Polityka prywatności usługi "Generator CV"

Wersja z dnia 27 sierpnia 2026 r.

1. Administrator danych

Administratorem Twoich danych osobowych jest Bartłomiej Grygowicz, przedsiębiorca prowadzący działalność gospodarczą pod firmą Bartłomiej Grygowicz Usługi i Doradztwo, adres: Stróżówka 561, 38-300 Stróżówka, NIP: 5130279144, REGON: 522361633, wpisany do CEIDG (dalej: Administrator).

Kontakt we wszystkich sprawach dotyczących danych osobowych: contact@techpilot.pl.

2. Jakie dane przetwarzamy

Usługa nie wymaga zakładania konta. Przetwarzamy wyłącznie dane, które podajesz w trakcie korzystania z Usługi, oraz minimalne dane techniczne:

Dane kontaktowe do CV: imię i nazwisko, adres e-mail, numer telefonu, miejscowość, opcjonalnie profil LinkedIn. Podajesz je w osobnym formularzu (karcie kontaktowej). Trafiają do treści Twojego CV, a adres e-mail wykorzystujemy także do wiadomości transakcyjnych dotyczących Twojego zamówienia (potwierdzenie zamówienia, link powrotu do rozmowy, potwierdzenie usunięcia danych — pkt 5.4). Dane wpisane w karcie kontaktowej nie są przekazywane do modelu sztucznej inteligencji: model operuje na określeniu "Kandydat", a dane kontaktowe wstawiamy do dokumentu po naszej stronie, poza modelem. Jeżeli podasz dane kontaktowe w innym miejscu — w treści rozmowy albo w importowanym pliku — będą one przetwarzane jak treść rozmowy (pkt 2.2).
Treść rozmowy i profil zawodowy: Twoje odpowiedzi w wywiadzie z doradcą AI, doświadczenie, umiejętności, wykształcenie, treść CV zaimportowanego przez Ciebie (plik PDF lub DOCX albo zdjęcie/skan dokumentu), obrazy, które dobrowolnie wkleisz do rozmowy (np. zrzuty ekranu), oraz treść ogłoszenia o pracę, jeżeli je wkleisz. Te dane służą wygenerowaniu Twoich dokumentów i są przekazywane do modelu AI (pkt 4); w przypadku zdjęcia lub skanu do modelu trafia plik graficzny w całości.
Wygenerowane dokumenty: treść CV i ewentualnego listu motywacyjnego wraz z raportem automatycznej kontroli jakości, przechowywane w ramach Twojej sesji.
Dane zamówienia i płatności (po uruchomieniu płatności): wybrany pakiet, kwota, status płatności oraz dane wymagane przepisami podatkowymi. Danych karty płatniczej ani danych logowania BLIK nie otrzymujemy i nie przechowujemy; obsługuje je wyłącznie dostawca płatności (pkt 5).
Dane techniczne: jeden niezbędny plik cookie sesyjny (httpOnly) utrzymujący Twoją sesję oraz standardowe dane techniczne połączenia (w tym adres IP) w logach serwera i w mechanizmie ograniczania nadużyć (limit nowych sesji z jednego adresu IP).

Nie prosimy o zdjęcie, datę urodzenia, pełny adres zamieszkania ani dane szczególnych kategorii (art. 9 RODO, np. o zdrowiu, poglądach, wyznaniu) i nie wykorzystujemy ich celowo; doradca AI jest skonstruowany tak, aby je pomijać i nie umieszczać ich w dokumentach. Takie dane mogą jednak znaleźć się w pliku, który sam prześlesz (np. zdjęcie w importowanym CV) — wtedy są przechowywane w ramach Twojej sesji jak treść pliku (pkt 2.2) do czasu jej usunięcia. Prosimy, nie podawaj takich informacji w rozmowie i w miarę możliwości przesyłaj dokumenty bez nich.

