Scovai est conçue avec la protection des données au cœur. Cette politique décrit notre conformité au RGPD (UE) 2016/679.
1. Notre Rôle
Responsable du traitement pour nos visiteurs ; sous-traitant pour les Tenants selon les engagements de traitement des données de l'art. 28 RGPD prévus dans nos Conditions d'Utilisation pour les Entreprises.
2. Protection par Conception
Isolation multi-tenant, collecte minimale, pseudonymisation, RBAC et chiffrement TLS/AES-256 (GCM/CBC).
3. Gestion du Consentement
Consentement granulaire, piste d'audit complète, retrait à tout moment.
4. Décisions Automatisées (Article 22)
Aucune décision entièrement automatisée. XAI pour chaque score. Droit de contestation. Surveillance des biais.
5. Droits des Personnes
Accès (Art. 15), rectification (Art. 16), effacement (Art. 17), limitation (Art. 18), portabilité (Art. 20), opposition (Art. 21), décisions automatisées (Art. 22).
6. Engagements de traitement (art. 28 RGPD)
Chaque relation Tenant est régie par les engagements de l'art. 28 RGPD (finalités du traitement, sous-traitants ultérieurs, mesures de sécurité) prévus dans nos Conditions d'Utilisation pour les Entreprises.
7. Violations de Données
Notification dans les 72 heures avec informations détaillées.
8. Sous-traitants
Pour les tâches d'IA de la plateforme, fournisseurs d'IA nommés, Anthropic (Claude) et OpenAI, sous accords de traitement des données, via une passerelle centralisée et auditée. Les données des candidats sont stockées dans l'EEE ; les données API ne servent pas à entraîner les modèles des fournisseurs. L'hébergement et le stockage de la plateforme se trouvent dans l'Espace économique européen, sur des serveurs fournis par Contabo GmbH en France. Un Digital Employee fonctionne dans la région de traitement choisie par le client, décrite ci-dessous : dans la région européenne, il utilise ces mêmes fournisseurs et fonctionne au sein de l'EEE ; dans la région Moyen-Orient, il n'utilise pas cette passerelle et fonctionne hors de l'EEE.
La passerelle auditée (OpenRouter) peut acheminer certaines tâches d'IA auxiliaires vers d'autres fournisseurs de modèles sélectionnés, dans le cadre des mêmes accords de traitement des données et de la même interdiction d'entraînement des modèles.
Les comptes qu'une personne associe à un Digital Employee (Gmail, Google Calendar, Outlook, Microsoft 365, WhatsApp, Telegram, Instagram et LinkedIn) peuvent être connectés via UNIPILE, un intermédiaire de connexion, dans le cadre d'un accord de traitement des données.
Digital Employees. Un Digital Employee fonctionne dans une machine virtuelle, dans la région de traitement choisie par le client ; Scovai en propose deux. Dans la région européenne, la machine virtuelle fonctionne sur des serveurs fournis par Contabo GmbH en France, au sein de l'Espace économique européen, et le modèle de langage est Anthropic, OpenAI ou un fournisseur acheminé via OpenRouter, sous des accords de traitement des données qui excluent l'entraînement : les mêmes fournisseurs que ceux des fonctionnalités d'IA de la plateforme. Dans la région Moyen-Orient, la machine virtuelle fonctionne sur des serveurs appartenant à OmniSage LLC et exploités par elle, situés dans le centre de données au 2704 Fortune Executive Tower, Cluster T, Jumeirah Lakes Towers (JLT), Dubai, Émirats arabes unis, hors de l'Espace économique européen, et le modèle de langage est Zhipu AI (GLM), appelé directement sur un point de terminaison en République populaire de Chine, avec Sakana AI au Japon en secours. Dans les deux régions, la machine virtuelle contient la mémoire de travail du Digital Employee, ses transcriptions, ses fichiers partagés et sa boîte aux lettres, et le matériel sur lequel il travaille à cet instant est envoyé à son modèle de langage comme contexte de la réponse. Les Digital Employees recrutés avant l'ouverture de la région européenne fonctionnent dans la région Moyen-Orient ; un client qui préfère pour eux la région européenne peut le demander à privacy@scovai.com. Les applications qu'une personne connecte à un Digital Employee, telles que Google Drive, Docs, Sheets et Meet, sont autorisées et exécutées via Pipedream, Inc. aux États-Unis, dans les deux régions. La plateforme, sa base de données et les fichiers téléversés sont hébergés par Contabo GmbH en France ; le site scovai.com est diffusé via Cloudflare ; les e-mails transactionnels partent via le relais de messagerie GPlugin. Les transferts hors EEE sont traités dans le Data Processing Agreement.
9. Conservation
Les durées de conservation sont définies au niveau de la plateforme. Les durées par défaut figurent dans notre Politique de confidentialité. Les enregistrements d'entretien sont supprimés automatiquement 90 jours après l'entretien, et les enregistrements de réunion 180 jours après la réunion, par une tâche quotidienne. Les transcriptions, résumés et actions à suivre ne sont pas supprimés sur minuterie : ils sont conservés jusqu'à ce que le Tenant supprime l'entretien ou la réunion, ou jusqu'à la suppression de l'espace de travail. Ces deux durées sont fixées par Scovai et ne sont pas configurables par Tenant aujourd'hui. Une candidature, ainsi que les évaluations, entretiens, scores et registres d'intégrité qui en découlent, sont supprimés par un traitement nocturne 12 mois après la décision sur la candidature, et les entrées du vivier de talents 24 mois après leur dernière activité. La suppression des autres données est réalisée par notre processus de gouvernance des données, y compris sur demande via le module de conformité ou une demande d'effacement.
10. Contact
privacy@scovai.com
