Platforma i bezpieczeństwo
Bezpieczeństwo i RODO
Onboardly przetwarza dane osobowe pracowników i skany dokumentów. Poniżej opisujemy jak je izolujemy, szyfrujemy i jak realizujemy obowiązki RODO.
Izolacja danych między organizacjami
Onboardly jest aplikacją multi-tenant: dane wielu organizacji leżą w jednej bazie, ale są od siebie odseparowane na poziomie bazy danych przez Postgres RLS (Row Level Security). Zapytanie w kontekście jednej organizacji nie ma dostępu do wierszy innej — izolacja jest egzekwowana przez silnik bazy, nie tylko przez kod aplikacji.
Szyfrowanie danych
Dane osobowe i skany dokumentów szyfrujemy algorytmem AES-256-GCM. Stosujemy szyfrowanie kopertowe: jest klucz główny oraz osobny klucz danych dla każdej organizacji. Klucz danych organizacji jest zaszyfrowany kluczem głównym — dzięki temu kompromitacja pojedynczego klucza danych nie odsłania pozostałych organizacji.
- Klucz główny — nadrzędny, chroni klucze danych.
- Klucz danych per organizacja — używany do szyfrowania danych osobowych i skanów tej organizacji.
- AES-256-GCM — szyfrowanie z uwierzytelnianiem (wykrywa manipulację danymi).
Ochrona konta
- 2FA (TOTP) — dwuskładnikowe logowanie oparte na aplikacji uwierzytelniającej (kody czasowe).
- Zabezpieczenie formularzy (captcha) — chroni formularze przed automatycznymi nadużyciami.
- Audyt wejścia „jako użytkownik” — gdy zespół obsługi wchodzi do konta klienta w trybie „jako użytkownik”, każde takie wejście jest zapisywane w dzienniku audytu.
RODO — jak realizujemy obowiązki
| Obszar | Jak działa w Onboardly |
|---|---|
| Retencja danych | Usuwanie miękkie po 90 dniach, usuwanie twarde po 7 latach. |
| Prawo do bycia zapomnianym | Realizacja żądania usunięcia danych osoby. |
| Umowa powierzenia (DPA) | Onboardly przetwarza dane jako podmiot przetwarzający na podstawie DPA. |
| Dziennik dostępu (art. 30) | Rejestr dostępu do danych osobowych zgodnie z art. 30 RODO. |
Skany dokumentów tożsamości
Nie przechowujemy skanów dowodu osobistego obywateli Polski — zgodnie z wytycznymi UODO. Dokumenty pobytowe cudzoziemców (np. karta pobytu, wiza) przechowujemy, ponieważ wymaga tego prawo — pracodawca ma obowiązek udokumentować legalność pobytu i pracy.Szczegóły powierzenia przetwarzania i katalog danych znajdziesz w DPA oraz w polityce prywatności.
Powiązane: Integracje deweloperskie · Legalizacja cudzoziemca