개인정보 보호정책

Scovai("당사", "우리")는 Scovai 인재 지능 플랫폼을 운영합니다. 본 개인정보 보호정책은 당사 서비스 이용, 웹사이트 방문, 채용담당자, 지원자 또는 방문자로서 당사 플랫폼과 상호작용할 때 당사가 개인데이터를 어떻게 수집, 사용, 저장 및 보호하는지 설명합니다.

당사는 일반 데이터 보호 규정 (EU) 2016/679(GDPR), EU AI 법(규정 (EU) 2024/1689) 및 적용 가능한 국가 데이터 보호 법률을 준수하여 개인정보 보호에 전념합니다.

1. 데이터 컨트롤러

Scovai 플랫폼을 통해 처리되는 개인데이터의 데이터 컨트롤러는 다음과 같습니다:

OmniSage LLC (Scovai) — New Mexico Entity ID: 0008015447
이메일: privacy@scovai.com

테넌트별 처리의 경우(조직이 Scovai를 사용하여 채용을 관리하는 경우), 해당 조직이 데이터 컨트롤러로 역할하며, Scovai는 그들을 대신하여 데이터 처리자로 역할합니다.

2. 수집하는 데이터

2.1 지원자 데이터

• 신원 정보: 이름, 이메일 주소, 전화번호, 위치
• 이력서 및 경력 데이터: 업무 경험, 교육, 기술, 자격증, 언어, AI 기반 이력서 파싱을 통해 추출됨
• 평가 데이터: 기술 평가 응답, 심리측정 평가 결과(Big Five 성격 특성, 문화 적합성 선호도, 리더십 스타일 지표)
• 인터뷰 데이터: AI 인터뷰 전사, 응답, 생성된 평가 보고서
• 점수 데이터: 여러 차원(기술, 경험, 교육, 소프트 스킬, 잠재력)에 걸친 AI 생성 점수와 설명 가능성 근거
• 임베딩 데이터: 의미론적 매칭에 사용되는 이력서 내용의 768차원 벡터 표현(인간 판독 불가능)

2.2 채용담당자 및 조직 데이터

• 계정 데이터: 이름, 이메일, 역할, 조직명
• 구성 데이터: 점수 가중치 선호도, 회사 문화 프로필, AI 기능 설정
• 사용 현황 데이터: 플랫폼 활동, 기능 사용, 분석 데이터

2.3 웹사이트 방문자 데이터

• 기술 데이터: IP 주소, 브라우저 유형, 기기 정보
• 사용 현황 데이터: 방문한 페이지, 사이트 체류 시간, 참조 출처

3. 데이터 사용 방식

당사는 다음의 목적을 위해 개인데이터를 처리합니다:

• 서비스 제공: 이력서 파싱, AI 점수 매기기, 평가, 인터뷰 진행 및 지원자-직무 매칭을 제공하기 위해
• AI 기반 분석: 기계학습 모델을 사용하여 점수, 심리측정 프로필, 인터뷰 평가 및 단축 목록 순위를 생성하기 위해
• 플랫폼 개선: AI 모델의 정확성 및 공정성을 개선하고, 사용자 경험을 최적화하며, 새로운 기능을 개발하기 위해
• 준수: 감사 추적을 유지하고, AI 의사결정에 대한 인간 검토를 가능하게 하며, 알고리즘 편향을 모니터링하기 위해
• 커뮤니케이션: 알림, 평가 초대, 인터뷰 링크 및 서비스 업데이트를 발송하기 위해

4. 처리의 법적 근거

5. 자동화된 의사결정 및 프로필링

Scovai는 AI를 사용하여 지원자에게 점수를 매기고, 심리측정 프로필을 생성하며, 인터뷰 평가를 생성합니다. GDPR 제22조 및 EU AI 법에 따라:

• 투명성: 모든 AI 생성 점수에는 설명 가능한 AI(XAI) 근거가 평문으로 포함되어 점수가 부여된 이유를 설명합니다
• 인간 감독: 완전히 자동화된 채용 의사결정은 없습니다. AI 출력은 권장사항으로 작동하며, 인간 채용담당자가 최종 의사결정을 합니다
• 이의 제기 권리: 지원자는 AI 생성 평가 또는 점수에 대한 인간 검토를 요청할 수 있습니다
• 편향 모니터링: 당사의 분석 모듈은 성별 및 연령대별로 AI 점수 패턴과 퍼널 진행 상황을 분석하고, 특정 그룹의 결과가 전체 분포에서 벗어날 때 통계적 이상을 드러냅니다

6. 데이터 보유

• 지원자 데이터: 채용 절차 기간 및 이후 12개월 동안 보유되며, 인재 풀 보유에 대한 동의가 주어진 경우는 제외
• 인재 풀 데이터: 동의가 철회되거나 마지막 활동 후 최대 24개월 동안 보유
• 계정 데이터: 서비스 계약 기간 및 이후 12개월 동안 보유
• 감사 로그: 오류 및 중요 로그는 365일 동안 보유되며, 정보 로그는 30일 동안, 경고 로그는 90일 동안 보유
• AI 모델 훈련 데이터: 당사는 개별 지원자 데이터를 AI 모델 훈련 또는 미세 조정에 사용하지 않습니다