Jeżeli przekazane przez Ciebie materiały (treść rozmowy, importowany plik, wklejone obrazy) zawierają dane szczególnych kategorii, przetwarzamy je wyłącznie na podstawie Twojej odrębnej i wyraźnej zgody, którą wyrażasz zaznaczając dedykowane pole przed rozpoczęciem korzystania z Usługi. Korzystanie z Usługi nie wymaga przekazywania takich danych. Zgodę możesz wycofać w dowolnym momencie (najprościej usuwając dane przyciskiem "Usuń moje dane teraz" albo pisząc na contact@techpilot.pl), co nie wpływa na zgodność z prawem wcześniejszego przetwarzania.

3. Cele i podstawy prawne przetwarzania

Cel	Zakres danych	Podstawa prawna
Świadczenie usługi: przeprowadzenie wywiadu, wygenerowanie i udostępnienie dokumentów, utrzymanie sesji	dane z pkt 2.1-2.3 i cookie sesyjne	art. 6 ust. 1 lit. b RODO (wykonanie umowy)
Obsługa płatności i zwrotów	dane z pkt 2.4	art. 6 ust. 1 lit. b RODO
Realizacja obowiązków podatkowych i rachunkowych (ewidencja sprzedaży, faktury)	dane z pkt 2.4	art. 6 ust. 1 lit. c RODO w zw. z przepisami podatkowymi i o rachunkowości
Obsługa reklamacji i realizacja praw konsumenta	dane zgłoszenia, korespondencja, raport bramki jakości	art. 6 ust. 1 lit. b i c RODO
Bezpieczeństwo usługi: zapobieganie nadużyciom, limity, logi techniczne	dane z pkt 2.5	art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: ochrona usługi przed nadużyciami)
Ustalenie, dochodzenie lub obrona roszczeń	dane umowy i korespondencji	art. 6 ust. 1 lit. f RODO
Przetwarzanie dobrowolnie przekazanych danych szczególnych kategorii	dane, o których mowa w art. 9 RODO, zawarte w rozmowie lub przesłanym pliku	art. 6 ust. 1 lit. a oraz art. 9 ust. 2 lit. a RODO — wyraźna zgoda

Nie prowadzimy marketingu, nie profilujemy Cię w celach reklamowych i nie sprzedajemy danych.

Podanie danych jest dobrowolne, ale niezbędne do wygenerowania dokumentów (bez treści wywiadu nie powstanie CV; bez danych kontaktowych CV nie będzie zawierało Twoich danych do kontaktu dla rekrutera).

4. Sztuczna inteligencja w Usłudze

Rozmowę prowadzi system sztucznej inteligencji, nie człowiek. Informujemy o tym wprost w interfejsie ("Rozmawiasz z asystentem AI"), zgodnie z art. 50 rozporządzenia (UE) 2024/1689 (AI Act).
Do modelu AI trafia merytoryczna treść rozmowy i profilu zawodowego, w tym treść importowanych plików i wklejonych obrazów (pkt 2.2). Dane wpisane w karcie kontaktowej nie są przekazywane do modelu (pkt 2.1).
Usługa nie podejmuje wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały (art. 22 RODO). Efektem działania Usługi jest projekt dokumentu, którego treść sam zatwierdzasz przed generacją; żadna propozycja AI nie trafia do dokumentu bez Twojej akceptacji.
Dostawca modelu (Anthropic) nie wykorzystuje danych przesyłanych przez API do trenowania swoich modeli, zgodnie z warunkami handlowymi i umową powierzenia zawartą z Administratorem.

5. Odbiorcy danych

Dane powierzamy wyłącznie podmiotom niezbędnym do działania Usługi, na podstawie umów powierzenia przetwarzania (art. 28 RODO) lub jako odrębnym administratorom tam, gdzie wynika to z ich roli:

