Legal
Zásady ochrany osobních údajů | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
Naposledy aktualizováno: 16. srpna 2026
Grouper je odhodláno chránit osobní údaje a udržovat vysoké standardy soukromí, bezpečnosti a regulatorní shody. Ochrana údajů je považována za klíčovou operativní a smluvní odpovědnost, nikoliv add-on. Námi navržené dodávky služeb, kontrolní prvky přístupu, podpůrné procesy a správa dodavatelů odrážejí zásady odpovědnosti, integrity, důvěrnosti a transparentnosti vůči GDPR.
Toto Zásady ochrany soukromí vysvětlují, jak Grouper Technology Limited (“Grouper”, “my”, “nám” nebo “náš”) shromažuje, používá, přistupuje, hostuje, ukládá, chrání, předává a jinak zpracovává osobní údaje ve spojení se službami, které poskytujeme, včetně našeho postavení evropského partnera BambooHR.
Grouper podporuje organizace po Irsku, ve Spojeném království, Evropě a dalších regionech s nasazením, administrací a používáním HRIS platformy BambooHR a související HR technologii.
Náš evropský model služby je navržen kolem jasného principu evropského pobytu dat. Zákaznická osobní data zpracovaná prostřednictvím evropské služby Grouper BambooHR jsou hostována a ukládána v rámci Evropského hospodářského prostoru (EEA), primární hosting je v Irsku.
Toto Zásady ochrany osobních údajů se vztahují na osobní údaje zpracovávané v souvislosti s:
- BambooHR implementace a onboarding;
- Konfigurace HRIS;
- správa účtu;
- zákaznická podpora;
- technická podpora;
- podpora integrací;
- migrace dat;
- úspěch zákazníka;
- školení;
- profesionální služby;
- bezpečnost a správa služby;
- komunikace se zákazníky;
- prodej a ukázky;
- Grouper webové stránky a digitální služby; a
- naše obecné obchodní aktivity.
Grouper Technology Limited je irská společnost se sídlem ve 3. patře, 22 Ely Place, Dublin, D02 AH73, Irsko.
BambooHR poskytuje podkladový systém pro lidské zdroje a související funkčnost produktu. Grouper poskytuje evropskou implementaci, migraci, konfiguraci, školení, úspěch zákazníka, podporu, správu služeb a související profesionální služby. V závislosti na předplatném a konfiguraci zákazníka může platforma HRIS BambooHR podporovat záznamy zaměstnanců, onboarding, nábor, čas a docházku, správu dovolené, výkon, odměny, benefity, funkce související se mzdami, reporting, analytiku, integrace, API a funkce umělé inteligence.
V závislosti na službách zakoupených zákazníkem může Grouper poskytovat:
- BambooHR implementace;
- onboarding;
- konfigurace;
- nastavení účtu;
- asistence migrace;
- služby integrace;
- technická podpora;
- HRIS podpora;
- školení;
- služby pro úspěch zákazníka;
- správa služby;
- odstraňování problémů; a
- přidružené profesionální služby.
Přesná role zpracování údajů jednotlivého Grouper závisí na konkrétní činnosti zpracování.
Tam, kde Grouper určuje účely a prostředky zpracování — například v určitých činnostech na webu, prodeji, kontaktech se zákazníky, bezpečnosti nebo správě společnosti — Grouper jedná jako Správce.
Tam, kde Grouper Zpracovává Zákazníková osobní data výhradně jménem Zákazníka a v souladu s jeho zdokumentovanými pokyny, Grouper jedná jako Zpracovatel.
Když zákazník sám působí jako Správce pro jiného Správce, Grouper může působit jako Podřízený zpracovatel v rozsahu relevantním.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 Základní závazek evropské rezidence
Pro zákazníky, kteří kupují evropskou službu Grouper BambooHR s pobytem dat v EEA, Zákaznická osobní data tvořící jádro prostředí HRIS je hostována a ukládána v rámci EEA, s primárním místem hostingu v Irsku.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 Uložení vs. přístup
Rezidence dat popisuje, kde jsou uložena osobní data zákazníka. Neznamená to, že neexistuje žádný autorizovaný technický a podpůrný přístup z jiné země.
Výjimečný přístup z mimo EEA může nastat jen tehdy, je-li to nezbytné, autorizované a právně chráněné, jak je popsáno v oddílech 17 a 18 této politiky.
4.3 Zálohy, odolnost a zotavení z havárie
Zálohování, odolnost a zotavení po havárii jsou navrženy tak, aby zachovaly důvěrnost, integritu a dostupnost a zůstávaly v souladu s regionálními hostingovými závazky Zákazníka.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 Žádná rutinní relocace mimo EEA
Grouper nepoužívá výjimečný podpůrný přístup jako mechanismus rutinní relocace osobních údajů zákazníků z Evropy.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
„Aplikované právo na ochranu údajů“ znamená všechna zákonná ustanovení o ochraně údajů, soukromí a bezpečnosti údajů platná pro Zpracování, včetně, kdy je relevantní:
- Nařízení (EU) 2016/679 — Obecné nařízení o ochraně osobních údajů (GDPR);
- zákonný zákon o ochraně údajů v Irsku z roku 2018;
- použitelné irské ePrivacy a pravidla elektronické komunikace;
- UK GDPR a UK Data Protection Act 2018, kde applicable;
- použitelný švýcarský zákon o ochraně údajů, kde applicable;
- použitelné národní zákony implementující evropské požadavky na soukromí; a
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
Informace zpracované závisí na poskytovaných službách a na datech, která zákazník zvolí do HR prostředí.
