Chính sách bảo mật

Scovai ("chúng tôi", "của chúng tôi") điều hành nền tảng trí tuệ tài năng Scovai. Chính sách Bảo mật này giải thích cách chúng tôi thu thập, sử dụng, lưu trữ và bảo vệ dữ liệu cá nhân khi bạn sử dụng dịch vụ của chúng tôi, truy cập trang web của chúng tôi hoặc tương tác với nền tảng của chúng tôi với tư cách là nhà tuyển dụng, ứng viên hoặc khách truy cập.

Chúng tôi cam kết bảo vệ quyền riêng tư của bạn phù hợp với Quy định Bảo vệ Dữ liệu Chung (EU) 2016/679 (GDPR), Đạo luật AI của EU (Quy định (EU) 2024/1689) và các luật bảo vệ dữ liệu quốc gia hiện hành.

1. Bộ điều khiển Dữ liệu

Bộ điều khiển dữ liệu cho dữ liệu cá nhân được xử lý thông qua nền tảng Scovai là:

OmniSage LLC (Scovai) — New Mexico Entity ID: 0008015447
1209 Mountain Road PL NE, Suite R, Albuquerque, NM 87110, USA
Email: privacy@scovai.com

OmniSage LLC được thành lập bên ngoài Liên minh châu Âu. Chưa có đại diện tại Liên minh theo Điều 27 GDPR được chỉ định. Cho đến khi có, hãy viết tới privacy@scovai.com, địa chỉ duy nhất cho mọi câu hỏi, yêu cầu hoặc khiếu nại về bảo vệ dữ liệu; chính chúng tôi sẽ trả lời. Chúng tôi sẽ nêu tên đại diện tại đây khi được chỉ định.

Đối với xử lý dành riêng cho khách hàng (nơi các tổ chức sử dụng Scovai để quản lý tuyển dụng), tổ chức tương ứng hoạt động như bộ điều khiển dữ liệu, và Scovai hoạt động như bộ xử lý dữ liệu thay mặt họ.

2. Dữ liệu Chúng tôi Thu thập

2.1 Dữ liệu Ứng viên

• Dữ liệu nhân dạng: Tên, địa chỉ email, số điện thoại, vị trí
• CV và dữ liệu sự nghiệp: Kinh nghiệm làm việc, giáo dục, kỹ năng, chứng chỉ, ngôn ngữ, được trích xuất thông qua phân tích CV do AI hỗ trợ
• Dữ liệu đánh giá: Phản hồi đánh giá kỹ thuật, kết quả đánh giá tâm lý (đặc điểm tính cách Big Five, tùy chọn phù hợp văn hóa, chỉ báo phong cách lãnh đạo)
• Dữ liệu phỏng vấn: Bản ghi phỏng vấn AI, phản hồi và báo cáo đánh giá được tạo
• Dữ liệu chấm điểm: Điểm được tạo bởi AI trên nhiều chiều (kỹ thuật, kinh nghiệm, giáo dục, kỹ năng mềm, tiềm năng) với lý do khả năng giải thích
• Dữ liệu nhúng: Biểu diễn vectơ 1536 chiều của nội dung CV được sử dụng để khớp ngữ nghĩa (không có thể đọc được bởi con người)
• Dữ liệu toàn vẹn của bài đánh giá: các tín hiệu được ghi lại khi bạn làm bài đánh giá hoặc phỏng vấn video, bao gồm một mã băm một chiều của các đặc điểm trình duyệt và thiết bị, dùng để cho thấy một phiên có được tiếp tục trên thiết bị khác hay không. Các tín hiệu này chỉ mang tính tham khảo, không bao giờ tự nó là lý do để loại một ứng viên, và bị xoá 365 ngày sau phiên. Chúng được mô tả chi tiết trong Chính sách Cookie của chúng tôi.

