Повідомлення про субпроцесорів

1.Ланцюг технологічної обробки

1. 1.1Якщо Xciterr контролює мету підбору персоналу для агентства та доручає Automaize розміщувати або керувати робочим процесом, Automaize діє як технологічний оператор Xciterr. Якщо роботодавець-Клієнт контролює мету, відповідне замовлення повинно фіксувати, чи є Xciterr та Automaize операторами або суб-операторами в цьому ланцюзі.
2. 1.2Automaize залишається незалежним контролером для обмежених цілей облікового запису платформи, безпеки, згоди, підзвітності ШІ та дотримання законодавства, визначених у Повідомленні про конфіденційність; ці дії не є суб-обробкою згідно з інструкціями Клієнта.

2.Категорії субпроцесорів

Перш ніж постачальник почне обробляти персональні дані у виробничих цілях як наш суб-оператор, він повинен бути залучений на основі письмового договору, що накладає зобов'язання, узгоджені зі статтею 28 GDPR. Відповідні категорії включають:

1. 2.1Хмарний хостинг та сервіси баз даних, які забезпечують роботу додатку та зберігання персональних даних, де ЄЕЗ є основним регіоном хостингу.
2. 2.2Сервіси штучного інтелекту, мовлення та транскрипції, які аналізують резюме, підтримують структуроване оцінювання, записують та транскрибують аудіо інтерв'ю, а також генерують докази оцінювання для перегляду.
3. 2.3Сервіси комунікації та розсилки електронної пошти, які від нашого імені надсилають оновлення статусу, запрошення на інтерв'ю та повідомлення облікового запису.
4. 2.4Сервіси виставлення рахунків, планування, моніторингу працездатності, DNS/безпеки та аналізу залучення, кожен з яких обмежений даними, необхідними для конкретної функції.

3.Поточні субпроцесори

Реєстр виробничих субпроцесорів для бета-версії охоплює наступних постачальників та цілі використання. Постачальник залишається заблокованим від виробничої обробки до завершення пункту статусу та його реєстрації в пакеті відповідності:

