Guia do Sistema de Rastreamento de Candidatos em Conformidade com a GDPR

Conformidade e Segurança

A conformidade com a ATS refere-se aos requisitos legais, regulatórios e de segurança que os sistemas de rastreamento de candidatos devem atender ao coletar, processar e armazenar dados pessoais dos candidatos. Em 2026, isso inclui os direitos dos titulares de dados GDPR, limites de retenção, os requisitos de transparência da Lei EU e AI para a triagem alimentada por AI, e a segurança da infraestrutura. Qualquer ATS que lide com dados de candidatos está sujeito a estas obrigações.

GDPR

GDPR Requisitos para Contratação de Software

Base legal para o processamento de

Você precisa de uma base legal para processar os dados pessoais dos candidatos. Para candidatos ativos, isso é tipicamente "interesse legítimo", você tem uma necessidade legítima de avaliar candidatos para uma vaga aberta. Para grupos de talentos ou candidaturas especulativas, é necessário consentimento explícito.

Seu ATS deve distinguir claramente entre candidatos ativos do (interesse legítimo) e candidatos da base de talentos (baseados no consentimento). Os registros de consentimento precisam ser armazenados e auditáveis. A Curriculo ATS trata disso por meio de processamento baseado em pipelines; os candidatos em pipelines de vagas ativos são processados sob base de interesse legítimo, enquanto as adições ao banco de talentos exigem consentimento documentado.

Direito à Erasure

Os candidatos têm o direito de solicitar a eliminação de seus dados pessoais a qualquer momento. Você deve processar esses pedidos “sem demora injustificada”, normalmente dentro de 30 dias.

Seu ATS precisa de um mecanismo para encontrar todos os dados associados a um candidato (candidaturas, notas, dados de pontuação, histórico de comunicação) e excluí-los completamente. Isso é mais difícil do que parece se os dados dos candidatos estiverem espalhados por integrações, conversas de e-mail e planilhas exportadas.

Solicitações de Acesso do Titular de Dados (DSAR)

Os candidatos podem solicitar uma cópia de todos os dados pessoais que você detém sobre eles, dos propósitos do processamento e de com quem os dados foram compartilhados. Prazo de resposta: 30 dias.

Seu ATS deve suportar a exportação de dados para candidatos individuais, não apenas despejos em massa do CSV, mas pacotes de dados específicos para cada candidato. Isso inclui dados de aplicação, resultados de pontuação, notas dos revisores e quaisquer saídas de tomada de decisão automatizada.

Retenção

Retenção de Dados Períodos

Estes são diretrizes, não exigências legais; os períodos de retenção variam conforme a jurisdição. O princípio fundamental é a minimização de dados: não reter os dados dos candidatos por mais tempo do que o necessário para a finalidade para a qual foram recolhidos.

EU AI Ativar

AI em Contratação é Alto Risco

O que o EU AI Significa para as Plataformas ATS

A Lei EU AI, que entrou em vigor em 2024 com prazos de conformidade progressivos até 2026, classifica os sistemas AI utilizados para “recrutamento e seleção de pessoas naturais” como de alto risco. Isso se aplica a qualquer ATS que utilize o AI para triagem, pontuação ou classificação de candidatos.

A classificação de alto risco significa que o sistema AI deve fornecer transparência sobre como as decisões são tomadas, apoiar a supervisão humana (os seres humanos devem ser capazes de revisar e anular decisões do AI), manter padrões de qualidade dos dados e implementar monitoramento e mitigação de viés.

A pontuação baseada em sinais em Curriculo ATS mostra os fatores que contribuíram para a Pontuação de Impacto de cada candidato. Os gerentes de contratação sempre revisam as recomendações do AI antes de tomar medidas; o sistema classifica e recomenda, mas os humanos decidem.

Segurança

Segurança da Infraestrutura

• A criptografia em repouso, os tokens de caixa de correio e calendário conectados são criptografados com AES-256-GCM.
• Criptografia em trânsito, TLS, 1.2+ com TLS, 1.3 para todas as transmissões de dados entre navegadores, APIs e serviços de back-end.
• Os controles de acesso baseados em funçõesconfiguram quem pode visualizar e editar os dados dos candidatos. Os gerentes de contratação veem apenas seus próprios cargos. Os administradores gerenciam as políticas de acesso.
• A infraestrutura hospedada pela AWS,, Curriculo ATS está hospedada na Amazon Web Services.
• A, Curriculo ATS não vende, compartilha ou monetiza os dados dos candidatos com terceiros. Os dados dos candidatos são utilizados exclusivamente para facilitar o processo de contratação do empregador que os coletou.

Lista de Verificação do Fornecedor

O que perguntar ao seu fornecedor ATS

• Onde os dados dos candidatos são armazenados?, a questão da jurisdição é relevante para GDPR. Os dados armazenados no EU têm regras diferentes dos dados armazenados no US. Perguntar onde os dados dos candidatos são armazenados.
• O que acontece com os meus dados se eu cancelar? A, fornecedores confiáveis exportam seus dados e os excluem dentro de 30 a 90 dias. Os ruins mantêm indefinidamente ou cobram taxas de exportação.
• Você vende ou compartilha dados de candidatos?, algumas plataformas ATS monetizam os dados de candidatos através de portais de emprego ou redes de publicidade. Leia a política de privacidade com atenção.
• Como você lida com solicitações dos titulares de dados?, solicite uma demonstração do seu fluxo de trabalho DSAR. Se envolve enviar um e-mail para o suporte, isso é um sinal de alerta.
• Qual é o seu processo de notificação de violação?, GDPR requer notificação dentro de 72 horas. Pergunte qual é o cronograma interno do fornecedor.
• Como o seu AI de triagem lida com viés?, se não conseguem explicar como seu AI evita resultados discriminatórios, provavelmente não pensaram nisso. Leia o ATS Guia do Comprador e nossas perguntas para fazer ao seu ATS fornecedor para uma lista de verificação completa de avaliação de fornecedor.