2.2 Dữ liệu Nhà tuyển dụng và Tổ chức

• Dữ liệu tài khoản: Tên, email, vị trí, tên tổ chức
• Dữ liệu cấu hình: Tùy chọn trọng số chấm điểm, hồ sơ văn hóa công ty, cài đặt tính năng AI
• Dữ liệu sử dụng: Hoạt động nền tảng, sử dụng tính năng, dữ liệu phân tích

2.3 Dữ liệu Khách truy cập Trang web

• Dữ liệu kỹ thuật: Địa chỉ IP, loại trình duyệt, thông tin thiết bị. Địa chỉ IP cũng được dùng ở phía máy chủ, trên trang chủ, để đoán quốc gia của bạn nhằm đặt giá và ngôn ngữ mặc định hợp lý. Kết quả này không được lưu gắn với bạn.
• Dữ liệu sử dụng: Các trang được truy cập, thời gian trên trang, nguồn tham chiếu

2.4 Dữ liệu người dùng Google

Khi bạn chọn kết nối một tài khoản Google với Digital Employee, chúng tôi chỉ truy cập các dịch vụ và quyền Google hiển thị trên màn hình đồng ý của Google. Qua màn hình đồng ý Google của chính Scovai, các quyền đó là:

• Gmail (gmail.modify): thư, chuỗi thư, nhãn và thư nháp, cùng khả năng soạn, gửi, sắp xếp và cập nhật email
• Google Drive, đọc (drive.readonly): quyền này bao trùm toàn bộ Drive của bạn, để Digital Employee có thể tìm một tài liệu bạn nêu tên mà bạn không phải chỉ thư mục trước
• Google Drive, ghi (drive.file): chỉ giới hạn ở các tệp và thư mục bạn tự chọn trong bộ chọn tệp của chính Google. Ranh giới đó do Google, không phải Scovai, thực thi, nên Digital Employee không thể nới rộng nó
• Danh tính tài khoản Google (userinfo.email): địa chỉ email của tài khoản đã kết nối, là tên duy nhất con người đọc được mà chúng tôi có thể hiển thị cho bạn về quyền đã cấp

Màn hình đồng ý của chính Scovai không yêu cầu quyền Google Calendar, Docs hay Sheets. Các dịch vụ đó, khi bạn kết nối, được truy cập qua một trong hai đường dưới đây.

Kết nối Google là tùy chọn. Scovai chỉ truy cập dữ liệu này sau khi bạn đồng ý OAuth một cách rõ ràng và chỉ khi bạn hoặc Digital Employee được bạn ủy quyền khởi động một tác vụ cần đến nó.

Một người có thể kết nối tài khoản với Digital Employee theo bốn cách, và cách nào được dùng sẽ thay đổi ai giữ chìa khoá.

1. Trực tiếp tới Google, qua màn hình đồng ý của chính Scovai, cho Gmail và Drive như mô tả ở trên. Scovai giữ refresh token ở dạng mã hoá và Digital Employee nhận các access token ngắn hạn.
2. Trực tiếp tới Microsoft, qua màn hình đồng ý Microsoft của chính Scovai, cho thư Microsoft 365 (Outlook), Lịch Microsoft 365 và OneDrive / SharePoint. Quyền truy cập OneDrive và SharePoint được thu hẹp vào thư mục bạn chọn. Scovai giữ refresh token ở dạng mã hoá và Digital Employee nhận các access token ngắn hạn.
3. Qua UNIPILE, một bên trung gian kết nối, cho Gmail, Google Calendar, Outlook, Microsoft 365, WhatsApp, Telegram, Instagram và LinkedIn. Yêu cầu đồng ý trên màn hình của nhà cung cấp đến từ UNIPILE, UNIPILE giữ token, còn Digital Employee giữ một khoá trung gian giới hạn phạm vi cho phép nó đọc và, nếu bạn đã bật gửi, gửi từ tài khoản đã kết nối. Với LinkedIn, khoá đó chỉ đến được Scovai, không bao giờ đến LinkedIn: Scovai tự gửi từng yêu cầu đến UNIPILE, trong giới hạn hằng ngày, và mọi tin nhắn, lời mời hoặc bài đăng đều chờ bạn phê duyệt. Khi bạn ngắt kết nối, tài khoản sẽ được gỡ khỏi UNIPILE ngay sau đó.
4. Qua Pipedream, một cổng ứng dụng kết nối, cho các ứng dụng như Google Drive, Docs, Sheets và Meet. Pipedream giữ quyền và thực hiện yêu cầu, nên yêu cầu và kết quả của nó đi qua Pipedream.

