GDPR和ATS安全性，需要检查的内容 | Curriculo

合规性与安全性

ATS 合规性是指申请人跟踪系统在收集、处理和存储候选人个人数据时必须满足的法律、法规和安全要求。在 2026 年，这包括 GDPR 数据主体权利、可配置的保留期、EU AI 法案透明度要求用于 AI 驱动的筛选，以及基础设施安全性。任何 ATS 处理候选人数据的系统都受这些义务的约束。

GDPR

GDPR 对 招聘软件的要求

合法依据用于 处理

您需要合法依据来处理候选人个人数据。对于活跃的职位申请人，这通常是“合法利益”，您有合法的需要来评估候选人。对于人才库或投机性申请，您需要明确的同意。

您的 ATS 应该明确区分 活跃候选人（合法利益）和人才库候选人（基于同意）。同意记录需要存储和可审计。 Curriculo ATS 通过基于流水线的处理来处理此事，活跃的职位流水线中的候选人在合法利益下处理，而人才库的添加需要记录的同意。

删除权 删除

候选人有权在任何时候请求删除其个人数据。您必须在“不延迟”地处理这些请求，通常在 30 天内。

您的ATS需要一种机制来找到与候选人相关的所有数据（申请、笔记、评分数据、通信历史）并彻底删除它们。这比听起来更难，如果候选人数据分散在集成、电子邮件线程和导出的电子表格中。

数据主体访问 请求（DSAR）

候选人可以请求一份关于他们的所有个人数据的副本，包括处理的目的和与谁共享。响应截止日期：30天。

您的ATS应该支持单个候选人的数据导出，而不仅仅是批量CSV转储，但候选人特定的数据包。这包括申请数据、 评分结果、审阅者笔记和任何自动决策输出。

保留

数据保留 期限

这些是指南，而不是法律要求，不同管辖区的保留期限有所不同。关键原则是数据最小化：不要保留候选人数据超过收集的必要时间。您的 ATS 应该使配置这些期限和自动删除过期数据变得容易。

EU AI 法令

AI 招聘中的 高风险

什么是 EU AI 法案对 ATS 平台的影响？

EU AI 法案于 2024 年生效，分阶段实施，截至 2026 年，所有用于“自然人招聘和选拔”的 AI 系统被归类为高风险系统。这适用于任何使用 AI 进行候选人筛选、评分或排名的 ATS 。

高风险分类 意味着 AI 系统必须提供决策透明度，支持人工监督（人类必须能够审查和覆盖 AI 决策），维护数据质量标准，并实施偏差监测和缓解。

Curriculo ATS 通过其基于 信号的评分 方法满足这些要求。每个候选人的影响评分显示了贡献于评分的因素。招聘经理在采取行动之前始终会审查 AI 推荐，系统排名和推荐，但人类做出决定。

安全性

基础设施安全性

• 静态加密，连接的邮箱和日历令牌使用 AES-256-GCM 加密。
• 运行时加密， TLS 1.3 保证所有浏览器、API 和后端服务之间的数据传输加密。平台上永远不会有未加密的数据离开。
• 基于角色的访问控制，配置谁可以查看、编辑和删除候选人数据。招聘经理只能看到他们的角色。管理员管理访问策略。
• AWS 托管基础设施， Curriculo ATS托管在 Amazon Web Services 上。定期进行安全审查和渗透测试。
• 不出售数据, Curriculo ATS 不会出售、分享或将候选人数据用于第三方营利。候选人数据仅用于为收集数据的雇主提供招聘服务。

供应商核查清单

向您的 ATS 供应商

• 候选人数据存储在哪里？，管辖权对 GDPR 有影响。存储在 EU 的数据与存储在 US 的数据有不同的规则。请询问候选人数据存储位置。
• 如果我取消，我的数据会怎么处理？，好的供应商会导出您的数据并在 30-90 天内删除。坏的供应商会无限期保留数据或收取导出费用。
• 您是否出售或分享候选人数据？，一些 ATS 平台通过职位板或广告网络来营利候选人数据。请仔细阅读隐私政策。
• 您如何处理数据主体请求？，请要求他们演示其 DSAR 工作流程。如果涉及发送电子邮件给支持团队，那是一个危险信号。
• 您的数据泄露通知流程是什么？， GDPR 要求在 72 小时内通知。请询问供应商的内部时间表是什么。
• 您的 AI 筛选如何处理偏见？，如果他们无法解释其 AI 如何避免歧视性结果，他们可能没有考虑过这个问题。请阅读 ATS 买家指南 和我们的 问题，以便询问您的 ATS 供应商 ，以获取完整的供应商评估清单。