Polityka prywatności

Ta polityka wyjaśnia, co maxcv.ai (prowadzone przez Coder AI) zbiera i przechowuje oraz, co równie ważne, czego nigdy nie robi z Twoimi danymi. Obejmuje strony i aplikacje maxcv.ai oraz maxcv.pl, a także rozszerzenie Chrome „MaxCV.ai – Resume Tailor & ATS Optimizer”.

1. Kim jesteśmy

maxcv.ai tworzy i prowadzi Coder AI (marka 2Dynamic Games sp. z o.o., Wadowicka 7, 30-347 Kraków, Polska, VAT UE PL5272716666). W sprawach dotyczących tej polityki lub Twoich danych napisz na adres support@coderai.dev.

2. Co i jak długo przechowujemy

Usunięcie danych usuwa je z aktywnej bazy. Funkcja Time Travel w Cloudflare D1 jest zawsze włączona i może zachować możliwy do przywrócenia wcześniejszy stan bazy przez maksymalnie 30 dni w planie Workers Paid lub 7 dni w planie Workers Free. Po tym okresie punkty przywracania wygasają zgodnie z zasadami Cloudflare. Przywrócenie bazy w tym czasie może odtworzyć usunięte rekordy; po każdym przywróceniu musimy ponownie wykonać odpowiednie żądania usunięcia. Zobacz dokumentację Time Travel.

Nie zapisujemy tekstu CV, CV strukturalnego, nazw plików ani dopasowanych CV w localStorage przeglądarki. Główne CV i historia dopasowań zalogowanego użytkownika są wczytywane z jego konta; zmiana konta lub wylogowanie czyści stan karty. Przetwarzanie u dostawców opisujemy niżej.

2.1 Jak chronimy dane kontaktowe

• Maskowanie. Gdy tekst CV jest już dostępny, nasz serwer wykrywa imię i nazwisko, adresy e-mail, numery telefonów i linki za pomocą stałych reguł, bez modelu AI. Zastępuje je znacznikami, takimi jak [EMAIL_1], zanim uruchomimy modele analizujące i dopasowujące CV. W przypadku znanych serwisów profilowych nazwa serwisu pozostaje widoczna, na przykład github.com/[LINK_1]. Prawdziwe dane wracają do wyniku na naszym serwerze.
• Ograniczenia maskowania. Wykrywanie jest automatyczne i może coś pominąć: odmienione nazwisko, samo imię, niektóre domeny bez adresu www czy nietypowy format telefonu. Jeśli imię i nazwisko nie zostanie wykryte lokalnie, mogą je zobaczyć pierwsze kroki (kontrola treści, wstępna ocena roli i analiza CV). Nie polegaj wyłącznie na maskowaniu w przypadku treści, których nie chcesz przetwarzać.
• Wgrywanie PDF. Aby odczytać PDF, wysyłamy cały plik, razem z danymi kontaktowymi, przez OpenRouter, z wymaganą zerową retencją danych. Dzieje się to przed maskowaniem. Nie wywołujemy już OpenAI bezpośrednio. Plik Word (.docx) odczytujemy na własnym serwerze, bez modelu AI, a tekst wklejony lub wgrany jako TXT trafia od razu do maskowania. Oferty pracy nie są maskowane.
• Szyfrowanie w bazie. Zapisane CV i dopasowania zawierają znaczniki. Prawdziwe dane kontaktowe są w osobnym sejfie szyfrowanym AES-GCM, przypisanym do danego rekordu, i są odszyfrowywane tylko na żądanie, na przykład gdy otwierasz CV lub pobierasz wynik.
• Czym maskowanie nie jest. Twoje CV nie staje się anonimowe: pozostała treść, na przykład pracodawcy i doświadczenie, jest czytelna dla dostawców AI z punktu 4.

