--- title: "ATS conforme con el RGPD: lo que debe permitir el software y lo que sigue siendo tu responsabilidad" description: "Un ATS no cumple el RGPD por ti: tú, como reclutador, eres el responsable del tratamiento. Lo que debe permitir el software (plazos de conservación, derechos de los candidatos, encargados, alojamiento, IA) y las preguntas que debes hacer al proveedor." url: https://marvins.ai/es/blog/ats-conforme-con-el-rgpd language: es published: 2026-11-11 author: "Christophe Hébert" --- # ATS conforme con el RGPD: lo que debe permitir el software y lo que sigue siendo tu responsabilidad Un ATS no cumple el RGPD por ti: tú, como reclutador, eres el responsable del tratamiento. Lo que debe permitir el software (plazos de conservación, derechos de los candidatos, encargados, alojamiento, IA) y las preguntas que debes hacer al proveedor. Un **ATS conforme con el RGPD** es un software de selección que permite al reclutador cumplir sus obligaciones: informar a los candidatos, limitar la conservación, responder a las solicitudes de acceso y supresión, proteger los datos y supervisar a sus encargados. El software no cumple por ti: sigues siendo el responsable del tratamiento. Este artículo enumera lo que debe permitir un ATS, lo que sigue correspondiendo al reclutador y las preguntas que debes hacer a un proveedor antes de firmar. Se basa en la guía de selección publicada por la CNIL, la autoridad francesa de protección de datos, el 30 de enero de 2023. _Artículo verificado el 11 de noviembre de 2026. No sustituye el consejo de tu delegado de protección de datos._ ## Lo que hay que recordar - **El reclutador es el responsable del tratamiento**; el proveedor del ATS suele ser su encargado, con un contrato del artículo 28 del RGPD. - **Dos años desde el último contacto**: es el plazo de conservación que recomienda la CNIL para un candidato no seleccionado, salvo que acepte otro. - **Todo candidato recibe información**, también aquel cuyo perfil viene de LinkedIn o de una base de CV, como máximo en un mes. - **Las solicitudes de acceso y supresión** se atienden en un mes, y el ATS debe permitir ejecutarlas sobre toda la base. - **La IA puede ayudar a clasificar, no decidir sola** un rechazo. ## Responsable y encargado del tratamiento: quién hace qué En una selección, la empresa que contrata, la consultora o la agencia de trabajo temporal es la responsable del tratamiento: decide por qué y cómo se tratan los datos de los candidatos. El proveedor de un ATS en línea, que aloja esos datos por su cuenta, suele ser su encargado. El RGPD reparte las obligaciones entre ambos. **Lo que corresponde al reclutador**: elegir la base jurídica de cada tratamiento, informar a los candidatos, fijar los plazos de conservación, responder a las solicitudes, llevar su registro de actividades y, para un empleador en Francia, informar al comité social y económico (CSE) de los métodos de selección antes de usarlos (artículo L2312-38 del Código del Trabajo francés). **Lo que corresponde al proveedor**: tratar los datos solo siguiendo instrucciones, garantizar su seguridad y confidencialidad, declarar sus propios subencargados, ayudar al reclutador a responder a las solicitudes y borrar o devolver los datos al terminar el contrato. Estos compromisos figuran en el contrato de encargo que exige el artículo 28 del RGPD. La CNIL precisa que un editor de software estándar sin ningún acceso a los datos no es encargado; un ATS en línea, que los aloja, casi siempre lo es. ## Lo que debe permitir un ATS para cumplir el RGPD Un ATS adaptado al RGPD hace posibles los pasos que la ley exige al reclutador: fijar un plazo de conservación y aplicarlo, encontrar todos los datos de un candidato para enviárselos o borrarlos, informar a los candidatos en la recogida, limitar el acceso a las fichas según el rol y dejar rastro de lo que se hace. 1. **Un plazo de conservación configurable**, aplicado a toda la base, con la lista de fichas afectadas antes de borrar. 2. **La supresión completa de un candidato**, CV, notas e intercambios incluidos, y la exportación de sus datos si lo pide. 3. **La información a los candidatos**: un aviso y un enlace a tu política de privacidad en el formulario de candidatura, y un mensaje informativo para los perfiles captados. 4. **Permisos por rol**: un consultor, un responsable o una filial solo ve lo que le corresponde. 5. **La trazabilidad**: quién consultó, modificó o envió qué, y cuándo. 