SIKKERHED
Tekniske og organisatoriske foranstaltninger
Bilag til databehandleraftalen. Sikkerhedsforanstaltninger efter artikel 32 i GDPR, som anvendes for PersoHR.
Denne side er bilaget om tekniske og organisatoriske foranstaltninger (»TOMs«), der henvises til i afsnit 7 i databehandleraftalen på /legal/dpa. Foranstaltningerne nedenfor er dem, der aktuelt er gældende; de kan opdateres fra tid til anden, forudsat at en opdatering ikke væsentligt sænker det samlede sikkerhedsniveau.
1. Hosting og EU-dataresidens
Den centrale HR-applikation bruger Hetzner-infrastruktur til database- og fillagring. Tjenesteudbydere understøtter også AI-funktioner, e-mail, sikkerheds-sms, fakturering og analyse af offentlige sider. Listen på /legal/sub-processors beskriver hver udbyders rolle og behandlingsordninger. Integrationer, som kunden aktiverer, kan sende oplysninger til den udbyder, kunden har valgt. Hosting af centrale registreringer i EU bør ikke fortolkes som en erklæring om, at alle tilknyttede tjenester eller modtagere udelukkende behandler data i EU.
2. Adgangskontrol og autentificering
Kundeautentificering sker via adgangskodefri e-maillinks. Magiske links og opdateringstokens gemmes som hashværdier; magiske links kan kun bruges én gang og udløber. TOTP-tofaktorgodkendelse er påkrævet for rollerne Ejer og HR-administrator. Gendannelsesmekanismer er underlagt separate sikkerhedskontroller. Adgangstokens er tidsbegrænsede, og opdateringstokens leveres via HttpOnly-cookies med sikkerhedsattributter til produktion. Applikationens roller er Ejer, HR-administrator, Leder og Medarbejder; kontroller på serviceniveau begrænser yderligere adgangen til relevante registreringer. Disse kontroller udgør ikke en påstand om hardwarenøgler eller driftsmæssige adgangsgennemgange på produktionsinfrastrukturen.
3. Adskillelse af tenants
Virksomheders HR-registreringer er afgrænset til en tenant, og det godkendte arbejdsrum bruges af adgangskontrollerne på repository- og serviceniveau. Globale brugeridentiteter kan tilhøre mere end ét arbejdsrum og håndteres adskilt fra HR-medlemskaber i en tenant. Registreringsidentifikatorer giver ikke i sig selv adgang; autorisation afhænger af den godkendte bruger, arbejdsrummet, rollen og relevante kontroller af relationer. Tenant-filtre er én del af disse kontroller og erstatter ikke kontrol af hver adgangsvej.
4. Kryptering
Applikationen bruger AES-256-GCM til udvalgte følsomme værdier, herunder TOTP-hemmeligheder og understøttede bankoplysninger samt skatte- og socialsikringsnumre til lønbehandling. Der er tale om beskyttelse på feltniveau, og det betyder ikke, at alle løn-, dokument- eller helbredsfelter har et separat krypteringslag på applikationsniveau. Trafikken mellem applikationen og databasen forbliver på den samme server, og alle offentlige forbindelser bruger TLS. Sikkerhedskopier lagres krypteret, mens databasevolumenet og dokumentlageret ikke har kryptering på lagerniveau. Dette bilag angiver ikke en bestemt lagerkryptering eller TLS-version for hvert udrullet endepunkt uden den tilsvarende driftsmæssige dokumentation.
5. Logning, overvågning og revision
Revisionsregistreringer dokumenterer understøttede handlinger som ændringer, eksporter og sletningsanmodninger med oplysninger om aktør, handling, reference til registreringen og tidspunkt. De er underlagt adgangskontroller, planlagt opbevaring og særlige regler for retlig tilbageholdelse. Dette er ikke et løfte om at logge enhver læsning eller om at opbevare en uforanderlig, ubegrænset historik. Drifts- og sikkerhedslogge understøtter undersøgelser og driften af tjenesten; deres indhold, adgangen til dem og opbevaringen af dem skal begrænses til formålet. Bruger- og registreringsidentifikatorer kan i sig selv være personoplysninger.
