Zpracovatelské podmínky.

1.Správce a zpracovatel

Vaše organizace (zákazník) je správcem osobních údajů kandidátů, které do Candory zadává. Candora je zpracovatelem ve smyslu čl. 28 GDPR: zpracovává údaje výhradně na základě vašich instrukcí a pro účel popsaný níže.

Candoru provozuje a zpracovatelem je Klára Sasínová, IČO 21647003, se sídlem Smetanova 1949, 696 62 Strážnice, fyzická osoba podnikající podle živnostenského zákona zapsaná v živnostenském rejstříku (dále „poskytovatel“).

Uložení souboru CV a údajů z něj je součást služby a nedá se vypnout. Přijetím těchto podmínek dáváte poskytovateli doložený pokyn ke zpracování v rozsahu, který popisují (čl. 28 odst. 3 písm. a) GDPR).

Za právní důvod zpracování, za informování kandidátů a za posouzení, zda služba odpovídá vašemu zpracování, odpovídáte jako správce vy. Platí to i pro zvláštní kategorie údajů, které kandidát v CV uvede sám: Candora je z CV nevytahuje ani s nimi nepracuje, uložený soubor je ale obsahuje. Upozornění podle čl. 28 odst. 3 GDPR: CV může obsahovat citlivé údaje, které kandidát uvedl sám, a za právní důvod jejich zpracování odpovídá vaše firma.

Zákazník nahradí poskytovateli újmu a náklady z nároků třetích osob, které vzniknou z pokynu zákazníka nebo z porušení povinností podle předchozího odstavce. Neplatí to pro újmu, kterou poskytovatel způsobil porušením vlastních povinností zpracovatele.

2.Účel zpracování

Ověření faktů uváděných o zaměstnání, aby recruiter mohl posoudit uváděné informace. Candora nikdy sama nerozhoduje o kandidátovi. Zpracování má čtyři podoby a každá z nich pracuje s něčím jiným:

Za prvé, dotaz do veřejného zdroje. Ven jde jen identifikátor firmy nebo domény, s jedinou výjimkou popsanou za čtvrté: název nebo IČO uváděného zaměstnavatele, doména uváděná u zaměstnání, doména e-mailové adresy kandidáta (bez části před zavináčem) a IČO, které kandidát sám zadal u kontroly živnostenského oprávnění; to jde jen do ARES. Když kandidát používá vlastní doménu, může ho už samotná doména identifikovat. Kategorie zdroje: veřejné rejstříky, veřejné evidence registrací domén, DNS a veřejný webový archiv. Seznam konkrétních zdrojů, proti kterým se dotazuje, je v aplikaci na adrese app.getcandora.com/sources a je verzovaný; uzavřený výčet tady záměrně není, aby přidání zdroje neznamenalo nové přijetí podmínek.

Za druhé, kontroly nad tím, co dodal zákazník nebo co je v CV, bez jakéhokoli dotazu ven o kandidátovi. Sem patří vnitřní konzistence uváděných období, kontrola telefonního čísla a metadata souboru CV. Žádný vnější zdroj se u nich nedotazuje.

Za třetí, kontroly nad tím, co dodá nebo potvrdí sám kandidát: doklady, výpisy a potvrzení, o která si kandidát sám požádá nebo která sám nahraje. U reference, kterou kandidát uvede, jde ven jen doména e-mailu referenta, a to do DNS a do evidence registrací domén; jméno, celá adresa ani telefon referenta ven nejdou. U dokladu s elektronickou pečetí se pečeť ověřuje proti evropskému seznamu důvěryhodných služeb, který si Candora stahuje; o kandidátovi se přitom ven nic neposílá. Když kandidát vloží odkaz na záznam své závěrečné práce ve veřejné databázi vysoké školy, Candora otevře jen tento jeden záznam a uloží, zda a kdy byla práce obhájena a na které škole; známku, téma ani posudky neukládá. Candora nekontaktuje bývalého zaměstnavatele, školu ani nikoho jiného o kandidátovi. Jedinou výjimkou je referent, kterého kandidát sám uvedl a u něj výslovně schválil oslovení: e-mail referentovi odešle jen recruiter vlastním úkonem, první zpráva nese informace podle čl. 14 GDPR a upozornění na právo vznést námitku, odmítnutí je jedno kliknutí a odpověď referenta je jeho výpověď, ne nález.

