CV Studio AI
Polityka prywatności
Ostatnia aktualizacja: 1 sierpnia 2026 r. Ta polityka prywatności jest informacją RODO dla serwisu CV Studio AI. Opisuje konkretnie dane przetwarzane przy rejestracji, generowaniu CV, imporcie ofert pracy, obsłudze kredytów, płatnościach Stripe, formularzu kontaktowym, newsletterze, logach technicznych, cookies i opcjonalnej analityce.
1. Administrator i kontakt
- Operator serwisu: Dawid Przerwa
- Adres siedziby/adres do korespondencji: Dawid Przerwa ul. Modrzewskiego 4/26, 86-300 Grudziadz, Polska
- Numer rejestrowy/podatkowy: nie dotyczy
- Kraj: Polska
- Email kontaktowy: support@cvstudioai.com
Administrator odpowiada za zgodność przetwarzania danych w serwisie. Sprawy dotyczące danych osobowych, usunięcia konta, dostępu do danych, sprzeciwu, reklamacji prywatnościowej albo incydentu bezpieczeństwa należy kierować na email kontaktowy wskazany powyżej.
2. Najważniejsze informacje w skrócie
- Serwis przetwarza dane z CV, profilu kandydata i ofert pracy wyłącznie po to, aby przygotować, ocenić albo poprawić dokument użytkownika.
- Pełne generowanie CV wymaga konta i kredytu, a płatność za kredyty obsługuje Stripe.
- Treści CV, pliki, zdjęcia i oferty pracy mogą być przekazywane dostawcy AI, w tym OpenAI, w celu wykonania żądania użytkownika.
- Wygenerowane CV zapisane w historii aplikacji jest przechowywane maksymalnie przez 7 dni, chyba że użytkownik usunie je lub konto wcześniej.
- Surowe pliki i teksty wejściowe nie są przeznaczone do trwałego przechowywania jako historia dokumentów.
- Marketing emailowy jest opcjonalny. Brak zgody marketingowej nie blokuje założenia konta ani generowania CV.
3. Zakres danych
| Kategoria | Przykłady danych | Skąd pochodzą |
|---|---|---|
| Konto | Email, nazwa profilu, skrót hasła, status weryfikacji emaila, rola konta, saldo kredytów, ustawienia, zgody. | Od użytkownika i z działania aplikacji. |
| CV i profil kandydata | Imię, nazwisko, dane kontaktowe, zdjęcie, doświadczenie, edukacja, języki, umiejętności, certyfikaty, zainteresowania, klauzula RODO, treść przesłanego CV. | Od użytkownika, z przesłanych plików albo z formularza budowania CV. |
| Oferta pracy | Link do oferty, treść ogłoszenia, nazwa stanowiska, wymagania, obowiązki, screenshot lub plik z ofertą. | Od użytkownika albo z importu linku wskazanego przez użytkownika. |
| Wynik działania serwisu | Wygenerowane CV, wybrany styl, wynik ATS, dopasowane i brakujące słowa kluczowe, rekomendacje, metadane generowania. | Z działania aplikacji i modelu AI na danych użytkownika. |
| Płatności, kredyty i dowody zakupu | Pakiet kredytów, identyfikator sesji Stripe, status, kwota i waluta płatności, wersja oraz dokładna treść potwierdzeń zakupowych, historia dodania i zużycia kredytów. Email, IP i user-agent są w tabeli dowodowej przechowywane wyłącznie jako skróty HMAC; dane karty przetwarza Stripe i serwis ich nie zapisuje. | Od użytkownika, Stripe i z systemu rozliczania kredytów. |
| Kontakt i obsługa | Email, imię/nazwa, temat zgłoszenia, treść wiadomości, automatyczne potwierdzenia i odpowiedzi. | Z formularza kontaktowego i korespondencji. |
