1.Visão Geral e Escopo
Este Exhibit de Segurança descreve as medidas técnicas e organizacionais de segurança de BambooHR ("Medidas de Segurança") projetadas para proteger Dados do Cliente contra acesso não autorizado, divulgação, alteração e destruição. Este Exhibit está incorporado ao e faz parte do BambooHR Acordo de Processamento de Dados.
BambooHR está certificado no framework SOC 2 Tipo II (Critérios de Serviços Confiáveis da AICPA para Segurança, Disponibilidade e Confidencialidade) e passa por auditorias anuais de terceiros para verificar o design e a eficácia operacional desses controles. Os Clientes podem solicitar uma cópia do relatório SOC 2 mais recente de BambooHR sob NDA entrando em contato com nossa equipe de segurança via nossa página de contato.
2.Segurança de Infraestrutura e Rede
A infraestrutura de produção de BambooHR é hospedada na Amazon Web Services (AWS) nos Estados Unidos, com dados replicados para múltiplas zonas de disponibilidade para redundância. Todos os sistemas de produção são isolados em uma VPC (Nuvem Virtual Privada) com controles rígidos de acesso à rede. BambooHR utiliza firewalls, sistemas de detecção de intrusão e firewalls de aplicações web para proteger contra acesso não autorizado e ataques web comuns.
BambooHR utiliza uma abordagem de defesa em profundidade para a segurança de rede, incluindo segmentação de rede entre ambientes de produção, staging e desenvolvimento; varredura automatizada de vulnerabilidades de componentes de infraestrutura; e monitoramento contínuo do tráfego de rede para atividade anômala.
3.Segurança de Dados e Criptografia
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Os Dados do Cliente são segregados logicamente de dados de outros clientes por meio de controles em nível de aplicativo e de banco de dados. BambooHR realiza exercícios regulares de classificação de dados para identificar e aplicar controles de segurança apropriados a diferentes categorias de dados.
4.Segurança de Aplicação
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Controles de Acesso e Autenticação
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Os clientes podem configurar autenticação multifator, single sign-on (SSO) e controles de acesso baseados em função (RBAC) dentro de suas contas BambooHR. BambooHR suporta integração SAML 2.0 baseada em SSO com provedores de identidade importantes, incluindo Okta, Azure AD e Google Workspace.
6.Detecção e Resposta a Incidentes
BambooHR mantém um Plano de Resposta a Incidentes de Segurança documentado que define procedimentos para detectar, classificar, conter, investigar e recuperar de incidentes de segurança. A equipe de resposta a incidentes inclui representantes de segurança, engenharia, jurídico e suporte ao cliente.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Continuidade de Negócios e Recuperação de Desastres
BambooHR mantém um Plano de Continuidade de Negócios (BCP) e um Plano de Recuperação de Desastres (DRP) que são testados pelo menos anualmente. BambooHR tem como objetivo um RTO (Objetivo de Tempo de Recuperação) de quatro (4) horas e um RPO (Objetivo de Ponto de Recuperação) de uma (1) hora para seus serviços de plataforma central.
Dados do Cliente são copiados continuamente usando recuperação ponto-a-ponto e snapshots diários retidos por trinta (30) dias. A integridade de backup é testada regularmente para garantir que os dados possam ser restaurados com sucesso em cenário de recuperação.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
