Legal
Política de privacidad | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
Última actualización: 16 de agosto de 2026
Grouper se compromete a proteger los datos personales y a mantener altos estándares de privacidad, seguridad y cumplimiento regulatorio. La protección de datos se trata como una responsabilidad operativa y contractual central, no como una ocurrencia tardía. Diseñamos nuestra entrega de servicios, controles de acceso, procesos de soporte y gobernanza de proveedores para reflejar los principios de responsabilidad, integridad, confidencialidad y transparencia de GDPR.
Esta Política de Privacidad explica cómo Grouper Technology Limited (“Grouper”, “nosotros” o “nuestro”) recopila, utiliza, accede, aloja, almacena, protege, transfiere y procesa de otro modo datos personales en relación con los servicios que ofrecemos, incluyendo nuestro papel como socio europeo de BambooHR.
Grouper apoya a organizaciones en Irlanda, el Reino Unido, Europa y otras regiones con la implementación, administración y uso de la plataforma HRIS BambooHR y la tecnología HR relacionada.
Nuestro modelo de servicio europeo está diseñado alrededor de un principio claro de residencia de datos en Europa. Los Datos Personales del Cliente manejados a través de Grouper’s European BambooHR service se alojan y almacenan dentro del Espacio Económico Europeo (EEA), con hosting principal en Irlanda.
Esta Política de Privacidad se aplica a los datos personales procesados en relación con:
- implementación y onboarding de BambooHR;
- configuración de HRIS;
- administración de cuentas;
- soporte al cliente;
- soporte técnico;
- soporte de integración;
- migración de datos;
- éxito del cliente;
- formación;
- servicios profesionales;
- seguridad y administración del servicio;
- comunicaciones con el cliente;
- ventas y demostraciones;
- Grouper sitios web y servicios digitales; y
- nuestras actividades comerciales generales.
Grouper Technology Limited es una empresa irlandesa con su oficina registrada en 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.
BambooHR proporciona el sistema de información de recursos humanos subyacente y la funcionalidad de producto relacionada. Grouper proporciona la implementación europea, migración, configuración, formación, éxito del cliente, soporte, gestión de servicios y servicios profesionales relacionados. Dependiendo de la suscripción y configuración del Cliente, la plataforma BambooHR HRIS puede admitir expedientes de empleados, incorporación, reclutamiento, registro de tiempo y asistencia, gestión de permisos, rendimiento, compensación, beneficios, funcionalidad relacionada con nómina, informes, análisis, integraciones, APIs y características de inteligencia artificial.
Dependiendo de los servicios adquiridos por un cliente, Grouper puede proporcionar:
- implementación de BambooHR;
- onboarding;
- configuración;
- configuración de la cuenta;
- asistencia de migración;
- servicios de integración;
- soporte técnico;
- soporte de HRIS;
- formación;
- servicios de éxito del cliente;
- administración de servicios;
- resolución de problemas; y
- servicios profesionales relacionados.
El rol exacto de protección de datos de Grouper depende de la actividad de Procesamiento particular.
Cuando Grouper determina los fines y medios del Tratamiento — por ejemplo en ciertas actividades de sitio web, ventas, contacto comercial, seguridad o administración corporativa — Grouper actúa como Responsable.
Cuando Grouper procesa Datos Personales del Cliente únicamente en nombre de un Cliente y de acuerdo con las instrucciones documentadas de ese Cliente, Grouper actúa como Encargado.
Cuando el propio Cliente actúa como Responsable para otro Controlador, Grouper puede actuar como Subresponsable en la medida aplicable.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 Compromiso Central de Residencia Europea
Para Clientes que adquieren el servicio europeo de Grouper’s BambooHR con residencia de datos en la EEA, los Datos Personales del Cliente que forman parte del entorno de producción del HRIS central se alojan y almacenan dentro de la EEA, con la ubicación de hosting principal en Irlanda.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 Almacenamiento versus Acceso
La residencia de datos describe dónde se almacenan los Datos Personales del Cliente. No significa que no pueda haber acceso de soporte autorizado o acceso técnico desde otro país.
El acceso excepcional desde fuera del EEE puede ocurrir solo cuando sea necesario, esté autorizado y esté legalmente protegido como se describe en las Secciones 17 y 18 de esta Política.
