Политика конфиденциальности

Scovai («мы», «нас», «наш») управляет платформой Scovai для интеллектуального подбора талантов. Настоящая Политика конфиденциальности описывает, как мы собираем, используем, храним и защищаем персональные данные при использовании вами наших услуг, посещении нашего веб-сайта или взаимодействии с нашей платформой в качестве рекрутера, кандидата или посетителя.

Мы привержены защите вашей конфиденциальности в соответствии с Общим регламентом защиты данных (EU) 2016/679 (GDPR), Актом ЕС об искусственном интеллекте (Regulation (EU) 2024/1689) и применимыми национальными законами о защите данных.

1. Контролёр данных

Контролёром персональных данных, обрабатываемых через платформу Scovai, является:

OmniSage LLC (Scovai) — New Mexico Entity ID: 0008015447
1209 Mountain Road PL NE, Suite R, Albuquerque, NM 87110, USA
Электронная почта: privacy@scovai.com

OmniSage LLC учреждена за пределами Европейского союза. Представитель в Союзе в соответствии со статьёй 27 GDPR пока не назначен. До его назначения пишите на privacy@scovai.com: это единый адрес для любых вопросов, запросов и жалоб, касающихся защиты данных, и отвечаем на него мы сами. Мы укажем представителя здесь после его назначения.

Для обработки данных, специфичной для арендаторов (когда организации используют Scovai для управления подбором персонала), соответствующая организация выступает контролёром данных, а Scovai действует как обработчик данных от её имени.

2. Данные, которые мы собираем

2.1 Данные кандидатов

• Идентификационные данные: Имя, адрес электронной почты, номер телефона, местоположение
• Данные CV и карьеры: Опыт работы, образование, навыки, сертификаты, языки, извлечённые с помощью AI-анализа CV
• Данные оценки: Ответы на техническую оценку, результаты психометрической оценки (пять основных черт личности, предпочтения культурной совместимости, показатели стиля руководства)
• Данные собеседований: Стенограммы AI-собеседований, ответы и сформированные отчёты об оценке
• Данные скоринга: AI-сгенерированные баллы по нескольким направлениям (технические навыки, опыт, образование, софт-скиллы, потенциал) с обоснованием объяснимости
• Данные эмбеддингов: 1536-мерные векторные представления содержимого CV, используемые для семантического сопоставления (не читаемые человеком)
• Данные о добросовестности оценки: сигналы, записываемые, пока вы проходите оценку или видеособеседование, включая односторонний хэш характеристик браузера и устройства, который показывает, продолжилась ли сессия на другом устройстве. Эти сигналы носят рекомендательный характер, сами по себе никогда не являются причиной отказа кандидату и удаляются через 365 дней после сессии. Подробно они описаны в нашей Политике использования файлов cookie.

2.2 Данные рекрутеров и организаций

• Данные аккаунта: Имя, электронная почта, роль, название организации
• Данные конфигурации: Предпочтения весов скоринга, профили корпоративной культуры, настройки AI-функций
• Данные об использовании: Активность на платформе, использование функций, аналитические данные

2.3 Данные посетителей веб-сайта

• Технические данные: IP-адрес, тип браузера, информация об устройстве. IP-адрес также используется на стороне сервера на главной странице, чтобы определить вашу страну и подобрать подходящие цены и язык по умолчанию. Результат не сохраняется в привязке к вам.
• Данные об использовании: Посещённые страницы, время на сайте, источник перехода

2.4 Пользовательские данные Google

Когда вы решаете подключить аккаунт Google к Digital Employee, мы получаем доступ только к тем сервисам и разрешениям Google, которые показаны на экране согласия Google. Через собственный экран согласия Google, принадлежащий Scovai, запрашиваются следующие разрешения:

• Gmail (gmail.modify): сообщения, цепочки, ярлыки и черновики, а также возможность составлять, отправлять, упорядочивать и изменять письма
• Google Drive, чтение (drive.readonly): это разрешение охватывает весь ваш Drive, чтобы Digital Employee мог найти документ, который вы называете, без необходимости сначала указывать папку
• Google Drive, запись (drive.file): ограничено файлами и папками, которые вы сами выбираете в собственном средстве выбора файлов Google. Эту границу обеспечивает Google, а не Scovai, поэтому Digital Employee не может её расширить
• Идентификация аккаунта Google (userinfo.email): адрес электронной почты подключённого аккаунта — единственное понятное человеку имя, которое мы можем показать вам для этого доступа

Собственный экран согласия Scovai не запрашивает разрешения для Google Calendar, Docs или Sheets. Эти сервисы, если вы их подключаете, доступны по одному из двух путей, описанных ниже.

