1.Visión General y Alcance
Este Anexo de Seguridad describe las medidas de seguridad técnicas y organizativas de BambooHR ("Medidas de Seguridad") diseñadas para proteger los Datos del Cliente contra el acceso no autorizado, divulgación, alteración y destrucción. Este Anexo se incorpora y forma parte del BambooHR Acuerdo de Procesamiento de Datos.
BambooHR está certificado bajo el marco SOC 2 Tipo II (Criterios de Servicios de Confianza de AICPA para Seguridad, Disponibilidad y Confidencialidad) y se somete a auditorías trimestrales por terceros para verificar el diseño y la efectividad operativa de estos controles. Los clientes pueden solicitar una copia del informe SOC 2 más reciente de BambooHR bajo NDA contactando a nuestro equipo de seguridad a través de nuestra página de contacto.
2.Seguridad de Infraestructura y Red
La infraestructura de producción de BambooHR se aloja en Amazon Web Services (AWS) en Estados Unidos, con datos replicados a múltiples zonas de disponibilidad para redundancia. Todos los sistemas de producción están aislados en una Nube Privada Virtual (VPC) con controles de acceso de red estrictos. BambooHR emplea cortafuegos, sistemas de detección de intrusiones y cortafuegos de aplicaciones web para protegerse contra accesos no autorizados y ataques web comunes.
BambooHR utiliza un enfoque de defensa en profundidad para la seguridad de la red, que incluye segmentación de red entre entornos de producción, pruebas y desarrollo; escaneo automático de vulnerabilidades de componentes de la infraestructura; y monitorización continua del tráfico de red para actividad anómala.
3.Seguridad de Datos y Cifrado
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Los Datos del Cliente están lógicamente segregados de los datos de otros clientes mediante controles a nivel de aplicación y de base de datos. BambooHR realiza ejercicios regulares de clasificación de datos para identificar y aplicar controles de seguridad apropiados a diferentes categorías de datos.
4.Seguridad de la Aplicación
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Controles de Acceso y Autenticación
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Los clientes pueden configurar autenticación multifactor, inicio de sesión único (SSO) y controles de acceso basados en roles (RBAC) dentro de sus cuentas de BambooHR. BambooHR admite la integración de SSO basada en SAML 2.0 con proveedores de identidad importantes, incluyendo Okta, Azure AD y Google Workspace.
6.Detección y Respuesta a Incidentes
BambooHR mantiene un Plan Documentado de Respuesta a Incidentes de Seguridad que define los procedimientos para detectar, clasificar, contener, investigar y recuperarse de incidentes de seguridad. El equipo de respuesta a incidentes incluye representantes de seguridad, ingeniería, asuntos legales y soporte al cliente.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Continuidad del Negocio y Recuperación ante Desastres
BambooHR mantiene un Plan de Continuidad del Negocio (BCP) y un Plan de Recuperación ante Desastres (DRP) que se prueban al menos anualmente. BambooHR objetivo un RTO (Recovery Time Objective) de cuatro (4) horas y un RPO (Recovery Point Objective) de una (1) hora para sus servicios de plataforma central.
Los Datos del Cliente se respaldan de forma continua utilizando recuperación en punto en el tiempo y instantáneas diarias retenidas por treinta (30) días. La integridad de las copias de seguridad se verifica regularmente para garantizar que los datos puedan restaurarse con éxito en un escenario de recuperación.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
