Політика конфіденційності

1. Хто відповідає за дані

За обробку твоїх даних на jobshub.win відповідає:

• Roman Zhuchenko
• c/o Block Services, Stuttgarter Str. 106
• 70736 Fellbach
• Deutschland
• Пошта: kontakt@phantom-creator.com
• Telegram: @phantom_kanzler_bot

Окремого уповноваженого із захисту даних немає: сайт веде одна людина, і умови статті 37 GDPR не виконуються.

2. Коротко

JobsHub це закритий безкоштовний сайт, який показує в одному місці відкриті вакансії по Німеччині. Обробка даних свідомо зведена до мінімуму:

• немає реклами, немає стеження, немає систем аналітики на кшталт Google Analytics і немає кнопок соцмереж;
• дані не продаються, не здаються в оренду і не передаються для реклами;
• профіль на тебе не будується, поведінка на інших сайтах не відстежується;
• сторінки нічого не підвантажують із чужих серверів: ні шрифтів, ні скриптів, ні зображень. Єдиний виняток це перевірка на робота на сторінці входу;
• акаунт не потрібен. Імʼя, адреса, резюме та документи для відгуку тут не збираються ніколи.

Відгук на вакансію через цей сайт не проходить. Коли ти відгукуєшся, ти йдеш на сайт джерела або роботодавця, і дані йдуть одразу туди.

3. Відкриття сторінки та хостинг

Сайт працює на інфраструктурі Cloudflare (для Європи Cloudflare Germany GmbH, Rosental 7, 80331 München; Cloudflare, Inc., 101 Townsend St., San Francisco, США). Cloudflare надає сервер, базу даних і захист від атак.

Під час відкриття сторінки Cloudflare обробляє технічно необхідні дані зʼєднання: IP-адресу, дату й час, запитану адресу, код відповіді, обсяг переданих даних, позначення браузера та попередню сторінку, якщо браузер її повідомляє.

• Мета: віддати сторінку, знаходити збої та відбивати атаки.
• Підстава: стаття 6 абзац 1 літера f GDPR. Мій законний інтерес це доступний і захищений від зловживань сайт.
• Строк: журнали лежать у Cloudflare і видаляються там за кілька днів. Власних журналів доступу з IP-адресами я не веду.

З Cloudflare укладено договір про обробку за дорученням за статтею 28 GDPR. База даних сайту розташована в Західній Європі. Водночас мережа Cloudflare глобальна, тому запит може бути оброблений і за межами ЄС. Про це розділ 10.

4. Доступ і вхід

Сайт закритий. Увійти можна двома способами, і ти сам обираєш, яким.

Спосіб 1, вхід за паролем. Пароль лише перевіряється і не зберігається. Після правильного введення сайт ставить підписану куку сесії (розділ 5). Щоб пароль не підбирали, при невдалій спробі зберігається лічильник. Замість твоєї IP-адреси при цьому записується тільки незворотна контрольна величина адреси (HMAC-SHA-256 із секретним ключем). Підстава: стаття 6 абзац 1 літера f GDPR, інтерес це захист від автоматичного перебору. Лічильники видаляються не пізніше ніж за 24 години після зняття блокування.

На сторінці входу працює Cloudflare Turnstile, перевірка, людина чи програма надсилає форму. Turnstile передає Cloudflare твою IP-адресу і технічні відомості про браузер. Рекламних кук Turnstile не ставить і по сайтах тебе не відстежує. Підстава: стаття 6 абзац 1 літера f GDPR.

Спосіб 2, вхід через Telegram. Це добровільний спосіб: хто не хоче ним користуватися, заходить за паролем. Під час входу через Telegram обробляються:

• твій номер Telegram (числовий ідентифікатор),
• імʼя, прізвище та імʼя користувача, якщо ти вказав їх у Telegram, а також код мови твого акаунта Telegram,
• ознака того, чи підписаний ти на повʼязаний канал Telegram, і коли це перевірялося востаннє,
• час першого й останнього звернення, а також сам перебіг входу (ідентифікатор запиту, стан, позначки часу).

Мета одна: контроль доступу, бо сайт бачить лише той, хто підписаний на канал або кому я відкрив доступ особисто. Підстава: стаття 6 абзац 1 літера b GDPR для самого користування сайтом і стаття 6 абзац 1 літера a GDPR для твого рішення обрати саме цей спосіб входу. Цю згоду можна відкликати будь-коли на майбутнє, написавши мені; після цього я видаляю повʼязані дані, а вхід іде за паролем.