Подключать Google необязательно. Scovai получает доступ к этим данным только после вашего явного согласия OAuth и только когда вы или ваш уполномоченный Digital Employee запускаете задачу, которая этого требует.

Подключить аккаунт к Digital Employee можно четырьмя способами, и от выбранного способа зависит, у кого находятся ключи.

1. Напрямую к Google, через собственный экран согласия Scovai, для Gmail и Drive, как описано выше. Scovai хранит refresh-токен в зашифрованном виде, а Digital Employee получает краткоживущие access-токены.
2. Напрямую к Microsoft, через собственный экран согласия Microsoft, принадлежащий Scovai, для почты Microsoft 365 (Outlook), Microsoft 365 Calendar и OneDrive / SharePoint. Доступ к OneDrive и SharePoint ограничен выбранной вами папкой. Scovai хранит refresh-токен в зашифрованном виде, а Digital Employee получает краткоживущие access-токены.
3. Через UNIPILE, брокер подключений, для Gmail, Google Calendar, Outlook, Microsoft 365, WhatsApp, Telegram, Instagram и LinkedIn. Запрос согласия на экране провайдера исходит от UNIPILE, токены хранит UNIPILE, а у Digital Employee есть ограниченный ключ брокера, позволяющий читать и, если вы включили отправку, отправлять сообщения с подключённого аккаунта. Для LinkedIn этот ключ достигает только Scovai и никогда LinkedIn: Scovai сама отправляет каждый запрос в UNIPILE в пределах дневных лимитов, и каждое сообщение, приглашение или публикация ждёт вашего одобрения. После отключения аккаунт вскоре удаляется в UNIPILE.
4. Через Pipedream, шлюз подключённых приложений, для таких приложений, как Google Drive, Docs, Sheets и Meet. Авторизацию хранит Pipedream, и он же выполняет запрос, поэтому запрос и его результат проходят через Pipedream.

Аккаунт мессенджера по своей природе отличается от почтового ящика: его подключение открывает переписку людей, которые пишут на этот аккаунт, включая групповые чаты, а не только сообщения, написанные вами.

2.6 Записи, расшифровки и резюме встреч

Когда встреча или собеседование записывается на платформе, мы обрабатываем аудио и видео звонка, расшифровку сказанного, резюме и вытекающие из него задачи, чат во время звонка, а также имена и адреса электронной почты участников и гостей. Запись включена по умолчанию, и организатор может её выключить. Гостей извне организующей компании просят дать согласие до начала записи; собственный персонал организующей компании уведомляется на основании трудовых отношений, и эта компания отвечает за его информирование и, если этого требует национальное право, за информирование его представителей.

Аудио расшифровывает OpenAI, а текст расшифровки резюмирует Anthropic, с OpenRouter в качестве резерва. Digital Employee организующей компании может получить поручение по итогам встречи; в этом случае расшифровка и резюме добавляются в его материалы для чтения. Записи удаляются по истечении сроков, указанных в разделе 6; расшифровки, резюме и задачи хранятся, пока организующая компания не удалит встречу.

После встречи организатор может отправить итоговую сводку приглашённым. Эта сводка может содержать полную расшифровку и уходит каждому приглашённому, которого выберет организатор, включая гостей извне организующей компании. Получателей выбирает организатор; мы не фильтруем содержимое для каждого получателя.

