Cumplimiento y seguridad
El cumplimiento de ATS se refiere a los requisitos legales, reglamentarios y de seguridad que los sistemas de seguimiento de los solicitantes deben cumplir al recopilar, procesar y almacenar los datos personales de los candidatos. En 2026, esto incluye los derechos de los sujetos de datos de GDPR, los límites de retención, los requisitos de transparencia de la Ley EU AI para el control basado en AI y la seguridad de la infraestructura. Cualquier ATS que maneje datos de candidatos está sujeto a estas obligaciones.
GDPR
GDPR Requisitos para el software de contratación
Base legal para el procesamiento de
Qué requiere GDPRNecesitas una base legal para procesar los datos personales de los candidatos. Para los solicitantes de empleo activos, esto suele ser un interés legítimo, tiene una necesidad legítima de evaluar a los candidatos para un puesto abierto. Para los grupos de talentos o las aplicaciones especulativas, necesita un consentimiento explícito.
Lo que esto significa para su ATSSu ATS debe distinguir claramente entre los candidatos activos de (interés legítimo) y los candidatos del grupo de talentos (basados en el consentimiento) de. Los registros de consentimiento deben almacenarse y ser auditables. Curriculo ATS maneja esto a través del procesamiento basado en tuberías, los candidatos en tuberías de trabajo activas se procesan bajo interés legítimo, mientras que las adiciones al grupo de talentos requieren consentimiento documentado.
Derecho a la eliminación de
Qué requiere GDPRLos candidatos tienen derecho a solicitar en cualquier momento la eliminación de sus datos personales. Debe tramitar estas solicitudes sin demora indebida, normalmente dentro de los 30 días.
Lo que esto significa para su ATSSu ATS necesita un mecanismo para encontrar todos los datos asociados con un candidato (aplicaciones, notas, datos de puntuación, historial de comunicación) y eliminarlos por completo. Esto es más difícil de lo que parece si los datos de los candidatos están dispersos a través de integraciones, hilos de correo electrónico y hojas de cálculo exportadas.
Las solicitudes de acceso a los datos del interesado (DSAR)
Qué requiere GDPRLos candidatos pueden solicitar una copia de todos los datos personales que posea sobre ellos, los fines del tratamiento y con quién se han compartido. Termino de respuesta: 30 días.
Lo que esto significa para su ATSSu ATS debe apoyar la exportación de datos para candidatos individuales, no solo descargas masivas de CSV, sino paquetes de datos específicos de candidatos. Esto incluye los datos de las aplicaciones, los resultados de calificación, las notas de los revisores y los resultados de toma de decisiones automatizados.
Retención
Periodos de retención de datos
| Estatus del candidato | Retención recomendada | Racionalización |
|---|---|---|
| Los candidatos rechazados | 6 meses | Cubre los períodos de presentación de reclamaciones de discriminación en la mayoría de las jurisdicciones |
| Grupo de talentos (con consentimiento) | 12 meses | El consentimiento debe actualizarse anualmente; los perfiles obsoletos pierden relevancia |
| Trabajadores contratados | Duración del empleo + 7 años | Derecho del empleo, registros fiscales y requisitos de responsabilidad legal |
| Solicitudes retiradas | 30 días | Retención mínima para el seguimiento de auditorías; el candidato retiró intereses |
| Notas de la entrevista | Lo mismo que el historial de los candidatos | Las notas son datos personales sobre el candidato; se aplican las mismas reglas |
Estas son directrices, no requisitos legales, los plazos de retención varían según la jurisdicción. El principio clave es la minimización de los datos: no conservar los datos de los candidatos más tiempo de lo necesario para el propósito con el que fueron recogidos.
Acta EU AI
AI en la contratación es de alto riesgo
Qué significa la Ley EU AI para las plataformas ATS
La Ley EU AI, que entró en vigor en 2024 con plazos de cumplimiento gradual hasta 2026, clasifica los sistemas AI utilizados para el reclutamiento y selección de personas físicas como de alto riesgo. Esto se aplica a cualquier ATS que utilice AI para la selección, calificación o clasificación de candidatos.
La clasificación de alto riesgo significa que el sistema AI debe proporcionar transparencia en la forma en que se toman las decisiones, apoyar la supervisión humana (los humanos deben poder revisar y anular las decisiones de AI), mantener estándares de calidad de los datos e implementar el monitoreo y la mitigación de sesgos.
La puntuación basada en señales en Curriculo ATS muestra los factores que contribuyeron al puntaje de impacto de cada candidato. Los gerentes de contratación revisan siempre las recomendaciones de AI antes de tomar medidas, el sistema clasifica y recomienda, pero los humanos deciden.
