BEVEILIGING
Technische en organisatorische maatregelen
Bijlage bij de verwerkersovereenkomst. Beveiligingsmaatregelen op grond van artikel 32 AVG die op PersoHR worden toegepast.
Deze pagina is de bijlage met technische en organisatorische maatregelen ("TOMs") waarnaar wordt verwezen in sectie 7 van de verwerkersovereenkomst op /legal/dpa. De onderstaande maatregelen zijn de maatregelen die momenteel van kracht zijn; zij kunnen van tijd tot tijd worden bijgewerkt, mits een wijziging het algehele beveiligingsniveau niet wezenlijk verlaagt.
1. Hosting en gegevensopslag in de EU
De kern-HR-applicatie gebruikt infrastructuur van Hetzner voor database- en bestandsopslag. Dienstverleners ondersteunen daarnaast AI-functies, e-mail, beveiligings-sms, facturering en analyse van openbare pagina's. De lijst op /legal/sub-processors beschrijft de rol en de verwerkingsregelingen van elke aanbieder. Door de klant ingeschakelde integraties kunnen informatie verzenden naar de door de klant gekozen aanbieder. Hosting van kernregistraties in de EU mag niet worden opgevat als een verklaring dat elke gerelateerde dienst of ontvanger uitsluitend binnen de EU verwerkt.
2. Toegangscontrole en authenticatie
Klanten authenticeren zich met wachtwoordloze e-maillinks. Magic-link- en refresh-tokens worden als hashes opgeslagen; magic links zijn eenmalig bruikbaar en verlopen. TOTP-tweefactorauthenticatie is verplicht voor de rollen Eigenaar en HR-beheerder. Herstelmechanismen zijn onderworpen aan afzonderlijke beveiligingscontroles. Toegangstokens zijn tijdgebonden en refresh-tokens worden geleverd via HttpOnly-cookies met beveiligingsattributen voor productie. De rollen in de applicatie zijn Eigenaar, HR-beheerder, Manager en Medewerker; controles op serviceniveau beperken de toegang tot relevante registraties verder. Deze controles vormen geen bewering over hardwaresleutels of operationele toegangsbeoordelingen op de productie-infrastructuur.
3. Tenantisolatie
HR-registraties van bedrijven zijn beperkt tot een tenant, waarbij de geauthenticeerde werkruimte wordt gebruikt door toegangscontroles op repository- en serviceniveau. Globale gebruikersidentiteiten kunnen tot meer dan één werkruimte behoren en worden gescheiden van HR-lidmaatschappen binnen tenants behandeld. Registratie-ID's alleen geven geen toegang; autorisatie hangt af van de geauthenticeerde gebruiker, de werkruimte, de rol en toepasselijke controles van de relatie. Tenantfilters zijn één onderdeel van deze controles en vervangen niet de controle van elk toegangspad.
4. Versleuteling
De applicatie gebruikt AES-256-GCM voor geselecteerde gevoelige waarden, waaronder TOTP-geheimen en ondersteunde bank-, fiscale en socialezekerheidsnummers voor de salarisadministratie. Dit is bescherming op veldniveau en betekent niet dat elk salaris-, document- of gezondheidsveld een afzonderlijke versleutelingslaag op applicatieniveau heeft. Verkeer tussen de applicatie en de database blijft binnen dezelfde server, en elke openbare verbinding gebruikt TLS. Back-ups worden versleuteld opgeslagen, terwijl het databasevolume en de documentopslag geen versleuteling op opslagniveau hebben. Deze bijlage beweert geen specifiek versleutelingsalgoritme voor opslag of specifieke TLS-versie voor elk ingezet endpoint zonder de bijbehorende operationele registratie.
5. Logging, monitoring en audit
Auditregistraties leggen ondersteunde handelingen vast, zoals wijzigingen, exports en verwijderingsverzoeken, met informatie over de uitvoerder, de handeling, de verwijzing naar de registratie en het tijdstip. Zij zijn onderworpen aan toegangscontroles, geplande bewaring en specifieke legal-hold-regels. Dit is geen belofte om elke leesactie te loggen of een onveranderlijke, onbeperkte geschiedenis te bewaren. Operationele logs en beveiligingslogs ondersteunen onderzoek en de werking van de dienst; hun inhoud, toegang en bewaring moeten tot het doel beperkt blijven. Gebruikers- en registratie-ID's kunnen zelf persoonsgegevens zijn.
