Seguridad at Privacy
Ang audio ng iyong interview
ay hindi kailanman nabubuhay sa aming servers.
Ang SubcueAI ay native na gawa, naka-encrypt sa transit at sa rest, at sadyang stateless pagdating sa audio ng iyong interview. Eto kung paano eksakto.
Huling na-update: Oktubre 10, 2026
Paghawak ng audio
Ang audio ng interview ay tina-transcribe sa cloud — at hindi kailanman iniimbak.
- Naka-capture lokal: ginagamit ng macOS / Windows app ang ScreenCaptureKit (Mac) at WASAPI loopback (Win) para mag-capture ng audio mula sa video call mo. Hindi kailangan ng desktop app ang browser extension o meeting bot.
- Naka-stream para sa STT: ang audio ay naka-stream (hindi naka-store) sa speech-to-text provider para sa real-time transcription. Inaalis sa memory ang audio buffer pagdating ng transcript chunk.
- Zero server persistence: hindi namin kailanman isinusulat ang audio waveform sa disk sa backend namin. R2 / D1 / KV transcripts at metadata lang ang hawak.
- Ang transcript ay sa iyo para burahin: ang per-record deletion mula sa /dashboard/records ay agad nagbubura ng transcript at AI analysis.
Encryption
Transit + sa rest
Sa transit
TLS 1.3
Sapilitang HTTPS via Cloudflare. HSTS preload na may max-age=63072000 (2 taon).
Sa rest
AES-256
Ang Cloudflare R2 (resume / job description / release binaries) ay gumagamit ng SSE-256 bilang default.
Authentication
PBKDF2 + JWT
Password hashing: PBKDF2 100,000 iterations. Session tokens: JWT na nilagdaan ng HMAC-SHA256.
Mga sub-processor
Sino ang humahawak sa data mo
Ang Subcue AI LLC ang data controller. Ang sumusunod na sub-processors ay humahawak ng partikular na bahagi ng customer data sa ilalim ng kontrata. Bawat entry ay naglilista kung ano ang nakikita nila at kung saan nakatayo ang infrastructure nila.
| Provider | Layunin | Rehiyon |
|---|---|---|
| Cloudflare | Hosting, CDN, D1 (database), KV, R2 (object storage), Vectorize (embeddings), Workers AI (search index ng mga transcript, text recognition sa mga larawan ng resume), AI Gateway (nagpapasa ng mga AI request), Turnstile (bot protection) | Global edge / US-EU |
| OpenAI | AI answer suggestions, mga tanong sa mock interview, pagsusuri ng interview, pag-parse at pag-optimize ng resume, mga sagot sa support chat | Estados Unidos |
| xAI | Boses ng mock interview (text-to-speech); alternatibong AI model para sa mga feature sa itaas (Grok) | Estados Unidos |
| Anthropic | Pag-parse ng resume para sa mga na-scan o image-only na PDF (Claude) | Estados Unidos |
| Sign in with Google, Google Play billing, alternatibong AI model para sa pag-parse ng resume (Gemini) | Estados Unidos | |
| Alibaba Cloud (Qwen) | Mga AI feature at boses ng mock interview para sa mga user sa mga bansang hindi available ang aming mga default provider | Tsina |
| DeepSeek | Alternatibong AI model para sa mga user sa mga bansang hindi available ang aming mga default provider | Tsina |
| ElevenLabs | Speech-to-text (real-time) | Estados Unidos |
| Deepgram | Speech-to-text sa mga bansang hindi available ang ElevenLabs | Estados Unidos |
| Stripe | Payment processing, billing, at pagkalkula ng sales tax (Stripe Tax) | Estados Unidos |
| Apple | App Store in-app purchases (iOS/macOS users), Sign in with Apple | Estados Unidos |
| Paddle | Payment processing para sa mga pagbiling ginawa bago ang Hulyo 2026 | United Kingdom |
| Resend | Transactional email (mga verification code, mga abiso tungkol sa account at billing, mga sagot ng support) | Estados Unidos |
| Google Analytics | Web analytics — anonymized usage metrics (naka-mask na IP) | Estados Unidos |
| Microsoft Clarity | Website usage analytics (page views, clicks, pag-scroll; naka-mask ang mga input field) | Estados Unidos |
Ang mga update sa listahang ito ay inaanunsyo sa mga rebisyon ng Mga Tuntunin ng Serbisyo.
Access at authentication
Tokens, sessions, revocation
- JWT access tokens, TTL 1 oras.
- Refresh tokens naka-store sa HttpOnly Secure SameSite=Lax cookies, naka-hash sa server-side bago i-store.
- Server-side revocation list — ang logout ay agad nagpapawalang-bisa ng tokens sa lahat ng device.
- Ang OAuth flows (Google / Apple) ay server-to-server; hindi kailanman naaabot ng access tokens ang browser JavaScript.
- Ang desktop app ay gumagamit ng custom subcue:// protocol na may one-time auth code exchange — parehong security model ng native macOS / Windows OAuth flows.
HTTP security headers
Ano ang dala ng bawat response
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload X-Frame-Options: DENY X-Content-Type-Options: nosniff Referrer-Policy: strict-origin-when-cross-origin Permissions-Policy: camera=(), microphone=(), geolocation=() Content-Security-Policy-Report-Only: ...
Compliance
Mga regional regulation
GDPR (EU / EEA / UK)
Pinoproseso namin ang EU personal data sa ilalim ng lawful bases kabilang ang consent, contract performance, at legitimate interests. Iginagalang ang data subject rights (access, correction, erasure, portability) — i-email ang request mo sa contact@subcueai.com.
CCPA (California)
May karapatan ang mga residente ng California na malaman, burahin, at tumanggi sa data sale. Hindi kami nagbebenta ng personal data. Ipadala ang CCPA requests sa parehong address ng GDPR.
Data retention
Ano ang itinatago namin, gaano katagal
- Account data: itinatago habang aktibo ang account mo.
- Interview transcripts: itinatago hanggang burahin mo ang record. Per-record deletion available sa /dashboard/records.
- Audio waveforms: hindi kailanman pinapanatili.
- Account deletion: lahat ng personal data ay binubura sa loob ng 30 araw. Anonymized aggregate stats (hal. kabuuang interviews) itinatago nang walang katiyakan.
- Telemetry events: itinatago ng 90 araw bilang default (configurable sa admin), tapos awtomatikong nililinis ng daily cron.
Responsableng disclosure
May nahanap na vulnerability?
I-email ang contact@subcueai.com na may subject line [SECURITY]. Nangangako kami na:
- Kumpirmahin ang resibo sa loob ng 48 oras.
- Magbigay ng triage update sa loob ng 5 business days.
- Sundin ang 90-araw na responsableng disclosure timeline bago ang pampublikong diskusyon.
- Kilalanin ang mga reporter nang publiko (may pahintulot) kapag naayos na ang isyu.
Wala sa saklaw: social engineering, physical attacks, atake sa third-party sub-processors.
May tanong tungkol sa page na ito? I-email ang contact@subcueai.com.
Tingnan din: Patakaran sa Privacy · Mga Tuntunin ng Serbisyo