Zásady ochrany osobních údajů

Podmínky zpracování osobních údajů (DPA)

Verze 1.1 · Účinné od 19. 7. 2026

1. Úvodní ustanovení a postavení stran

1.1. Tyto Podmínky zpracování osobních údajů („DPA“) upravují zpracování osobních údajů prováděné společností Evolving Labs s.r.o., IČO 29796032, se sídlem Vinecká 1, Čejetičky, 293 01 Mladá Boleslav, Česká republika („Evolving“ nebo „Zpracovatel“) jménem klienta Evolvingu („Klient“ nebo „Správce“).

1.2. DPA tvoří smlouvu o zpracování osobních údajů ve smyslu čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 („GDPR“) a je součástí smluvního vztahu mezi Evolvingem a Klientem vždy, když Evolving při poskytování služby zpracovává osobní údaje jménem Klienta.

1.3. Klient vystupuje jako správce osobních údajů uchazečů a určuje účely a základní prostředky zpracování, zejména pracovní pozici, rozsah požadovaných údajů a kvalifikační kritéria. Evolving vystupuje jako zpracovatel a zpracovává osobní údaje pouze v rozsahu sjednané služby a podle doložených pokynů Klienta.

1.4. Pokud Evolving zpracovává určité osobní údaje pro vlastní, od zpracování uchazečů oddělené zákonné účely, zejména vlastní účetnictví, správu smluvních vztahů nebo ochranu právních nároků, vystupuje pro takové zpracování jako samostatný správce; takové zpracování není předmětem tohoto DPA.

2. Předmět, povaha, účel a doba zpracování

2.1. Předmětem zpracování je technické zajištění výkonnostního náborového systému Evolving pro pracovní pozice Klienta.

2.2. Evolving může podle rozsahu objednané služby provádět zejména následující operace:

• provoz náborové stránky a webového formuláře;
• příjem, ukládání, strukturování a zobrazování reakcí uchazečů;
• technické zpracování odpovědí a deterministické vyhodnocování, filtrování nebo řazení podle pravidel stanovených Klientem;
• zpřístupnění údajů oprávněným uživatelům Klienta prostřednictvím klientského systému;
• export údajů podle pokynu Klienta;
• odesílání automatických systémových oznámení uchazečům jménem Klienta, je-li tato funkce Klientem pro danou kampaň aktivována;
• zajištění e-mailové nebo jiné systémové komunikace, pokud je součástí služby;
• technickou podporu, údržbu, zabezpečení a řešení incidentů;
• zálohování a obnovu systému.

2.3. Účelem zpracování je umožnit Klientovi provozovat výběrové řízení na konkrétní pracovní pozice a využívat k tomu technické, marketingové a automatizační nástroje Evolvingu.

2.4. Evolving není oprávněn používat osobní údaje uchazečů pro vlastní náborové účely, vytvářet z nich vlastní databázi kandidátů pro jiné zaměstnavatele ani je poskytovat jiným klientům Evolvingu.

2.5. Zpracování trvá po dobu poskytování služby a následně po dobu stanovenou tímto DPA nebo doloženým pokynem Klienta. Standardní retenční pravidlo aktivního systému je uvedeno v článku 11.

2.6. Klient uděluje Evolvingu pokyn k vytváření agregovaných statistik výkonu kampaně (zejména počty reakcí, konverze, průchod funnelem a rozložení výsledků vyhodnocení) v podobě, z níž nelze určit konkrétního uchazeče ani je přiřadit ke konkrétní reakci, a k jejich užití pro zlepšování služby.

2.7. Reklamní publika, měřicí kódy a konverzní události vytvořené pro kampaň Klienta používá Evolving výhradně pro kampaně tohoto Klienta. Údaje z kampaně Klienta nejsou používány k cílení kampaní jiných klientů. Provozuje-li Evolving kampaň z vlastního reklamního účtu, vede pro Klienta oddělené publikum a datový zdroj.

