Bezpečnost a soulad s AI Actem

• Lidský dohled (čl. 14, 26): AI jen doporučuje. Personalista rozhoduje jednotlivě, vidí citace, přepis i záznam a u zamítnutí píše vlastní důvod. Hromadné zamítání podle skóre neexistuje.
• Žádné rozpoznávání emocí (čl. 5): hodnotí se jen obsah odpovědí, nikdy vzhled, hlas, mimika ani emoce.
• Transparentnost (čl. 50): uchazeč před začátkem ví, že mluví s AI, co se hodnotí a jak dlouho se data uchovávají; souhlasy ukládáme s verzí textu.
• Standardizace a důkazy: strukturu rozhovoru, časové limity a parametry úloh určuje kód, ne model. Skóre bez doslovné citace z přepisu se nezobrazí.
• Kritéria schvaluje firma: rubriku kompetencí AI jen navrhne z inzerátu, personalista ji upraví a schválí.
• Sledovatelnost (čl. 12): u každého plánu a hodnocení ukládáme model a verzi promptu; citlivé akce (založení, souhlasy, hodnocení, rozhodnutí, mazání) jdou do auditního záznamu.
• Přiměřené úpravy: uchazeč může požádat o delší čas, písemné odpovědi nebo rozhovor s člověkem; personalista dostane upozornění.

• Data v EU: aplikace, databáze, úložiště souborů, přenos rozhovoru i naše AI služba běží v datových centrech v EU (Frankfurt, Německo). Jazykový model poskytuje Anthropic (USA) se zárukami podle GDPR – viz seznam zpracovatelů.
• Šifrování: veškerá komunikace přes HTTPS (HSTS), data v databázi a úložišti jsou šifrovaná v klidu.
• Oddělení firem: každý záznam patří jedné firmě a každý dotaz je na ni omezený – včetně API.
• Minimalizace: firma volí režim záznamu (video, jen zvuk, jen přepis). Fronta úloh přenáší jen identifikátory, ne osobní údaje.
• Mazání: data uchazeče se automaticky smažou po lhůtě firmy (30–730 dní), dřív ručně v portálu nebo přes API.

• Přihlášení odkazem na e-mail (bez hesel k uhodnutí), omezený počet pokusů.
• Role vlastník, správce a personalista; nastavení, tým a webhooky jen správci.
• Pozvánka uchazeče je náhodný 256bitový odkaz, v databázi jen jeho otisk; platí 7 dní a přístup do místnosti rozhovoru dostane uchazeč až po souhlasech, jen na 30 minut a jen do své místnosti.
• Záznamy a CV se přehrávají přes krátkodobě podepsané odkazy, jen pro členy firmy.
• API klíče patří firmě a ukládají se jen jako otisk; webhooky podepisujeme HMAC-SHA256 s časovým razítkem.
• Bezpečnostní hlavičky (zákaz vložení do cizích stránek, nosniff, přísná referrer policy).

S každou firmou uzavíráme smlouvu o zpracování osobních údajů (čl. 28 GDPR) se seznamem zpracovatelů. Popis zpracování najdete v zásadách ochrany osobních údajů, informace pro uchazeče na stránce pro uchazeče.

Našli jste bezpečnostní problém? Dejte nám prosím vědět info@hireup.cz, než ho zveřejníte. Ozveme se do dvou pracovních dnů.