6. **La exportación completa de la base** al terminar el contrato, en un formato reutilizable, y después la supresión de los datos en el proveedor. ## Plazo de conservación de las candidaturas en un ATS La CNIL recomienda no conservar el expediente de un candidato no seleccionado más de dos años desde el último contacto, salvo que haya aceptado un plazo más largo. El reclutador fija el plazo de antemano, lo justifica y borra o anonimiza los datos cuando vence. La guía de la CNIL distingue la base activa, que se usa durante la selección, del archivo intermedio, reservado a una necesidad concreta, como la prueba ante una demanda por discriminación, y consultado por personas autorizadas. Lo que hay que esperar del ATS: que la regla se aplique sola sobre toda la base y que las fichas ligadas a una selección en curso queden protegidas. Para la base de CV y la cantera, consulta también nuestra guía de [bases de CV gratuitas](https://marvins.ai/es/guias/base-de-datos-de-cv-gratuita), que recoge las reglas de información y conservación. ## Informar a los candidatos, también a los encontrados en LinkedIn Todo candidato cuyos datos entran en el ATS recibe información: en la recogida si se presenta, como máximo en un mes si se le encontró en otro sitio, o en el primer contacto si es antes. La información dice quién trata sus datos, para qué, durante cuánto tiempo y cómo ejercer sus derechos. En Francia, el Código del Trabajo añade que el candidato conoce de antemano los métodos y técnicas de selección que se usan con él, y que no se puede recoger ninguna información sobre él con un dispositivo que desconozca (artículos L1221-8 y L1221-9). Una entrevista grabada o una prueba se avisan antes de usarlas. ## Derechos de los candidatos: acceso, supresión, oposición Un candidato puede pedir acceder a sus datos, rectificarlos o borrarlos, y oponerse a ciertos tratamientos. El reclutador responde sin demora indebida y como máximo en un mes, un plazo que puede ampliarse en algunos casos. El ATS debe permitir encontrar todos sus datos con una búsqueda y borrarlos todos. El derecho de acceso cubre también lo que el reclutador ha producido sobre el candidato, como un informe de entrevista o una nota. Guardar un rastro para no volver a contactar a quien pidió la supresión equivale a llevar una lista de exclusión: la CNIL la regula en la ficha 15 de su guía (base jurídica, criterios objetivos, información a la persona, datos limitados a lo estrictamente necesario y un plazo corto). ## IA y clasificación automática de candidaturas Una función de IA en un ATS puede resumir un CV, buscar perfiles o preparar un informe de entrevista. No debe rechazar a un candidato sola: el RGPD prohíbe en principio una decisión basada únicamente en un tratamiento automatizado con efectos importantes, como un rechazo, salvo excepciones reguladas y con garantías. La CNIL dedica una ficha de su guía al software de clasificación, ordenación y evaluación. Lo que hay que comprobar con el proveedor: qué datos van a un proveedor de IA, a cuál y dónde; si esos datos sirven para entrenar un modelo; y si cada propuesta de la herramienta la valida un reclutador, que puede explicar su decisión al candidato. ## Alojamiento y transferencias fuera de la Unión Europea El RGPD no exige alojar los datos en un país concreto de la Unión, pero regula su transferencia fuera de la Unión Europea. Un ATS alojado fuera de la Unión, o que confía datos a un encargado establecido fuera de ella, debe apoyarse en un mecanismo reconocido, como una decisión de adecuación o cláusulas contractuales tipo. En la práctica, pide la lista de subencargados del proveedor, con el país donde cada uno trata los datos, proveedores de IA incluidos. Esa lista, más que la dirección de la sede del proveedor, dice adónde van los datos de tus candidatos. ## Diez preguntas para el proveedor de un ATS Haz estas preguntas por escrito, antes de firmar. Las respuestas deben aparecer en el contrato de encargo y sus anexos: un compromiso verbal no protege ni al reclutador ni a sus candidatos. Un proveedor serio las responde sin problema, con documentos que lo respalden. 1. ¿Tienes un contrato de encargo conforme con el artículo 28 del RGPD, y puedo leerlo antes de firmar? 2. ¿Dónde se alojan los datos, copias de seguridad incluidas? 3. ¿Quiénes son tus subencargados y en qué países, proveedores de IA incluidos? 4. ¿Se puede fijar un plazo de conservación y aplicarlo automáticamente a toda la base? 5. ¿Cómo se borran todos los datos de un candidato que lo pide? 6. ¿Cómo se exportan los datos de un candidato para responder a una solicitud de acceso? 7. ¿Los permisos se configuran por rol, por equipo, por filial? 8. ¿Las acciones sobre las fichas quedan registradas? 9. ¿Qué datos van a la IA y sirven para entrenar un modelo? 