Legal
Privatlivspolitik | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
Sidst opdateret: 16. august 2026
Grouper forpligter sig til at beskytte personlige data og opretholde høje standarder for privatliv, sikkerhed og regulatorisk overholdelse. Databeskyttelse behandles som et centralt operationelt og kontraktligt ansvar, ikke som en eftertanke. Vi designer vores servicetilbud, adgangskontroller, supportprocesser og leverandørstyring til at afspejle ansvars-, integritet-, fortroligheds- og gennemsigtighedsprincipperne i GDPR.
Denne Politik om beskyttelse af personoplysninger forklarer, hvordan Grouper Technology Limited (“Grouper”, “vi” eller “vores”) indsamler, anvender, får adgang til, hoster, gemmer, beskytter, overfører og ellers behandler personoplysninger i forbindelse med de ydelser, vi leverer, herunder vores rolle som europæisk partner til BambooHR.
Grouper understøtter organisationer i Irland, Storbritannien, Europa og andre regioner med implementering, administration og anvendelse af BambooHR HRIS-platformen og relateret HR-teknologi.
Vores europæiske service model er bygget omkring et klart princip om europæisk dataophold. Kunde-personoplysninger håndteret gennem Grouper’s europæiske BambooHR-service opbevares inden for det Europæiske Økonomiske Samarbejdsområde (“EØS”), primært hosting i Irland.
Denne privatlivspolitik gælder for personlige oplysninger behandlet i forbindelse med:
- BambooHR implementering og onboarding;
- HRIS-konfiguration;
- kontoadministration;
- kundesupport;
- teknisk support;
- integrationstøtte;
- datamigrering;
- kundesucces;
- uddannelse;
- professionelle tjenester;
- sikkerhed og serviceadministration;
- kundekommunikation;
- salg og demonstrationsmateriale;
- Grouper hjemmesider og digitale tjenester; og
- vores generelle forretningsaktiviteter.
Grouper Technology Limited er et irsk selskab med registreret kontor på 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Irland.
BambooHR leverer det underliggende HRIS (human resources information system) og relateret produktfunktionalitet. Grouper leverer europæisk implementering, migrering, konfiguration, træning, kundesucces, support, service management og relaterede professionelle ydelser. Afhængigt af kundens abonnement og konfiguration kan BambooHR HRIS-platformen understøtte medarbejderoptegnelser, onboarding, rekruttering, tid og tilstedeværelse, ferieadministration, præstation, kompensation, fordele, løntjenesterrelateret funktionalitet, rapportering, analyse, integrationer, API’er og kunstig intelligens.
Afhængigt af hvilke tjenester en kunde køber, kan Grouper tilbyde:
- BambooHR implementering;
- onboarding;
- konfiguration;
- kontoopsætning;
- migreringshjælp;
- integrationsydelser;
- teknisk support;
- HRIS-support;
- uddannelse;
- kundesucces-tjenester;
- servicestyring;
- fejlfinding; og
- relaterede professionelle tjenester.
Den præcise databeskyttelsesrolle for Grouper afhænger af den specifikke behandling.
Hvor Grouper bestemmer formålene og midlerne til Behandling — for eksempel i visse website-, salgs-, forretningskontakt-, sikkerheds- eller virksomhedsstyringsaktiviteter — fungerer Grouper som Behandler.
Hvor Grouper Behandler Kundepersonoplysninger udelukkende på vegne af en Kunde og i overensstemmelse med dennes dokumenterede instruktioner, fungerer Grouper som Behandlingsansvarlig.
Hvor kunden selv agerer som behandler for en anden behandler, kan Grouper agere som under-behandler i det omfang, det er relevant.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 Kerne Europæisk bosættelsesforpligtelse
For kunder, der køber Grouper’s europæiske BambooHR-service med EØS-dataophold, værende Kundepersonoplysninger, der udgør en del af kerne-HRIS-produktionsmiljøet, hostes og opbevares inden for EØS med primær hostingplacering i Irland.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 Opbevaring vs. adgang
Databosætning beskriver, hvor Kunde-personoplysninger opbevares. Det betyder ikke, at der aldrig kan ske behørig support eller teknisk adgang fra et andet land.
Ekstraordinær adgang uden for EEA kan forekomme kun hvor det er nødvendigt, autoriseret og juridisk beskyttet som beskrevet i afsnit 17 og 18 i denne politik.
4.3 Sikkerhedskopier, modstandsdygtighed og katastrofeberedskab
Backup-, modstandsdygtigheds- og katastrofe-genopretningsordninger er designed til at bevare fortrolighed, integritet og tilgængelighed og forblive i overensstemmelse med kundens kontraktlige regionale hostingforpligtelser.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 Ingen rutinemæssig flytning uden for EEA
Grouper anvender ikke ekstraordinær supportadgang som en mekanisme til rutinemæssig flytning af Europæiske Kunde-personoplysninger.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
“Anvendelig databeskyttelseslovgivning” betyder alle databeskyttelses-, privatlivs- og datasikkerhedslove og regler, der er gældende for Behandling, herunder hvor det er relevant:
- Forordning (EU) 2016/679 — General Data Protection Regulation (GDPR);
- den irske Data Protection Act 2018;
- anvendelige irske ePrivatliv og elektronische kommunikationsregler;
- den britiske GDPR og UK Data Protection Act 2018, hvor det er relevant;
- anvendelig schweizisk databeskyttelseslovgivning, hvor relevant;
- gældende nationale lovgivninger implementing Europæiske privatlivsforhold;
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
Oplysninger behandlet afhænger af de tjenester, kunden har valgt, og data, som kunden vælger at placere i HR-miljøet.