3. Kategorie subjektů údajů a osobních údajů

3.1. Kategorie subjektů údajů tvoří zejména uchazeči a zájemci o pracovní pozice Klienta.

3.2. Zpracovávané osobní údaje mohou podle nastavení konkrétní kampaně zahrnovat zejména:

• jméno a příjmení;
• telefonní číslo a e-mailovou adresu;
• město nebo jiný údaj o lokalitě;
• údaje obsažené v životopisu nebo jiném souboru nahraném uchazečem;
• odpovědi na kvalifikační a jiné otázky vztahující se k pracovní pozici;
• stav výběrového řízení;
• hodnocení a poznámky vložené Klientem;
• technické údaje související s použitím náborové stránky a systému;
• další údaje, které Klient v rámci konkrétní kampaně oprávněně nastaví nebo které uchazeč dobrovolně poskytne.

3.3. Zpracování zvláštních kategorií osobních údajů podle čl. 9 GDPR ani údajů o odsouzeních a trestných činech podle čl. 10 GDPR není standardní součástí služby.

3.4. Klient nesmí cílený sběr takových údajů prostřednictvím systému nastavit bez předchozího ověření odpovídajícího právního důvodu a bez dohody s Evolvingem o potřebných technických a smluvních opatřeních.

4. Pokyny Klienta a zákonnost zpracování

4.1. Evolving zpracovává osobní údaje pouze na základě doložených pokynů Klienta a pouze v rozsahu nezbytném pro poskytování sjednané služby.

4.2. Za doložený pokyn se považuje zejména konkrétní objednávka, nastavení kampaně nebo systému provedené či schválené Klientem, písemná nebo elektronická komunikace Klienta a další prokazatelný pokyn týkající se zpracování osobních údajů.

4.3. Pokud má Evolving důvodně za to, že pokyn Klienta porušuje GDPR nebo jiný právní předpis na ochranu osobních údajů, upozorní Klienta a může provedení takového pokynu pozastavit do vyjasnění jeho zákonnosti.

4.4. Klient odpovídá zejména za existenci právního důvodu zpracování, splnění informační povinnosti vůči uchazečům, přiměřenost a zákonnost požadovaných údajů a kvalifikačních kritérií, zásadu minimalizace údajů, zákonnost údajů a poznámek vložených jeho uživateli, správu vlastních uživatelských přístupů a ochranu údajů po jejich exportu ze systému Evolvingu.

4.5. Automatické vyhodnocování, označení a řazení reakcí v systému probíhá výhradně podle deterministických pravidel a kvalifikačních kritérií stanovených nebo schválených Klientem; systém nepoužívá k hodnocení odpovědí uchazečů umělou inteligenci ani jiné nedeterministické metody. Evolving nerozhoduje o přijetí, odmítnutí ani dalším postupu konkrétního uchazeče vlastním úsudkem.

4.6. Klient má v systému přístup ke všem dokončeným reakcím; reakce nesplňující kvalifikační kritéria jsou označeny a řazeny, nikoli skryty nebo odstraněny. Klient je oprávněn výsledek automatického vyhodnocení u konkrétní reakce změnit.

4.7. Systém může jménem Klienta odeslat uchazeči automatické oznámení o nesplnění podmínky pouze u podmínek, které Klient v nastavení kampaně označil jako vylučující podmínky výkonu práce (například požadované oprávnění, způsobilost nebo věk vyžadovaný právním předpisem). Aktivací této funkce Klient dává Evolvingu pokyn k jejímu použití a odpovídá za splnění podmínek čl. 22 GDPR, zejména za informování uchazečů a za možnost požádat o lidské posouzení; Evolving pro tento účel poskytne odpovídající text a kontaktní pole ve formuláři.

4.8. Evolving poskytne Klientovi pro každou kampaň srozumitelný popis použitých kvalifikačních kritérií a způsobu jejich vyhodnocení a šablonu informace pro uchazeče, aby Klient mohl splnit povinnosti podle čl. 13 odst. 2 písm. f) a čl. 15 odst. 1 písm. h) GDPR. Klient je ve formuláři uveden jako správce osobních údajů.

