--- title: "Software de selección conforme al RGPD y al AI Act: la checklist para elegir" description: "Las preguntas que debes hacerle a un editor de software de selección antes de firmar: alojamiento y subencargados, plazos de conservación, información y derechos de los candidatos, funciones de IA según el AI Act, trazabilidad y reversibilidad." url: https://marvins.ai/es/blog/software-seleccion-conforme-rgpd-ley-ia language: es published: 2026-11-11 author: "Christophe Hébert" --- # Software de selección conforme al RGPD y al AI Act: la checklist para elegir Las preguntas que debes hacerle a un editor de software de selección antes de firmar: alojamiento y subencargados, plazos de conservación, información y derechos de los candidatos, funciones de IA según el AI Act, trazabilidad y reversibilidad. Un software de selección conforme al RGPD y al AI Act no hace conforme a tu agencia en su lugar: te da los medios para serlo. Antes de firmar, comprueba seis puntos: el alojamiento y los subencargados, los plazos de conservación, la información y los derechos de los candidatos, las funciones de IA, la trazabilidad y la reversibilidad. Esta checklist recoge las preguntas que debes hacerle al editor y lo que contiene una buena respuesta. Las reglas detrás de cada pregunta están en nuestros dos artículos: [RGPD en selección de personal](https://marvins.ai/es/blog/rgpd-seleccion-conservacion-cv) y [el Reglamento de IA y la selección de personal](https://marvins.ai/es/blog/ley-ia-seleccion-personal). _Artículo verificado el 11 de noviembre de 2026. No sustituye el consejo de tu DPD o de tu asesor jurídico._ ## Lo que hay que recordar - **El editor es tu encargado del tratamiento.** Firma un acuerdo de tratamiento de datos (artículo 28 del RGPD) y enumera sus propios subencargados, proveedores de IA incluidos. - **Los plazos se configuran en la herramienta.** Una base de talento sin plazo de conservación configurado acaba superando los plazos que recomiendan las autoridades, como los 2 años de la CNIL en Francia. - **Hay que informar a los candidatos que encuentras.** La herramienta debe ayudarte a hacerlo en el mes, no solo guardar sus perfiles. - **Cada función de IA se clasifica.** Las que clasifican o evalúan candidatos entrarán en el alto riesgo del AI Act el 2 de diciembre de 2027. - **Una solicitud del candidato lo cubre todo.** El acceso o la supresión abarcan el CV, las notas, los intercambios y los documentos. ## 1. Alojamiento y subencargados El RGPD no exige alojar los datos en un país concreto, pero regula cada transferencia fuera del Espacio Económico Europeo y exige un contrato entre tú y el editor. La pregunta útil no es tanto dónde está el servidor como la cadena completa: el editor, sus subencargados y los países donde cada uno trata tus datos. | Pregunta que debes hacer | Una buena respuesta | | -------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------- | | ¿Dónde se alojan los datos, copias de seguridad incluidas? | Un país y un proveedor de alojamiento con nombre, y la misma respuesta para las copias. | | ¿Tenéis un acuerdo de tratamiento de datos (DPA, artículo 28)? | Un documento firmable, entregado antes de firmar el contrato. | | ¿Quiénes son vuestros subencargados y dónde tratan los datos? | Una lista con nombres, con el país y la garantía de cada transferencia fuera del Espacio Económico Europeo. | | ¿Están vuestros proveedores de IA en esa lista? | Sí, con nombre y con lo que se les transmite. | ## 2. Plazos de conservación Las autoridades esperan un plazo limitado para los candidatos descartados; en Francia, la CNIL recomienda no superar 2 años desde el último contacto, con su consentimiento o tras informarles. Una regla que la herramienta no aplica se queda en intención. El editor debe mostrarte dónde se configura el plazo y qué pasa con una ficha al vencer. | Pregunta que debes hacer | Una buena respuesta | | ----------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------- | | ¿Se puede fijar un plazo de conservación para los candidatos inactivos? | Sí, configurable por un administrador, con una vista previa de las fichas afectadas antes de activarlo. | | ¿Qué pasa al vencer el plazo? | Se consulta al candidato antes de retirarlo, o se retira la ficha, según tu