BEZPIECZEŃSTWO
Środki techniczne i organizacyjne
Załącznik do Umowy powierzenia przetwarzania danych. Środki bezpieczeństwa z art. 32 RODO stosowane w PersoHR.
Niniejsza strona stanowi załącznik dotyczący środków technicznych i organizacyjnych („TOMs”), o którym mowa w sekcji 7 Umowy powierzenia przetwarzania danych pod adresem /legal/dpa. Opisane poniżej środki są obecnie stosowane; mogą być okresowo aktualizowane, pod warunkiem że żadna aktualizacja nie obniży istotnie ogólnego poziomu bezpieczeństwa.
1. Hosting i przechowywanie danych w UE
Podstawowa aplikacja HR korzysta z infrastruktury Hetzner do przechowywania bazy danych i plików. Dostawcy usług obsługują również funkcje AI, pocztę e-mail, SMS-y bezpieczeństwa, rozliczenia i analitykę stron publicznych. Lista pod adresem /legal/sub-processors opisuje rolę każdego dostawcy i zasady przetwarzania. Integracje włączone przez klienta mogą przesyłać informacje do wybranego przez klienta dostawcy. Hostingu podstawowych rekordów w UE nie należy interpretować jako stwierdzenia, że każda powiązana usługa lub każdy odbiorca przetwarza dane wyłącznie w UE.
2. Kontrola dostępu i uwierzytelnianie
Uwierzytelnianie klientów odbywa się za pomocą bezhasłowych linków e-mail. Tokeny magic link i tokeny odświeżania są przechowywane w postaci skrótów (hash); linki magic link są jednorazowe i wygasają. Uwierzytelnianie dwuskładnikowe TOTP jest wymagane dla ról Właściciel i Administrator HR. Mechanizmy odzyskiwania dostępu podlegają odrębnym kontrolom bezpieczeństwa. Tokeny dostępu mają ograniczony czas ważności, a tokeny odświeżania są dostarczane w plikach cookie HttpOnly z produkcyjnymi atrybutami bezpieczeństwa. Role w aplikacji to Właściciel, Administrator HR, Kierownik i Pracownik; kontrole na poziomie usług dodatkowo ograniczają dostęp do odpowiednich rekordów. Mechanizmy te nie stanowią deklaracji dotyczącej kluczy sprzętowych ani operacyjnych przeglądów dostępu w infrastrukturze produkcyjnej.
3. Izolacja najemców
Dane HR firmy są ograniczone do najemcy, a uwierzytelniony obszar roboczy jest wykorzystywany przez mechanizmy kontroli dostępu na poziomie repozytoriów i usług. Globalne tożsamości użytkowników mogą należeć do więcej niż jednego obszaru roboczego i są obsługiwane oddzielnie od członkostw HR w ramach najemcy. Same identyfikatory rekordów nie dają dostępu; autoryzacja zależy od uwierzytelnionego użytkownika, obszaru roboczego, roli i mających zastosowanie kontroli relacji. Filtry najemcy są jednym z elementów tych mechanizmów i nie zastępują sprawdzania każdej ścieżki dostępu.
4. Szyfrowanie
Aplikacja stosuje AES-256-GCM dla wybranych wartości wrażliwych, w tym sekretów TOTP oraz obsługiwanych identyfikatorów bankowych, podatkowych i ubezpieczeń społecznych na potrzeby list płac. Jest to ochrona na poziomie pól i nie oznacza, że każde pole dotyczące wynagrodzenia, dokumentu czy zdrowia ma odrębną warstwę szyfrowania na poziomie aplikacji. Ruch między aplikacją a bazą danych pozostaje w obrębie tego samego serwera, a każde połączenie publiczne korzysta z TLS. Kopie zapasowe są przechowywane w postaci zaszyfrowanej, natomiast wolumen bazy danych i magazyn dokumentów nie mają szyfrowania na poziomie pamięci masowej. Niniejszy załącznik nie deklaruje konkretnego szyfru przechowywania ani wersji TLS dla każdego wdrożonego punktu końcowego bez odpowiedniego zapisu operacyjnego.
5. Rejestrowanie, monitorowanie i audyt
Zapisy audytowe rejestrują obsługiwane czynności, takie jak zmiany, eksporty i żądania usunięcia, wraz z informacjami o wykonawcy, czynności, odniesieniu do rekordu i czasie. Podlegają one kontroli dostępu, zaplanowanemu okresowi przechowywania i szczególnym zasadom blokady prawnej. Nie jest to obietnica rejestrowania każdego odczytu ani przechowywania niezmiennej, nieograniczonej historii. Logi operacyjne i dotyczące bezpieczeństwa wspierają dochodzenia i działanie usługi; ich treść, dostęp do nich i okres przechowywania muszą być ograniczone do celu. Identyfikatory użytkowników i rekordów mogą same w sobie stanowić dane osobowe.
