Identity en access management
Deel SailPoint koppeling: werknemers, EOR en contractors als één bron voor rollen
Met een koppeling tussen Deel en SailPoint Identity Security Cloud wordt Deel de gezaghebbende bron, zodat SailPoint voor iedereen die via Deel werkt één identiteit heeft, met soort arbeidsrelatie, entiteit, land, afdeling en leidinggevende. SailPoint heeft geen eigen Deel-koppeling; KoppelHet leest de mensen en contracten uit Deel en levert ze aan in de vorm die SailPoint verwacht, ook als iemand van contractor naar werknemer overstapt.
Wat de koppeling doet
Organisaties met eigen entiteiten en daarnaast EOR-medewerkers en contractors in Deel, die SailPoint invoeren met rollen per team en land, houden contractors vaak met de hand bij in een aparte spreadsheet. Voor ISO 27001 en klantaudits mist SailPoint dan een deel van de mensen met toegang.
- Jullie maken in Deel een token aan met alleen leesrechten op mensen en contracten, en een webhook naar KoppelHet.
- KoppelHet voegt per persoon de lopende contracten samen tot één regel, met de soort arbeidsrelatie van het actieve contract.
- KoppelHet levert de regels aan de SailPoint-bron en laat SailPoint de verwerking direct starten.
- SailPoint bepaalt de levenscyclus en de rollen per team, land en soort arbeidsrelatie, en maakt of wijzigt de accounts in de doelsystemen.
- Eindigt het laatste contract, dan levert KoppelHet de persoon op de laatste werkdag als inactief aan.
Waar je op let bij Deel en SailPoint
- SailPoint heeft geen Deel-koppeling in zijn catalogus. De algemene SCIM-koppeling van SailPoint zou de SCIM-API van Deel kunnen lezen, maar Deel levert daar de contracten als lijst binnen één gebruiker. Rollen op het actieve contract vragen dus eerst een omzetting, en die doet KoppelHet voordat SailPoint de gegevens ziet.
- Een identiteit in SailPoint hoort bij precies één identity profile. Zet je contractors en werknemers in twee aparte bronnen, dan wisselt iemand die van contractor naar werknemer overstapt van profiel en verliest hij mogelijk zijn toegang en reviewhistorie. KoppelHet levert iedereen uit Deel in één bron met de soort arbeidsrelatie als attribuut, zodat de identiteit blijft en alleen de rollen veranderen.
- Bij employer of record is Deel of een partner de juridische werkgever, niet jullie eigen bv. KoppelHet zet bij die mensen jullie eigen entiteit of het land als bedrijf, zodat rollen en reviews per bedrijfsonderdeel niet op een vreemde werkgever uitkomen.
- Contractors staan in Deel vaak alleen met een privéadres, terwijl SailPoint een werkadres eist. KoppelHet vult het werkadres volgens jullie naamgevingsregel en stuurt geen privéadres door.
- Deel geeft de leidinggevende als werkadres, en SailPoint koppelt de manager via een identiteit. KoppelHet vertaalt het adres naar de gebruikersnaam van de leidinggevende in SailPoint, zodat een kwartaalreview van een contractor in Portugal bij de teamlead in Nederland uitkomt.
- Mensen die in Deel nog niet zijn begonnen, levert KoppelHet al aan met hun startdatum. SailPoint zet ze in de levenscyclus vóór indiensttreding, zodat laptop en accounts klaarstaan zonder dat er vooraf toegang open staat.
- Deel begrenst het aantal verzoeken en geeft bij te veel vragen een foutmelding terug. KoppelHet werkt daarom op de meldingen van Deel en doet één volledige vergelijking per nacht, zodat SailPoint snel bijgewerkt is zonder dat andere koppelingen op Deel last krijgen.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Waarom niet de SCIM-koppeling van SailPoint direct op Deel?
Dat kan voor een eenvoudige situatie. Zodra rollen afhangen van het actieve contract, de werkgever bij EOR of een overstap tussen contractvormen, moet er eerst iets worden omgezet. Dat doet KoppelHet, met logging per persoon.
Gaan salarisgegevens uit Deel naar SailPoint?
Nee. KoppelHet leest alleen de gegevens die SailPoint voor identiteit en rollen nodig heeft; salaris, tarieven en privéadressen blijven in Deel.
Kunnen mensen buiten Deel ook in SailPoint?
Ja, als aparte bron met een eigen identity profile. De prioriteit van de profielen bepaalt welke bron wint als iemand in beide staat. Dat kan later als uitbreiding.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Deel wordt gelezen via de HRIS People API en contracten (worker_id, hiring_type, person_status ACTIVE, NOT_STARTED of INACTIVE, client_legal_entity, termination_last_day, direct_manager.work_email) met een organisatietoken, plus webhooks ondertekend met x-deel-signature. De Deel SCIM API (GET /scim/Users, scope Users:read) geeft contracten als employments-lijst in een eigen extensie en antwoordt bij te veel verzoeken met 429.
- SailPoint Identity Security Cloud krijgt een Delimited File-source als gezaghebbende bron; KoppelHet stuurt het bestand via de import-accounts-API, die de aggregatie direct start. uid, email en lastname zijn verplicht in elk identity profile; uid moet uniek zijn over alle identiteiten. Lifecycle states prehire, active en inactive via een transform op startDate, endDate en status.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Deel | Veld in SailPoint | Toelichting |
|---|---|---|
worker_id (persoon) | uid | Per persoon, niet per contract |
first_name | firstname | |
last_name | lastname | |
work_email of naamgevingsregel | email | |
hiring_type van het actieve contract | workerType | Eigen entiteit, EOR of contractor |
client_legal_entity | company | |
Land van het contract | country | |
department en job_title | department en title | |
direct_manager.work_email | manager | Vertaald naar de uid van de leidinggevende |
person_status en termination_last_day | startDate, endDate en status |
Gerelateerd
Ashby → Deel
Ashby Deel koppeling: aannames bij de eigen entiteit als direct employee in Deel
Bullhorn → Deel
Bullhorn Deel koppeling: eerste plaatsing als direct employee met contract in Deel
Carerix → Deel
Carerix Deel koppeling: geslaagde plaatsing als persoon of contract in Deel
Deel → 4PS Construct
Deel 4PS Construct koppeling: eigen werknemers van de bouwentiteit in 4PS, met afdeling en kostenplaats als dimensie