5. Povinnosti Evolvingu a mlčenlivost

5.1. Evolving zejména:

• zpracovává osobní údaje pouze podle doložených pokynů Klienta, ledaže zpracování vyžaduje přímo použitelný právní předpis;
• zajistí, aby osoby oprávněné zpracovávat osobní údaje byly zavázány mlčenlivostí nebo podléhaly odpovídající zákonné povinnosti mlčenlivosti;
• přijme přiměřená technická a organizační opatření k zabezpečení osobních údajů;
• dodržuje pravidla pro zapojení dalších zpracovatelů;
• vede záznamy o kategoriích činností zpracování prováděných pro Klienta podle čl. 30 odst. 2 GDPR;
• poskytuje Klientovi součinnost v rozsahu stanoveném GDPR a tímto DPA;
• po skončení zpracování s údaji naloží podle článků 11 a 12 tohoto DPA.

5.2. Pokud právní předpis uloží Evolvingu zpracování mimo pokyny Klienta, Evolving o této povinnosti Klienta předem informuje, pokud mu to právní předpis nezakazuje z důvodů veřejného zájmu.

6. Přístupová oprávnění a role

6.1. Evolving zajistí, aby k osobním údajům konkrétních uchazečů měly přístup pouze osoby, jejichž přístup je nezbytný pro plnění pracovních nebo smluvních úkolů, zejména pro technický provoz, podporu, údržbu, zabezpečení a řešení incidentů.

6.2. Klientští uživatelé mají přístup pouze k údajům své organizace a ke kampaním, ke kterým jim bylo uděleno oprávnění.

6.3. Obchodní a jiné role Evolvingu, které nepotřebují přístup k osobním údajům uchazečů, mají přístup pouze k agregovaným neidentifikujícím statistikám výkonu kampaní, například k počtu reakcí, statistickému rozložení scoringu nebo konverzním metrikám.

6.4. Tyto role nemají přístup ke jménům, kontaktním údajům, životopisům, individuálním odpovědím, poznámkám ani jiným údajům umožňujícím identifikaci konkrétního uchazeče.

6.5. Evolving přístupová oprávnění přiměřeně spravuje a upraví nebo odebere přístup, pokud již není potřebný.

6.6. Přístup pracovníků Evolvingu k údajům konkrétních uchazečů je zaznamenáván v auditním logu (identifikace osoby, čas, dotčený záznam a důvod přístupu). Záznam z auditního logu je Klientovi na odůvodněnou žádost zpřístupněn.

7. Další zpracovatelé

7.1. Klient uděluje Evolvingu obecné písemné oprávnění k zapojení dalších zpracovatelů nezbytných pro poskytování služby.

7.2. Evolving vede aktuální seznam dalších zpracovatelů a zpřístupňuje jej Klientovi elektronicky. Aktuální známý seznam ke dni účinnosti tohoto DPA je uveden v Příloze 1.

7.3. Pokud Evolving zamýšlí zapojit nového dalšího zpracovatele nebo stávajícího zpracovatele nahradit způsobem relevantním pro osobní údaje Klienta, informuje Klienta elektronicky nejméně 14 kalendářních dnů předem a umožní mu v této lhůtě vznést odůvodněnou námitku z důvodů ochrany osobních údajů.

7.4. Evolving uloží dalšímu zpracovateli smluvní povinnosti v oblasti ochrany osobních údajů, které v relevantním rozsahu poskytují ochranu požadovanou čl. 28 GDPR.

7.5. Evolving zůstává vůči Klientovi odpovědný za plnění povinností dalšího zpracovatele v rozsahu stanoveném GDPR.

7.6. Pokud Klient vznese proti novému dalšímu zpracovateli odůvodněnou námitku a strany nenaleznou přiměřené řešení, může Evolving přestat poskytovat část služby závislou na daném poskytovateli nebo mohou strany tuto část služby ukončit.

