Prodotto Sicurezza e privacy
I tuoi dati più sensibili sono cifrati e restano nell’UE
I dati retributivi meritano più di un'informativa sulla privacy. Cifratura a livello di campo con chiavi per organizzazione, elaborazione solo nell'UE, anonimizzazione in ogni analisi e una registrazione per ogni modifica.
45 minuti. Porta il tuo team di sicurezza e le sue domande.
Architettura concreta
Cifratura a livello di campo, chiave per organizzazione
Nomi, dati personali, dati retributivi e dati di performance sono cifrati a livello di campo con AES-256-GCM. La cifratura a busta si appoggia a Google Cloud KMS con una chiave distinta per ogni organizzazione: la chiave di un cliente non tocca mai i dati di un altro.
- AES-256-GCM a livello di campo su tutti i dati sensibili dei dipendenti
- Una chiave Google Cloud KMS distinta per ogni organizzazione
- Dati retributivi, personali e di performance illeggibili senza la chiave dell'organizzazione
Niente esce dall'UE
L'infrastruttura si trova nella regione Finlandia e l'elaborazione IA avviene nell'UE, nei Paesi Bassi. I tuoi dati non vengono trasferiti fuori dall'UE e i dati dei clienti non sono mai usati per addestrare modelli.
- Infrastruttura nella regione Finlandia
- Elaborazione IA nell'UE, mai usata per addestrare modelli
- Classificazione a rischio minimo secondo il regolamento UE sull'IA
Il GDPR è costruito dentro al prodotto
Il diritto alla cancellazione e l'esportazione dei dati per singolo dipendente sono funzionalità del prodotto, e i campi sensibili sono conservati solo cifrati. Ogni analisi applica soglie di anonimizzazione, quindi i gruppi piccoli vengono soppressi in automatico e nessuna persona è identificabile da un dato aggregato.
- Diritto alla cancellazione ed esportazione dei dati per dipendente
- Le soglie di anonimizzazione nascondono i gruppi piccoli ovunque
- Minimizzazione dei dati come impostazione predefinita, non come opzione
Ogni modifica ha un nome
Ogni schermata e ogni azione sono protette da un permesso nominale, assegnato tramite i ruoli, e l'appartenenza all'organizzazione viene verificata a ogni richiesta. Il registro traccia chi ha modificato cosa e quando, con valori vecchi e nuovi, indirizzo IP e user agent. Ed è anche una schermata nel prodotto: i tuoi amministratori possono cercarci dentro, filtrare per persona, oggetto o periodo ed esportarlo per un revisore.
- Permessi nominali, verificati a ogni richiesta
- Registro consultabile ed esportabile con valori vecchi e nuovi, IP e user agent
- Certificazione ISO 27001:2022, certificato disponibile nel nostro Trust Center
Protezione su più livelli
Ogni livello parte dal presupposto che un singolo controllo possa cedere.
Protezione perimetrale
Web application firewall e protezione DDoS davanti all'applicazione.
Irrobustimento delle richieste
Limiti di frequenza e header di sicurezza su tutta la superficie.
Scansione continua
Analisi statica e scansione delle dipendenze a ogni modifica.
Revisione prima del merge
Revisione di sicurezza su ogni modifica, dentro un sistema di gestione certificato ISO 27001:2022.
Domande frequenti dai team di sicurezza
La sicurezza attraversa tutto il prodotto
Intelligence
Nomi tokenizzati, dimensioni minime dei gruppi ed elaborazione IA solo nell'UE.
Trasparenza retributiva e report
Anonimizzazione su ogni numero che pubblichi o condividi.
Architettura delle posizioni
Struttura e permessi decidono chi vede quali posizioni.
Allerte e anomalie sui divari retributivi
Un monitoraggio che rispetta le stesse soglie e le stesse regole di accesso.
Ripercorriamo l’architettura con il tuo team di sicurezza
Un confronto nel dettaglio, non slide di marketing.