1.सारांश और दायरा
यह Security Exhibit BambooHR के तकनीकी और संगठनीय सुरक्षा उपायों ("Security Measures") का वर्णन करता है जो Customer Data को बिना अनुमति प्राप्त पहुँच, प्रकट, परिवर्तन और विनाश से Protected करते हैं। यह Exhibit BambooHR Data Processing Agreement में समाहित है और इसका हिस्सा बनता है.
BambooHR SOC 2 Type II ढांचे (AICPA Trust Services Criteria for Security, Availability, and Confidentiality) के अंतर्गत प्रमाणित है और इन नियंत्रणों के डिज़ाइन और संचालन प्रभावशीलता की वार्षिक तीसरे पक्ष की ऑडिट से गुजरता है। ग्राहक NDA के अंतर्गत BambooHR के नवीनतम SOC 2 रिपोर्ट की एक प्रति हमारी सुरक्षा टीम से हमारे संपर्क पृष्ठ के माध्यम से प्राप्त कर सकते हैं।
2.इन्फ्रास्ट्रक्चर और नेटवर्क सुरक्षा
BambooHR के उत्पादन (production) इन्फ्रास्ट्रक्चर US में Amazon Web Services (AWS) पर होस्ट किए गए हैं, डेटा redundancy के लिए कई availability zones में प्रतिकृति किया जाता है। सभी उत्पादन प्रणाली एक Virtual Private Cloud (VPC) में पृथक रहते हैं और कड़े नेटवर्क पहुंच नियंत्रण होते हैं। BambooHR फायरवॉल, intrusion detection systems, और web application firewalls का उपयोग करता है ताकि unauthorized access और सामान्य वेब-आधारित हमलों से सुरक्षा हो सके।
BambooHR नेटवर्क सुरक्षा के लिए defense-in-depth दृष्टिकोण का उपयोग करते हैं, जिसमें उत्पादन, staging, और development वातावरणों के बीच नेटवर्क विभाजन; अवसंरचना घटकों के Automated vulnerability scanning; और असंगत गतिविधि के लिए नेटवर्क ट्रैफिक की सतत निगरानी शामिल है।
3.डेटा सुरक्षा और एन्क्रिप्शन
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Customer Data अन्य ग्राहकों के डेटा से तार्किक रूप से पृथक है एप्लिकेशन-स्तर और डेटाबेस-स्तर नियंत्रणों के माध्यम से। BambooHR नियमित डेटा वर्गीकरण क्रियाओं को प्रदर्शन करता है ताकि विभिन्न डेटा वर्गों के लिए उपयुक्त सुरक्षा नियंत्रण लागू किए जा सकें।
4.एप्लिकेशन सुरक्षा
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.पहचान पहुँच नियंत्रण और प्रमाणीकरण
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
ग्राहक अपने BambooHR खाते के भीतर बहु-कारक प्रमाणीकरण, single sign-on (SSO), और भूमिका-आधारित पहुँच नियंत्रण (RBAC) कॉन्फ़िगर कर सकते हैं। BambooHR SAML 2.0-आधारित SSO एकीकरण प्रमुख पहचान प्रदाताओं जैसे Okta, Azure AD, और Google Workspace के साथ सपोर्ट करता है।
6.Incidnet Detection and Response
BambooHR एक सुरक्षित Incident Response Plan को व्यवस्थित रूप से बनाए रखता है जो सुरक्षा घटनाओं का पता लगाने, वर्गीकरण, containment, जांच, और पुनः प्राप्ति की प्रक्रियाओं को परिभाषित करता है। घटनाओं केResponse टीम में सुरक्षा, इंजीनियरिंग, कानूनी, और ग्राहक समर्थन विभागों के प्रतिनिधि शामिल हैं।
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.व्यावसायिक निरंतरता और आपदा पुनर्प्राप्ति
BambooHR एक Business Continuity Plan (BCP) और Disaster Recovery Plan (DRP) बनाए रखता है जिन्हें कम-से-कम वर्ष में एक बार परीक्षण किया जाता है। BambooHR core प्लेटफॉर्म सेवाओं के लिए Recovery Time Objective (RTO) चार (4) घंटे और Recovery Point Objective (RPO) एक (1) घंटा निर्धारित करता है।
Customer Data को लगातार point-in-time recovery और दैनिक snapshots के साथ बैकअप किया जाता है; 30 दिनों के लिए बैकअप सत्यापन किया जाता है ताकि recovery स्थिति में डेटा सफलतापूर्वक पुनःस्थापित हो सके।
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