Một tài khoản nhắn tin khác về bản chất so với một hộp thư: kết nối nó sẽ để lộ các cuộc trò chuyện của những người viết cho tài khoản đó, kể cả nhóm chat, không chỉ những tin nhắn bạn viết.

2.6 Bản ghi, Bản chép lời và Tóm tắt Cuộc họp

Khi một cuộc họp hoặc buổi phỏng vấn được ghi lại trên nền tảng, chúng tôi xử lý âm thanh và video của cuộc gọi, bản chép lời những gì đã nói, bản tóm tắt và các đầu việc rút ra từ đó, cuộc trò chuyện trong cuộc gọi, cùng tên và địa chỉ email của người tham gia và khách mời. Việc ghi được bật theo mặc định, và người tổ chức có thể tắt. Khách mời từ bên ngoài công ty tổ chức được đề nghị đồng ý trước khi bắt đầu ghi; nhân sự của chính công ty tổ chức được thông báo, trên cơ sở quan hệ lao động, và công ty đó có trách nhiệm thông báo cho họ và, khi luật quốc gia yêu cầu, cho đại diện của họ.

Âm thanh được OpenAI chép lời và văn bản chép lời được Anthropic tóm tắt, với OpenRouter làm phương án dự phòng. Digital Employee của công ty tổ chức có thể được yêu cầu theo dõi tiếp cuộc họp, khi đó bản chép lời và bản tóm tắt được lưu vào tài liệu tham khảo của Digital Employee đó. Bản ghi bị xoá sau các thời hạn nêu tại mục 6; bản chép lời, bản tóm tắt và các đầu việc được giữ cho đến khi công ty tổ chức xoá cuộc họp.

Sau cuộc họp, người tổ chức có thể gửi bản tổng kết cho những người được mời. Bản tổng kết có thể bao gồm toàn bộ bản chép lời và được gửi tới mọi người được mời mà người tổ chức chọn, kể cả khách mời bên ngoài công ty tổ chức. Người tổ chức chọn người nhận; chúng tôi không lọc nội dung theo từng người nhận.

3. Cách Chúng tôi Sử dụng Dữ liệu của Bạn

Chúng tôi xử lý dữ liệu cá nhân cho các mục đích sau:

• Cung cấp dịch vụ: Để cung cấp phân tích CV, chấm điểm AI, đánh giá, tạo điều kiện phỏng vấn và khớp ứng viên-vị trí
• Phân tích được hỗ trợ bởi AI: Để tạo điểm, hồ sơ tâm lý, đánh giá phỏng vấn và xếp hạng danh sách rút gọn bằng cách sử dụng các mô hình học máy
• Cải tiến nền tảng: Để cải thiện độ chính xác và công bằng của việc chấm điểm và khớp nối, tối ưu hóa trải nghiệm người dùng và phát triển các tính năng mới. Việc này được thực hiện bằng dữ liệu tổng hợp và thống kê. Chúng tôi không dùng dữ liệu ứng viên, và không dùng nội dung mà Digital Employee xử lý, để huấn luyện hoặc tinh chỉnh các mô hình AI.
• Tuân thủ: Để duy trì dấu vết kiểm tra, cho phép xem xét lại của con người các quyết định AI và giám sát sự thiên vị thuật toán
• Giao tiếp: Để gửi thông báo, lời mời đánh giá, liên kết phỏng vấn và cập nhật dịch vụ
• Tác vụ kết nối Google: Để thực hiện các thao tác Gmail, Drive, Docs, Sheets và Calendar mà bạn yêu cầu rõ ràng từ một Digital Employee đã kết nối

4. Cơ sở Pháp lý cho Xử lý

5. Đưa Ra Quyết Định Tự động Và Tạo Hồ sơ

Scovai sử dụng AI để chấm điểm ứng viên, tạo hồ sơ tâm lý và tạo đánh giá phỏng vấn. Phù hợp với GDPR Article 22 và Đạo luật AI của EU:

• Tính minh bạch: Mỗi điểm được tạo bởi AI bao gồm lý do AI có thể giải thích (XAI) bằng ngôn ngữ đơn giản, giải thích lý do điểm được gán
• Giám sát của con người: Không có quyết định tuyển dụng được tự động hóa hoàn toàn. Đầu ra AI phục vụ như các đề xuất, nhà tuyển dụng con người đưa ra quyết định cuối cùng
• Quyền phản đối: Ứng viên có thể yêu cầu xem xét lại của con người bất kỳ đánh giá hoặc điểm nào được tạo bởi AI
• Giám sát sự thiên vị: Mô-đun phân tích của chúng tôi phân tích các mẫu chấm điểm AI và tiến trình qua phễu tuyển dụng theo giới tính và nhóm tuổi, và làm nổi bật các bất thường thống kê khi kết quả của một nhóm lệch khỏi phân bố tổng thể

6. Lưu giữ Dữ liệu

• Dữ liệu ứng viên: Lưu giữ trong thời gian quá trình tuyển dụng cộng với 12 tháng, trừ khi sự đồng ý được cấp cho lưu giữ hồ sơ tài năng. Một tác vụ chạy hằng đêm xoá đơn ứng tuyển và các bản ghi phát sinh từ nó (các bài đánh giá, phỏng vấn, điểm số và bản ghi toàn vẹn) 12 tháng sau khi đơn được quyết định. Hồ sơ của bạn không thuộc phạm vi xoá đó: nó thuộc về bạn, không phải nhà tuyển dụng, và các đơn ứng tuyển khác giữ thời hạn riêng của chúng.
• Dữ liệu hồ sơ tài năng: Lưu giữ cho đến khi sự đồng ý bị rút lại, và trong mọi trường hợp không quá 24 tháng kể từ hoạt động lần cuối, sau đó cùng tác vụ hằng đêm sẽ xoá mục này.
• Dữ liệu tài khoản: Lưu giữ trong thời gian thỏa thuận dịch vụ cộng với 12 tháng, được xoá theo yêu cầu và qua quy trình quản trị dữ liệu của chúng tôi.
• Nhật ký kiểm tra: Nhật ký lỗi và quan trọng được lưu giữ trong 365 ngày; nhật ký thông tin trong 30 ngày; nhật ký cảnh báo trong 90 ngày. Mỗi dòng được ghi vào một tệp lưu trữ nén trước khi bị xoá khỏi hệ thống đang chạy; các tệp lưu trữ đó được giữ cho đến khi quản trị viên gỡ bỏ.
• Bản ghi của Digital Employee: Bộ nhớ làm việc, bản ghi hội thoại, bản ghi phê duyệt và hộp thư của Digital Employee được giữ chừng nào nó còn được giao nhiệm vụ, sau đó được xử lý như mô tả ở mục giải phóng dưới đây. Các bản ghi hoạt động và sự cố trên nền tảng được giữ trong suốt thời gian tồn tại của workspace.
• Giải phóng một Digital Employee: Khi khách hàng giải phóng một Digital Employee, các bản ghi vị trí của nó được giữ lại và mọi tài khoản đã kết nối với nó vẫn được kết nối cho đến khi khách hàng ngắt kết nối. Ba mươi ngày sau, hoặc ba ngày sau nếu nó chưa từng bị tính phí, chúng tôi yêu cầu môi trường chạy của nó xoá bộ nhớ làm việc và bản ghi hội thoại, rồi huỷ máy ảo của nó. Hộp thư của nó bị vô hiệu hoá và các thư trong đó được giữ cho đến khi có yêu cầu xoá. Nội dung hội thoại trong Scovai Workspace được dịch vụ đó lưu giữ cho đến khi khách hàng yêu cầu xoá. Các bản sao lưu cơ sở dữ liệu của nền tảng được ghi đè trong vòng bảy ngày.
• Bản ghi phỏng vấn và cuộc họp: Bản ghi phỏng vấn bị xoá 90 ngày sau buổi phỏng vấn và bản ghi cuộc họp trực tiếp 180 ngày sau cuộc họp. Bản chép lời, bản tóm tắt và các đầu việc được giữ cho đến khi khách hàng xoá buổi phỏng vấn hoặc cuộc họp.
• Hội thoại trong Scovai Workspace: Tin nhắn trao đổi trong Scovai Workspace được dịch vụ đó lưu trữ ở dạng đọc được, kèm chỉ mục tìm kiếm, chừng nào workspace còn tồn tại. Scovai không có cơ chế tự mình xoá nội dung đó; nó được xoá theo yêu cầu của khách hàng.
• Trình kết nối đã ngắt: Khi một trình kết nối bị ngắt, chúng tôi xoá token đã lưu và gọi endpoint thu hồi của nhà cung cấp nếu có; lệnh gọi đó chỉ là nỗ lực tốt nhất và có thể thất bại. Bản ghi của chính kết nối đó, bao gồm phong bì đã mã hoá, được giữ cho đến khi workspace bị xoá.
• Dữ liệu đo từ xa của Digital Employee: Các báo cáo vận hành mà môi trường chạy của Digital Employee gửi cho chúng tôi (tín hiệu nhịp, kiểm tra sẵn sàng và tóm tắt công việc nó báo cáo) được giữ cùng các bản ghi hoạt động trong suốt thời gian tồn tại của workspace.
• Bản ghi toàn vẹn của bài đánh giá: Tự động bị xoá 365 ngày sau phiên, trừ khi bản ghi thuộc diện lưu giữ theo pháp lý.
• Dữ liệu huấn luyện mô hình AI: Chúng tôi không sử dụng dữ liệu ứng viên cá nhân, hay nội dung mà Digital Employee xử lý, để huấn luyện hoặc tinh chỉnh các mô hình AI
• Thông tin xác thực Google OAuth: Refresh token được mã hoá khi lưu trữ và chỉ được giữ khi trình kết nối còn hoạt động. Ngắt trình kết nối sẽ xoá refresh token mà Scovai lưu và yêu cầu endpoint thu hồi token của Google thu hồi nó; như với mọi trình kết nối, lệnh thu hồi đó chỉ là nỗ lực tốt nhất và có thể thất bại, và bản ghi kết nối được giữ như mô tả ở mục Trình kết nối đã ngắt ở trên
• Nội dung Google: Trình kết nối không tạo bản sao tập trung của nội dung Gmail, Drive, Docs, Sheets hay Calendar. Bộ nhớ đệm vận hành tạm thời, nếu cần để hoàn thành một tác vụ, chỉ được giữ chừng nào tác vụ cần đến. Kết quả mà bạn chủ ý yêu cầu Digital Employee tạo hoặc lưu sẽ tuân theo thời hạn lưu giữ thông thường của tài khoản hoặc dịch vụ cho đến khi bạn xoá chúng