Za čtvrté, kontrola uchazeče jako osoby. Zapíná ji zákazník u konkrétní pozice s uvedeným důvodem a týká se jen kandidáta ve fázi nabídky, který o ní dostal informaci předem. Jde o záznam v insolvenčním rejstříku, záznam v centrální evidenci exekucí, zápis na sankčním seznamu EU a ověření funkce ve statutárním orgánu nebo prokury, kterou kandidát sám uvádí v CV. K insolvenčnímu rejstříku a do centrální evidence exekucí jde jméno a datum narození, které kandidát zadá sám. Sankční seznam si Candora stahuje a porovnává u sebe. Funkce se ověřuje ve výpisu z veřejného rejstříku podle IČO firmy, jméno kandidáta přitom neodchází. Výsledek je fakt se zdrojem a časem dotazu a shodu osoby potvrzuje člověk.

3.Kategorie údajů

O kandidátovi Candora ukládá jméno, e-mailovou adresu, telefon a zemi bydliště, pokud je obsahuje CV nebo je dodá zákazník, dále pozici a datum přihlášky, uváděná zaměstnání (zaměstnavatel, období, doména), soubor CV, jeho metadata a otisk, nálezy a rozhodnutí recruitera. Podle toho, které funkce zákazník použije, dále údaje vytažené z dokladů a výpisů, které kandidát nahraje (u výpisu dob pojištění jen zaměstnavatelé a období), výtah z profilu LinkedIn, který zákazník uloží do PDF a nahraje (zaměstnavatelé, pozice, období, škola, obor a roky studia; soubor se neukládá a shrnutí, dovednosti a kontakty se nečtou), odkazy na profily, které kandidát uvedl v CV (jen adresa a platforma), IČO zadané kandidátem a výsledek jeho dotazu do ARES, text námitky kandidáta, jak ji zapsal recruiter, jméno a firmu toho, kdo na žádost kandidáta potvrzuje jeho údaje, typ dokladu totožnosti a datum jeho platnosti, které recruiter zapíše po prohlédnutí dokladu (u kandidáta se kopie, obraz ani číslo tohoto dokladu neukládají), výtah ze zápočtového listu přijatého kandidáta (zaměstnavatel, druh pracovního vztahu, období a druh práce), výsledek kontroly osoby a potvrzení shody s jeho důvodem, stav obhajoby závěrečné práce z odkazu od kandidáta (obhájeno, datum, škola), jméno a e-mailovou adresu referenta, jehož oslovení kandidát schválil, a jeho odpověď (kontakt se smaže, když referent odmítne nebo do 14 dnů neodpoví), a otisky (SHA-256) e-mailu, telefonu, jména a čísla dokladu, podle kterých se v rámci jedné organizace poznají přihlášky téhož člověka. Soubor CV se ukládá v databázi Candory v EU, vidí ho jen uživatelé organizace zákazníka, každé otevření se zaznamená a soubor se smaže spolu s kandidátem; text CV se po vytažení údajů zahodí. Zápočtový list se neukládá na disk ani do úložiště: čte se z paměti požadavku a jeho text se po vytažení údajů zahodí; před předáním extrakčnímu modelu z něj Candora navíc odstraní údaje o osobě, příjmy, srážky ze mzdy, důvod skončení a údaje o pracovní neschopnosti. Datum narození, které kandidát zadá ke kontrole osoby, se použije jen pro dotaz a neukládá se.

Extrakční model dostává text CV, ze kterého Candora před odesláním odstraní e-mailové adresy a telefonní čísla v běžných zápisech. Odstraňuje je podle vzoru, takže adresu nebo číslo zapsané neobvykle odstranit nemusí. Když vstupní cesta jméno kandidáta zná, protože ho zadal zákazník nebo ho dodal jeho systém, odstraní z textu i jméno; jinak jméno v textu zůstává, protože ho Candora předem nezná.

Do veřejných zdrojů Candora jméno kandidáta neposílá. Výjimkou je kontrola, kterou zákazník zapne u konkrétní pozice s uvedeným důvodem a o které kandidát předem ví. I tehdy jde jméno jen do veřejného seznamu, který ze zákona vede stát nebo jiná veřejnoprávní instituce, a jen do těchto: insolvenční rejstřík (správcem je Ministerstvo spravedlnosti, § 419 odst. 1 insolvenčního zákona) a centrální evidence exekucí (vede ji Exekutorská komora). Datum narození zadá kandidát a Candora ho neukládá. Ze zdroje si Candora ponechá jen to, zda záznam k danému dni existuje; částky a jména věřitelů neukládá. Se sankčním seznamem EU Candora jméno porovnává u sebe, ven nic neodchází. Mimo veřejné zdroje dostávají jméno jen zpracovatelé Candory v EU, a jen pro provoz služby: uložení, čtení CV a doručení e-mailů. Seznam zdrojů je na app.getcandora.com/sources.

