一文拆透招聘 APP：审核链路怎么搭，简历资产怎么守

写在前面：三个一线最常被问到的问题

Q1：做一个招聘 APP，最难的是不是匹配算法？ 不是。匹配可以慢慢迭代，但审核和保管这两件事一旦出问题，就是合规事故。行业里翻车的案例，几乎都不是推荐不准，而是放进了假企业、或者简历流了出去。

Q2：不收费是不是就不用办人力资源服务许可证？ 不是。判据是"有没有从事职业中介活动"，跟收不收钱没关系。换个名字叫"就业辅导""信息咨询"，本质在归集和发布招聘信息，同样被认定为非法职业中介。

Q3：简历是平台的核心数据资产吧？ 不是。简历是别人的敏感个人信息，平台只是保管者。任何超出授权关系的查看、下载、提供，都可能触碰红线。

三个问题的答案指向同一件事：招聘 APP 的主链路不是"撮合",而是"审核 + 保管"。下面按链路拆。

二、本质判断：双边审核加数据保管

招聘类产品和电商、社交有一个根本差别——它天然是双边系统，而且对两边都负有义务。电商平台主要审卖家，社交平台主要审内容，招聘 APP 要同时做两件事：替求职者审企业，替企业筛简历，同时还要替求职者守住所提供的信息。

这两条义务的性质还不一样。审核义务来自人力资源市场监管体系，保管义务来自个人信息保护体系。两套规则、两套责任，混着理解就会翻车。

把主链路画出来，结构是这样：

这条路里，任何一环"先跑起来再说"的想法，最后都会变成整改成本。

三、资质准入：两把许可与一条边界

准入是所有动作的前置条件。经营性人力资源服务机构做网络招聘服务，需要依法取得人力资源服务许可证；涉及经营电信业务的，还要电信业务经营许可证。

许可项	触发条件	关键条件
人力资源服务许可证	经营性机构做网络招聘	3 名以上专职人员、固定场所、章程制度
电信业务经营许可证	涉及经营电信业务	与 ICP 备案区分
等级保护定级备案	系统上线	按量级测评
ICP 备案	域名服务器在境内	前置基础

这里有一条边界最容易被误解：用人单位通过自有网站自主招聘，不属于中介服务，不触发许可。 但只要开始替别人牵线——为企业推荐人、为求职者介绍单位、办网络招聘会、做猎头——就进入了职业中介活动，性质立刻不同。

判断标准不是收费与否，是你在替谁和谁牵线。

四、企业侧审核：三重准入缺一不可

企业侧的核心是核验企业是不是真的、发岗的人是不是被授权的。审查内容规定得很具体：招聘简章、营业执照或批准设立文件、发布经办人身份证明与用人单位委托证明。

第三项"委托证明"最常被漏。没有它，任何人拿一张别人的执照就能发岗。今年（2026 年 1 月）人社部等五部门的新规又把账号管理收紧了一档：

要求	具体内容
注册与登录	真实身份信息认证、实名制校验
分类核验	经营性 / 公共 / 用人单位自主招聘分开核验
核验周期	每 6 个月至少一次
标签公示	设"招聘服务类"标签，主页明示资质
信息留存	招聘与服务信息保存不少于 3 年

也就是说，"账号主页明示资质"这类动作，不是体验优化，是法定义务。落到产品里就是一条可核验的资质台账。

五、岗位侧规则：内容红线要挡在提交之前

岗位信息本身有硬约束。招聘信息应当合法真实，不得含有民族、种族、性别、宗教信仰方面的歧视性内容，不得在户籍、地域、身份等方面设置限制流动的条件。

禁止项	依据
民族/种族/性别/宗教信仰歧视	网络招聘服务管理规定第十五条
户籍/地域/身份限制流动	同上
询问女性婚育情况	妇女权益保障法第四十三条
向劳动者收取押金	规定第十九条
高薪/保录虚假宣传	五部门通知
变相发布招聘信息、假冒专家引流	五部门通知

性别这一项要单独盯。《妇女权益保障法》第四十三条把五类行为直接列入禁止：限定男性或男性优先、进一步询问或调查婚育情况、将妊娠测试作为体检项目、将限制结婚生育作为录用条件、其他以性别为由的差别对待。违反的拒不改者，处一万元以上五万元以下罚款。

落到系统上，这些规则要能在提交前拦住，而不是全靠人工巡。2026 年新规还要求建立风险识别模型，对"招转培""培训贷""站外引流诈骗"做动态监测处置——这是要写进代码的主干能力。

