1.Resumen y Alcance
Este Anexo de Seguridad describe las medidas de seguridad técnicas y organizativas de BambooHR ("Medidas de Seguridad") diseñadas para proteger los Datos del Cliente contra el acceso no autorizado, la divulgación, la alteración y la destrucción. Este Anexo forma parte del BambooHR Acuerdo de Procesamiento de Datos y está incorporado en el mismo.
BambooHR está certificado bajo el marco SOC 2 Tipo II (Criterios de Servicios de Confianza de AICPA para Seguridad, Disponibilidad y Confidencialidad) y se somete a auditorías externas anuales para verificar el diseño y la efectividad operativa de estos controles. Los Clientes pueden solicitar una copia del informe SOC 2 más reciente de BambooHR bajo NDA contactando a nuestro equipo de seguridad a través de nuestra página de contacto.
2.Seguridad de Infraestructura y Red
La infraestructura de producción de BambooHR está alojada en Amazon Web Services (AWS) en los Estados Unidos, con datos replicados a múltiples zonas de disponibilidad para redundancia. Todos los sistemas de producción están aislados en una Nube Privada Virtual (VPC) con controles de acceso a la red estrictos. BambooHR emplea firewalls, sistemas de detección de intrusiones y firewalls de aplicaciones web para proteger contra acceso no autorizado y ataques web comunes.
BambooHR adopta un enfoque de defensa en profundidad para la seguridad de la red, que incluye segmentación de red entre entornos de producción, pruebas y desarrollo; escaneo automatizado de vulnerabilidades de componentes de infraestructura; y monitoreo continuo del tráfico de red para detectar actividad anómala.
3.Seguridad de Datos y Cifrado
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Los Datos del Cliente están lógicamente segregados de los datos de otros clientes mediante controles a nivel de aplicación y a nivel de base de datos. BambooHR realiza ejercicios regulares de clasificación de datos para identificar y aplicar controles de seguridad apropiados a diferentes categorías de datos.
4.Seguridad de la Aplicación
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Controles de Acceso y Autenticación
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Los Clientes pueden configurar autenticación multifactor, inicio de sesión único (SSO) y controles de acceso basados en roles (RBAC) dentro de sus cuentas BambooHR. BambooHR admite la integración SAML 2.0 basada en SSO con proveedores de identidad importantes, incluyendo Okta, Azure AD y Google Workspace.
6.Detección y Respuesta ante Incidentes
BambooHR mantiene un Plan de Respuesta a Incidentes de Seguridad documentado que define procedimientos para detectar, clasificar, contener, investigar y recuperarse de incidentes de seguridad. El equipo de respuesta a incidentes incluye representantes de seguridad, ingeniería, legal y funciones de soporte al cliente.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Continuidad del Negocio y Recuperación ante Desastres
BambooHR mantiene un Plan de Continuidad del Negocio (BCP) y un Plan de Recuperación ante Desastres (DRP) que se prueban al menos una vez al año. BambooHR apunta a un Objetivo de Tiempo de Recuperación (RTO) de cuatro (4) horas y un Objetivo de Punto de Recuperación (RPO) de una (1) hora para sus servicios centrales de la plataforma.
Los Datos del Cliente se respaldan de forma continua mediante recuperación en punto en el tiempo y instantáneas diarias retenidas por treinta (30) días. La integridad de las copias de seguridad se prueba regularmente para garantizar que los datos puedan restaurarse con éxito en un escenario de recuperación.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