Celou e-mailovou adresu ani telefon kandidáta Candora do veřejných zdrojů neposílá nikdy. U zpracování druhého druhu podle účelu výše neodchází ven o kandidátovi nic.

E-maily. Když zákazník kandidáta požádá o doložení, dostane kandidát e-mail se svým jménem, názvem firmy, pozicí, kolem žádosti, lhůtou, seznamem položek z CV, které má doložit, jménem a adresou recruitera a případně se vzkazem, který recruiter sám napíše (například důvod žádosti). E-maily uživatelům zákazníka nesou jejich adresu a u upozornění na kandidáta i jeho jméno. Tyto údaje dostává poskytovatel pošty, protože bez nich e-mail nedoručí. Když zákazník přeposílá přihlášky na adresu náboru, přijme celý e-mail včetně přílohy s CV poskytovatel pošty a Candora si ho od něj stáhne.

O každém odeslaném e-mailu Candora ukládá doklad: druh e-mailu, druh příjemce, otisk adresy příjemce (SHA-256, ne adresu samotnou), časy odeslání, doručení, nedoručení a stížnosti, identifikátor zprávy u poskytovatele pošty, odkaz na žádost kandidáta, ke které e-mail patří, a parametry šablony, ve kterých jsou jméno, adresy, odkazy a položky z CV nahrazené značkou. Doklad se se smazáním kandidáta nemaže.

Zvláštní kategorie údajů podle čl. 9 GDPR se nikdy neextrahují ani neukládají, ani když jsou v CV přítomné.

4.Sledování platnosti dokladů

Když zákazník přijatého zaměstnance zařadí do sledování platnosti dokladu, Candora ukládá jeho jméno, druh dokladu, číslo dokladu a datum platnosti. Záznam je samostatný: s kandidátem ho spojuje jen odkaz, který se se smazáním kandidáta odstraní, a retence kandidátů se na záznam nevztahuje. Po ukončení sledování se záznamu nastaví lhůta pro výmaz, výchozí 90 dní. Po jejím uplynutí denní úklid záznam smaže.

5.Propojení se systémy zákazníka

Když zákazník propojí Candoru se svým náborovým systémem, Candora ukládá přístupový klíč k tomuto systému zašifrovaný (AES-256-GCM) a používá ho jen ke čtení. Jaké oprávnění klíč v náborovém systému má, nastavuje zákazník. U příchozího propojení ukládá jen otisk tajemství, ne tajemství samotné.

6.Retence

Kandidáti, jejich uvedená zaměstnání a soubor CV se mažou po uplynutí lhůty nastavené vaší organizací, výchozí 180 dní. Lhůta běží od konce výběru: od rozhodnutí nepokračovat, od zapsaného výsledku (přijat, odmítnut, stáhl se) nebo od uzavření pozice, podle toho, co nastane dřív. Dokud výběr běží, údaje se nemažou; záznam, u kterého výběr do 365 dní od vzniku neskončí, se smaže po těchto 365 dnech. Změna nastavení lhůty platí pro nově založené záznamy; existující záznamy si ponechávají lhůtu, se kterou vznikly, a záznamy založené před 26. 10. 2026 se mažou dál podle lhůty běžící od svého vzniku. Mazání běží jednou denně. Smazané údaje zůstávají v zálohách databáze, dokud záloha nevyprší, nejdéle 7 dní. O každém výmazu Candora uchovává záznam s identifikátorem kandidáta, časem a důvodem, bez dalších údajů o něm, aby šel výmaz zopakovat po případné obnově ze zálohy.

Když kandidát na žádost vaší organizace sám souhlasí, že jeho údaje mohou zůstat pro další výběrová řízení, platí místo lhůty jeho souhlas, nejdéle 5 let od udělení (čl. 6 odst. 1 písm. a) GDPR). Souhlas může kdykoli odvolat a údaje se pak smažou.