6. Sikkerhedskopier og katastrofegenoprettelse
Passende foranstaltninger for tilgængelighed og genopretning indgår i Databehandlerens forpligtelser i henhold til artikel 32 i GDPR. Planer for sikkerhedskopiering af infrastrukturen, opbevaring, kryptering og test af gendannelse skal dokumenteres og vedligeholdes for den udrullede tjeneste. Kontakt os for den aktuelle driftsmæssige dokumentation og eventuelle aftalte genopretningsmål. Dataeksporter fra applikationen er ikke en erstatning for sikkerhedskopier af infrastrukturen, og dette bilag udgør ikke en uafhængigt verificeret garanti for genopretningstid.
7. Håndtering af hændelser
Brud på persondatasikkerheden, der berører den dataansvarliges data, indberettes til den dataansvarlige uden unødig forsinkelse, efter at bruddet er blevet kendt, som beskrevet i databehandleraftalen. Tilgængelige fakta, sandsynlige konsekvenser og afhjælpende foranstaltninger oplyses og suppleres, efterhånden som undersøgelsen skrider frem. Den dataansvarliges frist for underretning af tilsynsmyndigheden er adskilt fra Databehandlerens pligt til at underrette den dataansvarlige. Undersøgelse af hændelser og korrigerende handlinger skal beskytte de berørte data og bevare nødvendigt bevismateriale.
8. Sårbarhedsstyring og sikker udvikling
Kodelagrene indeholder automatiserede test og statiske kvalitetskontroller, der hjælper med at opdage fejl. Identificerede sikkerhedsproblemer skal vurderes og håndteres efter deres risiko. Disse udviklingskontroller fastslår ikke, at alle afhængigheder scannes ved hvert build, at der er gennemført ekstern penetrationstest, eller at alle funktioner har en færdig trusselsmodel. Aktuel dokumentation for vurderinger kan rekvireres hos os.
9. Sletning, opbevaring og portabilitet
Tjenesten indeholder arbejdsgange til eksport og sletning af bruger- og medarbejderdata samt en administrativ eksport af en tenant. Deres omfang og tilladelser er forskellige. Sletningsrutiner sletter eller anonymiserer understøttede registreringer. De indeholder ikke en generel arbejdsgang for retlig tilbageholdelse, som arbejdsgiveren styrer. Kunden skal vurdere, hvordan en individuel anmodning lovligt skal besvares. Sletning af en virksomheds arbejdsrum er adskilt fra ophør af abonnementsfornyelsen og har en fortrydelsesperiode på 30 dage efter anmodningen i appen. Sletning af en personlig konto sker straks og igangsætter også sletning af tilknyttede medlemskaber af arbejdsrum uden et separat godkendelsestrin hos arbejdsgiveren. Opbevarede, spærrede arbejdstidsregistreringer har i øjeblikket ingen særskilt arbejdsgang til fremfinding. Databehandleraftalen regulerer tilbagelevering eller sletning, når behandlingen ophører, herunder beskyttede sikkerhedskopier og påkrævede opbevarede registreringer.
10. Due diligence af underdatabehandlere
Udbyderlisten på /legal/sub-processors beskriver roller, placeringer, datakategorier og leverandøraftaler. Databehandleren skal benytte underdatabehandlere på skriftlige vilkår, der opfylder kravene i artikel 28 i GDPR, forbliver ansvarlig for den påkrævede beskyttelse og skal følge databehandleraftalens procedure for godkendelse, forudgående varsel og indsigelse.
11. Personale
Personale, der er bemyndiget til at behandle kunders personoplysninger, skal være underlagt fortrolighedsforpligtelser og have adgang, der svarer til deres ansvarsområder. Adgangsstyring, sikkerhedsbevidsthed og procedurer for datahåndtering indgår i Databehandlerens organisatoriske sikkerhedsforanstaltninger. Forpligtelsen til at beskytte opbevarede personoplysninger fortsætter, efter at et samarbejde eller abonnement er ophørt.