CV STUDIO
Polityka prywatności
Obowiązuje od 1 października 2026 r. Znajdziesz tu informacje o przetwarzanych danych, celu i czasie ich przechowywania oraz swoich prawach.
1. Administrator i kontakt
Administratorem danych osobowych jest Kamil Wrzochalski, prowadzący działalność nierejestrowaną.
W sprawach prywatności napisz na contact@cvstudio.com.pl. Korespondencję pod tym adresem obsługuje home.pl. Administrator nie wyznaczył inspektora ochrony danych.
2. Jakie dane przetwarzamy, po co i na jakiej podstawie
| Zakres danych | Cel | Podstawa |
|---|---|---|
| Nazwa użytkownika, e-mail, skrót hasła, status potwierdzenia adresu, identyfikator połączenia Google, data utworzenia i status konta. | Rejestracja, logowanie, zabezpieczenie i obsługa konta. | Wykonanie umowy o usługę (art. 6 ust. 1 lit. b RODO) oraz uzasadniony interes w ochronie usługi (lit. f). |
| Treść i układ CV, dane kontaktowe wpisane do CV, zdjęcia, zapisane projekty, wygenerowane PDF-y, szkice profilu, profil zawodowy, zapisane rozmowy i historia importów. | Tworzenie, zapis, edycja, import i eksport dokumentów. | Wykonanie umowy (art. 6 ust. 1 lit. b RODO). |
| Polecenia, wybrany fragment albo pełna treść CV, odpowiedzi AI, treść ogłoszenia oraz publiczny adres URL ogłoszenia. | Import, dostosowanie CV i wykonanie wybranej operacji AI. | Wykonanie umowy na żądanie użytkownika (art. 6 ust. 1 lit. b RODO); uzasadniony interes w diagnozie błędów bez ujawniania treści w logach (lit. f). |
| Plan, limity i użycie funkcji, identyfikatory Stripe, kwota, waluta, status, treść i czas żądania wcześniejszego rozpoczęcia Pro, wersja regulaminu, potwierdzenie wysłania e-maila oraz dane zwrotu. CV Studio nie otrzymuje pełnego numeru karty. | Uruchomienie płatności, aktywacja planu, zapobieganie podwójnemu rozliczeniu i rozpatrywanie reklamacji. | Wykonanie umowy (art. 6 ust. 1 lit. b), obowiązki prawne przy płatnościach Live (lit. c) i obrona roszczeń (lit. f). |
| Adres IP, nagłówki żądania, czas, ścieżka, kod odpowiedzi, błędy techniczne i skróty używane do limitowania prób logowania. | Dostarczenie usługi, ochrona przed nadużyciami, diagnostyka i dostępność. | Uzasadniony interes administratora w bezpiecznym działaniu usługi (art. 6 ust. 1 lit. f RODO). |
| Adres e-mail i treść korespondencji. | Odpowiedź na pytanie, żądanie dotyczące danych lub reklamację. | Art. 6 ust. 1 lit. b, c lub f RODO — zależnie od treści sprawy. |
Podanie danych konta jest dobrowolne, ale konieczne do zapisu i pobierania dokumentów. Dane w CV podajesz samodzielnie; niektóre dane konta otrzymujemy od Google, a informacje o płatności — od Stripe.
Jeżeli umieszczasz w CV dane innej osoby, na przykład osoby udzielającej referencji, upewnij się, że możesz zgodnie z prawem z nich korzystać i ogranicz je do informacji potrzebnych w rekrutacji.
3. Dane w przeglądarce
Bez logowania szkic CV i szkic kreatora mogą być zapisane wyłącznie w pamięci lokalnej przeglądarki. Po zalogowaniu w tej samej pamięci znajduje się token sesji i pomocnicza nazwa użytkownika. Osoba używająca tego samego profilu przeglądarki może uzyskać do nich dostęp, dlatego po pracy na współdzielonym urządzeniu wyloguj się i usuń dane witryny.
CV Studio nie zapisuje anonimowej kolejki zdarzeń marketingowych, nie używa Google Analytics ani piksela reklamowego. Technicznie niezbędne mechanizmy pamięci przeglądarki działają bez banera zgody, ponieważ służą wyłącznie żądanej funkcji i bezpieczeństwu sesji.
4. Import PDF, AI i ogłoszenia
Oryginalny plik PDF jest odczytywany na potrzeby importu i nie jest przechowywany jako plik po zakończeniu operacji. Zachowany może zostać ustrukturyzowany wynik importu, nazwa i rozmiar pliku, status oraz bezpieczny kod błędu. Zależnie od funkcji strony PDF mogą zostać zamienione na obrazy i przekazane do Cloudflare Workers AI albo — gdy skonfigurowano odpowiednią funkcję — do OpenAI.
