1.Overzicht en Reikwijdte
Deze Beveiligingsbijlage beschrijft de technische en organisatorische beveiligingsmaatregelen van BambooHR ("Beveiligingsmaatregelen") die zijn ontworpen om Klantgegevens te beschermen tegen ongeautoriseerde toegang, openbaarmaking, wijziging en vernietiging. Deze Bijlage maakt deel uit van en vormt onderdeel van de BambooHR Gegevensverwerkingsovereenkomst.
BambooHR is gecertificeerd volgens het SOC 2 Type II-raamwerk (AICPA Trust Services Criteria voor Security, Availability en Confidentiality) en ondergaat jaarlijkse audits door derden om het ontwerp en de operationele effectiviteit van deze controles te verifiëren. Klanten kunnen op NDA-basis een kopie van het meest recente SOC 2-rapport van BambooHR opvragen door contact op te nemen met ons beveiligingsteam via onze contactpagina.
2.Infrastructuur en Netwerkbeveiliging
BambooHR's productie-infrastructuur wordt gehost op Amazon Web Services (AWS) in de Verenigde Staten, met gegevens die worden gerepliceerd naar meerdere beschikbaarheidszones voor redundantie. Alle productie-systemen bevinden zich in een Virtual Private Cloud (VPC) met strikte netwerktoegangcontroles. BambooHR maakt gebruik van firewalls, inbraakdetectiesystemen en webapplicatie-firewalls ter bescherming tegen ongeautoriseerde toegang en veelvoorkomende web-gebonden aanvallen.
BambooHR hanteert een defense-in-depth-benadering voor netwerkbeveiliging, waaronder netwerkscheiding tussen productie-, staging- en ontwikkelomgevingen; geautomatiseerde kwetsbaarhedenscans van infrastructuurcomponenten; en continue bewaking van netwerkverkeer op afwijkende activiteiten.
3.Gegevensbeveiliging en Encryptie
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Klantgegevens zijn logisch gescheiden van gegevens van andere klanten via applicatieniveau- en database-niveaus. BambooHR voert regelmatige gegevensclassificatie uit om geschikte beveiligingsmaatregelen toe te passen op verschillende categorieën gegevens.
4.Applicatiebeveiliging
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Toegangscontroles en Authenticatie
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Klanten kunnen multi-factor authenticatie, single sign-on (SSO) en op rol gebaseerde toegangscontroles (RBAC) configureren in hun BambooHR-accounts. BambooHR ondersteunt SAML 2.0-gebaseerde SSO-integratie met belangrijke identiteitsproviders zoals Okta, Azure AD en Google Workspace.
6.Incidentdetectie en Respons
BambooHR onderhoudt een gedocumenteerd Security Incident Response Plan dat procedures definieert voor het detecteren, classificeren, inperken, onderzoeken en herstellen van beveiligingsincidenten. Het incidentresponsteam omvat vertegenwoordigers uit beveiliging, engineering, juridisch en klantenondersteuning.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Bedrijfscontinuïteit en Rampenherstel
BambooHR handhaaft een Business Continuity Plan (BCP) en Disaster Recovery Plan (DRP) die minimaal jaarlijks worden getest. BambooHR streeft naar een Recovery Time Objective (RTO) van vier (4) uur en een Recovery Point Objective (RPO) van één (1) uur voor zijn kernplatformdiensten.
Klantgegevens worden continu geback-upt met point-in-time-herstel en dagelijkse snapshots die dertig (30) dagen bewaard blijven. Back-up integriteit wordt regelmatig getest om ervoor te zorgen dat gegevens kunnen worden hersteld in een herstel-scenario.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