8. Předávání osobních údajů mimo EHP

8.1. Evolving nebude osobní údaje předávat do třetí země mimo Evropský hospodářský prostor nebo mezinárodní organizaci bez splnění podmínek kapitoly V GDPR.

8.2. Pokud další zpracovatel zpracovává osobní údaje mimo EHP, Evolving zajistí odpovídající mechanismus předání, zejména rozhodnutí Evropské komise o odpovídající ochraně, standardní smluvní doložky Evropské komise nebo jiný mechanismus přípustný podle GDPR.

8.3. Informace o relevantních přenosech mimo EHP budou uvedeny v seznamu dalších zpracovatelů nebo budou Klientovi jinak dostupné.

9. Technická a organizační opatření

9.1. Evolving přijímá s ohledem na stav techniky, náklady na provedení, povahu, rozsah, kontext a účely zpracování a související rizika přiměřená technická a organizační opatření k zabezpečení osobních údajů.

9.2. Tato opatření zahrnují podle povahy systému zejména:

• řízení uživatelských oprávnění a autentizaci uživatelů;
• omezení přístupu podle rolí a principu nezbytného rozsahu;
• ochranu komunikace a přenosu dat;
• zálohování a opatření k obnově dostupnosti systému;
• ochranu databází a souborového úložiště;
• aktualizaci a údržbu používaných systémů;
• evidenci a řešení bezpečnostních incidentů;
• opatření k zajištění důvěrnosti, integrity a dostupnosti údajů;
• přiměřené ověřování účinnosti zavedených bezpečnostních opatření.

9.3. Evolving je oprávněn technická a organizační opatření průběžně měnit a rozvíjet, pokud tím nesníží celkovou úroveň ochrany osobních údajů.

9.4. Detailní technická a organizační opatření mohou být popsána v samostatné bezpečnostní dokumentaci Evolvingu a na odůvodněnou žádost Klienta mohou být v přiměřeném rozsahu doložena při zachování bezpečnosti a důvěrnosti systému.

10. Porušení zabezpečení osobních údajů

10.1. Evolving oznámí Klientovi porušení zabezpečení osobních údajů týkající se údajů zpracovávaných jeho jménem bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl.

10.2. Evolving poskytne Klientovi dostupné informace potřebné pro posouzení incidentu a případné splnění oznamovacích povinností podle GDPR, zejména pokud jsou dostupné:

• popis povahy incidentu;
• dotčené kategorie údajů a subjektů údajů;
• známé nebo předpokládané důsledky;
• přijatá nebo navržená nápravná opatření;
• kontaktní místo pro další komunikaci.

10.3. Není-li možné poskytnout všechny informace současně, mohou být poskytovány postupně bez zbytečného dalšího prodlení.

10.4. Evolving poskytne Klientovi přiměřenou součinnost při vyhodnocení incidentu a při plnění povinností podle čl. 33 a 34 GDPR.

11. Doba uchování, výmaz a zálohy

11.1. Osobní údaje uchazečů jsou v aktivním systému Evolving standardně uchovávány po dobu 12 měsíců od vytvoření záznamu kandidáta, pokud Klient neurčí kratší dobu nebo nepožádá o jejich dřívější výmaz.

11.2. Po uplynutí příslušné doby uchování Evolving odstraní osobní údaje z aktivních systémů, pokud jejich další uchování nevyžaduje právní předpis nebo jiný doložený pokyn Klienta.

11.3. Klient může Evolving kdykoli požádat o dřívější výmaz osobních údajů konkrétního uchazeče nebo skupiny uchazečů, pokud jejich další uchování není vyžadováno právním předpisem.

11.4. Osobní údaje odstraněné z aktivního systému mohou po omezenou dobu, nejdéle 6 měsíců, přetrvávat v zabezpečených rotačních zálohách vytvořených za účelem obnovy systému. Tyto kopie nejsou určeny k běžnému zpracování ani zpřístupňovány běžným uživatelům a jsou odstraňovány v rámci standardního zálohovacího cyklu Evolvingu.

