1.Visão Geral e Alcance
Este Exibit de Segurança descreve as medidas de segurança técnicas e organizacionais de BambooHR ("Medidas de Segurança") concebidas para proteger os Dados do Cliente contra acesso, divulgação, alteração e destruição não autorizados. Este Exibit está incorporado e faz parte do BambooHR Acordo de Processamento de Dados.
BambooHR está certificado ao abrigo do framework SOC 2 Type II (Critérios de Serviços de Confiança da AICPA para Segurança, Disponibilidade e Confidencialidade) e passa por auditorias anuais de terceiros para verificar o desenho e a eficácia operacional destes controles. Os Clientes podem solicitar uma cópia do relatório SOC 2 mais recente de BambooHR sob NDA contactando a nossa equipa de segurança através da nossa página de contacto.
2.Segurança de Infraestrutura e Rede
A infraestrutura de produção de BambooHR está alojada na Amazon Web Services (AWS) nos Estados Unidos, com dados replicados para várias zonas de disponibilidade para redundância. Todos os sistemas de produção estão isolados numa Cloud Privada Virtual (VPC) com controles de acesso de rede estritos. BambooHR utiliza firewalls, sistemas de deteção de intrusões e firewalls de aplicações web para proteger contra acesso não autorizado e ataques comuns baseados na web.
BambooHR adota uma abordagem de defesa em profundidade para a segurança de rede, incluindo segmentação de rede entre ambientes de produção, staging e desenvolvimento; varredura automática de vulnerabilidades de componentes de infrastructure; monitorização contínua de tráfego de rede para atividade anómala.
3.Segurança de Dados e Criptografia
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Os Dados do Cliente estão logicamente segregados de dados pertencentes a outros clientes através de controlo de aplicações e de base de dados. BambooHR realiza exercícios regulares de classificação de dados para identificar e aplicar os controles de segurança adequados às diferentes categorias de dados.
4.Segurança de Aplicação
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Controlo de Acesso e Autenticação
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Os Clientes podem configurar autenticação multifator, single sign-on (SSO) e controles de acesso baseados em funções (RBAC) dentro das suas contas BambooHR. BambooHR suporta a integração SAML 2.0-based SSO com importantes provedores de identidade incluindo Okta, Azure AD e Google Workspace.
6.Deteção e Resposta a Incidentes
BambooHR mantém um Plano de Resposta a Incidentes de Segurança documentado que define procedimentos para detetar, classificar, conter, investigar e recuperar de incidentes de segurança. A equipa de resposta a incidentes inclui representantes de segurança, engenharia, jurídico e funções de apoio ao cliente.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Continuidade de Negócio e Recuperação de Desastres
BambooHR mantém um Plano de Continuidade de Negócio (BCP) e um Plano de Recuperação de Desastres (DRP) que são testados pelo menos anualmente. O BambooHR visa um Recovery Time Objective (RTO) de quatro (4) horas e um Recovery Point Objective (RPO) de uma (1) hora para os seus serviços centrais de plataforma.
Dados do Cliente são apoiados de forma contínua com recuperação pontual e instantâneos diários retidos por trinta (30) dias. A integridade dos backups é testada regularmente para garantir que os dados podem ser restaurados com sucesso numa situação de recuperação.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
