Chính sách GDPR

Scovai được thiết kế với bảo vệ dữ liệu là cốt lõi. Chính sách GDPR này mô tả cách chúng tôi tuân thủ Quy định Bảo vệ Dữ liệu Chung (EU) 2016/679 và các biện pháp bảo vệ quyền của chủ thể dữ liệu, đặc biệt là ứng viên có dữ liệu cá nhân được xử lý qua nền tảng tuyển dụng AI.

1. Vai trò của Chúng tôi theo GDPR

• Bên xử lý dữ liệu: Khi tổ chức sử dụng Scovai để quản lý tuyển dụng, chúng tôi là bên xử lý dữ liệu theo các cam kết xử lý dữ liệu tại Điều 28 GDPR được quy định trong Điều khoản Dịch vụ cho Doanh nghiệp của chúng tôi.
• Bên kiểm soát dữ liệu: Đối với khách truy cập website, ứng viên trực tiếp và chủ tài khoản.

2. Bảo vệ Dữ liệu theo Thiết kế và Mặc định

Theo Điều 25 GDPR, Scovai triển khai:

• Cách ly multi-tenant: Dữ liệu mỗi tổ chức được cách ly logic
• Thu thập dữ liệu tối thiểu: Chỉ thu thập dữ liệu cần thiết
• Giả danh hóa: Embedding vector không thể đọc được và không thể đảo ngược
• Kiểm soát truy cập: RBAC theo vai trò (Admin, Recruiter, Candidate)
• Mã hóa: TLS cho dữ liệu truyền tải, AES-256 (GCM/CBC) cho thông tin nhạy cảm

3. Quản lý Đồng ý

Hệ thống quản lý đồng ý tích hợp:

• Ghi nhận đồng ý chi tiết cho từng mục đích xử lý
• Duy trì nhật ký kiểm toán đầy đủ
• Cho phép ứng viên rút lại đồng ý bất cứ lúc nào
• Tự động hạn chế xử lý khi đồng ý bị rút lại

4. Biện pháp Bảo vệ Ra quyết định Tự động (Điều 22)

4.1 Không có Quyết định Hoàn toàn Tự động

Nền tảng là công cụ hỗ trợ quyết định. Kết quả AI là khuyến nghị cho nhà tuyển dụng.

4.2 Giải thích được

Mọi điểm AI đều kèm lý giải XAI bằng ngôn ngữ dễ hiểu.

4.3 Quyền Phản đối

Ứng viên có thể yêu cầu con người xem xét lại qua module tuân thủ.

4.4 Giám sát Thiên kiến

Giám sát tự động phân tích mẫu chấm điểm AI theo nhóm nhân khẩu học.

5. Quyền của Chủ thể Dữ liệu

6. Cam kết Xử lý Dữ liệu (Điều 28 GDPR)

Mọi quan hệ Tenant đều được điều chỉnh bởi các cam kết tại Điều 28 GDPR, quy định trong Điều khoản Dịch vụ cho Doanh nghiệp của chúng tôi, xác định đối tượng, mục đích, loại dữ liệu và nghĩa vụ.

7. Quy trình Vi phạm Dữ liệu

Khi có vi phạm, Scovai sẽ thông báo Tenant trong 72 giờ, cung cấp thông tin chi tiết và hỗ trợ thông báo.

8. Bên Xử lý Phụ

• Xử lý AI: Các tác vụ AI của nền tảng (phân tích CV, chấm điểm, đánh giá, phỏng vấn) được xử lý bởi các bên xử lý phụ được nêu tên, Anthropic và OpenAI, theo thỏa thuận xử lý dữ liệu, qua một cổng được cấu hình tập trung và kiểm toán. Dữ liệu ứng viên được lưu trong EEA, và dữ liệu API không được dùng để huấn luyện mô hình của nhà cung cấp. Digital Employee ở khu vực châu Âu dùng chính các nhà cung cấp đó; Digital Employee ở khu vực Trung Đông không dùng cổng đó, và nhà cung cấp mô hình của nó được mô tả bên dưới.
• Giọng nói và embedding: Chuyển giọng nói thành văn bản, văn bản thành giọng nói và embedding văn bản sử dụng OpenAI API, được định tuyến qua một cổng cấu hình tập trung và kiểm toán, theo các điều khoản xử lý dữ liệu tương đương.
• Hạ tầng: Việc lưu trữ ứng dụng và dữ liệu của nền tảng nằm trong Khu vực Kinh tế Châu Âu, trên các máy chủ do Contabo GmbH cung cấp tại Pháp; các bên xử lý phụ AI có thể xử lý dữ liệu bên ngoài EEA, và việc chuyển dữ liệu đó sẽ được điều chỉnh bởi các Điều khoản Hợp đồng Chuẩn, mà Scovai đang hoàn tất việc ký kết với từng nhà cung cấp (xem Data Processing Agreement). Digital Employee chạy trong khu vực xử lý mà khách hàng chọn, được mô tả bên dưới: trong Khu vực Kinh tế Châu Âu ở khu vực châu Âu, bên ngoài khu vực này ở khu vực Trung Đông.

