SÄKERHET
Tekniska och organisatoriska åtgärder
Bilaga till personuppgiftsbiträdesavtalet. Säkerhetsåtgärder enligt artikel 32 GDPR som tillämpas på PersoHR.
Denna sida är bilagan om tekniska och organisatoriska åtgärder ("TOMs") som hänvisas till i avsnitt 7 i personuppgiftsbiträdesavtalet på /legal/dpa. Åtgärderna nedan är de som för närvarande gäller; de kan uppdateras från tid till annan, förutsatt att en uppdatering inte väsentligt sänker den övergripande säkerhetsnivån.
1. Drift och datalagring inom EU
Den centrala HR-applikationen använder Hetzners infrastruktur för databas- och fillagring. Tjänsteleverantörer stöder också AI-funktioner, e-post, säkerhets-sms, fakturering och analys av offentliga sidor. Listan på /legal/sub-processors beskriver varje leverantörs roll och arrangemang för behandlingen. Integrationer som kunden aktiverar kan skicka information till den leverantör kunden väljer. Att centrala uppgifter lagras inom EU ska inte tolkas som ett påstående om att varje relaterad tjänst eller mottagare behandlar uppgifter uteslutande inom EU.
2. Åtkomstkontroll och autentisering
Kundautentisering sker via lösenordsfria e-postlänkar. Token för inloggningslänkar och förnyelsetoken lagras som hashvärden; inloggningslänkar kan bara användas en gång och upphör att gälla. Tvåfaktorsautentisering med TOTP krävs för rollerna Ägare och HR-administratör. Återställningsmekanismer omfattas av separata säkerhetskontroller. Åtkomsttoken är tidsbegränsade, och förnyelsetoken levereras i HttpOnly-cookies med säkerhetsattribut för produktion. Applikationens roller är Ägare, HR-administratör, Chef och Anställd; kontroller på tjänstenivå begränsar dessutom åtkomsten till relevanta uppgifter. Dessa kontroller utgör inget påstående om hårdvarunycklar eller operativa åtkomstgranskningar i produktionsinfrastrukturen.
3. Klientisolering
Företagens HR-uppgifter är avgränsade till en klient, och den autentiserade arbetsytan används av åtkomstkontrollerna på databas- och tjänstenivå. Globala användaridentiteter kan tillhöra fler än en arbetsyta och hanteras separat från klienternas HR-medlemskap. Postidentifierare ger inte i sig åtkomst; behörigheten beror på den autentiserade användaren, arbetsytan, rollen och tillämpliga relationskontroller. Klientfilter är en del av dessa kontroller och ersätter inte kontrollen av varje åtkomstväg.
4. Kryptering
Applikationen använder AES-256-GCM för utvalda känsliga värden, bland annat TOTP-hemligheter och de bankuppgifter, skattenummer och socialförsäkringsnummer för löneunderlag som stöds. Detta är skydd på fältnivå och innebär inte att varje lönefält, dokument eller hälsofält har ett separat krypteringslager på applikationsnivå. Trafiken mellan applikationen och databasen stannar inom samma server, och varje offentlig anslutning använder TLS. Säkerhetskopior lagras krypterade, medan databasvolymen och dokumentlagringen saknar kryptering på lagringsnivå. Denna bilaga påstår inte att ett visst lagringschiffer eller en viss TLS-version används för varje driftsatt slutpunkt utan motsvarande operativ dokumentation.
5. Loggning, övervakning och granskning
Granskningsposter registrerar åtgärder som stöds, till exempel ändringar, exporter och raderingsbegäranden, med uppgifter om aktör, åtgärd, postreferens och tidpunkt. De omfattas av åtkomstkontroller, schemalagd lagringstid och särskilda regler för rättsliga bevarandekrav. Detta är inget löfte om att varje läsning loggas eller att en oföränderlig, obegränsad historik bevaras. Drift- och säkerhetsloggar stöder utredningar och driften av tjänsten; deras innehåll, åtkomst och lagringstid måste begränsas till ändamålet. Användar- och postidentifierare kan i sig vara personuppgifter.
