隐私
政策
根据《通用数据保护条例》(GDPR)和《个人数据保护及数字权利法》(LOPDGDD)
简介
Xeito致力于保护您的隐私并确保您的个人信息安全。本隐私政策说明了我们如何根据《通用数据保护条例》(欧盟2016/679)和《个人数据保护及数字权利组织法》(3/2018号法律)收集、使用、存储和保护您的个人信息。
使用我们的服务即表示您接受本政策中所述的做法。如果您不同意我们的隐私做法，我们建议您不要使用我们的服务。
本政策适用于Xeito的所有用户，无论其地理位置如何。
数据控制者
我们收集的数据
个人信息
全名
电子邮件地址
电话号码（可选）
地理位置和位置偏好
简历及相关文件
专业信息
工作经历和职业背景
学历教育和认证
技术技能和competencies
工作偏好（工作类型、薪资、位置）
处理的法律依据
我们依据GDPR第6条的以下法律依据处理您的个人数据：
| Purpose | Legal basis |
|---|---|
| 提供服务（求职搜索、个人资料、提醒） | 履行合同 — GDPR第6(1)(b)条 |
| 账户认证与安全 | 合法利益 — GDPR第6(1)(f)条 |
| AI/ML职位推荐 | 合法利益 — GDPR第6(1)(f)条 |
| 营销通信和新闻通讯 | 同意 — GDPR第6(1)(a)条 |
| 履行法律义务（会计、GDPR合规） | 法律义务 — GDPR第6(1)(c)条 |
| 欺诈和滥用检测 | 合法利益 — GDPR第6(1)(f)条 |
接收方和数据处理者
我们仅与以下处理者共享您的数据，所有处理者均依据GDPR第28条签署了数据处理协议（DPA）：
| Processor | Role | Location / safeguard |
|---|---|---|
| Neon (Neon Inc.) | PostgreSQL数据库（托管和备份） | 美国 — 标准合同条款（SCC） |
| Cloudflare, Inc. | CDN、Workers（API和Web运行时）、安全 | 美国 — SCC / 欧美数据隐私框架 |
| Fly.io, Inc. | 自托管服务（GlitchTip错误监控、n8n工作流、Forgejo源代码管理）的应用程序托管 | 美国总部；数据在欧盟（阿姆斯特丹）— SCC |
| Stripe (SPEL) | 支付和订阅处理 | 欧盟（爱尔兰）— SPEL SSA |
| Resend | 事务性电子邮件和新闻通讯发送 | 美国 — SCC |
| Groq, Inc. | AI推理（职业助手、简历分析） | 美国 — SCC |
我们不会出于商业目的向第三方出售、出租或转让您的个人数据。
国际数据传输
部分处理者在美国处理数据。这些传输受以下保护：
SCC: 欧洲委员会采用的标准合同条款（SCC）（决定2021/914），模块2（控制者 → 处理者）。
DPF: 处理者经过认证时，适用欧美数据隐私框架（DPF）。
您可以通过发送电子邮件至[email protected]请求获取适用SCC的副本。
自动化决策和画像
Xeito使用可能对用户产生重大影响的自动化系统：
AI职位推荐
我们的ML推荐引擎分析您的个人资料和互动历史以推荐相关职位。您可以在个人资料设置中停用个性化推荐。
AI语义搜索
搜索结果由语言模型重新排序。不会生成具有约束力的决定。
AI简历分析（ATS）
兼容性评分仅供参考；录用决定完全由雇主做出。
您有权不受仅基于自动处理且产生法律效果或类似重大影响的决定约束（GDPR第22条）。要行使此权利，请联系[email protected]。
数据保留期限
我们依据GDPR第5(1)(e)条仅在必要的最短时间内保留您的数据：
| 数据类别 | 保留期限 | 法律依据 |
|---|---|---|
| 账户数据（电子邮件、姓名、哈希密码） | 账户有效期 + 删除后30天 | 合同 |
| 认证会话 | 至到期日 | 合法利益（安全） |
| 搜索历史 | 90天 | 合法利益（用户体验） |
| 职位互动历史 | 12个月 | 合法利益（推荐） |
| AI功能使用日志 | 90天 | 合法利益（计费/滥用） |