6.1 Employee and Workforce Information
Personlige data kan omfatte:
- navn og medarbejderidentifikationsnumre;
- billeder, hvis leveret;
- hjemme- eller arbejdskontaktoplysninger;
- fødselsdato, køn og demografiske oplysninger, hvis leveret;
- ægteskabs- eller familieoplysninger, hvis leveret;
- nødtelefonnumre og kontakter;
- akademiske og faglige kvalifikationer;
- CV- eller resuméoplysninger, ansættelseshistorik og sprogkundskaber;
- jobtitel, karakter, afdeling, placering, rapporteringslinjer og team tilknytning;
- ansættelses- og afgangsdatoer, arbejdstid og kontraktlige detaljer;
- præstation, evaluering, disciplin og arbejdshistorik;
- fordele, forsikring, virksomhedens aktiver og uddannelsesoplysninger; og
- orlov, fremmøde og oplysninger om fravær.
6.2 Løn og kompensation
Hvor relevante tjenester bruges, kan personlige data omfatte:
- løn, kompensation og bonusser;
- skatte- og social-sikringsoplysninger;
- bank- og betalingsoplysninger;
- pensionsoplysninger;
- aktieoptioner og andre fordele; og
- anden løn-relateret information.
6.3 Rekruttering, kandidat- og referenceoplysninger
For candidates, prospective employees and referees, information may include:
- identitet og kontaktoplysninger;
- CV'er, resuméer, ansættelseshistorik og kvalifikationer;
- ansøgnings-, interview- og rekrutteringsregistre;
- kandidatkommunikation og rekrutteringsstatus;
- Foreslået kompensation; og
- refereens navne, kontaktoplysninger og professionel forhold; og
- information indeholdt i referencer.
6.4 Særlige kategorier og følsomme data
Afhængigt af en Kundes brug af BambooHR HRIS-platform, kan Tjenesterne indeholde sundheds- eller handicapoplysninger og andre særlige eller følsomme personoplysninger.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
Kunder bør ikke placere følsomme oplysninger i fritekstfelter eller AI-funktioner, medmindre det er nødvendigt, lovligt og tilladt af de relevante produktebetingelser.
Personoplysninger behandlet i forbindelse med Grouper’s ydelser kan vedrøre:
- nuværende, tidligere, potentielle og fremtidige medarbejdere;
- kandidater og ansøgere;
- underegningskonsulenter, konsulenter, agenter og selvstændige entreprenører;
- bureau-, midlertidige og casual arbejdere;
- praktikanter og frivillige;
- medarbejderens familiemedlemmer, begunstigede og nødkontakter;
- referencer og referentine udbydere;
- Kundeadministratorer og autoriserede brugere; og
- andre personer, hvis personlige data en Kunde lovligt indsender til tjenesterne.
Personlige data kan indhentes:
- direkte fra den enkelte;
- fra den enkeltes arbejdsgiver eller potentielle arbejdsgiver;
- fra Kundeadministratorer og autoriserede brugere;
- under implementering, konfiguration og datamigrering;
- gennem autoriserede integrationer eller API'er;
- gennem supportanmodninger og fejlfinding;
- gennem BambooHR HRIS-platformen eller et andet system valgt af Kunden;
- gennem rekrutteringsprocesser;
- fra offentlige kilder, hvor lovligt anvendes; og
- fra andre lovlige kilder, godkendt af Kunden.
Grouper Behandler Personoplysninger kun til angivne og lovlige formål. Disse kan omfatte:
- implementering og konfiguration af BambooHR HRIS-platformen;
- hosting eller tilskyndelse til hosting af Kunde-personoplysninger;
- administration af konti og brugerrettigheder;
- opretholdelse og sikring af tjenesten;
- levering af kundesupport og teknisk support;
- support af integrationer og migreringer;
- levering af træning og professionelle tjenester;
- håndtering af abonnementer og kunderelationer;
- opsporing og undersøgelse af sikkerhedsbegivenheder;
- opretholdelse af revisionsposter;
- forebyggelse af bedrageri eller misbrug;
- overholdelse af juridiske forpligtelser; og
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
Når supportpersonalet får adgang til Kunde-personoplysninger, skal adgangen være begrænset til de minimumsoplysninger, der med rimelighed er nødvendige for supportformålet og skal udføres af autoriseret personale underlagt fortrolighed og adgangskontrol.
Hvor Grouper optræder som Behandler, kan den gældende retlige basis omfatte:
10.1 Kontrakt
Behandling nødvendig for at indgå eller opfylde en kontrakt, eller for at træffe skridt før indgåelse af en kontrakt på anmodning af den enkelte.
10.2 Berettigede interesser
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- levering af service;
- kundeadministration;
- informationssikkerhed;
- bedrageri-frembyggelse;
- forretningskontinuitet;
- kundesupport; og
- relationship management.
10.3 Retlig forpligtelse
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 Samtykke
Hvor det er passende, kan behandling baseres på samtykke. Samtykke kan trækkes tilbage til enhver tid uden at påvirke lovligheden af behandlingen, der blev udført før tilbagetrækningen.
