Sicherheit
VKT hält Namen, Berichtslinien, Abwesenheiten und Spesenanträge. Das ist per Definition sensibel — deshalb kommt die Sicherheit aus dem Aufbau des Systems und nicht aus einem Versprechen auf einer Seite.
Jede Tabelle trägt eine Workspace-ID, und jede Repository-Methode nimmt sie als erstes Argument. Wird sie vergessen, kommt nichts zurück statt fremder Daten. Eindeutige Schlüssel gelten je Mandant, sodass zwei Firmen dieselbe Abteilung benennen können.
Bot-Token werden mit AES-256-GCM verschlüsselt, bevor sie die Datenbank berühren, mit einem zufälligen Nonce pro Datensatz. Der Schlüssel liegt in der Umgebung, nie im Repository; ist er fehlerhaft, startet der Dienst nicht.
Admin ist kein Flag, das jemand verteilt: Es ist die Person, die die App installiert hat, oder die Spitze des Berichtsbaums. Dieselbe Prüfung entscheidet, wer unternehmensweite Summen sieht und wer Einstellungen ändert — in Slack wie im Web.
Aufbewahrungsfristen sind konfigurierbar. Läuft eine ab, werden Antragsinhalt, Notizen und Belegdateien gelöscht; der Datensatz behält nur Betrag, Status und Freigebende — genug für die Buchhaltung, zu wenig, um eine Person zu identifizieren.
Sicherheit
Für die Personaldaten in Ihrem Workspace handeln wir als Auftragsverarbeiter. Ein Auftragsverarbeitungsvertrag steht vor dem Rollout bereit, und wir dokumentieren Unterauftragsverarbeiter, Aufbewahrungsfristen und Löschverfahren auf Anfrage.
Senden Sie uns Ihren Fragebogen — wir beantworten ihn schriftlich, inklusive Architektur, Datenfluss und Unterauftragsverarbeitern.