| AI 助手对话（求职信与薪资辅导聊天） | 自您在对话中的最后一次活动起 90 天 | 合法利益（服务连续性） |
| 简历/CV 文件（上传的文件及其解析内容） | 账户有效期 — 删除账户时清除。被新上传版本取代的旧版本将在取代后数日内通过定期清理任务删除。 | 合同 |
| 订阅和购买记录 | 6年 | 法律义务（会计） |
| 积分交易记录（消费、退还与发放） | 6 年，删除账户时移除您的身份信息 | 法律义务（会计） |
| 撤回和取消申请 | 6年 | 法律义务（消费者法） |
删除账户后，我们将立即清除所有个人资料数据、简历文件、会话和偏好设置。会计记录依法保留6年。
数据安全
我们依据GDPR第32条采取适当的技术和组织措施：
所有敏感数据的传输中（TLS 1.2+）和静态加密
员工访问内部系统的多因素认证（MFA）
最小权限原则：仅授权人员可访问用户数据
所有处理者均受具有同等安全义务的DPA约束
通过自托管的 GlitchTip（Fly EU）进行错误监控和异常检测
定期安全审计和漏洞管理
儿童隐私
根据LOPDGDD第7条，使用Xeito的最低年龄为16岁。我们不会有意收集16岁以下用户的数据。如果发现用户未满16岁，我们将立即删除其账户和数据。如果您是父母或监护人，并认为您的孩子已创建账户，请通过[email protected]与我们联系。
您根据GDPR享有的权利
根据GDPR和LOPDGDD，您享有以下权利：
访问权（第15条GDPR）
您可以请求获取我们持有的关于您的所有个人数据的副本
更正权（第16条GDPR）
您可以请求更正不准确或不完整的数据
被遗忘权（第17条GDPR）
在某些条件下，您可以请求删除您的个人数据
限制处理权（第18条GDPR）
您可以请求限制对您数据的处理
数据可携权（第20条GDPR）
您可以请求以结构化、常用格式接收您的数据
反对权（第21条GDPR）
您可以反对处理您的个人数据
向AEPD提出投诉的权利
如果您认为对您数据的处理违反了GDPR，您有权向主管监督机构提出投诉：
西班牙数据保护机构（AEPD — Agencia Española de Protección de Datos）
C/ Jorge Juan, 6 — 28001 马德里，西班牙
在提交正式投诉之前，您也欢迎先通过[email protected]联系我们以解决任何问题。
广告与Google AdSense
Xeito通过Google AdSense在博客和营销公共页面上展示广告，以资助其免费服务。广告始终显示在免费页面上 — 只有Premium订阅用户从不看到广告。
Google收集的信息
默认情况下，我们提供非个性化广告（NPA）：不会设置广告Cookie，Google也不会使用您的浏览数据来选择向您展示的广告。只有当您通过Cookie横幅授予个性化广告同意时，Google才会使用广告Cookie（NID、IDE、doubleclick.net）以及IP地址和浏览历史等信号，将广告调整为符合您的兴趣。
您的同意
广告无论是否获得同意都会展示 — 这就是我们保持服务免费的方式。Cookie横幅仅控制个性化：接受以允许定制广告，拒绝则仅查看非个性化广告。您可以随时通过页脚中的「Cookie设置」链接更改您的选择。要完全停止看到广告，请订阅Premium。
如何关闭个性化广告
您可以随时通过Cookie横幅撤回个性化同意 — 下次页面浏览时广告将降级为非个性化广告。您也可以直接在myadcenter.google.com上管理您的广告偏好，或在adssettings.google.com上的Google账户中关闭个性化广告。要在所有参与网站上退出第三方广告Cookie，请访问youronlinechoices.eu（欧洲经济区）或aboutads.info/choices（美国）。
了解更多
Google在policies.google.com/technologies/ads和policies.google.com/privacy上发布了有关其如何使用广告数据的详细信息。
联系我们
如果您对本隐私政策有任何疑问或希望行使您的权利，请联系我们：
电子邮件: [email protected]
数据保护官: [email protected]