3. Czego nigdy nie robimy

• Nigdy nie trenujemy modeli AI, własnych ani cudzych, na Twoich CV, ofertach ani danych osobowych.
• Nigdy nie sprzedajemy ani nie wynajmujemy Twoich danych i nie udostępniamy ich rekruterom. Poza obowiązkami prawnymi udostępnianie ogranicza się do podmiotów opisanych w punkcie 4 w celu działania usługi oraz pomiaru naszych reklam. Ten pomiar reklam może wysyłać do OpenAI dane kontaktowe haszowane w przeglądarce w celu dopasowania konwersji, zgodnie z opisem w punkcie 4.
• Nigdy nie wysyłamy e-maili marketingowych. Wysyłamy wyłącznie wiadomości transakcyjne, takie jak linki logowania, wiadomość z wynikiem dla gościa i potwierdzenie zakupu.
• Nie wyświetlamy reklam, a Google Analytics (punkt 4) nigdy nie otrzymuje Twojego CV, treści ofert, adresu e-mail ani imienia.

4. Podmioty przetwarzające

Aby świadczyć usługę, części Twoich danych przetwarzają poniższe podmioty, na podstawie własnych zobowiązań dotyczących bezpieczeństwa:

• Cloudflare — hosting, baza danych (D1), generowanie PDF (Browser Rendering), ochrona przed botami (Turnstile) oraz zbiorcze statystyki odwiedzin bez cookies (Cloudflare Web Analytics na wszystkich stronach maxcv.ai, także stronach z tokenem logowania; bez cookies i identyfikatorów).
• OpenRouter i dostawcy modeli, do których kieruje żądania — przejściowe przetwarzanie przez modele językowe Twojego CV (z danymi kontaktowymi zamaskowanymi zgodnie z punktem 2.1) i treści oferty, aby przygotować wynik i list motywacyjny. Wgrany PDF trafia w całości, razem z danymi kontaktowymi, przez OpenRouter do odczytania tekstu, obecnie do modelu OpenAI hostowanego w Microsoft Azure. Każde żądanie do OpenRouter, także odczyt PDF, wymaga trasowania Zero Data Retention, zabrania zbierania danych i kończy się błędem, gdy brak zgodnego punktu dostępu. Nie wywołujemy OpenAI bezpośrednio. Te ustawienia nie gwarantują, że żaden dostawca niczego nie zachowa: przechowywanie zależy też od ustawień konta i polityk dostawców. Na przykład modele Google w Vertex, których możemy używać jako zapasowych i do odczytu ofert pracy, mogą przechowywać do 90 dni prompty oznaczone przez filtry bezpieczeństwa Google w celu monitorowania nadużyć, a OpenRouter podaje, że sprawdza żądania pod kątem materiałów przedstawiających seksualne wykorzystywanie dzieci i może zachować oznaczone treści. Zobacz ZDR w OpenRouter.
• TypeSafe (Jev) — gdy jest włączony, przetwarza zamaskowany tekst CV i treść oferty, aby sprawdzić treść dokumentu, ocenić pokrycie wymagań i porównać dopasowane stwierdzenia z oryginalnym CV. TypeSafe wywołujemy bezpośrednio, nie przez OpenRouter, i nie przechowuje tych danych.
• Stripe — obsługa płatności i obliczanie podatku. Przy płatności Stripe zbiera adres rozliczeniowy, a jeśli podasz numer VAT, także ten numer i nazwę firmy. Te dane zostają w Stripe po usunięciu konta (punkt 6). Nigdy nie widzimy ani nie przechowujemy numeru Twojej karty.
• Mailgun (region UE) — wysyła nasze e-maile logowania i jedną wiadomość z wynikiem dla gościa. Wiadomość zawiera Twoje imię, wyniki i PDF dopasowanego CV, razem z danymi kontaktowymi. Po zakupie wysyła też potwierdzenie na e-mail konta (a jeśli nie możemy go odczytać, na e-mail podany w płatności) z informacją o tym, co kupiono, kwotą, datą i, jeśli ją wyrażono, zgodą dotyczącą odstąpienia.
• Google Analytics (Google Ireland Ltd.) — zbiorcze statystyki korzystania z maxcv.ai i maxcv.pl, także strony startowej i obszaru roboczego CV (ekrany aplikacji są zgłaszane wyłącznie pod ogólną nazwą, nigdy z identyfikatorem dopasowania, CV ani konta). Skrypty analityczne nie działają na stronach z tokenem logowania, nawet po udzieleniu zgody. Usługa ustawia własne cookies _ga z losowym identyfikatorem. Adresy stron są przed wysłaniem ograniczane do ścieżki i tagów kampanii; e-mail, imię, identyfikator konta, CV ani treść ofert nie są nigdy udostępniane. Przeglądarki wysyłające sygnał Global Privacy Control nie są śledzone; możesz też użyć blokera lub dodatku Google do rezygnacji. Nie jest używana w rozszerzeniu Chrome.
• OpenAI Measurement Pixel — mierzy potwierdzone wysłanie e-maila logowania (także wiadomości z wynikiem dla gościa zawierającej link logowania) oraz zakończone rejestracje konta na maxcv.ai i maxcv.pl, abyśmy wiedzieli, które z naszych reklam w ChatGPT przyprowadzają użytkowników. Ładuje się na każdej stronie niezależnie od ustawień cookies: traktujemy ten pomiar jako niezbędny do prowadzenia i finansowania usługi i opieramy go na naszym prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f RODO). Nie używamy go do remarketingu, personalizacji reklam ani wysyłania e-maili reklamowych. Samo zapisanie adresu e-mail nie jest liczone jako lead. Znacznik maxcv_openai_lead w pamięci sesji przeglądarki ogranicza pomiar leada do jednego na sesję karty, także po ponownym wysłaniu wiadomości i odświeżeniu strony; zawiera tylko wartość logiczną, bez adresu e-mail ani identyfikatora użytkownika, i wygasa z końcem sesji karty. Nasze zdarzenia nie zawierają ręcznie przekazanych pól użytkownika, CV ani treści ofert. Automatyczne zaawansowane dopasowywanie Pixela może wykrywać obsługiwane dane kontaktowe na stronie, normalizować je, haszować algorytmem SHA-256 w przeglądarce i wysyłać skróty do OpenAI w celu dopasowania konwersji; ta funkcja nie wysyła surowych wartości danych kontaktowych. Pixel otrzymuje domenę strony i używa własnych cookies __oppref (30 dni od przechwycenia identyfikatora kliknięcia reklamy) oraz __obref (365 dni, losowy identyfikator przeglądarki). Ograniczenia przeglądarki mogą skrócić te okresy. Nie ładuje się na stronach z tokenem logowania, w rozszerzeniu Chrome ani przy włączonym Global Privacy Control. Aby zrezygnować, włącz Global Privacy Control w przeglądarce; możesz też zgłosić sprzeciw, pisząc na support@coderai.dev.

