Wybierasz narzędzie do CV dla agencji rekrutacyjnej? Zanim wgrasz pierwsze CV kandydata, wyślij dostawcy sześć pytań o dane kandydatów i RODO, a odpowiedzi porównaj z umową powierzenia (DPA), nie ze stroną sprzedażową. Poniżej pytania, odpowiedzi TalentVeil z numerami paragrafów i mail do skopiowania.
Jako administrator odpowiadasz za dane z CV także wtedy, gdy przetwarza je narzędzie. Podobnie podchodzi do tego brytyjski organ nadzorczy (ICO): po kontroli dostawców narzędzi AI do rekrutacji, w której skierował do nich prawie 300 zaleceń, opublikował dla rekruterów wskazówki (to źródło brytyjskie, nie polskie): ocena skutków dla ochrony danych już przy zakupie i umowa, w której zapisano, kto jest administratorem, a kto podmiotem przetwarzającym. Narzędzie do CV z AI, które czyta imiona i nazwiska, dane kontaktowe, historię zatrudnienia i czasem zdjęcie, budzi te same pytania.
1. Kto jest administratorem i czy jest to w umowie?
Ty. Dane kandydatów z CV są Twoje, a dostawca przetwarza je w Twoim imieniu. Zgodnie z art. 28 RODO ta relacja wymaga umowy, która określa, jakie dane są przetwarzane, w jakim celu i jak długo, i zobowiązuje dostawcę do przetwarzania wyłącznie na Twoje udokumentowane polecenie (art. 28 RODO, po angielsku). Poproś o umowę powierzenia, zanim założysz konto, nie po.
TalentVeil: w odniesieniu do danych kandydatów, które wgrywasz, TalentVeil jest podmiotem przetwarzającym. Umowa powierzenia ogranicza przetwarzanie do świadczenia usługi w ramach subskrypcji (§1 ust. 2). Pobierzesz ją jako PDF (po angielsku) i przeczytasz, zanim wgrasz pierwsze CV.
2. Gdzie dane są przetwarzane i przez jakich podprocesorów?
„Hostowane w Europie" to nie odpowiedź. Zapytaj, które firmy mają dostęp do danych, w jakim kraju i co się dzieje, gdy ta lista się zmienia. Art. 28 RODO pozwala podmiotowi przetwarzającemu skorzystać z kolejnego podmiotu tylko za zgodą administratora, a umowa powinna przewidywać informowanie Cię z wyprzedzeniem o każdej zmianie.
TalentVeil: wszystkie dane kandydatów są przetwarzane w UE. AI działa na instancji Azure AI w regionie Szwecja. Lista podprocesorów w umowie powierzenia wymienia dwóch dostawców hostingu: Microsoft (Azure, Gävle, Szwecja) i OVH (Limburg, Niemcy). O nowym podprocesorze dowiadujesz się co najmniej 30 dni, zanim dostanie dane (§4 ust. 3).
3. Czy dane naszych kandydatów trenują model?
Zapytaj, czy treść CV służy do trenowania lub ulepszania jakiegokolwiek modelu, dostawcy albo jego dostawcy AI. Weź odpowiedź na piśmie: zapyta o nią dział zakupów Twojego klienta.
TalentVeil: nie. Dane klientów nie są używane do trenowania modeli.
4. Jak długo dane są przechowywane i kto o tym decyduje?
Szukaj liczby, nie sformułowania „tak długo, jak to konieczne". Potem zapytaj, czy możesz ją zmienić. Okres retencji, którego nie możesz zmienić, trzeba po prostu przyjąć. Taki, który ustawiasz sam, możesz dopasować do własnych zasad przechowywania dokumentów.
TalentVeil: domyślny okres retencji to 12 miesięcy i można go dostosować dla Twojej organizacji. Po jego zakończeniu umowa powierzenia wymaga usunięcia danych osobowych ze wszystkich nośników, razem z kopiami, w ciągu 30 dni (§9 ust. 1), a TalentVeil musi zapewnić, że podprocesorzy usuną je lub zanonimizują (§9 ust. 2).
