Privacy Policy

Контролёр

Контролёр персональных данных — оператор HRHack. Аккаунт создаётся, если вы входите через Google. Мы не учреждены в Российской Федерации.

Запросы субъекта данных: https://github.com/ddgrgrv/hrhack/issues. Добавьте NEXT_PUBLIC_LEGAL_EMAIL, когда появится постоянный inbox.

Какие данные мы собираем

При отправке формы: файл резюме (PDF, DOCX или TXT), извлечённый текст, текст вакансии, язык интерфейса, guest id и отчёт скрининга.

При входе через Google храним в базе email, имя и URL аватара от провайдера и привязываем гостевые анализы к аккаунту. Позже можем сохранить opt-in или отказ от рассылки для этого email.

При правках резюме сохраняется переписанный текст. При feedback — исход, комментарий и калибровочные выводы.

IP читается только в памяти сервера для почасового лимита и в базу не пишется.

В браузере: `hrhack_locale`, `hrhack_cookie_consent` и `hrhack_guest_id` (localStorage).

Цели и основания (GDPR ЕС/UK)

Ст. 6(1)(b) GDPR — исполнение вашего запроса (отчёт, ссылка на результат, опциональный rewrite) и аккаунта, включая сервисные письма на этот адрес (безопасность, кредиты/лимиты, ответы на обращения, обязательные уведомления).

Ст. 6(1)(a) — согласие на опциональную Vercel Web Analytics (баннер) и на продуктовые/маркетинговые письма, где ePrivacy ЕС/UK требует предварительный opt-in. Согласие можно отозвать (сброс баннера; отписка или запрос нам).

Ст. 6(1)(f) — законный интерес: безопасность и антиабьюз (лимит по IP в памяти); и, только где местный закон это допускает, ограниченные сообщения о самом HRHack существующим владельцам аккаунта, пока вы не возразите или не отпишетесь.

Резюме не используем для обучения публичной foundation-модели. Уроки из feedback могут попадать в промпт следующих анализов для всех пользователей — не пишите в заметки имена и контакты.

Почта и наши собственные сообщения

Email, имя и аватар аккаунта храним в базе, чтобы работал аккаунт. Рассылку сейчас не ведём; этот раздел уже покрывает такое использование, чтобы оно не было незаявленным, когда начнём.

Сервисные письма (не маркетинг): аккаунт, безопасность, кредиты, поддержка, обязательные юридические уведомления. Это часть услуги.

Наши продуктовые сообщения: можем писать на email аккаунта про функции HRHack, советы, новости продукта, опросы и похожие предложения, связанные с этим сервисом. Email не продаём и не сдаём в аренду, чужую рекламу в ящик не шлём, текст резюме и вакансии в маркетинговые списки не кладём.

ЕС/ЕЭЗ/UK: маркетинговые и продуктовые письма — только после отдельного opt-in, если нет узкого исключения ePrivacy. Акцепт оферты сам по себе таким согласием не является. Согласие можно отозвать, анализатор останется доступен. Сервисные письма можем слать и дальше.

США: коммерческие письма, если появятся, будут с указанием отправителя, рабочей отпиской и быстрым учётом отказа (CAN-SPAM).

Грузия и остальные страны охвата СНГ: email аккаунта обрабатываем только для целей этой политики. Можно возразить или попросить остановить продуктовую/маркетинговую почту через контакты в разделе «Контролёр».

В каждом маркетинговом или продуктовом письме будет простая отписка. Можно также написать нам. Храним запись об отказе, чтобы больше не слать маркетинг на этот адрес.

Если подключим провайдера доставки писем, он получит адрес получателя и текст письма как наш процессор по договору.

Процессоры и трансграничная передача

Сайт: Vercel (в т.ч. регион fra1 / EU edge). API, SQLite и файлы: Railway. Опциональные бэкапы: S3-совместимое хранилище (например Cloudflare R2).

Текст резюме и вакансии уходят в Google Gemini (или другого LLM) — это международная передача. У провайдеров могут быть Standard Contractual Clauses или эквивалент.

Аналитика (только после согласия) — Vercel. Файлы резюме туда не отправляются. Если включим отправку писем, провайдер доставки получит адрес и текст как процессор.

Европа (ЕС/ЕЭЗ/UK)

Вы можете запросить доступ, исправление, удаление, ограничение, портативность, возражение и пожаловаться в свой надзорный орган (CNIL, ICO, BfDI и т.д.).

Сервис нельзя использовать как единственное автоматизированное основание для юридически значимого кадрового решения (ст. 22 GDPR). Перед hire/reject нужен человек.

Мы сознательно не обрабатываем данные детей младше 16 лет в ЕЭЗ/UK.

США

Мы не продаём персональные данные и не «share» их для cross-context рекламы (CCPA/CPRA). Контент резюме не идёт в рекламу. Email аккаунта — только как в этой политике (сервисные письма и, если появятся, наши продуктовые сообщения с отпиской).

Жители Калифорнии могут запросить знать, удалить или исправить данные; за это нет дискриминации. Напишите нам и по возможности приложите URL результата.

Мы сознательно не собираем данные детей младше 13 лет (COPPA).

Грузия

Для пользователей в Грузии действует Закон Грузии «О защите персональных данных». Можно запросить доступ, исправление, удаление, ограничение и обратиться в Службу защиты персональных данных Грузии. Продуктовая или маркетинговая почта, если появится, только для целей этой политики; можно возразить.

СНГ (кроме Российской Федерации)

Если вы в другом государстве СНГ (например Казахстан, Армения, Азербайджан, Молдова, Узбекистан, Кыргызстан, Таджикистан, Беларусь), императивные нормы вашей страны о персональных данных сохраняются.

Сервис не предлагается в РФ и не заточен под российскую локализацию и обязанности оператора по 152-ФЗ.

Ссылки, хранение, безопасность

У анализа случайный UUID. `/result/{id}` приватный: открыть может только владелец (вход в аккаунт) или та же guest-сессия браузера.

Self-service delete пока нет. Чтобы стереть результат, пришлите URL. Данные живут, пока оператор не удалит их из БД и с диска.

Email, имя и аватар аккаунта хранятся, пока существует аккаунт. После запроса на удаление стираем их из рабочей базы, кроме минимальной записи, которая может быть нужна (отписка/подавление, лог безопасности или legal hold).

HTTPS. Это MVP: не загружайте пароли и данные, которые нельзя светить.