.png&w=384&q=75&dpl=dpl_9SjeWpxK3G3ycvkDFTPYMABK2Wau){kind=small}
Segurança enterprise em um ATS: o que exigir antes de comprar
Um ATS é um dos sistemas mais sensíveis que uma empresa opera: contém CVs, dados de contato, avaliações e às vezes informação salarial de centenas ou milhares de pessoas. Quando além disso esse ATS usa IA para processar esses dados, a segurança deixa de ser um check de compliance e passa a ser um critério central de decisão. Este guia explica o que significam SOC 2 e GDPR, quais controles importam e como avaliar um fornecedor.
Key Takeaway
Se um fornecedor de ATS não pode mostrar evidência auditada por terceiro — e só oferece declarações de marketing sobre o quão "seguro" é — trate isso como a resposta. A segurança enterprise se demonstra com certificações e um Trust Center, não com adjetivos.
SOC 2 Type II: o padrão de confiança
SOC 2 é uma certificação que audita os controles de segurança de um fornecedor sobre cinco critérios: segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade. A diferença entre Type I e Type II é fundamental:
- Type I avalia o design dos controles em um momento pontual.
- Type II avalia que esses controles funcionam de forma consistente ao longo do tempo (tipicamente 6-12 meses).
Para um ATS, SOC 2 Type II é o piso. Demonstra, com evidência auditada por um terceiro independente, que o fornecedor protege os dados de candidatos de forma sustentada.
Os controles que importam
| Controle | O que resolve |
|---|---|
| Criptografia em trânsito e em repouso | Os dados viajam e são guardados criptografados |
| SSO empresarial (SAML) + SCIM | Acesso governado pelo seu diretório corporativo |
| Controles de acesso por papel (RBAC) | Cada usuário vê só o que lhe corresponde |
| Registros de auditoria | Rastreabilidade de quem acessou o quê |
| Plano de resposta a incidentes | O que acontece se algo der errado |
| Governança do dado com IA | Onde é processado e se é usado para treinar modelos |
A camada extra quando há IA
Um ATS com IA adiciona uma pergunta que um ATS tradicional não tinha: o que acontece com os dados de candidatos quando um modelo os processa? As perguntas concretas a fazer:
- Onde os dados são processados (região, subprocessadores)?
- Os dados de candidatos são usados para treinar modelos de terceiros? (A resposta correta costuma ser "não".)
- Há isolamento entre os dados de diferentes clientes?
- É possível excluir os dados de um candidato a pedido (direito ao esquecimento)?
GDPR: o padrão de fato
Mesmo que sua empresa não esteja na Europa, o GDPR importa: aplica-se se você processa dados de residentes europeus e, além da obrigação legal, virou a referência de maturidade em proteção de dados. Muitas empresas na LATAM já o exigem de seus fornecedores como filtro, porque garante práticas como minimização de dados, consentimento, direito ao esquecimento e portabilidade.
Checklist de avaliação de fornecedores
- Tem SOC 2 Type II vigente (não só Type I)?
- Cumpre o GDPR?
- Oferece criptografia em trânsito e em repouso?
- Tem SSO empresarial com SCIM e RBAC?
- Documenta onde os dados são processados com IA?
- Garante que os dados não são usados para treinar modelos de terceiros?
- Tem um Trust Center público com evidência?
Como a Selenios resolve
A Selenios tem certificação SOC 2 Type II, conformidade com GDPR, criptografia em trânsito e em repouso, SSO empresarial com SCIM, controles de acesso por papel e um Trust Center público que documenta essas garantias. A segurança não é um módulo à parte — é parte do design do produto.