Scovai został zaprojektowany z ochroną danych w centrum. Ta Polityka GDPR opisuje, jak zachowujemy zgodność z Ogólnym Rozporządzeniem o Ochronie Danych (UE) 2016/679 i wyjaśnia gwarancje, które wdrażamy w celu ochrony praw osób, których dane dotyczą: w szczególności kandydatów, których dane osobowe są przetwarzane przez naszą platformę rekrutacyjną zasilaną AI.
1. Nasza Rola Zgodnie z GDPR
Scovai działa w dwóch zdolnościach w zależności od kontekstu:
- Przetwarzający: Gdy organizacje (Dzierżawcy) używają Scovai do zarządzania procesami rekrutacyjnymi, działamy jako przetwarzający w imieniu Dzierżawcy (administratora danych). Przetwarzanie podlega zobowiązaniom dotyczącym przetwarzania danych z art. 28 RODO, określonym w naszych Warunkach Usługi dla Firm.
- Administrator: W przypadku odwiedzających naszą stronę internetową, bezpośrednich kandydatów do naszej talentów puli i posiadaczy kont, działamy jako administrator danych.
2. Ochrona Danych Przez Design i Domyślnie
Zgodnie z Artykułem 25 GDPR, Scovai wdraża ochronę danych przez design i domyślnie:
- Izolacja wielu dzierżawców: Dane każdej organizacji są logicznie izolowane. Użytkownicy mogą uzyskać dostęp tylko do danych w ramach własnego dzierżawcy.
- Minimalne zbieranie danych: Zbieramy tylko dane, które są konieczne dla funkcjonalności rekrutacyjnej, którą się posługujemy.
- Pseudonimizacja: Osadzenia wektorowe używane do dopasowania semantycznego nie są czytelne dla człowieka i nie mogą być odwrócone w celu zrekonstruowania oryginalnego tekstu CV.
- Kontrola dostępu: Kontrola dostępu oparta na rolach (RBAC) zapewnia, że użytkownicy widzą tylko dane odpowiednie do ich roli (Administrator, Rekruter lub Kandydat).
- Szyfrowanie: Wszystkie dane przesyłane są szyfrowane za pośrednictwem TLS. Poufne poświadczenia są szyfrowane przy użyciu AES-256 (GCM/CBC) w spoczynku.
3. Zarządzanie Zgodą
Scovai zapewnia wbudowany system zarządzania zgodą, który:
- Rejestruje szczegółową zgodę do konkretnych celów przetwarzania (parsowanie CV, ocena AI, ocena psychometryczna, udział w rozmowie, włączenie do talentów puli)
- Prowadzi pełny audyt, kiedy zgoda została udzielona, zmieniona lub wycofana
- Pozwala kandydatom wycofać zgodę w dowolnym momencie za pośrednictwem profilu
- Automatycznie ogranicza przetwarzanie gdy zgoda jest wycofana
4. Gwarancje Zautomatyzowanego Podejmowania Decyzji (Artykuł 22)
Scovai używa AI do oceniania, profilowania i oceny. Wdrażamy następujące gwarancje zgodnie z Artykułem 22(3):
4.1 Brak Wyłącznie Zautomatyzowanych Decyzji
Platforma jest zaprojektowana jako narzędzie wspomagające decyzje. Wyniki AI (wyniki, rankingi, oceny rozmów) są przedstawiane jako rekomendacje rekrutującym, którzy zachowują pełną władzę nad decyzjami zatrudnieniowymi.
4.2 Wyjaśnialność
Każdy wynik wygenerowany przez AI zawiera uzasadnienie wyjaśnialnego AI (XAI), które opisuje w prostym języku czynniki, które wpłynęły na wynik. Obejmuje to:
- Które umiejętności i kwalifikacje przyczyniły się do wyniku
- Jakie dostosowania zostały zastosowane i dlaczego
- Jak kandydat porównuje się z wymaganiami stanowiska
4.3 Prawo do Protestu
Kandydaci mogą zażądać przeglądu przez człowieka dowolnej oceny lub wyniku wygenerowanego przez AI za pośrednictwem modułu zgodności platformy. Dzierżawcy są powiadamiani i muszą odpowiedzieć na żądania przeglądu w rozsądnym terminie.
