Уведомление о субпроцессорах

1.Цепочка технологической обработки

1. 1.1В случаях, когда Xciterr контролирует цель найма через агентство и поручает Automaize хостинг или управление рабочим процессом, Automaize выступает как технологический обработчик Xciterr. Если Клиент-работодатель контролирует цель, в применимом заказе должно быть зафиксировано, являются ли Xciterr и Automaize обработчиками или субобработчиками в этой цепочке.
2. 1.2Automaize остается независимым контролером для ограниченных целей, таких как учетные записи на платформе, безопасность, согласие, подотчетность ИИ и юридическое соответствие, указанных в Положении о конфиденциальности; эта деятельность не является субобработкой согласно инструкциям Клиента.

2.Категории субпроцессоров

Перед тем как провайдер начнет обрабатывать производственные персональные данные в качестве нашего субобработчика, он должен быть привлечен на основании письменного договора, налагающего обязательства, соответствующие статье 28 GDPR. Соответствующие категории:

1. 2.1Сервисы облачного хостинга и баз данных, обеспечивающие работу приложения и хранение персональных данных, с ЕЭЗ в качестве основного региона хостинга.
2. 2.2Сервисы ИИ, распознавания речи и транскрибации, которые парсят резюме, поддерживают структурированную оценку, записывают и транскрибируют аудио интервью, а также формируют результаты оценки для проверки.
3. 2.3Сервисы коммуникации и рассылки электронной почты, которые от нашего имени отправляют уведомления о статусе, приглашения на интервью и сообщения, связанные с аккаунтом.
4. 2.4Сервисы биллинга, планирования, мониторинга, DNS/безопасности и измерения эффективности привлечения, ограниченные данными, необходимыми для конкретной функции.

3.Текущие субпроцессоры

Реестр производственных субпроцессоров для бета-версии охватывает следующих поставщиков и направления их использования. Поставщик остается заблокированным для обработки производственных данных до тех пор, пока элемент статуса не будет завершен и зафиксирован в пакете документов о соответствии:

1. 3.1Google Cloud / Gemini / Firebase: оценка с помощью ИИ, помощь с транскрипцией, эмбеддинги, автозаполнение местоположения, опциональная диагностика сбоев, push-уведомления, аутентификация через Google и опциональная синхронизация с Google Календарем. Данные: подсказки для интервью, транскрипты, вводимые баллы, поисковые запросы местоположений, push-токены, диагностика сбоев (по согласию), идентификаторы аутентификации, зашифрованные авторизационные данные календаря, окна доступности, сведения о созданных событиях и ограниченные операционные метаданные. Регион/передача данных: регионы ЕС по умолчанию, где это поддерживается; международная передача регулируется DPA провайдера и гарантиями передачи данных. Статус: перед внедрением в рабочую среду требуется проверка DPA и оценка влияния передачи данных.
2. 3.2Supabase: База данных Postgres, аутентификация, хранилище, edge-функции и инфраструктура реального времени. Данные: Данные кандидата, работодателя, заявки, интервью, согласия, аудита, объектов хранилища и данные учетной записи. Регион/передача: Регион ЕС для производственных данных. Статус: Требуются DPA, документация по безопасности и подтверждение региона проекта до включения в промышленную эксплуатацию.
3. 3.3WorkOS: Брокеринг корпоративных SSO-подключений работодателя, синхронизация каталогов и ИТ-администрирование клиентов. Данные: Идентификаторы личности работодателя, рабочая электронная почта, отображаемое имя, идентификаторы организации/каталога/группы и метаданные событий аутентификации или подготовки учетных записей. Регион/передача: Инфраструктура идентификации, размещенная у поставщика; передача данных в ЕЭЗ и порядок их хранения должны быть задокументированы перед использованием в рабочей среде. Статус: Отключено; перед включением в рабочей среде требуется проверка DPA, последствий передачи данных, хранения, безопасности и субпроцессоров.
4. 3.4Vercel: Хостинг веб-приложений, доставка через CDN, предварительные развертывания и логи приложений. Данные: Метаданные HTTP-запросов, логи приложений и ограниченные идентификаторы учетных записей/сессий. Регион/передача: Edge-сеть с элементами управления развертыванием в ЕС там, где это доступно. Статус: Требуются DPA, настройки хранения логов и гарантии передачи данных до включения в промышленную эксплуатацию.
5. 3.5Railway: Хостинг рабочих процессов и медиа-реле для фоновых задач и сессий интервью. Данные: Полезная нагрузка очередей, логи воркеров, метаданные медиа-реле и временные транспортные данные интервью. Регион/передача: Регион ЕС для производственных сервисов. Статус: Требуются DPA, подтверждение региона и настройки хранения логов до включения в промышленную эксплуатацию.
6. 3.6Stripe: Биллинг подписок, выставление счетов, обработка платежей и налоговые записи. Данные: Контакты для биллинга работодателя, события биллинга, идентификаторы платежей и метаданные счетов. Регион/передача: Международная сеть обработки платежей. Статус: Требуются DPA и сопоставление ролей платежных данных до включения в промышленную эксплуатацию.
7. 3.7Cal.com: Планирование интервью и поддержки. Данные: Контактные данные кандидата/работодателя, метаданные встреч и предпочтения по доступности. Регион/передача: Инфраструктура планирования на стороне поставщика. Статус: Требуются DPA и проверка минимизации календарных данных до включения в промышленную эксплуатацию.
8. 3.8Resend: Доставка транзакционных электронных писем. Данные: Email-адреса получателей, шаблоны сообщений, события доставки и метаданные подавления. Регион/передача: Инфраструктура email на стороне поставщика. Статус: Требуются DPA, подтверждение DKIM/SPF/DMARC и настройки хранения до включения в промышленную эксплуатацию.
9. 3.9Meta: Формы лидов, измерение конверсий и рекламные кампании работодателей, где это включено. Данные: Метаданные событий кампаний и контактные поля лидов, отправленные через платформы Meta. Регион/передача: Международная инфраструктура рекламы и аналитики. Статус: Требуется оценка роли контролера/процессора и настройка механизмов согласия до включения в промышленную эксплуатацию.
10. 3.10Cloudflare: DNS, edge-безопасность, защита от ботов и контроль доступности на сетевом уровне. Данные: Метаданные HTTP-запросов, IP-адреса, события безопасности и DNS-записи. Регион/передача: Глобальная edge-сеть. Статус: Требуются DPA, настройки хранения событий безопасности и гарантии передачи данных до включения в промышленную эксплуатацию.
11. 3.11Sentry: Мониторинг ошибок, телеметрия производительности и диагностика инцидентов. Данные: Трассировки ошибок, стеки вызовов, метаданные запросов и очищенные идентификаторы пользователей/сессий. Регион/передача: Резидентность данных в ЕС там, где это настроено. Статус: Требуются DPA, очистка PII (персонально идентифицируемой информации) и настройки сэмплирования до включения в промышленную эксплуатацию.

4.Гарантии

1. 4.1Каждый субпроцессор проходит процедуру комплексной проверки (due diligence) и на него распространяются договорные обязательства по защите данных, включая требования безопасности, конфиденциальности и, где применимо, соответствующие гарантии передачи данных.
2. 4.2Если субпроцессор предполагает передачу данных за пределы ЕЭЗ, мы документируем механизм передачи и дополнительные меры защиты до начала использования в производственных целях.
3. 4.3Учетные данные поставщиков хранятся только на стороне сервера, доступ предоставляется на основе принципа минимальных привилегий, а логи настроены таким образом, чтобы избегать хранения контента интервью или категорий специальных персональных данных, если это не требуется явно для поддержки или реагирования на инциденты.

5.Изменения

1. 5.1Мы поддерживаем этот список в актуальном состоянии и заранее уведомляем о добавлении или замене субпроцессора, позволяя контролерам выразить возражения на обоснованных основаниях, касающихся защиты данных, до того, как изменения вступят в силу.
2. 5.2Sub-processor questions, objections and privacy requests may be sent to privacy@betihuti.com or info@xciterr.com; security reports may be sent to security@betihuti.com; support requests may be sent to support@betihuti.com.