Legal
Datenschutzerklärung | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
Stand: 16. August 2026
Grouper verpflichtet sich zum Schutz personenbezogener Daten und zur Einhaltung hoher Standards in Datenschutz, Sicherheit und regulatorischer Compliance. Datenschutz wird als zentrale betriebliche und vertragliche Verantwortung behandelt, nicht als nachträglicher Gedanke. Wir gestalten unseren Service, Zugriffskontrollen, Supportprozesse und Anbietergovernance so, dass sie die Rechenschaftspflicht, Integrität, Vertraulichkeit und Transparenzprinzipien des GDPR widerspiegeln.
Diese Datenschutzerklärung erläutert, wie Grouper Technology Limited ("Grouper", "wir" oder "unser") personenbezogene Daten im Zusammenhang mit den von uns bereitgestellten Diensten verarbeitet, einschließlich unserer Rolle als europäischer Partner von BambooHR.
Grouper unterstützt Organisationen in Irland, dem Vereinigten Königreich, Europa und anderen Regionen bei der Implementierung, Verwaltung und Nutzung der BambooHR HRIS-Plattform und verwandter HR-Technologien.
Unser europäisches Servicemodell basiert auf dem klaren Prinzip der europäischen Datenresidenz. Kundendaten, die über den europäischen BambooHR Dienst von Grouper verarbeitet werden, werden innerhalb des Europäischen Wirtschaftsraums (EWR) gehostet und gespeichert, primäres Hosting in Irland.
Diese Datenschutzerklärung gilt für personenbezogene Daten, die im Zusammenhang mit Folgendem verarbeitet werden:
- BambooHR-Implementierung und Onboarding;
- HRIS-Konfiguration;
- Kontoverwaltung;
- Kundensupport;
- technischer Support;
- Integrationssupport;
- Datenmigration;
- Kundenerfolg;
- Schulung;
- Dienstleistungen von Fachleuten;
- Sicherheit und Serviceverwaltung;
- Kundendurchsagen;
- Verkaufs- und Vorführungen;
- Grouper-Websites und digitale Dienstleistungen; und
- unsere allgemeinen Geschäftstätigkeiten.
Grouper Technology Limited ist eine irische Gesellschaft mit Sitz in der 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Irland.
BambooHR bietet das zugrunde liegende HR-Informationssystem und zugehörige Produktfunktionen. Grouper bietet europäische Implementierung, Migration, Konfiguration, Schulung, Kundenerfolg, Support, Service-Management und zugehörige professionelle Dienstleistungen. Je nach Abonnement und Konfiguration des Kunden kann die BambooHR HRIS-Plattform Funktionen zu Mitarbeiterdaten, Onboarding, Rekrutierung, Zeit- und Anwesenheitsmanagement, Urlaubsverwaltung, Leistung, Vergütung, Benefits, lohnbezogene Funktionen, Berichterstattung, Analytik, Integrationen, APIs und KI-Funktionen unterstützen.
Abhängig von den vom Kunden erworbenen Services kann Grouper Folgendes bereitstellen:
- BambooHR Implementierung;
- onboarding;
- Konfiguration;
- Kontoeinrichtung;
- Migrationsunterstützung;
- Integrationsdienste;
- technischer Support;
- HRIS-Unterstützung;
- Schulung;
- Kundenerfolg-Dienstleistungen;
- Service-Verwaltung;
- Fehlerbehebung; und
- dazugehörige professionelle Dienstleistungen.
Die genaue Datenschutzrolle von Grouper hängt von der jeweiligen Verarbeitungstätigkeit ab.
Wenn Grouper die Zwecke und Mittel der Verarbeitung festlegt — zum Beispiel in bestimmten Website-, Vertriebs-, Geschäfts-Kontakt-, Sicherheits- oder Unternehmensverwaltungsaktivitäten — agiert Grouper als Verantwortlicher.
Wenn Grouper Kundendaten ausschließlich im Auftrag eines Kunden und gemäß dessen dokumentierten Anweisungen verarbeitet, agiert Grouper als Auftragsverarbeiter.
Wenn der Kunde selbst als Auftragsverarbeiter für eine andere Stelle handelt, kann Grouper im notwendigen Umfang als Sub-Auftragsverarbeiter fungieren.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 Kernverpflichtung zur europäischen Residency
Für Kunden, die den europäischen BambooHR Dienst von Grouper mit EWR-Datenresidenz erwerben, werden Kundendaten, die Teil der Kern-HRIS-Produktionsumgebung bilden, im EWR gehostet und gespeichert, primärer Hosting-Standort Irland.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 Speicherung vs. Zugriff
Die Datenresidenz beschreibt, wo Kundendaten gespeichert werden. Dies bedeutet nicht, dass kein autorisierter Support oder technischer Zugriff aus einem anderen Land möglich ist.
Außergewöhnlicher Zugriff von außerhalb des EWR kann nur erfolgen, wenn dies notwendig, autorisiert und gesetzlich geschützt ist, wie in Abschnitten 17 und 18 dieser Richtlinie beschrieben.
4.3 Backups, Resilienz und Notfallwiederherstellung
Backup-, Resilienz- und Notfallwiederherstellungsvereinbarungen sollen Vertraulichkeit, Integrität und Verfügbarkeit wahren und mit den vertraglich vereinbarten regionalen Hosting-Verpflichtungen im Einklang stehen.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 Keine routinemäßige Verlagerung außerhalb des EWR
Grouper verwendet keinen außergewöhnlichen Supportzugriff als Mechanismus für routinemäßige Verlagerung europäischer Kundendaten.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
"Anwendbares Datenschutzrecht" bedeutet alle Datenschutz-, Privatsphäre- und Datensicherheitsgesetze und -vorschriften, die auf die Verarbeitung anwendbar sind, einschließlich gegebenenfalls:
- Verordnung (EU) 2016/679 — die Allgemeine Datenschutzverordnung (GDPR);
- das irische Datenschutzgesetz 2018;
- geltende irische ePrivacy- und elektronische Kommunikationsregeln;
- das britische GDPR und der UK Data Protection Act 2018, soweit zutreffend;
- geltendes Schweizer Datenschutzrecht, soweit zutreffend;
- geltende nationale Rechtsvorschriften zur Umsetzung europäischer Datenschutzanforderungen; und
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
Die Informationen, die verarbeitet werden, hängen von den vom Kunden gewählten Services und den Daten ab, die der Kunde in die HR-Umgebung einzutragen wählt.
