1.Panoramica e Ambito
Questo Estratto di Sicurezza descrive le misure di sicurezza tecniche e organizzative di BambooHR ("Misure di Sicurezza") progettate per proteggere i Dati del Cliente contro accessi non autorizzati, divulgazione, alterazione e distruzione. Questo Estratto è incorporato e costituisce parte dell'Accordo sul trattamento dei dati di BambooHR.
BambooHR è certificato secondo il framework SOC 2 Type II (Criteri di Servizi Fiduciari AICPA per Sicurezza, Disponibilità e Riservatezza) e si sottopone a audit di terze parti annuali per verificare la progettazione e l'efficacia operativa di tali controlli. I Clienti possono richiedere una copia dell'ultimo rapporto SOC 2 di BambooHR in base a NDA contattando il nostro team di sicurezza tramite la nostra pagina contatti.
2.Sicurezza dell'Infrastruttura e della Rete
L'infrastruttura di produzione di BambooHR è ospitata su Amazon Web Services (AWS) negli Stati Uniti, con dati replicati in molteplici zone di disponibilità per ridondanza. Tutti i sistemi di produzione sono isolati in una Virtual Private Cloud (VPC) con rigorosi controlli di accesso di rete. BambooHR impiega firewall, sistemi di rilevamento delle intrusioni e firewall per applicazioni web per proteggersi da accessi non autorizzati e attacchi web comuni.
BambooHR utilizza un approccio a difesa in profondità per la sicurezza di rete, includendo segmentazione di rete tra ambienti di produzione, staging e sviluppo; scansione automatizzata delle vulnerabilità dei componenti dell'infrastruttura; e monitoraggio continuo del traffico di rete per attività anomale.
3.Sicurezza dei Dati e Crittografia
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
I Dati del Cliente sono segregati logicamente dai dati appartenenti ad altri clienti tramite controlli a livello applicativo e a livello di database. BambooHR effettua regolari esercitazioni di classificazione dei dati per identificare e applicare i controlli di sicurezza appropriati alle diverse categorie di dati.
4.Sicurezza dell'Applicazione
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Controlli di accesso e Autenticazione
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
I Clienti possono configurare l'autenticazione a più fattori, l'accesso unico (SSO) e controlli di accesso basati sui ruoli (RBAC) all'interno degli account BambooHR. BambooHR supporta l'integrazione SAML 2.0-based SSO con i principali fornitori di identità, tra cui Okta, Azure AD e Google Workspace.
6.Rilevamento e Risposta agli Incidenti
BambooHR mantiene un Piano di risposta agli incidenti di sicurezza documentato che definisce procedure per rilevare, classificare, contenere, indagare e recuperare dagli incidenti di sicurezza. Il team di risposta agli incidenti include rappresentanti delle funzioni di sicurezza, ingegneria, legale e supporto al cliente.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Continuità Aziendale e Recupero di Emergenza
BambooHR mantiene un Piano di Continuità Operativa (BCP) e un Piano di Recupero da Disastri (DRP) che vengono testati almeno una volta all'anno. BambooHR punta a un obiettivo di tempo di recupero (RTO) di quattro (4) ore e a un obiettivo di punto di recupero (RPO) di un (1) ora per i suoi servizi principali della piattaforma.
I Dati del Cliente sono sottoposti a backup continui con ripristino punto-in-tempo e snapshot giornalieri conservati per trenta (30) giorni. L'integrità del backup è testata regolarmente per garantire che i dati possano essere ripristinati con successo in uno scenario di recupero.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