| Newsletter | Status i historia zgody marketingowej, wynik dostarczenia kampanii, szacowane otwarcia, kliknięcia CTA, wypisanie oraz znaczniki czasu. Statystyki otwarć mogą być niedokładne, ponieważ programy pocztowe blokują albo automatycznie pobierają obrazy. | Ze zgody użytkownika i technicznej obsługi wysłanej wiadomości. |
| Techniczne i bezpieczeństwa | Adres IP, user-agent, znaczniki czasu, zdarzenia aplikacji, błędy, limity zapytań, logi bezpieczeństwa, identyfikatory cookies/localStorage. | Automatycznie podczas korzystania z serwisu. |
| Opcjonalna analityka | Jeżeli użytkownik wyrazi zgodę: ścieżka/adres strony, przybliżone dane urządzenia i przeglądarki, referrer/parametry UTM oraz zdarzenia interakcji w Google Analytics. Treść CV, przesłane pliki, hasła i dane kart płatniczych nie są celowo wysyłane do Google Analytics. | Zgoda użytkownika w banerze cookies oraz działanie Google Analytics. |
4. Cele, podstawy prawne i retencja
| Cel | Podstawa prawna RODO | Okres przechowywania |
|---|---|---|
| Rejestracja i obsługa konta Utworzenie konta, logowanie, weryfikacja emaila, reset hasła, panel użytkownika. | Art. 6 ust. 1 lit. b RODO, czyli wykonanie umowy lub działania przed jej zawarciem. | Przez czas istnienia konta, a po usunięciu tylko w zakresie wymaganym przez prawo lub roszczenia. |
| Generowanie i analiza CV Odczyt CV/oferty, analiza ATS, przygotowanie treści, PDF i podglądu. | Art. 6 ust. 1 lit. b RODO; w zakresie zgody na AI/dostawców zewnętrznych także art. 6 ust. 1 lit. a RODO. | Wygenerowane CV w historii: do 7 dni. Pliki i teksty wejściowe: tylko przez czas niezbędny do odczytu/generowania, o ile nie zostaną zapisane jako wygenerowany dokument. |
| Kredyty, płatności i dowody zakupu Zakup pakietów, przypisanie kredytów, potwierdzenie oświadczeń na trwałym nośniku, rozliczenie zużycia i obsługa sporów. | Art. 6 ust. 1 lit. b i c RODO oraz art. 6 ust. 1 lit. f RODO w zakresie ochrony roszczeń. | Dokumenty rozliczeniowe i pseudonimizowane dowody zakupu przez okres wymagany przepisami oraz do upływu właściwych terminów roszczeń. Po usunięciu konta są odłączane od aktywnego profilu. |
| Kontakt, reklamacje i dochodzenie roszczeń | Art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes administratora i użytkownika w obsłudze sprawy; czasem art. 6 ust. 1 lit. c RODO. | Przez czas obsługi zgłoszenia, a następnie do upływu terminów przedawnienia roszczeń albo obowiązkowej retencji. |
| Bezpieczeństwo, antyspam i nadużycia Limity zapytań, blokada nadużyć, logi, kontrola panelu admina. | Art. 6 ust. 1 lit. f RODO, prawnie uzasadniony interes w ochronie usługi i użytkowników. | Skróty HMAC używane wyłącznie do ochrony formularza kontaktowego: maksymalnie 48 godziny. Pozostałe logi tylko przez okres uzasadniony bezpieczeństwem, incydentem lub roszczeniami. |
| Marketing emailowy Nowości produktowe, poradniki lub oferty oraz ograniczone statystyki dostarczenia, otwarć i kliknięć. | Art. 6 ust. 1 lit. a RODO, zgoda użytkownika, którą można wycofać w panelu konta albo linkiem w każdej wiadomości. | Zgoda: do cofnięcia albo zakończenia celu marketingowego. Dane odbiorcy i zdarzenia kampanii: maksymalnie 730 dni, następnie anonimizacja. |
