Identity en access management
HR2day SailPoint koppeling: één identiteit per zorgmedewerker, ook bij meerdere contracten
Met een koppeling tussen HR2day en SailPoint Identity Security Cloud wordt HR2day de gezaghebbende bron, zodat SailPoint voor elke medewerker één identiteit heeft met afdeling, functie, leidinggevende en de juiste levenscyclus. SailPoint heeft geen eigen HR2day-koppeling; KoppelHet leest de medewerkers en arbeidsrelaties uit HR2day en levert ze aan in de vorm die SailPoint verwacht.
Wat de koppeling doet
Wie met HR2day als HR- en salarissysteem SailPoint invoert om toegang tot het ECD, het roosterprogramma en het netwerk op rollen te baseren, heeft vaak medewerkers met twee arbeidsrelaties, zoals een vast contract in de wijk en oproepuren in een verpleeghuis. Invalkrachten krijgen daarbij elke paar maanden een nieuw contract.
- De beheerder van HR2day geeft KoppelHet leestoegang tot medewerkers, arbeidsrelaties en afdelingen.
- KoppelHet bepaalt per persoon de leidende arbeidsrelatie en verzamelt de afdelingen van alle lopende arbeidsrelaties.
- KoppelHet levert één regel per persoon aan de SailPoint-bron en laat SailPoint de verwerking direct starten.
- SailPoint berekent de levenscyclus, kent rollen toe per afdeling en functie en maakt of wijzigt de accounts in de doelsystemen.
- Na de einddatum van de laatste arbeidsrelatie, en een afgesproken wachttijd, levert KoppelHet de medewerker als inactief aan.
Waar je op let bij HR2day en SailPoint
- HR2day draait op Salesforce, en SailPoint heeft een Salesforce-koppeling. Die leest Salesforce-gebruikers, permission sets en licenties van managed packages, dus wie in HR2day mag werken. De medewerkers en contracten die HR2day bijhoudt, leest die koppeling niet. Daarvoor is deze HR-bron nodig; de Salesforce-koppeling kan ernaast blijven voor de toegang tot HR2day zelf.
- Een zorgmedewerker met een vast contract en oproepuren heeft in HR2day twee arbeidsrelaties. SailPoint eist dat de gebruikersnaam over alle identiteiten uniek is, en twee regels voor één persoon geven een fout of een dubbele identiteit. KoppelHet levert één regel met de leidende arbeidsrelatie en een lijst van alle afdelingen, zodat het ECD-team van beide locaties toegang kan krijgen.
- Invalkrachten krijgen in HR2day vaak een reeks losse contracten met een paar dagen ertussen. Zou SailPoint op elke einddatum de levenscyclus op inactief zetten, dan trekt het alle toegang in en vraagt het die bij het volgende contract opnieuw aan. KoppelHet houdt de medewerker actief zolang het gat korter is dan de afgesproken termijn.
- Zonder werk-e-mailadres maakt SailPoint geen identiteit, maar veel zorgmedewerkers hebben in HR2day alleen een privéadres. KoppelHet vult een adres volgens de naamgevingsregel, zodat de identiteit al bestaat voordat het mailaccount is aangemaakt. Een privéadres gaat nooit naar SailPoint.
- In HR2day hangt de leidinggevende vaak aan de afdeling, niet aan de medewerker. SailPoint stuurt toegangsreviews naar de manager van de identiteit. KoppelHet leidt per medewerker de leidinggevende af, en bij een leidinggevende zelf die van de bovenliggende afdeling, zodat niemand zijn eigen toegang beoordeelt.
- Zorg- en onderwijskoepels hebben in één HR2day-omgeving soms meerdere stichtingen als werkgever. KoppelHet levert de werkgever als apart attribuut, zodat SailPoint rollen en certificeringen per stichting kan scheiden en een overstap naar een andere stichting een rolwissel geeft in plaats van een nieuwe identiteit.
- Een nieuwe arbeidsrelatie staat in HR2day vaak weken voor de startdatum klaar. KoppelHet levert die al aan, zodat SailPoint de identiteit in de levenscyclus vóór indiensttreding zet en accounts klaar heeft op de eerste dienst.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Kan SailPoint HR2day niet gewoon via de Salesforce-koppeling lezen?
Die koppeling is bedoeld voor de gebruikers en rechten in Salesforce, dus voor de toegang tot HR2day zelf. Medewerkers en contracten als gezaghebbende bron vragen een aparte bron, en die levert KoppelHet.
Maakt KoppelHet ook de accounts in Entra ID of het ECD?
Niet in deze opzet. SailPoint maakt en wijzigt de accounts; KoppelHet zorgt dat SailPoint de juiste HR-gegevens heeft.
Wat gebeurt er met stagiairs en vrijwilligers die niet in HR2day staan?
Die komen als aparte bron in SailPoint, met een eigen identity profile. De prioriteit van de profielen bepaalt welke bron wint als iemand in beide staat. Dat kan later als uitbreiding.
Hoe zit het met de AVG?
Jullie zijn verwerkingsverantwoordelijke en KoppelHet is verwerker, onder een verwerkersovereenkomst. BSN, privéadres en salaris gaan niet mee naar SailPoint.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- HR2day wordt gelezen via de API's die HR2day voor de klant beschikbaar stelt (medewerkers, arbeidsrelaties en afdelingen), gefilterd op wijzigingsdatum, met een integratiegebruiker met alleen leesrechten.
- SailPoint Identity Security Cloud krijgt een Delimited File-source als gezaghebbende bron met een identity profile. KoppelHet stuurt het CSV-bestand via de import-accounts-API, die de aggregatie direct start. uid, email en lastname zijn verplicht en mogen niet leeg zijn; departments is een meerwaardig attribuut; de lifecycle state volgt met een transform uit startDate en endDate.
- De SailPoint Salesforce-connector (SaaS) aggregeert onder meer PermissionSet, PermissionSetGroup, PermissionSetLicense en ManagedPackage als groepsobjecten; laden en provisionen van accounts moet SailPoint eerst activeren.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in HR2day | Veld in SailPoint | Toelichting |
|---|---|---|
Personeelsnummer | uid | Uniek over alle identiteiten in SailPoint |
Roepnaam | firstname | |
Achternaam met voorvoegsel | lastname | Verplicht in SailPoint |
Zakelijk e-mailadres of naamgevingsregel | email | Verplicht in SailPoint |
Functie leidende arbeidsrelatie | title en jobCode | |
Afdeling leidende arbeidsrelatie | department | |
Afdelingen van alle lopende arbeidsrelaties | departments (meerwaardig) | |
Werkgever (rechtspersoon) | company | |
Leidinggevende van de afdeling | manager | Per medewerker afgeleid |
Begindatum eerste en einddatum laatste arbeidsrelatie | startDate en endDate |
Gerelateerd
Exact Online → HR2day
Exact Online HR2day koppeling: kostenplaatsen en kostendragers naar HR2day, loonjournaal per administratie
HR2day → Active Directory
HR2day Active Directory koppeling: accounts per school of locatie vanuit HR
HR2day → Microsoft Entra ID
HR2day Entra ID koppeling: Microsoft 365-accounts voor zorg, onderwijs en kinderopvang
HR2day → Google Workspace
HR2day Google Workspace koppeling: één Google-account per medewerker, ook met meerdere arbeidsrelaties