Hvorfor svaret om lagringsregion ikke er en kortlægning
Kandidatdata kan passere gennem flere systemer, end rekrutteringssystemets brugerflade viser. Et CV kan ende i den primære lagring, hos en tjeneste til tekstudtræk og en modelleverandør, i køer, logs, fejldiagnostik og supportværktøjer, i backups og i eksporter. En leverandør kan derfor svare korrekt på “Hvor står databasen?” og samtidig lade det meste af behandlingskæden stå uforklaret.
GDPR kræver, at dataansvarlige kun bruger databehandlere, der giver tilstrækkelige garantier, og at behandlingen reguleres af en kontrakt. Artikel 28 omhandler også dokumenteret instruks og brug af andre databehandlere. EDPB's retningslinjer om dataansvarlige og databehandlere forklarer, at rollerne afhænger af de faktiske formål og hjælpemidler i hver enkelt behandlingsaktivitet – ikke kun af de betegnelser, parterne selv har valgt.
Tjeklisten omsætter disse spørgsmål om ansvar og styring til en praktisk kortlægning. Den afgør ikke, om en leverandør eller en konkret anvendelse er lovlig.
Kortlæg flowet i otte trin
Opret én række for hver destination eller behandlingsaktivitet. Saml ikke flere leverandører i én “cloud”-boks.
- Indsamling og upload. Notér, hvilken brugerflade der modtager CV, ansøgningssvar, kontaktoplysninger og recruiternoter. Find ud af, hvor validering, malwarescanning og midlertidig opbevaring af uploads foregår.
- Primær lagring. Angiv leverandøren af database og fillagring, den primære region, adskillelsen mellem kunder (tenants), krypteringen og hvilke medarbejdere og systemroller der har adgang.
- Udtræk og parsing. Notér, om hele filen eller kun den udtrukne tekst forlader den primære lagring, hvilken tjeneste der modtager den, og hvilke midlertidige kopier eller fil-id'er der bliver liggende.
- AI-understøttet analyse. Angiv modelleverandøren, hvilke typer input der sendes, hvilke output der genereres, hvilken opbevaringsindstilling der er valgt, og om input eller output må genbruges til træning eller forbedring af tjenesten.
- Recruiterens vurdering. Find ud af, hvor parsede fakta, belæg pr. krav, huller, vurderingsstatus og menneskelige beslutninger gemmes. Hold AI-output adskilt fra handlinger, som en autentificeret bruger har foretaget.
- Drift og support. Medtag køer, logs, traces, fejldiagnostik, analyse, supportadgang, undersøgelse af sikkerhedshændelser og enhver fejlsøgning, som kunden har godkendt.
- Eksport og integrationer. Angiv downloads, e-mail, ATS-integrationer, webhooks, manuelle kopier og systemer længere nede i kæden, som hver især har deres egne regler for opbevaring og adgang.
- Afslutning og sletning. Notér, hvad der udløser sletningen, frister, omfang og hyppighed, hvordan backups håndteres, hvordan sletning sker hos leverandører og ved kontraktophør, og hvilken dokumentation der findes, når sletningen er gennemført.
CNIL's spørgsmål og svar om idriftsættelse anbefaler at fastlægge roller, kontraktligt ansvar, autoriseret adgang, overførsler, og om en leverandør må genbruge de data, den modtager. CNIL skelner også mellem forskellige former for idriftsættelse i stedet for at behandle alle hostede tjenester og API'er ens.
Brug samme dokumentationsskema for alle leverandører
Skilltage-vejledning: Bed hver leverandør på shortlisten om de samme oplysninger, og notér kilden til hvert svar.