Hvor Kunden fungerer som Behandler, er Kunden ansvarlig for:
- at fastlægge formålene for hvilke Personoplysninger behandles;
- etablering af lovlige baser og særlige kategorier;
- at give nødvendige privatlivsmeddelelser;
- at indhente samtykke, hvor det kræves;
- at sikre nøjagtighed og kvalitet af data;
- at fastlægge passende opbevaringsperioder;
- at styre autoriserede brugere og tilladelser;
- at bruge tjenesterene sikkert; og
- at sikre at instruktionerne til Grouper er lovlige.
Kunden må ikke instruere Grouper til at behandle personoplysninger på en måde, der overtræder gældende databeskyttelseslovgivning.
Grouper vil underrette Kunden, hvis det i dets rimelige skøn vurderer, at en instruktion overtræder gældende databeskyttelseslovgivning, og kan suspendere den berørte behandling, indtil spørgsmålet er løst.
Grouper begrænser adgangen til Kunde-personoplysninger til autoriserede personer, der rimeligt har brug for adgang til deres pligter. Personalet er underlagt passende fortrolighedsforpligtelser og modtager privatlivs- og sikkerhedstræning, der passer til deres rolle. Adgangen styres af principperne om mindste privilegium og behov-til-kendelse.
Adgangskontroller inkluderer:
- identitets- og autentificeringskontroller;
- rollebaserede og privilegerede adgangskontroller;
- administrative kontoindstillinger;
- kontoens livscyklusstyring;
- adgangslogning og overvågning;
- periodisk adgangsgennemgang;
- fortrolighed og acceptable-use-krav; og
- passende personalesikkerhed og uddannelse.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
Foranstaltninger omfatter:
- fysiske og logiske adgangsbegrænsninger;
- stærk autentificering og passende adgangskodekontroller;
- kryptering under overføring og i hvile, hvor det er relevant;
- pseudonymisering hvor det er relevant;
- netværks-firewalls, perimeter-sikkerhed og indtrængningsdetektion;
- logning, overvågning og revisionsspor;
- risikostyring og sikkerhedstestning;
- begrænset administrativ adgang;
- sikker overførsel, herunder beskyttede overførselskanaler;
- backup, redundans, genopretning og modstandsdygtighed;
- virksomhedskritisk kontinuitet og katastrofeberedskabsplanlægning;
- sikker udvikling og ændringshåndtering;
- dataadskillelse mellem kunder og behandlingsformål;
- retningslinjer for hændelsesrespons;
- personale-sikkerhedsbevidsthed og uddannelse; og
- underleverandørens due diligence og sikkerhedsstyring.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
I det omfang Grouper fungerer som Behandler og bliver opmærksom på et faktisk eller mistanke om Persondatabram, der påvirker Kundeoplysninger, vil Grouper underrette den relevante Kunde så hurtigt som rimeligt muligt og under alle omstændigheder inden for 48 timer efter at være blevet opmærksom på hændelsen.
I det omfang det er rimeligt tilgængeligt, vil underretningen indeholde:
- hændelsens karakter;
- kategorier af berørte Persondata;
- omtrentlige kategorier og antal af dataregistre og registreringer;
- forventede konsekvenser;
- foranstaltninger taget eller foreslået;
- afbødende handlinger; og
- en kontaktperson til yderligere oplysninger.
Oplysninger kan leveres i faser, efterhånden som de bliver tilgængelige.
Grouper vil yde rimelig samarbejde for at gøre det muligt for Kunden at opfylde gældende forordninger og underrette Data Subject i henhold til relevant lovgivning.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper kan udpege omhyggeligt udvalgte Underleverandører og tjenesteudbydere, hvor det er nødvendigt for at levere, hoste, sikre, supportere, overvåge eller forbedre tjenesterne.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
Hvor de gældende kundevilkår giver generel skriftlig bemyndigelse, vil kunderne få forudgående varsel om væsentlige nye Underleverandører og mulighed for at gøre indsigelse af rimelige databeskyttelsesgrunde.
For BambooHR underleverandører giver den nuværende BambooHR DPA mindst 30 dages forhåndsvarsel om en ny underleverandør, der vil behandle Kundepersonoplysninger.
Bilag 4 giver gennemsigtighed omkring nøgleleverandørkategorier og navngivne udbydere identificeret i de styrende service-materialer.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
BambooHR’s Behandling er styret af gældende kontraktlige og databeskyttelsesmæssige vilkår, herunder DPA, sikkerhedsforanstaltninger, underleverandørordninger og internationale overførselsforanstaltninger.
Grouper forbliver ansvarlig for sine forpligtelser i henhold til gældende databeskyttelseslovgivning og den gældende kundeaftale. Når BambooHR Behandler personoplysninger til støtte for Grouper’s europæiske kundemiljø, gælder de gældende kontraktlige, sikkerheds- og data-residenskrav.
For Grouper’s kontraherede europæiske service er Kundepersonoplysninger designet til at blive opbevaret i EØS, med primær hosting i Irland via Amazon Web Services (AWS). Autoriseret Behandling eller fjernadgang uden for EØS kan udgøre en Begrænset Overførsel, selv om dataene forbliver gemt i Irland. Sådan adgang er kun tilladt, hvor den er lovlig, nødvendig og beskyttet af passende foranstaltninger.