10. Al terminar el contrato, ¿cómo se recupera la base y cuándo se borra en tu lado? ## En Marvin Marvin aloja tus datos en Francia, en Scaleway en París, con copias de seguridad diarias también en Francia. Cada cliente está aislado, los permisos se configuran por rol, y los secretos y tokens se cifran con AES-256-GCM. El contrato de encargo y la lista de subencargados, proveedores de IA incluidos, se publican en una dirección que no cambia. Para la conservación y los derechos de los candidatos: - **Un plazo de conservación que fijan tus administradores**: eligen un periodo sin actividad (24 meses por defecto), ven la lista de fichas afectadas y confirman. Los administradores reciben un aviso 30 días antes y pueden prolongar un perfil; una ficha ligada a una candidatura en curso, un proceso activo, una misión o una factura nunca se borra. - **Las candidaturas rechazadas**: eliges conservar la candidatura o borrarla junto con la ficha que creó, y puedes bloquear el email del candidato. Tras una solicitud de supresión, la lista de bloqueo aparta sus nuevas candidaturas. - **El consentimiento en la candidatura**: el formulario de tu sitio de empleo acepta una casilla que redactas tú, que puedes hacer obligatoria, y muestra el enlace a tu política de privacidad. El detalle está en la página de [seguridad y RGPD](https://marvins.ai/es/seguridad), y lo que Marvin aporta a un equipo de RR. HH. está en la página [Marvin para empresas](https://marvins.ai/es/solutions/empresas). ## FAQ **¿Puede un ATS ser «conforme con el RGPD»?** Un software no hace conforme un tratamiento por sí solo. El reclutador que lo usa sigue siendo el responsable del tratamiento: es quien informa a los candidatos, fija los plazos de conservación y responde a sus solicitudes. Un ATS conforme es una herramienta que permite hacer todo eso, con un proveedor que se compromete como encargado del tratamiento. **¿Cuánto tiempo puede guardar un ATS el CV de un candidato no seleccionado?** La CNIL, la autoridad francesa de protección de datos, recomienda no superar dos años desde el último contacto con el candidato, salvo que haya aceptado una conservación más larga. Después, el expediente se borra o se anonimiza. Un ATS debe permitir fijar ese plazo y borrar las fichas afectadas sin tratarlas una a una. **¿El proveedor de un ATS es encargado del tratamiento según el RGPD?** En general sí, siempre que aloje los datos de los candidatos o acceda a ellos por cuenta del reclutador. El RGPD exige entonces un contrato de encargo, previsto en el artículo 28, que fija sus obligaciones: instrucciones, confidencialidad, seguridad, subencargados y destino de los datos al terminar el contrato. **¿Hay que informar a un candidato cuyo perfil se importó de LinkedIn?** Sí. Para datos obtenidos de un tercero, el RGPD obliga a informar a la persona como máximo en un mes, o en el primer contacto si es antes. El mensaje debe decir quién trata sus datos, para qué, durante cuánto tiempo y cómo ejercer sus derechos. **¿Puede un ATS clasificar candidatos automáticamente?** Puede ayudar, no decidir solo. El RGPD prohíbe en principio una decisión basada únicamente en un tratamiento automatizado que tenga efectos importantes para la persona, como rechazar una candidatura, salvo excepciones reguladas. La CNIL recuerda que el reclutador debe mantener el control de la decisión y poder explicarla. ## Fuentes - CNIL, Guide Recrutement : les fondamentaux en matière de protection des données personnelles, publicada el 30 de enero de 2023 (fichas 3, 8, 9, 13 y 15). - CNIL, Recrutement : un employeur peut-il conserver mon dossier ?, consultada el 11 de noviembre de 2026. - RGPD: artículos 12 a 14, 15 a 22 y 28 del Reglamento (UE) 2016/679. - Código del Trabajo francés: artículos L1221-8, L1221-9 y L2312-38. ## FAQ ### ¿Puede un ATS ser «conforme con el RGPD»? Un software no hace conforme un tratamiento por sí solo. El reclutador que lo usa sigue siendo el responsable del tratamiento: es quien informa a los candidatos, fija los plazos de conservación y responde a sus solicitudes. Un ATS conforme es una herramienta que permite hacer todo eso, con un proveedor que se compromete como encargado del tratamiento. ### ¿Cuánto tiempo puede guardar un ATS el CV de un candidato no seleccionado? La CNIL, la autoridad francesa de protección de datos, recomienda no superar dos años desde el último contacto con el candidato, salvo que haya aceptado una conservación más larga. Después, el expediente se borra o se anonimiza. Un ATS debe permitir fijar ese plazo y borrar las fichas afectadas sin tratarlas una a una. ### ¿El proveedor de un ATS es encargado del tratamiento según el RGPD? En general sí, siempre que aloje los datos de los candidatos o acceda a ellos por cuenta del reclutador. El RGPD exige entonces un contrato de encargo, previsto en el artículo 28, que fija sus obligaciones: instrucciones, confidencialidad, seguridad, subencargados y destino de los datos al terminar el contrato. ### ¿Hay que informar a un candidato cuyo perfil se importó de LinkedIn? Sí. Para datos obtenidos de un tercero, el RGPD obliga a informar a la persona como máximo en un mes, o en el primer contacto si es antes. El mensaje debe decir quién trata sus datos, para qué, durante cuánto tiempo y cómo ejercer sus derechos. ### ¿Puede un ATS clasificar candidatos automáticamente? Puede ayudar, no decidir solo. El RGPD prohíbe en principio una decisión basada únicamente en un tratamiento automatizado que tenga efectos importantes para la persona, como rechazar una candidatura, salvo excepciones reguladas. La CNIL recuerda que el reclutador debe mantener el control de la decisión y poder explicarla.