6.1 Employee and Workforce Information
Osobní data mohou zahrnovat:
- jméno a identifikační čísla zaměstnanců;
- fotografie, pokud jsou poskytnuty;
- kontaktní údaje domů nebo práce;
- datum narození, pohlaví a demografické informace, pokud jsou poskytnuty;
- manželství nebo rodinné informace, pokud jsou poskytovány;
- kontakty pro naléhavé případy a telefonní čísla;
- akademické a profesní kvalifikace;
- Životopisy nebo CV, informace o zaměstnání a jazyková způsobilost;
- pracovní název, plat, oddělení, lokalita, řídicí linie a členství v týmu;
- data o najmutí a ukončení pracovního poměru, pracovní doba a smluvní detaily;
- výkon, hodnocení, disciplinární a pracovní historie;
- benefity, pojištění, firemní majetek a informace o školeních; a
- informace o dovolené, docházce a časových volních opatřeních.
6.2 Informace o výplatách a odměnách
Když se používají relevantní služby, mohou být Osobní údaje zahrnuty:
- plat, odměny a bonusy;
- daňové a sociální-pojišťovací informace;
- bankovní a platební údaje;
- informace o důchodu;
- opce na akcie a další výhody; a
- další informace související s výplatami.
6.3 Nábor, informace o kandidátech a referentech
For candidates, prospective employees and referees, information may include:
- identita a kontaktní údaje;
- CV, životopisy, údaje o zaměstnání a kvalifikace;
- přihlášky, pohovory a záznamy o náboru;
- komunikace s kandidáty a stav náboru;
- navrhované informace o odměňování;
- jména referentů, kontaktní údaje a profesionální vztah; a
- informace obsažené v referencích.
6.4 Zvláštní kategorie a citlivá data
V závislosti na použití HRIS platformy BambooHR mohou služby obsahovat informace o zdraví nebo zdravotním postižení a další zvláštní nebo citlivé osobní údaje.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
Zákazník by neměl vkládat citlivé informace do volných textových polí nebo do AI funkcí, pokud to není nutné, zákonné a povolené příslušnými podmínkami produktu.
Osobní údaje zpracovávané v souvislosti se službami Grouper mohou souviset s:
- aktuální, bývalí, budoucí zaměstnanci a nadcházející zaměstnanci;
- kandidáti a uchazeči;
- dodavatelé, konzultanti, agenti a nezávislí dodavatelé;
- agentury, dočasní a nárazoví pracovníci;
- stážisté a dobrovolníci;
- zaměstnanecké závislé, oprávněné osoby a kontakty pro nouzi;
- referenté a poskytovatelé referencí;
- Správci zákazníků a oprávněné osoby; a
- další osoby, jejichž Osobní údaje zákonně zpracovává zákazník ve Službách.
Osobní údaje mohou být získány:
- přímo od dotyčné osoby;
- od zaměstnavatele nebo potenciálního zaměstnavatele jednotlivce;
- od správců zákazníků a oprávněných uživatelů;
- během implementace, konfigurace a migrace dat;
- prostřednictvím oprávněných integrací nebo API;
- prostřednictvím žádostí o podporu a odstraňování závad;
- prostřednictvím platformy BambooHR HRIS nebo jiného systému zvoleného Zákazníkem;
- prostřednictvím náborových procesů;
- z veřejných zdrojů, kde je to zákonně použitelné; a
- z jiných legálních zdrojů schválených Zákazníkem.
Grouper Zpracovává Osobní údaje pouze pro vymezené a zákonné účely. Mezi tyto účely mohou patřit:
- implementace a konfigurace platformy BambooHR HRIS;
- hosting nebo usnadnění hostování údajů Zákazníka;
- správa účtů a oprávnění uživatelů;
- udržování a zabezpečení služby;
- poskytování zákaznické a technické podpory;
- podpora integrací a migrací;
- poskytování školení a odborných služeb;
- správa předplatného a vztahů se zákazníky;
- detekce a vyšetřování bezpečnostních událostí;
- udržování protokolů auditu;
- předcházení podvodům nebo zneužití;
- dodržování právních povinností; a
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
Když má podpůrný personál přístup k Osobním údajům Zákazníka, musí být přístup omezen na minimální množství informací nezbytné pro účel podpory a musí být proveden oprávněným personálem podléhajícím důvěrnosti a kontrolám přístupu.
Když Grouper působí jako Správce, platné zákonné základy mohou zahrnovat:
10.1 Smlouva
Zpracování nutné pro uzavření nebo plnění smlouvy, nebo pro kroky před uzavřením smlouvy na žádost dotyčné osoby.
10.2 Svědomité zájmy
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- poskytování služeb;
- správa zákazníků;
- informační zabezpečení;
- prevence podvodů;
- řízení kontinuity podnikání;
- podpora zákazníků; a
- relationship management.
10.3 Právní povinnost
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 Souhlas
Když je vhodné, zpracování může vycházet z udělení souhlasu. Souhlas lze kdykoli odvolat, aniž by to ovlivnilo zákonnost zpracování provedeného před odvoláním.