3. Как мы используем ваши данные

Мы обрабатываем персональные данные в следующих целях:

• Предоставление услуг: Для обеспечения анализа CV, AI-скоринга, оценки, проведения собеседований и сопоставления кандидатов с вакансиями
• AI-анализ: Для формирования баллов, психометрических профилей, оценок собеседований и рейтингов шорт-листов с помощью моделей машинного обучения
• Улучшение платформы: Для повышения точности и справедливости нашего скоринга и сопоставления, оптимизации пользовательского опыта и разработки новых функций. Для этого используются агрегированные и статистические данные. Мы не используем данные кандидатов и содержимое, с которым работает Digital Employee, для обучения или дообучения AI-моделей.
• Соответствие требованиям: Для ведения аудиторских журналов, обеспечения человеческого контроля решений AI и мониторинга алгоритмической предвзятости
• Коммуникация: Для отправки уведомлений, приглашений на оценку, ссылок на собеседования и обновлений сервиса
• Задачи агента с подключённым Google: Для выполнения действий в Gmail, Drive, Docs, Sheets и Calendar, которые вы явно поручаете подключённому Digital Employee

4. Правовые основания обработки

5. Автоматизированное принятие решений и профилирование

Scovai использует AI для оценки кандидатов, создания психометрических профилей и формирования оценок собеседований. В соответствии со Статьёй 22 GDPR и Актом ЕС об искусственном интеллекте:

• Прозрачность: Каждый AI-сгенерированный балл содержит обоснование объяснимого AI (XAI) на простом языке, поясняющее, почему был присвоен данный балл
• Человеческий контроль: Полностью автоматизированные решения о найме не принимаются. Выходные данные AI служат рекомендациями: окончательные решения принимают рекрутеры
• Право на оспаривание: Кандидаты могут запросить человеческую проверку любой AI-сгенерированной оценки или балла
• Мониторинг предвзятости: Наш аналитический модуль анализирует паттерны ИИ-скоринга и продвижение по воронке в разрезе пола и возрастной группы и показывает статистические аномалии, когда результаты группы отклоняются от общего распределения

6. Сроки хранения данных

• Данные кандидатов: Хранятся в течение процесса подбора плюс 12 месяцев, если не дано согласие на хранение в пуле талантов. Ночное задание удаляет заявку и производные от неё записи — её оценки, собеседования, баллы и записи о добросовестности — через 12 месяцев после принятия решения по заявке. Ваш профиль в это удаление не входит: он принадлежит вам, а не работодателю, и у других заявок свои сроки.
• Данные пула талантов: Хранятся до отзыва согласия и в любом случае не дольше 24 месяцев с последней активности, после чего то же ночное задание удаляет запись.
• Данные аккаунта: Хранятся в течение действия договора об оказании услуг плюс 12 месяцев, удаляются по запросу и в рамках нашего процесса управления данными.
• Аудиторские журналы: Журналы ошибок и критических событий хранятся 365 дней; информационные журналы: 30 дней; журналы предупреждений: 90 дней. Каждая запись перед удалением из рабочей системы записывается в сжатый архивный файл; эти архивные файлы хранятся, пока их не удалит администратор.
• Записи Digital Employee: Рабочая память Digital Employee, расшифровки разговоров, записи об одобрениях и почтовый ящик хранятся, пока он назначен, а затем обрабатываются так, как описано ниже в пункте об освобождении. Записи об активности и инцидентах на платформе хранятся в течение всего срока существования рабочего пространства.
• Освобождение Digital Employee: Когда Арендатор освобождает Digital Employee, записи его позиции сохраняются, а подключённые к нему аккаунты остаются подключёнными, пока Арендатор их не отключит. Через тридцать дней, или через три дня, если плата за него ни разу не взималась, мы даём его среде выполнения указание удалить рабочую память и расшифровки разговоров, а затем уничтожаем его виртуальную машину. Его почтовый ящик отключается, а сообщения в нём хранятся, пока не будет запрошено удаление. Содержимое переписки в Scovai Workspace хранится этим сервисом, пока Арендатор не запросит удаление. Резервные копии базы данных платформы перезаписываются в течение семи дней.
• Записи собеседований и встреч: Записи собеседований удаляются через 90 дней после собеседования, а записи онлайн-встреч — через 180 дней после встречи. Расшифровки, резюме и задачи хранятся, пока Арендатор не удалит собеседование или встречу.
• Переписка в Scovai Workspace: Сообщения, которыми обмениваются в Scovai Workspace, хранятся этим сервисом в читаемом виде и с поисковым индексом, пока существует рабочее пространство. У Scovai нет механизма удалить это содержимое самостоятельно; оно удаляется по запросу Арендатора.
• Отключённые коннекторы: При отключении коннектора мы удаляем сохранённый токен и вызываем конечную точку отзыва провайдера, если она есть; этот вызов выполняется по мере возможности и может не сработать. Запись о самом подключении, включая её зашифрованный конверт, хранится до удаления рабочего пространства.
• Телеметрия Digital Employee: Операционные отчёты, которые нам отправляет среда выполнения Digital Employee, — сигналы активности, проверки готовности и сводки выполненной работы — хранятся вместе с записями об активности в течение всего срока существования рабочего пространства.
• Записи о добросовестности оценки: Удаляются автоматически через 365 дней после сессии, если запись не подлежит юридическому удержанию.
• Данные для обучения AI-моделей: Мы не используем персональные данные отдельных кандидатов и содержимое, с которым работает Digital Employee, для обучения или дообучения AI-моделей
• Учётные данные Google OAuth: Refresh-токен хранится в зашифрованном виде и только пока коннектор активен. При отключении коннектора сохранённый Scovai refresh-токен удаляется, а конечной точке отзыва токенов Google направляется запрос на его отзыв; как и для любого коннектора, этот вызов выполняется по мере возможности и может не сработать, а запись о подключении хранится так, как описано выше в пункте об отключённых коннекторах
• Содержимое Google: Коннектор не создаёт центральной копии содержимого Gmail, Drive, Docs, Sheets или Calendar. Временные операционные кэши, если они нужны для выполнения задачи, хранятся только столько, сколько требуется задаче. Результаты, которые вы намеренно поручаете агенту создать или сохранить, подчиняются обычным срокам хранения аккаунта или сервиса, пока вы их не удалите