Eksempler på særlige scenarier inkluderer:
- en nødsituation, der påvirker det irske datacentermiljø eller servicekontinuitet;
- en support- eller vedligeholdelsesanmodning, der kræver autoriseret specialistadgang uden for EØS, underlagt kundens gældende godkendelse eller kontraktlige autorisation; og
- en verificeret kundeanmodning om at flytte eller behandle data uden for den kontraherede europæiske hosting-region.
Hvor der forekommer en Begrænset Overførsel, vil Grouper og/eller den relevante teknologipleverandør bruge en juridisk anerkendt mekanisme som:
- et hensigtsmæssighedsbeslutning;
- Europakommissionens standardkontraktlige klausuler;
- UK International Data Transfer Addendum, hvor det er relevant;
- deltagelse i EU-US Data Privacy Framework, hvor det er juridisk tilgængeligt og gældende;
- -bindende virksomhedsregler, hvor det er relevant; eller
- anden gyldig sikring anerkendt under gældende databeskyttelseslovgivning.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
Intet i sådanne undtagelsesadgangsaftaler ændrer Grouper’s forpligtelse til, at Kundepersonoplysninger for den europæiske tjeneste opbevares inden for EØS.
Hvor EU-standardaftaleklausuler er krævet, indgås de i deres officielt godkendte form uden ændring af påkrævet ordlyd. For overførsler Controller-to-Processor vil Modul to normalt anvendes, medmindre en anden modul er påkrævet af parternes roller.
Hvor Irland er valgt som gældende EU-regulerende lovgivning og forum, accepterer parterne Irlands domstole som fastsat i den gældende SCC-vedlæg.
For overførsler underlagt UK Data Protection Law vil EU SCC'er anvendes sammen med den til enhver tid gældende UK International Data Transfer Addendum eller en anden juridisk anerkendt britisk overførselsmekanisme.
Supplementary measures may include:
- kryptering;
- adgangsbegrænsninger;
- nøglestyringskontroller;
- minimering;
- logning;
- kontraksmæssige begrænsninger for videreoverførsel;
- regeringsanmodningsgennemgangsprocedurer;
- gennemsigtighedsforanstaltninger; og
- Suspension eller opsigelse af overførsler, hvor et tilstrækkeligt beskyttelsesniveau ikke kan sikres.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
Ulovlige eller urimeligt omfattende anmodninger vil blive udfordret, hvis der er rimelige grunde og en lovlig basis til det.
Videregivelse vil være begrænset til det, der lovligt kræves.
Kunden vil underrettes, hvor det er lovligt tilladt. Hvor underretning er forbudt, vil rimelige bestræbelser blive gjort for at få tilladelse til at give underretning, hvor det er passende.
Optagelser af anmodningen og svaret vil blive opretholdt som krævet ved lov og den gældende overførselsmekanisme.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- adgang;
- rettelse;
- sletning;
- indsnævring af behandling;
- dataportabilitet;
- indsigelse;
- tilbagetrækning af samtykke;
- rettigheder vedrørende automatiseret beslutningstagning og profilering; og
- the right to complain to a competent supervisory authority.
Hvor Grouper fungerer som Behandler, bør anmodninger vedrørende Kundeoplysninger normalt rettes til den relevante Kunde som controller. Hvis Grouper modtager en sådan anmodning direkte, vil Grouper, medmindre det er juridisk forbudt, henvise eller underrette anmodningen til Kunden og vil ikke give væsentlige svar uden dokumenterede Kundeinstruktioner eller hvor lov pålægger det. Grouper vil yde rimelig hjælp for at gøre Kunden i stand til at opfylde sine forpligtelser.
Under hensyntagen til behandlingsnaturens og de oplysninger, der er tilgængelige for Grouper, vil Grouper yde rimelig bistand til Databeskyttelsesrisikovurderinger og, hvor påkrævet, forudgående konsultation med et kompetent tilsynsorgan.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- sikkerhedsdokumentation;
- politikker;
- overholdelsesinformation;
- revisionsoplysninger;
- uafhængige assurancesrapporter;
- relevante certificeringer; og
- besvarelser på rimelige sikkerhedsspørgeskemaer.
Hvor juridisk eller kontraktligt krævet og rimelige dokumentære beviser ikke er tilstrækkelige, kan Kunder udøve gældende auditrettigheder med rimelig forudgående varsel, under fortrolighed, sikkerhed, ikke-indblanding og beskyttelse af andre kunders oplysninger. Medmindre det kræves på grund af en Sikkerhedshændelse, regulatoriske krav eller rimelige beviser for material non-compliance, bør formelle audit normalt være begrænset til en gang i hvert tolv-måneders periode. Kunder bærer generelt deres egne auditomkostninger, medmindre lov eller kontrakt bestemmer andet.
Grouper bevarer personlige data kun så længe det er rimeligt nødvendigt for det relevante formål eller som påkrævet ved lov.