Na koncie Free, po udanym imporcie, ustrukturyzowana treść CV może zostać przekazana do Cloudflare Workers AI w celu wstępnej, orientacyjnej oceny (kategorie, rodzaje problemów i krótkie cytaty z CV). Wynik jest przechowywany tak długo jak import i usuwany razem z nim albo z kontem; trafia też do eksportu danych. Jeśli później uruchomisz „Sprawdź CV” w Pro, kody i cytaty z tej oceny są przekazywane do OpenAI razem z treścią CV jako wskazówki do weryfikacji.
Asystent AI przekazuje OpenAI polecenie oraz zakres dokumentu potrzebny do odpowiedzi. Dostosowanie do oferty może pobrać treść publicznej strony wskazanej przez użytkownika; właściciel tej strony otrzyma wtedy żądanie z infrastruktury serwera CV Studio. Wyniki AI mogą zawierać błędy i wymagają weryfikacji przez użytkownika.
Asystent CV zapisuje pytania, odpowiedzi, wybrane CV, ofertę pracy i podgląd wyniku na koncie. Nowe rozmowy przechowują informacje osobno dla wybranego CV. Starsze rozmowy mogą korzystać z wcześniej zapisanego profilu zawodowego. Pytania i generowanie przesyłają niezbędne informacje do OpenAI. Historia rozmów pozostaje dostępna po wygaśnięciu Pro. Usunięcie rozmowy usuwa jej własne informacje, ale nie zapisane CV ani wcześniejszy profil konta. Eksport i usunięcie konta obejmują także te starsze dane. Logi operacji asystenta zawierają rodzaj zdarzenia i koszt, bez treści odpowiedzi.
Zakaz danych szczególnych kategorii: usługa nie jest przeznaczona do przetwarzania takich danych. Nie przesyłaj ich w dokumentach, zdjęciach, ogłoszeniach ani poleceniach AI. Jeżeli CV zawodowe wymaga informacji o dostosowaniach lub zdrowiu, dodaj je poza CV Studio do ostatecznego dokumentu.
AI nie podejmuje decyzji wywołujących skutki prawne ani podobnie istotnie wpływających na użytkownika. Dobór treści, akceptacja zmian i wysłanie CV zawsze należą do użytkownika.
5. Odbiorcy i podmioty przetwarzające
- Render Services, Inc. — hosting frontendu i backendu, PostgreSQL oraz logi techniczne.
- Amazon Web Services, Inc. — prywatny magazyn S3 dla zdjęć i wygenerowanych PDF-ów, gdy S3 jest włączone.
- Cloudflare, Inc. — Workers AI używane w domyślnym procesie odczytu CV.
- OpenAI, L.L.C. — asystent AI, operacje na CV i opcjonalny mechanizm odczytu dokumentu.
- Google — Google Identity Services przy logowaniu lub połączeniu konta.
- Resend, Inc. — dostarczanie linków potwierdzenia e-maila i resetu hasła, powiadomień o zmianie hasła oraz potwierdzenia zakupu Pro, w tym utrwalonego regulaminu i oświadczenia o wcześniejszym rozpoczęciu, z adresu contact@cvstudio.com.pl.
- Stripe — Checkout i obsługa płatności. Stripe może działać również jako niezależny administrator danych wymaganych przez prawo płatnicze.
- home.pl S.A. — rejestracja domeny, obsługa DNS i skrzynki kontaktowej.
- Operator publicznej strony z ofertą pracy — tylko gdy użytkownik poleci CV Studio pobrać treść wskazanego adresu.
Dane mogą zostać ujawnione organom publicznym wyłącznie, gdy wymaga tego prawo. Administrator nie sprzedaje danych osobowych.
Informacje dostawców: Render, AWS, Cloudflare, OpenAI, Google, Resend, Stripe i home.pl.
6. Przekazywanie poza EOG
Usługa jest dostępna na całym świecie, a część dostawców ma siedzibę lub infrastrukturę poza Europejskim Obszarem Gospodarczym, w szczególności w Stanach Zjednoczonych. Gdy dane są przekazywane poza EOG, podstawą są odpowiednie mechanizmy z rozdziału V RODO, takie jak decyzja stwierdzająca odpowiedni stopień ochrony, standardowe klauzule umowne albo Ramy Ochrony Danych UE–USA, jeśli dany odbiorca i transfer spełniają ich warunki. Kopię informacji o właściwym zabezpieczeniu można uzyskać pod adresem kontaktowym administratora.
Dokładny region chmury zależy od aktywnej konfiguracji produkcyjnej. Administrator nie obiecuje przechowywania wyłącznie w Polsce; konfiguracja wdrożeniowa powinna wybierać regiony europejskie, gdy są dostępne.
