1.Vue d’ensemble et périmètre
Cet Exhibit de sécurité décrit les mesures de sécurité techniques et organisationnelles de BambooHR (« Mesures de sécurité ») conçues pour protéger les Données Client contre les accès non autorisés, les divulgations, les altérations et les destructions. Cet Exhibit est intégré et fait partie de l’Accord de traitement des données BambooHR.
BambooHR est certifié selon le cadre SOC 2 Type II (Critères de services de confiance AICPA pour la sécurité, la disponibilité et la confidentialité) et fait l’objet d’audits annuels par des tiers pour vérifier la conception et l’efficacité opérationnelle de ces contrôles. Les Clients peuvent demander une copie du dernier rapport SOC 2 de BambooHR sous NDA en contactant notre équipe sécurité via notre page de contact.
2.Infrastructure et sécurité du réseau
BambooHR’s infrastructure de production est hébergée sur Amazon Web Services (AWS) aux États-Unis, avec réplication des données vers plusieurs zones de disponibilité pour la redondance. Tous les systèmes de production sont isolés dans un Virtual Private Cloud (VPC) avec des contrôles d’accès réseau stricts. BambooHR utilise des pare-feu, des systèmes de détection d’intrusion et des pare-feu d’applications web pour se protéger contre les accès non autorisés et les attaques web courantes.
BambooHR adopte une approche de défense en profondeur pour la sécurité réseau, incluant la segmentation du réseau entre les environnements de production, de staging et de développement; une analgose de vulnérabilités automatisée des composants d’infrastructure; et une surveillance continue du trafic réseau pour activité anomale.
3.Sécurité des données et chiffrement
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Les Données Client sont isolées logiquement des données appartenant à d’autres clients via des contrôles au niveau de l’application et de la base de données. BambooHR réalise des exercices réguliers de classification des données pour identifier et appliquer les contrôles de sécurité appropriés à différentes catégories de données.
4.Sécurité des applications
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Contrôles d’accès et authentification
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Les clients peuvent configurer l’authentification multifactorielle, l’authentification unique (SSO), et les contrôles d’accès basés sur les rôles (RBAC) dans leurs comptes BambooHR. BambooHR prend en charge une intégration SAML 2.0-based SSO avec les principaux fournisseurs d’identité, notamment Okta, Azure AD et Google Workspace.
6.Détection et réponse aux incidents
BambooHR maintient un Plan de réponse aux incidents de sécurité documenté qui définit les procédures de détection, de classification, de containment, d’enquête et de récupération des incidents de sécurité. L’équipe de réponse aux incidents comprend des représentants des fonctions sécurité, ingénierie, juridique et support client.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Continuité des activités et reprise après incident
BambooHR maintient un Plan de continuité des activités (BCP) et un Plan de reprise après incident (DRP) qui sont testés au moins une fois par an. BambooHR vise un Objectif de Récupération (RTO) de quatre (4) heures et un Objectif de Point de Récupération (RPO) d’une heure pour ses services de plateforme principales.
Les Données Client sont sauvegardées en continu avec récupération à un instant donné et des instantanés quotidiens conservés pendant trente (30) jours. L’intégrité des sauvegardes est régulièrement vérifiée pour assurer la restauration des données en cas de récupération.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