Hvor Grouper fungerer som Behandler, fastsættes bevaringen primært af:
- dokumenterede Kundeinstruktioner;
- den gældende kundeaftale;
- varigheden af tjenesterne;
- støttebehov;
- juridiske forpligtelser; og
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
Kunder er ansvarlige for at opretholde korrekte Kundeoplysninger. Hvor Grouper eller en behandler bliver opmærksom på, at data er unøjagtige eller forældede i omstændigheder, der kræver handling, vil Grouper samarbejde med Kunden for at rette eller slette data i overensstemmelse med dokumenterede instruktioner og gældende databeskyttelseslovgivning.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
Visse BambooHR funktioner kan bruge kunstig intelligens eller maskinlæring. AI-funktionalitet er valgfri, hvor det er identificeret således, og kan være underlagt separate BambooHR AI-vilkår.
Nuværende BambooHR AI-tjeneste-materialer identificerer tredjeparts AI-leverandører herunder OpenAI, Cohere og Anthropic/Claude, og aktuelle underleverandør-materialer kan identificere yderligere AI eller dokumentbehandlingsudbydere (såsom LlamaIndex) afhængigt af funktion konfiguration.
Customers remain responsible for:
- vurdering af, om brug af AI er passende for deres organisation;
- etablering af et lovligt grundlag;
- at give nødvendig gennemsigtighed over for data subjects;
- at indhente samtykke, hvor det kræves;
- implementering af tilstrækkelig menneskelig tilsyn;
- evaluering af bias og retfærdighedsrisici; og
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
Hvor BambooHR bruger Kunde-data, input eller output til finjustering eller træning af en kunde-specifik model, angiver de gældende BambooHR AI-vilkår, at sådan brug er til at levere AI-funktionerne til den kunde, og at den resulterende kunde-trænede model ikke bruges til at levere tjenester til andre kunder.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
Programmatisk adgang bør bruge understøttede autentificeringsmetoder og må ikke udsætte Kunde-data eller legitimationsoplysninger for uautoriserede parter.
Integrationer må ikke bruge Kunde-data ud over det dokumenterede og autoriserede formål.
Hvor en integrationsudbyder behandler Persondata på vegne af Kunden eller Grouper, skal passende behandler- eller under-behandlerbetingelser og overførselsforanstaltninger gælde.
Hvor Grouper fungerer som Controller i relation til sine egne forretningsaktiviteter, kan vi behandle forretningskontaktoplysninger relateret til:
- potentielle kunder;
- kunde kontakter;
- leverandører;
- partnere;
- faglige rådgivere;
- begivenhedsdeltagere;
- webstedets besøgende; og
- personer, der kontakter Grouper.
Oplysninger kan omfatte navn, organisation, rolle, forretningskontaktoplysninger, kommunikation, forespørgselsoplysninger, IP-adresse, browser- og enhedsoplysninger, besøgte sider og lignende tekniske data.
Vi behandler sådanne oplysninger for at besvare forespørgsler, administrere relationer, levere ønskede tjenester, opretholde sikkerhed, opfylde kontrakter, overholde lovgivning og, hvor tilladt, sende relevante forretningskommunikationer. Modtagere kan fravælge direkte markedsføring når som helst. Drifts-, kontraktlige, sikkerheds- og kundeservicekommunikationer er ikke markedsføring.
Websteder kan bruge essentielle, funktionelle og analytics-cookies samt lignende teknologier. Hvor det er lovligt påkrævet, vil ikke-essentielle cookies blive brugt først efter passende samtykke, og brugere får mulighed for at styre præferencer.
Grouper seeks to embed privacy into service design and operations. This includes:
- Europæiske data-opholdsvalg;
- dataminimering;
- mindst privilegeret adgang;
- passende godkendelse;
- kryptering;
- adgangslogning;
- rollebaserede tilladelser;
- sikker transmission;
- Underleverandørkontroller;
- bevaringskontroller;
- hændelsesrespons-processer;
- sikkerheds- og bevidsthedstræning;
- sikkerhedstestning;
- DPIA-support; og
- dokumenteret ansvarlighed.
Grouper vil føre registreringer og styringsforanstaltninger passende til sin rolle og vil samarbejde i god tro med Kunden, Data Subjects og kompetente tilsynsmyndigheder.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
Hvor Grouper behandler Kundeoplysninger som Behandler, reguleres den kontraktlige Behandlingsrelation af Del B og den gældende kundeaftale. I tilfælde af inkonsistens vedrørende Kundeoplysninger, gælder følgende præsentordrelation: påkrævet gældende databeskyttelseslovgivning; gældende SCC'er, UK Addendum eller anden påkrævet overførselsmekanisme; databehandlingsaftalen; gældende databeskyttelsesbestemmelser i aftalen; og resten af aftalen.
Grouper’s European BambooHR-tilbud er bygget omkring tre principper:
Europaopbevaring.
Kundeoplysninger er hosted og gemt i EØS med primær hosting i Irland via Amazon Web Services (AWS).
Europæiske privatlivsstandarder.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
Europæisk service og support.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
Vores mål er at gøre organisationer i stand til at bruge BambooHR under opretholdelse af privatlivets fred, styring og data-opholdskrav forventet af europæiske kunder.
Spørgsmål vedrørende denne Privatlivspolitik, Grouper’s Behandlingsaktiviteter, Datatilsynets rettigheder, sikkerhed eller vores europæiske data-residency-arrangementer kan indsendes gennem Grouper’s udpegede privatlivs- eller kundesupportkanaler.
Grouper Technology Limited kan også kontaktes på 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.