| Cookies i localStorage | Art. 6 ust. 1 lit. b i f RODO: wykonanie usługi oraz prawnie uzasadniony interes w bezpiecznym działaniu serwisu, w tym utrzymanie logowania i opcja „Nie wylogowuj mnie”. Mechanizmy opcjonalne są uruchamiane dopiero po zgodzie użytkownika. | Zależnie od mechanizmu: przez czas sesji, do 30 dni przy świadomym zapamiętaniu logowania albo do usunięcia danych przeglądarki przez użytkownika. |
| Opcjonalna analityka Google Analytics Pomiar odsłon i interakcji w serwisie, aby ocenić działanie produktu i ulepszać stronę. | Art. 6 ust. 1 lit. a RODO, zgoda użytkownika udzielana w banerze cookies. Zgodę można w każdej chwili wycofać albo zmienić przez „Ustawienia cookies” w stopce. | Zgodnie z ustawieniami retencji w Google Analytics i zasadami Google. Wycofanie zgody zatrzymuje dalsze zbieranie danych z tej przeglądarki, chyba że zgoda zostanie ponownie udzielona. |
5. Dane szczególnych kategorii
Serwis nie prosi o dane szczególnych kategorii, np. o zdrowiu, poglądach politycznych, religii, orientacji seksualnej, związkach zawodowych czy dane biometryczne. CV może jednak zawierać takie informacje, jeżeli użytkownik sam je wpisze. Użytkownik powinien usuwać z CV dane szczególne, jeżeli nie są konieczne do celu rekrutacyjnego. Jeżeli użytkownik mimo to je poda, serwis przetworzy je wyłącznie w zakresie niezbędnym do wykonania żądanej usługi i zgodnie z udzielonymi zgodami.
6. AI, profilowanie i decyzje automatyczne
Serwis używa AI do redagowania CV, analizy dopasowania, wskazywania słów kluczowych i przygotowania rekomendacji. Wynik ATS oraz rekomendacje są automatyczną analizą treści, ale nie są decyzją wywołującą skutki prawne wobec użytkownika. Serwis nie decyduje o zatrudnieniu, nie reprezentuje pracodawcy i nie gwarantuje zaproszenia na rozmowę.
Użytkownik powinien sprawdzić finalne CV przed wysłaniem. AI może pomylić kontekst, pominąć istotne fakty albo zaproponować sformułowanie, które wymaga korekty.
Serwis nie żąda trwałego zapisywania odpowiedzi API. Dostawca AI może jednak przetwarzać treść w logach bezpieczeństwa i przeciwdziałania nadużyciom zgodnie ze swoimi warunkami; w standardowej usłudze OpenAI API takie logi mogą być obecnie przechowywane do 30 dni, o ile nie została uruchomiona zatwierdzona krótsza retencja.
7. Dostawcy i odbiorcy danych
- Dostawca AI, w tym OpenAI: analiza i generowanie CV na podstawie danych przekazanych przez użytkownika.
- Stripe: obsługa płatności, sesji Checkout, statusów płatności i potwierdzeń transakcji.
- Dostawca poczty/SMTP: wysyłka kodów weryfikacji email, resetu hasła, potwierdzeń zgłoszeń, komunikacji serwisowej i newslettera wysyłanego na podstawie zgody.
- Google Analytics: wyłącznie po zgodzie użytkownika na opcjonalną analitykę w banerze cookies.
- Hosting, baza danych, logi i infrastruktura: utrzymanie aplikacji, bezpieczeństwo, kopie techniczne i diagnostyka.
- Doradcy, księgowość, organy publiczne lub sądy: tylko gdy jest to potrzebne do obowiązków prawnych, płatności, podatków, reklamacji albo roszczeń.
8. Transfer danych poza EOG
Niektórzy dostawcy, zwłaszcza AI, płatności, hostingu, email lub bezpieczeństwa, mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym. Jeżeli tak się dzieje, administrator powinien stosować mechanizmy przewidziane przez RODO, w szczególności decyzje stwierdzające odpowiedni stopień ochrony, standardowe klauzule umowne, ocenę ryzyka transferu albo inne dopuszczalne zabezpieczenia.
