Scovai遵守GDPR (EU) 2016/679。
1. 我们的角色
网站访客的数据控制者；租户的数据处理者（依据我们企业服务条款中的 GDPR 第28条数据处理承诺）。
2. 默认保护
多租户隔离、最少数据收集、TLS/AES-256 (GCM/CBC)加密、RBAC。
3. 同意管理
细粒度同意、完整审计跟踪、随时撤回。
4. 自动化决策（第22条）
无完全自动化决策。每项评分附XAI解释。异议权。偏见监控。
5. 数据主体权利
访问、更正、删除、限制、可移植、异议、自动化决策。
6. 数据处理承诺（GDPR第28条）
每个租户关系均受 GDPR 第28条数据处理承诺约束（处理目的、子处理者、安全措施），载于我们的企业服务条款。
7. 数据泄露
72小时内通知。
8. 子处理者
平台的 AI 任务由指定AI提供商（Anthropic、OpenAI）处理，签订DPA，经由集中配置、受审计的网关路由；平台数据存储于EEA，位于 Contabo GmbH 在法国提供的服务器上；API数据不用于训练。Digital Employee 运行在客户选择的处理区域，详见下文：在欧洲区域，它使用同样的提供商并在欧洲经济区内运行；在中东区域，它不使用该网关，并在欧洲经济区之外运行。
受审计的网关（OpenRouter）可将特定辅助 AI 任务路由至其他经审核的模型提供商，并适用相同的数据处理协议和禁止用于模型训练的约束。
个人关联到 Digital Employee 的账户（Gmail、Google 日历、Outlook、Microsoft 365、WhatsApp、Telegram、Instagram 和 LinkedIn）可能通过连接中介服务 UNIPILE 接入，并受数据处理协议约束。
Digital Employees。每个 Digital Employee 都运行在客户选择的处理区域中的一台虚拟机里；Scovai 提供两个区域。在欧洲区域，虚拟机运行在 Contabo GmbH 在法国提供的服务器上，位于欧洲经济区之内，语言模型是 Anthropic、OpenAI 或经 OpenRouter 路由的提供商，受含禁止训练条款的数据处理协议约束，与为平台自身 AI 功能服务的提供商相同。在中东区域，虚拟机运行在由 OmniSage LLC 拥有并运营、位于阿拉伯联合酋长国 2704 Fortune Executive Tower, Cluster T, Jumeirah Lakes Towers (JLT), Dubai 数据中心的服务器上，在欧洲经济区之外，语言模型是 Zhipu AI（GLM），直接调用位于中华人民共和国的接入点，并以日本的 Sakana AI 作为备用。在两个区域中，虚拟机都保存 Digital Employee 的工作记忆、对话记录、共享文件和邮箱，它当时正在处理的材料会作为回复的上下文发送给其语言模型。在欧洲区域开放之前雇用的 Digital Employee 运行在中东区域；希望将其改为欧洲区域的客户可通过 privacy@scovai.com 提出请求。个人为 Digital Employee 连接的应用，例如 Google Drive、Docs、Sheets 和 Meet，在两个区域中均经由位于美国的 Pipedream, Inc. 授权并执行。平台本身、其数据库和上传的文件由 Contabo GmbH 托管于法国；scovai.com 网站通过 Cloudflare 分发；事务性邮件经由 GPlugin 邮件中继发出。欧洲经济区之外的传输在数据处理协议中说明。
9. 保留
保留期限在平台层面设定，默认期限详见我们的隐私政策。面试录像在面试后 90 天、实时会议录像在会议后 180 天由每日任务自动删除。转录、摘要和待办事项不按计时删除：它们会一直保留，直到 Tenant 删除该面试或会议，或工作区被删除。这两个录像期限由 Scovai 设定，目前无法按 Tenant 配置。申请及由其派生的测评、面试、评分和诚信记录，会在申请作出决定 12 个月后由每晚运行的任务删除；人才库条目在最后活动 24 个月后删除。其他记录的删除通过我们的数据治理流程执行，也包括通过合规模块提出的请求或数据主体删除请求。
10. 联系
privacy@scovai.com
