Sikkerhet

1. Vår tilnærming

HR Cluster håndterer sensitive arbeidsstyrkedata: personopplysninger, vaktplaner, fremmøteregistreringer, hendelsesrapporter og kompetansebevis. Vi behandler sikkerhet som en kjernedel av produktet, ikke et tillegg. Tiltakene under er de vi faktisk kjører i produksjon.

2. Drift og infrastruktur

Vår primære applikasjonsinfrastruktur driftes på dedikerte servere hos Hetzner i Helsinki, Finland, innenfor Den europeiske union. Applikasjonstjenere, databasen, sikkerhetskopier og opplastede filer driftes i dette EU-miljøet. Databasetjeneren har ingen offentlig IP-adresse og er kun tilgjengelig fra vår egen applikasjonsside over et privat nettverk.

Enkelte tilleggstjenester, særlig transaksjonell e-post og personvernvennlig analyse, leveres av underleverandører som kan behandle begrensede personopplysninger utenfor EØS under egnede vernetiltak. Se vår side over underleverandører for gjeldende liste.

3. Kryptering

• Under overføring: TLS (HTTPS) på hver forespørsel, terminert på vår administrerte lastbalanserer med automatisk fornyet sertifikat.
• Ved lagring: sensitive identifikatorer som personnummer og bankdetaljer krypteres med AES-256-GCM før de når databasen, ved hjelp av en nøkkel som lagres utenfor databasen.
• Passord og PIN-koder: passord hashes med bcrypt; stemplings-PIN-koder hashes separat. Ingen av dem lagres i klartekst eller skrives til noen logg.
• Sikkerhetskopier: off-site-kopier overføres via SSH til kryptert lagring innenfor EU.

4. Autentisering og tilgangskontroll

• Passordinnlogging + database-støttede sesjons-tokens, bundet til nettleseren og revalidert mot databasen ved hver forespørsel.
• Rate-limiting på autentiseringsendepunkter.
• Rollebasert tilgangskontroll (kontoadministrator, leder, arbeider) med per-tillatelse overstyringer.
• Dataisolasjon per konto håndhevet i spørringslaget: hver leietaker-eid spørring inkluderer en kontobegrensning i WHERE-klausulen.
• CSRF-beskyttelse på alle tilstandsendrende forespørsler.
• Plattformadministrator-tilgang bruker separat innlogging, cookie og autentiseringstabell fra kundekontoer.

5. Dataisolasjon

HR Cluster er multitenant. Hver databaseforespørsel mot kundeeide data inneholder et account_id-filter i WHERE-klausulen, revidert på tvers av arbeidsområdet.

Filopplastinger lagres utenfor webroten, organisert per konto, og serveres kun gjennom en autentisert handler som verifiserer både kontoomfang og filtype før filen strømmes.

6. Sikkerhetskopiering og katastrofeberedskap

HR Cluster AS opprettholder lagdelte tiltak for sikkerhetskopiering og katastrofeberedskap som skal støtte driftskontinuitet og dataenes robusthet. Sikkerhetskopier kan oppbevares på fysisk adskilt infrastruktur i Norge.

7. Overvåking og revisjonslogging

Vi logger administrative handlinger, dataeksporter og endringer i rettigheter per konto. Tjenerlogger inkluderer feil, trege spørringer og autentiseringshendelser. Logger oppbevares av sikkerhets- og ansvarlighetshensyn.

8. Sårbarhetshåndtering

Vi holder operativsystemer og kjøretidsavhengigheter oppdatert, gjennomgår tredjepartsbiblioteker før bruk og håndterer rapporterte problemer i henhold til en prioritetsbasert plan. Akutte problemer håndteres utenfor normal syklus.

9. Underleverandører og datalokasjon

Vår primære infrastruktur er i Den europeiske union. Et begrenset antall underleverandører kan behandle personopplysninger utenfor EØS under standardavtalevilkår (SCC) og, der det er aktuelt, EU–US Data Privacy Framework. Se full liste på vår side over underleverandører, og les hvordan dette passer inn i vår personvernerklæring. Kortbetalinger skjer på en betalingsside som driftes av Stripe, som er sertifisert som PCI Service Provider Level 1; kortopplysninger legges inn på den siden og når aldri HR Clusters servere.

10. Ansvarlig varsling

Dersom du tror du har funnet en sikkerhetssårbarhet i HR Cluster, send e-post til security@hrcluster.com med detaljer og, der det er mulig, trinn for å reprodusere. Vi tar sikte på å bekrefte rapporter innen to virkedager. Vi forfølger ikke rettslig de som handler i god tro, holder seg til egne testkontoer og unngår forstyrrelser for andre kunder.

11. Kontakt

HR Cluster AS
Org.nr.: 937 565 690
Sikkerhet: security@hrcluster.com
Personvern: privacy@hrcluster.com

Sist oppdatert: oktober 2026