Como agencia de desarrollo web, actualmente estamos realizando una reconstrucción del sitio para una agencia de contratación. El sitio actual permite a los solicitantes registrarse como trabajadores temporales para la agencia (nuestro cliente), a quienes luego se les asignarán contratos a corto plazo cuando sea necesario.
El formulario de solicitud en el sitio actual para estas capturas de trabajadores y una enorme cantidad de datos realmente confidenciales, incluidos los datos bancarios, datos de contacto, educación e incluso el historial médico detallado del solicitante. Sorprendentemente, lo hace en una conexión HTTP normal sin SSL, y los datos se almacenan en una base de datos mysql también utilizada por el sitio. En mi humilde opinión es negligente en el mejor de los casos.
Nuestro cliente desea el mismo comportamiento en el nuevo sitio que estamos desarrollando, pero obviamente tenemos grandes preocupaciones sobre la legalidad y la seguridad de implementar la lógica de negocios actual.
¿Alguien puede dar alguna orientación sobre qué se puede almacenar legalmente, cómo almacenar mejor la información y tal vez algún escenario alternativo que podamos presentar al cliente? Para aclarar, estamos sujetos a las leyes de protección de datos del Reino Unido (UE) para este sitio.
Obviamente, el primer paso que estamos dando es servir el nuevo sitio a través de HTTPS, pero aparte de eso, lo mejor que podemos hacer hasta ahora es simplemente capturar la información no confidencial y requerir que la agencia de contratación realice consultas separadas de los solicitantes para obtener información desagradable como números de cuentas bancarias e historial médico.
cualquier ayuda muy apreciada ......