Anthropic (dostawca modeli językowych Claude, API): przetwarza merytoryczną treść rozmowy i profilu w celu wygenerowania odpowiedzi doradcy i treści dokumentów. Przetwarzanie zapytań przez model odbywa się na infrastrukturze Anthropic, w tym w Stanach Zjednoczonych — podstawy prawne tego przekazania opisujemy w pkt 6. Z Anthropic zawarto umowę powierzenia (DPA), a dane przesyłane przez API nie są wykorzystywane do trenowania modeli (pkt 4).
Railway (hosting aplikacji i bazy danych PostgreSQL): infrastruktura w regionie UE (Amsterdam). Umowa powierzenia (DPA) z dostawcą.
Stripe (dostawca usług płatniczych, po uruchomieniu płatności): Stripe Payments Europe, Ltd. z siedzibą w Irlandii wraz z podmiotami powiązanymi. W zakresie obsługi płatności Stripe działa również jako samodzielny administrator danych transakcyjnych; szczegóły w polityce prywatności Stripe.
Resend (dostawca poczty transakcyjnej): wysyłka potwierdzeń zamówienia, linków powrotu do rozmowy i potwierdzeń usunięcia danych; wiadomości wysyłane z regionu UE (eu-west-1). Dostawcą jest Plus Five Five, Inc., działająca pod marką Resend, z siedzibą w Stanach Zjednoczonych — patrz pkt 6. Umowa powierzenia (DPA) z dostawcą. Nie stosujemy śledzenia otwarć ani kliknięć w wysyłanych wiadomościach.

Ponadto dane mogą być udostępnione podmiotom uprawnionym na podstawie przepisów prawa (np. organom podatkowym) oraz doradcom Administratora (np. księgowym) w zakresie niezbędnym do rozliczeń.

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Infrastruktura Usługi — hosting aplikacji i baza danych, w której przechowywana jest Twoja sesja — znajduje się w UE (Amsterdam). Część przetwarzania odbywa się jednak poza Europejskim Obszarem Gospodarczym:

Anthropic (model AI): przetwarzanie zapytań przez model odbywa się na infrastrukturze Anthropic, w tym w Stanach Zjednoczonych. Podstawą przekazania jest decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony (art. 45 RODO) dla podmiotów certyfikowanych w ramach EU-U.S. Data Privacy Framework — Anthropic posiada aktywną certyfikację DPF. Dodatkowo, jako mechanizm zapasowy, umowa powierzenia z Anthropic zawiera standardowe klauzule umowne zatwierdzone przez Komisję Europejską (art. 46 ust. 2 lit. c RODO) — transfer pozostaje legalny również w razie utraty ważności certyfikacji lub samego DPF.
Railway (hosting) i Resend (poczta): przechowywanie danych aplikacji i wysyłka wiadomości odbywają się z regionów UE, jednak obaj dostawcy mają siedzibę w Stanach Zjednoczonych i część ich operacji przetwarzania (np. systemy zarządzania usługą, wsparcie techniczne) odbywa się w USA — dochodzi więc do przekazania danych do państwa trzeciego. Podstawą przekazania są standardowe klauzule umowne zatwierdzone przez Komisję Europejską (art. 46 ust. 2 lit. c RODO), włączone do umów powierzenia, a w zakresie, w jakim dostawca posiada aktywną certyfikację EU-U.S. Data Privacy Framework — również decyzja adekwatności (art. 45 RODO).

Niezależnie od podstaw prawnych stosujemy środki dodatkowe ograniczające zakres przekazywanych danych: dane wpisane w karcie kontaktowej nie trafiają do modelu AI (pkt 2.1), dane przesyłane przez API nie służą trenowaniu modeli, a retencja w naszej bazie jest krótka (7 dni; okresy retencji u podprocesorów opisuje pkt 7). Kopię odpowiednich zabezpieczeń możesz uzyskać, pisząc na contact@techpilot.pl.