6.1 Employee and Workforce Information
Personenbezogene Daten können einschließen:
- Name und Mitarbeiteridentifikationsnummern;
- Fotos, soweit vorhanden;
- Heimat- oder geschäftliche Kontaktdaten;
- Geburtsdatum, Geschlecht und demografische Informationen, soweit vorhanden;
- Ehestands- oder Familieninformationen, soweit vorhanden;
- Notfallkontakte und Telefonnummern;
- akademische und berufliche Qualifikationen;
- Lebenslauf- oder CV-Informationen, Beschäftigungsgeschichte und Sprachkenntnisse;
- Berufsbezeichnung, Stufe, Abteilung, Standort, Berichtslinien und Teamzugehörigkeit;
- An- und Austrittsdaten, Arbeitszeiten und vertragliche Details;
- Leistungs-, Bewertungs-, Disziplin- und Arbeitsverlauf-Informationen;
- Vorteile, Versicherung, Unternehmensvermögen und Schulungsinformationen; und
- Urlaubs-, Anwesenheits- und Abwesenheitsinformationen.
6.2 Gehalts- und Vergütungsinformationen
Sollen relevante Dienste genutzt werden, können personenbezogene Daten Folgendes umfassen:
- Gehalt, Vergütung und Boni;
- Steuer- und Sozialversicherungsinformationen;
- Bank- und Zahlungsdaten;
- Pensionsinformationen;
- Aktienoptionen und andere Leistungen; und
- sonstige payrollbezogene Informationen.
6.3 Rekrutierung, Kandidaten- und Referenteninformationen
For candidates, prospective employees and referees, information may include:
- Identität und Kontaktdaten;
- CVs, Lebensläufe, Beschäftigungsgeschichte und Qualifikationen;
- Bewerbungs-, Interview- und Rekrutierungsunterlagen;
- Kandidatenkommunikationen und Rekrutierungsstatus;
- vorgeschlagene Vergütungsinformationen;
- Namen, Kontaktdaten und berufliches Verhältnis der Referenzpersonen;
- In Referenzen enthaltene Informationen.
6.4 Besondere Kategorien und sensible Daten
Abhängig von der Nutzung der BambooHR HRIS-Plattform durch den Kunden können die Dienste Gesundheits- oder Behinderungsinformationen sowie andere sensible personenbezogene Daten enthalten.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
Kunden sollten sensible Informationen nicht in Freitextfelder oder KI-Funktionen eingeben, es sei denn, dies ist notwendig, gesetzlich zulässig und durch die relevanten Produktbedingungen erlaubt.
Personenbezogene Daten, die im Zusammenhang mit den Diensten von Grouper verarbeitet werden, können sich auf Folgendes beziehen:
- gegenwärtige, ehemalige, potenzielle und zukünftige Mitarbeitende;
- Kandidaten und Bewerber;
- Dienstleister, Berater, Vertreter und unabhängige Auftragnehmer;
- Agenturen, Zeitarbeitskräfte und Gelegenheitsarbeiter;
- Praktikanten und Freiwillige;
- angestellte Angehörige, Begünstigte und Notfallkontakte;
- Referenzgeber und Referenzanbieter;
- Kundenadministratoren und autorisierte Benutzer; und
- andere Personen, deren personenbezogene Daten ein Kunde rechtmäßig in die Services übermittelt.
Personenbezogene Daten können erlangt werden:
- direkt von der betroffenen Person;
- vom Arbeitgeber der betroffenen Person oder potenziellen Arbeitgeber;
- von Kundenadministratoren und autorisierten Benutzern;
- während Implementierung, Konfiguration und Datenmigration;
- durch autorisierte Integrationen oder APIs;
- durch Supportanfragen und Fehlerbehebung;
- durch die BambooHR HRIS-Plattform oder ein anderes vom Kunden ausgewähltes System;
- durch Rekrutierungsprozesse;
- aus öffentlichen Quellen, soweit rechtmäßig genutzt;
- aus anderen vom Kunden genehmigten rechtmäßigen Quellen.
Grouper verarbeitet personenbezogene Daten nur für festgelegte und rechtmäßige Zwecke. Dazu können gehören:
- Implementierung und Konfiguration der BambooHR HRIS-Plattform;
- Bereitstellung oder Erleichterung der Bereitstellung von Kundendaten;
- Verwaltung von Konten und Benutzerrechten;
- Wartung und Sicherung des Services;
- Bereitstellung von Kunden- und technischer Unterstützung;
- Unterstützung von Integrationen und Migrationen;
- Schulung und professionelle Dienstleistungen bereitstellen;
- Verwaltung von Abonnements und Kundenbeziehungen;
- Erkennung und Untersuchung von Sicherheitsereignissen;
- Führung von Audit-Aufzeichnungen;
- Betrug oder Missbrauch verhindern;
- rechtliche Verpflichtungen erfüllen; und
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
Wenn Support-Personal auf Kundendaten zugreift, muss der Zugriff auf die für den Supportzweck vernünftigerweise notwendige Information beschränkt sein und von autorisierten Personen unter Vertraulichkeits- und Zugriffskontrollen durchgeführt werden.
Wenn Grouper als Controller handelt, können die einschlägigen rechtmäßigen Grundlagen umfassen:
10.1 Vertrag
Verarbeitung, die notwendig ist, um einen Vertrag abzuschließen oder zu erfüllen, oder Schritte vor Abschluss eines Vertrags auf Antrag der betroffenen Person zu unternehmen.
10.2 Berechtigte Interessen
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- Dienstleistungserbringung;
- Kundenverwaltung;
- Informationssicherheit;
- Betrugsprävention;
- Geschäftskontinuität;
- Kundensupport; und
- relationship management.
10.3 Rechtliche Verpflichtung
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 Einwilligung
Wenn zutreffend, kann die Verarbeitung auf der Grundlage der Einwilligung erfolgen. Die Einwilligung kann jederzeit ohne Auswirkungen auf die Rechtmäßigkeit der Verarbeitung vor der Abhebung widerrufen werden.
