1.Przegląd i zakres
Niniejszy Załącznik Bezpieczeństwa opisuje techniczne i organizacyjne środki bezpieczeństwa BambooHR ("Środki bezpieczeństwa"), zaprojektowane w celu ochrony Danych Klienta przed nieautoryzowanym dostępem, ujawnieniem, zmianą i zniszczeniem. Ten Załącznik stanowi część Umowy o przetwarzaniu danych BambooHR.
BambooHR jest certyfikowany zgodnie z ramami SOC 2 Type II (Kryteria usług zaufania AICPA dla bezpieczeństwa, dostępności i poufności) i poddaje się corocznym audytom stron trzecich w celu weryfikacji projektowania i skuteczności działania tych kontrolek. Klienci mogą za NDA zażądać kopii najnowszego raportu SOC 2 BambooHR poprzez kontakt z naszym zespołem ds. bezpieczeństwa za pośrednictwem naszej strony kontaktowej.
2.Infrastruktura i bezpieczeństwo sieci
Infrastruktura produkcyjna BambooHR jest hostowana w Amazon Web Services (AWS) w Stanach Zjednoczonych, z replikacją danych do wielu stref dostępności dla redundancji. Wszystkie systemy produkcyjne są odizolowane w Virtual Private Cloud (VPC) z surowymi kontrolami dostępu sieciowego. BambooHR stosuje firewalle, systemy wykrywania wtargnięć oraz zapory sieciowe aplikacji webowych w celu ochrony przed nieautoryzowanym dostępem i powszechnymi atakami internetowymi.
BambooHR stosuje podejście obrony warstwowej w zakresie bezpieczeństwa sieci, obejmujące podział sieci między środowiskami produkcyjnym, testowym i deweloperskim; automatyczne skanowanie podatności komponentów infrastruktury; oraz ciągłe monitorowanie ruchu sieciowego pod kątem nietypowej aktywności.
3.Bezpieczeństwo danych i szyfrowanie
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Dane Klienta są logicznie oddzielone od danych innych klientów poprzez kontrole na poziomie aplikacji i bazy danych. BambooHR przeprowadza regularne ćwiczenia klasyfikacji danych w celu identyfikacji i zastosowania odpowiednich środków bezpieczeństwa do różnych kategorii danych.
4.Bezpieczeństwo aplikacji
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Kontroles dostępu i uwierzytelnianie
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Klienci mogą konfigurować uwierzytelnianie wieloskładnikowe, jednokrotne logowanie (SSO) oraz kontrole dostępu oparte na rolach (RBAC) w swoich kontach BambooHR. BambooHR wspiera integrację SAML 2.0-SSO z czołowymi dostawcami tożsamości, w tym Okta, Azure AD i Google Workspace.
6.Wykrywanie i reakcja na incydenty
BambooHR prowadzi udokumentowany Plan Reagowania na Incydenty Bezpieczeństwa, który określa procedury wykrywania, klasyfikowania, ograniczania, badania i odzyskiwania po incydentach bezpieczeństwa. Zespół ds. incydentów składa się ze przedstawicieli z działów bezpieczeństwa, inżynierii, prawnego i obsługi klienta.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Continuity i odzysk po awarii
BambooHR utrzymuje Plan Kontynuacji Działalności (BCP) i Plan Odzyskiwania po Awarii (DRP), które są testowane przynajmniej raz w roku. BambooHR dąży do Celu Czasu Odzysku (RTO) wynoszącego cztery (4) godziny i Celu Punktu Odzysku (RPO) wynoszącego jedną (1) godzinę dla swoich kluczowych usług platformowych.
Dane Klienta są nieustannie tworzone kopie zapasowe przy użyciu przywracania stanu na konkretny moment i codziennych zrzutów, przechowywanych przez trzydziestu (30) dni. Integralność kopii zapasowych jest regularnie weryfikowana w celu zapewnienia możliwości skutecznego przywrócenia danych w scenariuszu odzyskiwania.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