1. 3.1Google Cloud / Gemini / Firebase: оцінка ШІ, допомога з транскрибуванням, ембеддінги, автозаповнення геолокації, додаткова діагностика збоїв, push-сповіщення, автентифікація Google та додаткова синхронізація з Google Calendar. Дані: підказки для співбесід, транскрипти, вхідні бали, рядки пошуку геолокації, push-токени, діагностика збоїв (за згодою), ідентифікатори автентифікації, зашифровані облікові дані для авторизації календаря, часові вікна доступності календаря, деталі власних подій та обмежені операційні метадані. Регіон/передача даних: регіони ЄС за замовчуванням, де це підтримується; міжнародні передачі регулюються DPA постачальника та механізмами захисту передачі даних. Статус: перед впровадженням у виробниче середовище потрібна перевірка DPA та оцінка впливу передачі даних.
2. 3.2Supabase: база даних Postgres, автентифікація, зберігання, периферійні функції та інфраструктура в реальному часі. Дані: дані кандидатів, роботодавців, заявок, інтерв'ю, згоди, аудиту, об'єктів зберігання та облікового запису. Регіон/передача: регіон проекту в ЄС для виробничих даних. Статус: перед активацією у виробництві потрібні DPA, документація з безпеки та докази регіону проекту.
3. 3.3WorkOS: Посередництво в підключенні корпоративного SSO роботодавця, синхронізація каталогів та ІТ-адміністрування клієнтів. Дані: Ідентифікатори особи роботодавця, робоча електронна адреса, відображуване ім'я, ідентифікатори організації/каталогу/групи та метадані подій автентифікації або надання доступу. Регіон/передача даних: Інфраструктура ідентифікації, що розміщується провайдером; позиція щодо передачі даних та місця їх зберігання в межах ЄЕЗ має бути задокументована перед використанням у робочому середовищі. Статус: Вимкнено; перед активацією в робочому середовищі необхідні DPA, оцінка впливу передачі даних, політики зберігання, перевірка безпеки та субпроцесорів.
4. 3.4Vercel: хостинг веб-додатків, доставка CDN, розгортання прев'ю та журнали додатків. Дані: метадані HTTP-запитів, журнали додатків та обмежені ідентифікатори облікового запису/сесії. Регіон/передача: периферійна мережа з засобами контролю розгортання в ЄС, де це можливо. Статус: перед активацією у виробництві потрібні DPA, налаштування зберігання журналів та гарантії передачі.
5. 3.5Railway: хостинг воркерів та медіа-реле для фонових завдань та сесій інтерв'ю. Дані: корисне навантаження черги, журнали воркерів, метадані медіа-реле та транзитні дані передачі інтерв'ю. Регіон/передача: регіон ЄС для виробничих послуг. Статус: перед активацією у виробництві потрібні DPA, докази регіону та налаштування зберігання журналів.
6. 3.6Stripe: виставлення рахунків за підписку, інвойсинг, обробка платежів та податкові записи. Дані: контакти роботодавця для виставлення рахунків, події білінгу, ідентифікатори платежів та метадані рахунків. Регіон/передача: міжнародна мережа обробки платежів. Статус: перед активацією у виробництві потрібні DPA та зіставлення ролей платіжних даних.
7. 3.7Cal.com: планування інтерв'ю та підтримки. Дані: контактні дані кандидата/роботодавця, метадані зустрічей та налаштування доступності. Регіон/передача: інфраструктура планування, розміщена провайдером. Статус: перед активацією у виробництві потрібні DPA та перевірка мінімізації даних календаря.
8. 3.8Resend: транзакційна доставка електронної пошти. Дані: адреси електронної пошти отримувачів, шаблони повідомлень, події доставки та метадані придушення. Регіон/передача: інфраструктура електронної пошти, розміщена провайдером. Статус: перед активацією у виробництві потрібні DPA, докази DKIM/SPF/DMARC та налаштування зберігання.
9. 3.9Meta: лід-форми, вимірювання конверсій та кампанії із залучення роботодавців, де це увімкнено. Дані: метадані подій кампанії та контактні поля лідів, надіслані через інтерфейси Meta. Регіон/передача: міжнародна рекламна та вимірювальна інфраструктура. Статус: перед активацією у виробництві потрібна оцінка ролі контролера/процесора та налаштування згоди.
10. 3.10Cloudflare: DNS, периферійна безпека, захист від ботів та засоби контролю доступності на рівні мережі. Дані: метадані HTTP-запитів, IP-адреси, події безпеки та DNS-записи. Регіон/передача: глобальна периферійна мережа. Статус: перед активацією у виробництві потрібні DPA, налаштування зберігання подій безпеки та гарантії передачі.
11. 3.11Sentry: моніторинг помилок, телеметрія продуктивності та діагностика інцидентів. Дані: трасування помилок, стеки викликів, метадані запитів та очищені ідентифікатори користувача/сесії. Регіон/передача: резидентність даних у ЄС, де це налаштовано. Статус: перед активацією у виробництві потрібні DPA, очищення персональних даних (PII) та засоби контролю вибірки.

4.Гарантії

1. 4.1Кожен субпроцесор проходить належну перевірку та несе договірні зобов'язання щодо захисту даних, включаючи безпеку, конфіденційність та, де це доречно, відповідні гарантії передачі.
2. 4.2Якщо субпроцесор передбачає передачу даних за межі ЄЕЗ, ми документуємо механізм передачі та додаткові заходи до початку використання у виробництві.
3. 4.3Облікові дані провайдерів зберігаються лише на стороні сервера, доступ надається за принципом найменших привілеїв, а журнали налаштовані так, щоб уникати зберігання вмісту інтерв'ю або даних спеціальних категорій, якщо це прямо не потрібно для підтримки чи реагування на інциденти.

5.Зміни

1. 5.1Ми підтримуємо цей список і заздалегідь повідомляємо про додавання або заміну субпроцесора, надаючи контролерам можливість заперечити з обґрунтованих підстав, що стосуються захисту даних, до того, як зміни набудуть чинності.
2. 5.2Sub-processor questions, objections and privacy requests may be sent to privacy@betihuti.com or info@xciterr.com; security reports may be sent to security@betihuti.com; support requests may be sent to support@betihuti.com.