7. Chia sẻ Dữ liệu

Chúng tôi không bán dữ liệu cá nhân. Dữ liệu có thể được chia sẻ với:

• Tổ chức nhà tuyển dụng: Dữ liệu ứng viên được chia sẻ với tổ chức tuyển dụng mà ứng viên đã nộp đơn hoặc được khớp
• Nhà cung cấp AI: Các tác vụ AI của nền tảng (phân tích CV, chấm điểm, đánh giá, phỏng vấn, giọng nói và embedding) được xử lý bởi các bên xử lý phụ được nêu tên, Anthropic (Claude API) và OpenAI, theo thỏa thuận xử lý dữ liệu, qua một cổng được cấu hình tập trung và kiểm toán. Dữ liệu API theo các thỏa thuận này không được dùng để huấn luyện mô hình của nhà cung cấp. Digital Employee ở khu vực châu Âu dùng chính các nhà cung cấp đó. Digital Employee ở khu vực Trung Đông không dùng cổng đó: nó gọi trực tiếp nhà cung cấp mô hình ngôn ngữ của mình, Zhipu AI, với Sakana AI làm dự phòng (xem Mục 11)
• Nhà cung cấp hosting: Nền tảng, cơ sở dữ liệu và các tệp đã tải lên được lưu trữ trong Khu vực Kinh tế Châu Âu, tại Pháp. Digital Employee chạy trong khu vực xử lý mà khách hàng chọn, như nêu tại Mục 11: ở khu vực châu Âu, nó chạy tại Pháp và mô hình ngôn ngữ của nó được gọi tại Anthropic, OpenAI hoặc một nhà cung cấp được định tuyến qua OpenRouter; ở khu vực Trung Đông, nó chạy tại Các Tiểu vương quốc Ả Rập Thống nhất và mô hình ngôn ngữ của nó được gọi tại Cộng hòa Nhân dân Trung Hoa với phương án dự phòng tại Nhật Bản. Các ứng dụng kết nối qua Pipedream được xử lý tại Hoa Kỳ ở cả hai khu vực

7.1 Dịch vụ API của Google và Limited Use

Việc Scovai sử dụng và chuyển giao thông tin nhận từ các API của Google tuân thủ Google API Services User Data Policy, bao gồm các yêu cầu Limited Use.

