Conformité et sécurité
La conformité ATS fait référence aux exigences légales, réglementaires et de sécurité que les systèmes de suivi des candidats doivent respecter lors de la collecte, du traitement et du stockage des données personnelles des candidats. En 2026, cela inclut les droits des personnes concernées par les données GDPR, les limites de conservation, les exigences de transparence de la loi EU AI pour le filtrage à puissance AI et la sécurité de l'infrastructure. Tous les ATS qui traitent les données des candidats sont soumis à ces obligations.
GDPR
Exigences de GDPR pour le logiciel d'embauche
Base légale du traitement
Qu'est-ce que GDPR nécessiteVous avez besoin d'une base légale pour traiter les données personnelles des candidats. Pour les postulants actifs, c'est typiquement -'intérêt légitime , vous avez un besoin légitime d'évaluer les candidats pour un rôle ouvert. Pour les pools de talents ou les applications spéculatives, vous avez besoin d'un consentement explicite.
Ce que cela signifie pour votre ATSVotre ATS devrait clairement faire la distinction entre les candidats actifs (intérêt légitime) et les candidats de groupe de talents (fondés sur le consentement). Les dossiers de consentement doivent être entreposés et vérifiés. Curriculo ATS s'occupe de cette question au moyen d'un traitement par pipeline, les candidats en attente d'emploi sont traités dans le cadre d'un intérêt légitime, tandis que les ajouts à un bassin de talents nécessitent un consentement documenté.
Droit à l'effacement
Ce qu'exige GDPRLes candidats ont le droit de demander la suppression de leurs données personnelles à tout moment. Vous devez traiter ces demandes sans retard excessif, généralement dans les 30 jours.
Ce que cela signifie pour votre ATSVotre ATS a besoin d'un mécanisme pour trouver toutes les données associées à un candidat (applications, notes, notation des données, historique de communication) et les supprimer complètement. C'est plus difficile que si les données des candidats sont dispersées dans les intégrations, les threads de courriel et les tableurs exportés.
Demandes d'accès des personnes concernées (DSAR)
Ce qu'exige GDPRLes candidats peuvent demander une copie de toutes les données personnelles que vous possédez à leur sujet, les finalités du traitement et avec qui elles ont été partagées. Délai de réponse : 30 jours.
Ce que cela signifie pour votre ATSVotre ATS devrait supporter l'exportation de données pour les candidats individuels, non seulement les dumps CSV en vrac, mais les paquets de données spécifiques aux candidats. Cela comprend les données sur les demandes, les résultats de la notation, les notes des évaluateurs et les extrants automatisés de la prise de décisions.
Conservation
Conservation des données Périodes
| Statut de candidat | Conservation recommandée | Justification |
|---|---|---|
| Candidats rejetés | 6 mois | Couvre les périodes de dépôt des demandes de discrimination dans la plupart des juridictions |
| Pool de talents (avec consentement) | 12 mois | Le consentement doit être renouvelé chaque année; les profils inexistants perdent de leur pertinence. |
| Employés embauchés | Durée de l'emploi + 7 ans | Droit de l'emploi, documents fiscaux et obligations légales en matière de responsabilité |
| Demandes retirées | 30 jours | Conservation minimale pour la piste de vérification; le candidat a retiré son intérêt |
| Notes d'entretien | Même chose que le dossier du candidat | Les notes sont des données personnelles sur le candidat; les mêmes règles s'appliquent |
Il s'agit de lignes directrices, et non d'exigences légales, les périodes de conservation varient selon la juridiction. Le principe clé est la minimisation des données : ne gardez pas les données des candidats plus longtemps que nécessaire pour les fins qu'elles ont été recueillies.
EU Loi sur la AI
AI dans l'embauche est à risque élevé
Ce que signifie la loi EU AI pour les plateformes ATS
La loi EU AI, entrée en vigueur en 2024 avec des délais de conformité échelonnés jusqu'en 2026, classe les systèmes AI utilisés pour le recrutement et la sélection des personnes physiques comme étant à haut risque. Cela s'applique à tout ATS qui utilise AI pour la présélection, la notation ou le classement des candidats.
La classification à risque élevé signifie que le système AI doit assurer la transparence de la façon dont les décisions sont prises, appuyer la surveillance humaine (les humains doivent être en mesure d'examiner les décisions AI et d'y passer outre), maintenir les normes de qualité des données et mettre en oeuvre la surveillance et l'atténuation des biais.
La notation par signal dans Curriculo ATS montre les facteurs qui ont contribué à chaque résultat d'impact du candidat. Les gestionnaires d'embauche examinent toujours les recommandations de AI avant de prendre des mesures, le système se classe et recommande, mais les humains décident.
