Värbamisagentuur hoiab ATS-is rohkemat kui CV-sid. Seal on telefoninumbrid, e-kirjad, palgaootused, vestlusmärkmed, kliendimandaadid ja hinnangud, mida kandidaat ei pruugi kunagi avalikult jagada. Turvalisuse kontroll ei peaks piirduma küsimusega, kas müüjal on logo turunduslehel.
Alusta andmete kaardistusest
Kirjuta üles, milliseid kandidaadi ja kliendi andmeid süsteem hoiab, kust need tulevad ja kellele neid näidatakse. CV võib sisaldada isikukoodi, aadressi, sünnikuupäeva või muud infot, mida aktiivseks sourcinguks vaja ei ole. Mida rohkem ebavajalikku infot süsteemi kogutakse, seda suurem on vale ligipääsu ja vale säilitamise risk.
Vaata eraldi kandidaadi põhiandmeid, suhtlusajalugu, sisemisi hinnanguid, kliendi konfidentsiaalset infot, rikastatud kontaktandmeid ja kampaaniate logisid. Need ei pruugi vajada sama ligipääsu. Partner, sourcer ja väliskonsultant peaksid nägema ainult seda, mida nende töö eeldab.
Andmekaitse Inspektsiooni juhised on hea lähtekoht Eesti tööandjale ja agentuurile. Praktikas tähendab vastavus ka seda, et suudad selgitada, miks andmeid hoiad, kui kaua neid säilitad ja kuidas eemaldad need siis, kui eesmärk lõpeb.
Kontrolli tarnija turvamudelit
Küsi, kus andmeid töödeldakse ja millised alltöötlejad teenust toetavad. Vaata lepinguid, andmetöötluslepingut, turvameetmete kirjeldust, intsidentidest teavitamise korda ja andmete kustutamise protsessi. „Pilves” ei ole turvameede iseenesest. Oluline on, millised kontrollid pilveteenuse ümber toimivad.
Kontrolli, kas müüja kasutab krüpteerimist edastamisel ja säilitamisel, varukoopiaid, logimist, haavatavuste haldust ja regulaarset ligipääsu ülevaatust. Küsi, kas sinu andmeid kasutatakse mudelite treenimiseks ja kas sellest saab lepinguliselt loobuda. Vastus peab olema konkreetne, mitte ainult „me võtame privaatsust tõsiselt”.
Samuti uuri, kuidas andmed lahkuvad teenusest. Kas saad kandidaadid, märkmed, tegevused ja failid masinloetavas vormis eksportida? Tarnija vahetus ei tohiks tähendada, et kandidaatide suhtlusajalugu jääb lukku.
Pane ligipääsud vähima vajaliku põhimõttele
Kasuta isiklikke kontosid ja mitmeastmelist autentimist, kui see on saadaval. Määra rollid enne kasutajate lisamist ning kontrolli, kas kasutaja võib kandidaate eksportida, kustutada, muuta või ainult vaadata. Jagatud konto võib tunduda väikese agentuuri jaoks mugav, kuid pärast intsidenti ei ole võimalik kindlaks teha, kes midagi tegi.
Lisa kalendrisse ligipääsude ülevaatus. Kontrolli töötajate vahetumisel, puhkuse ajal ja välise partneri töö lõppedes, kas õigused on ikka põhjendatud. Eriti oluline on üle vaadata admin-kontod ja API võtmed, mida tavaliselt igapäevases vaates ei näe.
Yena puhul vaata, kuidas sinu tiim kasutaks recruiting CRM-i kandidaadisuhete hoidmiseks ja sourcingut uute profiilide leidmiseks. Õiguste loogika peab katma mõlemad: kandidaatide avastamise ja suhtluse ajaloo.
Turvaline kandidaatide töövoog
Ära saada CV-sid ja telefoninumbreid juhuslikele e-posti aadressidele. Määra, millal kandidaat esitatakse kliendile, millist infot sellel hetkel jagatakse ja kes annab loa. Väldi sisemistes märkmetes oletusi tervise, perekonna, rahvuse või muude kaitstud omaduste kohta, kui need ei ole tööülesande jaoks vajalikud.
Kontrolli kampaaniate seadistust: kellele sõnum läheb, millise allika alusel kontakt lisati, kuidas loobumist salvestatakse ja kas automaatne järeltegevus peatub. Sourcingu ja enrichment'i kiirus ei vabasta agentuuri vastutusest kontaktide kasutamise eest.
Kui AI järjestab kandidaate või selgitab võimalikku sobivust, peab recruiter nägema põhjendust ja kontrollima allikat. AI ei tohiks teha lõplikku värbamisotsust. Euroopa Komisjoni AI Acti raamistikku tasub lugeda koos oma juriidilise nõustaja ja andmekaitse spetsialistiga, sest konkreetne kasutusviis määrab riskid.
Valmista ette intsidentideks
Kirjuta enne intsidenti üles, kellele teatada, kes piirab ligipääsu, kes hindab mõjutatud andmeid ja kuidas dokumenteeritakse sündmus. Näiteks valele kliendile saadetud shortlist, kaotatud sülearvuti või kompromiteeritud konto vajavad kiiret ja harjutatud reaktsiooni.
Küsi tarnijalt, kuidas nad teavitavad turvaintsidendist, kui kiiresti vastavad ja millist infot annavad. Tee vähemalt kord aastas harjutus, kus kontrollid, kas tiim leiab logid, sulgeb kasutaja ja taastab ligipääsu ilma kogu andmebaasi jagamata.
Yena tasuta tööriistad sobivad siseauditi küsimuste koondamiseks. Enne platvormi valimist vaata ka Yena hinna- ja paketiteavet, kuid ära tee turvaotsust ainult hinna põhjal.
Kiire kontrollnimekiri
- Andmeväljad on inventeeritud ja ebavajalik info eemaldatud.
- Tarnija, alltöötlejad ja andmete asukoht on dokumenteeritud.
- Krüpteerimine, varukoopiad, logimine ja kustutamine on selgitatud.
- Rollid, MFA, admin-kontod ja API võtmed on üle vaadatud.
- Ekspordi ja tarnija vahetuse protsess on testitud.
- AI kasutuse piirid ja inimliku ülevaatuse sammud on kirjas.
- Intsidentide kontaktid ja teavitamise kord on tiimile teada.
Vaata üle ka igapäevased harjumused
Turvapoliitika töötab siis, kui turvaline valik on kiire. Kontrolli, kas recruiterid laadivad faile alla, saadavad kandidaadinimekirju isiklikust postkastist või jätavad olulise info isiklikesse märkmetesse, sest süsteem on ebamugav. Need on protsessi signaalid, mida saab parandada.
Korralda kord kuus lühike kontroll ühe kandidaadi, ühe kampaania ja ühe kasutajarolli põhjal. Vaata allikat, viimast kontakti, loobumist ja nähtavat infot. Väike korduv audit aitab probleemi avastada enne, kui see jõuab kliendi või kandidaadini.
Turvalisus on ka usaldus
Kandidaat märkab, kui agentuur ei tea, kust tema andmed pärinevad või miks talle pärast loobumist ikka kirjutatakse. Turvaline süsteem aitab hoida kontrolli, kuid ainult siis, kui protsess ja inimesed kasutavad seda järjekindlalt. Värbamistarkvara peaks vähendama hajutatud andmeid, mitte lisama veel ühte postkasti ja eksporti.
Kontrolli Yena töövoogu
Vaata, kuidas sourcing, ATS, värbamis-CRM, rikastamine, kampaaniad ja LinkedIni laiendus ühes Hiring OS-is kokku saavad.