Wenn der Kunde als Controller handelt, ist der Kunde verantwortlich für:
- Bestimmung der Zwecke, für die personenbezogene Daten verarbeitet werden;
- Ausklarung gesetzlicher Grundlagen und Sonderbedingungen;
- Bereitstellung erforderlicher Datenschutzhinweise;
- Einholung von Einwilligungen, sofern erforderlich;
- Sicherstellung der Richtigkeit und Qualität der Daten;
- Bestimmung geeigneter Aufbewahrungsfristen;
- Verwaltung berechtigter Benutzer und Berechtigungen;
- Sichere Nutzung der Services; und
- Sicherstellung, dass Anweisungen an Grouper rechtskonform sind.
Der Kunde darf Grouper nicht anweisen, personenbezogene Daten in einer Weise zu verarbeiten, die das geltende Datenschutzrecht verletzt.
Grouper wird dem Kunden mitteilen, wenn seiner vernünftigen Einschätzung nach eine Anweisung gegen das geltende Datenschutzrecht verstößt und die betroffene Verarbeitung bis zur Klärung aussetzen kann.
Grouper beschränkt den Zugriff auf personenbezogene Kundendaten auf berechtigte Personen, die aus ihrer Aufgabenstellung heraus Zugriff benötigen. Das Personal unterliegt angemessenen Vertraulichkeitsverpflichtungen und erhält Datenschutz- und SicherheitsTraining, das zu seiner Rolle passt. Der Zugriff richtet sich nach den Prinzipien der geringsten Rechte und des Bekanntheitsgrades des Bedarfs.
Zugriffskontrollen umfassen:
- Identitäts- und Authentifizierungskontrollen;
- rollenbasierte und privilegierte Zugriffskontrollen;
- Verwaltung von administrativen Konten;
- Kontenlebenszyklus-Management;
- Zugriffsprotokolle und -überwachung;
- regelmäßige Zugriffsüberprüfung;
- Vertraulichkeits- und akzeptable-Nutzung-Anforderungen; und
- angemessenes Personal- und Schulungsniveau.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
Maßnahmen umfassen:
- physische und logische Zugriffskontrollen;
- starke Authentifizierung und angemessene Passwortkontrollen;
- Verschlüsselung während der Übertragung und im Ruhezustand, wo angemessen;
- Pseudonymisierung, wo sinnvoll;
- Netzwerk-Firewalls, Perimeter-Sicherheit und Eindringungserkennung;
- Protokollierung, Überwachung und Audit-Trails;
- Schwachstellenmanagement und Sicherheitstests;
- eingeschränkter administrativer Zugriff;
- sichere Übertragung, einschließlich geschützter Übertragungswege;
- Backup, Redundanz, Wiederherstellung und Resilienz;
- Business-Continuity- und Notfallwiederherstellungsplanung;
- sichere Entwicklung und Änderungsverwaltung;
- Daten- separates Verarbeiten von Kunden und Verarbeitungszwecken;
- Vorfallreaktionsverfahren;
- Mitarbeiter-Sicherheitsbewusstsein und Schulung; und
- Due-Diligence der Subprozessoren und Sicherheitsgovernance.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
Wenn Grouper als Auftragsverarbeiter handelt und sich einer tatsächlichen oder vermuteten Verletzung personenbezogener Daten betrifft, wird Grouper dem betreffenden Kunden so schnell wie vernünftigerweise möglich und in jedem Fall innerhalb von 48 Stunden nach Kenntnisnahme des Vorfalls berichten.
Soweit vernünftigerweise verfügbar, enthält die Benachrichtigung:
- die Art des Vorfalls;
- Kategorien betroffener personenbezogener Daten;
- ungefähige Kategorien und Anzahl der betroffenen Personen und Datensätze;
- wahrscheinliche Folgen;
- ergriffene oder vorgeschlagene Maßnahmen;
- Minderungsmaßnahmen; und
- ein Ansprechpartner für weitere Informationen.
Informationen können schrittweise bereitgestellt werden, sobald sie verfügbar sind.
Grouper wird eine angemessene Zusammenarbeit bieten, damit der Kunde geltende regulatorische und Meldungspflichten erfüllen kann.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper kann sorgfältig ausgewählte Subprozessoren und Dienstleister ernennen, wo erforderlich, um die Services bereitzustellen, zu hosten, zu sichern, zu unterstützen, zu überwachen oder zu verbessern.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
Sofern die geltenden Kundenbedingungen eine allgemeine schriftliche Genehmigung vorsehen, erhalten Kunden eine Vorabbenachrichtigung über wesentliche neue Subprozessoren und die Möglichkeit, aus vernünftigen Datenschutzgründen Einspruch zu erheben.
Für BambooHR Teilauftragnehmer gilt, dass die aktuelle BambooHR DPA mindestens 30 Tage Vorabbenachrichtigung über einen neuen Unterauftragsverarbeiter vorsieht, der Kundendaten verarbeitet.
Schedule 4 bietet Transparenz über Schlüsselanbieter-Kategorien und benannte Anbieter in den maßgeblichen Servicematerialien.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
BambooHR's Verarbeitung unterliegt gültigen vertraglichen und datenschutzrechtlichen Bestimmungen, einschließlich seiner DPA, Sicherheitsmaßnahmen, Unterauftragsverarbeitungen und Vorkehrungen für internationale Übermittlungen.
Grouper bleibt verantwortlich für eigene Verpflichtungen gemäß dem geltenden Datenschutzrecht und der entsprechenden Kundenvereinbarung. Wenn BambooHR personenbezogene Daten zum Support der europäischen Kundenumgebung von Grouper verarbeitet, gelten die entsprechenden vertraglichen, Sicherheits- und Datenresidenz-Anforderungen.
Für den vertraglich vereinbarten europäischen Service von Grouper ist Kundendaten so konzipiert, dass sie im EEA gespeichert werden, primäres Hosting in Irland über Amazon Web Services (AWS). Autorisierte Verarbeitung oder Fernzugriffe außerhalb des EEA können eine eingeschränkte Übermittlung darstellen, auch wenn die Daten in Irland verbleiben. Der Zugriff ist nur zulässig, sofern rechtlich zulässig, notwendig und durch geeignete Schutzmaßnahmen geschützt.
