1.Επισκόπηση και Πεδίο
Αυτή η Έκθεση Ασφάλειας περιγράφει τα τεχνικά και οργανωτικά μέτρα ασφαλείας ("Security Measures") του BambooHR που προορίζονται να προστατεύσουν τα Δεδομένα Πελάτη από μη εξουσιοδοτημένη πρόσβαση, αποκάλυψη, αλλοίωση και καταστροφή. Αυτή η Έκθεση περιλαμβάνεται ως μέρος της BambooHR Σύμβασης Επεξεργασίας Δεδομένων.
BambooHR είναι πιστοποιημένο σύμφωνα με το πλαίσιο SOC 2 Type II (κριτήρια Trust Services του AICPA για Ασφάλεια, Διαθεσιμότητα και Εμπιστευτικότητα) και υφίσταται ετήσιους ελέγχους από τρίτους για την επαλήθευση του σχεδιασμού και της επιχειρησιακής απόδοσης αυτών των ελέγχων. Οι πελάτες μπορούν να ζητήσουν αντίγραφο της πιο πρόσφατης αναφοράς SOC 2 της BambooHR υπό NDA επικοινωνώντας με την ομάδα ασφαλείας μέσω της σελίδας επικοινωνίας.
2.Υποδομές και Ασφάλεια Δικτύου
BambooHR' παραγωγική υποδομή φιλοξενείται σε Amazon Web Services (AWS) στις Ηνωμένες Πολιτείες, με ανάστροφη αναπαραγωγή δεδομένων σε πολλαπλά διαθέσιμα ζώνη για πλεονάζοντα αντίγραφα. Όλα τα παραγωγικά συστήματα απομονώνονται σε ένα Virtual Private Cloud (VPC) με αυστηρούς ελέγχους πρόσβασης δικτύου. BambooHR χρησιμοποιεί τείχη προστασίας, συστήματα ανίχνευσης εισβολών και web application firewalls για την προστασία από μη εξουσιοδοτημένη πρόσβαση και κοινές επιθέσεις μέσω διαδικτύου.
BambooHR χρησιμοποιεί προσέγγιση άμυνας σε βάθος για την ασφάλεια δικτύου, συμπεριλαμβανομένης της διαχωρισμού δικτύου μεταξύ παραγωγής, staging και ανάπτυξης περιβαλλόντων· αυτοματοποιημένος έλεγχος ευπαθειών στοιχείων υποδομής· και συνεχής παρακολούθηση της κίνησης δικτύου για ασυνήθιστη δραστηριότητα.
3.Ασφάλεια Δεδομένων και Κρυπτογράφηση
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Τα Δεδομένα Πελάτη διαχωρίζονται λογικά από τα δεδομένα άλλων πελατών μέσω ελέγχων σε εφαρμογή και βάσεις δεδομένων. BambooHR διενεργεί τακτικές ασκησεις ταξινόμησης δεδομένων για την ταυτοποίηση και εφαρμογή κατάλληλων μέτρων ασφαλείας σε διαφορετικές κατηγορίες δεδομένων.
4.Ασφάλεια Εφαρμογής
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Ελέγχσεις Πρόσβασης και Αυθεντικοποίηση
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Οι πελάτες μπορούν να ρυθμίσουν πολλαπλή αυθεντικοποίηση, ενσωμάτωση με μια ενιαία είσοδο (SSO) (SSO), και ελέγχους πρόσβασης με ρόλους (RBAC) στους λογαριασμούς τους στο BambooHR. Το BambooHR υποστηρίζει τη σύνδεση SAML 2.0 με βασικούς παρόχους ταυτότητας συμπεριλαμβανομένων Okta, Azure AD και Google Workspace.
6.Ανίχνευση και Αντίδραση σε Περιστατικά
BambooHR τηρεί ένα τεκμηριωμένο Σχέδιο Αντίδρασης σε Περιστατικά Ασφαλείας που ορίζει διαδικασίες εντοπισμού, κατάταξης, περιορισμού, έρευνας και αποκατάστασης από περιστατικά ασφαλείας. Η ομάδα αντίδρασης περιστατικών περιλαμβάνει εκπροσώπους από την ασφάλεια, μηχανικούς, νομικούς και λειτουργίες εξυπηρέτησης πελατών.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Επιχειρηματική συνέχεια και Ανάκαμψη από Καταστροφές
BambooHR τηρεί Σχέδιο Επιχειρηματικής Συνέχειας (BCP) και Σχέδιο Ανάκαμψης από Καταστροφές (DRP) που ελέγχονται τουλάχιστον ετησίως. BambooHR στοχεύει σε Recovery Time Objective (RTO) τεσσάρων (4) ωρών και Recovery Point Objective (RPO) ενός (1) ώρας για τις κύριες υπηρεσίες πλατφόρμας.
Τα Δεδομένα Πελάτη αντίγραφα ασφαλείας συνεχώς με ανάκτηση σε χρονικό σημείο και καθημερινά στιγμιότυπα διατηρούνται για τριάντα (30) ημέρες. Η ακεραιότητα των αντιγράφων ασφαλείας ελέγχεται τακτικά ώστε να εξασφαλίζεται η δυνατότητα ανάκτησης σε κατάσταση ανάκαμψης.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
