Scovai został zaprojektowany z ochroną danych w centrum. Ta Polityka GDPR opisuje, jak zachowujemy zgodność z Ogólnym Rozporządzeniem o Ochronie Danych (UE) 2016/679 i wyjaśnia gwarancje, które wdrażamy w celu ochrony praw osób, których dane dotyczą: w szczególności kandydatów, których dane osobowe są przetwarzane przez naszą platformę rekrutacyjną zasilaną AI.
1. Nasza Rola Zgodnie z GDPR
Scovai działa w dwóch zdolnościach w zależności od kontekstu:
- Przetwarzający: Gdy organizacje (Dzierżawcy) używają Scovai do zarządzania procesami rekrutacyjnymi, działamy jako przetwarzający w imieniu Dzierżawcy (administratora danych). Przetwarzanie podlega Umowie Przetwarzania Danych (DPA).
- Administrator: W przypadku odwiedzających naszą stronę internetową, bezpośrednich kandydatów do naszej talentów puli i posiadaczy kont, działamy jako administrator danych.
2. Ochrona Danych Przez Design i Domyślnie
Zgodnie z Artykułem 25 GDPR, Scovai wdraża ochronę danych przez design i domyślnie:
- Izolacja wielu dzierżawców: Dane każdej organizacji są logicznie izolowane. Użytkownicy mogą uzyskać dostęp tylko do danych w ramach własnego dzierżawcy.
- Minimalne zbieranie danych: Zbieramy tylko dane, które są konieczne dla funkcjonalności rekrutacyjnej, którą się posługujemy.
- Pseudonimizacja: Osadzenia wektorowe używane do dopasowania semantycznego nie są czytelne dla człowieka i nie mogą być odwrócone w celu zrekonstruowania oryginalnego tekstu CV.
- Kontrola dostępu: Kontrola dostępu oparta na rolach (RBAC) zapewnia, że użytkownicy widzą tylko dane odpowiednie do ich roli (Administrator, Rekruter lub Kandydat).
- Szyfrowanie: Wszystkie dane przesyłane są szyfrowane za pośrednictwem TLS. Poufne poświadczenia są szyfrowane przy użyciu AES-256-CBC w spoczynku.
3. Zarządzanie Zgodą
Scovai zapewnia wbudowany system zarządzania zgodą, który:
- Rejestruje szczegółową zgodę do konkretnych celów przetwarzania (parsowanie CV, ocena AI, ocena psychometryczna, udział w rozmowie, włączenie do talentów puli)
- Prowadzi pełny audyt, kiedy zgoda została udzielona, zmieniona lub wycofana
- Pozwala kandydatom wycofać zgodę w dowolnym momencie za pośrednictwem profilu
- Automatycznie ogranicza przetwarzanie gdy zgoda jest wycofana
4. Gwarancje Zautomatyzowanego Podejmowania Decyzji (Artykuł 22)
Scovai używa AI do oceniania, profilowania i oceny. Wdrażamy następujące gwarancje zgodnie z Artykułem 22(3):
4.1 Brak Wyłącznie Zautomatyzowanych Decyzji
Platforma jest zaprojektowana jako narzędzie wspomagające decyzje. Wyniki AI (wyniki, rankingi, oceny rozmów) są przedstawiane jako rekomendacje rekrutującym, którzy zachowują pełną władzę nad decyzjami zatrudnieniowymi.
4.2 Wyjaśnialność
Każdy wynik wygenerowany przez AI zawiera uzasadnienie wyjaśnialnego AI (XAI), które opisuje w prostym języku czynniki, które wpłynęły na wynik. Obejmuje to:
- Które umiejętności i kwalifikacje przyczyniły się do wyniku
- Jakie dostosowania zostały zastosowane i dlaczego
- Jak kandydat porównuje się z wymaganiami stanowiska
4.3 Prawo do Protestu
Kandydaci mogą zażądać przeglądu przez człowieka dowolnej oceny lub wyniku wygenerowanego przez AI za pośrednictwem modułu zgodności platformy. Dzierżawcy są powiadamiani i muszą odpowiedzieć na żądania przeglądu w rozsądnym terminie.
4.4 Monitorowanie Odchyleń
Platforma zawiera automatyczne monitorowanie odchyleń, które analizuje wzorce oceny AI pod kątem dysproporcji demograficznych, w tym rozkład płci i wieku między ocenami.