Beispiele für außergewöhnliche Szenarien umfassen:
- eine Notlage, die die irische Datenzentrumsumgebung oder Servicekontinuität betrifft;
- eine Support- oder Wartungsanfrage, die autorisierten Fachzugriff von außerhalb des EEA erfordert; vorbehaltlich der geltenden Zustimmung oder vertraglicher Autorisierung des Kunden; und
- eine bestätigte Kundenanfrage zur Verlegung oder anderweitigen Verarbeitung von Daten außerhalb der vertraglich vorgesehenen europäischen Hosting-Region.
Wenn eine eingeschränkte Übermittlung erfolgt, werden Grouper und/oder der relevante Technologieanbieter ein rechtlich anerkanntes Verfahren verwenden, wie zum Beispiel:
- eine Angemessenheitsentscheidung;
- die EU-Standardvertragsklauseln der Europäischen Kommission;
- der UK International Data Transfer Addendum, soweit zutreffend;
- Teilnahme am EU-US Data Privacy Framework, sofern rechtlich verfügbar und anwendbar;
- Bindende Unternehmensregeln, sofern zutreffend; oder
- eine andere gültige Schutzmaßnahme, die gemäß geltendem Datenschutzrecht anerkannt ist.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
Nichts in solchen Ausnahmekonstellationen ändert das Engagement von Grouper dahingehend, dass Kundendaten für den europäischen Service innerhalb des EEA gespeichert werden.
Wenn EU-Standardvertragsklauseln erforderlich sind, werden sie in ihrer offiziell genehmigten Form unverändert übernommen. Für Übermittlungen vom Verantwortlichen zum Auftragsverarbeiter kommt in der Regel Modul Zwei zur Anwendung, sofern nicht von den Rollen der Parteien ein anderes Modul verlangt wird.
Wo Irland als anwendbares EU-Gesetz und Gerichtsstand gewählt ist, einigen sich die Parteien auf die Gerichte Irlands gemäß dem geltenden SCC-Anhang.
Für Übermittlungen, die dem britischen Datenschutzrecht unterliegen, gelten die EU-SCCs zusammen mit dem jeweils geltenden UK International Data Transfer Addendum oder einem anderen gesetzlich anerkannten britischen Übermittlungsmechanismus.
Supplementary measures may include:
- Verschlüsselung;
- Zugriffsrestriktionen;
- Schlüsselverwaltungskontrollen;
- Minimalisierung;
- Protokollierung;
- Vertragliche Beschränkungen bei Weitergabe;
- Regierungsanfragenprüfverfahren;
- Transparenzmaßnahmen; und
- Aussetzung oder Beendigung von Transfers, wenn kein ausreichender Schutz gewährleistet ist.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
Unrechtmäßige oder unverhältnismäßige Anfragen werden angefochten, sofern es vernünftige Gründe und eine rechtliche Grundlage dafür gibt.
Offenlegung wird auf das gesetzlich erforderliche Minimum beschränkt.
Der Kunde wird informiert, sofern rechtlich zulässig. Wo eine Benachrichtigung verboten ist, werden angemessene Anstrengungen unternommen, um gegebenenfalls die Erlaubnis zur Zustellung zu erhalten.
Aufzeichnungen über Anfragen und Antworten werden wie gesetzlich vorgeschrieben und gemäß dem geltenden Übermittlungsmechanismus geführt.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- Zugang;
- Berichtigung;
- Löschung;
- Verarbeitungseinschränkung;
- Datenportabilität;
- Widerspruch;
- Widerruf der Einwilligung;
- Rechte in Bezug auf automatisierte Entscheidungsfindung und Profiling; und
- the right to complain to a competent supervisory authority.
Wenn Grouper als Auftragsverarbeiter handelt, sollten Anfragen zu Kundendaten im Regelfall an den zuständigen Kunden als Verantwortlichen gerichtet werden. Sollte Grouper eine solche Anfrage direkt erhalten, wird Grouper diese, sofern gesetzlich nicht verboten, an den Kunden verweisen oder diesen benachrichtigen und nur auf dokumentierte Kundenanweisungen oder gesetzlich vorgeschriebene Fälle substantiv antworten. Grouper wird dem Kunden angemessene Unterstützung bieten, um seine Verpflichtungen zu erfüllen.
Unter Berücksichtigung der Art der Verarbeitung und der dem Grouper verfügbaren Informationen wird Grouper angemessene Unterstützung bei Datenschutz-Folgenabschätzungen und, falls erforderlich, vorheriger Konsultation mit einer zuständigen Aufsichtsbehörde bereitstellen.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- Sicherheitsdokumentation;
- Richtlinien;
- Compliance-Informationen;
- Audit-Informationen;
- Unabhängige Sicherheitsprüfberichte;
- relevante Zertifizierungen; und
- Antworten auf angemessene Sicherheitsfragebögen.
Wenn gesetzlich oder vertraglich vorgeschrieben ist und ausreichende nachweisbare Belege nicht vorhanden sind, können Kunden unter angemessener Vorankündigung auditbezogene Rechte ausüben, vorbehaltlich Vertraulichkeit, Sicherheit, Nichtbeeinflussung und Schutz der Informationen anderer Kunden. Sofern kein Sicherheitsvorfall, regulatorische Anforderung oder angemessene Hinweise auf wesentliche Nichteinhaltung vorliegt, sollten formale Audits in der Regel auf einmal innerhalb eines zwölfmonatigen Zeitraums beschränkt bleiben. Kunden tragen im Allgemeinen eigene Auditskosten, sofern Gesetz oder Vertrag nichts anderes festlegt.
Grouper behält personenbezogene Daten nur so lange, wie es für den relevanten Zweck vernünftigerweise notwendig ist oder gesetzlich vorgeschrieben ist.
Wenn Grouper als Auftragsverarbeiter handelt, wird die Aufbewahrung primär durch:
- dokumentierte Kundenanweisungen;
- die geltende Kundenvereinbarung;
- die Dauer der Services;
- Support-Anforderungen;
- rechtliche Verpflichtungen; und
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
Kunden sind verantwortlich dafür, genaue Kundendaten zu pflegen. Wenn Grouper oder ein Auftragsverarbeiter feststellt, dass Daten in Umständen ungenau oder veraltet sind und Handlungsbedarf besteht, wird Grouper mit dem Kunden zusammenarbeiten, um die Daten gemäß dokumentierten Anweisungen und geltendem Datenschutzrecht zu berichtigen oder zu löschen.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
Bestimmte BambooHR-Funktionen können künstliche Intelligenz oder maschinelles Lernen verwenden. KI-Funktionalität ist optional, sofern sie als solche gekennzeichnet ist, und kann separaten BambooHR KI-Bedingungen unterliegen.
