Центр безпеки
Як захищені дані в Expertini ATS та як відповідально повідомити про вразливість безпеки.
Ця сторінка охоплює практики безпеки, важливі для рекрутера або організації з наймання, яка оцінює платформу, а також процес відповідального розголошення для повідомлення про вразливості.
На цій сторінці
01Infrastructure
Expertini ATS працює на інфраструктурі, якою керує безпосередньо Expertini (а не перепродане стороннє SaaS-рішення), на виділеному кластері Elasticsearch із шифруванням TLS під час передачі даних. Платіжні дані повністю обробляються компанією Stripe — дані карток ніколи не потрапляють на власні сервери Expertini.
02Access control
Дані організації суворо обмежені за ідентифікатором org_id на рівні даних — одна організація-роботодавець не може запитувати чи переглядати кандидатів, вакансії або заявки іншої. Усередині організації ролі власника/адміністратора/рекрутера контролюють право виконання дій (наприклад, лише власники/адміністратори можуть видалити запис клієнта в Client CRM).
03PII handling
Особисті ідентифікатори видаляються за шаблоном з тексту резюме до того, як будь-який крок інтелектуального оцінювання прочитає його — дивіться Політику конфіденційності для отримання повної інформації про те, що видаляється, та обмеження цього процесу.
04Responsible disclosure
Знайшли вразливість безпеки? Напишіть на security@expertini.com із кроками відтворення. Будь ласка, повідомляйте конфіденційно до будь-якого публічного розголошення та уникайте доступу до даних або їх модифікації понад те, що необхідно для демонстрації проблеми — наразі ми не керуємо програмою виплати винагород за знайдені помилки (bug-bounty), але визнаємо звіти, зроблені сумлінно.
05Зберігання та видалення даних, конкретно
Дані заявок кандидатів видаляються автоматично через 24 місяці — це запланований процес, а не право лише за запитом, яке кандидат повинен знати, щоб реалізувати. Секрети організації, налаштовані для інтеграцій, зберігаються на стороні сервера й ніколи не передаються назад у браузер: після збереження інтерфейс показує лише те, що облікові дані існують, а не їхнє значення. Дані платіжних карток ніколи не з'являються в системах Expertini — весь життєвий цикл картки відбувається всередині Stripe. Політика конфіденційності є авторитетним положенням про терміни зберігання та права суб'єктів даних; завдання цієї сторінки — зведення, що стосується безпеки.
06Відповіді на питання, які насправді ставлять аудитори з безпеки
Для команд, що проводять перевірку безпеки постачальників, короткі версії: ізоляція орендарів примусово застосовується на рівні даних у кожному запиті (фільтрація в межах організації, а не лише правила коду додатків). Контроль доступу на основі ролей відокремлює дії власника/адміністратора (білінг, місця, видалення) від повсякденної роботи рекрутера. Особисті дані кандидата (PII) очищаються за шаблоном до того, як текст резюме потрапить на будь-який етап обробки штучним інтелектом — штучний інтелект оцінює докази, а не особу, як детально описано на сторінці технології ШІ. Транспорт захищено за допомогою TLS; інфраструктура керується безпосередньо Expertini, а не перепродається. А рішення пайплану оцінювання є відтворюваними та реєструються з обґрунтуванням на рівні вимірів — це важливо для перевірок безпеки, які тепер включають питання алгоритмічної підзвітності. З будь-яких питань, які не охоплює цей підсумок, security@expertini.com відповідає на анкети оцінювання напряму.
Поширені запитання
Чи існує платна програма винагород за знаходження помилок?⌄
Чи можуть співробітники Expertini бачити наші дані про кандидатів?⌄
Хто заповнює нашу анкету безпеки для постачальників?⌄
Короткий огляд
- Дані організації суворо обмежені за org_id — відсутність видимості між організаціями
- Деталі картки обробляються виключно Stripe, ніколи не зберігаються Expertini
- Шаблони персональних даних видаляються перед будь-яким етапом інтелектуального оцінювання
- Відповідальне розголошення через security@expertini.com, спочатку повідомте приватно
- Автоматичне видалення даних кандидатів через 24 місяці за розкладом, а не за запитом
- Секрети інтеграції ніколи не повторно відображаються в браузері після збереження
Перегляньте центр безпеки на власному наймі.
Візьміть реальний опис вакансії на 30-хвилинну демонстрацію — безкоштовний пробний період у комплекті.
Замовити демо