ATS Open Source ou SaaS: Qual Escolher

Um ATS open source é mais barato para instalar, mas raramente é mais barato para operar. A licença é de graça, o código é aberto, qualquer pessoa pode rodar em um servidor próprio sem pagar mensalidade. O problema aparece seis meses depois, quando uma vulnerabilidade de segurança é divulgada, quando um candidato pede a eliminação dos próprios dados, ou quando o convite de entrevista some na caixa de spam. Nesse momento fica claro que a linha mais barata do orçamento era a licença, e a mais cara era sempre a operação.

Este artigo faz a conta completa entre um ATS open source e um ATS SaaS, linha por linha, sem fingir que uma opção é sempre melhor que a outra. Você vai ver quem assume cada responsabilidade em cada modelo, uma tabela de custo total de propriedade ao longo de três anos e os casos honestos em que hospedar o próprio sistema realmente vence. A AjustaCV não vende ATS para empresas, é uma ferramenta para quem está do lado do candidato. Mas as mesmas regras de parser que um ATS aplica na triagem são as que um candidato pode testar de graça em ajustacv.com/ats, o que ajuda a entender como o sistema que você está avaliando vai se comportar na prática.

O que a licença gratuita não inclui

A licença gratuita de um ATS open source não inclui a operação do sistema, só o direito de rodá-lo. ATS (Applicant Tracking System): sistema que recebe, filtra e organiza candidaturas antes de um recrutador humano ver o currículo. O código-fonte aberto de um projeto como o OpenCATS pode ser baixado e instalado por qualquer pessoa, sem custo de licenciamento. É um projeto real, mantido desde 2007, com o mérito de ter tornado recrutamento sério acessível para quem não tinha orçamento para um SaaS.

O que o repositório não entrega é servidor, backup, monitoramento, atualização de segurança, configuração de e-mail e conformidade com a LGPD. Isso não é uma falha do projeto, é a natureza de qualquer software self-hosted: o código é um ponto de partida, a operação é um trabalho contínuo que alguém, dentro da sua empresa, vai precisar fazer.

Um projeto irmão do OpenCATS na categoria é o módulo de recrutamento do Odoo, suíte open source de aplicações de negócio que inclui rastreamento de candidatos dentro do mesmo ecossistema de RH e financeiro. A lógica é a mesma: código aberto e gratuito, operação por conta de quem instala.

Quem aplica o patch de segurança quando uma vulnerabilidade aparece no seu ATS?

Em um ATS self-hosted, a resposta é sempre alguém da sua própria equipe, e essa pessoa precisa saber que a vulnerabilidade existe antes de conseguir corrigi-la. Isso exige acompanhar o repositório, ler changelogs de segurança e ter disciplina para aplicar atualizações mesmo quando o sistema está funcionando sem problema aparente. Uma base de dados de candidatos parada, sem patch, é justamente o tipo de alvo que interessa a quem explora vulnerabilidades conhecidas em software popular.

Em um ATS SaaS, esse trabalho já está embutido no contrato. O fornecedor mantém uma equipe cuja função é monitorar, testar e aplicar correções antes que um cliente precise sequer saber que existiu um problema. Você não vê essa equipe, mas está pagando por ela toda vez que a mensalidade cai.

A pergunta que separa os dois modelos não é “qual sistema é mais seguro por padrão”, é “quem, na minha empresa, vai acompanhar isso todo mês, e o que acontece se essa pessoa sair de férias, mudar de time ou pedir demissão”.

Quem responde ao pedido de eliminação de dados de um candidato?

Quem responde é sempre o controlador dos dados, e no self-hosted o controlador é a própria empresa, sem intermediário. O Art. 18, inciso VI, da Lei 13.709/2018 (LGPD) garante ao titular dos dados o direito de pedir a eliminação dos dados pessoais tratados com o seu consentimento, e o inciso IV do mesmo artigo garante a eliminação de dados desnecessários, excessivos ou tratados fora da conformidade da lei.