Když Zákazník působí jako Správce, je Zákazník zodpovědný za:
- stanovování účelů, pro které jsou Osobní údaje zpracovávány;
- zřízení zákonných základů a podmínek pro zvláštní kategorie;
- poskytování požadovaných upozornění na ochranu soukromí;
- získávání souhlasu tam, kde je to vyžadováno;
- zajištění správnosti a kvality údajů;
- stanovování vhodných dob uchovávání;
- správa oprávněných uživatelů a oprávnění;
- bezpečné používání Služeb; a
- zajištění, že jeho pokyny pro Grouper jsou zákonné.
Zákazník nesmí pokynovat Grouper ke Zpracování Osobních údajů způsobem, který porušuje platné zákony o ochraně údajů.
Grouper bude zákazníka informovat, pokud má na to z dobrého důvodu podezření, že pokyn porušuje platné zákony o ochraně údajů a může dočasně pozastavit dotčené Zpracování, dokud se problém nevyřeší.
Grouper omezuje přístup k Osobním údajům Zákazníka na oprávněné osoby, které rozumně potřebují přístup pro své povinnosti. Personál podléhá odpovídajícím povinnostem důvěrnosti a dostává školení v oblasti soukromí a bezpečnosti dle své role. Přístup je řízen principy nejnižšího oprávnění a potřeby znát.
Ovládání přístupu zahrnuje:
- ovládání identity a autorizace;
- řízení na základě role a privilegií;
- správa účtů s omezením;
- správa životního cyklu účtu;
- záznamy o přístupu a monitorování;
- pravidelná revidace přístupu;
- závazky k důvěrnosti a akceptovatelnému používání; a
- vhodné personální zabezpečení a školení.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
Opatření zahrnují:
- fyzické a logické kontrolní mechanismy přístupu;
- silné ověření a vhodná kontrola hesel;
- šifrování při přenosu i v klidu, kde je to vhodné;
- pseudonymizace, kde je vhodná;
- požární stěny sítě, okrajová bezpečnost a detekce průniku;
- logování, monitorování a auditní záznamy;
- řízení zranitelností a bezpečnostní testování;
- omezený administrativní přístup;
- bezpečný přenos, včetně chráněných kanálů pro přenos;
- zálohování, redundance, obnova a odolnost;
- plánování kontinuity podnikání a havarijní obnovy;
- bezpečný vývoj a řízení změn;
- oddělení dat mezi zákazníky a účely zpracování;
- postupy pro řízení incidentů;
- zvyšování povědomí a školení zaměstnanců v oblasti bezpečnosti; a
- due diligence subdodavatelů a správa bezpečnosti.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
Když Grouper působí jako Spracovatel a vznikne skutečné nebo podezřelé porušení Osobních údajů týkající se Zákazníka, Grouper bez zbytečného odkladu informuje dotčeného Zákazníka a v každém případě do 48 hodin od zjištění incidentu.
Pokud je to rozumně možné, oznámení bude zahrnovat:
- povaha incidentu;
- kategorie postižených Osobních údajů;
- přibližné kategorie a počet dotčených Subjektů a záznamů;
- pravděpodobné důsledky;
- opatření přijata či navržená;
- opatření k nápravě;
- kontaktní osoba pro další informace.
Informace mohou být poskytovány fázově, jakmile jsou k dispozici.
Grouper poskytne rozumnou spolupráci, aby zákazník mohl splnit příslušné regulační a oznamovací povinnosti vůči subjektům údajů.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper může jmenovat pečlivě vybrané Subzpracovatele a poskytovatele služeb tam, kde je to nutné k poskytování, hostování, zabezpečení, podpoře, monitorování nebo zlepšování Služeb.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
Pokud příslušné smluvní podmínky zákazníka stanovují obecné písemné povolení, Zákazníci obdrží předběžné upozornění na nové významné Subzpracovatele a možnost vznést námitku z rozumných důvodů ochrany údajů.
Pro subdodavatele BambooHR platí současná DPA BambooHR o minimálně 30 dnech předchozího oznámení nového subdodavatele, který bude Zpracovávat Zákazníková osobní data.
Příloha 4 poskytuje transparentnost v klíčových kategoriích poskytovatelů a jmenovaných poskytovatelů uvedených v řídících provozních materiálech.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
Zpracování BambooHR podléhá příslušným smluvním a nařízením o ochraně údajů, včetně své DPA, bezpečnostních opatření, ujednání o subprocesech a opatření k mezinárodnímu přenosu.
Grouper nadále odpovídá za své vlastní závazky vyplývající z platného práva na ochranu údajů a platné smlouvy se zákazníkem. Když BambooHR Zpracovává osobní údaje na podporu evropského prostředí zákazníků Grouper, platí odpovídající smluvní, bezpečnostní a požadavky na pobyt dat.
Pro smluvně zajištěnou evropskou službu Grouper je Zákaznická osobní data navržena pro uložení v EEA, s primárním hostováním v Irsku prostřednictvím Amazon Web Services (AWS). Oprávněné zpracování nebo vzdálený přístup z mimo EEA mohou představovat Omezený přenos, i když data zůstávají uložena v Irsku. Takový přístup je povolen jen, je-li legální, nezbytný a chráněný vhodnými opatřeními.
