Sicherheit, auf jeder Ebene eingebaut
Ihre Personaldaten gehören zu den sensibelsten, die Sie haben: Lohnabrechnung, Standorte und persönliche Angaben. Celtucom ist so gebaut, dass der Schutz nie von einer einzigen Kontrolle abhängt.
Zertifizierte Managementsysteme
Diese Zertifizierungen hält das Unternehmen, das Celtucom entwickelt: der Anbieter, der unten auf jeder Seite genannt ist.
ISO/IEC 27001:2022
Informationssicherheit
ISO 9001:2015
Qualitätsmanagement
ISO 14001:2015
Umweltmanagement
Wer Celtucom entwickelt und woher es kommt, steht unter Über uns.
Sicherheit im Überblick
Datenhosting in der EU
Produktionsdaten werden in der Europäischen Union gehostet (Frankfurt, Deutschland).
Verschlüsselung
Der gesamte Datenverkehr läuft über TLS, und gespeicherte Daten sind verschlüsselt.
Zugriffskontrolle
Fein abgestufte rollenbasierte Berechtigungen, durchgesetzt in der App und noch einmal in der Datenbank.
Zwei-Faktor & Biometrie
Konten unterstützen Zwei-Faktor-Authentifizierung, mit Entsperrung per Face ID und Fingerabdruck auf dem Handy.
Audit-Trails
Sensible Änderungen werden protokolliert, sodass Admins eine Spur für Compliance-Prüfungen haben.
DSGVO-bereit
Datenexport und Löschung werden unterstützt, und ein Auftragsverarbeitungsvertrag ist verfügbar.
Vier dieser Aussagen, eine Ebene tiefer
Jede Karte oben trifft eine kurze Aussage. Hier steht, was diese Aussagen in der Praxis bedeuten, beschränkt auf das, was wir Ihnen im Produkt selbst zeigen können. EU-Hosting und Verschlüsselung fehlen hier, weil sie von der Infrastruktur kommen, auf der Celtucom läuft, und nicht von der App.
Was “noch einmal in der Datenbank durchgesetzt” bedeutet
Eine Oberfläche, die eine Schaltfläche ausblendet, ist etwas anderes als Daten, die nie ausgeliefert werden. Die Rollen in Celtucom prüft die Datenbank selbst ein zweites Mal, Zeile für Zeile, sodass ein Fehler in der Oberfläche kein Einfallstor ist: Dass der Bildschirm das Gehalt einer Kollegin nicht anzeigt und dass dieses Gehalt die Datenbank nie verlässt, sind zwei verschiedene Versprechen.
- Zeilenbasierte Regeln liegen auf den Tabellen, nicht nur in der App
- Die Zeilen Ihrer Organisation sind aus der Sitzung einer anderen Organisation nicht erreichbar
- Eine neue Funktion erbt die Einschränkung, statt an sie denken zu müssen
Ein Audit-Trail, der Stunden abdeckt, nicht nur Konten
Zu protokollieren, wer sich angemeldet hat, ist die leichte Hälfte. Die Hälfte, die in einem Personaltool zählt, ist der Zeiteintrag: Jemand hat aus 7,5 eine 8,5 gemacht, und drei Monate später will die Lohnabrechnung wissen, wer und wann. Änderungen an Zeiteinträgen landen im Trail, neben den Konto- und Profilereignissen.
- Änderungen an Zeiteinträgen, nicht nur an Nutzern und Rollen
- Als Verlauf nachlesbar, statt aus einer Datenbank ausgegraben
- Von der Anwendung geschrieben, sodass eine Bearbeitung ihn nicht stillschweigend umgehen kann
Zwei Schlösser, weil das Handy die Schwachstelle ist
Eine Personal-App lebt auf privaten Handys, und Handys bleiben in Transportern und auf Tresen liegen. Die Zwei-Faktor-Authentifizierung schützt das Konto; eine biometrische Sperre schützt die Sitzung, die auf dem Gerät bereits offen ist. Wer das Handy findet, hat damit noch nicht den Dienstplan gefunden.
- Zwei-Faktor-Authentifizierung für das Konto
- Face ID oder Fingerabdruck, um die App selbst zu entsperren
- Der Standort beim Ein- und Ausstempeln ist standardmäßig aktiv; ihn zu teilen ist nicht verpflichtend
Was eine Einkaufsprüfung als Nächstes fragt
Ein Auftragsverarbeitungsvertrag liegt unterschriftsbereit vor und ist vollständig veröffentlicht. Die Liste der Unterauftragsverarbeiter ist nicht veröffentlicht (das ist Absicht, denn eine öffentliche Liste von allem, worauf ein System läuft, ist eine Landkarte für jemand anderen), aber sie wird mit Kunden geteilt und dem unterzeichneten Vertrag beigefügt, und Änderungen werden vorab angekündigt.
- AV-Vertrag veröffentlicht, nicht erst auf Anfrage verschickt
- Liste der Unterauftragsverarbeiter mit Kunden geteilt, mit Ankündigung vor Änderungen
- Export und Löschung personenbezogener Daten auf Anfrage
- Eine security.txt zum Melden einer Schwachstelle
Sicherheitsdokumentation
Für Einkaufs- und Compliance-Prüfungen. Fragen, die hier nicht beantwortet sind? Wir gehen in der Demo gern tiefer darauf ein.
Wo das den Rest des Produkts berührt
Zugriffskontrolle ist kein separates Modul, das obendrauf geschraubt wird: Es sind dieselben Rollen, die entscheiden, wer einen Stundenzettel im Produkt selbst genehmigen darf und wer einen genehmigten Zeitraum an Ihr Lohnabrechnungsprogramm senden darf. Das sind die zwei Stellen, an denen ein Berechtigungsfehler Geld kostet und nicht nur Peinlichkeit.
Nichts davon steckt hinter einem Enterprise-Tarif. Es gibt einen Tarif, also sind Zwei-Faktor-Authentifizierung, Audit-Trails und rollenbasierter Zugriff darin enthalten, zu dem Preis, den alle zahlen. Sicherheit als Zusatzverkauf ist eine seltsame Art von Sicherheit.
Erleben Sie Celtucom mit Ihrem eigenen Team
Buchen Sie eine Vorführung, und wir zeigen Ihnen, wie es zur tatsächlichen Arbeitsweise Ihrer Organisation passt.