Для входу і для бота Telegram виступає самостійним постачальником послуги (Telegram FZ-LLC, Дубай, ОАЕ). Що Telegram обробляє сам, написано в його політиці на telegram.org/privacy. Про передавання до третьої країни розділ 10.

Якщо доступ втрачається, наприклад при виході з каналу, позначки про переглянуті вакансії видаляються. Номер Telegram зберігається стільки, скільки потрібен для перевірки доступу, і не довше моменту твого відкликання.

5. Куки і зберігання в браузері

Сайт ставить лише ті куки, без яких він не працює. Усі вони власні, недоступні скриптам у браузері (httpOnly) і діють тільки через HTTPS.

Оскільки всі ці куки суворо необхідні за § 25 абзац 2 пункт 2 TDDDG, банера згоди тут немає. Куки можна видалити в браузері: тоді знадобиться увійти заново, а обране цього браузера буде порожнім.

Крім того, браузер тримає в локальному сховищі дрібні налаштування оформлення. Ці відомості залишаються на твоєму пристрої і мені не передаються.

6. Функції сайту

Пошук. Твій запит, місто і фільтри стоять в адресі сторінки й передаються тим джерелам, які відповідають у момент запиту: Федеральному агентству праці та Adzuna. Запит робить мій сервер, а не твій браузер, тому твоя IP-адреса та ідентифікатори цим джерелам не потрапляють. Відповіді кешуються до 30 хвилин без привʼязки до людини. Підстава: стаття 6 абзац 1 літера b GDPR, бо це і є послуга, яку ти запросив.

Переклад. На твій запит сайт перекладає пошукові слова, назви й текст оголошення. Для цього працює мовна модель у Cloudflare (Workers AI). Передається лише сам текст, без твоїх ідентифікаторів. За заявою Cloudflare ці дані не використовуються для навчання моделей. Готові переклади зберігаються, щоб одне оголошення не перекладалося двічі. Підстава: стаття 6 абзац 1 літера b GDPR.

Денні ліміти. Щоб переклад не витратив один браузер, сайт рахує за день, скільки разів ідентифікатор jh_device просив переклад. Зберігаються тільки дата, ідентифікатор і число. Підстава: стаття 6 абзац 1 літера f GDPR, інтерес це чесний розподіл обмеженого ресурсу.

Обране. Коли ти зберігаєш вакансію, записуються ідентифікатор jh_device, сама вакансія, роботодавець, місце і час. Список привʼязаний до браузера, а не до особи, і зберігається, доки ти не видалиш запис або куку. Підстава: стаття 6 абзац 1 літера b GDPR.

Позначка відкритих вакансій. Щоб у списку було видно, що ти вже дивився, зберігаються ідентифікатор вакансії і час, привʼязані до твого номера Telegram або, без входу через Telegram, до ідентифікатора браузера jh_device. Ці позначки видаляються автоматично за 90 днів і одразу при втраті доступу. Підстава: стаття 6 абзац 1 літера f GDPR, інтерес це зрозуміла видача.

Підказки міст. Коли ти друкуєш у полі міста, сторінка запитує відповідні назви в мого ж сервера. Ці запити не зберігаються і нікуди не передаються.

7. Дані всередині оголошень

Зібрані оголошення це публічно опубліковані тексти. У них можуть бути персональні дані третіх осіб, наприклад імʼя, електронна пошта або телефон контактної особи в роботодавця. Сайт показує їх у тому вигляді, в якому їх опублікувало джерело, разом із посиланням на оригінал.

Підстава: стаття 6 абзац 1 літера f GDPR. Законний інтерес у тому, щоб показати шукачеві шлях до відгуку; той самий інтерес переслідує роботодавець, публікуючи оголошення. Дані походять із відкритих джерел, перелічених у розділі 9. Окремо повідомити кожну названу людину було б непропорційним зусиллям за статтею 14 абзац 5 літера b GDPR, тому інформація дається тут.

Якщо тебе названо в показаному тут оголошенні і ти цього не хочеш, напиши мені будь-яким каналом із розділу 1. Я приберу оголошення або конкретні відомості одразу.

8. Хто отримує дані

Твої дані не йдуть нікому, крім названих тут. Продажу й передавання для реклами немає.

Передавання державним органам можливе лише там, де мене до цього зобовʼязує закон.

9. Звідки беруться оголошення

Оголошення мій сервер забирає з відкритих інтерфейсів. Твій браузер із цими постачальниками не спілкується, доки ти сам не натиснеш посилання.

