1.Vue d’ensemble et portée
Cet Exhibit de sécurité décrit les mesures techniques et organisationnelles de sécurité ("Mesures de Sécurité" ) de BambooHR conçues pour protéger les Données Client contre l’accès non autorisé, la divulgation, l’altération et la destruction. Cet Exhibit est intégré au sein du BambooHR Accord de Traitement des Données et en fait partie.
BambooHR est certifié selon le cadre SOC 2 Type II (Critères de Services de Confiance de l’AICPA pour la Sécurité, la Disponibilité et la Confidentialité) et fait l’objet d’audits annuels par des tiers pour vérifier la conception et l’efficacité opérationnelle de ces contrôles. Les Clients peuvent demander une copie du dernier rapport SOC 2 de BambooHR sous NDA en contactant notre équipe de sécurité via notre page de contact.
2.Sécurité de l’infrastructure et réseau
L’infrastructure de production de BambooHR est hébergée sur Amazon Web Services (AWS) aux États-Unis, avec une réplication des données vers plusieurs zones de disponibilité pour la redondance. Tous les systèmes de production sont isolés dans un Virtual Private Cloud (VPC) avec des contrôles d’accès réseau stricts. BambooHR utilise des pare-feux, des systèmes de détection d’intrusions et des pare-feu d’applications Web pour se protéger contre les accès non autorisés et les attaques Web courantes.
BambooHR adopte une approche de défense en profondeur pour la sécurité réseau, notamment la segmentation du réseau entre les environnements de production, de préproduction et de développement ; une numérisation automatisée des vulnérabilités des composants d’infrastructure ; et une surveillance continue du trafic réseau en cas d’activité anormale.
3.Sécurité des données et chiffrement
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Les Données Client sont logiquement séparées des données appartenant à d’autres clients par des contrôles au niveau application et base de données. BambooHR effectue des exercices réguliers de classification des données afin d’identifier et d’appliquer les contrôles de sécurité appropriés à différentes catégories de données.
4.Sécurité applicative
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Contrôles d’accès et authentification
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Les Clients peuvent configurer l’authentification multi-facteurs, le single sign-on (SSO), et les contrôles d’accès basés sur les rôles (RBAC) au sein de leurs comptes BambooHR. BambooHR prend en charge l’intégration SAML 2.0-based SSO avec des fournisseurs d’identité majeurs, notamment Okta, Azure AD et Google Workspace.
6. Détection et réponse aux incidents
BambooHR maintient un Plan de Réponse aux Incidents de Sécurité documenté qui définit les procédures de détection, de classification, de confinement, d’enquête et de récupération après des incidents de sécurité. L’équipe de réponse aux incidents comprend des représentants des fonctions sécurité, ingénierie, juridique et support client.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Continuité des activités et reprise après sinistre
BambooHR maintient un Plan de Continuité des Activités (BCP) et un Plan de Reprise après Sinistre (DRP) qui sont testés au moins annuellement. BambooHR vise un Objectif de Temps de Rétablissement (RTO) de quatre (4) heures et un Objectif de Point de Récupération (RPO) d’une heure pour ses services de plateforme principaux.
Les Données Client sont sauvegardées en continu à l’aide de la restitution à un point dans le temps et de clichés quotidiens conservés pendant trente (30) jours. L’intégrité des sauvegardes est régulièrement testée pour garantir que les données peuvent être restaurées avec succès en cas de récupération.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