Nálezy a zpětná vazba k nim se po uplynutí lhůty anonymizují, ne mažou: jsou to data o tom, jak si pravidla vedla, ne o konkrétním člověku.

7.Subdodavatelé

Údaje zpracovávají tito subdodavatelé, každý jen v rozsahu své role:

• Supabase (provozovatel se sídlem v USA): databáze a přihlašování uživatelů zákazníka, region EU. Ukládá všechny údaje popsané výše.
• Vercel (provozovatel se sídlem v USA): běh aplikace, serverové funkce v regionu EU. Údaje jím procházejí při každém požadavku.
• Mistral AI (Francie): extrakční model, dostává text CV a text zápočtového listu v rozsahu popsaném v oddílu Kategorie údajů. Candora ho volá přes regionální endpoint EU, zpracování probíhá v datových centrech v EU a EFTA.
• Brevo (Francie): odchozí e-maily kandidátům a uživatelům zákazníka a příjem přihlášek přeposlaných na adresu náboru.
• Resend (provozovatel se sídlem v USA): přihlašovací e-maily uživatelům zákazníka, dostává jejich e-mailovou adresu; odesílací region eu-west-1 (Irsko).
• GitHub (provozovatel se sídlem v USA): automatické testy a provozní úlohy, které na produkci volají kontrolu stavu a zpracování fronty. Uchovává klíče pro nasazení, které dávají plný technický přístup k databázi; údaje kandidátů mu Candora neposílá.

Veřejné zdroje podle prvního a čtvrtého druhu zpracování subdodavateli nejsou: dostávají jen dotaz popsaný v oddílu Účel zpracování. Insolvenční rejstřík (ISIR), který vede Ministerstvo spravedlnosti ČR, a centrální evidence exekucí, kterou vede Exekutorská komora ČR, dostávají u kontroly osoby jméno a datum narození kandidáta.

8.Další zpracovatelé

1. Zákazník uděluje poskytovateli obecné písemné povolení zapojit do zpracování další zpracovatele. Jejich seznam s činností a místem zpracování je v oddílu Subdodavatelé a v aplikaci na app.getcandora.com/sources.

2. Poskytovatel zapojí jen dalšího zpracovatele, se kterým uzavřel písemnou smlouvu, která mu ukládá stejné povinnosti na ochranu osobních údajů jako tyto podmínky. Za plnění povinností dalšího zpracovatele odpovídá poskytovatel zákazníkovi, jako by je plnil sám.

3. Zamýšlené přijetí nebo nahrazení dalšího zpracovatele oznámí poskytovatel e-mailem vlastníkovi organizace nejméně 30 dní předem. Oznámení uvede jméno dalšího zpracovatele, jeho činnost, místo zpracování a den, od kterého má údaje zákazníka zpracovávat.

4. Zákazník může proti změně vznést námitku e-mailem na soukromi@getcandora.com do 14 dní od oznámení. Námitku nemusí odůvodnit.

5. Vznese-li zákazník námitku, poskytovatel nového dalšího zpracovatele pro údaje zákazníka nezapojí a do konce lhůty podle odstavce 3 mu navrhne řešení, například zpracování dosavadním dalším zpracovatelem nebo omezení funkce, která změnu vyžaduje. Nedohodnou-li se, může zákazník smlouvu vypovědět s účinností nejpozději ke dni, kdy by byl nový další zpracovatel zapojen. Poskytovatel mu vrátí poměrnou část ceny zaplacené za období po účinnosti výpovědi a údaje zákazníka podle jeho volby vrátí nebo vymaže. Výpověď z tohoto důvodu není spojena s žádnou sankcí.

6. Ukončí-li další zpracovatel službu bez předchozího oznámení nebo hrozí-li bezprostředně ohrožení bezpečnosti údajů, může poskytovatel náhradního dalšího zpracovatele zapojit bez lhůty podle odstavce 3. Oznámí to zákazníkovi bez zbytečného odkladu; zákazník má i v takovém případě právo námitky a výpovědi podle odstavců 4 a 5.

7. Nevznese-li zákazník námitku ve lhůtě podle odstavce 4, platí změna za schválenou.

9.Práva subjektu

Kandidát uplatňuje svá práva (přístup, oprava, výmaz, přenositelnost) u vaší organizace jako správce. Candora jako zpracovatel vaší organizaci na požádání pomůže žádost vyřídit.

10.Kontakt

Otázky ke zpracování údajů: soukromi@getcandora.com.