Příklady výjimečných scénářů zahrnují:
- nouzový stav, který ovlivňuje prostředí irského datového centra nebo kontinuitu služby;
- žádost o podporu nebo údržbu vyžadující oprávněný odborný přístup z mimo EEA, podléhající příslušnému schválení zákazníka nebo smluvní autorizaci; a
- Ověřená žádost Zákazníka o přesun nebo jinak Zpracování dat mimo smluvený evropský hosting region.
Když dojde k Omezenému přenosu, Grouper a/nebo příslušný poskytovatel technologie použijí legálně uznávaný mechanismus, jako například:
- rozhodnutí o přiměřenosti;
- Standardní smluvní doložky Evropské komise;
- UK Addendum k mezinárodnímu přenosu dat, pokud se použije;
- účast na EU-US Data Privacy Framework, kde je to legálně dostupné a použitelné;
- Vázací pravidla v rámci podniků, pokud jsou použita; nebo
- jiný platný pořádek ochrany, uznaný podle platného práva o ochraně údajů.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
Nic v těchto zvláštních režimech přístupu nezměňuje závazek Grouper k tomu, že Zákaznická data pro evropskou službu zůstávají mimo EEA.
Když jsou vyžadovány EU Standardní smluvní doložky, jsou začleněny v jejich oficiálně schválené formě bez změny povinného znění. Pro převody Správce na Zpracovatele bude běžně použito Modul Dva, pokud strany nepožadují jiný modul podle rolí.
Když je Irsko vybráno jako použitelný právní směr a fórum EU, strany souhlasí s soudy Irska podle příslušného dodatku SCC.
Pro převody podléhající UK zákonu o ochraně údajů budou platit EU SCCs spolu s tehdy platnou UK International Data Transfer Addendum nebo jiným právně uznávaným mechanismem převodu do UK.
Supplementary measures may include:
- šifrování;
- omezení přístupu;
- řízení klíčů;
- minimalizace;
- záznamy;
- klimtické omezení dalšího předání;
- procedury pro revizi vládní žádostí;
- opatření transparentnosti; a
- pozastavení nebo ukončení převodů, u nichž nelze zajistit dostatečnou úroveň ochrany.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
Neoprávněné nebo disproporční žádosti budou napadeny, pokud existují rozumné důvody a zákonný základ k takovému postupu.
Zveřejnění bude omezeno na nutné minimum dle zákona.
Zákazník bude informován, pokud to zákon umožňuje. Pokud je informování zakázáno, vyvine se přiměřené úsilí k získání souhlasu s poskytnutím oznámení tam, kde je to vhodné.
Záznamy o žádosti a odpovědi budou vedeny podle zákona a příslušného mechanismu převodu.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- přístup;
- opravnění;
- vymazání;
- omezení zpracování;
- přenositelnost údajů;
- existence námitky;
- odvolání souhlasu;
- práva související s automatizovaným rozhodováním a profilováním; a
- the right to complain to a competent supervisory authority.
Když Grouper jedná jako Správce, žádosti týkající se Zákazníkových osobních údajů by měly být obvykle směřovány na relevantního Zákazníka jako Správce. Pokud Grouper obdrží takovou žádost přímo, Grouper ji, pokud to není zákonně zakázáno, postoupí či oznámí Zákazníkovi a nebude zásadně odpovídat, kromě na základě dokumentovaných pokynů Zákazníka nebo tam, kde to vyžaduje zákon. Grouper poskytne rozumnou asistenci k umožnění splnění povinností Zákazníka.
Při zohlednění povahy Zpracování a informací dostupných Grouper, Grouper poskytne rozumnou pomoc s posouzeními dopadu na ochranu údajů a, pokud je vyžadováno, předběžnou konzultaci s příslušným dozorovým úřadem.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- veřejná dokumentace o bezpečnosti;
- směrnice;
- informace o shodě;
- informační audit;
- nezávislá zprávy o zabezpečení;
- příslušné certifikace; a
- odpovědi na rozumné bezpečnostní dotazníky.
Když to vyžaduje zákon nebo smlouva a dokumentační důkazy jsou nedostatečné, zákazníci mohou vykonávat příslušná práva na audit na základě rozumné výpovědi, s ohledem na důvěrnost, bezpečnost, nezásah a ochrany informací jiných zákazníků. Pokud to není vyžadováno kvůli bezpečnostnímu incidentu, regulatornímu požadavku nebo rozumným důkazům materiálního ne-compliance, formální audity by měly být obvykle omezeny na jednou během každého dvanáctiměsíčního období. Zákazníci obvykle hradí vlastní náklady na audit, pokud zákon nebo smlouva nestanoví jinak.
Grouper uchovává Osobní údaje jen po dobu, která je rozumně nezbytná pro daný účel nebo podle zákona.
Když Grouper jedná jako Zpracovatel, trvání uchovávání je primárně určeno:
- zdokumentované pokyny Zákazníka;
- příslušná smlouva se zákazníkem;
- doba trvání Služeb;
- požadavky na podporu;
- práva a právní povinnosti; a
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
Zákazníci jsou odpovědní za udržování přesných Zákaznických osobních údajů. Když Grouper nebo zpracovatel zjistí, že údaje jsou nepřesné nebo zastaralé v situacích vyžadujících opatření, Grouper bude spolupracovat se Zákazníkem na opravě nebo vymazání údajů v souladu s dokumentovanými pokyny a platnými zákony o ochraně údajů.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
Některé funkce BambooHR mohou používat umělou inteligenci nebo strojové učení. Funkčnost AI je volitelná, pokud je to tak označeno, a může podléhat samostatným podmínkám AI BambooHR.
