GDPRとATSセキュリティ、チェックポイント | Curriculo

コンプライアンスとセキュリティ

ATSコンプライアンスとは、応募者追跡システムが候補者の個人データを収集、処理、保存する際に満たすべき法的、規制、セキュリティ要件を指します。2026年には、GDPRデータ主体の権利、構成可能な保持期間、AI駆動のスクリーニングに関するEU AI法の透明性要件、およびインフラストラクチャのセキュリティが含まれます。候補者データを取り扱うATSは、これらの義務の対象となります。

GDPR

採用ソフトウェアのためのGDPR要件

処理の法的根拠

候補者の個人データを処理するためには法的根拠が必要です。アクティブな求職者の場合、これは通常「正当な利益」であり、オープンな役割のために候補者を評価する正当な必要があります。タレントプールや投機的な応募の場合、明示的な同意が必要です。

あなたのATSは、アクティブな候補者（正当な利益）とタレントプール候補者（同意ベース）の違いを明確に示す必要があります。同意記録は保存され、監査可能である必要があります。Curriculo ATSは、パイプラインベースの処理を通じてこれを処理します。アクティブな求職パイプライン内の候補者は正当な利益の下で処理され、タレントプールの追加には文書による同意が必要です。

消去の権利

候補者は、自分の個人データの削除をいつでも要求する権利を持っています。これらの要求を「不当な遅延なしに」処理しなければなりません。通常、30日以内に処理します。

あなたのATSは、候補者に関連するすべてのデータ（応募、メモ、スコアデータ、通信履歴）を見つけて完全に削除するメカニズムが必要です。候補者データが統合、メールスレッド、およびエクスポートされたスプレッドシートの間に散在している場合、これは思っているよりも難しいです。

データ主体アクセスリクエスト（DSAR）

候補者は、自分に関するすべての個人データのコピー、処理の目的、誰と共有されているかを要求できます。回答期限：30日。

あなたのATSは、個々の候補者のデータエクスポートをサポートする必要があります。単にバルクCSVダンプだけでなく、候補者特有のデータパッケージも必要です。これには、応募データ、スコア結果、レビュアーからのメモ、および自動化された意思決定のアウトプットが含まれます。

保持

データ保持期間

これらはガイドラインであり、法的要件ではありません。保持期間は法域によって異なります。重要な原則はデータの最小化です：収集された目的に必要な期間を超えて候補者データを保持しないでください。あなたのATSは、これらの期間を簡単に構成し、期限が切れたときに削除を自動化する必要があります。

EU AI法

採用におけるAIは高リスク

EU AI法がATSプラットフォームに与える意味

2024年に施行され、2026年までに段階的なコンプライアンス期限があるEU AI法は、「自然人の採用と選定」に使用されるAIシステムを高リスクとして分類します。これは、候補者のスクリーニング、スコアリング、またはランキングにAIを使用するATSに適用されます。

高リスクの分類は、AIシステムがどのように意思決定を行うかの透明性を提供し、人間の監視をサポートし（人間はAIの決定をレビューし、オーバーライドできる必要があります）、データ品質基準を維持し、バイアスの監視と緩和を実施する必要があることを意味します。

Curriculo ATSは、そのシグナルベースのスコアリングアプローチを通じてこれらの要件を満たしています。各候補者のインパクトスコアは、そのスコアに寄与する要因を示します。採用担当者は常に、行動を起こす前にAIの推奨をレビューします。システムはランク付けと推奨を行いますが、人間が決定します。

セキュリティ

インフラストラクチャのセキュリティ

• 静止中の暗号化：接続されたメールボックスとカレンダーのトークンはAES-256-GCMで暗号化されています。
• トランジット中の暗号化：すべてのデータ通信はTLS 1.3を使用してブラウザ、API、およびバックエンドサービス間で行われます。未暗号化のデータはプラットフォームから決して離れません。
• 役割ベースのアクセス制御：候補者データを表示、編集、削除できる人を構成します。採用担当者は自分の役割だけを確認します。管理者がアクセスポリシーを管理します。
• AWSホスティングインフラストラクチャ：Curriculo ATSはAmazon Web Services上でホスティングされています。セキュリティレビューと侵入テストが定期的に行われています。
• データ販売なし：Curriculo ATSは、候補者データを第三者に販売、共有、またはマネタイズすることはありません。候補者データは、収集した雇用主のために採用プロセスを円滑にするためのみに使用されます。

ベンダーチェックリスト

あなたのATSベンダーに聞くべきこと

• 候補者データはどこに保存されていますか？ GDPRにとって法域は重要です。EUに保存されたデータには、米国に保存されたデータとは異なるルールがあります。候補者データがどこに保存されているかを確認してください。
• キャンセルした場合、私のデータはどうなりますか？ 信頼できるベンダーはデータをエクスポートし、30〜90日以内に削除します。悪いベンダーは無期限に保持するか、エクスポート料金を課金します。
• 候補者データを販売または共有しますか？ 一部のATSプラットフォームは、求人ボードや広告ネットワークを通じて候補者データを収益化します。プライバシーポリシーを注意深くお読みください。
• データ主体のリクエストにはどのように対応しますか？ 彼らのDSARワークフローのデモを依頼してください。サポートにメールすることが含まれる場合、それは警告信号です。
• 侵害通知プロセスはどのようになっていますか？ GDPRでは72時間以内の通知が要求されています。ベンダーの内部タイムラインがどのようになっているか尋ねてください。
• AIスクリーニングは偏見をどのように扱いますか？ 彼らがAIが差別的な結果を回避する方法を説明できない場合、恐らくそのことについて考えたことがありません。完全なベンダー評価チェックリストについては、ATS購入者ガイドとATSベンダーに尋ねるべき質問をお読みください。