Cumplimiento y Seguridad
El cumplimiento de ATS se refiere a los requisitos legales, regulatorios y de seguridad que los sistemas de seguimiento de solicitantes deben cumplir al recopilar, procesar y almacenar datos personales de los candidatos. En 2026, esto incluye los derechos de los sujetos de datos del GDPR, períodos de retención configurables, requisitos de transparencia de la Ley de IA de la UE para la selección impulsada por IA y seguridad de infraestructura. Cualquier ATS que maneje datos de candidatos está sujeto a estas obligaciones.
GDPR
Requisitos del GDPR para Software de Contratación
Base Legal para Procesar
Lo que requiere el GDPRNecesita una base legal para procesar los datos personales de los candidatos. Para los solicitantes de empleo activos, esto es típicamente "interés legítimo", tiene una necesidad legítima de evaluar a los candidatos para un puesto abierto. Para grupos de talento o aplicaciones especulativas, necesita consentimiento explícito.
Lo que esto significa para su ATSSu ATS debe distinguir claramente entre candidatos activos (interés legítimo) y candidatos de grupo de talento (basados en consentimiento). Los registros de consentimiento deben ser almacenados y auditable. Curriculo ATS maneja esto a través de un procesamiento basado en canales, los candidatos en canales de trabajo activos se procesan bajo interés legítimo, mientras que las adiciones de grupo de talento requieren consentimiento documentado.
Derecho a la Supresión
Lo que requiere el GDPRLos candidatos tienen el derecho de solicitar la eliminación de sus datos personales en cualquier momento. Debe procesar estas solicitudes "sin demora indebida", típicamente dentro de los 30 días.
Lo que esto significa para su ATSSu ATS necesita un mecanismo para encontrar todos los datos asociados con un candidato (solicitudes, notas, datos de puntuación, historial de comunicación) y eliminarlos por completo. Esto es más difícil de lo que parece si los datos del candidato están dispersos entre integraciones, hilos de correo electrónico y hojas de cálculo exportadas.
Solicitudes de Acceso de Sujetos de Datos (DSAR)
Lo que requiere el GDPRLos candidatos pueden solicitar una copia de todos los datos personales que tiene sobre ellos, los propósitos del procesamiento y con quién ha sido compartido. Plazo de respuesta: 30 días.
Lo que esto significa para su ATSSu ATS debe admitir la exportación de datos para candidatos individuales, no solo descargas masivas de CSV, sino paquetes de datos específicos del candidato. Esto incluye datos de solicitud, resultados de puntuación, notas de revisores y cualquier salida de toma de decisiones automatizada.
Retención
Períodos de Retención de Datos Datos
| Estado del Candidato | Retención Recomendada | Razonamiento |
|---|---|---|
| Candidatos rechazados | 6 meses | Cubre períodos de presentación de reclamaciones por discriminación en la mayoría de las jurisdicciones |
| Grupo de talento (con consentimiento) | 12 meses | El consentimiento debe renovarse anualmente; los perfiles obsoletos pierden relevancia |
| Empleados contratados | Duración del empleo + 7 años | Requisitos de leyes laborales, registros fiscales y responsabilidad legal |
| Solicitudes retiradas | 30 días | Retención mínima para la auditoría; el candidato retiró su interés |
| Notas de entrevistas | Igual que el registro del candidato | Las notas son datos personales sobre el candidato; se aplican las mismas reglas |
Estas son pautas, no requisitos legales, los períodos de retención varían según la jurisdicción. El principio clave es la minimización de datos: no conserve los datos del candidato más tiempo del necesario para el propósito para el que fueron recopilados. Su ATS debería facilitar la configuración de estos períodos y automatizar la eliminación cuando expiren.
Ley de IA de la UE
La IA en la Contratación es de Alto Riesgo
Lo que la Ley de IA de la UE significa para las Plataformas ATS
La Ley de IA de la UE, que entró en vigor en 2024 con plazos de cumplimiento escalonados hasta 2026, clasifica los sistemas de IA utilizados para “reclutamiento y selección de personas naturales” como de alto riesgo. Esto se aplica a cualquier ATS que utilice IA para la selección, puntuación o clasificación de candidatos.
La clasificación de alto riesgo significa que el sistema de IA debe proporcionar transparencia sobre cómo se toman las decisiones, apoyar la supervisión humana (los humanos deben poder revisar y anular decisiones de IA), mantener estándares de calidad de datos e implementar monitoreo y mitigación de sesgos.
Curriculo ATS cumple con estos requisitos a través de su enfoque de puntuación basado en señales. El Puntaje de Impacto de cada candidato muestra los factores que contribuyeron a la puntuación. Los gerentes de contratación siempre revisan las recomendaciones de IA antes de tomar medidas, el sistema clasifica y recomienda, pero los humanos deciden.
Seguridad
Seguridad de la Infraestructura
- Encriptación en reposo, Los tokens de buzón y calendario conectados están encriptados con AES-256-GCM.