Aktuální materiály služeb AI BambooHR identifikují poskytovatele AI třetích stran včetně OpenAI, Cohere a Anthropic/Claude a aktuální materiály subdodavatelů mohou identifikovat další poskytovatele AI nebo zpracování dokumentů (např. LlamaIndex) v závislosti na konfiguraci funkcí.
Customers remain responsible for:
- posuzování, zda je použití AI vhodné pro jejich organizaci;
- založení zákonného základu;
- poskytnutí požadované transparentnosti subjektům údajů;
- získávání souhlasu tam, kde je to vyžadováno;
- zavedení dostatečného lidského dohledu;
- posouzení rizik zaujatosti a spravedlnosti; a
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
Když BambooHR používá Data zákazníka, vstup nebo výstup k doladění nebo nácviku modelu specifického pro zákazníka, platí, že příslušné podmínky AI BambooHR uvádí, že takové použití slouží k poskytování AI funkcí tomuto Zákazníkovi a že výsledný model vycvičený zákazníkem se jinak nepoužívá k poskytování služeb dalším zákazníkům.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
Programatický přístup by měl používat podporované metody ověřování a nesmí vystavovat Zákaznická data ani přihlašovací údaje nepověřeným stranám.
Integrace nesmí použít Zákaznická data nad rámec dokumentovaného a autorizovaného účelu.
Když poskytovatel integrace zpracovává Osobní údaje jménem Zákazníka nebo Grouper, musí platit vhodné podmínky zpracovatele či podzpracovatele a bezpečnostní mechanismy pro přenos.
Když Grouper působí jako Správce ve vztahu k vlastním obchodním aktivitám, můžeme zpracovávat kontaktní obchodní údaje týkající se:
- potenciální zákazníci;
- zákaznické kontakty;
- dodavatelé;
- partneři;
- profesionální poradci;
- účastníci akcí;
- návštěvníci webových stránek; a
- jednotlivci, kteří kontaktují Grouper.
Informace mohou zahrnovat jméno, organizaci, roli, obchodní kontaktní údaje, komunikaci, informace o dotazu, IP adresu, údaje o prohlížeči a zařízení, navštívené stránky a podobná technická data.
Tyto informace zpracováváme za účelem odpovědi na dotazy, správy vztahů, poskytování požadovaných služeb, zajištění bezpečnosti, plnění smluv, dodržování zákona a, pokud je to dovoleno, odesílání relevantních obchodních sdělení. Příjemci mohou kdykoli odhlásit direct marketing. Provozní, smluvní, bezpečnostní a zákaznické komunikace nejsou marketing.
Webové stránky mohou používat cookies nezbytné, funkční a analytické a podobné technologie. Tam, kde je to zákonně vyžadováno, ne-nezbytné cookies budou používány pouze po odpovídajícím souhlasu a uživatelům budou poskytnuty možnosti k úpravě preferencí.
Grouper seeks to embed privacy into service design and operations. This includes:
- Evropské možnosti data-residency;
- minimalizace dat;
- nejnižší úroveň oprávnění;
- přiměřené ověřování totožnosti;
- šifrování;
- záznamy o přístupu;
- oprávněná role a oprávnění;
- bezpečný přenos;
- Ovládací prvky sub-zpracovatele;
- Ovládání uchovávání;
- procesy reakce na incidenty;
- školení v ochraně soukromí a bezpečnosti;
- testování bezpečnosti;
- podpora DPIA; a
- dokumentovaná odpovědnost.
Grouper bude vést záznamy a zavedené ovládací механизmy odpovídající své roli a bude v dobré víře spolupracovat s Zákazníky, Subjekty údajů a příslušnými dozorčími orgány.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
Když Grouper Zpracovává Zákazníková osobní data jako Zpracovatel, díl B a příslušná smlouva se zákazníkem upravují vztah Zpracování. V případě nesouladu ohledně Zákazníkových osobních údajů platí následující pořadí nadřazenosti: povinné platné zákony o ochraně údajů; platné SCC; UK addendum nebo jiný povinný mechanismus převodu; smlouva o zpracování údajů; příslušné ustanovení o ochraně údajů ve Smlouvě; a zbytek Smlouvy.
Evropská nabídka společnosti Grouper v oblasti BambooHR stojí na třech zásadách:
Evropské residenci dat.
Zákazníková osobní data jsou hostovány a uložena v EEA, primárně v Irsku prostřednictvím Amazon Web Services (AWS).
Evropské standardy ochrany soukromí.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
Evropské služby a podpora.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
Naším cílem je umožnit organizacím používání BambooHR při zachování soukromí, správy a standardů data-residency požadovaných evropskými zákazníky.
Otázky týkající se této zásady ochrany osobních údajů, zpracování Grouper, práva subjektů údajů, zabezpečení nebo našich evropských uložení dat mohou být podány prostřednictvím vybraných kanálů ochrany soukromí nebo zákaznické podpory Grouper.