4.4 Monitorowanie Odchyleń
Platforma zawiera automatyczne monitorowanie odchyleń, które analizuje wzorce oceny AI pod kątem dysproporcji demograficznych, w tym rozkład płci i wieku między ocenami.
5. Prawa Osoby, Której Dane Dotyczą
Scovai wspiera wykonywanie wszystkich praw osób, których dane dotyczą zgodnie z GDPR:
| Prawo | Artykuł GDPR | Jak Scovai Wspiera |
|---|---|---|
| Dostęp | Art. 15 | Kandydaci mogą wyświetlać wszystkie swoje dane za pośrednictwem profilu. Dzierżawcy mogą eksportować dane kandydatów za pośrednictwem modułu zgodności. |
| Sprostowanie | Art. 16 | Kandydaci mogą edytować dane profilu bezpośrednio. Rekruterzy mogą aktualizować informacje o kandydatach. |
| Usunięcie | Art. 17 | GDPR żądania eksportu i usunięcia danych można inicjować za pośrednictwem modułu zgodności z pełnym rejestrowaniem audytu. |
| Ograniczenie | Art. 18 | Przetwarzanie może być ograniczone na kandydatów podczas rozwiązywania sporów. |
| Przenoszalność | Art. 20 | Dane mogą być eksportowane w strukturalnym formacie JSON za pośrednictwem modułu zgodności lub API. |
| Sprzeciw | Art. 21 | Kandydaci mogą sprzeciwić się profilowaniu i zautomatyzowanemu przetwarzaniu za pośrednictwem ustawień zgody. |
| Zautomatyzowane decyzje | Art. 22 | Żądania przeglądu przez człowieka można przesłać dla dowolnej decyzji AI. Patrz sekcja 4 powyżej. |
6. Zobowiązania dotyczące przetwarzania danych (art. 28 RODO)
Każda relacja z Dzierżawcą podlega zobowiązaniom z art. 28 RODO, określonym w naszych Warunkach Usługi dla Firm, które precyzują:
- Przedmiot i czas trwania przetwarzania
- Charakter i cel przetwarzania
- Rodzaje przetwarzanych danych osobowych
- Kategorie osób, których dane dotyczą
- Zobowiązania i prawa administratora i przetwarzającego
- Wymagania dotyczące podprzetwarzających i procedury zatwierdzania
7. Procedury Naruszenia Danych
W przypadku naruszenia danych osobowych Scovai będzie:
- Powiadamiać dotkniętych Dzierżawców (administratorów danych) bez zbędnej zwłoki i w ciągu 72 godzin od dowedzenia się o naruszeniu
- Dostarczać szczegółowe informacje o naruszeniu, w tym naturę dotkniętych danych, prawdopodobne konsekwencje oraz podjęte środki w celu jego naprawienia
- Wspierać Dzierżawców w wypełnianiu ich obowiązków powiadamiania organów nadzorczych i osób, których dane dotyczą
- Dokumentować wszystkie naruszenia w wewnętrznym rejestrze naruszeń
8. Podprzetwarzający
Scovai minimalizuje korzystanie z podprzetwarzających. Aktualnie:
- Przetwarzanie AI: Zadania AI platformy (parsowanie CV, scoring, oceny, rozmowy) są przetwarzane przez wskazanych podprocesorów — Anthropic i OpenAI — na podstawie umów powierzenia przetwarzania, kierowane przez centralnie skonfigurowaną, audytowaną bramę. Dane kandydatów są przechowywane w EOG, a dane API nie są używane do trenowania modeli dostawców. Digital Employees nie korzystają z tej bramy; ich dostawcę modelu opisano poniżej.
- Generowanie opisu stanowiska: Wykorzystuje interfejs API Anthropic Claude, ale tylko dane związane ze stanowiskiem (tytuły stanowisk, wymagania) są wysyłane, nigdy dane osobowe kandydatów.
