Důvěra
Stránka, kterou můžete přeposlat právnímu oddělení.
Má odpovědět na otázky, které položí pověřenec pro ochranu osobních údajů, bez schůzky. Pokud tu něco není dost jasné na to, aby se podle toho dalo jednat, je to vada a chceme o ní vědět.
Žádné automatizované rozhodnutí o člověku
Článek 22 GDPR omezuje rozhodnutí založená výhradně na automatizovaném zpracování s právními nebo podobně významnými účinky. Odmítnutí v náboru pod to spadá. Candora je postavená tak, aby ta otázka nevznikla: cesta k odmítnutí neexistuje.
- Žádné odmítnutí jako API route, výchozí hodnota ani předvyplněné doporučení v rozhraní
- Systém vyrábí nálezy, člověk vyrábí rozhodnutí a rozhodnutí se loguje
- Vynuceno testem, který selže, když někdo přidá automatickou cestu k odmítnutí
Fakta, ne pravděpodobnosti
Produkt nemá sloupec se skóre, proměnnou rizika ani pravděpodobnost nikde, ani interně. Je to omezení na úrovni schématu, ne volba prezentace.
- Každý nález tvrdí ověřitelný fakt a pojmenuje svůj zdroj
- Každý nález nese čas dotazu a verzi pravidla, které ho vyrobilo
- Databáze vyžaduje u každého nálezu odkaz na dotaz, takže nález bez dohledatelného původu nejde uložit
AI Act
Screening kandidátů v zaměstnání spadá do kategorie vysokého rizika, povinnosti platí od 2. prosince 2027. Candora je stavěná tak, aby byla auditovatelná dřív, a praktikám zakázaným podle článku 5 se vyhýbá úplně.
- Žádné rozpoznávání emocí, žádná detekce klamání, žádné odvozování z chování
- Žádná biometrická kategorizace a žádná biometrická šablona jakéhokoli druhu
- Lidský dohled, logování a vysvětlitelnost navržené předem, ne dolepené
- Prahy pravidel žijí ve verzovaných datech, takže každé minulé rozhodnutí jde zrekonstruovat s pravidly, která tehdy platila
Kde leží data
Databáze, objektové úložiště i serverless funkce zpracovávající požadavky běží v EU regionu. V datové cestě není žádná třetí strana mimo EU.
- Soubor životopisu se parsuje v paměti a nikdy se nezapisuje na disk ani do úložiště
- Externím zdrojům se posílají jen údaje o firmě a doméně. Jméno kandidáta Candoru nikdy neopustí
- Row level security na každé tabulce, izolace tenantů vynucená databází, ne aplikačním kódem
- Retence je nastavitelná per organizace a u dat kandidáta je výchozích 30 dní
Zvláštních kategorií se nedotýkáme
Zdraví, náboženství, politické názory, členství v odborech, sexualita a další zvláštní kategorie podle článku 9 GDPR se nikdy neextrahují, neukládají ani nezobrazují, ani když je životopis sám nabídne.
- Extrakční prompt to výslovně zakazuje
- Test ověřuje chování nad fixturou životopisu, který taková data obsahuje
- Žádné kontroly týkající se nezletilých, v žádném bodě
Auditní stopa
Každá událost se přidává, nikdy needituje ani nemaže, a nese verzi pravidel platnou v okamžiku, kdy nastala. Aplikační role nemá na tabulce událostí práva update ani delete a databázový trigger to vynucuje podruhé.
- Kdo kontrolu spustil, kdy a proti které verzi pravidel
- Co zdroj vrátil a v jakém čase
- Kdo nález posoudil, co rozhodl a jestli rozhodnutí přebil
- Výsledky se vedou jako vlastní záznam s historií, takže kandidát označený později jako falešně pozitivní si nese oba stavy
Něco tu není dost jasné pro vašeho pověřence?
Pošlete otázku a dostanete odpověď písemně, ne pozvánku na hovor.