Scovai는 데이터 보호를 핵심으로 하여 설계되었습니다. 이 GDPR 정책은 일반 데이터 보호 규정 (EU) 2016/679를 준수하는 방법을 설명하고 데이터 주체의 권리를 보호하기 위해 구현하는 보안 조치를 설명합니다. 특히 우리의 AI 기반 채용 플랫폼을 통해 개인 데이터가 처리되는 후보자들입니다.
1. GDPR에 따른 우리의 역할
Scovai는 맥락에 따라 두 가지 역할로 작동합니다:
- 데이터 처리자: 조직(테넌트)이 Scovai를 사용하여 채용 프로세스를 관리할 때, 우리는 테넌트(데이터 컨트롤러)를 대신하여 데이터 처리자로 작동합니다. 처리는 당사의 기업 서비스 약관에 명시된 GDPR 제28조 데이터 처리 약정에 따라 관리됩니다.
- 데이터 컨트롤러: 우리 웹사이트 방문자, 우리의 인재 풀에 직접 지원하는 자, 계정 보유자의 경우, 우리는 데이터 컨트롤러로 작동합니다.
2. 설계 및 기본값에 의한 데이터 보호
GDPR 제25조에 따라, Scovai는 설계 및 기본값에 의한 데이터 보호를 구현합니다:
- 다중 테넌트 격리: 각 조직의 데이터는 논리적으로 격리되어 있습니다. 사용자는 자신의 테넌트 내의 데이터에만 액세스할 수 있습니다.
- 최소 데이터 수집: 사용되는 채용 기능에 필요한 데이터만 수집합니다.
- 익명화: 의미 있는 매칭에 사용되는 벡터 임베딩은 인간이 읽을 수 없으며 원래 CV 텍스트를 재구성하기 위해 되돌릴 수 없습니다.
- 접근 제어: 역할 기반 접근 제어(RBAC)는 사용자가 역할(관리자, 채용담당자 또는 후보자)과 관련된 데이터만 볼 수 있도록 보장합니다.
- 암호화: 전송 중인 모든 데이터는 TLS를 통해 암호화됩니다. 민감한 자격 증명은 AES-256 (GCM/CBC)를 사용하여 암호화되어 저장됩니다.
3. 동의 관리
Scovai는 다음을 수행하는 기본 제공 동의 관리 시스템을 제공합니다:
- 특정 처리 목적(CV 파싱, AI 점수 매김, 심리측정 평가, 인터뷰 참여, 인재 풀 포함)에 대한 세분화된 동의를 기록합니다.
- 동의가 주어지고, 수정되고, 철회된 시기에 대한 완전한 감사 추적을 유지합니다.
- 후보자가 프로필을 통해 언제든지 동의를 철회할 수 있도록 합니다.
- 동의가 철회되면 자동으로 처리를 제한합니다.
4. 자동화된 의사결정 보호(제22조)
Scovai는 점수 매김, 프로파일링 및 평가를 위해 AI를 사용합니다. 제22조(3)에 따라 다음 보호조치를 구현합니다:
4.1 순전히 자동화된 결정 없음
플랫폼은 의사결정 지원 도구로 설계되었습니다. AI 결과(점수, 순위, 인터뷰 평가)는 인간 채용담당자에게 권장사항으로 제시되며, 채용 결정에 대한 모든 권한을 유지합니다.
4.2 설명 가능성
모든 AI 생성 점수에는 평이한 언어로 점수에 영향을 준 요소를 설명하는 설명 가능한 AI(XAI) 근거가 포함됩니다. 여기에는 다음이 포함됩니다:
- 점수에 기여한 기술 및 자격
- 어떤 조정이 적용되었고 그 이유
- 후보자가 직무 요구사항과 어떻게 비교되는지
4.3 이의 제기 권리
후보자는 플랫폼의 규정 준수 모듈을 통해 AI 생성 평가 또는 점수에 대한 인간 검토를 요청할 수 있습니다. 테넌트는 통보되며 합리적인 기간 내에 검토 요청에 응해야 합니다.
4.4 편향 모니터링
플랫폼에는 AI 점수 매김 패턴을 인구통계학적 불균형, 점수 전체의 성별 및 연령대 분포를 분석하는 자동 편향 모니터링이 포함되어 있습니다.
5. 데이터 주체 권리
Scovai는 모든 GDPR 데이터 주체 권리의 행사를 지원합니다:
| 권리 | GDPR 조항 | Scovai가 지원하는 방법 |
|---|---|---|
| 접근 | 제15조 | 후보자는 프로필을 통해 모든 데이터를 볼 수 있습니다. 테넌트는 규정 준수 모듈을 통해 후보자 데이터를 내보낼 수 있습니다. |
| 정정 | 제16조 | 후보자는 프로필 데이터를 직접 편집할 수 있습니다. 채용담당자는 후보자 정보를 업데이트할 수 있습니다. |
| 삭제 | 제17조 | GDPR 데이터 내보내기 및 삭제 요청은 완전한 감사 로깅을 통해 규정 준수 모듈에서 시작할 수 있습니다. |
| 제한 | 제18조 | 분쟁이 해결되는 동안 후보자별로 처리를 제한할 수 있습니다. |
| 이동성 | 제20조 | 데이터는 규정 준수 모듈 또는 API를 통해 구조화된 JSON 형식으로 내보낼 수 있습니다. |
| 이의 | 제21조 | 후보자는 동의 설정을 통해 프로파일링 및 자동화된 처리에 이의를 제기할 수 있습니다. |
| 자동화된 결정 | 제22조 | 인간 검토 요청은 모든 AI 결정에 대해 제출할 수 있습니다. 위의 섹션 4를 참조하세요. |
6. 데이터 처리 약정 (GDPR 제28조)
모든 테넌트 관계는 당사의 기업 서비스 약관에 명시된 GDPR 제28조 데이터 처리 약정에 따라 관리되며, 이 약정은 다음을 지정합니다:
- 처리의 대상, 기간 및 범위
- 처리의 성격 및 목적
- 처리되는 개인 데이터의 유형
- 데이터 주체의 범주
- 컨트롤러와 처리자의 의무 및 권리
- 하위 처리자 요구사항 및 승인 절차
7. 데이터 침해 절차
개인 데이터 침해 발생 시, Scovai는 다음을 수행합니다:
- 영향을 받는 테넌트(데이터 컨트롤러)에 지체 없이 그리고 침해를 인식한 후 72시간 이내에 알립니다.