Hvor de berørte personoplysninger er indeholdt i en arbejdsgivers BambooHR-konto, bør enkeltpersoner normalt kontakte den arbejdsgiver først, da den organisation normalt vil være den ansvarlige for at bestemme, hvordan oplysningerne bruges.
Denne Data Processing Agreement (“DPA”) udgør en del af aftalen, bestillingsformen, arbejdserklæringen eller anden kontrakt, der regulerer levering af Grouper’s BambooHR-relaterede tjenester mellem Kunden og Grouper Technology Limited.
Ved levering af Tjenesterne kan Grouper Behandle Kundepersonoplysninger på vegne af Kunden. Denne DPA fastlægger Parternes respektive forpligtelser ved den Behandling.
Denne DPA gælder i det omfang Grouper Behandler Kundeoplysninger på vegne af Kunden og sådan Behandling er underlagt gældende databeskyttelseslovgivning. Den supplerer og danner en del af aftalen; kapitaliserede betegnelser ikke defineret her har den betydning, der gives i aftalen.
For denne DPA:
Kundeoplysninger
Personoplysninger kontrolleret af en kunde eller Kunde-selskab og behandlet af Grouper i forbindelse med tjenesterne.
Begrænset Overførsel
En overførsel af Persondata, der kræver en lovlig overførselsmekanisme i henhold til gældende databeskyttelseslovgivning.
Standardkontraktlige Clauses (SCC'er)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
En tredjepart udpeget af eller på vegne af Grouper til at behandle Kundeoplysninger.
Teknologileverandør
BambooHR LLC og, hvor det er relevant, tilknyttede BambooHR enheder, der leverer den underliggende HR-teknologiplatform.
Medmindre andet er skriftligt aftalt, fungerer Kunden som Controller og Grouper som Behandler. Hvor Kunden fungerer som Behandler for en anden Controller, fungerer Grouper som Under-behandler i det omfang, det er relevant.
Grouper vil Behandle Kundeoplysninger kun på dokumenterede Kundeinstruktioner og kun i det nødvendige for at levere, vedligeholde, sikre og supportere tjenesterne, medmindre det kræves at Behandle dataene i henhold til gældende lovgivning.
Grouper vil straks underrette Kunden, hvis det efter dets rimelige opfattelse er en instruktion, der overtræder gældende databeskyttelseslovgivning, og kan suspendere den påvirkede Behandling, indtil der er afklaret.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper vil sikre, at autoriserede personer er underlagt passende fortrolighedsforpligtelser, få adgang til Kundeoplysninger kun hvor det er rimeligt nødvendigt, modtage passende privatlivs- og sikkerhedstræning og Behandle Kundeoplysninger kun i overensstemmelse med denne DPA og dokumenterede Kundeinstruktioner. Adgang vil være begrænset i henhold til mindst-privilegie og need-to-know-principper.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
De mindste kontrolområder beskrives i Bilag 2. Grouper kan opdatere disse foranstaltninger, forudsat at ændringer ikke materielt mindsker det overordnede beskyttelsesniveau for Kundeoplysninger.
Grouper vil underrette Kunden så hurtigt som rimeligt muligt og, hvor 48-timers kontraktligt krav gælder, i intet tilfælde senere end 48 timer efter at have fået kendskab til en faktisk eller formodet Sikkerhedshændelse påvirker Kundeoplysninger.
Oplysninger kan leveres i faser, efterhånden som de bliver tilgængelige. Grouper vil yde rimeligt nødvendigt samarbejde for at Kunden kan overholde underretningsforpligtelser over for tilsynsmyndighederne og berørte Data Subjects.
Kunden giver Grouper generel skriftlig autorisation til at engagere Underleverandører, der er nødvendige for at levere tjenesterne.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
Når den underliggende BambooHR DPA gælder, giver BambooHR i øjeblikket mindst 30 dages forudgående skriftlig varsel om en ny underleverandør, der vil Behandle Kundepersonoplysninger.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Hvis Grouper modtager en anmodning direkte vedrørende Kundeoplysninger, vil Grouper straks henvise eller underrette Kunden og vil ikke svare indholdsmæssigt uden dokumenterede instruktioner eller hvor lov kræver det.
Grouper vil give rimelig bistand, under hensyntagen til behandlingsnatur og tilgængelige oplysninger, med Databeskyttelsesrisikovurderinger, forudgående konsultation med tilsynsmyndigheder og rimelige forespørgsler eller undersøgelser af et kompetent tilsynsorgan relateret til tjenesterne.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
I det omfang det er tilladt ved lov, vil Grouper gennemgå juridisk bindende anmodninger fra offentlige myndigheder om Kundeoplysninger, udfordre ulovlige eller urimeligt omfattende anmodninger hvor der er rimelige grunde, bestræbe sig på at begrænse videregivelse til det minimum, der er lovligt påkrævet, underrette Kunden hvor det er tilladt og føre passende optegnelser.
Efter Kundens anmodning, eller ved afslutning eller udløb af Tjenesterne, vil Grouper efter Kundens valg og under forudsætning af teknisk gennemførlighed og Aftalen returnere eller sikkert slette Kundepersonoplysninger og kræve relevante Underbehandlere at gøre det samme. Hvor loven kræver opbevaring, vil Grouper isolere og beskytte de bevarede data og Behandle dem kun, som det er juridisk påkrævet.