5. Uprawnienia rozszerzenia Chrome

Rozszerzenie pobiera ogłoszenia z serwisów z ofertami i wysyła je do aplikacji. Wymaga:

• activeTab i scripting: odczytuje zawartość bieżącej karty tylko po Twoim wyraźnym uruchomieniu, aby pobrać opis stanowiska. Nie śledzi historii przeglądania ani nie czyta innych kart.
• host_permissions: komunikuje się wyłącznie z naszym API (https://maxcv.ai/*), aby przesłać ogłoszenie i otrzymać link do aplikacji.
• storage: chrome.storage.local służy tylko do śledzenia stanu przetwarzania („w toku”, „gotowe”, „błąd”) na potrzeby plakietki, bez danych osobowych.
• notifications: aby powiadomić Cię, że ogłoszenie zostało przetworzone.

5.1 Ograniczone wykorzystanie danych w rozszerzeniu MaxCV

Rozszerzenie MaxCV zbiera: treść ogłoszenia na oglądanej stronie (tekst i HTML ogłoszenia, tytuł i adres strony) z linkedin.com, indeed.com, glassdoor.com, pracuj.pl, nofluffjobs.com, justjoin.it, rocketjobs.pl, theprotocol.it, bulldogjob.pl lub innej strony z ofertą, na której je uruchomisz; a jeśli jesteś zalogowany, także adres e-mail konta maxcv.ai. Zbieranie następuje wyłącznie po Twoim kliknięciu i wyraźnej zgodzie w rozszerzeniu.

