Scovai è progettata con la protezione dei dati al centro. La presente Politica GDPR descrive come ci conformiamo al Regolamento Generale sulla Protezione dei Dati (UE) 2016/679 e le misure di protezione che implementiamo per tutelare i diritti degli interessati, in particolare i candidati i cui dati personali sono trattati attraverso la nostra piattaforma di reclutamento basata sull'AI.
1. Il Nostro Ruolo ai Sensi del GDPR
Scovai opera in due vesti a seconda del contesto:
- Responsabile del trattamento: Quando le organizzazioni (Tenant) utilizzano Scovai per gestire i loro processi di reclutamento, agiamo come responsabili del trattamento per conto del Tenant (titolare del trattamento). Il trattamento è regolato dagli impegni di trattamento dei dati ex art. 28 GDPR previsti nei nostri Termini di Servizio per le Aziende.
- Titolare del trattamento: Per i visitatori del nostro sito web, i candidati diretti al nostro talent pool e i titolari di account, agiamo come titolari del trattamento.
2. Protezione dei Dati fin dalla Progettazione e per Impostazione Predefinita
In conformità con l'Articolo 25 del GDPR, Scovai implementa la protezione dei dati fin dalla progettazione e per impostazione predefinita:
- Isolamento multi-tenant: I dati di ciascuna organizzazione sono logicamente isolati. Gli utenti possono accedere solo ai dati all'interno del proprio tenant.
- Raccolta minima dei dati: Raccogliamo solo i dati necessari per la funzionalità di reclutamento in uso.
- Pseudonimizzazione: Gli embedding vettoriali utilizzati per il matching semantico non sono leggibili dall'uomo e non possono essere invertiti per ricostruire il testo originale del CV.
- Controllo degli accessi: Il controllo degli accessi basato sui ruoli (RBAC) garantisce che gli utenti vedano solo i dati pertinenti al loro ruolo (Admin, Recruiter o Candidato).
- Crittografia: Tutti i dati in transito sono crittografati tramite TLS. Le credenziali sensibili sono crittografate con AES-256 (GCM/CBC) a riposo.
3. Gestione del Consenso
Scovai fornisce un sistema integrato di gestione del consenso che:
- Registra il consenso granulare per specifici scopi di trattamento (analisi CV, scoring AI, valutazione psicometrica, partecipazione ai colloqui, inclusione nel talent pool)
- Mantiene un audit trail completo di quando il consenso è stato dato, modificato o revocato
- Consente ai candidati di revocare il consenso in qualsiasi momento attraverso il proprio profilo
- Limita automaticamente il trattamento quando il consenso viene revocato
4. Garanzie per il Processo Decisionale Automatizzato (Articolo 22)
Scovai utilizza l'AI per lo scoring, la profilazione e la valutazione. Implementiamo le seguenti garanzie ai sensi dell'Articolo 22(3):
4.1 Nessuna Decisione Esclusivamente Automatizzata
La Piattaforma è progettata come strumento di supporto alle decisioni. Gli output AI (punteggi, classifiche, valutazioni dei colloqui) sono presentati come raccomandazioni ai recruiter umani, che mantengono piena autorità sulle decisioni di assunzione.
4.2 Spiegabilità
Ogni punteggio generato dall'AI include una motivazione AI Spiegabile (XAI) che descrive, in linguaggio semplice, i fattori che hanno influenzato il punteggio. Questo include:
- Quali competenze e qualifiche hanno contribuito al punteggio
- Quali aggiustamenti sono stati applicati e perché
- Come il candidato si confronta con i requisiti della posizione
4.3 Diritto di Contestazione
I candidati possono richiedere la revisione umana di qualsiasi valutazione o punteggio generato dall'AI attraverso il modulo di conformità della Piattaforma. I Tenant vengono notificati e devono rispondere alle richieste di revisione entro un tempo ragionevole.
