1.Огляд та обсяг
Цей Exhibit безпеки описує технічні та організаційні заходи безпеки BambooHR ("Заходи безпеки"), спрямовані на захист Даних клієнтів від несанкціонованого доступу, розкриття, змін та знищення. Цей Exhibit включено до та становить частину Угоди про обробку даних BambooHR.
BambooHR сертифікований за рамками SOC 2 Тип II (критерії надійності служб AICPA для безпеки, доступності та конфіденційності) та підлягає щорічним аудитам третіх сторін для перевірки дизайну та ефективності цих контролів. Замовники можуть запросити копію останнього звіту SOC 2 BambooHR за NDA, зв'язавшись з нашою командою безпеки через нашу сторінку контакти.
2.Інфраструктура та безпека мережі
BambooHR виробнича інфраструктура розміщена на Amazon Web Services (AWS) у США, дані реплікуються в кілька зон доступності для відмовостійкості. Всі виробничі системи ізольовані в Virtual Private Cloud (VPC) з суворими контролями доступу до мережі. BambooHR застосовує брандмауери, системи виявлення вторгнень та веб-додатківні брандмауери для захисту від несанкціонованого доступу та поширених веб-атак.
BambooHR використовує багаторівневий підхід до безпеки мережі, включаючи розмежування мереж між виробничим, тестовим та розробницьким середовищами; автоматизоване сканування вразливостей інфраструктурних компонентів; та постійний моніторинг мережевого трафіку на наявність аномальної активності.
3.Безпека даних та шифрування
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Дані клієнтів логічно ізольовані від даних інших клієнтів за допомогою контролів на рівні застосунку та бази даних. BambooHR регулярно проводить класифікацію даних для визначення та застосування відповідних контролів безпеки до різних категорій даних.
4.Безпека застосунків
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Контроль доступу та аутентифікація
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Клієнти можуть налаштовувати багатоступеневу аутентифікацію, єдиний вхід (SSO) та контроль доступу на основі ролей (RBAC) у своїх облікових записах BambooHR. BambooHR підтримує інтеграцію SSO на основі SAML 2.0 з провайдерами ідентифікації, включаючи Okta, Azure AD та Google Workspace.
6.Виявлення інцидентів та відповідь на них
BambooHR має документований План реагування на інциденти безпеки, який визначає процедури виявлення, класифікації, локалізації, розслідування та відновлення після інцидентів безпеки. Команда з реагування на інциденти включає представників з підрозділів безпеки, інженерії, юридичного відділу та підтримки клієнтів.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Безперервність бізнесу та відновлення після катастроф
BambooHR підтримує План безперервності бізнесу (BCP) та План відновлення після катастроф (DRP), які тестуються щонайменше раз на рік. BambooHR націлюється на Розрахунковий час відновлення (RTO) у чотири (4) години та Розрахункову точку відновлення (RPO) у одну (1) годину для своїх основних сервісів платформи.
Дані клієнтів постійно резервуються за допомогою відновлення стану на конкретний момент часу та щоденних знімків, які зберігаються тридцять (30) днів. Цілісність резервних копій регулярно перевіряється для забезпечення можливості відновлення даних у сценарії відновлення.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