• Федеральне агентство праці (біржа та статистика)
• service.bund.de
• Arbeitnow
• Jobicy
• Adzuna
• сторінки карʼєри роботодавців у системах Personio, Greenhouse, Lever, Ashby, SmartRecruiters, Recruitee, Workable і Teamtailor
• Eurostat для показників ринку праці

10. Передавання до третіх країн

Мережа Cloudflare глобальна, тому запит може оброблятися і за межами Європейського Союзу. З Cloudflare діють стандартні договірні умови Європейської комісії як частина договору про обробку за дорученням. Cloudflare, Inc. додатково сертифікована за EU-US Data Privacy Framework.

Якщо ти користуєшся входом через Telegram, дані з розділу 4 передаються Telegram до Обʼєднаних Арабських Еміратів. Рішення Європейської комісії про достатній рівень захисту для цієї країни немає, стандартних договірних умов у мене з Telegram теж немає. Тому є ризик, що до даних отримають доступ тамтешні органи і що твої права буде складніше захистити. Ти сам вирішуєш, чи користуватися цим способом; передавання спирається на твою явну згоду за статтею 49 абзац 1 літера a GDPR. Хто хоче цього уникнути, заходить за паролем.

11. Строки зберігання

12. Твої права

Щодо мене в тебе є права:

• на доступ до збережених про тебе даних (стаття 15 GDPR),
• на виправлення неправильних даних (стаття 16 GDPR),
• на видалення (стаття 17 GDPR),
• на обмеження обробки (стаття 18 GDPR),
• на перенесення даних (стаття 20 GDPR),
• на заперечення проти обробки на підставі законних інтересів (стаття 21 GDPR),
• на відкликання наданої згоди на майбутнє (стаття 7 абзац 3 GDPR).

Достатньо вільного повідомлення на пошту або в Telegram із розділу 1. Я відповідаю протягом місяця. Оскільки крім номера Telegram і випадкових ідентифікаторів браузера в мене немає нічого, що тебе впізнає, для відповіді мені можуть знадобитися додаткові відомості, щоб надійно зіставити дані (стаття 12 абзац 6 GDPR).

Крім того, ти маєш право подати скаргу до наглядового органу із захисту даних (стаття 77 GDPR), наприклад до Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, https://www.baden-wuerttemberg.datenschutz.de. Компетентним є і орган за місцем твого проживання.

13. Право на заперечення

Якщо я обробляю дані на підставі законних інтересів за статтею 6 абзац 1 літера f GDPR, ти маєш право будь-коли заперечити проти цього з причин, що випливають із твоєї особливої ситуації. Тут це стосується захисту від атак, позначок відкритих вакансій, денних лічильників і показу контактних даних усередині оголошень. Після заперечення я припиняю таку обробку, якщо не зможу довести переважні законні підстави, які переважають твої інтереси.

14. Чи обовʼязково давати дані

За законом або договором давати щось ти не зобовʼязаний. Але без технічно необхідних даних із розділів 3 і 5 сайт працювати не може: без куки сесії вхід не зберігається, а без входу сайт закритий.

15. Автоматичних рішень немає

Автоматичних рішень щодо окремої людини і профілювання за статтею 22 GDPR тут немає. Порядок видачі й машинне визначення професії залежать лише від змісту оголошення і твого запиту, а не від властивостей твоєї особи.

16. Посилання на інші сайти

Оголошення та джерела відкриваються на чужих сайтах. З моменту натискання діє політика того постачальника, і він бачить твою IP-адресу. Щоб при цьому про тебе дізналися якомога менше, сайт не передає відомості про те, звідки ти прийшов (referrer-policy «no-referrer»).

17. Безпека

• Доступ лише через HTTPS, примусово через HSTS.
• Куки сесії підписані, недоступні скриптам (httpOnly), secure і обмежені цим сайтом (SameSite).
• Кожен змінювальний запит перевіряється на походження, форма входу додатково захищена одноразовим токеном і зростаючим блокуванням при помилках.
• Сувора Content-Security-Policy дозволяє лише власні скрипти сайту.
• Пароль і всі ключі зберігаються секретами в постачальника, у вихідному коді їх немає.

18. Зміни цієї політики

Змінюється сайт, змінюється і цей текст. Діє завжди версія, опублікована тут; дата стоїть унизу сторінки.

Відповідальний: Roman Zhuchenko, c/o Block Services, Stuttgarter Str. 106, 70736 Fellbach, Deutschland.