Säkerhet

Innehåll

1. Vår ansats

HR Cluster hanterar känsliga arbetsstyrkedata: personuppgifter, scheman, närvaroregistreringar, incidentrapporter och kvalifikationer. Vi ser säkerhet som en kärnfunktion i produkten, inte ett tillägg. Åtgärderna nedan är de vi faktiskt kör i produktion.

2. Drift och infrastruktur

Vår primära applikationsinfrastruktur drivs på dedikerade servrar hos Hetzner i Helsingfors, Finland, inom Europeiska unionen. Applikationsservrar, databasen, säkerhetskopior och uppladdade filer drivs i denna EU-miljö. Databasservern har ingen offentlig IP-adress och är endast nåbar från vår egen applikationsnivå över ett privat nätverk.

Vissa tilläggstjänster, särskilt transaktionell e-post och integritetsvänlig analys, tillhandahålls av underbiträden som kan behandla begränsade personuppgifter utanför EES under lämpliga skyddsåtgärder. Se vår sida med underbiträden för aktuell lista.

3. Kryptering

Under överföring: TLS (HTTPS) vid varje begäran, terminerad hos vår hanterade lastbalanserare med automatiskt förnyat certifikat.
I vila: känsliga identifierare såsom personnummer och bankuppgifter krypteras med AES-256-GCM innan de når databasen, med hjälp av en nyckel som lagras utanför databasen.
Lösenord och PIN-koder: lösenord hashas med bcrypt; stämplingskoder hashas separat. Ingen av dem lagras i klartext eller skrivs till någon logg.
Säkerhetskopior: off-site-kopior överförs över SSH till krypterad lagring inom EU.

4. Autentisering och åtkomstkontroll

Lösenordsinloggning + databas-uppbackade sessionstokens, bundna till webbläsaren och valideras mot databasen vid varje begäran.
Hastighetsbegränsning på autentiseringsendpunkter.
Rollbaserad åtkomstkontroll (kontoadmin, chef, arbetare) med per-behörighet-överridningar.
Dataisolering per konto tillämpas i frågelagret: varje hyresgäst-ägd fråga innehåller ett kontoomfång i WHERE-klausulen.
CSRF-skydd på alla tillståndsändrande förfrågningar.
Plattformsadministratörsåtkomst använder separat inloggning, cookie och autentiseringstabell från kundkonton.

5. Dataisolering

HR Cluster är multi-tenant. Varje databasfråga mot kund-ägda data inkluderar ett account_id-filter i WHERE-klausulen, granskat över arbetsytan.

Filuppladdningar lagras utanför webbroten, organiserade per konto, och serveras endast via en autentiserad hanterare som verifierar både kontoomfång och filtyp innan filen strömmas.

6. Säkerhetskopior och katastrofåterställning

HR Cluster AS upprätthåller skiktade åtgärder för säkerhetskopiering och katastrofåterställning som ska stödja driftskontinuitet och datas motståndskraft. Säkerhetskopior kan förvaras på fysiskt åtskild infrastruktur i Norge.

7. Övervakning och revisionsloggning

Vi loggar administrativa åtgärder, dataexporter och behörighetsändringar per konto. Serverloggar inkluderar fel, långsamma frågor och autentiseringshändelser. Loggar lagras av säkerhets- och ansvarighetsskäl.

8. Sårbarhetshantering

Vi håller våra operativsystem och körtidsberoenden uppdaterade, granskar tredjepartsbibliotek innan vi tar in dem och åtgärdar rapporterade problem enligt ett prioritetsbaserat schema. Akuta ärenden hanteras utanför normal cykel.

9. Underbiträden och datalokalisering

Vår primära infrastruktur finns inom Europeiska unionen. Ett begränsat antal underbiträden kan behandla personuppgifter utanför EES under standardavtalsklausuler (SCC) och, där det är tillämpligt, EU–US Data Privacy Framework. Se full lista på vår sida med underbiträden, och läs hur det passar in i vår integritetspolicy. Kortbetalningar görs på en betalningssida som drivs av Stripe, som är certifierat som PCI Service Provider Level 1; kortuppgifter anges på den sidan och når aldrig HR Clusters servrar.

10. Ansvarsfull rapportering

Om du tror att du har hittat en säkerhetssårbarhet i HR Cluster, skicka ett mail till security@hrcluster.com med detaljer och, där det är möjligt, steg för att reproducera. Vi strävar efter att bekräfta rapporter inom två arbetsdagar. Vi vidtar inte rättsliga åtgärder mot forskare som agerar i god tro, håller sig till sina egna testkonton och undviker störning för andra kunder.

11. Kontakt

HR Cluster AS
Org.nr.: 937 565 690
Säkerhet: security@hrcluster.com
Integritet: privacy@hrcluster.com

Senast uppdaterad: oktober 2026