Kunden garanterer, at den har rettigheder, tilladelser, meddelelser, lovlige baser og samtykker nødvendig for at levere Kundeoplysninger til Behandling; at dens instruktioner overholder gældende databeskyttelseslovgivning; at den ikke instruerer ulovlig Behandling; og at den konfigurerer og bruger tjenesterne sikkert og opretholder passende kontroller over brugerkonti, legitimationsoplysninger og integrationer.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
Denne DPA træder i kraft, når Kunden bliver bundet af den og fortsætter, så længe Grouper Behandler Kundeoplysninger på vegne af Kunden. Forpligtelser, der af deres natur eller i henhold til lovgivningen skal fortsætte, mens data opbevares, overlever udløb eller ophør.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
I tilfælde af inkonsistens vedrørende Kundeoplysninger gælder følgende præcedens: påkrævet gældende databeskyttelseslovgivning; gældende SCC'er, UK Addendum eller anden påkrævet overførselsmekanisme; denne DPA; gældende databeskyttelsesbestemmelser i aftalen; og resten af aftalen.
Dataansvarlig / dataeksportør
The Customer identified in the applicable Agreement or Order Form.
Databehandler / dataimportør
Grouper Technology Limited, 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Irland.
Teknologileverandør
BambooHR LLC og relevante BambooHR enheder, der leverer den underliggende HRIS-platform.
Genstand
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
Behandlingsnatur
Indsamling, modtagelse, registrering, organisering, strukturing, migration, hosting, opbevaring, hentning, konsultation, brug, transmission, tilgængeliggørelse, begrænsning, supportadgang, sletning og anden Behandling rimeligt nødvendig for at levere tjenesterne.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
I løbet af tjenesternes varighed og i enhver efterfølgende periode, der er nødvendig for at returnere eller slette Kundeoplysninger eller overholde lovgivningen.
Registrerede personer
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
Personoplysninger
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
Følsomme data
Når Kunden vælger det, kan det omfatte sundhedsoplysninger og handicapoplysninger samt anden særlig eller følsom data, der tillades af Tjenesterne.
Primær Europæisk Opbevaring
Irland / EØS via Amazon Web Services (AWS) for kunder, der køber europæisk dataopholdservice.
Kompetent tilsynsmyndighed
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper opretholder tekniske og organisatoriske foranstaltninger på tværs af følgende mindste kontrolområder:
1. Informationssikkerhedsstyring
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. PersonaleSikkerhed
Fortrolighedsforpligtelser, rolle-tilpasset screening hvor lovligt, sikkerhedsbevidsthed og privatlivstræning samt disciplinære foranstaltninger for uautoriseret adgang.
3. Fysisk Sikkerhed
Begrænset adgang til relevante faciliteter og infrastruktur; kontrollerede adgangsveje; adgangstilladelser; fysisk overvågning og andre sikkerhedsforanstaltninger passende til hosting-miljøet.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. Dataadgangskontrol
Kontroller designet til, at autoriserede brugere kun kan få adgang til data inden for deres tilladelser; logning og overvågning af adgang; frigivelse af data kun til autoriserede personer.
6. Kryptering og pseudonymisering
Passende kryptering af Persondata i transit og i hvile; pseudonymisering hvor det er relevant for behandlingsformålet.
7. Netværk og transmissionssikkerhed
Firewalls, beskyttede gateway'er, sikre kommunikationskanaler, TLS/SFTP eller tilsvarende beskyttede overførselsmekanismer samt kontroller mod uautoriseret aflytning eller ændring.
8. Logging og overvågning
Logging af relevante system-, administrativ- og adgangsaktiviteter; overvågning for mistænkelige begivenheder; behørig opbevaring af revisionsoplysninger i forhold til risiko.
9. Inddata- og ændringskontrol
Kontroller til at identificere hvem der har indtastet, ændret eller slettet data; autentificering af autoriserede brugere og systemer; dokumenterede ændringsstyringspraksisser.
10. Sårbarheds- og sikkerhedstestning
Processer til at identificere, vurdere og afhjælpe sårbarheder; periodisk penetrationstest eller sikkerhedstestning; regelmæssig vurdering og evaluering af kontrolelementers effektivitet.
11. Tilgængelighed, backup og genskabelse
Infrastrukturens redundans, back-up, mulighed for genskabelse, tilgængelighedskontroller og beskyttelse mod utilsigtet tab eller ødelæggelse.
12. Forretningskontinuitet og katastrofegendannelse
Dokumenterede kontinuitets- og genoprettelsesplaner designet til at genskabe tilgængelighed og adgang rettidigt efter en forstyrrelse eller sikkerhedshændelse.
13. Datadeling
Logisk eller applikationsniveau adskillelse mellem kunder og mellem behandlingsformål; kontroller designet til at forhindre uautoriseret kryds-kundeadgang.
14. Sikker udvikling
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
Due diligence, skriftlige dataprotektionsforpligtelser, sikkerhedsgennemgang, overførselsbeskyttelser og løbende tilsyn passende for behandlingen.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
EU-begrænsede overførsler
Hvor EU SCC'er kræves, indarbejdes de officielle SCC'er fra Den Europæiske Kommission ved reference uden ændringer i den lovpligtige ordlyd. Med mindre roller kræver det andet, er Kunden Data Exporter, Grouper og/eller den gældende Teknologipartner er Data Importer, og Modul to gælder for Kontrol-til-Processor-overførsler.