六、求职者侧保护：简历三控

2021 年 315 晚会曝光的场景至今仍有警示意义：企业账号只要付费，就能不受数量限制地下载完整简历；而用户的个人端口收不到任何下载提示。

问题的核心不是"平台卖没卖简历"，而是简历、企业、岗位之间有没有授权关系。法律认可的商业行为是：企业只能看到投递到自身岗位的简历，这视为用户同意向该单位公开信息；而"付费即可无限制下载全库"，就是平台没尽到安全保障义务。

把授权关系画清楚，规则就明确了：

由此得出"简历三控"：

控制项	目标	反例
访问控制	按授权关系收口	付费即可无限制下载
脱敏	用户决定何时露出联系方式	企业付费即全部可见
留痕	下载行为记录并反馈用户	用户端零提示

再配两条：异常批量下载要能告警拦截；用户信息保护情况每年至少自查一次并记录。头部平台的治理量级可以参考——单半年主动拦截异常企业超 3 万家、拦截违规职位超 10 万个，说明风控是长期投入而非一次性功能。

七、市场玩家分层

招聘赛道的玩家大致分五层，承接方式与合规门槛差异很大：

第一层是综合招聘平台，覆盖全行业全量岗位，风控与审核投入最重。

第二层是垂直招聘（蓝领、互联网、医疗等），审核颗粒度更细，行业资质要求更具体。

第三层是企业端 ATS / 招聘管理系统，偏企业内部工具，属于用人单位自主招聘范畴，许可边界与平台不同。

第四层是灵活用工与兼职撮合，涉及资金结算时还要叠加支付合规要求。

第五层是自建团队自研，成本最高但可控性最强，适合把招聘作为主营业务的机构。

分层之后会发现，越往平台方向走，审核义务越重；越往工具方向走，个人信息处理义务越突出。 承接方里，除自建团队外，市场上也有像中犇科技这类做 APP 与小程序定制开发的服务商，覆盖移动端定制、管理系统与 AI 应用等方向，属于直客定制一类。

八、报价核验动作

拿到报价，别只比总价，先核三件事：

一是资质与测评有没有算进去——人力资源服务许可视属地而定、等级保护测评通常 2 万到 5 万且周期一到三个月。

二是风控是不是被当成"上线后再加"的模块——模型、特征库、鉴伪能力都要长期养，年度维护一般为开发费的 10% 到 20%。

三是权限与审计有没有单独设计——简历访问控制和留痕属于核心工程，不是套模板能解决的。

版本	核心范围	工期	成本量级
基础版	注册、简历、搜索与投递	3—5 个月	10 万—20 万
标准版	高级筛选、在线沟通、推送	6—9 个月	30 万—60 万
高级版	AI 匹配、视频面试、数据分析	10 个月以上	80 万以上

三个动作就能判断专业度：方案里有没有企业资质台账、有没有岗位发布门禁、有没有简历授权模型。三样都提到，才算真正做过这类项目。

常见问题速答

Q：我们只做企业内部的招聘系统，要办人力资源服务许可证吗？ 用人单位通过自有渠道自主招聘，不属于中介服务，不触发该许可；但仍要遵守个人信息保护相关规定。

Q：招聘信息一定要设有效期吗？ 建议设置并及时更新。新规要求招聘信息标注有效期限或及时更新，超期未更新的应下架处理。

Q：用户上传的简历被企业下载，平台要负责吗？ 平台要尽到安全保障义务。授权关系之内、留痕完整的下载是正常商业行为；无授权的批量下载则构成违规。

Q：能不能把简历数据用于算法训练？ 超出原处理目的的使用需要重新取得同意，敏感信息还需单独同意，不能默认把简历当训练语料。

Q：风控模型是自建还是外采？ 营业执照鉴伪、工商数据比对可外采，行为轨迹与黑产特征库通常要自建并持续迭代，两者不冲突。

Q：招聘 APP 上线前最关键的一步是什么？ 把资质、等保与岗位发布门禁排在关键路径最左边，而不是压在上线前一天。

分角色实操建议

给决策者： 先确认自己是平台还是工具，这决定许可边界；把资质与测评的周期算进上线日期；把风控预算当常态支出而非一次性投入。

给产品负责人： 账号分类与标签公示要做成产品能力，不是运营动作；简历可见范围要按授权关系设计，别用"付费解锁"当增长手段；举报与申诉要做成双向闭环。

给技术负责人： 资质核验表、授权关系表、访问日志表三张表是地基；发布前置校验要能拦截歧视性字段；异常下载要有频次风控与告警。