11.5. Pokud dojde k obnovení systému ze zálohy, Evolving přijme přiměřené kroky k opětovnému provedení výmazů, které byly provedeny před obnovou systému.

12. Export a skončení služby

12.1. Klient může v rozsahu umožněném systémem exportovat údaje svých uchazečů, zejména do formátu CSV nebo Excel.

12.2. Kopie osobních údajů, které Klient ze systému exportuje nebo jinak převezme, se dále nacházejí pod kontrolou Klienta a Evolving neodpovídá za jejich další uchování, zabezpečení, předání nebo výmaz mimo systémy Evolvingu.

12.3. Po ukončení smluvního vztahu umožní Evolving Klientovi po dobu 30 kalendářních dnů převzít osobní údaje, které je Klient oprávněn dále zpracovávat, exportem ve formátu CSV nebo Excel; nahrané soubory v původním formátu.

12.4. Po uplynutí doby podle odstavce 12.3 Evolving osobní údaje do 60 kalendářních dnů vymaže z aktivních systémů, nedá-li Klient do té doby písemný pokyn k jejich vrácení jiným způsobem, a to s výjimkou případů, kdy právní předpis vyžaduje jejich další uchování. Výmaz Evolving Klientovi na vyžádání potvrdí. Pro zálohy platí odstavce 11.4 a 11.5.

13. Práva subjektů údajů

13.1. Za posouzení a vyřizování žádostí subjektů údajů podle GDPR odpovídá Klient jako správce osobních údajů.

13.2. Pokud Evolving obdrží žádost uchazeče týkající se osobních údajů zpracovávaných jménem Klienta, předá ji bez zbytečného odkladu příslušnému Klientovi, není-li právním předpisem vyžadován jiný postup.

13.3. Evolving poskytne Klientovi s ohledem na povahu zpracování přiměřenou technickou a organizační součinnost potřebnou k vyřízení žádosti subjektu údajů, zejména žádosti o přístup, opravu, výmaz, omezení zpracování nebo přenositelnost údajů.

13.4. Klient odpovídá za posouzení oprávněnosti jednotlivých žádostí a za komunikaci se subjektem údajů.

13.5. Pokud součinnost Evolvingu přesahuje běžný rozsah poskytované služby a vyžaduje mimořádný rozsah práce, mohou se strany dohodnout na přiměřené úhradě této dodatečné práce, pokud takový postup připouštějí právní předpisy.

14. Součinnost při plnění GDPR

14.1. Evolving poskytne Klientovi přiměřenou součinnost při plnění povinností podle čl. 32 až 36 GDPR v rozsahu, v jakém se tyto povinnosti vztahují ke zpracování prováděnému Evolvingem.

14.2. Součinnost může podle okolností zahrnovat zejména informace o zabezpečení systému, zapojených dalších zpracovatelích, bezpečnostních incidentech, podklady potřebné pro posouzení vlivu na ochranu osobních údajů a součinnost při komunikaci s dozorovým úřadem.

14.3. Klient odpovídá za rozhodnutí, zda je pro jeho konkrétní zpracování nezbytné provést posouzení vlivu na ochranu osobních údajů nebo předchozí konzultaci s dozorovým úřadem. Evolving poskytne dostupné informace týkající se jeho části zpracování.

15. Audity a prokazování souladu

15.1. Evolving zpřístupní Klientovi informace nezbytné k doložení plnění povinností podle čl. 28 GDPR.

15.2. Klient je oprávněn v přiměřeném rozsahu ověřit plnění těchto povinností prostřednictvím auditu nebo jiného kontrolního mechanismu.

15.3. Klient přednostně využije dokumentaci, bezpečnostní podklady, dotazníky, certifikace nebo jiné informace poskytnuté Evolvingem, pokud jsou dostatečné k ověření požadované skutečnosti.

