Co dzieje się z danymi o zdrowiu Państwa pracowników

Centrum danych we Frankfurcie nad Menem

Platforma działa w DigitalOcean, w regionie Frankfurt (UE). Tam znajdują się też baza danych – baza PostgreSQL zarządzana przez DigitalOcean – oraz pliki, które Państwo przesyłają.

Dane płatnicze zostają w Stripe

Płatności obsługuje Stripe. Dane kart są przechowywane tam, nie u nas.

Certyfikaty centrum danych, nie EasyWHP: DigitalOcean podaje dla lokalizacji we Frankfurcie (FRA1) m.in. ISO 27001 i SOC 2 Type II. Źródło: DigitalOcean, Certification Reports

Każda firma widzi tylko własne dane

Każde zapytanie jest sprawdzane pod kątem firmy zalogowanego konta. Dodatkowo aplikacja ogranicza swoje zapytania do bazy danych do tej firmy. Bez tego przypisania nic nie zostaje zwrócone.

Role według funkcji

Managerowie konfigurują platformę i odpowiadają za sprawy kadrowe, redaktorzy prowadzą codzienną pracę. Dla każdej funkcji ustalono, od której roli można ją oglądać lub zmieniać. Sprawdzanie odbywa się na serwerze, nie tylko w interfejsie.

Dostęp tylko do odczytu dla zarządu

Zarząd może otrzymać dostęp, który pozwala wyłącznie czytać wskaźniki dla zarządu – nic więcej.

Wyniki dopiero od pięciu osób

Ankiety i analizy grupowe pokazują wartości dopiero wtedy, gdy stoi za nimi co najmniej pięć osób. Mniejsze grupy są ukrywane – także wtedy, gdy dałoby się je wyliczyć z sumy.

BEM pozostaje poufny

Wiadomości e-mail dotyczące BEM mają neutralny temat. Przypomnienia dla działu kadr nie zawierają danych o sprawie, rozmowach ani działaniach – tylko imię i nazwisko odbiorcy, datę i link do platformy.

Treści BEM są usuwane

Treści procedury BEM są usuwane trzy miesiące po jej zakończeniu, cała sprawa po trzech latach. W międzyczasie zostaje tylko informacja, kiedy wysłano zaproszenie i jak osoba zareagowała.

AI widzi tylko to, co Państwo udostępnią

W kokpicie ochrony danych AI decydują Państwo dla każdego rodzaju danych, co asystent AI może zobaczyć. Lista nazwisk pracowników jest domyślnie zablokowana. Dane BEM są dla AI zawsze zablokowane i nie można ich odblokować.

Zaszyfrowane dane dostępowe

Dane dostępowe do Państwa systemów kadrowych przechowujemy w postaci zaszyfrowanej (AES-256-GCM).

Logowanie kluczem dostępu (passkey)

Zamiast hasła mogą Państwo logować się kluczem dostępu – odciskiem palca, rozpoznawaniem twarzy lub kodem PIN urządzenia.

Odrzucone logowania są rejestrowane

Każda odrzucona próba logowania jest zapisywana. Gdy jest ich dużo, dostajemy e-mail z alarmem.

Testy penetracyjne

Sprawdzamy platformę pod kątem podatności za pomocą testów penetracyjnych.

Testy automatyczne przed każdym wydaniem

Przed każdą nową wersją testy automatyczne sprawdzają m.in., czy jedna firma nie ma dostępu do danych innej.

Bezpośrednie połączenie z systemem kadrowym

Personio, rexx, Factorial, Lucca i Kombo łączą Państwo bezpośrednio. Pracownicy i nieobecności trafiają wtedy na platformę przez synchronizację z systemu kadrowego, zamiast być przepisywani ręcznie. Dostępne połączenia zależą od planu.

Przesłanie pliku DATEV

Bez interfejsu przesyłają Państwo pracowników i nieobecności jako plik DATEV (niemiecki standard płacowy).

Nieznane nieobecności nigdy nie liczą się jako choroba

Jeśli system kadrowy przekaże rodzaj nieobecności, którego platforma nie zna, zostaje on pominięty – nigdy nie jest liczony jako choroba.

Usługodawcy przetwarzający dane

Nie wszystko odbywa się we Frankfurcie. Ci usługodawcy przetwarzają dane dla platformy:

• DigitalOceanHosting, baza danych i pliki · Frankfurt (UE)
• CloudflareRozwiązywanie nazw (DNS) i szyfrowane połączenie dla strony internetowej, aplikacji i interfejsu: każde zapytanie do platformy przechodzi przez Cloudflare · USA
• ResendWysyłka wiadomości e-mail z platformy · USA. Umowa z Resend nie przewiduje szczególnych kategorii danych – dlatego wiadomości dotyczące BEM nie zawierają treści sprawy ani rozmów.
• StripeObsługa płatności
• Dostawcy AIFunkcje AI, takie jak asystent i tłumaczenia. Który model odpowiada, ustawiamy my jako operator: Flower Labs (Hamburg) i Mistral AI (Paryż) w UE albo OpenAI i Anthropic w USA. Co AI może widzieć o Państwa pracownikach, ustalają Państwo w kokpicie ochrony danych AI. Rozmowa głosowa na żywo działa przez OpenAI (USA) – tylko jeśli Państwa firma ją włączy i potwierdzi przekazanie danych.

Nowych podprzetwarzających zapowiadamy z czterotygodniowym wyprzedzeniem. Połączenia, które Państwo sami włączają – np. Slack lub Microsoft Teams – działają przez danego dostawcę.