合规与安全
ATS 合规是指招聘跟踪系统在收集、处理和存储候选人个人数据时必须满足的法律、监管和安全要求。2026年，这包括GDPR数据主体权利、保留期限、EU AI针对AI驱动筛查的透明度要求，以及基础设施安全。任何处理候选人数据的ATS均须承担这些义务。
GDPR
GDPR 软件要求 招聘
处理的法律依据
GDPR的要求处理候选人个人数据需要合法依据。对于主动求职的申请人，这通常是“合法利益”，你有合法的需要来评估开放职位的候选人。对于人才库或投机性申请，您需要明确同意。
这对您的ATS意味着什么您的 ATS 应该清晰地区分 活跃候选人（合法兴趣）和人才库候选人（基于同意）。同意记录需要存储和可审计。 Curriculo ATS 通过基于流水线的处理来处理此事，处于活跃职位流水线中的候选人在合法兴趣下处理，而人才库添加需要记录同意。
向 删除
GDPR的要求候选人有权随时要求删除其个人数据。你必须在“无不当延误”的情况下处理这些请求，通常是在30天内。
这对您的 ATS 意味着什么您的 ATS 需要一个机制来查找与候选人相关的所有数据（包括申请、备注、评分数据和沟通记录），并将其完全删除。如果候选人数据分散在集成系统、邮件线程和导出的电子表格中，这项工作会比听起来更难。
数据主体访问请求 （DSAR）
GDPR的要求候选人可以要求获取您持有的关于他们的所有个人数据的副本、处理目的以及数据共享对象。回复截止日期：30天。
这对您的ATS意味着什么您的 ATS 应支持为单个候选人导出数据，而不仅仅是批量导出 CSV 数据，而是提供针对特定候选人的数据包。这包括申请数据、评分结果、评审员的意见以及任何自动化决策的输出。
保留
数据保留 期间
| 候选人状态 | 建议保留 | 理由 |
|---|---|---|
| 被拒绝的候选人 | 6个月 | 涵盖大多数司法管辖区内的歧视索赔申请期限 |
| 人才库（经同意） | 12个月 | 同意应每年更新一次；过时的个人资料会失去相关性 |
| 雇佣员工 | 雇佣期限 + 7 年 | 劳动法、税务记录及法律责任要求 |
| 撤回申请 | 30天 | 审计轨迹保留最小化；候选人撤回兴趣 |
| 访谈记录 | 与候选人记录相同 | 备注是候选人的个人数据；同样适用相同的规则 |
这些是指导原则，而非法律要求，保留期限因司法管辖区而异。核心原则是数据最小化：不要保留候选数据超过其收集目的所需的时间。
EU AI 行动
招聘中的AI是高风险的
EU AI法案对 ATS平台的影响
《EU AI 法案》于 2024 年生效，合规期限分阶段至 2026 年，该法案将用于“自然人招聘与选拔”的 AI 系统归类为高风险。这适用于任何使用 AI 进行候选人筛选、评分或排名的 ATS。
高风险分类 意味着 AI 系统必须透明地展示决策过程，支持人类监督（人类必须能够审查并推翻 AI 的决策），维持数据质量标准，并实施偏见监控与缓解措施。
基于信号的评分 在 Curriculo ATS 中显示了影响每位候选人影响力评分的因素。招聘经理在采取行动之前总会先审阅 AI 的推荐结果；系统负责排名与推荐，而最终决策由人类做出。
安全
基础设施安全
- 静态加密，已连接邮箱和日历令牌使用 AES-256-GCM 进行加密。
- 传输过程中的加密, TLS 1.2+ 使用 TLS 1.3 保障浏览器、API 和后端服务之间的所有数据传输安全。
- 基于角色的访问控制，配置谁可以查看和编辑候选人数据。招聘经理只看到他们的角色。管理员管理访问策略。
- AWS托管的基础设施，Curriculo ATS托管在亚马逊网络服务上。
- 不售卖数据。、Curriculo ATS 不向任何第三方出售、共享或货币化候选人数据。候选人数据仅用于协助收集该数据的雇主进行招聘流程。
供应商清单
向您的 ATS 供应商提问
- 候选人数据存储在哪里？，管辖权对GDPR matters。存储在 EU 中的数据与存储在 US 中的数据遵循不同的规则。询问候选人数据存储在哪里。
- 取消后，我的数据会怎样？，优质供应商会在30至90天内导出并删除您的数据。劣质产品会无限期扣押或收取出口费用。
- 你们是否出售或分享候选人数据？，一些ATS平台通过招聘网站或广告网络对候选人数据进行变现。请仔细阅读隐私政策。
- 您如何处理数据主体请求？，要求演示其DSAR工作流程。如果涉及联系技术支持，这是一个危险信号。
- 您的数据泄露通知流程是什么？、GDPR需在72小时内通知。询问供应商的内部时间表。
- 你的AI筛选如何处理偏见？，如果他们无法解释他们的AI如何避免歧视性结果，他们可能没有考虑过这个问题。阅读我们的 ATS购买指南 和我们为您准备的 个问题，询问您的ATS供应商 ，以获取完整的供应商评估清单。
FAQ
合规 问题
Curriculo ATS如何接近GDPR？
Curriculo ATS以GDPR对齐作为核心设计原则进行构建。这包括处理数据的法律依据（针对活跃候选人基于合法利益，针对人才库基于同意）。我们处理候选人数据是为了促进招聘，而不是为了出售。
断开 Gmail 连接后，存储的电子邮件会发生什么变化？
断开 Gmail 与 Curriculo ATS 的连接会清除已存储的邮件正文，而申请人信息将被保留。
EU AI 法案是否影响 ATS 系统？
是的。《EU AI 法案》将就业和招聘中使用的 AI 系统归类为高风险。这意味着使用 AI 进行候选人筛选的 ATS 平台必须满足关于透明度、人工监督、数据质量和偏见监控的要求。Curriculo ATS 显示每位候选人影响力得分背后的因素，招聘经理在采取行动之前会审查 AI 的建议。
Curriculo ATS如何确保候选人数据的安全？
连接邮箱和日历令牌采用 AES-256-GCM 加密，传输中的数据通过 TLS、1.2+ 和 TLS、1.3 进行保护，基于角色的权限控制团队成员和职位可访问和编辑候选人数据。数据托管在 AWS 上。
候选人可以要求删除其数据吗？
是的。根据《GDPR》及相关法规，候选人有权要求删除其个人数据，雇主应在不拖延的情况下迅速回应，通常应在30天内完成。
我应该向 ATS 供应商询问哪些安全问题？
关键问题包括：候选人数据存储在哪里？属于哪个司法管辖区？使用哪些加密标准？数据保留期限是如何配置的？取消后数据会发生什么？你们是否出售或分享候选人数据？您的数据泄露通知流程是什么？候选人可以通过平台行使他们的GDPR权利吗？