如何安全匯出候選人證據

匯出會產生一份新的候選人證據副本，不是無害的下載。這份不偏向任何廠商的指南，幫助 IT 審閱人在系統之間移轉一份最少且可追溯的紀錄。它是選購評估時的參考工具，不是法律、隱私、資安、勞雇或採購建議。在有附日期的答案或測試解決之前，一律標為未知（unknown）。

先界定這次匯出

從業務決策、來源、目的地、具名收件人、保存觸發條件和負責人開始。選擇傳輸途徑之前，先寫好一份欄位層級的允許清單。排除無關內容、機密資訊、隱藏的中繼資料和未經核准的敏感細節。把來源觀察、候選人陳述、審閱人意見和未知分開標示。

類別	範例	必問的問題
公開脈絡	網址、標題、擷取日期、與職缺相關的訊號	這項觀察能不能重新追溯？
候選人提供	履歷、作品集、聯絡方式、自述的限制條件	誰可以查看？為什麼？
內部審閱	筆記、評分標準結果、審閱人、下一步行動	這是事實、意見，還是未知？
受限制資料	健康、身分、財務或背景細節	是否需要另外核准、另設存取權限？
機密資訊	API 金鑰、權杖、密碼、簽章材料	排除；如果已經外洩，就輪替或撤銷。

英國資訊專員辦公室（ICO）的資料最小化指引（於 2026 年 10 月 4 日查證）指出，資料應該適當、相關，並限於必要的範圍，也建議定期刪除。這是流程上的提示，不是法律結論。

比較傳輸途徑

比較完整的路徑，包括暫存檔、日誌、備份和目的地的副本。檔案可能比較容易檢查；API 會多出權限範圍、分頁和速率限制的風險；連結則可能藏著被轉寄和難以撤銷的風險。

途徑	要索取的證據	常見失誤
檔案／API／連接器	欄位對照、格式、版本、ID、分頁、限制、權限範圍、日誌、回滾方式	漏掉頁面、欄位，或沒有寫入目的地
排程交換	資料結構、清單檔（manifest）、校驗碼（checksum）、加密、金鑰負責人、到期和刪除	過時或重複的共用檔案
分享連結／報告	具名身分、到期、撤銷、下載和檢視者稽核	連結被轉寄，或沿用繼承來的存取權
人工／電子郵件	核准的目的地、本機裝置的處理方式、遮蔽和送達證明	沒人負責、還帶著多餘欄位的副本

依序執行檢查

1. 格式和完整性

核對資料時選用機器可讀的輸出，給人看的報告只用來審閱。測試編碼、分隔符號、空值、日期／時區、Unicode、長文字、附件、連結、頁面順序和中繼資料。CSV/JSON 要測試引號、空值和重複的 ID；PDF 則要檢查擷取出來的文字和連結目標。要求附上一份清單檔，內容包括匯出 ID、來源／版本、筆數、資料結構、時間戳記、檔名、校驗碼、遮蔽規則和負責人。

2. 身分和授權

記錄發起匯出的身分或服務帳號、權限範圍、到期、輪替和撤銷方式，以及它能存取哪些候選人物件。用一個權限受限的操作人員、一個已移除的管理員和第二個租戶，測試物件層級和功能層級的授權。OWASP API Security Top 10（2023）是提升風險意識用的參考，不是供應商認證。

3. 加密和傳輸

詢問傳輸中和靜態儲存時使用的確切協定、端點、儲存層、金鑰負責人、輪替，以及暫存檔、日誌、備份和客服存取的處理方式。NIST SP 800-57 Part 1 Rev. 5（2020 年 5 月）是金鑰管理的參考文件，不能證明已經實作。確認收件人能不能下載明文。如果收件人在外部或海外，記錄法律實體、所在地、後續存取和傳輸機制。ICO 國際傳輸指南於 2026 年 1 月 15 日更新；檔案很小或連結會到期，並不代表自動落在傳輸範圍之外。

4. 收件人和稽核

使用具名帳號或核准的群組，採最小權限、設定到期，並實際測試過撤銷。保留一個匯出 ID，把來源紀錄集、核准、欄位規格、遮蔽、檔案、校驗碼、送達、收件人、存取、更正和刪除串在一起。日誌需要存取控制和保存期限，因為裡面可能有候選人識別碼。如果產品只回報「export complete」，就把證據標為部分（partial），並核對 ID 和筆數。

5. 保存和復原

為來源、目的地、工作區、下載檔、連結、附件、日誌、快照和備份，分別設定日期或觸發條件。定義法律保留的例外，以及「刪除」對線上儲存空間、備份和收件人副本各代表什麼。用合成或遮蔽過的紀錄，測試逾時、速率限制、重複、截斷、校驗碼錯誤、寄錯收件人和刪除失敗等情況。出錯時先凍結下游匯入，保留不完整的產出檔和匯出 ID，比對不可變的 ID，再從已知的游標或最後一個已知正常的版本繼續。重試要有退避上限；結果不確定的寫入，不要盲目重試。