Grouper Technology Limited lze také kontaktovat na 3. patro, 22 Ely Place, Dublin, D02 AH73, Irsko.
Když se osobní údaje týkají v účet zaměstnavatele BambooHR, jednotlivci by měli obvykle nejprve kontaktovat zaměstnavatele, protože tato organizace bude obvykle Správcem odpovědným za to, jak jsou údaje používány.
Tato smlouva o zpracování údajů (DPA) je součástí smlouvy, objednávky, prohlášení o práci nebo jiné smlouvy upravující poskytování služeb Grouper’s BambooHR-related služeb mezi Zákazníkem a Grouper Technology Limited.
Při poskytování Služeb může Grouper zpracovávat osobní údaje zákazníka jménem Zákazníka. Tato DPA stanovuje vzájemné povinnosti stran ohledně tohoto zpracování.
Tento DPA se vztahuje na rozsah, v němž Grouper Zpracovává Zákazníková osobní data jménem Zákazníka a takové Zpracování podléhá platnému zákonu o ochraně údajů. Slouží jako doplněk a součást smlouvy; kapitálová označení termínů zde definovaných mají význam uvedený ve Smlouvě.
Pro tento DPA:
Zákaznická osobní data
Osobní údaje kontrolované Zákazníkem nebo Zákaznickým partnerem a zpracované Grouper v souvislosti se Službami.
Omezený přenos
Přenos Osobních údajů vyžadující zákonný mechanismus přenosu dle platného zákona o ochraně údajů.
Standardní smluvní doložky (SCCs)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
Třetí strana pověřená nebo jménem Grouper ke zpracování Zákaznických osobních údajů.
Poskytovatel technologie
BambooHR LLC a v případě potřeby související BambooHR entity poskytující základní HRIS platformu.
Pokud nebylo písemně dohodnuto jinak, Zákazník působí jako Správce a Grouper jako Zpracovatel. Když Zákazník působí jako Zpracovatel pro jiného Správce, Grouper působí jako Podzpracovatel, pokud je to příslušné.
Grouper bude Zpracovávat Zákaznická osobní data pouze na základě dokumentovaných pokynů Zákazníka a jen tolika, kolik je nezbytné k poskytování, udržování, zabezpečení a podpoře Služeb, pokud zákon nestanoví jinak.
Grouper neprodleně informuje Zákazníka, pokud má za rozumné za to, že pokyn porušuje platné zákony o ochraně údajů a může pozastavit dotčené Zpracování do vyřešení.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper zajistí, že Oprávněné osoby podléhají vhodným povinnostem mlčenlivosti, mají k Osobním údajům Zákazníka přístup jen v nezbytně nutné míře, dostávají odpovídající školení v oblasti soukromí a bezpečnosti a Zákaznická data zpracovávají dle tohoto DPA a dokumentovaných pokynů Zákazníka. Přístup bude omezen na základě zásad nejnižších oprávnění a potřeby znát.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
Minimální kontrolní domény jsou popsány v Příloze 2. Grouper může tyto opatření aktualizovat, pokud změny podstatně nesníží celkovou úroveň ochrany Zákaznických údajů.
Grouper bude informovat Zákazníka co nejdříve a, pokud platí smluvní závazek do 48 hodin, nejpozději do 48 hodin od zjištění skutečného nebo podezřelého Bezpečnostního incidentu ovlivňujícího Zákaznická data.
Informace mohou být poskytnuty postupně, jak budou k dispozici. Grouper poskytne rozumnou spolupráci potřebnou k tomu, aby Zákazník splnil oznamovací povinnosti vůči dozorovým orgánům a dotčeným Subjektům údajů.
Zákazník uděluje Grouper obecný písemný souhlas k zapojení Sub-zpracovatelů nezbytných k poskytování Služeb.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
Tam, kde platí základní DPA BambooHR, BambooHR v současnosti poskytuje alespoň 30 dní předem písemné oznámení o novém subdodavateli, který bude zpracovávat osobní údaje zákazníka.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Pokud Grouper obdrží žádost přímo týkající se Zákaznických osobních údajů, Grouper ji neprodleně postoupí či oznámí Zákazníkovi a nebude zásadně odpovídat, kromě dokumentovaných pokynů nebo pokud to vyžaduje zákon.
Grouper poskytne rozumnou pomoc, s ohledem na povahu zpracování a dostupné informace, při posuzování dopadu na ochranu údajů, předběžné konzultaci s dozorovacími orgány a rozumné dotazy či vyšetřování kompetentního dozorčího orgánu souvisejících se Službami.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
V rozsahu povoleném zákonem bude Grouper prověřovat závazné žádosti veřejnoprávních orgánů o Zákaznická data, napadat nezákonné či disproporcionální žádosti, pokud existují důvody, snažit se omezit zveřejnění na minimum požadované zákonem, informovat Zákazníka tam, kde je to zákonné, a vést odpovídající záznamy.
Na žádost zákazníka nebo po ukončení či vypršení Služeb bude Grouper, dle volby Zákazníka a za podmínek technické proveditelnosti a Smlouvy, vrátit nebo bezpečně vymazat osobní údaje zákazníka a vyžadovat to samé i od relevantních subzpracovatelů. Pokud vyžaduje zákon zachování, Grouper izoluje a chrání uchované údaje a zpracovává je pouze v souladu s právními požadavky.