| Felt | Spørgsmål | Dokumentation, I skal gemme |
|---|---|---|
| Formål | Hvorfor har denne behandling brug for kandidatdata? | Produktdokumentation og kontraktbestemmelse |
| Data | Hvilke filer, felter, prompts, output, metadata og id'er indgår? | Dataflowdiagram eller udfyldt leverandørskema |
| Rolle | Hvem fastlægger formålet og de væsentlige hjælpemidler for behandlingen? | Databehandleraftale og redegørelse for rollerne |
| Leverandør | Hvilken juridisk enhed udfører behandlingen, og hvilke underdatabehandlere indgår? | Aktuel liste over underdatabehandlere og varslingsvilkår |
| Placering | Hvor kan data opbevares, tilgås, supporteres eller overføres til? | Regionsopsætning og dokumentation for overførsler |
| Adgang | Hvilke roller hos kunden, leverandøren, supporten og i systemet kan hente data? | Beskrivelse af adgangsstyring og testresultat |
| Genbrug | Bruges data til modeltræning, forbedring af tjenesten, evaluering eller misbrugsovervågning? | Produktindstilling, kontrakt og leverandørens politik |
| Opbevaring | Hvad starter og stopper hver opbevaringsperiode? | Slettefrister for primære og afledte data |
| Sletning | Hvad fjernes fra lagring, modeller, logs, backups og hos leverandører længere nede i kæden? | Sletteprocedure og dokumenteret sletningstest |
| Ændringer | Hvordan varsles nye leverandører, formål, regioner eller vilkår? | Varslingsproces, ændringslog og mulighed for indsigelse |
En mail fra en sælger er ikke det samme som et bindende vilkår eller en indstilling, der faktisk er slået til. Notér den stærkeste kilde og datoen for, hvornår den sidst blev gennemgået.
Klassificér hvert svar, før I giver point
Brug tre statusser:
- Observeret: Teamet har selv set indstillingen, adgangsbegrænsningen eller sletningsresultatet i et godkendt testmiljø.
- Dokumenteret: En gældende kontrakt, databehandleraftale, oversigt over underdatabehandlere, teknisk dokumentation eller leverandørpolitik understøtter svaret.
- Ubekræftet: Svaret er en påstand, en plan, tvetydigt eller ikke underbygget af materiale, køberen har adgang til.
Et svar kan have mere end én status. Teamet kan for eksempel se, at en fil forsvinder fra brugerfladen, mens sletning fra backups kun er dokumenteret og ikke kan observeres direkte. Opgradér ikke stiltiende nogen af delene til bevist.
Eksempel: Følg ét fiktivt CV
En mindre produktionsvirksomhed sammenligner to AI-understøttede screeningsværktøjer. Den opretter et fiktivt CV til en stilling som vedligeholdelsesplanlægger og en jobbrief og kortlægger derefter ét komplet forløb.
| Trin | Registreret observation | Status | Opfølgning |
|---|---|---|---|
| Upload | PDF'en lander i organisationens workspace og er kun synlig for dets medlemmer | Observeret | Spørg, hvordan adskillelsen mellem kunder håndhæves på serversiden |
| Parsing | Leverandøren oplyser, at en modelleverandør modtager PDF'en midlertidigt | Dokumenteret | Bed om leverandørens navn, opbevaringsindstilling og sletningsadfærd |
| Vurdering | Parsede fakta og belæg pr. krav vises ved siden af kildematerialet | Observeret | Bekræft, hvor output gemmes, og hvor længe |
| Diagnostik | Sælgeren siger, at logs ikke indeholder kandidattekst | Ubekræftet | Bed om logpolitikken og et repræsentativt logeksempel med maskerede persondata |
| Sletning | Kandidaten forsvinder efter en testsletning | Observeret | Spørg, hvad der sker med filer, afledte poster, leverandørfiler, logs og backups |
Resultatet er ikke en samlet karakter for databeskyttelse, som leverandøren kan bestå eller dumpe. Det er en liste over kendte fakta, åbne spørgsmål, ansvarlige og betingelser for købet.
Test kortlægningen, før I uploader rigtige CV'er
- Brug et fiktivt CV, der er skrevet fra bunden, og et nyt sandbox- eller demoworkspace, som leverandøren har godkendt.
- Fastlås produktversion, konfiguration, dato og den leverandørdokumentation, testen bygger på.
- Følg test-CV'et gennem upload, behandling, vurdering, eksport og sletning. Notér synlige id'er og statusser uden at bede om fortroligt materiale om implementeringen.
- Test med to kunderoller for at bekræfte, at almindelige brugere ikke kan krydse den tilsigtede grænse mellem workspaces eller rettigheder.
- Bed leverandøren skelne mellem øjeblikkelig sletning, planlagt oprydning, udløb af backups, opbevaring af logs og sletning hos eksterne leverandører.
- Sammenhold det, I har observeret, med kontrakt, databehandleraftale, liste over underdatabehandlere, dokumentation om databeskyttelse og tekniske svar.
- Giv hvert ubekræftet punkt en ansvarlig og en deadline. Upload ikke rigtige kandidatdata, så længe et væsentligt dataflow, der ikke kan slås fra, står uforklaret.
