Conformidade & Segurança
A conformidade com o ATS refere-se aos requisitos legais, regulatórios e de segurança que os sistemas de rastreamento de candidatos devem atender ao coletar, processar e armazenar dados pessoais de candidatos. Em 2026, isso inclui direitos dos titulares de dados GDPR, períodos de retenção configuráveis, requisitos de transparência da Lei da IA da UE para triagem com inteligência artificial e segurança da infraestrutura. Qualquer ATS que manipula dados de candidatos está sujeito a essas obrigações.
GDPR
Requisitos GDPR para Software de Contratação
Base Legal para Processamento
O que o GDPR ExigeVocê precisa de uma base legal para processar dados pessoais de candidatos. Para candidatos ativos, isso é normalmente "interesse legítimo", você tem uma necessidade legítima de avaliar candidatos para uma função aberta. Para pools de talentos ou aplicações especulativas, você precisa de consentimento explícito.
O que Isso Significa para Seu ATSSeu ATS deve distinguir claramente entre candidatos ativos (interesse legítimo) e candidatos de pool de talentos (baseado em consentimento). Registros de consentimento precisam ser armazenados e auditáveis. Curriculo ATS lida com isso através do processamento baseado em pipeline, candidatos em pipelines de trabalho ativos são processados sob interesse legítimo, enquanto adições ao pool de talentos exigem consentimento documentado.
Direito ao Cancelamento
O que o GDPR ExigeCandidatos têm o direito de solicitar a exclusão de seus dados pessoais a qualquer momento. Você deve processar esses pedidos "sem demora indevida", normalmente dentro de 30 dias.
O que Isso Significa para Seu ATSSeu ATS precisa de um mecanismo para encontrar todos os dados associados a um candidato (candidaturas, anotações, dados de pontuação, histórico de comunicações) e excluí-los completamente. Isso é mais difícil do que parece se os dados dos candidatos estiverem espalhados por integrações, threads de e-mail e planilhas exportadas.
Solicitações de Acesso a Dados Pessoais (DSAR)
O que o GDPR ExigeCandidatos podem solicitar uma cópia de todos os dados pessoais que você possui sobre eles, os propósitos do processamento e com quem foram compartilhados. Prazo para resposta: 30 dias.
O que Isso Significa para Seu ATSSeu ATS deve suportar a exportação de dados para candidatos individuais, não apenas despejos CSV em massa, mas pacotes de dados específicos do candidato. Isso inclui dados de candidatura, resultados de pontuação, anotações de revisores e quaisquer saídas de tomada de decisão automatizada.
Retenção
Períodos de Retenção de Dados
| Status do Candidato | Retenção Recomendada | Justificativa |
|---|---|---|
| Candidatos rejeitados | 6 meses | Cobre períodos de apresentação de reclamações de discriminação na maioria das jurisdições |
| Pool de talentos (com consentimento) | 12 meses | O consentimento deve ser renovado anualmente; perfis desatualizados perdem relevância |
| Funcionários contratados | Duração do emprego + 7 anos | Requisitos de legislação trabalhista, registros fiscais e responsabilidades legais |
| Candidaturas retiradas | 30 dias | Retenção mínima para trilha de auditoria; candidato retirou interesse |
| Anotações de entrevistas | Mesma do registro do candidato | Anotações são dados pessoais sobre o candidato; as mesmas regras se aplicam |
Essas são diretrizes, não requisitos legais, os períodos de retenção variam de acordo com a jurisdição. O princípio chave é a minimização de dados: não mantenha dados de candidatos por mais tempo do que o necessário para a finalidade para a qual foram coletados. Seu ATS deve facilitar a configuração desses períodos e automatizar a exclusão quando expirarem.
Lei da IA da UE
IA na Contratação é Alto Risco
O que a Lei da IA da UE Significa para Plataformas ATS
A Lei da IA da UE, que entrou em vigor em 2024 com prazos de conformidade faseados até 2026, classifica sistemas de IA usados para "recrutamento e seleção de pessoas físicas" como de alto risco. Isso se aplica a qualquer ATS que utilize IA para triagem, pontuação ou classificação de candidatos.
Classificação de alto risco significa que o sistema de IA deve fornecer transparência sobre como as decisões são tomadas, apoiar a supervisão humana (humanos devem ser capazes de revisar e anular decisões de IA), manter padrões de qualidade de dados e implementar monitoramento e mitigação de viés.
Curriculo ATS atende a esses requisitos através de sua abordagem de pontuação baseada em sinal. A Pontuação de Impacto de cada candidato mostra os fatores que contribuíram para a pontuação. Gerentes de contratação sempre revisam recomendações de IA antes de tomar qualquer ação, o sistema classifica e recomenda, mas os humanos decidem.