Wykorzystanie informacji otrzymanych przez rozszerzenie jest zgodne z Chrome Web Store User Data Policy, w tym z wymaganiami Limited Use:

1. Dozwolone użycie. Używamy tych danych wyłącznie do świadczenia i ulepszania jedynego celu rozszerzenia: dopasowania Twojego CV do ogłoszenia, o którego przetworzenie prosisz, oraz utrzymania niezawodności tej funkcji (diagnostyka błędów). Treść ogłoszenia wysłana przez rozszerzenie jest przetwarzana przejściowo i automatycznie usuwana z naszych serwerów około 15 minut po przetworzeniu; gdy dopasujesz do niej CV, do 8000 pierwszych znaków przechowujemy razem z powstałym dopasowaniem i usuwamy razem z nim. Nie używamy jej do profili analitycznych, badań rynku ani trenowania modeli AI ogólnego przeznaczenia.
2. Dozwolone przekazywanie. Przekazujemy te dane wyłącznie: (a) dostawcom usług przetwarzającym je w naszym imieniu i na nasze polecenie, aby dostarczyć funkcję dopasowania (na przykład dostawcy modelu AI wykonującemu analizę, jako podmiotowi przetwarzającemu); (b) gdy jest to konieczne ze względów bezpieczeństwa, na przykład przy badaniu nadużyć; (c) w celu spełnienia wymogów prawa; lub (d) w ramach fuzji, przejęcia lub sprzedaży aktywów, po uzyskaniu Twojej wyraźnej uprzedniej zgody. Nigdy nie sprzedajemy tych danych.
3. Zakaz reklam. Nie używamy i nie przekazujemy danych z rozszerzenia do żadnych celów reklamowych, w tym reklam spersonalizowanych, retargetingu i reklam opartych na zainteresowaniach. Nie używamy ich do pomiaru ani kierowania reklam.
4. Zakaz wglądu ludzi. Nie pozwalamy ludziom czytać danych uzyskanych przez rozszerzenie, z wyjątkiem: (a) Twojej wyraźnej uprzedniej zgody na konkretne dane (na przykład gdy prosisz wsparcie o zbadanie problemu); (b) konieczności ze względów bezpieczeństwa, na przykład przy badaniu nadużyć; (c) wymogów prawa; lub (d) danych zagregowanych i zanonimizowanych, na potrzeby wewnętrzne.

6. Twoje prawa (RODO / CCPA)

• Dostęp: zapisane główne CV zwraca GET /api/cv (to właśnie widok „Moje CV”).
• Sprostowanie: wgraj nowe CV, a zastąpi zapisane.
• Usunięcie: samodzielnie i natychmiast — „Usuń zapisane CV” w Ustawieniach usuwa główne CV; usunięcie dopasowania usuwa to dopasowane CV; usunięcie konta usuwa dane konta, w tym dopasowane CV, dopasowania do wykorzystania i passkeye. Wyjątkiem są zapisy płatności: zachowujemy kwotę, walutę, status i identyfikatory Stripe bez powiązania z Twoim kontem, a Twoich danych w Stripe nie usuwamy, więc e-mail, adres rozliczeniowy, nazwa firmy i numer VAT pozostają w Stripe w zakresie potrzebnym do obowiązków płatniczych, podatkowych i księgowych.
• Przenoszenie: dane CV są dostępne dla Ciebie jako dane strukturalne w aplikacji.
• Skarga: możesz złożyć skargę do lokalnego organu ochrony danych (w Polsce Prezes UODO); będziemy wdzięczni za możliwość rozwiązania sprawy wcześniej pod adresem support@coderai.dev.

Zasady korzystania z usługi opisuje Regulamin. Plany dla porządku: Za darmo (1 dopasowanie bez konta + 3 po rejestracji), Pakiet 30 za 39 zł (bez terminu ważności) i Bez limitu za 99 zł / 30 dni (na maxcv.pl niezależnie od kraju; na maxcv.ai: 9 € / 39 € w Europie, w tym w Polsce, 9 $ / 39 $ w pozostałych krajach lub gdy kraj jest nieznany). Dane płatności obsługuje Stripe, jak opisano wyżej.

7. Zmiany i kontakt

Na bieżąco przeglądamy tę politykę, a zmiany publikujemy na tej stronie z nową datą „Ostatnia aktualizacja”. Pytania, wnioski i uwagi: support@coderai.dev.