kontaktowe i pliki CV nigdy nie są pokazywane osobom niezalogowanym. Widzą je wyłącznie zalogowane firmy i administratorzy, i tylko jeśli sam je włączysz. Twój publiczny profil trafia do wyszukiwarek tylko wtedy, gdy włączysz indeksowanie; domyślnie jest ono wyłączone.
6. Jak układane są wyniki i czym jest procent dopasowania
Wyniki wyszukiwania są układane według kryterium wybranego przez odwiedzającego: domyślnie od najnowszych, albo według ceny, albo według deklarowanej dostępności. Nikt nie może zapłacić za wyższą pozycję, nie ma wyników promowanych ani sponsorowanych.
Procent pokazywany przy usłudze to proste, stałe wyliczenie na podstawie informacji, które sam opublikowałeś: kompletności profilu, obecności umiejętności, podanej ceny i dostępności. To arytmetyka, a nie sztuczna inteligencja, nie zmienia kolejności wyników i nie tworzy żadnej decyzji o Tobie. Nie prowadzimy profilowania w rozumieniu art. 22 RODO ani nie podejmujemy automatycznie decyzji wywołujących skutki prawne lub podobnie istotne.
7. Kto jeszcze otrzymuje dane
Inni użytkownicy, ale tylko w granicach, które sam wyznaczysz: zgodnie z ustawieniem widoczności, w ramach rozmów, w których bierzesz udział, oraz zaproszeń, które otrzymujesz. Administratorzy serwisu mają dostęp do danych konta i treści w zakresie niezbędnym do moderacji i wsparcia.
Podmioty przetwarzające na nasze polecenie: cyber_Folks S.A., które hostuje serwer serwisu; Resend, który wysyła wiadomości systemowe, takie jak reset hasła czy link weryfikacyjny; Cloudflare, Inc., które obsługuje DNS domeny, stoi przed serwisem jako reverse proxy, więc żądania przez nie przechodzą, oraz udostępnia magazyn obiektów (Cloudflare R2), w którym przechowujemy zaszyfrowane kopie zapasowe poza serwerem; oraz PostHog, Inc., które świadczy analitykę produktu, wyłącznie po Twojej zgodzie. Żadna sieć reklamowa, operator płatności ani dostawca sztucznej inteligencji nie otrzymuje Twoich danych, ponieważ serwis z żadnego z nich nie korzysta.
Google jest odbiorcą w dwóch sytuacjach. Jeśli logujesz się przez Google, to Google obsługuje logowanie i przekazuje nam Twój adres e-mail, imię i nazwisko oraz zdjęcie profilowe. Jeśli inny użytkownik założył konto w ten sposób, jego zdjęcie serwuje Google, więc Twoja przeglądarka łączy się z Google, aby je wyświetlić. Niezależnie od tego otwarcie mapy pobiera kafelki z OpenStreetMap, które otrzymuje Twój adres IP. Podpowiedzi miast są wyszukiwane w naszej własnej bazie, więc wpisywane zapytania nie trafiają do zewnętrznego dostawcy geokodowania.
Jeśli zgodzisz się na analitykę, Twoja przeglądarka wysyła zdarzenia o korzystaniu z serwisu na nasz własny adres, a my przekazujemy je do europejskiej chmury PostHog. PostHog widzi wtedy odwiedzane strony, podejmowane działania, adres IP, informacje o przeglądarce i urządzeniu oraz losowy identyfikator. Jeśli jesteś zalogowany, dołączamy identyfikator konta i rolę, nie adres e-mail ani imię i nazwisko. PostHog nie otrzymuje treści wiadomości, haseł ani wgranych plików. Możesz to w każdej chwili wyłączyć w informacji o plikach cookie; wtedy przestajemy wysyłać zdarzenia i polecamy PostHog zapomnieć identyfikator używany w tej przeglądarce.
8. Przekazywanie poza Europejski Obszar Gospodarczy
Serwis, jego baza danych i wgrane pliki znajdują się na serwerze w Polsce. Zaszyfrowane kopie zapasowe przechowujemy w zasobniku Cloudflare R2 utworzonym z ograniczeniem jurysdykcji do Unii Europejskiej, więc pozostają w centrach danych na terenie UE. Zdarzenia analityczne, na które wyraziłeś zgodę, są przetwarzane w chmurze PostHog w Unii Europejskiej. Cloudflare i Resend korzystają z infrastruktury rozproszonej globalnie, a Google oraz PostHog, Inc. mają siedzibę poza Europejskim Obszarem Gospodarczym, więc część przetwarzania po ich stronie może odbywać się poza EOG.
W takim przypadku przekazanie opiera się na zabezpieczeniach przewidzianych w umowie z danym dostawcą, takich jak decyzja o adekwatności, certyfikacja albo standardowe klauzule umowne zatwierdzone przez Komisję Europejską. Możesz zapytać przez formularz kontaktowy, które z nich dotyczy konkretnego dostawcy, a my to wskażemy.
9. Jak długo przechowujemy dane
Dane konta, profilu, oferty i pliki: tak długo, jak istnieje konto. Po usunięciu konta rekord konta i cała zawartość profilu są natychmiast anonimizowane, wgrane pliki są kasowane z serwera, a historia zatrudnienia, opublikowane usługi, dokumenty i zapisane elementy są usuwane; wszystkie sesje zostają zakończone. Pozostaje zanonimizowany, pusty rekord konta, aby nie rozsypały się rozmowy i zapisy innych osób; nie zawiera on danych, które Cię identyfikują.
