Intempus ISAE 3000 TYPE 2-erklæring
Personvernforordningen (GDPR), eller på dansk “Personvernforordningen”, er navnet på EUs lovgivning om databeskyttelse. GDPR har som mål å beskytte EU-borgere mot misbruk av personopplysningene deres. Siden 25. mai 2018 må derfor alle europeiske selskaper ha styrket sine prosesser for hvordan personopplysninger samles inn og behandles på en sikker måte. Intempus har følgende sertifiseringer:
- ISEA 3000-erklæring
- ISEA 3000 TYPE 2-erklæring
Intempus APS' uttalelse
Intempus ApS håndterer behandling av personopplysninger i forbindelse med Intempus tidsregistreringsplattform for våre kunder som er behandlingsansvarlige i henhold til Europaparlamentets og Rådets forordning om beskyttelse av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger (personvernforordningen) og lov om utfyllende bestemmelser til personvernforordningen (databeskyttelsesloven). Den vedlagte beskrivelsen er utarbeidet til bruk for behandlingsansvarlige som har benyttet Intempus tidsregistreringsplattform, og som har tilstrekkelig forståelse til å vurdere beskrivelsen sammen med annen informasjon, herunder de tekniske og organisatoriske sikkerhetstiltakene og andre kontroller som de behandlingsansvarlige selv har iverksatt, ved vurdering av etterlevelse av kravene i personvernforordningen og personvernloven.
Intempus ApS bruker underdatabehandlere. De relevante kontrollmålene og tilhørende tekniske og organisatoriske sikkerhetstiltak og andre kontroller hos disse underbehandlerne er ikke inkludert i den medfølgende beskrivelsen. Intempus ApS bekrefter at den vedlagte beskrivelsen i punkt 3 gir en sannferdig beskrivelse av Intempus' tidsregistreringsplattform og de tilhørende tekniske og organisatoriske sikkerhetstiltakene og andre kontroller per 15. november 2021.
Spørsmål og svar
Vanlige spørsmål om databehandling og personvern
Hvordan sikkerhetskopierer Intempus kundedata?
Intempus utfører sikkerhetskopiering av data ved hjelp av to uavhengige backup-systemer. Hvert backupsystem sender sikkerhetskopier til to forskjellige lagringssteder, slik at det totalt finnes fire separate backupsteder.
En daglig full sikkerhetskopi opprettes ved hjelp av verktøyet pg_dump. Disse sikkerhetskopiene lagres på to forskjellige servere i 12 måneder. En gang i uken gjenoppretter vi en av disse sikkerhetskopiene til et testsystem for å sikre at vi alltid har gode sikkerhetskopier.
Kontinuerlige sikkerhetskopier opprettes ved hjelp av barman-verktøyet. Dette sikrer at nye data sikkerhetskopieres i løpet av få minutter etter at de er opprettet. Disse sikkerhetskopiene lagres på to forskjellige servere i 2-3 uker. Barman overvåker at de nødvendige sikkerhetskopiene er til stede og varsler oss hvis sikkerhetskopier ikke blir utført.
Hvordan beskytter Intempus brukerpassord?
Passord lagres i databasen vår ved hjelp av en iterert saltet hashalgoritme. Dette betyr at selv ikke Intempus' systemadministratorer kan lese passordet ditt fra databasen. Algoritmen som brukes kalles PBKDF2-SHA256.
Intempus utfører en beregning av kompleksiteten til passordene som brukerne skriver inn. Dette kalles et entropiestimat. Beregningen bruker en tredjepartsdatabase med passord som tidligere har blitt lekket fra andre systemer. Denne databasen heter Have I Been Pwned. Intempus bruker offline-versjonen av databasen for å beskytte mot potensielle lekkasjer gjennom HIBP API.
Hver Intempus-kunde kan velge en minimum passordstyrke for sine brukere. Intempus vil håndheve denne policyen når en bruker oppdaterer passordet sitt. Den beregnede entropien lagres ikke av Intempus etter at valideringen er utført.
For å beskytte mot brute force-angrep og "credential stuffing" vil Intempus håndheve en global grense for ugyldige påloggingsforsøk. Når grensen overskrides, blir klientens IP-adresse midlertidig blokkert av Intempus. Om nødvendig blokkeres et område med flere IP-adresser. Beslutningen om å blokkere basert på IP-adresser ble tatt fordi dette er mer nøyaktig enn blokkering basert på brukernavn.
Støtter Intempus enkel pålogging?
Intempus har støtte for Microsoft SSO. En kunde som bruker SSO, kan velge å enten kreve at brukerne bruker SSO, eller å gi brukerne valget mellom SSO og passordinnlogging.
Hvordan krypterer Intempus kundedata?
Kommunikasjonen mellom Intempus og brukerne krypteres ved hjelp av TLS (Transport Layer Security). Kundedata som utveksles mellom ulike deler av Intempus, krypteres enten ved hjelp av TLS eller SSH.
Lagringsserveren som brukes av databasen vår, krypteres av hostingleverandøren på en måte som er transparent for Intempus.
Hvilke sertifiseringer har Intempus?
Intempus har en ISAE 3000 type 2-sertifisering.