6. Back-ups en noodherstel
Passende maatregelen voor beschikbaarheid en herstel maken deel uit van de verplichtingen van de Verwerker op grond van artikel 32 AVG. Back-upschema's van de infrastructuur, bewaring, versleuteling en hersteltests moeten voor de ingezette dienst worden gedocumenteerd en onderhouden. Neem contact met ons op voor het actuele operationele bewijs en eventuele overeengekomen hersteldoelstellingen. Gegevensexports uit de applicatie zijn geen vervanging voor back-ups van de infrastructuur, en deze bijlage vormt geen onafhankelijk geverifieerde garantie voor de hersteltijd.
7. Reactie op incidenten
Inbreuken in verband met persoonsgegevens die gegevens van de verwerkingsverantwoordelijke betreffen, worden zonder onredelijke vertraging na kennisneming aan de verwerkingsverantwoordelijke gemeld, zoals beschreven in de verwerkersovereenkomst. Beschikbare feiten, waarschijnlijke gevolgen en responsmaatregelen worden verstrekt en aangevuld naarmate het onderzoek vordert. De termijn waarbinnen de verwerkingsverantwoordelijke de toezichthoudende autoriteit moet informeren, staat los van de plicht van de Verwerker om de verwerkingsverantwoordelijke in kennis te stellen. Onderzoek naar incidenten en corrigerende maatregelen moeten de betrokken gegevens beschermen en het noodzakelijke bewijs veiligstellen.
8. Kwetsbaarheidsbeheer en veilige ontwikkeling
De repositories bevatten geautomatiseerde tests en statische kwaliteitscontroles om defecten te helpen opsporen. Vastgestelde beveiligingsproblemen moeten op basis van hun risico worden beoordeeld en aangepakt. Deze ontwikkelcontroles tonen niet aan dat elke afhankelijkheid bij elke build wordt gescand, dat er externe penetratietests hebben plaatsgevonden of dat voor elke functie een afgerond dreigingsmodel bestaat. Actueel beoordelingsbewijs kan bij ons worden opgevraagd.
9. Verwijdering, bewaring en overdraagbaarheid
De dienst biedt workflows voor export en verwijdering van gebruikers- en medewerkersgegevens, plus een administratieve tenantexport. Hun reikwijdte en bevoegdheden verschillen. Verwijderingsroutines verwijderen of anonimiseren ondersteunde registraties. Zij bieden geen algemene, door de werkgever beheerde legal-hold-workflow. De klant moet beoordelen wat het rechtmatige antwoord op een individueel verzoek is. Het verwijderen van een bedrijfswerkruimte staat los van het stopzetten van de abonnementsverlenging en kent een annuleringstermijn van 30 dagen na het verzoek in de app. Het wissen van een persoonlijk account gebeurt onmiddellijk en zet ook de verwijdering van de bijbehorende werkruimtelidmaatschappen in gang, zonder afzonderlijke goedkeuringsstap door de werkgever. Voor bewaarde, geblokkeerde werktijdregistraties bestaat momenteel geen specifieke workflow om ze op te vragen. De verwerkersovereenkomst regelt de teruggave of verwijdering wanneer de verwerking eindigt, inclusief beschermde back-upkopieën en registraties die verplicht moeten worden bewaard.
10. Due diligence ten aanzien van subverwerkers
De lijst van aanbieders op /legal/sub-processors beschrijft rollen, locaties, gegevenscategorieën en overeenkomsten met leveranciers. De Verwerker moet subverwerkers inschakelen op basis van schriftelijke voorwaarden die voldoen aan artikel 28 AVG, blijft verantwoordelijk voor de vereiste bescherming en moet de procedure voor toestemming, voorafgaande kennisgeving en bezwaar uit de verwerkersovereenkomst volgen.
11. Personeel
Personeel dat gemachtigd is om persoonsgegevens van klanten te verwerken, moet gebonden zijn aan geheimhoudingsverplichtingen en toegang krijgen die past bij zijn verantwoordelijkheden. Toegangsbeheer, beveiligingsbewustzijn en procedures voor gegevensverwerking maken deel uit van de organisatorische waarborgen van de Verwerker. De verplichting om bewaarde persoonsgegevens te beschermen blijft gelden nadat een opdracht of abonnement is beëindigd.