4.4 Monitoraggio dei Bias
La Piattaforma include un monitoraggio automatico dei bias che analizza i pattern di scoring AI per disparità demografiche, inclusa la distribuzione per genere ed età nei punteggi.
5. Diritti dell'Interessato
Scovai supporta l'esercizio di tutti i diritti dell'interessato ai sensi del GDPR:
| Diritto | Articolo GDPR | Come Scovai lo Supporta |
|---|---|---|
| Accesso | Art. 15 | I candidati possono visualizzare tutti i loro dati attraverso il profilo. I Tenant possono esportare i dati dei candidati tramite il modulo di conformità. |
| Rettifica | Art. 16 | I candidati possono modificare direttamente i dati del proprio profilo. I recruiter possono aggiornare le informazioni dei candidati. |
| Cancellazione | Art. 17 | Le richieste di esportazione e cancellazione dei dati GDPR possono essere avviate tramite il modulo di conformità con audit logging completo. |
| Limitazione | Art. 18 | Il trattamento può essere limitato per singolo candidato mentre le controversie vengono risolte. |
| Portabilità | Art. 20 | I dati possono essere esportati in formato JSON strutturato tramite il modulo di conformità o le API. |
| Opposizione | Art. 21 | I candidati possono opporsi alla profilazione e al trattamento automatizzato attraverso le impostazioni di consenso. |
| Decisioni automatizzate | Art. 22 | Le richieste di revisione umana possono essere presentate per qualsiasi decisione AI. Vedi Sezione 4 sopra. |
6. Impegni di Trattamento dei Dati (GDPR Art. 28)
Ogni relazione con i Tenant è regolata dagli impegni di trattamento ex art. 28 GDPR, previsti nei nostri Termini di Servizio per le Aziende, che specificano:
- L'oggetto e la durata del trattamento
- La natura e lo scopo del trattamento
- I tipi di dati personali trattati
- Le categorie di interessati
- Gli obblighi e i diritti del titolare e del responsabile
- I requisiti e le procedure di approvazione per i sub-responsabili
7. Procedure per la Violazione dei Dati
In caso di violazione dei dati personali, Scovai:
- Notificherà i Tenant interessati (titolari del trattamento) senza indebito ritardo ed entro 72 ore dalla scoperta della violazione
- Fornirà informazioni dettagliate sulla violazione, inclusa la natura dei dati interessati, le probabili conseguenze e le misure adottate
- Assisterà i Tenant nell'adempimento dei propri obblighi di notifica alle autorità di controllo e agli interessati
- Documenterà tutte le violazioni in un registro interno delle violazioni
8. Sub-Responsabili
Scovai minimizza l'uso di sub-responsabili. Attualmente:
- Elaborazione AI: Le attività di IA della piattaforma (analisi CV, scoring, assessment, colloqui) vengono elaborate da sub-responsabili nominati, Anthropic e OpenAI, sotto accordi di trattamento dei dati, tramite un gateway configurato centralmente e auditato. I dati dei candidati sono conservati nello SEE e i dati API non vengono usati per addestrare i modelli dei fornitori. Un Digital Employee nella regione europea usa gli stessi fornitori; un Digital Employee nella regione Medio Oriente non usa quel gateway e il suo fornitore di modello è descritto più sotto.
- Voce ed embedding: Riconoscimento vocale, sintesi vocale ed embedding testuali usano l'API di OpenAI, instradati tramite un gateway configurato centralmente e auditato, con condizioni di trattamento dei dati equivalenti.
- Infrastruttura: L'hosting applicativo e l'archiviazione dei dati della piattaforma si trovano all'interno dello Spazio Economico Europeo, su server forniti da Contabo GmbH in Francia; i sub-responsabili di IA possono trattare dati al di fuori del SEE, e tali trasferimenti dovranno essere coperti da Clausole Contrattuali Standard, la cui sottoscrizione Scovai sta completando con ciascun fornitore (vedi il Data Processing Agreement). Un Digital Employee gira nella regione di elaborazione scelta dal cliente, descritta più sotto: all'interno dello Spazio Economico Europeo nella regione europea, al di fuori di esso nella regione Medio Oriente.