ajuste. | | ¿Están protegidas las fichas vinculadas a un proceso en curso? | Sí, una ficha vinculada a un proceso activo o a una misión no se retira. | ## 3. Información y derechos de los candidatos El RGPD te obliga a informar a cada candidato, en la recogida (artículo 13) o como máximo un mes después si el perfil viene de otro sitio (artículo 14), y a responder a sus solicitudes en un mes. Una buena herramienta asume parte del trabajo: el formulario, el correo informativo, la búsqueda de todos los datos de una persona. | Pregunta que debes hacer | Una buena respuesta | | ------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------- | | ¿Muestra el formulario de candidatura tu información y una casilla de consentimiento? | Sí, redactada por ti, con un enlace a tu política de privacidad. | | ¿Cómo se informa a un perfil que has encontrado? | Un correo informativo que le permite oponerse, enviado por la herramienta o preparado para ti. | | ¿Cubre una solicitud de supresión las notas, los intercambios y los documentos? | Sí, la ficha entera, y la persona no vuelve con una nueva candidatura si se opuso. | | ¿Cómo encuentras todo lo relativo a una persona para una solicitud de acceso? | Una ficha única que reúne CV, notas, intercambios y documentos. | ## 4. Funciones de IA y AI Act A partir del 2 de diciembre de 2027, un sistema de IA que sirve para analizar, filtrar o evaluar candidaturas es de alto riesgo según el AI Act. El editor es su proveedor; tú eres su responsable del despliegue. Pídele la lista de sus funciones de IA y, para cada una, qué hace con un candidato. | Pregunta que debes hacer | Una buena respuesta | | ---------------------------------------------------------------------------- | --------------------------------------------------------------------------- | | ¿Qué funciones de IA evalúan, clasifican o filtran candidatos? | Una lista precisa, separada de las funciones que redactan o resumen. | | ¿Cómo clasificáis esas funciones según el AI Act? | Una evaluación escrita por función y un calendario para las de alto riesgo. | | ¿Puede una función descartar a un candidato sin intervención humana? | No, o solo mediante un ajuste explícito que activas tú. | | ¿Aportáis instrucciones de uso y registros? | Una documentación de cada función y un registro de lo que ha hecho. | | ¿Entrenan mis datos vuestros modelos o los de vuestros proveedores? | No, por contrato, citando la oferta de cada proveedor. | | ¿Alguna herramienta analiza las emociones de un candidato en una entrevista? | No: está prohibido en la selección desde el 2 de febrero de 2025. | ## 5. Acceso, trazabilidad y reversibilidad El RGPD exige una seguridad adaptada a los datos, y el AI Act pide al responsable del despliegue que vigile lo que hace la herramienta. Ambos suponen saber quién ve qué y quién hizo qué. La reversibilidad, por último, decide si puedes cambiar de herramienta sin perder datos ni conservarlos demasiado tiempo. | Pregunta que debes hacer | Una buena respuesta | | -------------------------------------------------- | ------------------------------------------------------------------ | | ¿Se configuran los permisos por rol? | Sí, hasta limitar a un usuario a las fichas de su equipo. | | ¿Queda rastro de las acciones sobre una ficha? | Sí, con el autor y la hora de cada acción. | | ¿Puede otro cliente del editor ver nuestros datos? | No, aislamiento por cliente, descrito en las medidas de seguridad. | | ¿Podemos exportar todos nuestros datos al irnos? | Sí, en un formato reutilizable, sin costes ocultos. | ## En Marvin Estas son las respuestas de Marvin a esta checklist, tal como figuran en el producto y en el Trust Pack, el dossier de cumplimiento que entregamos a los equipos jurídicos de nuestros clientes. Marvin te ayuda a cumplir tus obligaciones; no te hace conforme en tu lugar. - **Alojamiento y subencargados.** Datos y copias de seguridad diarias alojados en Francia, en Scaleway, París. El DPA (artículo 28) y la lista de subencargados, proveedores de IA incluidos, forman parte del Trust Pack, con las medidas de seguridad y el plan de continuidad. - **Plazos de conservación.