Suntem o agenție mică, cu doi recrutori. Chiar ni se aplică toate astea?

Da. GDPR nu are un prag de mărime. Scutirea de registru pentru firmele cu mai puțin de 250 de angajați nu se aplică atunci când prelucrarea nu e ocazională (art. 30 alin. (5)), iar la o agenție de recrutare CV-urile sunt chiar activitatea de zi cu zi. Pentru o firmă mică, totul încape în câteva ore de lucru.

Pot căuta candidați pe LinkedIn și să-i contactez?

Da, pe baza interesului legitim, dacă iei doar ce îți trebuie pentru post. Pentru că datele nu vin de la candidat, trebuie să-l informezi: cel târziu la primul mesaj trimis, și oricum în cel mult o lună (art. 14 alin. (3)). Dacă nu vrea să continue, îi ștergi datele.

Cât timp pot păstra CV-urile?

Legea nu dă un termen fix: CV-ul se păstrează cât e nevoie pentru recrutare (art. 5 alin. (1) lit. e)). Practica recomandată este durata recrutării plus 6 luni, pentru eventuale contestații. Ca să-l păstrezi pentru alte posturi, ai nevoie de acordul candidatului (art. 7), pe care îl poate retrage oricând.

Pot trimite CV-ul unui candidat la mai mulți clienți?

Doar dacă el știe și e de acord cu fiecare post. Clientul care primește CV-ul devine și el operator pentru datele candidatului, iar candidatul trebuie să afle cine îi are datele (art. 13 alin. (1) lit. e)).

Facem salarizarea și dosarele de personal pentru clienți. Ce rol avem?

Pentru datele angajaților clienților ești persoană împuternicită: lucrezi în numele clientului-angajator. Ai nevoie de un contract de prelucrare cu fiecare client (art. 28) și de un registru separat al acestor prelucrări (art. 30 alin. (2)). SmartDPO generează contractul-cadru din activitățile tale.

Trebuie să numim un responsabil cu protecția datelor (DPO)?

Pentru o agenție mică, de regulă nu. DPO-ul e obligatoriu când activitatea de bază presupune monitorizarea regulată și sistematică a oamenilor pe scară largă sau date sensibile pe scară largă (art. 37 alin. (1)). Dacă ai o bază foarte mare de candidați sau faci multe evaluări psihologice, merită analizat cu un specialist.

Unde sunt ținute datele introduse în SmartDPO?

În Uniunea Europeană, fără trackere și fără servicii terțe care să urmărească vizitatorii. Fișierele atașate sunt criptate înainte de stocare. Lista furnizorilor noștri e publică.

Primele 30 de zile sunt gratuite, cu toate funcțiile. Apoi planul Firmă costă 99 lei pe lună + TVA (preț de lansare, garantat pe viață; prețul standard este 149 lei), iar plata anuală are 2 luni gratis. Există și un plan gratuit, cu un registru de până la 10 activități.

GDPR pentru recrutare, head hunting, muncă temporară și HR

CV-uri, dosare de personal, salarii: în regulă cu GDPR. Fără jurist și fără hârțogărie.

Prin firma ta trec în fiecare zi datele a sute de oameni: candidați, salariați temporari, angajații clienților. SmartDPO îți arată, pas cu pas, ce îți cere legea pentru fiecare și pregătește documentele în locul tău.

Încearcă gratuit 30 de zile Vezi prețurile

Fără card. Date găzduite în România.

De ce e diferit în recrutare și HR

GDPR se aplică oricărei firme, indiferent de mărime. Într-o firmă de recrutare sau de HR, datele personale nu sunt un efect secundar al afacerii: sunt chiar marfa cu care lucrezi.

Mii de candidați

Baza de CV-uri crește în fiecare zi. Fiecare candidat trebuie să afle cine îi are datele (art. 13–14), iar CV-urile vechi se șterg când nu mai ai motiv să le ții (art. 5 alin. (1) lit. e)).
Căutarea activă

Când găsești pe cineva pe LinkedIn, datele nu vin de la el. Trebuie să-l informezi cel târziu la primul mesaj și în cel mult o lună (art. 14 alin. (3)).
Două roluri

Pentru candidații tăi ești operator. Pentru salarizarea sau dosarele de personal ale clienților ești persoană împuternicită (art. 28), cu contract cu fiecare client și registru separat (art. 30 alin. (2)).
Date sensibile

Cazier, teste psihologice, adeverințe medicale, actele lucrătorilor străini. Cazierul îl ceri doar când legea îl cere pentru post (art. 10), iar testele le aplică doar un psiholog atestat.