Dữ liệu người dùng Google chỉ được dùng để cung cấp hoặc cải thiện chức năng kết nối hướng tới người dùng mà bạn yêu cầu. Khi một tác vụ cần xử lý bằng mô hình ngôn ngữ, phần nội dung tối thiểu cần thiết có thể được truyền tới các nhà cung cấp dịch vụ AI của chúng tôi, chỉ với tư cách bên cung cấp dịch vụ hành động theo chỉ dẫn của Scovai và chỉ để hoàn thành tác vụ đó. Với các tính năng nền tảng, các nhà cung cấp đó là Anthropic, OpenAI hoặc các nhà cung cấp được định tuyến qua OpenRouter, theo thỏa thuận xử lý dữ liệu có điều khoản không huấn luyện. Với Digital Employee, nhà cung cấp phụ thuộc vào khu vực xử lý của nó: ở khu vực châu Âu là một trong chính các nhà cung cấp đó; ở khu vực Trung Đông là Zhipu AI, được gọi trực tiếp tại một endpoint ở Cộng hòa Nhân dân Trung Hoa, với Sakana AI tại Nhật Bản làm dự phòng. Ở cả hai khu vực, nội dung nó đang xử lý vào thời điểm đó được gửi tới mô hình làm ngữ cảnh. Nếu bạn kết nối tài khoản Google với Digital Employee, nội dung Google mà bạn yêu cầu nó xử lý sẽ tới nhà cung cấp đó. Các ứng dụng kết nối được truy cập qua Pipedream chuyển yêu cầu và kết quả của nó qua Pipedream tại Hoa Kỳ. Tất cả được liệt kê kèm địa điểm tại Mục 11.

Chúng tôi không bán dữ liệu người dùng Google, không dùng nó cho quảng cáo, để xác định mức độ tín nhiệm hoặc điều kiện vay, cho mục đích theo dõi, hay để huấn luyện hoặc tinh chỉnh các mô hình AI đa dụng hoặc cá nhân hoá. Con người không đọc dữ liệu người dùng Google, trừ khi có sự đồng ý rõ ràng của bạn cho mục đích hỗ trợ hoặc an ninh, khi cần để điều tra lạm dụng, hoặc khi pháp luật yêu cầu.

Bạn có thể ngắt kết nối Google khỏi Scovai bất cứ lúc nào. Bạn cũng có thể xem lại hoặc thu hồi quyền truy cập của Scovai trực tiếp từ quyền của Tài khoản Google.

8. Kênh Giao tiếp

Scovai liên lạc với bạn qua email (luôn luôn) và WhatsApp (tùy chọn). Thông báo WhatsApp hoàn toàn là giao dịch: nhắc nhở phỏng vấn, xác nhận đặt chỗ và tin nhắn từ nhà tuyển dụng khẩn cấp. Chúng tôi không sử dụng WhatsApp cho tiếp thị. Khi bạn xác minh số của mình, Meta Platforms (WhatsApp) xử lý nó theo Thỏa thuận Xử lý Dữ liệu của Meta. Bạn có thể thu hồi thông báo WhatsApp bất kỳ lúc nào trong Cài đặt; chúng tôi lưu giữ số này để kiểm tra cho đến khi bạn xóa tài khoản của mình.

9. Bảo mật Dữ liệu

Chúng tôi thực hiện các biện pháp kỹ thuật và tổ chức thích hợp bao gồm:

• Mã hóa AES-256 khi lưu trữ cho khóa API và thông tin xác thực nhạy cảm: GCM cho thông tin xác thực của Digital Employee, CBC cho khoá của nhà cung cấp AI, token hộp thư đã kết nối và token ký hợp đồng. Ngoài phạm vi này, chúng tôi không tuyên bố mã hoá cơ sở dữ liệu hay các tệp đã tải lên khi lưu trữ.
• Hashing mật khẩu Argon2
• Xác thực dựa trên JWT với mã thông báo truy cập và làm mới
• Mã hóa TLS cho tất cả dữ liệu trong quá trình truyền
• Kiểm soát truy cập dựa trên vai trò (RBAC) với cô lập khách hàng
• Ghi nhật ký kiểm tra toàn diện tất cả các hành động nền tảng