15.4. Kontrola na místě je možná zejména tehdy, pokud předchozí způsob neposkytuje dostatečné informace nebo existuje důvodné podezření na závažné porušení povinností. Musí být oznámena s přiměřeným předstihem, probíhat v běžné pracovní době a způsobem, který nepřiměřeně nenaruší provoz Evolvingu ani neohrozí důvěrné informace jiných klientů.

15.5. Klient a jeho auditor jsou povinni zachovávat mlčenlivost o všech informacích získaných během auditu.

15.6. Každá strana nese své běžné náklady auditu. Pokud Klient požaduje mimořádně rozsáhlou kontrolu přesahující rozumný rozsah povinné součinnosti, mohou se strany dohodnout na úhradě dodatečných nákladů Evolvingu.

16. Odpovědnost stran

16.1. Každá strana odpovídá za plnění povinností, které jí příslušejí podle GDPR, tohoto DPA a dalších použitelných právních předpisů.

16.2. Klient odpovídá zejména za zákonnost účelu, právní základ, transparentnost vůči uchazečům, rozsah požadovaných údajů, kvalifikační kritéria a pokyny udělené Evolvingu.

16.3. Evolving odpovídá zejména za zpracování v souladu s doloženými pokyny Klienta, zabezpečení v rozsahu své části systému, pravidla pro další zpracovatele a další povinnosti zpracovatele podle GDPR.

16.4. Ujednání smluvních stran o rozdělení odpovědnosti, náhradě újmy nebo případných limitech odpovědnosti ve Všeobecných obchodních podmínkách se použijí ve vzájemném vztahu stran v rozsahu, v jakém to právní předpisy připouštějí. Tím nejsou dotčena práva subjektů údajů ani odpovědnost vůči dozorovým orgánům, kterou nelze smluvně vyloučit.

17. Doba trvání, změny a závěrečná ustanovení

17.1. Toto DPA nabývá účinnosti současně se smluvním vztahem mezi Klientem a Evolvingem, jehož součástí je zpracování osobních údajů, a trvá po celou dobu, po kterou Evolving zpracovává osobní údaje jménem Klienta.

17.2. Povinnosti, které mají podle své povahy trvat i po skončení zpracování, zejména povinnost mlčenlivosti, zabezpečení údajů dosud obsažených v zálohách a vypořádání osobních údajů, trvají i po skončení smlouvy.

17.3. V případě rozporu mezi tímto DPA a Všeobecnými obchodními podmínkami má ve věcech zpracování osobních údajů přednost toto DPA. Individuální ujednání uzavřené výslovně pro zpracování osobních údajů má přednost před tímto DPA.

17.4. Evolving je oprávněn toto DPA přiměřeně aktualizovat, zejména v důsledku změn právních předpisů, technologií nebo způsobu poskytování služby. Pro jednorázové objednávky se použije znění účinné při uzavření příslušného smluvního vztahu, není-li změna nutná k zachování souladu s kogentními právními předpisy. U dlouhodobých vztahů Evolving oznámí podstatnou změnu Klientovi nejméně 30 kalendářních dnů předem; Klient může změnu z důvodů ochrany osobních údajů odmítnout postupem podle článku 7.6 obdobně.

17.5. Toto DPA se řídí právním řádem České republiky a GDPR.

17.6. Kontaktním místem Evolvingu pro otázky zpracování osobních údajů je info@evolving.cz.

17.7. Toto DPA nabývá účinnosti dne 19. 7. 2026.

Příloha 1. Aktuální další zpracovatelé

Níže uvedený seznam zachycuje hlavní další zpracovatele známé a aktivně využívané ke dni účinnosti tohoto DPA. Evolving může seznam měnit postupem podle článku 7.

SMS služby ani nástroje umělé inteligence nejsou ke dni účinnosti tohoto DPA využívány jako součást standardního zpracování kandidátských dat. Před jejich aktivací Evolving prověří smluvní a zpracovatelský rámec a v případě potřeby aktualizuje seznam dalších zpracovatelů.