- 침해의 성격, 영향을 받는 데이터, 가능한 결과 및 해결을 위해 취한 조치를 포함하여 자세한 정보를 제공합니다.
- 테넌트가 감독 기관 및 데이터 주체에게 고지 의무를 이행하도록 지원합니다.
- 내부 침해 등록부에 모든 침해를 문서화합니다.
8. 하위 처리자
Scovai는 하위 처리자의 사용을 최소화합니다. 현재:
- AI 처리: 플랫폼의 AI 작업(CV 파싱, 스코어링, 평가, 인터뷰)은 데이터 처리 계약을 체결한 지정 하위 처리자인 Anthropic 및 OpenAI가 중앙에서 구성되고 감사되는 게이트웨이를 통해 처리합니다. 후보자 데이터는 EEA 내에 저장되며, API 데이터는 제공자의 모델 학습에 사용되지 않습니다. Digital Employee는 이 게이트웨이를 사용하지 않으며, 그 모델 제공자는 아래에 설명되어 있습니다.
- 음성 및 임베딩: 음성 인식, 음성 합성 및 텍스트 임베딩은 중앙에서 구성되고 감사되는 게이트웨이를 통해 라우팅되는 OpenAI API를 동등한 데이터 처리 조건에 따라 사용합니다.
- 인프라: 플랫폼의 애플리케이션 호스팅과 데이터 저장은 유럽경제지역 내, 프랑스의 Contabo GmbH가 제공하는 서버에 있습니다. AI 하위 처리자는 EEA 밖에서 데이터를 처리할 수 있으며, 이러한 이전은 표준계약조항의 적용을 받도록 되어 있고, Scovai는 각 제공자와 그 체결을 완료하는 중입니다(데이터 처리 계약 참조). Digital Employee는 아래에 설명된 예외로, 유럽경제지역 밖에서 실행됩니다.
개인 데이터를 처리하는 새로운 하위 처리자를 이용하기 전에 테넌트에 알립니다.
감사되는 게이트웨이(OpenRouter)는 특정 보조 AI 작업을 동일한 데이터 처리 계약 및 모델 학습 금지 제약 하에 신중히 검증된 추가 모델 제공자에게 라우팅할 수 있습니다.
사용자가 Digital Employee에 연결하는 계정(Gmail, Google Calendar, Outlook, Microsoft 365, WhatsApp, Telegram, Instagram)은 데이터 처리 계약에 따라 연결 중개 서비스인 UNIPILE을 통해 연결될 수 있습니다.
Digital Employees. Digital Employee는 OmniSage LLC가 소유하고 운영하는 서버의 가상 머신에서 실행되며, 이 서버는 아랍에미리트 2704 Fortune Executive Tower, Cluster T, Jumeirah Lakes Towers (JLT), Dubai의 데이터 센터에 있습니다. 유럽경제지역 밖이며, 작업 기억과 대화 기록, 공유 파일, 메일박스도 그곳에 있습니다. 언어 모델은 Zhipu AI(GLM)로 중화인민공화국의 엔드포인트를 직접 호출하고, 예비로 일본의 Sakana AI를 사용합니다. Digital Employee가 그 시점에 다루고 있는 자료는 답변의 맥락으로 모델에 전송됩니다. 사용자가 연결하는 앱, 예컨대 Google Drive, Docs, Sheets, Meet는 미국의 Pipedream, Inc.를 통해 승인되고 실행됩니다. 플랫폼과 데이터베이스, 업로드된 파일은 프랑스의 Contabo GmbH가 호스팅하고, scovai.com은 Cloudflare를 통해 제공되며, 거래성 이메일은 GPlugin 메일 릴레이로 발송됩니다. EEA 외부로의 이전은 데이터 처리 계약에서 다룹니다.
9. 데이터 보존 및 삭제
보존 기간은 플랫폼 수준에서 설정됩니다. 기본 기간은 개인정보 처리방침에 정리되어 있습니다. 면접 녹화는 면접 후 90일, 실시간 회의 녹화는 회의 후 180일이 지나면 매일 실행되는 작업이 자동으로 삭제합니다. 전사와 요약, 액션 아이템은 타이머로 삭제되지 않습니다. Tenant가 해당 면접이나 회의를 삭제하거나 워크스페이스가 삭제될 때까지 보관됩니다. 이 두 기간은 Scovai가 정하며 현재 Tenant별로 설정할 수 없습니다. 지원서와 그로부터 파생된 평가, 인터뷰, 점수 및 무결성 기록은 지원서에 대한 결정이 내려진 지 12개월 후 매일 밤 실행되는 작업이 삭제하며, 인재 풀 항목은 마지막 활동 후 24개월이 지나면 삭제됩니다. 그 밖의 기록은 컴플라이언스 모듈을 통한 요청이나 정보주체의 삭제 요청을 포함해 당사의 데이터 거버넌스 절차로 삭제합니다.
10. 데이터 보호 팀에 문의
GDPR 관련 문의, 데이터 주체 요청 또는 당사의 데이터 처리 약정에 관한 문의:
이메일: [email protected]