Ce îți cere GDPR și cum te ajută SmartDPO

Fiecare obligație, explicată pe scurt, cu articolul din regulament și cu ce face aplicația pentru tine.

Registrul prelucrărilor

art. 30 GDPR

Ce cere legeaO listă cu tot ce faci cu datele candidaților, ale salariaților temporari și ale angajaților clienților: ce date, de ce, cât le păstrezi, cui le dai.

Ce face SmartDPOPornești de la modele pentru domeniul tău: recrutarea pentru clienți, baza de candidați, testele psihologice, munca temporară, lucrătorii străini, plasarea în străinătate. Salarizarea și dosarele de personal ale clienților intră în registrul separat de persoană împuternicită.

Informarea candidaților

art. 13–14 GDPR

Ce cere legeaCandidatul care aplică află de la început cine îi prelucrează datele, de ce și cât timp. Cel găsit prin căutare activă trebuie informat cel târziu la primul contact.

Ce face SmartDPONota de informare pentru candidați se generează din registru și se actualizează când îl schimbi. O pui în anunțuri, pe site sau în primul mesaj către candidat.

Temeiul legal

art. 6 și art. 7 GDPR

Ce cere legeaRecrutarea pentru un post se face la cererea candidatului, căutarea activă pe interes legitim, iar păstrarea în baza de candidați după recrutare doar cu acordul lui.

Ce face SmartDPOLa fiecare activitate alegi temeiul din variantele potrivite. Pentru baza de candidați ții evidența acordurilor: când au fost date, pentru ce și când au fost retrase.

Cât păstrezi CV-urile

art. 5 alin. (1) lit. e) GDPR

Ce cere legeaCV-urile nu se țin „pentru orice eventualitate”. Fiecare activitate are un termen de păstrare, după care datele se șterg.

Ce face SmartDPOTermenele stau în registru, cu explicația a ce spune legea sau a practicii recomandate. Politica de retenție se generează din ele.

Clienții și furnizorii

art. 28 și art. 44–49 GDPR

Ce cere legeaPlatformele de anunțuri, programul de recrutare (ATS), psihologul, angajatorii din străinătate: fiecare are un rol și, uneori, datele pleacă în afara UE. Pentru salarizarea făcută pentru clienți, semnezi un contract de prelucrare cu fiecare client.

Ce face SmartDPOȚii evidența furnizorilor, a contractelor și a transferurilor în afara UE. Contractul-cadru de prelucrare cu clienții se generează din activitățile tale de persoană împuternicită.

Securitatea datelor

art. 32 GDPR

Ce cere legeaAcces la baza de candidați doar pentru cine are nevoie, conturi separate, parole bune, CV-urile trimise prin canale sigure, nu din telefonul personal.

Ce face SmartDPOListezi sistemele folosite (ATS, e-mail, cloud, dosare pe hârtie) și măsurile pentru fiecare. Politica internă de securitate se generează din ele.

Evaluarea de impact (DPIA)

art. 35 GDPR

Ce cere legeaEvaluarea candidaților cu teste sau instrumente automate, recrutarea din afara UE și bazele foarte mari de candidați pot cere o evaluare de impact înainte să începi.

Ce face SmartDPOAplicația te întreabă criteriile care declanșează evaluarea și, dacă e nevoie, te ghidează prin ea, cu riscurile și măsurile.

Incidentele de securitate

art. 33–34 GDPR

Ce cere legeaUn CV trimis clientului greșit sau o bază de candidați scăpată pe internet: ai 72 de ore să anunți ANSPDCP și, dacă riscul e mare, îi anunți și pe oameni.

Ce face SmartDPOÎnregistrezi incidentul, aplicația numără cele 72 de ore, te ajută să evaluezi riscul și pregătește textul notificării.

Cererile candidaților

art. 12 și art. 15–22 GDPR

Ce cere legeaCandidații cer des să afle ce date ai despre ei sau să fie șterși din bază. Ai o lună să răspunzi.

Ce face SmartDPOPrimești cererile printr-un formular online sau le înregistrezi tu. Aplicația ține termenele și îți propune modele de răspuns.