Aktuelle BambooHR KI-Service Materialien identifizieren Drittanbieter-KI-Anbieter einschließlich OpenAI, Cohere und Anthropic/Claude, und aktuelle Unterauftragsmaterialien können je nach Funktionskonfiguration weitere KI- oder Dokumentverarbeitungsanbieter identifizieren (z. B. LlamaIndex).
Customers remain responsible for:
- bestimmen, ob der Einsatz von KI für ihre Organisation angemessen ist;
- einen rechtmäßigen Basis schaffen;
- den betroffenen Personen die erforderliche Transparenz bieten;
- Einholung von Einwilligungen, sofern erforderlich;
- ausreichende menschliche Aufsicht implementieren;
- Vorurteils- und Fairness-Risiken bewerten; und
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
Wenn BambooHR Kundendaten, Eingaben oder Ausgaben verwendet, um ein kundenspezifisches Modell zu feintunen oder zu trainieren, besagen die geltenden BambooHR KI-Bedingungen, dass eine solche Nutzung darauf abzielt, die KI-Funktionen diesem Kunden bereitzustellen und dass das daraus resultierende kundenindividuell trainierte Modell nicht anderweitig dazu verwendet wird, Dienste für andere Kunden bereitzustellen.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
Programmierbarer Zugriff sollte unterstützte Authentifizierungsmethoden verwenden und darf Kundendaten oder Anmeldedaten nicht an unbefugte Parteien offenlegen.
Integrationen dürfen Kundendaten nicht über den dokumentierten und autorisierten Zweck hinaus verwenden.
Wenn ein Integrationsanbieter personenbezogene Daten im Auftrag des Kunden oder von Grouper verarbeitet, müssen geeignete Auftragsverarbeiter- oder Subprozessor-Bedingungen und Übermittlungssicherheiten gelten.
Wenn Grouper als Controller in Bezug auf eigene Geschäftsaktivitäten handelt, können wir geschäftliche Kontaktinformationen zu Folgendem verarbeiten:
- potenzielle Kunden;
- Kundenkontakte;
- Lieferanten;
- Partner;
- Fachberater;
- Veranstaltungsteilnehmer;
- Website-Besucher; und
- Personen, die Grouper kontaktieren.
Informationen können Name, Organisation, Rolle, geschäftliche Kontaktdaten, Mitteilungen, Anfragestellung, IP-Adresse, Browser- und Geräteinformationen, besuchte Seiten und ähnliche technische Daten umfassen.
Wir verarbeiten solche Informationen, um Anfragen zu beantworten, Beziehungen zu verwalten, angeforderte Dienste bereitzustellen, Sicherheit zu wahren, Verträge zu erfüllen, Gesetze einzuhalten und, sofern zulässig, relevante geschäftliche Mitteilungen zu versenden. Empfänger können sich jederzeit vom Direct Marketing abmelden. Betriebs-, vertragliche, Sicherheits- und kundenservicebezogene Mitteilungen sind kein Marketing.
Websites können wesentliche, funktionale und Analyse-Cookies sowie ähnliche Technologien verwenden. Soweit gesetzlich vorgeschrieben, werden nicht-essentielle Cookies erst nach entsprechender Zustimmung verwendet, und Benutzer erhalten Kontrollmöglichkeiten zur Verwaltung der Präferenzen.
Grouper seeks to embed privacy into service design and operations. This includes:
- Europäische Daten-Wohnsitz-Optionen;
- Datenminimierung;
- Zugriff mit dem Grundsatz der geringsten Berechtigung;
- angemessene Authentifizierung;
- Verschlüsselung;
- Protokollierung;
- rollenbasierte Berechtigungen;
- sichere Übertragung;
- Subprozessor-Kontrollen;
- Aufbewahrungskontrollen;
- Vorfall-Reaktionsprozesse;
- Schulung zu Datenschutz und Sicherheit;
- Sicherheitstests;
- DPIA-Unterstützung; und
- nachweisliche Rechenschaftspflicht.
Grouper wird Aufzeichnungen und Governance-Maßnahmen führen, die seiner Rolle angemessen sind, und wird in gutem Glauben mit Kunden, Betroffenen und zuständigen Aufsichtsbehörden kooperieren.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
Wenn Grouper personenbezogene Daten der Kunden als Auftragsverarbeiter verarbeitet, regeln Teil B und die geltende Kundenvereinbarung die vertragliche Verarbeitungsbeziehung. Bei Unstimmigkeiten bezüglich Kundendaten gilt folgende Rangfolge: zwingendes geltendes Datenschutzrecht; anwendbare SCCs, UK Addendum oder anderes zwingendes Übermittlungsinstrument; die Datenverarbeitungsvereinbarung; geltende Datenschutzbestimmungen der Vereinbarung; und der Rest der Vereinbarung.
Grouper’s Europäische BambooHR-Vorschlag basiert auf drei Grundsätzen:
Europäische Datenresidenz.
Kundendaten werden innerhalb der EEA gehostet und gespeichert, primäres Hosting in Irland über Amazon Web Services (AWS).
Europäische Datenschutzstandards.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
Europäischer Service und Support.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
Unser Ziel ist es, Organisationen zu ermöglichen, BambooHR zu verwenden, während die Privatsität, Governance- und Datenaufenthaltsstandards eingehalten werden, die europäische Kunden erwarten.
Fragen zu dieser Datenschutzrichtlinie, den Verarbeitungstätigkeiten von Grouper, Betroffenenrechten, Sicherheit oder unseren europäischen Datenresidenzvereinbarungen können über die von Grouper benannten Datenschutz- oder Kundensupportkanäle eingereicht werden.
Grouper Technology Limited kann auch unter folgender Adresse kontaktiert werden: 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.
