1.Přehled a rozsah
Tento bezpečnostní exhibit popisuje technická a organizační bezpečnostní opatření společnosti BambooHR („Bezpečnostní opatření“), jejichž cílem je chránit zákaznická data před neoprávněným přístupem, zveřejněním, změnou a zničením. Toto Exhibit je začleněno do a tvoří součást Smlouvy o zpracování údajů BambooHR.
BambooHR je certifikována podle rámce SOC 2 Typ II (Kritéria důvěry AICPA pro bezpečnost, dostupnost a důvěrnost) a prochází každoročními třetími stranami auditu k ověření návrhu a provozní účinnosti těchto kontrol. Zákazníci mohou vyžádat si kopii nejnovějšího SOC 2 reportu BambooHR pod NDA kontaktováním našeho bezpečnostního týmu prostřednictvím naší kontaktní stránky.
2.Infrastruktura a síťová bezpečnost
BambooHR výrobní infrastruktura je hostována na Amazon Web Services (AWS) ve Spojených státech a data jsou replikována do více oblastí dostupnosti pro redundanci. Všechny výrobní systémy jsou izolovány ve Virtual Private Cloud (VPC) s přísnou kontrolou síťového přístupu. BambooHR používá firewally, systémy pro detekci průniků a webové aplikační firewall pro ochranu proti neoprávněnému přístupu a běžným webovým útokům.
BambooHR používá víceúrovňový přístup k síťové bezpečnosti, včetně segmentace sítí mezi produkčními, staging a vývojovými prostředími; automatizovaného skenování zranitelností v komponentách infrastruktury; a kontinuálního monitorování síťového provozu pro abnormální aktivity.
3.Datová bezpečnost a šifrování
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Zákaznická data jsou logicky oddělena od dat ostatních zákazníků prostřednictvím kontrol na úrovni aplikace a databáze. BambooHR provádí pravidelné klasifikační cvičení dat za účelem identifikace a aplikace vhodných bezpečnostních kontrol na různé kategorie dat.
4.Bezpečnost aplikací
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Kontroly přístupu a autentizace
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Zákazníci mohou nakonfigurovat vícefaktorovou autentizaci, jednotné přihlášení (SSO) a řízené oprávnění na základě rolí (RBAC) ve svých účtech BambooHR. BambooHR podporuje SAML 2.0-based SSO integraci s významnými poskytovateli identity včetně Okta, Azure AD a Google Workspace.
6.Detekce a reakce na incidenty
BambooHR udržuje zdokumentovaný Plán reakce na bezpečnostní incidenty, který definuje postupy pro detekci, klasifikaci, zadržení, vyšetřování a zotavení z incidentů. Tým pro reakci na incidenty zahrnuje zástupce z bezpečnosti, inženýrství, práva a podpory zákazníkům.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Business Continuity a zotavení po katastrofě
BambooHR udržuje Plán kontinuity podnikání (BCP) a Plán zotavení po katastrofě (DRP), které jsou testovány nejméně jednou ročně. BambooHR stanovuje Cíl doby obnovení (RTO) čtyři (4) hodiny a Cíl obnovy (RPO) jednu (1) hodinu pro své jádrové platformní služby.
Zákaznická data jsou průběžně zálohována pomocí bodově-in-time obnovy a denních snímků (snapshots) uchovávaných po dobu třiceti (30) dní. Integrita záloh je pravidelně testována, aby bylo zajištěno úspěšné obnovení dat v případě obnovy.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
