Beveiliging | Curbo HR

Waar je gegevens staan

Op servers van TransIP in Nederland. De database is niet vanaf internet bereikbaar.
Het verkeer loopt via Cloudflare, dat de site beschermt tegen overbelasting en aanvallen.
De gegevens van elke organisatie zijn van die van andere organisaties gescheiden; bestanden staan per organisatie apart en zijn niet openbaar te openen.
Welke partijen verder meewerken, staat op Subverwerkers.

Inloggen en toegang

Tweestapsverificatie is verplicht voor beheerders, HR en iedereen die gevoelige gegevens mag zien. Medewerkers kunnen het zelf aanzetten.
Inloggen met het werkaccount van Google of Microsoft kan ook; dan controleert die partij de aanmelding.
Wachtwoorden bewaren we alleen als onomkeerbare hash (scrypt). Niemand bij Curbo kan je wachtwoord zien. Een nieuw wachtwoord moet minstens 12 tekens hebben en wordt geweigerd als het in bekende datalekken voorkomt; daarvoor sturen we alleen de eerste vijf tekens van de hash naar Have I Been Pwned, nooit het wachtwoord zelf.
Na te veel mislukte pogingen om in te loggen of een code in te voeren, wordt het account steeds langer geblokkeerd en krijg je een e-mail. Een tweestapscode werkt maar een keer.
Sessies verlopen vanzelf: voor beheer en HR na 2 uur zonder activiteit. Voor gevoelige handelingen, zoals alle gegevens exporteren, vragen we opnieuw je wachtwoord of code.
Bij een wijziging van je wachtwoord of tweestapsverificatie, en bij inloggen op een nieuw apparaat, krijg je een e-mail.
Je ziet je actieve sessies en kunt andere apparaten afmelden.
Rechten per rol: een leidinggevende ziet zijn team, HR het dossier, een medewerker zijn eigen gegevens. Salaris, BSN, IBAN en notities bij verzuim vragen een apart recht.
Support kijkt alleen mee als je organisatie daar toestemming voor geeft, standaard alleen-lezen en zonder gevoelige gegevens. Je ziet elke supportsessie in je beveiligingslogboek en kunt de toestemming altijd intrekken. Alleen bij een noodgeval kan Curbo zonder toestemming meekijken, met een vastgelegde reden en een directe e-mail aan je beheerders.

Versleuteling

Alle verbindingen gaan via https (TLS); browsers onthouden dat curbo.nl alleen veilig te bezoeken is (HSTS).
BSN, IBAN, tweestapsgeheimen en sleutels voor koppelingen bewaren we versleuteld (AES-256-GCM), met sleutels die buiten de database staan. In lijsten zie je BSN en IBAN gemaskeerd; het volledige nummer tonen vraagt opnieuw je wachtwoord of code en komt in het logboek.
Alle bestanden die je uploadt, zoals loonstroken en ID-bewijzen, staan versleuteld op de server, elk met een eigen sleutel.
Een strikte Content-Security-Policy zorgt dat in je browser alleen de code van Curbo zelf kan draaien.
De app bewaart je sessie en pincode in de beveiligde opslag van je telefoon.

Back-ups en updates

Elke dag een back-up van de database en de bestanden, en een extra back-up voor elke update. Daarnaast gaat elke nacht een versleutelde kopie van de database naar een tweede server in Nederland. Back-ups blijven hooguit 35 dagen bewaard.
De servers krijgen maandelijks automatisch beveiligingsupdates, en dringende updates eerder.
Fouten in de software komen automatisch bij ons binnen, zonder de inhoud van wat je invulde.

Privacy by design

Geen medische gegevens bij verzuim, en leidinggevenden zien geen notities bij een ziekmelding.
Locatie alleen op het moment van klokken en alleen als de werkgever dat aanzet. Geen foto's bij het klokken.
Sollicitanten worden automatisch verwijderd na de bewaartermijn.
Geen analytics, geen advertenties, geen externe AI-dienst.

Als het toch misgaat

Bij een datalek met personeelsgegevens informeren we de werkgever zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking, zodat die zijn eigen meldplicht kan nakomen. Wat we dan precies doen, staat in de verwerkersovereenkomst.

Een kwetsbaarheid melden

Vind je een zwakke plek in Curbo? Dan horen we dat graag, zodat we hem snel kunnen dichten. Mail je melding naar [email protected] met het onderwerp "Kwetsbaarheid".

Wat we van je vragen

Beschrijf het probleem zo dat we het kunnen nadoen: welke pagina, welke stappen, wat er gebeurt. Een schermafbeelding of voorbeeld helpt.
Meld het zo snel mogelijk nadat je het hebt gevonden.
Doe niet meer dan nodig is om het probleem aan te tonen. Kijk niet verder in gegevens dan nodig, kopieer, wijzig of verwijder geen gegevens, en gebruik geen gegevens van anderen. Gebruik waar het kan je eigen testaccount.
Geen aanvallen die de dienst verstoren (zoals overbelasting), geen social engineering of phishing, geen fysieke aanvallen, geen spam, en geen malware of achterdeurtjes plaatsen.
Deel de kwetsbaarheid met niemand anders totdat we hem hebben opgelost, en wis gegevens die je toevallig hebt gezien direct.

Wat wij doen

We bevestigen je melding binnen drie werkdagen en houden je op de hoogte van de oplossing.
We behandelen je melding vertrouwelijk en delen je gegevens niet zonder je toestemming met anderen.
Houd je je aan deze regels, dan doen we geen aangifte en stappen we niet naar de rechter over je melding.
We streven ernaar het probleem zo snel mogelijk op te lossen. Als je dat wilt, noemen we je naam als ontdekker nadat het is opgelost.
We hebben geen beloningsprogramma. Bij een melding die echt helpt, kunnen we je als dank iets geven; daar heb je geen recht op.

Dit beleid staat ook in een vorm die computers lezen, op /.well-known/security.txt.