Wenn die betreffenden personenbezogenen Daten im BambooHR-Konto des Arbeitgebers enthalten sind, sollten sich Einzelpersonen in der Regel zuerst an diesen Arbeitgeber wenden, da diese Organisation in der Regel der Verantwortliche dafür ist, wie die Informationen verwendet werden.
Dieses Datenverarbeitungsabkommen („DPA“) ist Bestandteil der Vereinbarung, des Bestellformulars, der Leistungsbeschreibung oder eines anderen Vertrags, der die Bereitstellung der Grouper’s BambooHR-bezogenen Dienste zwischen dem Kunden und Grouper Technology Limited regelt.
Bei der Erbringung der Dienste kann Grouper Kunden-Personendaten im Auftrag des Kunden verarbeiten. Dieses DPA regelt die jeweiligen Verpflichtungen der Parteien hinsichtlich dieser Verarbeitung.
Diese DPA gilt, soweit Grouper Prozesse Kundendaten im Auftrag des Kunden verarbeitet und eine solche Verarbeitung dem geltenden Datenschutzrecht unterliegt. Sie ergänzt und bildet einen Teil der Vereinbarung; großgeschriebene Begriffe, die hier nicht definiert sind, haben die in der Vereinbarung festgelegte Bedeutung.
Für dieses DPA:
Kundendaten
Personenbezogene Daten, die von einem Kunden oder einer Kundenjuri Affiliate kontrolliert und von Grouper im Zusammenhang mit den Diensten verarbeitet werden.
Beschränkte Übermittlung
Eine Übermittlung von personenbezogenen Daten, die gemäß geltendem Datenschutzrecht einen rechtmäßigen Übermittlungsmechanismus erfordert.
Standardvertragsklauseln (SCCs)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
Ein Dritten, der von oder im Namen von Grouper beauftragt wird, Kundendaten zu verarbeiten.
Technologieanbieter
BambooHR LLC und, soweit zutreffend, zugehörige BambooHR-Unternehmen, die die zugrundeliegende HR-Technologieplattform bereitstellen.
Soweit nichts anderes schriftlich vereinbart ist, handelt der Kunde als Verantwortlicher und Grouper als Auftragsverarbeiter. Wenn der Kunde als Auftragsverarbeiter für einen anderen Verantwortlichen handelt, fungiert Grouper als Unterauftragsverarbeiter, soweit anwendbar.
Grouper wird Kundendaten nur auf dokumentierte Kundenanweisungen und nur soweit zur Bereitstellung, Wartung, Sicherung und Unterstützung der Dienste erforderlich verarbeitet, sofern dies nicht durch geltendes Recht vorgeschrieben ist.
Grouper wird den Kunden unverzüglich informieren, wenn nach seiner vernünftigen Auffassung eine Anweisung gegen geltendes Datenschutzrecht verstößt, und kann die betroffene Verarbeitung bis zur Klärung aussetzen.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper stellt sicher, dass berechtigte Personen angemessige Vertraulichkeitsverpflichtungen haben, auf Kundendaten nur dort zugreifen, wo es vernünftigerweise notwendig ist, angemessene Privatsphäre- und Sicherheits-Schulung erhalten und Kundendaten nur gemäß dieser DPA und dokumentierten Kundenanweisungen verarbeitet werden. Der Zugriff erfolgt nach dem Prinzip der geringsten Privilegien und der Notwendigkeit der Kenntnis.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
Die minimalen Kontrollbereiche sind in Anhang 2 beschrieben. Grouper kann diese Maßnahmen aktualisieren, vorausgesetzt, dass Änderungen das Gesamtniveau des Schutzes von Kundendaten nicht wesentlich verringern.
Grouper wird den Kunden so bald wie vernünftigerweise praktikabel benachrichtigen und, sofern die vertragliche Verpflichtung von 48 Stunden gilt, in keinem Fall später als 48 Stunden nach Kenntnisnahme eines tatsächlichen oder verdächtigen Sicherheitsvorfalls, der Kundendaten betrifft.
Informationen können phased bereitgestellt werden, sobald sie verfügbar sind. Grouper wird die angemessene Zusammenarbeit leisten, die erforderlich ist, damit der Kunde seinen Meldepflichten gegenüber Aufsichtsbehörden und betroffenen Personen nachkommen kann.
Der Kunde erteilt Grouper eine allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter zu beauftragen, die zur Bereitstellung der Dienste notwendig sind.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
Wird das zugrunde liegende BambooHR-DPA angewendet, setzt BambooHR derzeit mindestens 30 Tage Vorabankündigung über einen neuen Unterauftragsverarbeiter, der Kunden-Personendaten verarbeiten wird.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Wenn Grouper eine direkte Anfrage betrifft, die Kundendaten betrifft, wird Grouper den Kunden umgehend referenzieren oder benachrichtigen und substantielle Antworten nur auf dokumentierte Anweisungen oder gesetzlich vorgeschriebene Anforderungen geben.
Grouper wird angemessene Unterstützung leisten, je nach Art der Verarbeitung und verfügbaren Informationen, bei Datenschutz-Folgenabschätzungen, Vorabkonsultationen mit Aufsichtsbehörden und angemessenen Anfragen oder Untersuchungen durch eine zuständige Aufsichtsbehörde in Bezug auf die Dienste.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
Soweit gesetzlich zulässig, wird Grouper rechtlich verbindliche Anfragen von Behörden nach Kundendaten prüfen, rechtswidrige oder unverhältnismäßige Anfragen, soweit vertretbare Gründe bestehen, anzufechten, die Offenlegung auf das gesetzlich notwendige Minimum zu beschränken, dem Kunden mitzuteilen, sofern gesetzlich zulässig, und angemessene Aufzeichnungen führen.
Auf Wunsch des Kunden oder bei Beendigung bzw. Ablauf der Dienste wird Grouper nach Wahl des Kunden und vorbehaltlich technischer Machbarkeit und der Vereinbarung die Kunden-Personendaten zurückgeben oder sicher löschen und relevante Unterauftragsverarbeiter dazu verpflichten, dasselbe zu tun. Falls das Gesetz eine Aufbewahrung vorschreibt, isoliert und schützt Grouper die aufbewahrten Daten und verarbeitet sie nur gesetzlich vorgeschrieben.