7. Передача данных

Мы не продаём персональные данные. Данные могут быть переданы:

• Организациям-работодателям: Данные кандидата передаются организации-нанимателю, в которую кандидат подал заявку или с которой был сопоставлён
• AI-провайдерам: AI-задачи платформы (анализ CV, скоринг, ассессменты, собеседования, голос и эмбеддинги) обрабатываются названными субобработчиками — Anthropic (Claude API) и OpenAI — по соглашениям об обработке данных, через централизованно настроенный и аудируемый шлюз. Данные API по этим соглашениям не используются для обучения моделей провайдеров. Digital Employee в европейском регионе использует тех же поставщиков. Digital Employee в ближневосточном регионе этот шлюз не использует: он напрямую вызывает своего поставщика языковой модели, Zhipu AI, с Sakana AI в качестве резерва (см. раздел 11)
• Хостинг-провайдерам: Платформа, её база данных и загруженные файлы размещены в Европейской экономической зоне, во Франции. Digital Employee работает в регионе обработки, который выбирает клиент, как указано в разделе 11: в европейском регионе он работает во Франции, а его языковая модель вызывается у Anthropic, OpenAI или поставщика, к которому запросы направляются через OpenRouter; в ближневосточном регионе он работает в Объединённых Арабских Эмиратах, а его языковая модель вызывается в Китайской Народной Республике с резервом в Японии. Подключённые приложения, доступные через Pipedream, в обоих регионах обрабатываются в Соединённых Штатах

7.1 Сервисы Google API и ограниченное использование

Использование и передача Scovai сведений, полученных из API Google, соответствуют Google API Services User Data Policy, включая требования Limited Use.

Пользовательские данные Google используются только для предоставления или улучшения запрошенной вами функции коннектора. Если задача требует обработки языковой моделью, минимально необходимое содержимое может передаваться нашим поставщикам AI-услуг исключительно как поставщикам услуг, действующим по указаниям Scovai, и исключительно для выполнения этой задачи. Для функций платформы это Anthropic, OpenAI или поставщики, к которым запросы направляются через OpenRouter, по соглашениям об обработке данных с запретом на обучение. Для Digital Employee поставщик зависит от его региона обработки: в европейском регионе это один из тех же поставщиков; в ближневосточном регионе это Zhipu AI, вызываемая напрямую на эндпоинте в Китайской Народной Республике, с Sakana AI в Японии в качестве резерва. В обоих регионах содержимое, с которым Digital Employee работает в данный момент, передаётся модели как контекст. Если вы подключаете аккаунт Google к Digital Employee, содержимое Google, с которым вы просите его работать, попадает к этому поставщику. Подключённые приложения, доступные через Pipedream, передают запрос и его результат через Pipedream в Соединённых Штатах. Все они перечислены с указанием местонахождения в разделе 11.