UK-begrænsede overførsler
For overførsler underlagt UK Data Protection Law vil EU SCC'er anvendes sammen med den til enhver tid gældende UK International Data Transfer Addendum eller en anden juridisk anerkendt britisk overførselsmekanisme.
Schweiziske overførsler
For overførsler under schweizisk dataprotlovgivning fortolkes og tilpasses SCC'erne som påkrævet i henhold til gældende schweizisk lovgivning, herunder passende henvisninger til den schweiziske tilsynsførende myndighed og schweiziske dataregistre.
EU-US Databeskyttelsesrammen
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
Ekstrem adgangsscenarier for europæiske kunder
Autoriseret ekstraordinær ikke-EEA-adgang kan kun forekomme i følgende omstændigheder:
- en nødsituation, der påvirker det irske datacentermiljø eller servicekontinuitet;
- en suppor t- eller vedligeholdelsesforespørgsel, der kræver autoriseret specialistadgang uden for EEA, underlagt gældende kundegodkendelse eller kontraktmæssig autorisation; og
- en verificeret kundes anmodning om behandling eller hosting uden for den europæiske region.
De nøjagtige leverandører varierer efter produkt, funktion, supportvej og kundekonfiguration. Den aktuelle live underudbydernes registrering vedligeholdt af Grouper og/eller BambooHR styrer aktiv servicelevering.
Følgende nøgleudbydere er identificeret i de styrende service-materialer. En leverandør, der er opført her, behandler ikke nødvendigvis Kundens Personoplysninger for hver Kunde eller hver implementering.
BambooHR LLC
Teknologileverandør; HRIS-vedligehold, hosting og support. Placering: USA / serviceområder inklusive Europa.
Amazon Web Services (AWS)
Primær cloud-hosting-infrastruktur; Europæisk regional hosting i Irland. Placering: Irland / Europa og andre regioner afhængig af servicekonfiguration.
Anthropic / Claude
AI / sprogmodelbehandling. Placering: Forenede Stater.
Cohere
Sprogmodel-API / AI-behandling. Placering: Forenede Stater.
OpenAI
Sprogmodel-API / AI-behandling. Placering: Forenede Stater.
LlamaIndex / LlamaParse
Valgfri dokumentparse forbundet med AI-funktionalitet. Placering: Forenede Stater.
Atlas MongoDB
Databaseslagring til understøttelse af udvalgte tjenester / AI-relateret funktionalitet. Placering: Forenede Stater.
Gainsight
Kunde relationer / CRM-tjenester.
Salesforce
CRM-platform.
Cloudflare
Webapplikations firewall / sikkerhed.
Datadog
Infrastruktur og applikationsovervågning.
Microsoft / Google Workspace
Samarbejde, kommunikation og dokumentlagring afhængigt af aktuelle konfiguration.
Mailgun
Anvendelseskommunikationer.
Snowflake
Dataværktøjsanalyse.
Twilio
MFA / SMS-levering.
Yderligere Leverandører
Yderligere udbydere identificeret i aktuelle service-materialer kan inkludere Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike og andre. Kunder bør henvise til den levende BambooHR underleverandørliste og Grouper’s aktuelle oplysninger om underbehandlere for de mest aktuelle detaljer.
1. Omfang
Denne tidsplan gælder, hvor Kunden aktiverer eller bruger BambooHR kunstig-intelligens eller maskinlæringsfunktionalitet i forbindelse med Grouper-understøttede tjenesters.
2. AI-leverandører
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. Input og Output
Kundeindsendte prompts, instruktioner eller data til AI-funktionalitet kan udgøre “Inputs” og genererede svar kan udgøre “Outputs”. Afhængig af funktionen kan Inputs eller Outputs inkludere Kundeoplysninger. Outputs kan ikke være unikke og kan være lig Outputs produceret for andre brugere.
4. Kundeansvar og menneskelig tilsyn
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. Følsomme og regulerede data begrænsninger
Hvor forbudt af gældende AI-vilkår, må Kunden ikke indtaste følsomme eller regulerede oplysninger i AI-funktioner, herunder helbreds-, genetiske eller biometriske oplysninger, myndighedsudstedte identifikationsnumre eller personlige finansielle oplysninger eller bankkontoinformation. Kunder bør minimere personoplysninger i prompts.
6. Nøjagtighed, bias og retfærdighed
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
Hvor gældende BambooHR AI-vilkår tillader brug af Ydelsesdata og Feedback til forbedring af AI-funktionalitet, er sådan brug underlagt disse vilkår. Hvor Kundedata bruges til at finjustere en kunde-specifik model, bruges den resulterende model til at levere AI-funktioner til den pågældende Kunde og bruges ikke til at levere tjenester til andre kunder.
8. International behandling
AI-udbydere kan Behandle autoriserede Inputs eller relaterede Personoplysninger uden for EØS. Sådanne Behandling er underlagt overførselsbeskyttelse i denne DPA og ændrer ikke placeringen af Kundens kontraherede kerne HRIS-lagringsregion. Kunder bør vurdere, om valgfri AI-brug er i overensstemmelse med deres egne bopæls-, arbejdsmønt, ansættelsesret og risikokrav, før det aktiveres.
Spørgsmål om denne privatlivspolitik eller dine datarettigheder?
Kontakt os