6. Kopie zapasowe i odtwarzanie po awarii
Odpowiednie środki zapewniające dostępność i odtwarzanie stanowią część obowiązków Podmiotu przetwarzającego wynikających z art. 32 RODO. Harmonogramy kopii zapasowych infrastruktury, okres ich przechowywania, szyfrowanie i testy odtwarzania muszą być udokumentowane i utrzymywane dla wdrożonej usługi. Skontaktuj się z nami, aby uzyskać aktualne dowody operacyjne i informacje o ewentualnych uzgodnionych celach odtwarzania. Eksporty danych z aplikacji nie zastępują kopii zapasowych infrastruktury, a niniejszy załącznik nie stanowi niezależnie zweryfikowanej gwarancji czasu odtworzenia.
7. Reagowanie na incydenty
Naruszenia ochrony danych osobowych dotyczące danych administratora są zgłaszane administratorowi bez zbędnej zwłoki po ich stwierdzeniu, zgodnie z opisem w DPA. Dostępne fakty, prawdopodobne konsekwencje i środki zaradcze są przekazywane i uzupełniane w miarę postępów dochodzenia. Termin administratora na zgłoszenie organowi nadzorczemu jest odrębny od obowiązku Podmiotu przetwarzającego, by powiadomić administratora. Dochodzenie w sprawie incydentu i działania naprawcze muszą chronić dane, których dotyczy incydent, i zabezpieczać niezbędne dowody.
8. Zarządzanie podatnościami i bezpieczne wytwarzanie oprogramowania
Repozytoria obejmują testy automatyczne i statyczne kontrole jakości, które pomagają wykrywać błędy. Zidentyfikowane problemy bezpieczeństwa muszą być oceniane i usuwane stosownie do ich ryzyka. Te kontrole na etapie wytwarzania nie dowodzą, że każda zależność jest skanowana przy każdej kompilacji, że przeprowadzono zewnętrzne testy penetracyjne ani że każda funkcja ma ukończony model zagrożeń. Aktualne dowody oceny można uzyskać od nas na żądanie.
9. Usuwanie, przechowywanie i przenoszenie danych
Usługa udostępnia procesy eksportu i usuwania danych użytkowników i pracowników, a także administracyjny eksport danych najemcy. Ich zakres i uprawnienia się różnią. Procedury usuwania usuwają lub anonimizują obsługiwane rekordy. Nie zapewniają ogólnego, kontrolowanego przez pracodawcę procesu blokady prawnej (legal hold). Klient musi ocenić, jaka odpowiedź na żądanie danej osoby jest zgodna z prawem. Usunięcie obszaru roboczego firmy jest odrębne od zakończenia odnawiania subskrypcji i po złożeniu wniosku w aplikacji obejmuje 30-dniowy okres, w którym można je anulować. Usunięcie konta osobistego następuje natychmiast i uruchamia również usunięcie powiązanych członkostw w obszarach roboczych bez odrębnego zatwierdzenia przez pracodawcę. Zachowane zablokowane rekordy czasu pracy nie mają obecnie dedykowanego procesu ich odzyskiwania. Zwrot lub usunięcie danych po zakończeniu przetwarzania, w tym chronione kopie zapasowe i wymagane zachowane rekordy, reguluje DPA.
10. Należyta staranność wobec dalszych podmiotów przetwarzających
Lista dostawców pod adresem /legal/sub-processors opisuje role, lokalizacje, kategorie danych i umowy z dostawcami. Podmiot przetwarzający musi powierzać przetwarzanie dalszym podmiotom przetwarzającym na podstawie pisemnych warunków spełniających wymogi art. 28 RODO, pozostaje odpowiedzialny za wymaganą ochronę i musi przestrzegać określonej w DPA procedury udzielania zgody, wcześniejszego powiadomienia i wnoszenia sprzeciwu.
11. Personel
Personel upoważniony do przetwarzania danych osobowych klientów musi być zobowiązany do zachowania poufności i otrzymywać dostęp odpowiedni do swoich obowiązków. Zarządzanie dostępem, świadomość bezpieczeństwa i procedury postępowania z danymi stanowią część organizacyjnych zabezpieczeń Podmiotu przetwarzającego. Obowiązek ochrony przechowywanych danych osobowych trwa również po zakończeniu współpracy lub subskrypcji.