Sao lưu. Cơ sở dữ liệu của nền tảng được kết xuất mỗi đêm một lần và các bản kết xuất được giữ bảy ngày, trên cùng hạ tầng vận hành nền tảng. Chúng không được mã hoá riêng và không có bản sao ở địa điểm thứ hai. Các tệp đã tải lên và máy ảo của Digital Employee không nằm trong bản kết xuất đó. Một hệ quả thực tế đáng nêu: khi chúng tôi xoá dữ liệu cá nhân theo yêu cầu của bạn, bản sao của nó có thể còn tồn tại trong các bản kết xuất đó tối đa bảy ngày, sau đó bị ghi đè.

10. Quyền của Bạn

Theo GDPR, bạn có quyền:

• Truy cập dữ liệu cá nhân của bạn (Art. 15)
• Chữa lại dữ liệu không chính xác (Art. 16)
• Xóa dữ liệu của bạn ("quyền được quên") (Art. 17)
• Hạn chế xử lý (Art. 18)
• Khả năng mang dữ liệu: nhận dữ liệu của bạn ở định dạng có cấu trúc, có thể đọc được bằng máy (Art. 20)
• Phản đối xử lý, bao gồm tạo hồ sơ (Art. 21)
• Không bị ràng buộc quyết định tự động với hiệu lực pháp lý (Art. 22)
• Rút lại sự đồng ý bất kỳ lúc nào mà không ảnh hưởng đến tính hợp pháp của xử lý trước đó (Art. 7(3))

Để thực hiện bất kỳ quyền nào trong số này, hãy liên hệ với chúng tôi tại privacy@scovai.com. Chúng tôi sẽ phản hồi trong vòng 30 ngày.

10A. Nếu một Digital Employee đã xử lý dữ liệu của bạn

Nếu bạn không phải người dùng Scovai và Digital Employee của một tổ chức đã gửi email cho bạn, gửi tin nhắn, ghi lại một cuộc họp với bạn, hoặc xử lý một tài liệu có nêu tên bạn, thì tổ chức đó là bên kiểm soát dữ liệu của bạn và Scovai là bên xử lý của họ. Chúng tôi không quyết định họ làm gì với dữ liệu đó và không thể tự mình xoá.

Hãy viết tới privacy@scovai.com. Chúng tôi sẽ chuyển yêu cầu của bạn tới tổ chức, cho bạn biết là đã chuyển, và hỗ trợ phản hồi của họ, bao gồm việc tìm ra những gì chúng tôi đang giữ thay cho họ để họ có thể cho bạn truy cập hoặc xoá đi. Nếu bạn không biết là tổ chức nào, hãy cho chúng tôi địa chỉ email hoặc cuộc họp liên quan và chúng tôi sẽ xác định.

11. Chuyển giao Quốc tế

Dữ liệu cá nhân của ứng viên được lưu trữ trong Khu vực Kinh tế Châu Âu, trên các máy chủ do Contabo GmbH cung cấp tại Pháp. Đối với một số tính năng dựa trên AI, dữ liệu được xử lý bởi các bên xử lý phụ theo thỏa thuận xử lý dữ liệu: Anthropic (Claude API: phân tích CV, chấm điểm ứng viên–vị trí, phân tích đánh giá và phỏng vấn, xác minh giấy tờ tùy thân) và OpenAI (chuyển giọng nói thành văn bản cho phỏng vấn và cuộc họp được ghi, chuyển văn bản thành giọng nói cho phỏng vấn bằng giọng nói, embedding văn bản, được định tuyến qua một cổng được cấu hình tập trung và kiểm toán). Việc xử lý qua API theo các thỏa thuận này không được sử dụng để huấn luyện mô hình của nhà cung cấp. Cổng được kiểm toán (OpenRouter) có thể định tuyến một số tác vụ AI phụ trợ đến các nhà cung cấp mô hình bổ sung đã được thẩm định, theo cùng các thỏa thuận xử lý dữ liệu và cùng ràng buộc không dùng dữ liệu để huấn luyện mô hình. Các tài khoản mà một người liên kết với Digital Employee (Gmail, Google Calendar, Outlook, Microsoft 365, WhatsApp, Telegram, Instagram và LinkedIn) có thể được kết nối thông qua UNIPILE, một bên trung gian kết nối, theo thỏa thuận xử lý dữ liệu. Khi nhà cung cấp xử lý dữ liệu bên ngoài EEA, tại một quốc gia không thuộc phạm vi quyết định về mức độ bảo vệ đầy đủ của Ủy ban châu Âu, việc chuyển dữ liệu sẽ được điều chỉnh bởi các Điều khoản Hợp đồng Chuẩn; Scovai đang hoàn tất việc ký kết các điều khoản này, cùng các đánh giá tác động chuyển dữ liệu liên quan, với từng nhà cung cấp như vậy, như được nêu trong Data Processing Agreement. Danh sách các bên xử lý phụ hiện tại được cung cấp theo yêu cầu; các thay đổi quan trọng sẽ được thông báo trước.

