Dane kadrowo-płacowe są przetwarzane i przechowywane wyłącznie w centrach danych zlokalizowanych na terenie Unii Europejskiej, certyfikowanych zgodnie z SOC 2. Nie opuszczają jurysdykcji UE na żadnym etapie przetwarzania ani integracji, w tym podczas połączeń z systemami zewnętrznymi. Dane pracowników są dodatkowo izolowane według kraju i podmiotu prawnego, co oznacza, że administrator z jednego kraju nie ma wglądu w dane pracowników z innej jurysdykcji, jeśli jego rola tego nie wymaga.

Hermetis posiada certyfikację ISO/IEC 27001:2022, która potwierdza zarządzanie bezpieczeństwem informacji w trybie ciągłym, opartym na ocenach ryzyka, klasyfikacji aktywów i formalnych procesach zatwierdzania. System spełnia wymagania równoważne dyrektywie NIS-2 w zakresie cyberodporności, ciągłości działania i reakcji na incydenty. Dane są szyfrowane podczas przesyłania przez TLS 1.3 oraz podczas przechowywania przez AES-256. Zautomatyzowane testy penetracyjne działają regularnie, a zgodność z OWASP Top 10 jest dokumentowana i dostępna na potrzeby oceny bezpieczeństwa.

Dostęp do danych wynika wyłącznie z roli użytkownika w strukturze organizacji i jest egzekwowany przez mechanizm RBAC zgodnie z zasadą najmniejszych uprawnień. Logowanie do środowisk produkcyjnych wymaga SSO lub MFA. Dostęp zespołu supportu Hermetis do danych klienta wymaga formalnego zgłoszenia i wyraźnej zgody klienta przed każdym wejściem. Każde działanie administracyjne jest rejestrowane w audit logu dostępnym do weryfikacji. Dzięki temu organizacja ma pełny obraz tego, kto, kiedy i w jakim zakresie uzyskał dostęp do danych pracowników.

Hermetis obsługuje wielopoziomową strukturę uprawnień definiowaną zgodnie ze strukturą organizacji — z możliwością konfiguracji zakresu dostępu per rola, podmiot prawny i jednostka organizacyjna. Każda rola widzi wyłącznie dane i funkcje przypisane do jej zakresu odpowiedzialności. Uprawnienia są egzekwowane przez mechanizm RBAC zgodnie z zasadą najmniejszych uprawnień — żaden użytkownik nie uzyskuje dostępu szerszego niż wymaga jego rola. Działania administracyjne są rejestrowane w audit logu i dostępne do weryfikacji.

Hermetis działa jako podmiot przetwarzający dane wyłącznie w granicach podpisanej umowy powierzenia przetwarzania danych (DPA), która jest zawierana przed jakimkolwiek przetwarzaniem danych pracowniczych. Organizacja klienta pozostaje administratorem danych i decyduje o celu, zakresie i podstawie przetwarzania. Realizacja praw osób, których dane dotyczą, obejmująca dostęp, sprostowanie, usunięcie i przenoszalność, ma udokumentowany proces wbudowany w platformę. Polityki retencji danych, procedury eksportu i strategia wyjścia są udokumentowane jako część umowy i procesu wdrożenia.

Tak. Hermetis obsługuje logowanie przez SSO z wykorzystaniem Azure AD i Microsoft Entra ID jako standard. Provisionowanie i deprovisionowanie kont użytkowników odbywa się przez SCIM 2.0, co ogranicza potrzebę ręcznego zarządzania dostępem przy zmianach kadrowych. Integracja z Azure AD pozwala działowi IT zarządzać tożsamością użytkowników Hermetis z poziomu narzędzi, które już obsługuje — bez utrzymywania osobnego rejestru kont w systemie HR.

Proces oceny zaczyna się przed podpisaniem umowy i przebiega w kilku zdefiniowanych etapach. Po pierwszym kontakcie i demonstracji produktu strony podpisują NDA, które obejmuje wszystkie rozmowy techniczne i handlowe. Następnie Hermetis udostępnia certyfikat ISO, szablon DPA oraz opis infrastruktury na potrzeby oceny dostawcy. Na etapie Security Q&A zespół IT klienta może zadawać pytania techniczne dotyczące NIS-2, RODO, dostępu, integracji i kopii zapasowych. DPA jest podpisywana przed uruchomieniem systemu na danych pracowników. Żaden etap oceny nie wymaga wcześniejszego przekazania danych pracowników ani architektury IT organizacji.