Мы не продаём пользовательские данные Google, не используем их для рекламы, для оценки кредитоспособности или права на кредит, для слежки, а также для обучения или дообучения универсальных или персонализированных AI-моделей. Люди не читают пользовательские данные Google, кроме случаев вашего явного согласия в целях поддержки или безопасности, необходимости расследовать злоупотребления или требования закона.

Вы можете в любой момент отключить коннектор Google от Scovai. Вы также можете просмотреть или отозвать доступ Scovai непосредственно в разрешениях аккаунта Google.

8. Каналы связи

Scovai связывается с вами по электронной почте (всегда) и через WhatsApp (по вашему согласию). Уведомления в WhatsApp носят строго транзакционный характер: напоминания о собеседованиях, подтверждения бронирований и срочные сообщения от рекрутеров. Мы не используем WhatsApp для маркетинга. Когда вы подтверждаете свой номер, Meta Platforms (WhatsApp) обрабатывает его в соответствии с соглашением Meta об обработке данных. Вы можете в любой момент отключить уведомления WhatsApp в настройках; номер мы храним для аудита, пока вы не удалите аккаунт.

9. Безопасность данных

Мы применяем соответствующие технические и организационные меры, включая:

• Шифрование AES-256 API-ключей и конфиденциальных учётных данных при хранении: GCM для учётных данных Digital Employee, CBC для ключей AI-провайдеров, токенов подключённых почтовых ящиков и токенов подписания договоров. Шифрование базы данных или загруженных файлов при хранении сверх этого мы не заявляем.
• Хэширование паролей Argon2
• Аутентификация на основе JWT с токенами доступа и обновления
• Шифрование TLS для всех передаваемых данных
• Ролевое управление доступом (RBAC) с изоляцией арендаторов
• Комплексное аудиторское журналирование всех действий на платформе

Резервные копии. Дамп базы данных платформы создаётся раз в сутки ночью, и дампы хранятся семь дней в той же инфраструктуре, на которой работает платформа. Они не шифруются отдельно, и копии во втором месте нет. Загруженные файлы и виртуальные машины Digital Employee в этот дамп не входят. Одно практическое следствие стоит назвать прямо: когда мы удаляем персональные данные по вашему запросу, их копии могут сохраняться в этих дампах до семи дней, после чего они перезаписываются.

10. Ваши права

Согласно GDPR, вы имеете право на:

• Доступ к своим персональным данным (Art. 15)
• Исправление неточных данных (Art. 16)
• Удаление ваших данных («право на забвение») (Art. 17)
• Ограничение обработки (Art. 18)
• Переносимость данных: получение данных в структурированном, машиночитаемом формате (Art. 20)
• Возражение против обработки, включая профилирование (Art. 21)
• Неприменение к вам исключительно автоматизированных решений с юридическими последствиями (Art. 22)
• Отзыв согласия в любое время без ущерба для законности предшествующей обработки (Art. 7(3))

Для реализации любого из этих прав свяжитесь с нами по адресу privacy@scovai.com. Мы ответим в течение 30 дней.

10A. Если Digital Employee обрабатывал ваши данные

Если вы не пользователь Scovai, а Digital Employee какой-то организации написал вам письмо, отправил сообщение, записал встречу с вами или работал с документом, в котором вы упомянуты, то контролёром ваших данных является эта организация, а Scovai — её обработчик. Мы не решаем, что она с ними делает, и не можем удалить их по своей инициативе.

Напишите на privacy@scovai.com. Мы передадим ваш запрос организации, сообщим вам об этом и поддержим её ответ, включая поиск того, что мы храним по её поручению, чтобы она могла предоставить доступ или удалить. Если вы не знаете, какая это организация, укажите адрес электронной почты или встречу, и мы определим её сами.