Segurança
Segurança da Infraestrutura
- Criptografia em repouso, Tokens de caixa de correio e calendário conectados são criptografados com AES-256-GCM.
- Criptografia em trânsito, TLS 1.3 para toda transmissão de dados entre navegadores, APIs e serviços de backend. Nenhum dado não criptografado sai da plataforma.
- Controle de acesso baseado em funções, configure quem pode visualizar, editar e excluir dados de candidatos. Gerentes de contratação veem apenas suas funções. Admins gerenciam políticas de acesso.
- Infraestrutura hospedada na AWS, Curriculo ATS é hospedado na Amazon Web Services. Revisões de segurança e testes de penetração são realizados regularmente.
- Sem venda de dados, Curriculo ATS não vende, compartilha ou monetiza dados de candidatos com terceiros. Dados de candidatos são usados exclusivamente para facilitar o processo de contratação para o empregador que os coletou.
Lista de Verificação do Fornecedor
O que Perguntar ao Seu Fornecedor de ATS
- Onde os dados dos candidatos estão armazenados?, a jurisdição é importante para a GDPR. Dados armazenados na UE têm regras diferentes dos dados armazenados nos EUA. Pergunte onde os dados dos candidatos estão armazenados.
- O que acontece com meus dados se eu cancelar?, bons fornecedores exportam seus dados e os excluem dentro de 30-90 dias. Os ruins os mantêm indefinidamente ou cobram taxas de exportação.
- Vocês vendem ou compartilham dados de candidatos?, algumas plataformas ATS monetizam dados de candidatos por meio de sites de emprego ou redes de publicidade. Leia a política de privacidade com atenção.
- Como vocês lidam com solicitações de titulares de dados?, peça uma demonstração do fluxo de trabalho de DSAR deles. Se envolver o envio de um e-mail para o suporte, isso é um sinal de alerta.
- Qual é o seu processo de notificação de violação?, o GDPR exige notificação dentro de 72 horas. Pergunte como é o cronograma interno do fornecedor.
- Como sua triagem com IA lida com preconceitos?, se não conseguirem explicar como sua IA evita resultados discriminatórios, provavelmente não pensaram sobre isso. Leia o Guia do Comprador de ATS e nossas perguntas para fazer ao seu fornecedor de ATS para uma lista completa de avaliação de fornecedores.
Perguntas Frequentes
Questões de Conformidade
Como o Curriculo ATS aborda o GDPR?
O Curriculo ATS é construído com a conformidade ao GDPR como um princípio central de design. Isso inclui base legal para processamento (interesse legítimo para candidatos ativos, consentimento para pools de talentos), períodos de retenção de dados configuráveis, fluxos de trabalho de exclusão automatizados e suporte a DSAR. Processamos dados de candidatos para facilitar a contratação, não para vendê-los.
Por quanto tempo o Curriculo ATS retém dados de candidatos?
Os períodos de retenção padrão seguem as melhores práticas regulatórias: candidatos rejeitados são retidos por 6 meses (para trilhas de auditoria de conformidade), candidatos de pools de talentos por 12 meses (com consentimento) e registros de candidatos contratados por 7 anos (requisitos legais de emprego). Todos os períodos de retenção são configuráveis pelo empregador.
O Ato de IA da UE afeta sistemas de ATS?
Sim. O Ato de IA da UE classifica sistemas de IA usados em emprego e recrutamento como de alto risco. Isso significa que plataformas ATS que usam IA para triagem de candidatos devem atender a requisitos em torno de transparência, supervisão humana, qualidade dos dados e monitoramento de preconceitos. O Curriculo ATS fornece transparência nos critérios de pontuação e suporta revisão humana para todas as decisões de IA.
Como o Curriculo ATS protege dados de candidatos?
O Curriculo ATS criptografa dados em repouso (AES-256) e em trânsito (TLS 1.3), usa permissões baseadas em funções por equipe e cargo, e realiza revisões de segurança regulares. Os dados são hospedados na AWS.
Candidatos podem solicitar a exclusão de seus dados?
Sim. Sob o GDPR e regulamentos semelhantes, candidatos têm o direito de solicitar a exclusão de seus dados pessoais. O Curriculo ATS suporta solicitações de acesso do titular de dados (DSARs) e fornece ferramentas para os empregadores processarem pedidos de exclusão dentro dos prazos exigidos.
O que devo perguntar a um fornecedor de ATS sobre segurança?
As principais perguntas incluem: Onde os dados dos candidatos são armazenados e em qual jurisdição? Quais padrões de criptografia são usados? Como os períodos de retenção de dados são configurados? O que acontece com os dados quando eu cancelo? Vocês vendem ou compartilham dados de candidatos? Qual é o seu processo de notificação de violação? Os candidatos podem exercer seus direitos sob o GDPR por meio da plataforma?