EU GDPR 的日期是 2016 年 4 月 27 日；NIST Privacy Framework 1.0 是 2020 年 1 月發布的自願性指引；NIST CSF 2.0 的日期是 2024 年 2 月 26 日；SP 800-61 Rev. 3 則是 2025 年 4 月。用它們來分派負責人，而不是用來宣稱合規。

五位候選人的試跑

這個虛構的香港範例，要把五位入圍候選人從人才搜尋工作區移到 ATS。最少的資料包包括候選人／職缺 ID、來源或提供的檔案和日期、與工作相關的證據、證據類型、條件版本、審閱人、未知項目和下一步行動。電話號碼、無關內容、筆記和隱藏的中繼資料都排除在外。

試跑時發現，CSV 裡有一則筆記被截斷、一份 PDF 缺少來源網址和條件版本，還有一個資料夾讓全體員工都繼承了存取權。審閱人退回這次匯出，修正編碼和出處，移除繼承的存取權，再重新測試。在隱私負責人核准欄位、途徑、保存和刪除之前，外部面試官什麼都拿不到。客服或備份的存取權不明時，一律 STOP（停止）。

客服、成本和停止控管

針對每條途徑，索取附日期的答案，涵蓋格式／限制、欄位對照、驗證、加密、所在地、次處理者、客服、日誌、保存／刪除、超額費用、導入、續約和退場。記錄幣別、合約期間、用量、目的地成本和審閱工時；沒有標價的項目是未知，不是零。

遇到以下情況就停止：目的、允許清單、收件人、授權、傳輸、加密、核對、復原、刪除或負責歸屬還沒解決；重試可能遺失或重複紀錄；或客服、成本或退場的證據不足。只有在具備負責人、期限、補償性控制和回滾觸發條件時，才使用 PILOT WITH CONDITIONS（附條件試行）。

Talent Summoner 適合放在哪裡

Talent Summoner 是我們做人才搜尋和候選人排序的產品。公開的人才搜尋頁面說明了從職缺需求說明出發的人才發掘，以及排序好的公開來源結果；候選人排序頁面則說明如何為你提供的履歷排序，以及可分享的報告和 PDF 報告。這些頁面並沒有確立 ATS／API／SFTP 連接器或匯出控管的合約。任何交接都要當成團隊自己控管的流程；查證和決定仍由招募團隊負責。

PDF 比 API 安全嗎？

不是。要在整條途徑上比較欄位、出處、授權、失敗復原和刪除。

哪些內容應該遮蔽？

任何對既定目的不必要的內容，尤其是機密資訊、無關的個人檔案內容，以及未經核准的敏感資料。送出之前就要先遮蔽。

要怎麼傳給外部面試官？

寫明法律實體和收件人、限制欄位、確認途徑和保存期限、測試撤銷，並取得負責的隱私負責人核准。

匯出到一半失敗怎麼辦？

暫停匯入，保留匯出 ID 和不完整的檔案，核對不可變的 ID，再從已知的游標或最後一個已知正常的版本繼續。

Talent Summoner 有提供安全的 ATS 匯出嗎？

它的公開頁面說明的是人才搜尋和履歷排序，不是 ATS／API／SFTP 匯出或刪除合約。請直接查證目前的條款，並自己控管交接。

先做一次虛構的五位候選人試跑，把資料包和來源核對一遍，並把核准紀錄和每一份副本、每一位負責人一起保存。然後用人才搜尋做經核准的人才發掘，或用候選人排序處理你提供的一批履歷。

可直接複製的匯出核准紀錄

候選人證據匯出紀錄

決策和職缺：
來源系統／工作區／環境：
目的地系統／資料夾／環境：
匯出負責人和核准負責人：
隱私、資安和採購審閱人：
匯出 ID 和來源查詢或紀錄集版本：
試跑日期和正式匯出日期：

範圍和分類
這份副本的目的：
納入範圍的候選人 ID／職缺 ID：
允許的欄位和各自的目的：
排除或遮蔽的欄位：
敏感或受限制資料的決定：
來源網址／提供的檔名和擷取日期：

格式和完整性
格式、編碼、資料結構和時區：
紀錄筆數和附件數：
清單檔和校驗碼的存放位置：
必要的連結、時間戳記、標籤和條件版本：
往返轉換或輸出呈現的測試結果：

存取和傳輸
發起匯出的身分、權限範圍和到期：
收件人帳號、法律實體和所在地：
目的地角色和下載／轉寄設定：
加密途徑、金鑰負責人和輪替證據：
客服、次處理者、備份和後續存取的界線：
傳輸審查和核准（如適用）：

稽核和生命週期
匯出、送達和存取日誌的位置：
更正和替換方式：
來源保存日期或觸發條件：
目的地、暫存檔、連結、日誌和備份的保存期限：
收件人刪除確認和日期：
法律保留或例外的負責人和解除條件：

失敗處理和決定
筆數、分頁、重複、逾時和校驗碼測試：
寄錯收件人和撤銷測試：
已知失敗、圍堵措施、負責人和重新測試日期：
客服管道和回應承諾：
供應商費用、用量、導入和退場的假設：
決定：PASS / PILOT WITH CONDITIONS / STOP：
放行權責人和下一次審查的觸發條件：