Conformité & Sécurité
La conformité ATS fait référence aux exigences légales, réglementaires et de sécurité que les systèmes de suivi des candidatures doivent respecter lors de la collecte, du traitement et du stockage des données personnelles des candidats. En 2026, cela inclut les droits des sujets de données RGPD, les périodes de conservation configurables, les exigences de transparence de la loi européenne sur l'IA pour le filtrage basé sur l'IA, et la sécurité de l'infrastructure. Tout ATS qui gère des données de candidats est soumis à ces obligations.
RGPD
Exigences RGPD pour Logiciels de Recrutement
Base Légale pour Traitement
Ce que le RGPD exigeVous avez besoin d'une base légale pour traiter les données personnelles des candidats. Pour les candidats actifs, il s'agit généralement de « l'intérêt légitime », car vous avez un besoin légitime d'évaluer les candidats pour un poste ouvert. Pour les bassins de talents ou les candidatures spéculatives, vous avez besoin d'un consentement explicite.
Ce que cela signifie pour votre ATSVotre ATS doit clairement faire la distinction entre candidats actifs (intérêt légitime) et candidats du bassin de talents (basé sur le consentement). Les enregistrements de consentement doivent être stockés et audités. Curriculo ATS gère cela par le biais d'un traitement basé sur des pipelines, les candidats des pipelines d'emploi actifs sont traités sous l'intérêt légitime, tandis que les ajouts dans le bassin de talents nécessitent un consentement documenté.
Droit à l'Effacement
Ce que le RGPD exigeLes candidats ont le droit de demander la suppression de leurs données personnelles à tout moment. Vous devez traiter ces demandes « sans délai excessif », généralement dans les 30 jours.
Ce que cela signifie pour votre ATSVotre ATS a besoin d'un mécanisme pour trouver toutes les données associées à un candidat (candidatures, notes, données de notation, historique de communication) et de les supprimer complètement. Cela est plus difficile qu'il n'y paraît si les données des candidats sont éparpillées à travers des intégrations, des fils de courriels, et des feuilles de calcul exportées.
Demandes d'Accès aux Sujets de Données (DSAR)
Ce que le RGPD exigeLes candidats peuvent demander une copie de toutes les données personnelles que vous détenez les concernant, les finalités de leur traitement, et avec qui elles ont été partagées. Délai de réponse : 30 jours.
Ce que cela signifie pour votre ATSVotre ATS doit prendre en charge l'exportation de données pour des candidats individuels, pas seulement des exports en masse de CSV, mais des packages de données spécifiques aux candidats. Cela inclut les données de candidature, les résultats de notation, les notes des examinateurs, et toute sortie de prise de décision automatisée.
Conservation
Périodes de Conservation des Données
| Statut du Candidat | Conservation Recommandée | Justification |
|---|---|---|
| Candidats rejetés | 6 mois | Couvre les périodes de dépôt de réclamations pour discrimination dans la plupart des juridictions |
| Bassin de talents (avec consentement) | 12 mois | Le consentement doit être rafraîchi chaque année ; les profils obsolètes perdent leur pertinence |
| Employés embauchés | Durée de l'emploi + 7 ans | Exigences légales de travail, dossiers fiscaux et de responsabilité légale |
| Candidatures retirées | 30 jours | Conservation minimale pour la traçabilité ; le candidat a retiré son intérêt |
| Notes d'entretien | Identique au dossier du candidat | Les notes sont des données personnelles concernant le candidat ; les mêmes règles s'appliquent |
Ce sont des lignes directrices, pas des exigences légales, les périodes de conservation varient selon la juridiction. Le principe clé est la minimisation des données : ne conservez pas les données des candidats plus longtemps que nécessaire pour la finalité pour laquelle elles ont été collectées. Votre ATS devrait faciliter la configuration de ces périodes et automatiser la suppression lorsqu'elles expirent.
Loi européenne sur l'IA
L'IA dans le Recrutement est à Haut Risque
Ce que la loi européenne sur l'IA signifie pour les plateformes ATS
La loi européenne sur l'IA, entrée en vigueur en 2024 avec des délais de conformité échelonnés jusqu'en 2026, classe les systèmes d'IA utilisés pour « le recrutement et la sélection de personnes physiques » comme à haut risque. Cela s'applique à tout ATS qui utilise l'IA pour le filtrage de candidats, la notation ou le classement.
La classification à haut risque signifie que le système d'IA doit fournir de la transparence sur la façon dont les décisions sont prises, soutenir la supervision humaine (les humains doivent pouvoir examiner et contourner les décisions de l'IA), maintenir des normes de qualité des données, et mettre en œuvre un suivi et une atténuation des biais.
Curriculo ATS répond à ces exigences grâce à son approche de notation basée sur les signaux. Chaque Score d'Impact d'un candidat montre les facteurs qui ont contribué au score. Les responsables du recrutement examinent toujours les recommandations de l'IA avant de prendre des décisions, le système classe et recommande, mais des humains décident.
