Prowadzisz w shieldu.pl akta osobowe, badania, płace i zgłoszenia. Poniżej opisujemy realnie wdrożone kontrole bezpieczeństwa - bez marketingowych obietnic i wymyślonych certyfikatów.
Logowanie chroni hasło plus 6-cyfrowy kod z aplikacji autentykatora (TOTP), z kodami odzyskiwania. Sekret 2FA jest szyfrowany w bazie.
Każdy widzi tylko to, co wynika z jego roli: pracownik swoje dane, kierownik swój zespół, pełne dane kadrowe wyłącznie uprawnione osoby.
Dane każdej firmy są odseparowane. Zapytania do bazy są filtrowane po identyfikatorze firmy, więc jeden klient nie zobaczy danych drugiego.
Komunikacja z aplikacją idzie po HTTPS/TLS. Wrażliwe sekrety (np. hasła integracji, sekret 2FA) szyfrujemy algorytmem AES-256. Baza danych jest szyfrowana w spoczynku po stronie dostawcy.
Operacje na danych osobowych są rejestrowane - kto, kiedy i co zrobił. Dotyczy m.in. e-Teczki, profilu pracownika i danych CRM.
Rejestr czynności przetwarzania (art. 30), obsługa żądań podmiotów danych, prawo do bycia zapomnianym (anonimizacja) oraz rejestr naruszeń i oceny skutków (DPIA).
Dane przechowujemy na infrastrukturze chmurowej w Unii Europejskiej, z automatycznymi kopiami zapasowymi po stronie dostawcy bazy danych.
Kanał dla sygnalistów przyjmuje zgłoszenia anonimowe bez pól na tożsamość i adres IP, a metadane EXIF z załączanych zdjęć są usuwane przed zapisem.
Uczciwie o certyfikatach. Opisujemy kontrole, które są faktycznie wdrożone w aplikacji. Certyfikaty typu ISO/IEC 27001 czy SOC 2 posiadają nasi dostawcy infrastruktury chmurowej - sama platforma nie przypisuje sobie certyfikatów, których nie przeszła. Dokumenty dla działu zakupów lub bezpieczeństwa (np. umowa powierzenia przetwarzania) udostępniamy na życzenie.
Napisz do nas - prześlemy dokumentację i odpowiemy na pytania działu bezpieczeństwa.
Skontaktuj się