- Encriptación en tránsito, TLS 1.3 para toda transmisión de datos entre navegadores, API y servicios backend. Ningún dato sin encriptar sale nunca de la plataforma.
- Controles de acceso basados en roles, configure quién puede ver, editar y eliminar datos de candidatos. Los gerentes de contratación ven solo los roles que les corresponden. Los administradores gestionan las políticas de acceso.
- Infraestructura alojada en AWS, Curriculo ATS está alojado en Amazon Web Services. Se realizan revisiones de seguridad y pruebas de penetración regularmente.
- No venta de datos, Curriculo ATS no vende, comparte ni monetiza los datos de los candidatos con terceros. Los datos de los candidatos se utilizan exclusivamente para facilitar el proceso de contratación para el empleador que los recopiló.
Lista de Verificación del Proveedor
Qué Preguntar a Su Proveedor de ATS
- ¿Dónde se almacenan los datos de los candidatos?, la jurisdicción es importante para el GDPR. Los datos almacenados en la UE tienen reglas diferentes a los datos almacenados en EE. UU. Pregunte dónde se almacenan los datos de los candidatos.
- ¿Qué pasa con mis datos si cancelo?, los buenos proveedores exportan tus datos y los eliminan en un plazo de 30-90 días. Los malos los retienen indefinidamente o cobran tarifas de exportación.
- ¿Venden o comparten datos de candidatos?, algunas plataformas ATS monetizan los datos de los candidatos a través de bolsas de trabajo o redes publicitarias. Lee la política de privacidad cuidadosamente.
- ¿Cómo manejan las solicitudes de los sujetos de datos?, pide una demostración de su flujo de trabajo DSAR. Si implica enviar un correo al soporte, es una señal de alerta.
- ¿Cuál es su proceso de notificación de violaciones?, el GDPR exige notificación en un plazo de 72 horas. Pregunta cómo es el cronograma interno del proveedor.
- ¿Cómo maneja su selección AI el sesgo?, si no pueden explicar cómo su IA evita resultados discriminatorios, probablemente no lo han considerado. Lee la Guía del Comprador de ATS y nuestras preguntas para hacer a tu proveedor de ATS para tener una lista completa de evaluación del proveedor.
Preguntas Frecuentes
Preguntas de Cumplimiento
¿Cómo aborda Curriculo ATS el GDPR?
Curriculo ATS está construido con la alineación al GDPR como un principio de diseño fundamental. Esto incluye una base legal para el procesamiento (interés legítimo para candidatos activos, consentimiento para grupos de talento), períodos de retención de datos configurables, flujos de trabajo de eliminación automática y soporte DSAR. Procesamos los datos de los candidatos para facilitar la contratación, no para venderlos.
¿Cuánto tiempo retiene Curriculo ATS los datos de los candidatos?
Los períodos de retención predeterminados siguen las mejores prácticas regulatorias: los candidatos rechazados se retienen durante 6 meses (para auditorías de cumplimiento), los candidatos de grupos de talento durante 12 meses (con consentimiento) y los registros de candidatos contratados durante 7 años (requisitos de ley laboral). Todos los períodos de retención son configurables por el empleador.
¿La Ley de IA de la UE afecta a los sistemas ATS?
Sí. La Ley de IA de la UE clasifica los sistemas de IA utilizados en el empleo y la contratación como de alto riesgo. Esto significa que las plataformas ATS que utilizan IA para la selección de candidatos deben cumplir con requisitos de transparencia, supervisión humana, calidad de datos y monitoreo de sesgos. Curriculo ATS proporciona transparencia en los criterios de puntuación y apoya la revisión humana en todas las decisiones de IA.
¿Cómo asegura Curriculo ATS los datos de los candidatos?
Curriculo ATS encripta datos en reposo (AES-256) y en tránsito (TLS 1.3), utiliza permisos basados en roles por equipo y trabajo, y realiza revisiones regulares de seguridad. Los datos se alojan en AWS.
¿Pueden los candidatos solicitar la eliminación de sus datos?
Sí. Bajo el GDPR y regulaciones similares, los candidatos tienen derecho a solicitar la eliminación de sus datos personales. Curriculo ATS apoya las solicitudes de acceso de los sujetos de datos (DSAR) y proporciona herramientas para que los empleadores procesen las solicitudes de eliminación dentro de los plazos requeridos.
¿Qué debería preguntar a un proveedor de ATS sobre seguridad?
Las preguntas clave incluyen: ¿Dónde se almacenan los datos de los candidatos y en qué jurisdicción? ¿Qué estándares de encriptación se usan? ¿Cómo se configuran los períodos de retención de datos? ¿Qué pasa con los datos cuando cancelo? ¿Venden o comparten datos de candidatos? ¿Cuál es su proceso de notificación de violaciones? ¿Pueden los candidatos ejercer sus derechos bajo el GDPR a través de la plataforma?