Scovai erfüllt die DSGVO (EU) 2016/679.
1. Unsere Rolle
Verantwortlicher für Websitebesucher; Auftragsverarbeiter für Tenants gemäß den Auftragsverarbeitungspflichten nach Art. 28 DSGVO in unseren Nutzungsbedingungen für Unternehmen.
2. Datenschutz durch Technikgestaltung
Multi-Tenant-Isolation, minimale Datenerhebung, Pseudonymisierung, RBAC, TLS/AES-256 (GCM/CBC)-Verschlüsselung.
3. Einwilligungsverwaltung
Granulare Einwilligung, vollständiger Audit-Trail, jederzeitiger Widerruf.
4. Automatisierte Entscheidungen (Artikel 22)
Keine vollautomatisierten Entscheidungen. XAI für jeden Score. Widerspruchsrecht. Bias-Monitoring.
5. Betroffenenrechte
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, automatisierte Entscheidungen.
6. Auftragsverarbeitungspflichten (Art. 28 DSGVO)
Jede Tenant-Beziehung unterliegt den Pflichten nach Art. 28 DSGVO (Verarbeitungszwecke, Unterauftragsverarbeiter, Sicherheitsmaßnahmen), festgelegt in unseren Nutzungsbedingungen für Unternehmen.
7. Datenschutzverletzungen
Benachrichtigung innerhalb von 72 Stunden.
8. Unterauftragsverarbeiter
Benannte KI-Anbieter für Plattformaufgaben (Anthropic, OpenAI) mit Auftragsverarbeitungsverträgen, geleitet über ein zentral konfiguriertes, auditiertes Gateway. Datenspeicherung der Plattform im EWR, auf Servern der Contabo GmbH in Frankreich; API-Daten werden nicht zum Training der Anbietermodelle verwendet. Ein Digital Employee läuft in der Verarbeitungsregion, die der Kunde wählt, wie unten beschrieben: In der europäischen Region nutzt er dieselben Anbieter und läuft innerhalb des EWR; in der Region Naher Osten nutzt er dieses Gateway nicht und läuft außerhalb des EWR.
Das auditierte Gateway (OpenRouter) kann bestimmte unterstützende KI-Aufgaben an weitere sorgfältig geprüfte Modellanbieter weiterleiten, unter denselben Auftragsverarbeitungsverträgen und demselben Verbot des Modelltrainings.
Konten, die eine Person mit einem Digital Employee verknüpft (Gmail, Google Calendar, Outlook, Microsoft 365, WhatsApp, Telegram, Instagram und LinkedIn), können über UNIPILE, einen Verbindungsvermittler, auf Grundlage eines Auftragsverarbeitungsvertrags angebunden werden.
Digital Employees. Ein Digital Employee läuft in einer virtuellen Maschine in der Verarbeitungsregion, die der Kunde wählt; Scovai bietet zwei an. In der europäischen Region läuft die virtuelle Maschine auf Servern der Contabo GmbH in Frankreich, innerhalb des Europäischen Wirtschaftsraums, und das Sprachmodell ist Anthropic, OpenAI oder ein über OpenRouter geleiteter Anbieter, mit Auftragsverarbeitungsverträgen, die ein Training ausschließen: dieselben Anbieter, die auch die KI-Funktionen der Plattform bedienen. In der Region Naher Osten läuft die virtuelle Maschine auf Servern, die OmniSage LLC gehören und von ihr betrieben werden und sich im Rechenzentrum in 2704 Fortune Executive Tower, Cluster T, Jumeirah Lakes Towers (JLT), Dubai, Vereinigte Arabische Emirate, außerhalb des Europäischen Wirtschaftsraums, befinden, und das Sprachmodell ist Zhipu AI (GLM), direkt an einem Endpunkt in der Volksrepublik China aufgerufen, mit Sakana AI in Japan als Ausweichoption. In beiden Regionen enthält die virtuelle Maschine das Arbeitsgedächtnis des Digital Employee, seine Transkripte, die geteilten Dateien und sein Postfach, und das Material, an dem er in diesem Moment arbeitet, wird seinem Sprachmodell als Kontext für die Antwort übermittelt. Digital Employees, die vor der Eröffnung der europäischen Region eingestellt wurden, laufen in der Region Naher Osten; ein Kunde, der für sie die europäische Region bevorzugt, kann dies unter privacy@scovai.com anfragen. Apps, die eine Person mit einem Digital Employee verbindet, etwa Google Drive, Docs, Sheets und Meet, werden in beiden Regionen über Pipedream, Inc. in den Vereinigten Staaten autorisiert und ausgeführt. Die Plattform selbst, ihre Datenbank und hochgeladene Dateien werden von Contabo GmbH in Frankreich gehostet; die Website scovai.com wird über Cloudflare ausgeliefert; transaktionale E-Mails verlassen uns über das Mail-Relay von GPlugin. Übermittlungen außerhalb des EWR sind im Data Processing Agreement geregelt.
9. Aufbewahrung
Aufbewahrungsfristen werden auf Plattformebene festgelegt. Die Standardfristen sind in unserer Datenschutzerklärung aufgeführt. Interviewaufzeichnungen werden 90 Tage nach dem Interview, Aufzeichnungen von Live-Besprechungen 180 Tage nach der Besprechung, durch einen täglichen Job automatisch gelöscht. Transkripte, Zusammenfassungen und Aufgaben werden nicht nach Zeitablauf gelöscht: sie bleiben, bis der Tenant das Interview oder die Besprechung löscht oder der Arbeitsbereich gelöscht wird. Diese beiden Fristen setzt Scovai; pro Tenant sind sie derzeit nicht konfigurierbar. Eine Bewerbung und die daraus abgeleiteten Assessments, Interviews, Bewertungen und Integritätsdaten werden durch einen nächtlichen Job 12 Monate nach der Entscheidung über die Bewerbung gelöscht, Talentpool-Einträge 24 Monate nach ihrer letzten Aktivität. Die Löschung anderer Daten erfolgt über unseren Data-Governance-Prozess, auch auf Anfrage über das Compliance-Modul oder per Löschersuchen.
10. Kontakt
privacy@scovai.com