Notificheremo i Tenant prima di coinvolgere nuovi sub-responsabili che trattano dati personali.
Il gateway auditato (OpenRouter) può instradare specifici task ausiliari di IA verso ulteriori fornitori di modelli selezionati, sotto gli stessi accordi di trattamento dei dati e lo stesso divieto di utilizzo per l'addestramento dei modelli.
Gli account che una persona collega a un Digital Employee (Gmail, Google Calendar, Outlook, Microsoft 365, WhatsApp, Telegram, Instagram e LinkedIn) possono essere connessi tramite UNIPILE, un intermediario di connessione, sulla base di un accordo di trattamento dei dati.
Digital Employee. Un Digital Employee gira in una macchina virtuale nella regione di elaborazione scelta dal cliente; Scovai ne offre due. Nella regione europea la macchina virtuale gira su server forniti da Contabo GmbH in Francia, all'interno dello Spazio Economico Europeo, e il modello linguistico è Anthropic, OpenAI o un fornitore instradato tramite OpenRouter, sotto accordi di trattamento dei dati che escludono l'addestramento: gli stessi fornitori che servono le funzionalità di IA della piattaforma. Nella regione Medio Oriente la macchina virtuale gira su server di proprietà di OmniSage LLC e da essa gestiti, nel data center al 2704 Fortune Executive Tower, Cluster T, Jumeirah Lakes Towers (JLT), Dubai, Emirati Arabi Uniti, fuori dallo Spazio Economico Europeo, e il modello linguistico è Zhipu AI (GLM), chiamato direttamente su un endpoint nella Repubblica Popolare Cinese, con Sakana AI in Giappone come fallback. In entrambe le regioni la macchina virtuale contiene la memoria di lavoro del Digital Employee, le trascrizioni, i file condivisi e la casella di posta, e il materiale su cui sta lavorando in quel momento viene inviato al suo modello linguistico come contesto per la risposta. I Digital Employee assunti prima dell'apertura della regione europea girano nella regione Medio Oriente; un cliente che preferisce per loro la regione europea può chiederlo a privacy@scovai.com. Le app che una persona collega a un Digital Employee, come Google Drive, Docs, Sheets e Meet, sono autorizzate ed eseguite tramite Pipedream, Inc. negli Stati Uniti, in entrambe le regioni. La piattaforma, il suo database e i file caricati sono ospitati da Contabo GmbH in Francia; il sito scovai.com è distribuito tramite Cloudflare; le email transazionali escono tramite il relay di posta GPlugin. I trasferimenti fuori dal SEE sono trattati nel Data Processing Agreement.
9. Conservazione e Cancellazione dei Dati
I periodi di conservazione sono impostati a livello di piattaforma. I periodi predefiniti sono descritti nella nostra Informativa Privacy. Le registrazioni dei colloqui vengono eliminate automaticamente 90 giorni dopo il colloquio, e le registrazioni delle riunioni live 180 giorni dopo la riunione, da un job giornaliero. Trascrizioni, sintesi e action item non vengono eliminati a tempo: restano fino a quando il Tenant elimina il colloquio o la riunione, oppure fino all'eliminazione dello spazio di lavoro. I due periodi di conservazione delle registrazioni sono impostati da Scovai e attualmente non sono configurabili dal Tenant. Una candidatura, e le valutazioni, i colloqui, i punteggi e i registri di integrità che ne derivano, vengono cancellati da un processo notturno 12 mesi dopo la decisione sulla candidatura, e le voci del talent pool 24 mesi dopo la loro ultima attività. La cancellazione degli altri dati avviene tramite il nostro processo di data governance, anche su richiesta dal modulo compliance o con una richiesta di cancellazione dell'interessato.
10. Contatta il Team Protezione Dati
Per richieste relative al GDPR, richieste degli interessati o domande sui nostri impegni di trattamento dei dati:
Email: privacy@scovai.com