Zákazník potvrzuje, že má práva, povolení, oznámení, zákonné základy a souhlasy nezbytné k poskytnutí Zákaznických údajů k Zpracování; že jeho pokyny souhlasí s platnými zákony o ochraně údajů; že nebude instruovat protiprávní zpracování; a že bude Služby konfigurovat a používat bezpečně a udržovat vhodné kontroly nad uživatelskými účty, přihlašovacími údaji a integracemi.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
Tento DPA nabývá účinnosti, když se Zákazník zaváže k jeho dodržování, a pokračuje po dobu, po kterou Grouper Zpracovává Zákaznická osobní data jménem Zákazníka. Povinnosti, které z povahy věci nebo podle zákona musí zůstat v platnosti po době uchovávání, přežívají ukončení či vypršení platnosti.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
V případě nesouladu ohledně Zákaznických osobních údajů platí následující pořadí nadřazenosti: povinné platné zákony o ochraně údajů; platné SCC, UK Addendum nebo jiný povinný mechanismus převodu; tento DPA; platné ustanovení o ochraně údajů smlouvy; a zbytek smlouvy.
Řadič / Dvouležitý Exportér údajů
The Customer identified in the applicable Agreement or Order Form.
Zpracovatel / Dovozce údajů
Grouper Technology Limited, 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Irsko.
Poskytovatel technologie
BambooHR LLC a platné BambooHR entity poskytující základní HRIS platformu.
Předmět
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
Povaha zpracování
Sbírání, přijímání, zaznamenávání, organizace, strukturování, migrace, hosting, ukládání, vyhledávání, konzultace, použití, přenos, zpřístupnění, omezení, podpora přístupu, vymazání a další zpracování nezbytné k poskytování Služeb.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
Po dobu poskytování Služeb a jakéhokoli následného období nutného k vrácení nebo vymazání Zákaznických údajů či dodržení zákona.
Subjekty údajů
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
Osobní údaje
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
Citlivá data
Podle volby Zákazníka mohou zahrnovat informace o zdraví a zdravotním postižení a další zvláštní kategorie či citlivá data povolená Službami.
Primární evropské úložiště
Irsko / EEA prostřednictvím Amazon Web Services (AWS) pro zákazníky, kteří nakupují službu evropské data-residency.
Příslušný dozorčí orgán
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper zachovává technická a organizační opatření napříč následujícími minimálními kontrolními doménami:
1. Správa bezpečnosti informací
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. Bezpečnost personálu
Důvěrnostní závazky, odpovídající prověření role, bezpečnostní povědomí a školení v oblasti soukromí a disciplinární opatření pro neoprávněný přístup.
3. Fyzická bezpečnost
Omezený přístup k relevantním zařízením a infrastruktuře; kontrolované cesty přístupu; oprávnění k přístupu; fyzový dohled a jiné zabezpečovací opatření vhodná pro hostingové prostředí.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. Ovládání přístupu k datům
Ovládání, které umožňuje oprávněným uživatelům přístup pouze k datům v jejich oprávněních; záznamy a dohled nad přístupem; uvolnění dat pouze oprávněným osobám.
6. Šifrování a pseudonymizace
Vhodné šifrování Osobních údajů při přenosu a v klidu; pseudonymizace tam, kde je vhodná pro účel zpracování.
7. Síťová a přenosová bezpečnost
Firewally, chráněné brány, bezpečné komunikační kanály, TLS/SFTP nebo ekvivalentní chráněné mechanismy převodu a opatření proti neoprávněnému odposlechu či změně.
8. Záznamy a monitorování
Záznam relevantní systémové, administrativní a přístupové činnosti; monitorování podezřelých událostí; uchovávání auditních informací odpovídajících riziku.
9. Vstup a řízení změn
Ovládání, kdo zadal, změnil nebo smazal data; ověřování oprávněných uživatelů a systémů; dokumentované postupy řízení změn.
10. Zranitelnosti a bezpečnostní testování
Postupy identifikace, hodnocení a náprav zranitelností; periodické penetrační nebo bezpečnostní testy; pravidelné hodnocení a vyhodnocení účinnosti kontrol.
11. Dostupnost, záloha a obnova
Infrastrukturní redundance, záloha, obnova, dostupnostní opatření a ochrana proti náhodnému ztrátám či zničení.
12. Podniková kontinuita a obnova po havárii
Dokumentované plány kontinuity a obnovy navržené k rychlému obnovení dostupnosti a přístupu po narušení nebo bezpečnostním incidentu.
13. Oddělení dat
Logické nebo aplikační oddělení mezi zákazníky i mezi účely zpracování; opatření bránící neoprávněnému přístupu napříč zákazníky.
14. Bezpečný vývoj
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
Provedení due diligence, písemné závazky k ochraně údajů, bezpečnostní přezkoumání, přenosová opatření a průběžný dohled odpovídající zpracování.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
EU Omezené přenosy
Když jsou vyžadovány evropské SCC, oficiální SCC Evropské komise jsou začleněny odkazem beze změny na povinné formulace. Pokud role nevyžadují jinak, Zákazník je Data Exporter, Grouper a/nebo platný poskytovatel technologie je Data Importer a Modul Dva se vztahuje na transfery Správce k Zpracovateli.