Der Kunde bestätigt, dass er über die Rechte, Erlaubnisse, Mitteilungen, Rechtsgrundlagen und Zustimmungen verfügt, um Kundendaten für die Verarbeitung bereitzustellen; dass seine Anweisungen dem geltenden Datenschutzrecht entsprechen; dass er keine rechtswidrige Verarbeitung anweist; und dass er die Dienste sicher konfiguriert und verwendet und angemessene Kontrollen über Benutzerkonten, Anmeldeinformationen und Integrationen aufrechterhält.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
Diese DPA tritt in Kraft, wenn der Kunde sich an sie bindet, und gilt so lange, wie Grouper Kundendaten im Auftrag des Kunden verarbeitet. Verpflichtungen, die von Natur aus oder gesetzlich fortbestehen müssen, überleben das Ablauf- oder Beendigungsdatum.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
Im Falle von Widersprüchen bezüglich Kundendaten gilt folgende Rangfolge: zwingendes geltendes Datenschutzrecht; anwendbare SCCs, UK Addendum oder andere zwingende Übermittlungsmechanismen; diese DPA; geltende Datenschutzbestimmungen der Vereinbarung; und der Rest der Vereinbarung.
Verantwortlicher / Datenexporteur
The Customer identified in the applicable Agreement or Order Form.
Verarbeiter / Datenimporteur
Grouper Technology Limited, 3. Stock, 22 Ely Place, Dublin, D02 AH73, Irland.
Technologieanbieter
BambooHR LLC und anwendbare BambooHR-Einheiten, die die zugrundeliegende HRIS-Plattform bereitstellen.
Gegenstand
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
Natur der Verarbeitung
Sammlung, Empfang, Aufzeichnung, Organisation, Strukturierung, Migration, Hosting, Speicherung, Abruf, Beratung, Nutzung, Übermittlung, Bereitstellung, Einschränkung, Support-Zugriff, Löschung und weitere Verarbeitung, die vernünftigerweise notwendig ist, um die Dienste bereitzustellen.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
Für die Dauer der Dienste und jede anschließende Periode, die notwendig ist, Kundendaten zurückzugeben oder zu löschen bzw. gesetzliche Anforderungen zu erfüllen.
Datenbetroffene Personen
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
Personenbezogene Daten
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
Sensible Daten
Je nach Auswahl durch den Kunden können Gesundheits- und Behinderungsinformationen sowie andere sensible oder besonders sensible Daten enthalten sein, die von den Diensten gestattet sind.
Primärer europäischer Speicherort
Irland / EEA über Amazon Web Services (AWS) für Kunden, die den europäischen Datenaufenthaltsdienst kaufen.
Zuständige Aufsichtsbehörde
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper führt technische und organisatorische Maßnahmen in den folgenden Mindestkontrollbereichen durch:
1. Informationssicherheits-Governance
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. Personalsicherheit
Vertraulichkeitsverpflichtungen, rollenspezifische Überprüfungen, soweit rechtmäßig, Sicherheitsbewusstsein und Datenschutzschulung sowie disziplinarische Maßnahmen bei unbefugtem Zugriff.
3. Physische Sicherheit
Beschränkter Zugang zu relevanten Einrichtungen und Infrastruktur; kontrollierte Zugangswege; Zugangsberechtigungen; physische Überwachung und andere geeignete Schutzmaßnahmen entsprechend der Hosting-Umgebung.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. Datenzugriffskontrolle
Kontrollen, sodass berechtigte Benutzer nur auf Daten innerhalb ihrer Berechtigungen zugreifen können; Protokollierung und Überwachung des Zugriffs; Weitergabe von Daten nur an berechtigte Personen.
6. Verschlüsselung und Pseudonymisierung
Angemessene Verschlüsselung personenbezogener Daten bei Übermittlung und Ruhe; Pseudonymisierung, sofern für den Verarbeitungszweck geeignet.
7. Netzwerk- und Übertragungssicherheit
Firewalls, geschützte Gateways, sichere Kommunikationskanäle, TLS/SFTP oder gleichwertige geschützte Übertragungsverfahren und Maßnahmen gegen unbefugte Abfang- oder Veränderung.
8. Protokollierung und Überwachung
Protokollierung relevanter System-, Verwaltungs- und Zugriffsaktivitäten; Überwachung verdächtiger Ereignisse; Aufbewahrung von Audit-Informationen entsprechend dem Risiko.
9. Eingabe- und Änderungssteuerung
Kontrollen, um zu identifizieren, wer Daten eingegeben, geändert oder gelöscht hat; Authentifizierung berechtigter Benutzer und Systeme; dokumentierte Änderungsmanagement-Praktiken.
10. Schwachstellen- und Sicherheitsprüfung
Prozesse zur Identifizierung, Bewertung und Behebung von Schwachstellen; regelmäßige Penetrations- oder Sicherheitsprüfungen; regelmäßige Bewertung und Evaluierung der Wirksamkeit der Kontrollen.
11. Verfügbarkeit, Backup und Wiederherstellung
Infrastruktur-Redundanz, Backup, Wiederherstellungsfähigkeit, Verfügbarkeitskontrollen und Schutz vor versehentlichem Verlust oder Zerstörung.
12. Geschäftskontinuität und Katastrophenwiederherstellung
Dokumentierte Kontinuitäts- und Wiederherstellungspläne, die darauf abzielen, Verfügbarkeit und Zugriff nach Störung oder Sicherheitsvorfall zeitnah wiederherzustellen.
13. Datenabtrennung
Logische oder Anwendungs-Ebene-Trennung zwischen Kunden und zwischen Verarbeitungszwecken; Kontrollen, die unbefugten Zugriff zwischen Kunden verhindern.
14. Sichere Entwicklung
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
Sorgfalt, schriftliche Datenschutzverpflichtungen, Sicherheitsprüfung, Übertragungsschutz und laufende Aufsicht entsprechend der Verarbeitung.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
EU-Beschränkte Übermittlungen
Wenn EU-SCCs erforderlich sind, werden die offiziellen SCCs der Europäischen Kommission unverändert übernommen. Soweit Rollen dies nicht erfordern, ist der Kunde der Datenexporteur, Grouper und/oder der anwendbare Technologieanbieter ist der Datenimporteur, und Modul zwei gilt für Verantwortlicher-Verarbeiter-Übermittlungen.