Sécurité
Sécurité de l'Infrastructure
- Chiffrement au repos, Les jetons de boîte aux lettres et de calendrier connectés sont chiffrés avec AES-256-GCM.
- Chiffrement en transit, TLS 1.3 pour toutes les transmissions de données entre navigateurs, API et services backend. Aucune donnée non chiffrée ne quitte jamais la plateforme.
- Contrôles d'accès basés sur les rôles, configurez qui peut visualiser, modifier et supprimer les données des candidats. Les responsables du recrutement ne voient que leurs rôles. Les administrateurs gèrent les politiques d'accès.
- Infrastructure hébergée sur AWS, Curriculo ATS est hébergé sur Amazon Web Services. Des revues de sécurité et des tests de pénétration sont effectués régulièrement.
- Aucune vente de données, Curriculo ATS ne vend, ne partage ni ne monétise les données des candidats avec des tiers. Les données des candidats sont utilisées exclusivement pour faciliter le processus de recrutement pour l'employeur qui les a collectées.
Liste de Contrôle des Fournisseurs
Que Demander à Votre Fournisseur ATS
- Où les données des candidats sont-elles stockées ?, la juridiction est importante pour le RGPD. Les données stockées dans l'UE ont des règles différentes de celles stockées aux États-Unis. Demandez où les données des candidats sont stockées.
- Que se passe-t-il avec mes données si j'annule?, les bons fournisseurs exportent vos données et les détruisent dans un délai de 30 à 90 jours. Les mauvais les conservent indéfiniment ou facturent des frais d'exportation.
- Vendez-vous ou partagez-vous les données des candidats?, certaines plateformes ATS monétisent les données des candidats via des sites d'emploi ou des réseaux publicitaires. Lisez attentivement la politique de confidentialité.
- Comment gérez-vous les demandes des personnes concernées?, demandez une démonstration de leur flux de travail DSAR. Si cela nécessite d'envoyer un email au support, c'est un signal d'alarme.
- Quel est votre processus de notification en cas de violation?, le RGPD exige une notification dans les 72 heures. Demandez à quoi ressemble le calendrier interne du fournisseur.
- Comment votre screening AI gère-t-il les biais?, s'ils ne peuvent pas expliquer comment leur AI évite les résultats discriminatoires, ils n'ont probablement pas réfléchi à la question. Lisez le Guide de l'acheteur ATS et nos questions à poser à votre fournisseur ATS pour une liste complète d'évaluation du fournisseur.
FAQ
Questions de conformité
Comment Curriculo ATS aborde-t-il le RGPD?
Curriculo ATS est construit avec l'alignement au RGPD comme principe de conception fondamental. Cela inclut une base légale pour le traitement (intérêt légitime pour les candidats actifs, consentement pour les viviers de talents), des périodes de conservation des données configurables, des workflows de suppression automatisés et un soutien DSAR. Nous traitons les données des candidats pour faciliter le recrutement, pas pour les vendre.
Combien de temps Curriculo ATS conserve-t-il les données des candidats?
Les périodes de conservation par défaut suivent les meilleures pratiques réglementaires : les candidats rejetés sont conservés pendant 6 mois (pour les audits de conformité), les candidats des viviers de talents pendant 12 mois (avec consentement), et les dossiers des candidats embauchés pendant 7 ans (exigences en matière de droit du travail). Toutes les périodes de conservation sont configurables par l'employeur.
La loi sur l'IA de l'UE affecte-t-elle les systèmes ATS?
Oui. La loi sur l'IA de l'UE classe les systèmes d'IA utilisés dans l'emploi et le recrutement comme étant à haut risque. Cela signifie que les plateformes ATS utilisant l'IA pour le screening des candidats doivent répondre à des exigences en matière de transparence, de supervision humaine, de qualité des données et de surveillance des biais. Curriculo ATS fournit une transparence sur les critères de notation et soutient l'examen humain pour toutes les décisions d'IA.
Comment Curriculo ATS sécurise-t-il les données des candidats?
Curriculo ATS chiffre les données au repos (AES-256) et en transit (TLS 1.3), utilise des autorisations basées sur les rôles par équipe et poste, et réalise des examens de sécurité réguliers. Les données sont hébergées sur AWS.
Les candidats peuvent-ils demander la suppression de leurs données?
Oui. En vertu du RGPD et de règlements similaires, les candidats ont le droit de demander l'effacement de leurs données personnelles. Curriculo ATS prend en charge les demandes d'accès des personnes concernées (DSAR) et fournit des outils aux employeurs pour traiter les demandes de suppression dans les délais requis.
Que devrais-je demander à un fournisseur ATS sur la sécurité?
Les questions clés incluent : Où les données des candidats sont-elles stockées et dans quelle juridiction? Quels standards de chiffrement sont utilisés? Comment les périodes de conservation des données sont-elles configurées? Que se passe-t-il avec les données lorsque j'annule? Vendez-vous ou partagez-vous les données des candidats? Quel est votre processus de notification en cas de violation? Les candidats peuvent-ils exercer leurs droits RGPD via la plateforme?