5. Prawa Osoby, Której Dane Dotyczą
Scovai wspiera wykonywanie wszystkich praw osób, których dane dotyczą zgodnie z GDPR:
| Prawo | Artykuł GDPR | Jak Scovai Wspiera |
|---|---|---|
| Dostęp | Art. 15 | Kandydaci mogą wyświetlać wszystkie swoje dane za pośrednictwem profilu. Dzierżawcy mogą eksportować dane kandydatów za pośrednictwem modułu zgodności. |
| Sprostowanie | Art. 16 | Kandydaci mogą edytować dane profilu bezpośrednio. Rekruterzy mogą aktualizować informacje o kandydatach. |
| Usunięcie | Art. 17 | GDPR żądania eksportu i usunięcia danych można inicjować za pośrednictwem modułu zgodności z pełnym rejestrowaniem audytu. |
| Ograniczenie | Art. 18 | Przetwarzanie może być ograniczone na kandydatów podczas rozwiązywania sporów. |
| Przenoszalność | Art. 20 | Dane mogą być eksportowane w strukturalnym formacie JSON za pośrednictwem modułu zgodności lub API. |
| Sprzeciw | Art. 21 | Kandydaci mogą sprzeciwić się profilowaniu i zautomatyzowanemu przetwarzaniu za pośrednictwem ustawień zgody. |
| Zautomatyzowane decyzje | Art. 22 | Żądania przeglądu przez człowieka można przesłać dla dowolnej decyzji AI. Patrz sekcja 4 powyżej. |
6. Umowy Przetwarzania Danych
Wszystkie relacje Dzierżawcy podlegają Umowie Przetwarzania Danych (DPA), która określa:
- Przedmiot i czas trwania przetwarzania
- Charakter i cel przetwarzania
- Rodzaje przetwarzanych danych osobowych
- Kategorie osób, których dane dotyczą
- Zobowiązania i prawa administratora i przetwarzającego
- Wymagania dotyczące podprzetwarzających i procedury zatwierdzania
7. Procedury Naruszenia Danych
W przypadku naruszenia danych osobowych Scovai będzie:
- Powiadamiać dotkniętych Dzierżawców (administratorów danych) bez zbędnej zwłoki i w ciągu 72 godzin od dowedzenia się o naruszeniu
- Dostarczać szczegółowe informacje o naruszeniu, w tym naturę dotkniętych danych, prawdopodobne konsekwencje oraz podjęte środki w celu jego naprawienia
- Wspierać Dzierżawców w wypełnianiu ich obowiązków powiadamiania organów nadzorczych i osób, których dane dotyczą
- Dokumentować wszystkie naruszenia w wewnętrznym rejestrze naruszeń
8. Podprzetwarzający
Scovai minimalizuje korzystanie z podprzetwarzających. Aktualnie:
- Przetwarzanie AI: Większość przetwarzania AI (parsowanie CV, ocena, oceny, rozmowy) działa na lokalnie hostowanej infrastrukturze w EEA. Żadne dane osobowe kandydatów nie są wysyłane do zewnętrznych dostawców AI.
- Generowanie opisu stanowiska: Wykorzystuje interfejs API Anthropic Claude, ale tylko dane związane ze stanowiskiem (tytuły stanowisk, wymagania) są wysyłane, nigdy dane osobowe kandydatów.
- Infrastruktura: Cała infrastruktura hostingu znajduje się w Europejskim Obszarze Gospodarczym.
Powiadomimy Dzierżawców przed zaangażowaniem nowych podprzetwarzających, którzy przetwarzają dane osobowe.
9. Przechowywanie i Usuwanie Danych
Okresy przechowywania danych są konfigurowane na poziomie platformy i mogą być dostosowywane przez Dzierżawców w dozwolonych zakresach. Domyślne okresy przechowywania zostały szczegółowo opisane w naszej Polityce Prywatności. Automatyczne procesy usuwania uruchamiają się codziennie w celu usunięcia danych, które przekroczyły okres przechowywania.
10. Skontaktuj się z Zespołem Ochrony Danych
W przypadku pytań związanych z GDPR, żądań osób, których dane dotyczą, lub żądania kopii naszej Umowy Przetwarzania Danych:
Email: privacy@scovai.com