** Un administrador fija el tiempo sin actividad (24 meses por defecto, de 6 a 120 meses) y ve las fichas afectadas antes de activarlo. Al vencer, el candidato recibe un correo que le pregunta si acepta que guardes su perfil; una ficha vinculada a un proceso activo, una misión o una factura nunca se retira con este ajuste. - **Información a los candidatos.** Una vez activada la conservación, los perfiles encontrados por ti y guardados después reciben un correo informativo con un botón para oponerse. El formulario de la página de empleo acepta una casilla de consentimiento que redactas tú. - **Descarte y supresión.** En los ajustes de candidaturas, eliges qué pasa al descartar. Tras una solicitud de supresión, la lista de bloqueo (dirección de correo, dominio o dirección IP) aparta las nuevas candidaturas de la persona. - **IA.** Marvin no usa tus datos para entrenar modelos de IA. Los proveedores de IA y la ficha del sistema de IA forman parte del Trust Pack y se presentan en la página de [IA responsable](https://marvins.ai/es/ia-responsable). Una automatización basada en una puntuación puede hacer avanzar a un candidato por encima de un umbral que fijas tú, nunca descartarlo. - **Acceso y trazabilidad.** Permisos por rol, aislamiento estricto por agencia, historial de acciones en cada ficha con su autor y su hora. Sigues siendo propietario de tus datos y puedes exportarlos. El Trust Pack se pide en la página de [seguridad y Trust Pack](https://marvins.ai/es/seguridad); un miembro del equipo te lo envía. ## FAQ **¿Puede un software de selección ser «conforme al RGPD»?** Un software no hace conforme a tu agencia: es el uso lo que es conforme o no. El editor, encargado del tratamiento según el artículo 28 del RGPD, se compromete mediante un acuerdo de tratamiento de datos y te da los ajustes que te permiten cumplir tus obligaciones: plazos, información, derechos, seguridad. **¿Qué documentos debes pedirle a un editor de software de selección?** El acuerdo de tratamiento de datos (DPA), la lista de sus subencargados con su país, sus medidas de seguridad, su plan de continuidad y, si ofrece IA, la lista de sus proveedores de IA y una descripción de cada función que evalúa candidatos, con sus instrucciones de uso. **¿Es obligatorio alojar los datos de candidatos en la UE?** No. El RGPD no exige alojar los datos en un país concreto. Regula las transferencias fuera del Espacio Económico Europeo. Un alojamiento en la UE simplifica la cuestión, pero los subencargados del editor, proveedores de IA incluidos, pueden tratar datos en otros lugares: pide la lista. **¿Qué debes comprobar en las funciones de IA de un software de selección?** Cuáles evalúan, clasifican o filtran candidatos, y por tanto entran en el alto riesgo del AI Act a partir del 2 de diciembre de 2027; qué aporta el editor para la supervisión humana y los registros; si una función puede descartar a un candidato sin intervención humana; y si tus datos entrenan modelos. ## FAQ ### ¿Puede un software de selección ser «conforme al RGPD»? Un software no hace conforme a tu agencia: es el uso lo que es conforme o no. El editor, encargado del tratamiento según el artículo 28 del RGPD, se compromete mediante un acuerdo de tratamiento de datos y te da los ajustes que te permiten cumplir tus obligaciones: plazos, información, derechos, seguridad. ### ¿Qué documentos debes pedirle a un editor de software de selección? El acuerdo de tratamiento de datos (DPA), la lista de sus subencargados con su país, sus medidas de seguridad, su plan de continuidad y, si ofrece IA, la lista de sus proveedores de IA y una descripción de cada función que evalúa candidatos, con sus instrucciones de uso. ### ¿Es obligatorio alojar los datos de candidatos en la UE? No. El RGPD no exige alojar los datos en un país concreto. Regula las transferencias fuera del Espacio Económico Europeo. Un alojamiento en la UE simplifica la cuestión, pero los subencargados del editor, proveedores de IA incluidos, pueden tratar datos en otros lugares: pide la lista. ### ¿Qué debes comprobar en las funciones de IA de un software de selección? Cuáles evalúan, clasifican o filtran candidatos, y por tanto entran en el alto riesgo del AI Act a partir del 2 de diciembre de 2027; qué aporta el editor para la supervisión humana y los registros; si una función puede descartar a un candidato sin intervención humana; y si tus datos entrenan modelos.