LGPD Art. 18, incisos IV e VI: garantem ao titular o direito de pedir a eliminação de dados pessoais desnecessários, excessivos ou tratados com base no consentimento, salvo exceções previstas em lei.

Em um ATS SaaS com operação séria, esse pedido normalmente já tem um fluxo pronto: um formulário, um prazo de resposta, um registro de que o pedido foi atendido. Em um ATS self-hosted, alguém precisa saber onde os dados daquele candidato estão fisicamente guardados, incluindo cópias em backup, e apagar todas elas sem quebrar o restante do banco de dados. Fazer isso uma vez é trabalhoso. Fazer isso de forma consistente, toda vez que um pedido chega, é um processo que precisa existir antes do primeiro pedido, não depois.

Backup e restauração testada: a diferença entre ter backup e saber que ele funciona

Ter um arquivo de backup não é o mesmo que saber restaurar um sistema a partir dele, e essa diferença só aparece no pior momento possível. Um ATS self-hosted normalmente vem com algum mecanismo de backup configurável, mas configurar o backup é a parte fácil. A parte difícil é testar a restauração periodicamente, em um ambiente separado, para confirmar que o arquivo salvo realmente reconstrói o banco de dados de candidaturas, vagas e histórico de contato.

Um levantamento comparativo de custo total de propriedade entre CMS self-hosted e SaaS, da UnfoldCMS, estima entre 24 e 60 horas por ano só de manutenção de rotina em um sistema web pequeno auto-hospedado, sem contar upgrades maiores de versão. Não é um estudo específico de ATS, mas ilustra a ordem de grandeza de manutenção contínua que qualquer sistema self-hosted de porte parecido costuma exigir, e backup testado é uma fatia dessa conta que quase sempre fica de fora do planejamento inicial.

Em um ATS SaaS, a restauração testada é parte do serviço que você já paga, geralmente coberta por um acordo de nível de serviço que define tempo de recuperação em caso de falha. A pergunta a fazer antes de escolher qualquer ATS, self-hosted ou SaaS, é simples: “quando foi a última vez que alguém testou restaurar este backup, de verdade, e quanto tempo levou”.

Deliverability de e-mail: o motivo mais subestimado para recrutamento self-hosted falhar

Deliverability (entrega de e-mail): a taxa com que e-mails enviados chegam à caixa de entrada do destinatário, em vez de caírem em spam ou serem bloqueados. Um ATS envia e-mail o tempo todo, confirmação de candidatura, convite de entrevista, atualização de status, e cada um desses e-mails depende da reputação do domínio e do servidor de envio, não da qualidade da interface do sistema.

As próprias diretrizes de remetente do Gmail, publicadas pelo Google, recomendam manter a taxa de spam reportada abaixo de 0,10% e nunca deixar chegar a 0,30%, ponto em que o próprio Gmail passa a limitar o envio ou bloquear mensagens. Um servidor de e-mail novo, configurado por quem nunca cuidou de reputação de envio, sem autenticação SPF, DKIM e DMARC bem ajustada, tende a esbarrar nesse limite rápido, principalmente enviando em rajada para dezenas de candidatos de uma vez.

O resultado prático é o pior tipo de falha silenciosa: o convite de entrevista foi enviado, o sistema registrou como enviado, mas o candidato nunca viu, porque caiu direto na aba de spam. Um ATS SaaS de recrutamento já opera essa infraestrutura em escala, com IPs aquecidos e reputação de domínio estabelecida havia anos. Reproduzir isso do zero em um servidor próprio não é uma questão de configuração de dez minutos, é um trabalho contínuo de monitoramento de reputação.

Integrações que você passa a manter sozinho

Toda integração de um ATS self-hosted com LinkedIn, calendário ou provedor de e-mail corporativo é uma peça de código que sua equipe passa a manter, não o fornecedor. Isso inclui lidar com mudanças na API do serviço externo, renovar tokens de autenticação antes que expirem e corrigir a integração quando o outro lado muda algo sem avisar. Para entender o que essas integrações exigem na prática, veja como integrar o ATS ao LinkedIn, e-mail e calendário.