Recrutorii și colaboratorii

art. 29 și art. 32 alin. (4) GDPR

Ce cere legeaOricine are acces la date, inclusiv recrutorii colaboratori, trebuie instruit și să se angajeze la confidențialitate.

Ce face SmartDPOTrimiți echipei un modul scurt de instruire și angajamentul de confidențialitate, printr-un link. Confirmările rămân ca dovadă.

Cum începi

1
Îți faci cont

Durează un minut. Ai 30 de zile cu toate funcțiile, fără card.
2
Adaugi firma

Datele firmei se completează din CUI. Domeniul „Recrutare, muncă temporară, HR” e deja ales.
3
Bifezi ce faci

Alegi din activitățile propuse (recrutarea pentru clienți, baza de candidați, munca temporară, salarizarea pentru clienți) și completezi ce lipsește.
4
Generezi documentele

Nota de informare pentru candidați, politica de confidențialitate, contractul-cadru cu clienții, angajamentele de confidențialitate.

Întrebări frecvente

Suntem o agenție mică, cu doi recrutori. Chiar ni se aplică toate astea?: Da. GDPR nu are un prag de mărime. Scutirea de registru pentru firmele cu mai puțin de 250 de angajați nu se aplică atunci când prelucrarea nu e ocazională (art. 30 alin. (5)), iar la o agenție de recrutare CV-urile sunt chiar activitatea de zi cu zi. Pentru o firmă mică, totul încape în câteva ore de lucru.
Pot căuta candidați pe LinkedIn și să-i contactez?: Da, pe baza interesului legitim, dacă iei doar ce îți trebuie pentru post. Pentru că datele nu vin de la candidat, trebuie să-l informezi: cel târziu la primul mesaj trimis, și oricum în cel mult o lună (art. 14 alin. (3)). Dacă nu vrea să continue, îi ștergi datele.
Cât timp pot păstra CV-urile?: Legea nu dă un termen fix: CV-ul se păstrează cât e nevoie pentru recrutare (art. 5 alin. (1) lit. e)). Practica recomandată este durata recrutării plus 6 luni, pentru eventuale contestații. Ca să-l păstrezi pentru alte posturi, ai nevoie de acordul candidatului (art. 7), pe care îl poate retrage oricând.
Pot trimite CV-ul unui candidat la mai mulți clienți?: Doar dacă el știe și e de acord cu fiecare post. Clientul care primește CV-ul devine și el operator pentru datele candidatului, iar candidatul trebuie să afle cine îi are datele (art. 13 alin. (1) lit. e)).
Facem salarizarea și dosarele de personal pentru clienți. Ce rol avem?: Pentru datele angajaților clienților ești persoană împuternicită: lucrezi în numele clientului-angajator. Ai nevoie de un contract de prelucrare cu fiecare client (art. 28) și de un registru separat al acestor prelucrări (art. 30 alin. (2)). SmartDPO generează contractul-cadru din activitățile tale.
Trebuie să numim un responsabil cu protecția datelor (DPO)?: Pentru o agenție mică, de regulă nu. DPO-ul e obligatoriu când activitatea de bază presupune monitorizarea regulată și sistematică a oamenilor pe scară largă sau date sensibile pe scară largă (art. 37 alin. (1)). Dacă ai o bază foarte mare de candidați sau faci multe evaluări psihologice, merită analizat cu un specialist.
Unde sunt ținute datele introduse în SmartDPO?: În Uniunea Europeană, fără trackere și fără servicii terțe care să urmărească vizitatorii. Fișierele atașate sunt criptate înainte de stocare. Lista furnizorilor noștri e publică.
Cât costă?: Primele 30 de zile sunt gratuite, cu toate funcțiile. Apoi planul Firmă costă 99 lei pe lună + TVA (preț de lansare, garantat pe viață; prețul standard este 149 lei), iar plata anuală are 2 luni gratis. Există și un plan gratuit, cu un registru de până la 10 activități.

Pune-ți firma de recrutare în regulă cu GDPR în câteva ore, nu în câteva săptămâni.

Încearcă gratuit 30 de zile Despre SmartDPO

Informațiile de pe această pagină sunt generale și nu țin locul unei consultanțe juridice pentru situația ta.

CV-uri, dosare de personal, salarii: în regulă cu GDPR. Fără jurist și fără hârțogărie.

De ce e diferit în recrutare și HR

Mii de candidați

Căutarea activă

Două roluri

Date sensibile