Varnost v Kadroflow

Vsaka postavka spodaj je mehanizem v izdelku, ki ga je mogoče pokazati v živem delovnem prostoru, ali dejstvo iz njegove konfiguracije. Nič tukaj ni certifikat, rezultat revizije ali obljuba o prihodnji različici.

Kadroflow je obdelovalec podatkov kandidatov in zaposlenih: naročnik odloča, zakaj in kako se ti podatki uporabljajo, Kadroflow pa jih hrani zanj. Je upravljavec za lastne podatke o računih, obračunu in varnosti. Obvestilo o zasebnosti obe vlogi opisuje v celoti.

Storitve, ki obdelujejo podatke naročnika, kaj vsaka počne in kje teče. Naročnika obvestimo, preden nov podobdelovalec začne obdelovati podatke, z razumnim rokom za ugovor.

Izbirne povezave na dnu tabele ne obdelujejo ničesar, dokler jih uporabnik v delovnem prostoru ne odobri, in se ustavijo, ko je odobritev preklicana.

Zapisi kandidatov, delovna mesta, razgovori, ponudbe in podatki zaposlenih so v zbirki Postgres v Frankfurtu. Datoteke — življenjepisi, potrdila, posnetki razgovorov, dokumenti ponudb — so v objektni hrambi, vezani na jurisdikcijo EU. Besedilna umetna inteligenca teče prek evropske končne točke Mistral, ki je določena v konfiguraciji in ne prepuščena privzeti vrednosti, saj nevezani gostitelj ne jamči lokacije, vsak poziv pa vsebuje življenjepis, znesek plače ali zapisek z razgovora.

Izjema je pretvorba govora v besedilo. Posnetke razgovorov prepisuje Cloudflare Workers AI, ki ne jamči obdelave izključno v EU. To je zavestna odločitev in ne spregled: nadomestna možnost, vezana na EU, ne zna prepisati slovenščine — jezik izrecno zavrne, njeno samodejno zaznavanje pa je slovenski razgovor prepisalo kot tekočo ruščino, kar je nato prišlo do kadrovika kot dokaz z razgovora. Nastavitev omogoča vrnitev na ponudnika v EU za ceno slovenskega prepisa.

Avtorizacija se uveljavlja v podatkovni zbirki in ne v kodi aplikacije. Vsaka tabela ima varnost na ravni vrstic, omejeno na delovni prostor in preverjeno ob vsaki poizvedbi glede na identiteto te transakcije. Napaka v poizvedbi vrne nič, ne pa kandidatov nekoga drugega, pot v aplikaciji pa ne more razkriti podatkov druge organizacije, ker filtriranje ni njena naloga.

Vloge — lastnik, skrbnik, kadrovik, vodja zaposlovanja, izpraševalec — vidijo različne stvari, razlika pa se uveljavlja na istem mestu.

Občutljivo prosto besedilo je šifrirano polje za poljem znotraj podatkovne zbirke, ne le na disku pod njo: analize umetne inteligence in njihovi dokazi, transkripti razgovorov, dokumenti in vsebina ponudb ter zneski plač. Branja potekajo prek pogleda, ki dešifrira le tisto, kar sme videti vloga, ki sprašuje.

Imena, e-poštni naslovi in kraji so shranjeni nešifrirano, da delujejo seznami, iskanje in odkrivanje podvojenih zapisov. Ščitita jih ločenost delovnih prostorov in nadzor dostopa, kar je zavesten kompromis in ne opustitev.

Ena omejitev, povedana naravnost: šifrirni ključ je trenutno v isti podatkovni zbirki kot podatki, ki jih ščiti. To pomeni, da varnostna kopija vsebuje oboje in da uničenje ključa še ni način za izbris podatkov. Premik ključa v ločeno shrambo skrivnosti je načrtovan; do takrat se izbris izvede z brisanjem zapisov in objektov ter s potekom obdobja, v katerem jih je še mogoče obnoviti.

To obdobje je kratko in vredno je navesti številko namesto pomirjujoče besede. Podatkovna zbirka hrani 24 ur zgodovine za obnovitev na točko v času; po tem nikjer ne obstaja nobena obnovljiva kopija izbrisanega zapisa. Hramba datotek ne vodi zgodovine različic, zato so izbrisan življenjepis, potrdilo, posnetek ali dokument ponudbe izgubljeni v trenutku izbrisa.

Posnetki razgovorov se izbrišejo samodejno. Rok določa paket delovnega prostora — 30 dni na brezplačnem, 90 na Plus, 180 na Pro, 365 na Max — in se določi v trenutku kandidatove privolitve. Če se paket pozneje spremeni, posnetek nikoli ni hranjen dlje, kot je bilo kandidatu povedano, krajši rok pa se nikoli ne uporabi za nazaj.

