Sikkerhed

1. Vores tilgang

HR Cluster håndterer følsomme arbejdsstyrkedata: personoplysninger, vagtplaner, fremmøderegistreringer, hændelsesrapporter og kvalifikationer. Vi behandler sikkerhed som en kernedel af produktet, ikke en tilføjelse. Foranstaltningerne nedenfor er dem, vi rent faktisk kører i produktion.

2. Drift og infrastruktur

Vores primære applikationsinfrastruktur driftes på dedikerede servere hos Hetzner i Helsinki, Finland, inden for Den Europæiske Union. Applikationsservere, databasen, sikkerhedskopier og uploadede filer driftes alle i dette EU-miljø. Databaseserveren har ingen offentlig IP-adresse og kan kun nås fra vores egen applikationsniveau over et privat netværk.

Visse tillægstjenester, navnlig transaktionel e-mail og privatlivsvenlig analyse, leveres af underdatabehandlere, som kan behandle begrænsede personoplysninger uden for EØS under passende sikkerhedsforanstaltninger. Se vores side over underdatabehandlere for den aktuelle liste.

3. Kryptering

• Under overførsel: TLS (HTTPS) ved hver forespørgsel, termineret ved vores administrerede load balancer med automatisk fornyet certifikat.
• I hvile: følsomme identifikatorer som CPR-numre og bankoplysninger krypteres med AES-256-GCM, før de når databasen, ved hjælp af en nøgle, der opbevares uden for databasen.
• Adgangskoder og PIN-koder: adgangskoder hashes med bcrypt; stemple-PIN-koder hashes separat. Ingen af dem opbevares i klartekst eller skrives til nogen log.
• Sikkerhedskopier: off-site-kopier overføres via SSH til krypteret lagring inden for EU.

4. Autentifikation og adgangskontrol

• Adgangskodelogin + databasebaserede sessions-tokens, bundet til browseren og valideret mod databasen ved hver forespørgsel.
• Rate-limiting på autentifikationsendepunkter.
• Rollebaseret adgangskontrol (kontoadministrator, leder, arbejder) med per-tilladelse-overskrivninger.
• Dataisolering pr. konto håndhævet i forespørgselslaget: hver lejer-ejet forespørgsel indeholder et kontoomfang i WHERE-klausulen.
• CSRF-beskyttelse på alle tilstandsændrende forespørgsler.
• Platformadministratoradgang bruger separat login, cookie og autentifikationstabel fra kundekonti.

5. Dataisolering

HR Cluster er multi-tenant. Hver databaseforespørgsel mod kunde-ejede data inkluderer et account_id-filter i WHERE-klausulen, revideret på tværs af arbejdsområdet.

Filuploads opbevares uden for webroden, organiseret pr. konto, og serveres kun via en autentificeret handler, der verificerer både kontoomfang og filtype, før filen streames.

6. Sikkerhedskopier og katastrofeberedskab

HR Cluster AS opretholder lagdelte foranstaltninger til sikkerhedskopiering og katastrofeberedskab, som skal understøtte driftskontinuitet og datas robusthed. Sikkerhedskopier kan opbevares på fysisk adskilt infrastruktur i Norge.

7. Overvågning og revisionslogning

Vi logger administrative handlinger, dataeksporter og ændringer i rettigheder pr. konto. Serverlogs inkluderer fejl, langsomme forespørgsler og autentifikationshændelser. Logs opbevares af sikkerheds- og ansvarshensyn.

8. Sårbarhedshåndtering

Vi holder vores operativsystemer og runtime-afhængigheder opdaterede, gennemgår tredjepartsbiblioteker før brug og håndterer rapporterede problemer efter en prioritetsbaseret tidsplan. Akutte sager håndteres uden for normal cyklus.

9. Underdatabehandlere og datalokation

Vores primære infrastruktur er i Den Europæiske Union. Et begrænset antal underdatabehandlere kan behandle personoplysninger uden for EØS under standardkontraktbestemmelser (SCC) og, hvor det er relevant, EU–US Data Privacy Framework. Se den fulde liste på vores side over underdatabehandlere, og læs, hvordan det passer ind i vores privatlivspolitik. Kortbetalinger foretages på en betalingsside, som drives af Stripe, der er certificeret som PCI Service Provider Level 1; kortoplysninger indtastes på den side og når aldrig HR Clusters servere.

10. Ansvarlig indberetning

Hvis du mener, at du har fundet en sikkerhedssårbarhed i HR Cluster, send en mail til security@hrcluster.com med detaljer og, hvor det er muligt, trin til reproduktion. Vi sigter mod at bekræfte rapporter inden for to arbejdsdage. Vi forfølger ikke retsligt forskere, der handler i god tro, holder sig til deres egne testkonti og undgår forstyrrelse for andre kunder.

11. Kontakt

HR Cluster AS
Org.nr.: 937 565 690
Sikkerhed: security@hrcluster.com
Privatliv: privacy@hrcluster.com

Sidst opdateret: oktober 2026