Em um ATS SaaS, o fornecedor mantém um time dedicado só para essas integrações, porque elas são parte do produto vendido para centenas de clientes ao mesmo tempo. Em um ATS self-hosted, cada integração que você ativa é uma dependência a mais que alguém na sua empresa precisa entender o suficiente para consertar quando quebrar, geralmente na pior hora, como na manhã em que uma campanha de vagas acabou de sair.

O custo real da hora de quem cuida disso

O item que mais falta nas planilhas de comparação entre ATS open source e ATS SaaS é a hora de trabalho de quem vai operar o sistema, porque essa hora não aparece em nenhuma fatura. Ela aparece como tempo tirado de outra função, o desenvolvedor que devia estar construindo produto e está aplicando patch, o analista de RH que devia estar entrevistando e está tentando entender por que o e-mail não chegou.

A tabela abaixo organiza os itens de custo ao longo de três anos, sem inventar um total final em reais, porque o valor de cada linha depende de quanto custa a hora técnica disponível na sua empresa e de quanto tempo cada tarefa realmente consome no seu contexto.

A Regra dos 4 Donos: como decidir sem se enganar

A Regra dos 4 Donos diz que todo ATS, self-hosted ou SaaS, tem quatro responsabilidades que precisam de um dono humano nomeado: quem aplica o patch de segurança, quem responde ao pedido de eliminação de dados, quem testa a restauração do backup e quem monitora a entrega de e-mail. Se você não consegue nomear uma pessoa para cada uma dessas quatro funções na sua empresa hoje, um ATS SaaS está, na prática, vendendo esses quatro donos junto com o software.

Aplique a regra antes de decidir. Se as quatro respostas forem nomes de pessoas reais dentro da sua empresa, com tempo disponível e conhecimento técnico para exercer a função, o self-hosted pode ser uma escolha honesta. Se alguma resposta for “a gente vê depois”, essa é a linha de custo que vai aparecer, mais tarde, como um incidente.

Quando o self-hosted realmente vence

Existem casos honestos em que hospedar o próprio ATS é a decisão certa, não uma economia mal calculada. O primeiro é exigência contratual ou regulatória de manter os dados de candidatos em servidor próprio ou dentro de uma jurisdição específica, algo comum em contratos com o setor público ou com clientes que exigem residência de dados.

O segundo é uma empresa que já opera infraestrutura própria, com equipe de DevOps trabalhando em outros sistemas todos os dias. Nesse caso, os quatro donos da regra acima já existem, e adicionar mais um sistema à rotina deles tem custo marginal baixo. O terceiro é um processo seletivo tão fora do padrão, com etapas ou integrações que nenhum SaaS do mercado atende, que a customização de um código aberto compensa o trabalho de manter tudo por conta própria.

Fora desses três cenários, a conta tende a pender para o SaaS, porque o que ele vende não é conveniência, é a ausência de um risco que a maioria das empresas pequenas e médias não tem estrutura para carregar.

O que decidir agora, antes de instalar qualquer coisa

A licença é a linha mais barata da conta. O que decide se um ATS open source compensa é se existe, hoje, uma pessoa real na sua empresa para cada um dos quatro donos: patch, LGPD, backup e deliverability. Ignorar essa pergunta não elimina o custo, só adia o momento em que ele aparece, geralmente como um incidente na manhã em que uma campanha de vagas está no ar e ninguém sabe por que os e-mails não chegaram.

Para comparar faixas de preço praticadas no mercado de ATS SaaS e entender o que cada faixa costuma incluir, veja quanto custa um ATS. E se você está do outro lado da mesa, como candidato tentando entender como o ATS de uma empresa vai ler o seu currículo, comece pela análise gratuita de ATS da AjustaCV.

Perguntas frequentes