7. Jak długo przechowujemy dane

Sesja (rozmowa, profil, importowane CV, wygenerowane dokumenty): usuwana automatycznie i trwale — dla sesji opłaconej po 7 dniach od zakupu (to okres realizacji usługi, o którym informujemy w potwierdzeniu zamówienia; jednorazowy link powrotu z e-maila wygasa najpóźniej w tym samym momencie), a dla sesji testowej po 7 dniach od Twojej ostatniej aktywności. Kopie zapasowe bazy służą wyłącznie odtworzeniu po awarii i są nadpisywane cyklicznie (rotacyjne kopie dzienne oraz tygodniowe archiwum odzyskiwania point-in-time) — dane pozostają w kopiach nie dłużej niż 35 dni; po ewentualnym odtworzeniu z kopii wcześniejsze usunięcia danych (automatyczne i na żądanie) są ponownie egzekwowane automatycznie.
Usunięcie na żądanie: w każdej chwili możesz kliknąć "Usuń moje dane teraz" w Usłudze; wszystkie dane sesji (rozmowa, profil, dokumenty, pliki) są wtedy natychmiast i trwale usuwane z aktywnych systemów Administratora. W kopiach zapasowych oraz u podprocesorów dane wygasają zgodnie z okresami retencji opisanymi w pkt 7.1, 7.7 i 7.8. Prowadzimy pseudonimowy log operacji usunięcia (znacznik czasu, powód i skrót SHA-256 identyfikatora sesji, bez innych danych) — służy wyłącznie rozliczalności i ponownemu wyegzekwowaniu usunięć po ewentualnym odtworzeniu bazy z kopii; wpisy logu są przechowywane nie dłużej niż 90 dni.
Pobrane pliki są wyłącznie u Ciebie; po usunięciu sesji nie przechowujemy ich kopii.
Dane zamówień i dokumentacja podatkowa: przez okres wymagany przepisami, co do zasady 5 lat licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku.
Korespondencja reklamacyjna: przez czas rozpatrzenia reklamacji, a następnie przez okres przedawnienia roszczeń.
Logi techniczne (bez treści rozmów): do 30 dni.
Dostawca modelu AI (Anthropic): dane wejściowe i wyjściowe zapytań są standardowo usuwane przez Anthropic w ciągu maksymalnie 30 dni — niezależnie od usunięcia Twojej sesji u nas. Anthropic może przechowywać określone dane dłużej, jeżeli jest to niezbędne do egzekwowania zasad korzystania z usługi, przeciwdziałania nadużyciom lub wykonania obowiązku prawnego — zgodnie z polityką retencji Anthropic.
Systemy pocztowe (Resend): adres odbiorcy, metadane i treść wysłanych wiadomości transakcyjnych są przechowywane przez dostawcę zgodnie z umową powierzenia — co do zasady przez czas trwania współpracy Administratora z dostawcą, a po jej zakończeniu usuwane w ciągu 90 dni. Wiadomość dostarczona na Twoją skrzynkę pozostaje u Ciebie.

8. Twoje prawa

Masz prawo do: dostępu do danych (art. 15 RODO), ich sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia danych (art. 20) oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21) — na zasadach i z ograniczeniami określonymi w RODO. W zakresie danych przetwarzanych na podstawie zgody masz prawo wycofać ją w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania sprzed wycofania.

Jak zrealizować prawa w Usłudze:

Usunięcie: przycisk "Usuń moje dane teraz" w Usłudze (natychmiastowe, bez kontaktu z nami) albo e-mail na contact@techpilot.pl.
Dostęp i sprostowanie: treść profilu widzisz i edytujesz na bieżąco w panelu profilu podczas rozmowy; kopię danych możesz uzyskać, pisząc na contact@techpilot.pl.
Pozostałe prawa: e-mail na contact@techpilot.pl. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.

Masz również prawo wniesienia skargi do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl).

9. Pliki cookie

Usługa używa jednego niezbędnego pliku cookie sesyjnego (httpOnly, Secure, SameSite), który utrzymuje Twoją sesję i chroni ją przed dostępem skryptów. Jest to plik ściśle niezbędny do dostarczenia usługi świadczonej drogą elektroniczną, której żądasz — dlatego jego stosowanie nie wymaga zgody na podstawie art. 399 ust. 3 pkt 2 ustawy z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej. Nie używamy cookies marketingowych, analitycznych ani żadnych narzędzi śledzących i dlatego nie wyświetlamy banera zgód.

10. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne adekwatne do ryzyka, w tym: szyfrowanie transmisji (TLS), cookie httpOnly/Secure, izolację sesji, minimalizację danych (dane z karty kontaktowej poza modelem AI, zakaz danych art. 9 w projektowaniu rozmowy), krótką retencję, limity zapobiegające nadużyciom oraz kontrolę dostępu do infrastruktury.

11. Zmiany polityki

O istotnych zmianach tej polityki poinformujemy na stronie Usługi. Wersje polityki są oznaczone datą; zawsze obowiązuje wersja opublikowana w Usłudze.