EDPB's udtalelse om AI-modeller viser, hvorfor en løs påstand om, at en model er anonym, ikke er nok: vurderingen afhænger af de konkrete forhold og kræver dokumentation om udtræk og output. Udtalelsen gør ikke denne indkøbstest til en vurdering af anonymitet eller regeloverholdelse.
Advarselstegn i leverandørens svar
- “Hostet i EU” dækker én database, men ikke modelbehandling, supportadgang, logs eller overførsler.
- “Vi gemmer ikke CV'er” udelader prompts, udtrukket tekst, output, fil-id'er eller opbevaring til misbrugsovervågning.
- “Vi er GDPR-compliant” træder i stedet for en konkret forklaring af roller, instruks, underdatabehandlere og sletning.
- Leverandøren kan ikke skelne kundeindhold fra telemetri eller data til forbedring af modeller.
- Listen over underdatabehandlere mangler formål, placering, varsling af ændringer eller dato for seneste gennemgang.
- Sletning betyder, at en post skjules i brugerfladen, uden svar om lagrede filer, afledte data, logs, backups eller leverandører.
- Supportmedarbejdere har bred adgang, men det er uklart, hvordan adgangen godkendes, logges og udløber.
Skilltages dokumenterede eksempel
Skilltage-vejledning: Skilltage offentliggør på siden om underdatabehandlere, hvilke leverandører der bruges til hvilke formål, i hvilke regioner, hvordan opbevaring og modeltræning håndteres, og hvordan overførsler er reguleret. Det dokumenterede flow adskiller brugerflader hostet hos Cloudflare, en AWS-backend og asynkrone processer, Supabase til autentificering, database og fillagring samt OpenAI-understøttet parsing og inferens. Valgfrie telemetrileverandører er angivet særskilt i stedet for at blive slået sammen med applikationens primære flow.
I produktets arbejdsgang uploader autoriserede brugere i organisationen PDF-CV'er; parsede fakta og belæg fra kandidatens CV pr. krav understøtter den menneskelige vurdering; og recruiterne har fortsat ansvaret for status, videre forløb, afslag og kommunikation med kandidaterne. Produktposter, menneskelige handlinger, AI-sporingsmetadata og driftslogs har forskellige formål og bør ikke beskrives som ét samlet revisionsspor.
De offentlige oplysninger og det accepterede kontraktgrundlag – ikke denne artikel – er bestemmende for de aktuelle leverandøroplysninger. Kontrollér dem igen, når I vurderer Skilltage, fordi leverandører, indstillinger og vilkår kan ændre sig. Guiden om opbevaring, når en rekrutteringssag lukkes, forklarer særskilt, hvor grænsen for den nuværende oprydning af rekrutteringsdokumentation går.
Begrænsninger og ansvar
Skemaet er ikke en konsekvensanalyse (DPIA), en vurdering af overførsler, en juridisk vurdering, en penetrationstest, en kontraktgennemgang eller en sikkerhedscertificering. Det afgør ikke behandlingsgrundlaget ved rekruttering, om en databehandler giver tilstrækkelige garantier, om en model er anonym, eller om en bestemt overførsel er tilladt.
En test med fiktive data kan ikke afdække alle backups, privilegerede adgangsveje, hændelsesprocesser eller fremtidige leverandørskift. Kvalificerede specialister i databeskyttelse, sikkerhed, ansættelsesret og indkøb skal vurdere den konkrete organisation, jurisdiktion, kontrakt, tilsigtede anvendelse og risiko.
Næste skridt
Vælg én leverandør fra shortlisten, og tegn kortet i otte trin før næste salgsmøde. Send de åbne rækker på forhånd, og kræv en kilde til hvert svar. Brug derefter testen med fiktive CV'er til at observere arbejdsgangen og den bredere tjekliste til vurdering af AI-rekrutteringsværktøjer til at vurdere dokumentation, menneskelig kontrol, fejlhåndtering og påstande.
Kilder
Kilderne ovenfor giver regulatorisk og praktisk kontekst for forholdet mellem dataansvarlig og databehandler, idriftsættelse af AI, genbrug af data og dokumentation om AI-modeller. Anvend de gældende versioner på jeres konkrete anvendelse; skemaet er et dokumentationsværktøj for køberen, ikke en afgørelse om regeloverholdelse.