ATS 整合評估檢核清單

ATS 整合（ATS integration）在展示時看起來可能很完整，實際上卻漏掉某個必填欄位、產生重複紀錄，或讓失敗的 webhook 無聲無息地消失。在選型階段使用這份檢核清單，並用同一個職缺、同一批測試紀錄和同一條驗收流程比較每家廠商。請對方提供書面回答、最新的技術文件，並替每個未知項目指定一位負責人。

這是一份採購輔助工具，不是法律、資安或隱私建議。請資料、資安和法務負責人依你的營運地點、候選人和合約，確認實際的要求。

界定整合範圍

用一句話描述這次交接：來源系統、接收的 ATS、觸發條件、資料流向、紀錄類型、負責人，以及怎樣算完成。分清楚原生連接器、直接串接 API、合作夥伴服務、排程匯出和手動連結。每一種的維護負擔都不一樣。

路徑	對小團隊的好處	要算進成本的取捨	適合選擇的時機
原生連接器	初期建置較少	方案限制、廠商改版和對廠商支援的依賴	必填欄位和復原證據都通過測試
API 和 webhook	控制精準、狀態即時	建置、密鑰、監控、重試和結構描述（schema）維護	有一位技術負責人能維運
合作夥伴平台	自訂程式碼較少	第二份合約、另一條資料路徑、速率限制和事故交接	合作夥伴的資安和退出條款都有文件記載
匯出／匯入	初期工程投入低	延遲、重複紀錄審查、受限檔案和手動對應	可以接受經人工查證的延遲
自建服務	能配合特殊的工作流程	建置、資安、維護和汰換負擔最高	上線後這個流程仍有預算和負責人

選擇能通過各項關卡、又最不複雜的路徑。問自己：哪些工作會消失、哪些工作會出現，以及團隊不必等廠商，就能自己發現並復原哪些問題？

檢驗 API 和 webhook 的證據

向廠商索取 API 版本、環境、物件模型、驗證指南、速率限制、分頁、錯誤格式、棄用政策和變更紀錄。RFC 9110（IETF，2022 年 6 月）定義了 HTTP 狀態碼的語意；請廠商說明，他們如何區分已接受的非同步寫入、被拒絕的請求，以及寫入可能已經成功的逾時。

面向	要索取的證據	停止訊號
API 物件	建立、讀取、更新、搜尋、封存／刪除；穩定的 ID；必填欄位；列舉值；空值；日期和時區	不支援必要的 ATS 物件或欄位
限制	速率、突發量、配額、逾時、分頁和退避（backoff）指引	重試可能讓 ATS 過載，或無聲無息地跳過紀錄
Webhook 事件	事件名稱、酬載、順序、延遲或重複送達、不可變的事件 ID	沒有去重鍵，或沒有最新的結構描述
來源驗證	簽章、時間戳記、重放防護和密鑰輪替	接收端無法驗證來源
送達	重試排程、死信佇列／隔離區、日誌、警示、重放和暫停控制	只有廠商支援人員能找到或重放失敗的事件
變更控管	版本管理、預告期、沙盒事件和相容性政策	破壞性變更可能未經審查就進入正式環境

如果沒有 webhook，就比較輪詢的即時程度、速率成本、漏掉變更時的行為，以及對帳方式。用一筆無害的紀錄，測試 ATS 無法連線、429 回應、格式錯誤的欄位、無效的簽章和網路逾時。

對應資料和存取權

索取逐欄位的對應表，而不是一張截圖。內容要包括候選人和職缺 ID、來源網址、核准的聯絡欄位、地點、階段、負責人、處置結果、筆記、時間戳記、附件，以及同意或其他來源出處紀錄。把每個欄位標為必填、經轉換、衍生、不支援或刻意排除。測試重複紀錄、很長的筆記、不支援的附件、改名的階段和變更過的識別碼。

控管項目	買方要問的問題	證據
身分識別	用哪個穩定的鍵來防止重複紀錄或不安全的合併？	比對規則、衝突處理方式和人工審查結果
驗證	用的是 OAuth、API 金鑰、服務帳號，還是簽章請求？	權限範圍清單、權杖儲存方式、到期、輪替和撤銷測試
權限	能否依工作區、物件和角色限制存取？	招募人員、用人主管、管理員和唯讀角色的測試
稽核	誰變更了某個欄位、憑證、匯出或階段？	可搜尋、記有操作者和時間戳記的稽核事件
更正	兩邊系統如何處理更正、刪除或限制處理的請求？	負責人、流程和完成證據

RFC 6749（IETF，2012 年 10 月）說明了 OAuth 的委派存取模型；RFC 7636（IETF，2015 年 9 月）說明了公開用戶端的 proof-key 保護機制。把它們當成參考標準，而不是已經實作的證明。優先使用專用、符合最小權限的整合身分，而不是某位招募人員的個人帳號。

審查隱私、資安和支援

問清楚候選人資料、附件、日誌、備份和支援副本在哪裡處理；每一種保存多久；哪些次處理者可以存取；以及資料返還、刪除、事故和跨境傳輸如何處理。在資料負責人核准測試資料和目的地之前，不要把真實的履歷放進試用環境。

用 NIST 網路安全框架 2.0（NIST，2024 年 2 月 26 日）來整理證據，涵蓋治理、識別、保護、偵測、回應和復原六個功能。用 OWASP API 安全十大風險 2023 年版（2023 年 7 月發布）來詢問授權、驗證、資源限制、組態設定和不安全的 API 使用。這兩個來源都不是廠商認證。