UK-Beschränkte Übermittlungen
Für Übermittlungen, die dem britischen Datenschutzrecht unterliegen, gelten die EU-SCCs zusammen mit dem jeweils geltenden UK International Data Transfer Addendum oder einem anderen gesetzlich anerkannten britischen Übermittlungsmechanismus.
Schweizer Übermittlungen
Für Übermittlungen, die dem Schweizer Datenschutzrecht unterliegen, werden die SCCs gemäß dem geltenden Schweizer Recht interpretiert und angepasst, einschließlich geeigneter Verweise auf die Schweizer Aufsichtsbehörde und Schweizer Datenbetroffene.
EU-US-Datenschutzrahmenwerk
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
Ausnahmeszenarien für europäischen Kunden zugang
Genehmigter außerordentlicher Zugriff außerhalb des EEA darf nur in folgenden Umständen erfolgen:
- eine Notlage, die die irische Datenzentrumsumgebung oder Servicekontinuität betrifft;
- a) eine Support- oder Wartungsanfrage, die autorisierten Fachzugriff außerhalb des EEA erfordert, vorbehaltlich der entsprechenden Kundenfreigabe oder vertraglicher Autorisierung; und
- ein verifizierter Kundenantrag auf Verarbeitung oder Hosting außerhalb der europäischen Region.
Die genauen Anbieter variieren je nach Produkt, Funktion, Supportpfad und Kundeneinstellung. Das aktuelle, von Grouper und/oder BambooHR geführte Subprozessorenregister ist für die aktive Servicebereitstellung maßgeblich.
Die folgenden wichtigen Anbieter wurden in den governierenden Service-Unterlagen identifiziert. Ein hier aufgeführter Anbieter verarbeitet möglicherweise Kundendaten nicht für jeden Kunden oder jede Bereitstellung.
BambooHR LLC
Technologieanbieter; HRIS-Wartung, Hosting und Support. Standort: Vereinigte Staaten / Serviceregionen einschließlich Europa.
Amazon Web Services (AWS)
Primäre Cloud-Hosting-Infrastruktur; europäisches Regionalhosting in Irland. Standort: Irland / Europa und andere Regionen je nach Service-Konfiguration.
Anthropic / Claude
KI- / Sprachmodell-Verarbeitung. Standort: Vereinigte Staaten.
Cohere
Sprachmodell-API / KI-Verarbeitung. Standort: Vereinigte Staaten.
OpenAI
Sprachmodell-API / KI-Verarbeitung. Standort: Vereinigte Staaten.
LlamaIndex / LlamaParse
Optionale Dokumenten-Analyse im Zusammenhang mit KI-Funktionalität. Standort: Vereinigte Staaten.
Atlas MongoDB
Daten speichern zur Unterstützung ausgewählter Dienste / KI-bezogener Funktionalität. Standort: Vereinigte Staaten.
Gainsight
Kundenbeziehungs- / CRM-Dienste.
Salesforce
CRM-Plattform.
Cloudflare
Web-Anwendungs-Firewall / Sicherheit.
Datadog
Infrastruktur- und Anwendungsüberwachung.
Microsoft / Google Workspace
Zusammenarbeit, Kommunikation und Dokumentenspeicherung je nach aktuellem Setup.
Mailgun
Anwendungs-Kommunikation.
Snowflake
Datenanalyse.
Twilio
MFA / SMS-Zustellung.
Weitere Anbieter
Zusätzliche Anbieter, die in den aktuellen Serviceunterlagen aufgeführt sind, können Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike und weitere umfassen. Kunden sollten die aktuelle Liste der Unterauftragsverarbeiter von BambooHR sowie die aktuellen Informationen zu Unterauftragsverarbeitern von Grouper heranziehen, um die neuesten Details zu erhalten.
1. Geltungsbereich
Dieses Schedule gilt, wenn der Kunde BambooHR KI- oder maschinelles Lernen-Funktionalität in Verbindung mit Grouper-unterstützten Diensten aktiviert oder verwendet.
2. KI-Anbieter
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. Eingaben und Ausgaben
Vom Kunden bereitgestellte Eingaben, Anweisungen oder Daten, die in KI-Funktionen eingegeben werden, können als „Inputs“ gelten und generierte Antworten können als „Outputs“ gelten. Je nach Funktion können Inputs oder Outputs Kundendaten enthalten. Outputs müssen nicht eindeutig sein und können Outputs ähneln, die für andere Benutzer erzeugt wurden.
4. Kundenverantwortlichkeiten und menschliche Aufsicht
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. Beschränkungen bei sensiblen und regulierten Daten
Wenn in den geltenden KI-Bedingungen die Nutzung von Leistungsdaten und Feedback zur Verbesserung der KI-Funktionalität zulässig ist, gilt diese Nutzung durch diese Bedingungen. Wird Kundendaten verwendet, um ein kundenspezifisches Modell feinabzustimmen, wird das resultierende Modell verwendet, um KI-Funktionen diesem Kunden bereitzustellen und wird nicht anderweitig zur Bereitstellung von Diensten für andere Kunden verwendet.
6. Genauigkeit, Bias und Fairness
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
Soweit geltende BambooHR KI-Bedingungen die Nutzung von Leistungsdaten und Feedback zur Verbesserung der KI-Funktionalität erlauben, gilt diese Nutzung gemäß diesen Bedingungen. Wird Kundendaten verwendet, um ein kundenspezifisches Modell zu verfeinern, wird das resultierende Modell verwendet, um KI-Funktionen diesem Kunden bereitzustellen und wird nicht zur Bereitstellung von Diensten für andere Kunden verwendet.
8. Internationale Verarbeitung
KI-Anbieter können autorisierte Inputs oder zugehörige personenbezogene Daten außerhalb des EWR verarbeiten. Eine solche Verarbeitung unterliegt den Übertragungssicherungen in diesem DPA und ändert nicht den Ort der vertraglich festgelegten Kern-HRIS-Speicherregion des Kunden. Kunden sollten prüfen, ob eine optionale KI-Nutzung mit ihren eigenen Residenz-, Betriebsrats-, arbeitsrechtlichen und Risikovorgaben vereinbar ist, bevor sie sie aktivieren.
Fragen zu dieser Datenschutzrichtlinie oder zu Ihren Datenrechten?
Kontaktieren Sie uns