Sécurité
Sécurité des infrastructures
- Le chiffrement au repos, les jetons de boîte aux lettres et de calendrier connectés sont cryptés avec AES-256-GCM.
- Chiffrement en transit, TLS 1.2+ avec TLS 1.3 pour toutes les transmissions de données entre les navigateurs, les API et les services de backend.
- L'accès basé sur le rôle contrôle, configure qui peut afficher et modifier les données candidates. Les gestionnaires d'embauche ne voient que leur rôle. Les administrateurs gèrent les politiques d'accès.
- L'infrastructure hébergée par AWS, Curriculo ATS est hébergée sur Amazon Web Services.
- Aucune donnée ne vendant, Curriculo ATS ne vend, ne partage ou ne monétise des données candidates avec des tiers. Les données sur les candidats sont utilisées exclusivement pour faciliter le processus d'embauche de l'employeur qui les a recueillies.
Liste de contrôle des fournisseurs
Que demander à votre fournisseur ATS
- Où les données sur les candidats sont-elles stockées?, les questions de compétence pour GDPR. Les données stockées dans le EU ont des règles différentes de celles qui sont stockées dans le US. Demandez où les données du candidat sont stockées.
- Qu'arrive-t-il à mes données si j'annule?, de bons vendeurs exportent vos données et les suppriment dans les 30-90 jours. Les mauvais le détiennent indéfiniment ou facturent des frais d'exportation.
- Vendez-vous ou partagez-vous des données sur les candidats?, certaines plateformes ATS monétisent les données des candidats par le biais de conseils d'emploi ou de réseaux publicitaires. Lisez attentivement la politique de confidentialité.
- Comment traitez-vous les demandes des personnes concernées?, demandez une démo de leur workflow DSAR. S'il s'agit d'un support d'emailing, c'est un drapeau rouge.
- Quel est votre processus de notification d'infraction?, GDPR exige une notification dans les 72 heures. Demandez à quoi ressemble la timeline interne du fournisseur.
- Comment votre sélection AI gère-t-elle le biais?, s'ils ne peuvent pas expliquer comment leur AI évite des résultats discriminatoires, ils n'ont probablement pas pensé à cela. Consultez le guide d'achat ATS et nos questions pour demander à votre fournisseur ATS une liste de vérification complète de l'évaluation des fournisseurs.
FAQ
Conformité Questions
Comment Curriculo ATS approche-t-il GDPR?
Curriculo ATS est construit avec l'alignement GDPR comme un principe de conception de base. Cela comprend la base légale pour le traitement (intérêt légitime pour les candidats actifs, consentement pour les groupes de talents). Nous traitons les données des candidats pour faciliter l'embauche, et non pour les vendre.
Qu'arrive-t-il aux courriels stockés lorsque je déconnecte Gmail ?
La déconnexion de Gmail dans Curriculo ATS efface les corps de courriels stockés, et les candidats sont conservés.
La loi EU AI affecte-t-elle les systèmes ATS?
Oui. La loi EU AI classe les systèmes AI utilisés pour l'emploi et le recrutement comme des systèmes à haut risque. Cela signifie que les plateformes ATS utilisant AI pour la sélection des candidats doivent répondre aux exigences en matière de transparence, de surveillance humaine, de qualité des données et de surveillance des biais. Curriculo ATS montre les facteurs qui sous-tendent les notes d'impact de chaque candidat, et les gestionnaires d'embauche examinent les recommandations de AI avant d'agir.
Comment Curriculo ATS permet-il de sécuriser les données des candidats?
La boîte aux lettres connectée et les jetons de calendrier sont cryptés avec AES-256-GCM, les données en transit sont protégées avec TLS 1.2+ avec TLS 1.3, et les autorisations basées sur le rôle contrôlent qui peuvent consulter et modifier les données des candidats par équipe et par travail. Les données sont hébergées sur AWS.
Les candidats peuvent-ils demander la suppression de leurs données?
Oui. En vertu du GDPR et de règlements similaires, les candidats ont le droit de demander l'effacement de leurs données personnelles, et les employeurs devraient répondre sans retard excessif, généralement dans les 30 jours.
Que dois-je demander à un fournisseur ATS au sujet de la sécurité?
Les questions clés sont les suivantes : Où les données sur les candidats sont-elles stockées et dans quelle juridiction? Quelles normes de chiffrement sont utilisées? Comment les périodes de conservation des données sont-elles configurées? Qu'arrive-t-il aux données lorsque j'annule ? Vendez-vous ou partagez-vous des données sur les candidats? Quel est votre processus de notification d'infraction? Les candidats peuvent-ils exercer leurs droits GDPR par l'intermédiaire de la plateforme?