HR-data er de mestpersonlige dataenedere har.
Sykefravær, lønn, samtalenotater og personlighetsprofiler ligger på samme sted. Derfor er tilgangsstyring, oppbevaring og sporbarhet ikke noe som er skrudd på i etterkant – det er en del av datamodellen.
Grunnlaget
Tre ting bygget inn i datamodellen.
- Data i EUAll drift og lagring skjer på servere i EU. En databehandleravtale signeres som standard, og underleverandørene er oppført i den.
- Rollebasert tilgangRoller defineres helt ned på feltnivå. En leder ser sitt eget team, en lønnsansvarlig ser lønnsdata, og en HR-partner ser sine egne enheter. Ingen ser mer enn de trenger.
- Full revisjonsloggHvert oppslag på en ansattpost, hver endring og hver eksport logges med bruker, tidspunkt og felt. Loggen kan ikke redigeres.
Tilgang
Minst mulig tilgang som fortsatt får jobben gjort.
Rettigheter settes per rolle og per felt – ikke per modul. Det er forskjellen på at en teamleder ser at noen er syk, og at teamlederen ser diagnosen.
- Roller med rettigheter helt ned på enkeltfelt
- Avgrensning til deres egne avdelinger, lokasjoner eller juridiske enheter
- Single sign-on via Microsoft Entra ID
- Automatisk opprettelse av brukere og tilbaketrekking av tilgang ved fratreden
- Anonymitetsgrenser på pulsmålinger som ledere ikke kan omgå
- Simuleringsvisning: se nøyaktig hva en gitt rolle kan se
Oppbevaring
Sletting som skjer av seg selv.
GDPR krever at du ikke oppbevarer personopplysninger lenger enn nødvendig. I praksis er det regelen de fleste organisasjoner bryter – ikke med vilje, men fordi ingen får ryddet opp. Komma gjør det automatisk.
- Oppbevaringsfrister per datatype: søkere, fratrådte, dokumenter
- Automatisk sletting eller anonymisering når fristen er ute
- Unntak der lovgivningen krever lengre oppbevaring
- Samtykkehåndtering for søkere, med utløp og fornyelse
- Eksport av deres egne data i maskinlesbart format når som helst
- Fullt uttrekk og sletting når avtalen opphører
Karma og dataene deres
AI-en er en assistent, ikke en beslutningstaker.
Det finnes gode grunner til å være skeptisk til AI i HR. Dette gjør vi med dem.
Spørsmål
Det IT- og compliance-teamene deres pleier å spørre om.
Hvor nøyaktig lagres dataene?
På servere i EU. De konkrete lokasjonene og underleverandørene står i databehandleravtalen, som vi sender før dere signerer en kontrakt – ikke etterpå.
Støtter dere single sign-on?
Ja, via Microsoft Entra ID, med automatisk opprettelse av brukere. Når en konto stenges i Entra, stenges tilgangen til Komma samtidig.
Kan vi få dataene våre ut igjen?
Ja, når som helst og i maskinlesbart format – ikke bare ved oppsigelse. Når avtalen opphører, får dere et fullt uttrekk, og dataene slettes deretter etter fristen dere har satt.
Hvem hos Komma kan se dataene våre?
Tilgang til kundedata krever en konkret supportsak og logges. Vi ser ikke gjennom dataene deres for å se hvordan det går – og dere kan se i revisjonsloggen om vi har vært inne.
Hvordan håndterer dere innsynsbegjæringer?
En ansatt kan selv hente ut sine egne data direkte i plattformen. Hvis dere som behandlingsansvarlig må svare på en innsynsbegjæring, kan dere samle alt om én person i ett uttrekk på tvers av modulene.
Sikkerhet og compliance
Dataene deres blir i Europa.
Driftet i EU, bygget etter GDPR og sporbart helt ned til enkeltfelt. Personvernombudet deres kan se nøyaktig hvem som endret hva, og når.
Les hvordan vi håndterer dataene deresRoller og rettigheter
Bestem hva hver rolle kan se og endre
Single sign-on
Microsoft Entra, én pålogging for alle
Dataoppbevaring
Poster sletter seg selv etter deres tidsplan
Revisjonslogg
Hver endring logges med hvem og når
Simuler tilgang
Se systemet nøyaktig slik en annen rolle ser det
Vil dere ta compliance-samtalen først?
Vi møter gjerne IT-avdelingen eller personvernombudet deres før vi i det hele tatt viser produktet. Trenger dere en databehandleravtale, sikkerhetsdokumentasjon eller svar på et leverandørspørreskjema? Vi sender det før en demo.