Competency Acquisition Platform
DE
Demo buchen
Sicherheit und Compliance

Wie wir die Daten Ihres Werks schützen

Competency Acquisition Platform ist für HR-Leiter gebaut, die sich vor Gremien, Auditoren und Prüfern verantworten. Wir dokumentieren ausdrücklich, was umgesetzt ist und was in Vorbereitung ist, damit Ihr Risikoteam und Ihr Datenschutzbeauftragter klare Antworten haben.

Authentifizierung und Sitzungen

  • Passwörter mit bcrypt gehasht (Kostenfaktor 12).
  • Kurzlebige JWTs: 30 Minuten TTL, Erneuerung durch explizite Anmeldung.
  • Passwortrichtlinie: mindestens 10 Zeichen; verbreitete Passwörter, Folgen und Passwörter mit E-Mail, Namen oder Firma werden abgelehnt; Passwörter werden nur als bcrypt-Hash gespeichert.
  • Passwort-Zurücksetzung über signiertes Token mit Ratenbegrenzung und Schutz vor Enumeration (generische Antwort bei unbekannten E-Mails).
  • DSGVO-Selbstexport (Art. 20) direkt aus dem Nutzerprofil.

Mandantentrennung

  • Jede authentifizierte Anfrage trägt eine aus dem JWT abgeleitete tenant_id, die einzige Quelle der Wahrheit.
  • Die Spalte tenant_id ist Bestandteil jeder Geschäftstabelle und jedes zusammengesetzten Index.
  • Eine eigene Testsuite zur Mandantentrennung läuft bei jedem Release; sie deckt über 13 mandantenübergreifende Szenarien ab.

Unveränderliches Audit-Protokoll

  • SQLAlchemy-Event-Listener blockieren UPDATE und DELETE auf Audit-Tabellen.
  • Jede Geschäftsänderung schreibt einen unveränderlichen Eintrag mit wer / was / wann / Diff.
  • Das Protokoll ist vollständig als CSV exportierbar, filterbar nach Bearbeiter und Zeitfenster.

DSGVO und Übermittlungen

  • Selbstexport nach Art. 20 innerhalb von 30 Minuten nach Anfrage.
  • Eigener Datenschutzbeauftragter für Betroffenenanfragen (Auskunft, Übertragbarkeit, Löschung).
  • AVV-Vorlage auf Anfrage, digital unterzeichenbar vor dem Hauptvertrag.
  • Ausschließlich in der EU gehostet (Hetzner FSN oder HEL, oder gleichwertig).
  • Keine Analyse durch Dritte ohne granulare Einwilligung (ePrivacy-konformes Cookie-Banner).

Backup und Wiederherstellung

  • Datenbank-Snapshot täglich um 03:00 UTC, 90 Tage Aufbewahrung.
  • Offsite auf Cloudflare R2 in einem eigenen Bucket mit getrennten Zugangsdaten.
  • Monatlicher Wiederherstellungstest aus einem zufälligen Snapshot zur Validierung.
  • Erklärte Ziele: RTO 4 Stunden, RPO 24 Stunden.

Zertifizierungen und Nachweise

  • DSGVO-konform: umgesetzt, im AVV dokumentiert.
  • ISO 27001: in Vorbereitung, Ziel 2027.
  • Wir behaupten keine Zertifizierungen, die wir noch nicht haben: ISO 27001 ist in Vorbereitung, der erste Penetrationstest ist für Q2 2027 geplant.

Dokumentation zum Herunterladen