Wiadomości wysłane przez Ciebie do innej osoby pozostają w jej rozmowie także po usunięciu Twojego konta, przypisane do zanonimizowanego konta. Są one zapisem tej osoby w takim samym stopniu jak Twoim i dlatego nie znikają razem z profilem.
Logi serwera i audytu oraz zapisy zgód: przechowywane ze względów bezpieczeństwa i rozliczalności. Zapisy zgód przechowujemy tak długo, jak mogą być potrzebne do wykazania zgody i obrony przed roszczeniami; wpisy audytowe dotyczące działań na koncie przechowujemy z tego samego powodu.
Wiadomości z formularza kontaktowego: tak długo, jak to potrzebne do załatwienia sprawy i ewentualnych następstw.
Kopie zapasowe: codziennie na serwerze wykonywana jest kopia bazy danych, a 14 najnowszych kopii jest tam przechowywanych. Raz dziennie najnowsza kopia wraz z archiwum wgranych plików jest szyfrowana i wysyłana do magazynu poza serwerem opisanego w punktach 7 i 8, gdzie przechowujemy ostatnie 14 kopii dziennych, 4 tygodniowe i 6 miesięcznych; starsze są usuwane automatycznie. Kopia zapasowa zawiera wszystko, co w danym momencie znajduje się w bazie danych i magazynie plików, w tym dane kont usuniętych później, dlatego usunięte dane mogą pozostawać w kopii zapasowej do sześciu miesięcy, zanim ostatnia zawierająca je kopia zostanie usunięta. Kopie zapasowe służą wyłącznie do przywrócenia serwisu po awarii; nie odtwarzamy kopii zapasowej po to, by przywrócić usunięte dane.
10. Jak chronione są dane
Hasła przechowujemy wyłącznie jako skróty bcrypt. Ruch jest szyfrowany protokołem TLS. Sesje opierają się na krótko żyjących tokenach dostępu i tokenie odświeżania w ciasteczku niedostępnym dla JavaScriptu; wylogowanie lub zmiana hasła unieważnia tokeny natychmiast, zamiast czekać, aż wygasną.
Dostęp do danych innego użytkownika jest odmawiany przez serwer na każdej ścieżce, wgrywane pliki są sprawdzane pod kątem zgodności z deklarowanym typem, a liczba żądań jest ograniczana. Działania administracyjne są zapisywane w logu audytowym.
Żaden system nie jest w pełni bezpieczny i nie twierdzimy inaczej. Jeśli dojdzie do naruszenia, które może powodować ryzyko naruszenia Twoich praw i wolności, zgłosimy je organowi nadzorczemu, a gdy przepisy tego wymagają, zawiadomimy również Ciebie.
Kopie zapasowe są szyfrowane na naszym serwerze, zanim go opuszczą, kluczem, który posiadamy wyłącznie my; dostawca magazynu otrzymuje jedynie zaszyfrowane pliki i nie może ich odczytać. Dostęp do kopii mają wyłącznie osoby obsługujące serwis, magazyn zachowuje poprzednie wersje każdego pliku, aby kopii nie dało się po cichu zniszczyć, a odtwarzanie jest testowane, żeby kopia była czymś, na czym rzeczywiście można polegać.
11. Twoje prawa
Masz prawo dostępu do swoich danych i uzyskania ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie oraz przenoszenia danych. Jeśli przetwarzanie opiera się na zgodzie, możesz ją wycofać w każdej chwili; nie wpływa to na przetwarzanie sprzed wycofania.
Z części tych praw skorzystasz samodzielnie i od razu: poprawisz dowolny element profilu w panelu konta, zmienisz widoczność, pobierzesz kopię swoich danych w postaci pliku w ustawieniach konta, wycofasz zgodę na newsletter linkiem do wypisu, a konto usuniesz w ustawieniach po potwierdzeniu hasłem.
W pozostałych sprawach, czyli ograniczenia, sprzeciwu lub pytania o sposób załatwienia żądania, napisz przez formularz kontaktowy. Poprosimy o informacje wystarczające do potwierdzenia, że żądanie pochodzi od Ciebie, i nie pobieramy za to opłat, chyba że żądanie jest ewidentnie nieuzasadnione lub nadmierne.
Masz również prawo wnieść skargę do organu nadzorczego. W Polsce jest to Prezes Urzędu Ochrony Danych Osobowych, ul. Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl. Jeśli mieszkasz lub pracujesz w innym państwie EOG, możesz złożyć skargę do tamtejszego organu nadzorczego.
13. Wiek
MySkillsSpace jest serwisem dla osób oferujących usługi zawodowe i dla firm, które ich szukają. Nie jest kierowany do dzieci, a konta przeznaczone są dla osób, które ukończyły 16 lat. Jeśli sądzisz, że konto założyło dziecko, napisz do nas przez formularz kontaktowy, a je usuniemy.
14. Zmiany tej informacji
Ta informacja może się zmieniać wraz ze zmianą serwisu lub przepisów. Obowiązującą wersję wskazuje data wejścia w życie podana na górze tej strony.
Jeśli zmiana istotnie wpłynie na sposób wykorzystania Twoich danych, poinformujemy posiadaczy kont przed jej wejściem w życie wiadomością e-mail lub komunikatem w serwisie, a nie cichą edycją.