Privacy Policy

Контролёр

Контролёр персональных данных — оператор HRHack. Аккаунт создаётся, если вы входите через Google. Мы не учреждены в Российской Федерации.

Запросы субъекта данных: https://github.com/ddgrgrv/hrhack/issues. Добавьте NEXT_PUBLIC_LEGAL_EMAIL, когда появится постоянный inbox.

Какие данные мы собираем

При отправке формы: файл резюме (PDF, DOCX или TXT), извлечённый текст, текст вакансии, язык интерфейса, guest id и отчёт скрининга.

При входе через Google храним email, имя и URL аватара от провайдера и привязываем гостевые анализы к аккаунту.

При правках резюме сохраняется переписанный текст. При feedback — исход, комментарий и калибровочные выводы.

IP читается только в памяти сервера для почасового лимита и в базу не пишется.

В браузере: `hrhack_locale`, `hrhack_cookie_consent` и `hrhack_guest_id` (localStorage).

Цели и основания (GDPR ЕС/UK)

Ст. 6(1)(b) GDPR — исполнение вашего запроса (отчёт, ссылка на результат, опциональный rewrite).

Ст. 6(1)(a) — согласие на опциональную Vercel Web Analytics (баннер). Согласие можно отозвать, сбросив выбор в баннере.

Ст. 6(1)(f) — законный интерес: безопасность и антиабьюз (лимит по IP в памяти).

Резюме не используем для обучения публичной foundation-модели. Уроки из feedback могут попадать в промпт следующих анализов для всех пользователей — не пишите в заметки имена и контакты.

Процессоры и трансграничная передача

Сайт: Vercel (в т.ч. регион fra1 / EU edge). API, SQLite и файлы: Railway. Опциональные бэкапы: S3-совместимое хранилище (например Cloudflare R2).

Текст резюме и вакансии уходят в Google Gemini (или другого LLM) — это международная передача. У провайдеров могут быть Standard Contractual Clauses или эквивалент.

Аналитика (только после согласия) — Vercel. Файлы резюме туда не отправляются.

Европа (ЕС/ЕЭЗ/UK)

Вы можете запросить доступ, исправление, удаление, ограничение, портативность, возражение и пожаловаться в свой надзорный орган (CNIL, ICO, BfDI и т.д.).

Сервис нельзя использовать как единственное автоматизированное основание для юридически значимого кадрового решения (ст. 22 GDPR). Перед hire/reject нужен человек.

Мы сознательно не обрабатываем данные детей младше 16 лет в ЕЭЗ/UK.

США

Мы не продаём персональные данные и не «share» их для cross-context рекламы (CCPA/CPRA). Контент резюме не идёт в рекламу.

Жители Калифорнии могут запросить знать, удалить или исправить данные; за это нет дискриминации. Напишите нам и по возможности приложите URL результата.

Мы сознательно не собираем данные детей младше 13 лет (COPPA).

Грузия

Для пользователей в Грузии действует Закон Грузии «О защите персональных данных». Можно запросить доступ, исправление, удаление, ограничение и обратиться в Службу защиты персональных данных Грузии.

СНГ (кроме Российской Федерации)

Если вы в другом государстве СНГ (например Казахстан, Армения, Азербайджан, Молдова, Узбекистан, Кыргызстан, Таджикистан, Беларусь), императивные нормы вашей страны о персональных данных сохраняются.

Сервис не предлагается в РФ и не заточен под российскую локализацию и обязанности оператора по 152-ФЗ.

Ссылки, хранение, безопасность

У анализа случайный UUID. `/result/{id}` не в поиске, но ссылку может открыть любой, у кого она есть.

Self-service delete пока нет. Чтобы стереть результат, пришлите URL. Данные живут, пока оператор не удалит их из БД и с диска.

HTTPS. Это MVP: не загружайте пароли и данные, которые нельзя светить.