6. Säkerhetskopiering och katastrofåterställning
Lämpliga åtgärder för tillgänglighet och återställning ingår i personuppgiftsbiträdets skyldigheter enligt artikel 32 GDPR. Scheman för säkerhetskopiering av infrastrukturen, lagringstid, kryptering och tester av återställning måste dokumenteras och upprätthållas för den driftsatta tjänsten. Kontakta oss för aktuellt operativt underlag och eventuella överenskomna återställningsmål. Dataexporter från applikationen ersätter inte säkerhetskopior av infrastrukturen, och denna bilaga utgör ingen oberoende verifierad garanti för återställningstid.
7. Incidenthantering
Personuppgiftsincidenter som påverkar den personuppgiftsansvariges uppgifter rapporteras till den personuppgiftsansvarige utan onödigt dröjsmål efter att incidenten har uppmärksammats, enligt beskrivningen i personuppgiftsbiträdesavtalet. Tillgängliga fakta, sannolika konsekvenser och åtgärder lämnas och kompletteras allteftersom utredningen fortskrider. Den personuppgiftsansvariges frist för anmälan till tillsynsmyndigheten är skild från personuppgiftsbiträdets skyldighet att underrätta den personuppgiftsansvarige. Utredning av incidenter och korrigerande åtgärder måste skydda berörda uppgifter och bevara nödvändig bevisning.
8. Sårbarhetshantering och säker utveckling
Kodförråden innehåller automatiserade tester och statiska kvalitetskontroller som hjälper till att upptäcka fel. Identifierade säkerhetsproblem måste bedömas och åtgärdas utifrån sin risk. Dessa utvecklingskontroller visar inte att varje beroende skannas vid varje bygge, att extern penetrationstestning har genomförts eller att varje funktion har en färdig hotmodell. Aktuellt bedömningsunderlag kan begäras från oss.
9. Radering, lagring och dataportabilitet
Tjänsten tillhandahåller arbetsflöden för export och radering av användar- och personaldata samt en administrativ export av hela klienten. Deras omfattning och behörigheter skiljer sig åt. Raderingsrutinerna raderar eller anonymiserar uppgifter som stöds. De tillhandahåller inget allmänt arbetsflöde för rättsliga bevarandekrav som styrs av arbetsgivaren. Kunden måste bedöma vilket svar på en enskild begäran som är lagligt. Radering av ett företags arbetsyta är skild från att avsluta förnyelsen av abonnemanget och har en ångerperiod på 30 dagar efter begäran i appen. Radering av ett personligt konto sker omedelbart och utlöser även radering av tillhörande medlemskap i arbetsytor utan ett separat godkännandesteg för arbetsgivaren. Bevarade, spärrade arbetstidsuppgifter har för närvarande inget särskilt arbetsflöde för hämtning. Personuppgiftsbiträdesavtalet reglerar återlämnande eller radering när behandlingen upphör, inklusive skyddade säkerhetskopior och uppgifter som måste bevaras.
10. Kontroll av underbiträden
Leverantörslistan på /legal/sub-processors beskriver roller, platser, datakategorier och leverantörsavtal. Personuppgiftsbiträdet måste anlita underbiträden enligt skriftliga villkor som uppfyller artikel 28 GDPR, förblir ansvarigt för de skyddsåtgärder som krävs och måste följa personuppgiftsbiträdesavtalets förfarande för godkännande, förhandsbesked och invändningar.
11. Personal
Personal som är behörig att behandla kunders personuppgifter måste omfattas av tystnadsplikt och få åtkomst som motsvarar deras ansvarsområden. Åtkomsthantering, säkerhetsmedvetenhet och rutiner för datahantering ingår i personuppgiftsbiträdets organisatoriska skyddsåtgärder. Skyldigheten att skydda lagrade personuppgifter fortsätter att gälla efter att ett uppdrag eller abonnemang har upphört.