Securitatea datelor în Egalis

Pe servere Hetzner (centre de date în Germania, UE), administrate de noi — nu pe infrastructură partajată cu terți necontrolați. Site-ul public nu stochează nimic: toate instrumentele gratuite rulează integral în browserul vizitatorului.

Motorul de calcul nu vede niciodată nume sau CNP: angajații există în calcule doar ca ID-ul lor din payroll + sexul (singurul criteriu pe care legea permite să-l colectăm). Dacă firma alege să importe și numele (pentru operare), ele stau într-un tabel separat, criptate AES-256-GCM, vizibile exclusiv rolurilor owner și hr_admin — și nu intră niciodată în calcule, rapoarte sau exporturi legale.

Platforma e multi-tenant cu izolare strictă pe companie, demonstrată prin teste automate de izolare care rulează la fiecare modificare de cod. Accesul e pe roluri (owner, hr_admin, aprobator de management, reprezentantul lucrătorilor, angajat, recrutor) — control de acces cerut de lege, nu opțional.

Fiecare acțiune cu relevanță juridică (import, evaluare, aprobare, raport, răspuns la cerere, notificare de termen) se scrie într-un jurnal doar-adăugare. Imutabilitatea e impusă la nivelul bazei de date (trigger care respinge orice UPDATE/DELETE), nu prin convenție de aplicație — nici administratorii nu pot rescrie istoria.

• Parole stocate cu scrypt (hash ireversibil, cu sare).
• Verificare în doi pași (TOTP) suportată la autentificare.
• Limitare de rată pe autentificare și pe formularele publice (anti brute-force).
• Sesiuni httpOnly, cookie-uri doar strict necesare (vezi politica de cookies).
• Tot traficul pe TLS; porturile de administrare sunt închise public.

Exportul complet (JSON structurat) și ștergerea definitivă a companiei sunt funcții în aplicație, disponibile owner-ului oricând — inclusiv după încetarea abonamentului. La ștergere se elimină toate datele de conținut; jurnalul de audit se păstrează ca probă legală (nu conține date salariale).

Copii de siguranță zilnice ale întregului server, păstrate 7 zile, cu restaurare rapidă, exersată; mediu de probă separat de producție. Erorile aplicației se colectează centralizat, iar procesele care ating termene legale sunt tratate la severitate maximă — promisiunea produsului e „nu ratezi termene”.

Securitatea Egalis nu e o listă de funcții, ci un sistem de management organizat după ISO/IEC 27001:2022:

• registru de riscuri evaluat formal, cu praguri de acceptare explicite;
• politici scrise și versionate: control acces, criptografie, dezvoltare securizată, incidente, continuitate, clasificarea informației;
• declarație de aplicabilitate pe toate cele 93 de controale din Anexa A, fiecare cu stare și dovadă;
• plan de tratare cu termene pentru controalele încă deschise.

Nu deținem încă o certificare independentă și nu pretindem contrariul — certificarea e planificată pentru momentul în care scara clienților o va cere. Documentația (declarația de aplicabilitate, politicile) e disponibilă clienților la cerere, sub acord de confidențialitate, iar chestionarele de securitate le completăm pe baza ei.