Sicherheit
Diese Seite beschreibt, wie Absenca Ihre Daten heute schützt. Sie nennt nur, was tatsächlich umgesetzt ist, und wir aktualisieren sie, wenn sich das ändert. Unser Auftragsverarbeitungsvertrag verpflichtet uns zu denselben Maßnahmen.
Hosting
Absenca wird im globalen Netzwerk von Cloudflare gehostet; bestimmte Regionen werden nicht garantiert. Entwicklung, Test und Produktion laufen in getrennten Umgebungen mit getrennten Datenbanken, und die Entwicklung nutzt fiktive Daten.
Verschlüsselung
Der gesamte Datenverkehr wird bei der Übertragung mit TLS verschlüsselt, und Browser werden angewiesen, nur HTTPS zu verwenden (HSTS). Im Ruhezustand werden Daten von unserem Hosting-Anbieter verschlüsselt. Zusätzlich verschlüsselt Absenca die Tokens verbundener Werkzeuge (Slack, Microsoft Teams, Google- und Microsoft-Kalender), bevor sie gespeichert werden.
Backups
Die Datenbank kann auf jeden Zeitpunkt innerhalb der letzten 30 Tage wiederhergestellt werden. Dateianhänge werden nicht separat gesichert; das Löschen eines Anhangs ist daher endgültig.
Rollen und Zugriff in Absenca
Der Zugriff folgt vier Rollen: Admin, Standort-Admin, Manager und Mitarbeitende. Ein Standort-Admin sieht nur die ihm zugewiesenen Standorte, ein Manager nur die Abteilungen, die er leitet. In der App sehen Kolleginnen und Kollegen, dass jemand abwesend ist, aber nie die Begründung oder Notizen. Einträge in geteilten Teamkalendern, die ab dem 14. Oktober 2026 angelegt werden, enthalten keine Begründung; ältere Einträge können sie noch enthalten, bis sie entfernt werden. Eine als privat markierte Abwesenheitsart erscheint im Kalender und in den Teamansichten der App als „Abwesend“. Kanal-Zusammenfassungen, Kalender-Feeds, geteilte Teamkalender, geplante Berichte und Abwesenheitsnotizen zeigen die Abwesenheitsart vorerst noch. Anhänge wie Krankmeldungen können nur die betroffene Person und die Personen öffnen, die den Antrag prüfen, über In-App-Links, die nach 15 Minuten ablaufen. Datenexporte, die ein Admin anfordert, enthalten Links darauf, die 7 Tage gültig sind.
Anmeldung und Passwörter
Die Anmeldung per E-Mail erfordert eine verifizierte E-Mail-Adresse. Passwörter werden nur als gesalzene Einweg-Hashes gespeichert; neue und geänderte Passwörter verwenden PBKDF2-SHA256. Passwörter müssen mindestens 8 Zeichen lang sein. Sie können sich auch mit Google, Microsoft oder Slack anmelden. Sitzungen laufen 30 Tage nach der letzten Nutzung ab, und wer aus einer Organisation entfernt wird, wird abgemeldet.
Zugriff unserer Mitarbeitenden
Unsere Support- und Betriebsmitarbeitenden nutzen ein separates Admin-System mit eigenen Konten. Jede Änderung durch Mitarbeitende und jedes Öffnen der Abwesenheitsdaten eines Kunden wird protokolliert. Mitarbeitende können sich nicht als Kunde anmelden. Änderungen an Produktionsdaten erfolgen über geprüfte, automatisierte Deployments; jeder andere Zugriff auf die Produktionsdatenbank ist laut Richtlinie nur lesend. Mitarbeitende, die von außerhalb des Vereinigten Königreichs arbeiten, nutzen nur Cloud-Systeme und speichern keine Kundendaten auf eigenen Geräten.
Audit-Log
Absenca führt ein Audit-Log der Admin-Aktionen, etwa Saldoanpassungen und Rollenänderungen. Admins können es in Tarifen einsehen, die es enthalten.
Anwendungssicherheit
Jede Anfrage wird validiert, Webhooks von Stripe, Slack, Microsoft Teams und Google Chat werden per Signatur geprüft, und jede App sendet Sicherheits-Header, einschließlich einer Content Security Policy. Anfragen unterliegen einer Ratenbegrenzung. Jede Änderung wird automatisch per Linting, Typprüfung und Tests geprüft, bevor sie übernommen werden kann.
Reaktion auf Vorfälle
Wir haben einen schriftlich festgelegten Prozess zur Reaktion auf Vorfälle. Betrifft eine Verletzung personenbezogene Daten Ihrer Organisation, informieren wir Ihre Admins unverzüglich und innerhalb von 72 Stunden, nachdem wir davon Kenntnis erlangt haben.
Was wir noch nicht haben
Wir sind nicht nach ISO 27001 oder SOC 2 zertifiziert, und es wurde kein Penetrationstest beauftragt. Die Anmeldung mit SAML oder OpenID Connect über Ihren eigenen Identitätsanbieter ist nicht verfügbar.
Schwachstellen melden und unsere Anbieter
Sie haben eine Schwachstelle gefunden? Bitte folgen Sie unserer Richtlinie zur Offenlegung von Schwachstellen oder schreiben Sie an security@absenca.com. Die Unternehmen, die Daten für uns verarbeiten, sind auf unserer Seite der Unterauftragsverarbeiter aufgeführt.