Cổng được kiểm toán (OpenRouter) có thể định tuyến một số tác vụ AI phụ trợ đến các nhà cung cấp mô hình bổ sung đã được thẩm định, theo cùng các thỏa thuận xử lý dữ liệu và cùng ràng buộc không dùng dữ liệu để huấn luyện mô hình.

Các tài khoản mà một người liên kết với Digital Employee (Gmail, Google Calendar, Outlook, Microsoft 365, WhatsApp, Telegram, Instagram và LinkedIn) có thể được kết nối thông qua UNIPILE, một bên trung gian kết nối, theo thỏa thuận xử lý dữ liệu.

Digital Employees. Một Digital Employee chạy trong máy ảo ở khu vực xử lý mà khách hàng chọn; Scovai cung cấp hai khu vực. Ở khu vực châu Âu, máy ảo chạy trên các máy chủ do Contabo GmbH cung cấp tại Pháp, trong Khu vực Kinh tế Châu Âu, và mô hình ngôn ngữ là Anthropic, OpenAI hoặc một nhà cung cấp được định tuyến qua OpenRouter, theo thỏa thuận xử lý dữ liệu có điều khoản không huấn luyện: chính các nhà cung cấp phục vụ các tính năng AI của nền tảng. Ở khu vực Trung Đông, máy ảo chạy trên các máy chủ do OmniSage LLC sở hữu và vận hành, đặt tại trung tâm dữ liệu ở 2704 Fortune Executive Tower, Cluster T, Jumeirah Lakes Towers (JLT), Dubai, Các Tiểu vương quốc Ả Rập Thống nhất, ngoài Khu vực Kinh tế châu Âu, và mô hình ngôn ngữ là Zhipu AI (GLM), được gọi trực tiếp tại một endpoint ở Cộng hòa Nhân dân Trung Hoa, với Sakana AI ở Nhật Bản làm phương án dự phòng. Ở cả hai khu vực, máy ảo lưu bộ nhớ làm việc, bản ghi hội thoại, tệp chia sẻ và hộp thư của Digital Employee, và tài liệu mà nó đang xử lý vào thời điểm đó được gửi tới mô hình ngôn ngữ của nó làm ngữ cảnh cho câu trả lời. Các Digital Employee được thuê trước khi khu vực châu Âu mở chạy ở khu vực Trung Đông; khách hàng muốn chọn khu vực châu Âu cho chúng có thể yêu cầu tại privacy@scovai.com. Các ứng dụng một người kết nối vào Digital Employee, như Google Drive, Docs, Sheets và Meet, được cấp quyền và thực thi qua Pipedream, Inc. tại Hoa Kỳ, ở cả hai khu vực. Bản thân nền tảng, cơ sở dữ liệu và các tệp đã tải lên được Contabo GmbH lưu trữ tại Pháp; website scovai.com được phân phối qua Cloudflare; email giao dịch đi qua relay thư của GPlugin. Việc chuyển dữ liệu ra ngoài EEA được nêu trong Data Processing Agreement.

9. Lưu giữ và Xóa Dữ liệu

Thời hạn lưu trữ được đặt ở cấp nền tảng. Các thời hạn mặc định được nêu trong Chính sách Bảo mật của chúng tôi. Bản ghi phỏng vấn được xoá tự động 90 ngày sau buổi phỏng vấn, và bản ghi cuộc họp trực tiếp 180 ngày sau cuộc họp, bởi một job chạy hằng ngày. Bản gỡ băng, bản tóm tắt và các việc cần làm không bị xoá theo hẹn giờ: chúng được giữ cho đến khi Tenant xoá buổi phỏng vấn hoặc cuộc họp, hoặc khi không gian làm việc bị xoá. Hai thời hạn ghi hình này do Scovai đặt và hiện không thể cấu hình theo từng Tenant. Một đơn ứng tuyển, cùng các bài đánh giá, phỏng vấn, điểm số và bản ghi toàn vẹn phát sinh từ nó, bị một tác vụ hằng đêm xoá 12 tháng sau khi đơn được quyết định, và các mục trong hồ sơ tài năng bị xoá 24 tháng sau hoạt động cuối cùng. Việc xoá các bản ghi khác được thực hiện qua quy trình quản trị dữ liệu của chúng tôi, kể cả theo yêu cầu từ mô-đun compliance hoặc một yêu cầu xoá dữ liệu.

10. Liên hệ Đội Bảo vệ Dữ liệu

Email: privacy@scovai.com