7. 데이터 공유

당사는 개인데이터를 판매하지 않습니다. 데이터는 다음과 함께 공유될 수 있습니다:

• 고용주 조직: 지원자 데이터는 지원자가 지원했거나 매칭된 채용 조직과 공유됩니다
• AI 제공자: AI 작업(이력서 파싱, 스코어링, 평가, 면접, 음성 및 임베딩)은 데이터 처리 계약을 체결한 지정 하위 처리자 — Anthropic(Claude API) 및 OpenAI — 가 처리하며, 중앙에서 구성되고 감사되는 게이트웨이를 통해 라우팅됩니다. API 데이터는 제공자의 모델 학습에 사용되지 않습니다(제11조 참조)
• 호스팅 제공자: 유럽경제지역 내에서 호스팅되는 인프라

8. 커뮤니케이션 채널

Scovai는 이메일(항상)과 WhatsApp(선택 가능)을 통해 당신과 커뮤니케이션합니다. WhatsApp 알림은 엄격히 거래적입니다: 인터뷰 리마인더, 예약 확인 및 긴급 채용담당자 메시지. 당사는 WhatsApp을 마케팅에 사용하지 않습니다. 번호를 확인할 때 Meta Platforms(WhatsApp)는 Meta의 데이터 처리 계약에 따라 이를 처리합니다. 설정에서 WhatsApp 알림을 언제든지 취소할 수 있습니다. 당사는 계정을 삭제할 때까지 감사용으로 번호를 유지합니다.

9. 데이터 보안

당사는 다음을 포함한 적절한 기술적 및 조직적 조치를 실시합니다:

• API 키 및 민감한 자격증명을 위한 AES-256-CBC 암호화
• Argon2 비밀번호 해싱
• 액세스 및 새로고침 토큰을 사용한 JWT 기반 인증
• 모든 전송 중 데이터를 위한 TLS 암호화
• 테넌트 격리를 가진 역할 기반 액세스 제어(RBAC)
• 모든 플랫폼 활동의 포괄적인 감사 로깅

10. 귀하의 권리

GDPR에 따라 귀하는 다음의 권리가 있습니다:

• 액세스 - 개인데이터 액세스 (제15조)
• 정정 - 부정확한 데이터 정정 (제16조)
• 삭제 - 데이터 삭제 ("잊혀질 권리") (제17조)
• 처리 제한 - 처리 제한 (제18조)
• 데이터 이동성 - 구조화된, 기계 판독 가능한 형식으로 데이터 수신 (제20조)
• 이의 제기 - 프로필링을 포함한 처리에 이의 제기 (제21조)
• 자동 의사결정 제외 - 법적 효력을 지닌 순전히 자동화된 의사결정 제외 (제22조)
• 동의 철회 - 언제든지 동의 철회, 이전 처리의 적법성에 영향 없음 (제7조(3))

이러한 권리를 행사하려면 privacy@scovai.com으로 당사에 문의하세요. 당사는 30일 이내에 응답하겠습니다.

11. 국제 이전

지원자 개인 데이터는 유럽경제지역 내 당사 자체 서버에 저장됩니다. 특정 AI 기반 기능의 경우, 데이터 처리 계약을 체결한 하위 처리자가 데이터를 처리합니다: Anthropic(Claude API — 이력서 파싱, 지원자-직무 스코어링, 평가 및 면접 분석, 신분증명서 검증) 및 OpenAI(음성 면접의 음성 인식 및 음성 합성, 텍스트 임베딩. 중앙에서 구성되고 감사되는 게이트웨이를 통해 라우팅). 이 계약에 따른 API 기반 처리는 제공자의 모델 학습에 사용되지 않습니다. 제공자가 EEA 외부에서 데이터를 처리하는 경우, 이전은 표준계약조항 및 동등한 보호 조치에 근거합니다. 최신 하위 처리자 목록은 요청 시 제공되며, 중요한 변경 사항은 사전에 통지됩니다.

감사되는 게이트웨이(OpenRouter)는 특정 보조 AI 작업을 동일한 데이터 처리 계약 및 모델 학습 금지 제약 하에 신중히 검증된 추가 모델 제공자에게 라우팅할 수 있습니다.

12. 본 정책의 변경

당사는 주기적으로 본 개인정보 보호정책을 업데이트할 수 있습니다. 중요한 변경 사항은 등록된 사용자에게 이메일로 알리고 업데이트된 "마지막 업데이트" 날짜와 함께 본 페이지에 게시됩니다.

13. 문의

개인정보 보호 문의, 데이터 보호 요청 또는 불만사항:

이메일: privacy@scovai.com

귀하는 또한 감독 기관에 불만을 제기할 권리가 있으며, 특히 상시 거주지, 근무지 또는 침해 발생 추정 장소가 있는 EU 또는 EEA 회원국의 감독 기관에 제기할 수 있습니다(GDPR 제77조).