UK Omezené transfery
Pro převody podléhající UK zákonu o ochraně údajů budou platit EU SCCs spolu s tehdy platnou UK International Data Transfer Addendum nebo jiným právně uznávaným mechanismem převodu do UK.
Švýcarské transfery
Pro převody podléhající švýcarskému zákonu o ochraně údajů budou SCC interpretovány a upravovány podle platného švýcarského práva včetně vhodných odkazů na švýcarský dozor a švýcovské subjekty údajů.
EU-US datový rámec ochrany soukromí
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
Mimořádné situace přístupu pro evropské zákazníky
Oprávněný mimořádný přístup mimo EEA může nastat pouze za následujících okolností:
- nouzový stav, který ovlivňuje prostředí irského datového centra nebo kontinuitu služby;
- žádost o podporu či údržbu vyžadující oprávněný speciální přístup mimo EEA, podléhající příslušnému schválení Zákazníka nebo smluvní autorizaci; a
- ověřená žádost Zákazníka o zpracování nebo hostování mimo evropský region.
Přesní poskytovatelé se liší podle produktu, funkce, cesty podpory a konfigurace Zákazníka. aktuální živý registr subzpracovatelů udržovaný Grouper a/nebo BambooHR je rozhodující pro aktivní poskytování služeb.
Následující klíčoví poskytovatelé byli identifikováni v řídících provozních materiálech. Poskytovatel uvedený zde nemusí nutně zpracovávat Zákaznická osobní data pro každého Zákazníka nebo každou implementaci.
BambooHR LLC
Poskytovatel technologie; údržba HRIS, hosting a podpora. Místo: Spojené státy / regiony služeb včetně Evropy.
Amazon Web Services (AWS)
Primární cloudová hostingová infrastruktura; Evroé regionální hosting v Irsku. Místo: Irsko / Evropa a další regiony v závislosti na konfiguraci služby.
Anthropic / Claude
AI / zpracování jazykových modelů. Místo: Spojené státy.
Cohere
API pro jazykový model / zpracování AI. Lokalita: Spojené státy americké.
OpenAI
API pro jazykový model / zpracování AI. Lokalita: Spojené státy americké.
LlamaIndex / LlamaParse
Volitelný dokumentární parsing spojený s funkcionalitou AI. Místo: Spojené státy.
Atlas MongoDB
Uložení dat podporující vybrané služby / AI související funkce. Místo: Spojené státy.
Gainsight
Zákaznické vztahy / služby CRM.
Salesforce
CRM platforma.
Cloudflare
Web application firewall / bezpečnost.
Datadog
Infrastruktura a monitorování aplikací.
Microsoft / Google Workspace
Spolupráce, komunikace a ukládání dokumentů v závislosti na aktuální konfiguraci.
Mailgun
Komunikace v aplikaci.
Snowflake
Datová analytika.
Twilio
MFA / doručení SMS.
Další poskytovatelé
Další poskytovatelé uvedení v aktuálních materiálech o službách mohou zahrnovat Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike a další. Zákazníci by se měli odvolat na aktuální seznam subdodavatelů BambooHR a aktuální informace o subzpracovateli Grouper.
1. Rozsah
Tato Příloha platí, když Zákazník aktivuje nebo používá BambooHR funkce umělé inteligence nebo strojového učení v souvislosti se službami podporovanými Grouper.
2. AI poskytovatelé
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. Vstupy a výstupy
Podněty, pokyny nebo data poskytované zákazníkem a odeslané do AI funkcionality mohou tvořit „Vstupě“ a generované odpovědi mohou tvořit „Výstupy“. V závislosti na funkci mohou Vstupy nebo Výstupy zahrnovat údaje zákazníka. Výstupy nemusí být jedinečné a mohou být podobné výstupům zpracovaným pro jiné uživatele.
4. Povinnosti zákazníka a lidský dohled
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. Omezení citlivých a regulovaných údajů
Kde je to zakázáno příslušnými podmínkami AI, Zákazník nesmí předkládat AI funkcím citlivé nebo regulované informace, včetně informací o zdraví, genetických nebo biometrických údajů, identifikačních číslech vydaných vládou ani osobních finančních či bankovních údajů. Zákazníci by měli minimalizovat Osobní údaje v zadání.
6. Přesnost, zaujatost a férovost
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
Když platí použitelné BambooHR AI termíny umožňují použití výkonnostních dat a zpětné vazby ke zlepšení funkčnosti AI, takové použití podléhá těmto podmínkám. Pokud jsou k ladění modelu specifického pro zákazníka použita data zákazníka, výsledný model se používá k poskytování AI funkcí tomuto zákazníkovi a není jinak použit k poskytování služeb dalším zákazníkům.
8. Mezinárodní zpracování
Poskytovatelé AI mohou zpracovávat autorizované Vstupy nebo související osobní údaje mimo EHP. Takové zpracování podléhá ochranným prvkům převozu v této DPA a nezmění umístění vyhrazené HRIS perimetru uloženého u Zákazníka. Zákazníci by měli vyhodnotit, zda volitelné použití AI je v souladu s jejich vlastní rezidencí, radou pro zaměstnávání, pracovněprávními a rizikovými požadavky, než ho povolí.
Máte dotazy ohledně této Zásady ochrany osobních údajů nebo svých práv k údajům?
Kontaktujte nás