7. Jak długo przechowujemy dane
- Konto, projekty, elementy CV, zdjęcia, szkice i profil zawodowy, rozmowy, wyniki importów, liczniki użycia i zapisane odpowiedzi AI — do usunięcia ich przez użytkownika lub usunięcia konta. Obecnie odpowiedzi AI nie mają dodatkowego automatycznego terminu czyszczenia.
- Zaproszenia pilotażowe są przypisane do istniejącego konta; zapisujemy numer przydziału, status oraz daty aktywacji i wygaśnięcia w celu realizacji oferty i zapobiegania ponownemu użyciu. Dane własnego zaproszenia są częścią eksportu konta. Przy usunięciu konta odłączamy identyfikator użytkownika, usuwamy daty aktywacji i wygaśnięcia oraz blokujemy zaproszenie. Pozostaje licznik i nieprzypisany do konta numer przydziału z datą wydania; darmowe miejsca nie są przyznawane ponownie.
- Token sesji standardowo wygasa po 7 dniach. Jednorazowy link potwierdzający e-mail wygasa po 24 godzinach. Link resetu hasła jest ważny przez godzinę; baza zapisuje tylko jego nieodwracalny skrót i daty utworzenia, wygaśnięcia oraz użycia. Rekordy resetu są usuwane przy kolejnym żądaniu resetu dla tego konta lub usunięciu konta; samo wygaśnięcie nie usuwa rekordu automatycznie. Zmiana hasła unieważnia dotychczasowe sesje i niewykorzystane linki resetu.
- Historia rozliczeń pozostaje dostępna przez czas istnienia konta. Minimalne dowody zakupu i umowy (adres e-mail kupującego, identyfikatory płatności, kwota, daty, zaakceptowane warunki i dane zwrotu) zachowujemy także po usunięciu konta przez 5 lat od końca roku zakupu. Nieopłacone próby zachowujemy przez 30 dni od usunięcia konta. Trwający zwrot lub udokumentowany spór może wymagać dalszego przechowywania do zakończenia sprawy.
- Logi techniczne są przechowywane według aktywnego planu i ustawień Render. Administrator ogranicza treść logów i nie powinien zapisywać w nich dokumentów ani sekretów.
- Korespondencja — przez czas obsługi sprawy, a następnie do upływu terminów dochodzenia lub obrony roszczeń.
- Po usunięciu wpisy mogą pozostawać przez ograniczony czas w rotujących kopiach zapasowych dostawców. Nie są używane operacyjnie i znikają zgodnie z cyklem kopii.
Usunięcie konta usuwa konto, dokumenty, zdjęcia, importy, rozmowy i operacje AI z aktywnej bazy. Minimalne dowody zakupu są odłączane od konta i zachowywane na potrzeby rozliczeń, reklamacji i zwrotów przez wskazany okres; nie przywracają dostępu ani nie przechodzą na nowe konto. Prywatne pliki usuwa kolejka z ponawianiem. Stripe i Google mogą zachowywać własne dane na odrębnej podstawie prawnej.
8. Bezpieczeństwo
Hasła są przechowywane jako skróty Argon2id, a starsze rekordy są migrowane z bcrypt. API weryfikuje token i właściciela dokumentu przed udostępnieniem pliku, obiekty S3 są prywatne, nazwy plików nie wyznaczają ścieżki magazynu, a próby logowania i rozmiary żądań są ograniczane. Połączenia produkcyjne używają HTTPS. Żaden system nie daje jednak absolutnej gwarancji bezpieczeństwa.
9. Twoje prawa
W granicach RODO możesz żądać dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia oraz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie. Jeśli podstawą jest zgoda, możesz ją wycofać bez wpływu na zgodność wcześniejszego przetwarzania.
Zalogowany użytkownik może pobrać dane i usunąć konto w sekcji Konto i plan. Eksport nie zawiera haseł, tokenów, identyfikatora Google ani prywatnych kluczy magazynu. W pozostałych sprawach napisz na contact@cvstudio.com.pl; administrator może poprosić o potwierdzenie tożsamości.
Możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa.
10. Wiek użytkownika i zasięg
CV Studio jest przeznaczone wyłącznie dla osób, które ukończyły 18 lat. Usługa jest kierowana do konsumentów i może być używana na całym świecie, z zastrzeżeniem dostępności technicznej i lokalnego prawa.
11. Zmiany polityki
Polityka może zostać zmieniona, gdy zmieniają się funkcje, dostawcy lub przepisy. Data obowiązywania znajduje się na początku strony. O istotnych zmianach dotyczących aktywnego konta administrator poinformuje w aplikacji lub e-mailem, jeżeli będzie to wymagane.