- Infrastruktura: Hosting aplikacji i przechowywanie danych platformy znajdują się w Europejskim Obszarze Gospodarczym, na serwerach zapewnianych przez Contabo GmbH we Francji; podprzetwarzający AI mogą przetwarzać dane poza EOG, a te transfery mają być objęte Standardowymi Klauzulami Umownymi, których zawarcie Scovai finalizuje z każdym dostawcą (zob. Data Processing Agreement). Wyjątkiem opisanym poniżej są Digital Employees: działają poza Europejskim Obszarem Gospodarczym.
Powiadomimy Dzierżawców przed zaangażowaniem nowych podprzetwarzających, którzy przetwarzają dane osobowe.
Audytowana brama (OpenRouter) może kierować wybrane pomocnicze zadania AI do dodatkowych, starannie zweryfikowanych dostawców modeli, na podstawie tych samych umów powierzenia przetwarzania i tego samego zakazu wykorzystywania danych do trenowania modeli.
Konta, które dana osoba łączy z Digital Employee (Gmail, Google Calendar, Outlook, Microsoft 365, WhatsApp, Telegram i Instagram), mogą być podłączane za pośrednictwem UNIPILE, pośrednika połączeń, na podstawie umowy powierzenia przetwarzania danych.
Digital Employees. Digital Employee działa w maszynie wirtualnej na serwerach należących do OmniSage LLC i przez nią prowadzonych, znajdujących się w centrum danych pod adresem 2704 Fortune Executive Tower, Cluster T, Jumeirah Lakes Towers (JLT), Dubai, Zjednoczone Emiraty Arabskie, poza Europejskim Obszarem Gospodarczym, razem ze swoją pamięcią roboczą, transkrypcjami, udostępnionymi plikami i skrzynką pocztową. Jego modelem językowym jest Zhipu AI (GLM), wywoływany bezpośrednio na punkcie końcowym w Chińskiej Republice Ludowej, z Sakana AI w Japonii jako rozwiązaniem zapasowym; materiał, nad którym Digital Employee właśnie pracuje, trafia do modelu jako kontekst odpowiedzi. Aplikacje podłączane przez człowieka, takie jak Google Drive, Docs, Sheets i Meet, są autoryzowane i wykonywane przez Pipedream, Inc. w Stanach Zjednoczonych. Sama platforma, jej baza danych i przesłane pliki są hostowane przez Contabo GmbH we Francji; strona scovai.com jest dostarczana przez Cloudflare; poczta transakcyjna wychodzi przez relay GPlugin. Przekazywanie danych poza EOG opisuje Data Processing Agreement.
9. Przechowywanie i Usuwanie Danych
Okresy przechowywania ustala się na poziomie platformy. Okresy domyślne opisuje nasza Polityka Prywatności. Nagrania rozmów są usuwane automatycznie 90 dni po rozmowie, a nagrania spotkań na żywo 180 dni po spotkaniu, przez codzienne zadanie. Transkrypcje, podsumowania i zadania nie są usuwane po czasie: zostają do chwili, gdy Tenant usunie rozmowę lub spotkanie, albo gdy przestrzeń robocza zostanie usunięta. Te dwa okresy ustala Scovai i obecnie nie da się ich skonfigurować per Tenant. Aplikacja oraz wywodzące się z niej oceny, rozmowy, wyniki i rekordy rzetelności są usuwane przez nocne zadanie 12 miesięcy po podjęciu decyzji w sprawie aplikacji, a wpisy puli talentów 24 miesiące po ostatniej aktywności. Usuwanie pozostałych danych odbywa się w ramach naszego procesu data governance, także na żądanie z modułu compliance lub na wniosek o usunięcie danych.
10. Skontaktuj się z Zespołem Ochrony Danych
W przypadku pytań związanych z GDPR, żądań osób, których dane dotyczą, lub pytań o nasze zobowiązania dotyczące przetwarzania danych:
Email: [email protected]