Zapise kandidatov nadzoruje naročnik, ki odloča, kako dolgo jih postopek hrani, in lahko kadar koli izbriše kandidata ali izvozi celoten delovni prostor. Kandidat lahko kopijo svojih podatkov ali njihov izbris zahteva neposredno na strani svoje prijave; zahteva pride do delodajalca z enomesečnim rokom, odloči pa človek.

Delovni prostor lahko določi tudi rok za zaključene zapise — za sam zapis, ne le za datoteko življenjepisa: ime, kontaktni podatki, analiza in dokazi z razgovora se izbrišejo določeno število mesecev po tem, ko je kandidat zavrnjen ali se umakne. Šteje se od konca postopka in ne od prijave, zato dolg postopek nikoli ni skrajšan, in nikoli ne zadeva kandidata, ki je še v postopku, osebe pod pravno zadržanostjo ali nekoga, ki ste ga zaposlili. Dokler tega ne vklopi lastnik, je izklopljeno, saj izbris zapisa o osebi ni privzetek, ki bi ga smeli predpostaviti.

Pravna zadržanost izvzame kandidata, dokument ali posnetek iz samodejnega brisanja, dokler je odprt spor ali preiskava, in zabeleži, kdo jo je uveljavil.

Zaprtje delovnega prostora odpre 30-dnevno okno, v katerem je podatke še mogoče izvoziti, nato pa se zapisi in objekti za njimi izbrišejo, dokončanje pa se zabeleži.

Prijava poteka z e-pošto in geslom ali prek Googla, z dvostopenjsko avtentikacijo s časovno kodo in enkratnimi rezervnimi kodami. Seja ima absolutno življenjsko dobo 30 dni in jo je mogoče preklicati z vsake naprave. Prijava iz omrežja, ki ga račun še ni uporabil, pošlje potrditveno kodo na e-pošto računa, preden je sejo mogoče uporabiti.

Delovni prostor lahko zahteva, da e-poštni naslov vsakega člana pripada domeni, za katero je organizacija dokazala nadzor z zapisom DNS.

Vsaka prijava, sprememba dovoljenj in kadrovska odločitev se zapiše v dodajalno sled, ki je ni mogoče spreminjati.

Kadroflow analizira prijave in transkripte razgovorov. Ne odloča. Predizbirna vrata označijo kandidate, ki ne izpolnjujejo navedene zahteve, in nikogar ne zavrnejo; pravilo v podatkovni zbirki zavrne vsak poskus avtomatizacije, da bi kandidata premaknila ali zavrnila, zato lahko avtomatizirano pravilo naslednji korak vedno le predlaga, potrdi pa ga človek.

Ocena je aritmetika, izračunana v kodi iz dokazov, ki jih je model izluščil, in ne številka, ki bi jo izbral model. Vsaka trditev mora dobesedno citirati odlomek iz izvornega dokumenta; trditev, katere navedka v izvoru ni mogoče najti, se zavrže, analiza brez preživelih citatov pa ne uspe, namesto da bi bila objavljena.

Analiza ima navodilo, naj ne upošteva varovanih osebnih okoliščin, nastavitve umetne inteligence v delovnem prostoru pa tega pravila ne morejo preglasiti. Za vsak zagon se zabeležijo model, različica poziva in vhodni podatki.

Po Aktu EU o umetni inteligenci je umetna inteligenca pri zaposlovanju sistem visokega tveganja, Kadroflow pa je njen ponudnik. Obveznosti veljajo od 2. decembra 2027. Dokumentacijo ponudnika, vključno z odprtimi vrzelmi, vzdržujemo ob izdelku.

Pregledovalec bo o tem vprašal v prvih minutah, zato je to tukaj in ne kje dlje.

• Brez poročila SOC 2 in brez certifikata ISO 27001. Zgoraj opisani nadzori so resnični in dokazljivi; nobenega ni revidiral zunanji izvajalec.
• Brez objavljenega varnostnega testa vdora.
• Brez enotne prijave prek ponudnika identitete naročnika in brez SCIM. Avtentikacija poteka z e-pošto in geslom, prek Googla in z dvostopenjskimi kodami.
• Pogodba o obdelavi podatkov še ni objavljena. V pripravi je; na zahtevo pošljemo trenutni osnutek.

Če je kaj od tega za vas pogoj, nam povejte — vedeti, kaj ustavi nakup, je način, da to dobi prednost.

Varnostne prijave pošljite na support@kadroflow.com. Priložite dovolj podrobnosti za ponovitev težave. Prejem bomo potrdili, vas obveščali med reševanjem in ne bomo ukrepali proti nikomur, ki v dobri veri prijavi resnično najdbo, ne da bi dostopal do podatkov drugih ljudi.