Seguridad at Privacy
Ang audio ng iyong interview
ay hindi kailanman nabubuhay sa aming servers.
Ang SubcueAI ay native na gawa, naka-encrypt sa transit at sa rest, at sadyang stateless pagdating sa audio ng iyong interview. Eto kung paano eksakto.
Huling na-update: Mayo 15, 2026
Paghawak ng audio
Ang audio ng interview ay tina-transcribe sa cloud — at hindi kailanman iniimbak.
- Naka-capture lokal: ginagamit ng macOS / Windows app ang ScreenCaptureKit (Mac) at WASAPI loopback (Win) para mag-capture ng audio mula sa video call mo. Hindi kailangan ng desktop app ang browser extension o meeting bot.
- Naka-stream para sa STT: ang audio ay naka-stream (hindi naka-store) sa speech-to-text provider para sa real-time transcription. Inaalis sa memory ang audio buffer pagdating ng transcript chunk.
- Zero server persistence: hindi namin kailanman isinusulat ang audio waveform sa disk sa backend namin. R2 / D1 / KV transcripts at metadata lang ang hawak.
- Ang transcript ay sa iyo para burahin: ang per-record deletion mula sa /dashboard/records ay agad nagbubura ng transcript at AI analysis.
Encryption
Transit + sa rest
Sa transit
TLS 1.3
Sapilitang HTTPS via Cloudflare. HSTS preload na may max-age=63072000 (2 taon).
Sa rest
AES-256
Ang Cloudflare R2 (resume / job description / release binaries) ay gumagamit ng SSE-256 bilang default.
Authentication
PBKDF2 + JWT
Password hashing: PBKDF2 100,000 iterations. Session tokens: JWT na nilagdaan ng HMAC-SHA256.
Mga sub-processor
Sino ang humahawak sa data mo
Ang Subcue AI LLC ang data controller. Ang sumusunod na sub-processors ay humahawak ng partikular na bahagi ng customer data sa ilalim ng kontrata. Bawat entry ay naglilista kung ano ang nakikita nila at kung saan nakatayo ang infrastructure nila.
| Provider | Layunin | Rehiyon |
|---|---|---|
| Cloudflare | Hosting, CDN, D1 (database), KV, R2 (object storage), Vectorize (embeddings) | Global edge / US-EU |
| OpenAI | AI answer generation (naiko-configure na fallback) | Estados Unidos |
| Deepgram | Speech-to-text (alternatibo) | Estados Unidos |
| ElevenLabs | Speech-to-text (real-time) | Estados Unidos |
| xAI | AI answer generation, pagsusuri ng interview, pag-optimize ng resume, boses at avatar ng mock interview (Grok) | Estados Unidos |
| Anthropic | Pag-parse ng resume (Claude) | Estados Unidos |
| Stripe | Payment processing, billing, at pagkalkula ng sales tax (Stripe Tax) | Estados Unidos |
| Apple | App Store in-app purchases (iOS/macOS users) | Estados Unidos |
| Resend | Transactional email (verification, resibo) | Estados Unidos |
| Google Analytics | Web analytics — anonymized usage metrics (naka-mask na IP) | Estados Unidos |
Ang mga update sa listahang ito ay inaanunsyo sa mga rebisyon ng Mga Tuntunin ng Serbisyo.
Access at authentication
Tokens, sessions, revocation
- JWT access tokens, TTL 1 oras.
- Refresh tokens naka-store sa HttpOnly Secure SameSite=Lax cookies, naka-hash sa server-side bago i-store.
- Server-side revocation list — ang logout ay agad nagpapawalang-bisa ng tokens sa lahat ng device.
- Ang OAuth flows (Google / Apple) ay server-to-server; hindi kailanman naaabot ng access tokens ang browser JavaScript.
- Ang desktop app ay gumagamit ng custom subcue:// protocol na may one-time auth code exchange — parehong security model ng native macOS / Windows OAuth flows.
HTTP security headers
Ano ang dala ng bawat response
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload X-Frame-Options: DENY X-Content-Type-Options: nosniff Referrer-Policy: strict-origin-when-cross-origin Permissions-Policy: camera=(), microphone=(), geolocation=() Content-Security-Policy-Report-Only: ...
Compliance
Mga regional regulation
GDPR (EU / EEA / UK)
Pinoproseso namin ang EU personal data sa ilalim ng lawful bases kabilang ang consent, contract performance, at legitimate interests. Iginagalang ang data subject rights (access, correction, erasure, portability) — i-email ang request mo sa contact@subcueai.com.
CCPA (California)
May karapatan ang mga residente ng California na malaman, burahin, at tumanggi sa data sale. Hindi kami nagbebenta ng personal data. Ipadala ang CCPA requests sa parehong address ng GDPR.
Data retention
Ano ang itinatago namin, gaano katagal
- Account data: itinatago habang aktibo ang account mo.
- Interview transcripts: itinatago hanggang burahin mo ang record. Per-record deletion available sa /dashboard/records.
- Audio waveforms: hindi kailanman pinapanatili.
- Account deletion: lahat ng personal data ay binubura sa loob ng 30 araw. Anonymized aggregate stats (hal. kabuuang interviews) itinatago nang walang katiyakan.
- Telemetry events: itinatago ng 90 araw bilang default (configurable sa admin), tapos awtomatikong nililinis ng daily cron.
Responsableng disclosure
May nahanap na vulnerability?
I-email ang contact@subcueai.com na may subject line [SECURITY]. Nangangako kami na:
- Kumpirmahin ang resibo sa loob ng 48 oras.
- Magbigay ng triage update sa loob ng 5 business days.
- Sundin ang 90-araw na responsableng disclosure timeline bago ang pampublikong diskusyon.
- Kilalanin ang mga reporter nang publiko (may pahintulot) kapag naayos na ang isyu.
Wala sa saklaw: social engineering, physical attacks, atake sa third-party sub-processors.
May tanong tungkol sa page na ito? I-email ang contact@subcueai.com.
Tingnan din: Patakaran sa Privacy · Mga Tuntunin ng Serbisyo