5. Czy dane można wyeksportować lub usunąć, gdy kandydat o to poprosi?
Kandydat, który prosi o usunięcie lub sprostowanie danych, zwraca się do Ciebie, nie do dostawcy. Dostawca musi więc umieć wykonać Twoje polecenie.
TalentVeil: na Twoją prośbę TalentVeil eksportuje dane osobowe, usuwa je lub ogranicza ich przetwarzanie oraz je sprostowuje (§5 ust. 1 lit. b). W okresie retencji możesz też zażądać usunięcia danych i ich zwrotu (§9 ust. 3).
6. Co się dzieje, gdy dojdzie do naruszenia?
Zapytaj o termin w godzinach i o to, co zawiera zgłoszenie. Jako administrator masz 72 godziny od stwierdzenia naruszenia na zgłoszenie go organowi nadzorczemu, w Polsce Prezesowi UODO (art. 33 RODO, po angielsku), a to, co zgłaszasz, wiesz od dostawcy.
TalentVeil: umowa powierzenia wyznacza termin 36 godzin od wykrycia (§6 ust. 1). Zgłoszenie opisuje okoliczności zdarzenia i jego przyczyny, rodzaj naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, możliwe skutki i podjęte działania naprawcze.
Co widzi mój klient, gdy udostępnię shortlistę?
Dane kandydatów opuszczają Twoje ręce po raz kolejny, gdy prezentujesz shortlistę. W TalentVeil dzieje się to przez link z brandingiem agencji i to Ty nim sterujesz:
- Klient widzi tylko profile, które umieścisz w shortliście, anonimowe lub z danymi kandydata, zależnie od Twojej decyzji.
- Klient nie zakłada konta. Możesz wymagać kodu dostępu, ustawić datę wygaśnięcia i w każdej chwili unieważnić link.
- Pobieranie PDF-a, uwagi klienta i oryginalne CV włączasz lub wyłączasz osobno dla każdego linku.
- W zespole rolę hiring managera nadaj każdemu, kto ma tylko przeglądać profile: widzi wyłącznie te, które mu przypisano, bez imienia, nazwiska i danych kontaktowych.
Jeśli klient ma dostać mniej niż pełne CV, Blind CV pomija dane, których nie potrzebuje.
Wyślij to, zanim cokolwiek wgrasz
Wklej do maila do każdego dostawcy z Twojej krótkiej listy i połóż odpowiedzi obok umowy powierzenia:
Zanim wgramy CV kandydatów, prosimy o potwierdzenie na piśmie: (1) że my jesteśmy administratorem, a Państwo podmiotem przetwarzającym, oraz o umowę powierzenia, którą możemy przeczytać przed założeniem konta; (2) w jakim kraju przetwarzane są nasze dane i którzy podprocesorzy, w tym Państwa dostawca AI, otrzymują treść CV, a także jak i kiedy informują nas Państwo o nowym podprocesorze; (3) czy dane naszych kandydatów służą do trenowania lub ulepszania jakiegokolwiek modelu, Państwa lub podmiotu trzeciego; (4) domyślny okres retencji i czy możemy go zmienić dla naszej organizacji; (5) jak i w jakim czasie realizowane jest żądanie usunięcia lub eksportu danych, łącznie z kopiami u podprocesorów; (6) w jakim terminie zawiadamiają nas Państwo o naruszeniu ochrony danych osobowych i co zawiera zgłoszenie.
Dostawca, który odpowiada na wszystkie sześć pytań w dokumencie, który możesz zachować, jest gotowy na dział zakupów Twojego klienta. Ten, który część załatwia przez telefon, a resztę „na życzenie", zostawia luki Tobie. Odpowiedzi połóż obok umowy powierzenia i przekaż obie swojemu inspektorowi ochrony danych lub prawnikowi. Jak TalentVeil postępuje z danymi kandydatów od początku do końca, opisaliśmy w Bezpieczeństwie i RODO. Gdy chcesz zobaczyć to na własnych CV, zacznij za darmo z 10 profilami i wszystkimi funkcjami: wgraj kilka CV z kolejnej shortlisty, popraw profil i wyślij go klientowi w linku z brandingiem agencji.