9. Cookies, localStorage i zdarzenia aplikacji
Serwis nie używa cookies reklamowych, narzędzi remarketingowych ani profilowania między serwisami. Google Analytics może zostać uruchomiony wyłącznie po zgodzie użytkownika na opcjonalną analitykę w banerze cookies.
| Mechanizm | Po co jest używany | Czy jest niezbędny |
|---|---|---|
| Cookies sesyjne Flask | Logowanie, sesja konta, bezpieczeństwo operacji wykonywanych po zalogowaniu. | Tak. |
| cvstudioai_cookie_preferences_v1 | Zapamiętanie wyboru użytkownika dotyczącego cookies niezbędnych i opcjonalnej analityki. | Tak, aby respektować wybrany zakres zgody. |
| cvstudioai_ui_language_v1 | Zapamiętanie języka interfejsu wybranego przez użytkownika. | Funkcjonalne, uruchamiane dla zachowania wybranej preferencji. |
| _ga, _ga_* | Google Analytics: pomiar odsłon i interakcji w serwisie po zgodzie użytkownika. | Opcjonalne, uruchamiane wyłącznie po zgodzie na analitykę. |
Wewnętrzne zdarzenia działania aplikacji mogą być zapisywane po stronie serwera w ograniczonym zakresie potrzebnym do bezpieczeństwa, diagnostyki i poprawy usługi. Identyfikator takiej sesji nie jest trwale zapisywany w pamięci przeglądarki.
Pełny opis mechanizmów przeglądarkowych znajduje się w Polityce cookies.
10. Prawa użytkownika
Użytkownik ma prawo żądać dostępu do danych, kopii danych, sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia danych, wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie oraz cofnięcia zgody, jeżeli przetwarzanie odbywa się na zgodzie. Cofnięcie zgody nie wpływa na zgodność z prawem wcześniejszego przetwarzania.
Żądanie można wysłać na email kontaktowy. Administrator może poprosić o dodatkową weryfikację tożsamości, jeżeli jest to konieczne do ochrony danych użytkownika.
11. Usunięcie konta i skutki
Użytkownik może usunąć konto w panelu konta. Usunięcie konta usuwa aktywne konto, profil kandydata, zapisane CV, tokeny resetu, kody email i zgody przypisane do konta. Rekordy odbiorcy newslettera są anonimizowane, aby zachować zbiorcze statystyki kampanii bez dalszego przechowywania emaila i nazwy profilu usuniętego konta. Wyjątkiem pozostają dane wymagane przez przepisy, rozliczenia, płatności, bezpieczeństwo lub roszczenia.
12. Bezpieczeństwo
Serwis stosuje m.in. hashowanie haseł, limity zapytań, limity uploadu, walidację plików, ochronę sesji, role administracyjne, logowanie zdarzeń i ograniczoną retencję wygenerowanych dokumentów. Użytkownik powinien używać silnego hasła, nie udostępniać konta i zgłaszać podejrzaną aktywność.
13. Dobrowolność danych
Podanie danych jest dobrowolne, ale brak niektórych danych uniemożliwi wykonanie usługi. Bez emaila nie da się obsłużyć konta, bez treści CV lub profilu nie da się wygenerować dokumentu, bez oferty pracy analiza dopasowania będzie niemożliwa lub ograniczona, a bez danych płatności nie da się kupić kredytów.
14. Skarga do organu nadzorczego
Użytkownik może złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych, jeżeli uważa, że dane są przetwarzane niezgodnie z prawem.
15. Zmiany polityki
Polityka może być aktualizowana przy zmianie funkcji, dostawców, modelu płatności, zakresu AI, prawa lub sposobu przetwarzania danych. Aktualna wersja jest dostępna na tej stronie. Istotne zmiany dotyczące zarejestrowanych użytkowników mogą być komunikowane w aplikacji albo emailowo.