11. Международная передача данных

Персональные данные кандидатов хранятся в пределах Европейской экономической зоны, на серверах, предоставляемых Contabo GmbH во Франции. Для отдельных функций на основе ИИ данные обрабатываются субобработчиками в рамках соглашений об обработке данных: Anthropic (Claude API — разбор резюме, скоринг «кандидат–вакансия», анализ оценок и интервью, проверка документов, удостоверяющих личность) и OpenAI (распознавание речи для собеседований и записанных встреч, синтез речи для голосовых интервью, текстовые эмбеддинги — через централизованно настроенный и аудируемый шлюз). Обработка через API в рамках этих соглашений не используется для обучения моделей провайдеров. Аудируемый шлюз (OpenRouter) может направлять отдельные вспомогательные задачи ИИ дополнительным проверенным поставщикам моделей на тех же условиях: соглашения об обработке данных и запрет на использование данных для обучения моделей. Учётные записи, которые человек подключает к Digital Employee (Gmail, Google Calendar, Outlook, Microsoft 365, WhatsApp, Telegram, Instagram и LinkedIn), могут подключаться через UNIPILE, посредника для подключения, на основании соглашения об обработке данных. Если провайдер обрабатывает данные за пределами ЕЭЗ, в стране, в отношении которой нет решения Европейской комиссии о достаточности защиты, передача должна быть обеспечена Стандартными договорными условиями; Scovai завершает их заключение, а также соответствующие оценки последствий передачи, с каждым таким провайдером, как предусмотрено в Data Processing Agreement. Актуальный список субобработчиков предоставляется по запросу; о существенных изменениях мы уведомляем заранее.

Digital Employees. Digital Employee работает в виртуальной машине в регионе обработки, который выбирает клиент; Scovai предлагает два. В европейском регионе виртуальная машина работает на серверах, предоставляемых Contabo GmbH во Франции, в Европейской экономической зоне, а языковая модель — Anthropic, OpenAI или поставщик, к которому запросы направляются через OpenRouter, по соглашениям об обработке данных с запретом на обучение: те же поставщики, что обслуживают AI-функции платформы. В ближневосточном регионе виртуальная машина работает на серверах, принадлежащих OmniSage LLC и обслуживаемых ею, расположенных в центре обработки данных по адресу 2704 Fortune Executive Tower, Cluster T, Jumeirah Lakes Towers (JLT), Dubai, Объединённые Арабские Эмираты, за пределами Европейской экономической зоны, а языковая модель — Zhipu AI (GLM), вызываемая напрямую на эндпоинте в Китайской Народной Республике, с Sakana AI в Японии в качестве резерва. В обоих регионах виртуальная машина хранит рабочую память Digital Employee, расшифровки, общие файлы и почтовый ящик, а материал, с которым он работает в этот момент, передаётся его языковой модели как контекст ответа. Digital Employees, нанятые до открытия европейского региона, работают в ближневосточном регионе; клиент, который предпочитает для них европейский регион, может запросить это по адресу privacy@scovai.com. Приложения, которые человек подключает к Digital Employee, например Google Drive, Docs, Sheets и Meet, в обоих регионах авторизуются и выполняются через Pipedream, Inc. в Соединённых Штатах. Сама платформа, её база данных и загруженные файлы размещены у Contabo GmbH во Франции; сайт scovai.com доставляется через Cloudflare; транзакционная почта уходит через почтовый релей GPlugin. Передачи за пределы ЕЭЗ описаны в Data Processing Agreement.

12. Изменения в настоящей Политике

Мы можем периодически обновлять настоящую Политику конфиденциальности. О существенных изменениях зарегистрированные пользователи будут уведомлены по электронной почте, а информация будет размещена на этой странице с обновлённой датой «Последнее обновление».

13. Контакты

По вопросам конфиденциальности, запросам о защите данных или жалобам:

Электронная почта: privacy@scovai.com

Вы также имеете право подать жалобу в надзорный орган, в частности в государстве-члене ЕС или ЕЭЗ по месту вашего обычного проживания, месту работы или месту предполагаемого нарушения (статья 77 GDPR).