Seguridad
Seguridad de la infraestructura
- Encriptación en reposo, las cajas de correo conectadas y los tokens de calendario están encriptados con AES-256-GCM.
- Encriptación en tránsito, TLS 1.2+ con TLS 1.3 para toda la transmisión de datos entre navegadores, API y servicios de backend.
- Controles de acceso basados en funciones, configurar quién puede ver y editar los datos de los candidatos. Los gerentes de contratación sólo ven sus roles. Los administradores gestionan las políticas de acceso.
- Infraestructura alojada en AWS, Curriculo ATS se aloja en Amazon Web Services.
- No hay datos que vendan, Curriculo ATS no vende, comparte o monetiza los datos de candidatos con terceros. Los datos de los candidatos se utilizan exclusivamente para facilitar el proceso de contratación del empleador que los recogió.
Lista de verificación del proveedor
Qué preguntar a su vendedor ATS
- ¿Dónde se almacenan los datos de los candidatos?, asuntos de jurisdicción para GDPR. Los datos almacenados en el EU tienen reglas diferentes a los datos almacenados en el US. Pregunte dónde se almacenan los datos de los candidatos.
- ¿Qué pasará con mis datos si cancelo?, buenos proveedores exportan sus datos y los borran dentro de 30 a 90 días. Los malos lo tienen indefinidamente o cobran tarifas de exportación.
- ¿Vendes o comparte datos de candidatos?, algunas plataformas ATS monetizan los datos de los candidatos a través de tablas de trabajo o redes publicitarias. Lea cuidadosamente la política de privacidad.
- ¿Cómo manejas las solicitudes de los sujetos de datos?, pide una demostración de su flujo de trabajo DSAR. Si se trata de enviar apoyo por correo electrónico, eso es una bandera roja.
- ¿Cuál es su proceso de notificación de infracción?, GDPR requiere notificación dentro de las 72 horas. Pregunte cómo se ve la línea de tiempo interna del proveedor.
- ¿Cómo maneja su AI el sesgo?, si no pueden explicar cómo su AI evita resultados discriminatorios, probablemente no han pensado en ello. Lea la Guía de compradores ATS y nuestras preguntas para pedirle a su proveedor ATS una lista de verificación completa de la evaluación del proveedor.
FAQ
Cuestiones de cumplimiento
¿Cómo se aproxima Curriculo ATS a GDPR?
Curriculo ATS se construye con la alineación de GDPR como principio de diseño principal. Esto incluye la base legal para el tratamiento (interés legítimo para los candidatos activos, consentimiento para grupos de talentos). Tratamos los datos de los candidatos para facilitar la contratación, no para venderlos.
¿Qué pasa con los correos electrónicos almacenados cuando desconecto Gmail?
Desconectando Gmail en Curriculo ATS se eliminan los cuerpos de correo electrónico almacenados, y los solicitantes se mantienen.
¿La Ley EU AI afecta a los sistemas ATS?
- Sí, es cierto. La Ley EU AI clasifica los sistemas AI utilizados en el empleo y el reclutamiento como de alto riesgo. Esto significa que las plataformas ATS que utilizan AI para la detección de candidatos deben cumplir con los requisitos relacionados con la transparencia, la supervisión humana, la calidad de los datos y el monitoreo de sesgos. Curriculo ATS muestra los factores detrás de cada puntuación de impacto de los candidatos, y los gerentes de contratación revisan las recomendaciones de AI antes de actuar.
¿Cómo asegura Curriculo ATS los datos de los candidatos?
Las cajas de correo conectadas y los tokens de calendario están cifrados con AES-256-GCM, los datos en tránsito están protegidos con TLS 1.2+ con TLS 1.3, y el control de permisos basados en funciones que pueden ver y editar los datos de los candidatos por equipo y trabajo. Los datos están alojados en AWS.
¿Pueden los candidatos solicitar la eliminación de sus datos?
- Sí, es cierto. En virtud de GDPR y de regulaciones similares, los candidatos tienen derecho a solicitar el borrado de sus datos personales, y los empleadores deben responder sin demora indebida, por lo general dentro de los 30 días.
¿Qué debo preguntar a un vendedor de ATS sobre seguridad?
Las preguntas clave son: ¿Dónde se almacenan los datos de los candidatos y en qué jurisdicción? ¿Qué estándares de cifrado se utilizan? ¿Cómo se configuran los períodos de retención de datos? ¿Qué pasa con los datos cuando cancele? ¿Vendes o comparte datos de candidatos? ¿Cuál es su proceso de notificación de infracción? ¿Pueden los candidatos ejercer sus derechos GDPR a través de la plataforma?