歐盟 GDPR 的日期是 2016 年 4 月 27 日；第 25 條規範了「設計及預設的資料保護」。英國資訊專員辦公室（ICO）的 UK GDPR 指引於 2026 年 2 月 5 日更新，說明了要在系統整個生命週期中考量隱私。這些參考資料不能決定適用哪一部法律。請負責的人記下適用的規則、證據、例外和決定日期。

支援和生命週期問題	需要的回答
誰監控送達狀況、速率限制、憑證和結構描述變更？	指名的內部負責人和廠商的升級處理管道
遇到資料遺失、重複寫入或資安事故時，回應流程是什麼？	嚴重程度定義、確認回覆、進度更新和復原負責人
支援人員看得到什麼？	存取核准、支援日誌、保存期限和次處理者的界線
怎麼停用這個整合？	暫停、清空佇列、撤銷、備援和恢復的流程
我們要怎麼離開？	匯出欄位、附件、稽核紀錄、費用、刪除和最終確認

估算導入成本和復原計畫

不要自己編一個整合價格，也不要假設連接器已經包含在方案裡。給每家廠商同一個情境，請他們針對席次、職缺、候選人、附件、API 呼叫、事件、環境、導入、移轉、支援、監控、超額用量、稅金、續約和退出，提供廠商端的費用。把這份報價和內部的欄位對應、隱私審查、測試、監控、修復和汰換工作量分開計算。記下幣別、假設、排除項目和報價日期。

在正式寫入之前，保存最後一份已知正常的欄位對應表、版本、憑證負責人和範例匯出檔。定義復原指的是暫停寫入、撤回更新、還原紀錄，還是人工更正；復原不等於自動刪除。只接受這樣的設計：負責人能判斷一次逾時到底有沒有寫入、能隔離有問題的事件，並能完成 ATS 對帳，又不會產生重複的候選人或覆蓋掉已做的決定。

每個面向給分 0（沒有證據）、1（部分符合或依賴特定負責人）或 2（有文件記載且經過測試）：工作流程和欄位；API／webhook；身分識別和權限；隱私／資安；支援和維護；廠商費用加內部成本；匯出和退出。最後決定 PASS（通過）、PILOT WITH CONDITIONS（有條件試行）或 STOP（停止）。

停止條件

必要的欄位、階段、附件或來源出處無法對應，也無法對帳。
憑證是共用的、權限過大、無法輪替，或無法撤銷。
重複事件、失敗的寫入或無效的 webhook 無法偵測，也無法復原。
審查之後，資料所在地、保存期限、次處理者或支援存取權仍然不明。
匯出內容不足以支援更正、刪除或汰換。
報價裡缺少某項必要功能或計費單位。
沒有指名的負責人能監控、升級處理和復原這個整合。

可複製的決策紀錄

ATS 整合評估
廠商、產品、方案和報價日期：
整合路徑和來源／接收系統：
決策、技術、資料和隱私負責人：
納入範圍的物件、欄位、階段、附件和來源出處：
API 版本、事件、ID、限制、重試和重放證據：
憑證類型、權限範圍、輪替、撤銷和測試過的角色：
資料所在地、保存期限、次處理者、刪除和匯出：
支援管道、監控負責人和變更政策：
廠商費用、內部工作量、超額用量和退出成本：
失敗測試和復原結果：
分數和決定：PASS / PILOT WITH CONDITIONS / STOP
待解條件、行動、負責人和到期日：
核准和下次回顧日期：

Talent Summoner 適合放在哪裡

Talent Summoner 是我們的產品，文件記載的範圍是人才搜尋和候選人排序，不是 ATS 整合。人才搜尋從一份職缺需求說明開始，支援外部的人才發掘；候選人排序則依你提供的職缺審閱你提供的履歷，交給人審閱。這兩個頁面都沒有承諾 ATS API 存取、webhook 送達、應徵者人才管道管理、自動拒絕或雙向同步。主動聯繫是另一項功能：Talent Summoner 會草擬每一則訊息，由你審閱並確認寄出後，才從你連結的 Gmail、Outlook 或 LinkedIn 帳號寄出。任何手動匯出或連結都當成人工交接處理，指定負責人並留下證據；等這條界線清楚之後，再查看價格。

小團隊應該先測試什麼？

拿一位具代表性的候選人，從觸發條件一路走到 ATS 紀錄，涵蓋必填欄位、來源出處、重複紀錄處理、一次失敗的請求，以及人工查證。

原生連接器一定比 API 好嗎？

不一定。用同一套驗收測試，比較欄位涵蓋範圍、權限、復原能力、支援、變更控管、退出和整體維運工作量。

該怎麼比較整合成本？

用同一個情境和書面報價。把席次、職缺、紀錄、事件、導入、支援、超額用量、續約、內部工作量和退出成本分開列出。

Talent Summoner 能和 ATS 整合嗎？

它目前文件記載的範圍是人才搜尋和候選人排序。它不是 ATS，這份檢核清單也沒有宣稱任何 API、webhook、連接器或同步功能。

什麼時候該停止試行？

遇到必要資料無法對應、寫入無法復原、存取不安全、隱私或資安風險未解決、匯出不足，或沒有人負責復原時，就停止。

把報價、欄位對應表、測試證據、失敗日誌和決策紀錄存放在一起。API、webhook、方案或結構描述有重大變更之後，重新測試。如果你有一份核准的職缺需求說明，可以開始人才搜尋；如果手上已經有履歷，就用候選人排序，再另外記錄 ATS 的交接方式。