Digital Employees. Một Digital Employee chạy trong máy ảo ở khu vực xử lý mà khách hàng chọn; Scovai cung cấp hai khu vực. Ở khu vực châu Âu, máy ảo chạy trên các máy chủ do Contabo GmbH cung cấp tại Pháp, trong Khu vực Kinh tế Châu Âu, và mô hình ngôn ngữ là Anthropic, OpenAI hoặc một nhà cung cấp được định tuyến qua OpenRouter, theo thỏa thuận xử lý dữ liệu có điều khoản không huấn luyện: chính các nhà cung cấp phục vụ các tính năng AI của nền tảng. Ở khu vực Trung Đông, máy ảo chạy trên các máy chủ do OmniSage LLC sở hữu và vận hành, đặt tại trung tâm dữ liệu ở 2704 Fortune Executive Tower, Cluster T, Jumeirah Lakes Towers (JLT), Dubai, Các Tiểu vương quốc Ả Rập Thống nhất, ngoài Khu vực Kinh tế châu Âu, và mô hình ngôn ngữ là Zhipu AI (GLM), được gọi trực tiếp tại một endpoint ở Cộng hòa Nhân dân Trung Hoa, với Sakana AI ở Nhật Bản làm phương án dự phòng. Ở cả hai khu vực, máy ảo lưu bộ nhớ làm việc, bản ghi hội thoại, tệp chia sẻ và hộp thư của Digital Employee, và tài liệu mà nó đang xử lý vào thời điểm đó được gửi tới mô hình ngôn ngữ của nó làm ngữ cảnh cho câu trả lời. Các Digital Employee được thuê trước khi khu vực châu Âu mở chạy ở khu vực Trung Đông; khách hàng muốn chọn khu vực châu Âu cho chúng có thể yêu cầu tại privacy@scovai.com. Các ứng dụng một người kết nối vào Digital Employee, như Google Drive, Docs, Sheets và Meet, được cấp quyền và thực thi qua Pipedream, Inc. tại Hoa Kỳ, ở cả hai khu vực. Bản thân nền tảng, cơ sở dữ liệu và các tệp đã tải lên được Contabo GmbH lưu trữ tại Pháp; website scovai.com được phân phối qua Cloudflare; email giao dịch đi qua relay thư của GPlugin. Việc chuyển dữ liệu ra ngoài EEA được nêu trong Data Processing Agreement.

12. Thay đổi Chính sách Này

Chúng tôi có thể cập nhật Chính sách Bảo mật này định kỳ. Các thay đổi quan trọng sẽ được thông báo qua email cho người dùng đã đăng ký và đăng trên trang này với ngày "Cập nhật lần cuối" đã cập nhật.

13. Liên hệ

Để có các câu hỏi về bảo mật, yêu cầu bảo vệ dữ liệu hoặc khiếu nại:

Email: privacy@scovai.com

Bạn cũng có quyền nộp đơn khiếu nại với một cơ quan giám sát, đặc biệt là tại quốc gia thành viên EU hoặc EEA nơi bạn thường trú, nơi bạn làm việc, hoặc nơi xảy ra hành vi vi phạm bị cáo buộc (Điều 77 GDPR).