4.3 Copias de seguridad, Resiliencia y Recuperación ante Desastres
Las disposiciones de copia de seguridad, resiliencia y recuperación ante desastres están diseñadas para preservar la confidencialidad, integridad y disponibilidad y para mantenerse consistentes con los compromisos de hosting regional contratados por el Cliente.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 No Traslado de Rutina fuera del EEA
Grouper no utiliza el acceso de soporte excepcional como mecanismo para la reubicación rutinaria de Datos Personales Europeanos.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
“Ley de Protección de Datos Aplicable” significa todas las leyes y regulaciones de protección de datos, privacidad y seguridad de datos aplicables al Tratamiento, incluido, cuando sea relevante:
- Reglamento (UE) 2016/679 — el Reglamento General de Protección de Datos (GDPR);
- la Ley de Protección de Datos de Irlanda de 2018;
- normas irlandesas de ePrivacy y de comunicaciones electrónicas aplicables;
- la UK GDPR y la UK Data Protection Act 2018 cuando corresponda;
- ley de protección de datos suiza aplicable cuando corresponda;
- legislación nacional aplicable que implementa los requisitos de privacidad europeos; y
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
La información procesada depende de los Servicios seleccionados por el Cliente y de los datos que el Cliente elija colocar en el entorno de RR. HH.
6.1 Employee and Workforce Information
Los Datos Personales pueden incluir:
- nombre y números de identificación de empleados;
- fotografías cuando se proporcionen;
- detalles de contacto en casa o en el trabajo;
- fecha de nacimiento, género e información demográfica cuando se proporcione;
- información marital o familiar cuando se proporcione;
- contactos de emergencia y números de teléfono;
- calificaciones académicas y profesionales;
- información de CV o currículum, historial laboral y dominio del idioma;
- título de trabajo, grado, departamento, ubicación, líneas de reporte y afiliación al equipo;
- fechas de contratación y terminación, horas de trabajo y detalles contractuales;
- información de rendimiento, evaluación, disciplinaria y historial laboral;
- beneficios, seguros, activos de la empresa e información de formación; y
- información de permisos, asistencia y tiempo libre.
6.2 Información de Nómina y Compensación
Cuando se utilizan servicios relevantes, los Datos Personales pueden incluir:
- salario, compensación y bonificaciones;
- información fiscal y de seguridad social;
- detalles bancarios y de pago;
- información de pensiones;
- opciones de acciones y otros beneficios; y
- otra información relacionada con la nómina.
6.3 Reclutamiento, Candidato e Información de Referencia
For candidates, prospective employees and referees, information may include:
- identidad y datos de contacto;
- CVs, currículums, historial laboral y cualificaciones;
- registros de solicitud, entrevista y reclutamiento;
- comunicaciones del candidato y estado de reclutamiento;
- información de compensación propuesta;
- nombres de los referenciadores, datos de contacto y relación profesional; y
- información contenida en las referencias.
6.4 Categoría Especial y Datos Sensibles
Dependiendo del uso que haga un Cliente de la plataforma HRIS BambooHR, los Servicios pueden contener información de salud o discapacidad y otros Datos Personales de categorías especiales o sensibles.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
Los Clientes no deben colocar información sensible en campos de texto libre o funciones de IA, a menos que sea necesario, legal y permitido por los términos del producto relevantes.
Los Datos Personales procesados en relación con los servicios de Grouper pueden estar relacionados con:
- empleados actuales, anteriores, potenciales y futuros;
- candidatos y solicitantes;
- contratistas, asesores, agentes y contratistas independientes;
- agencia, trabajadores temporales y casuales;
- prácticas y pasantes;
- dependientes de empleados, beneficiarios y contactos de emergencia;
- referentes y proveedores de referencias;
- administradores de Clientes y usuarios autorizados; y
- otras personas cuyos Datos Personales el Cliente envía legítimamente a los Servicios.
Los Datos Personales pueden obtenerse:
- directamente de la persona;
- del empleador del individuo o empleador prospectivo;
- de administradores y usuarios autorizados del Cliente;
- durante la implementación, configuración y migración de datos;
- a través de integraciones autorizadas o APIs;
- a través de solicitudes de soporte y resolución de problemas;
- a través de la plataforma HRIS de BambooHR u otro sistema seleccionado por el Cliente;
- a través de procesos de reclutamiento;
- de fuentes públicas cuando se utilicen legalmente; y
- de otras fuentes legales autorizadas por el Cliente.
Grouper procesa Datos Personales solo para finalidades especificadas y legales. Estas pueden incluir:
- implementación y configuración de la plataforma HRIS de BambooHR;
- alojar o facilitar el alojamiento de Datos Personales del Cliente;
- administrar cuentas y permisos de usuario;
- mantenimiento y seguridad del servicio;
- proporcionar soporte al cliente y técnico;
- apoyar integraciones y migraciones;
- brindar formación y servicios profesionales;
- gestionar suscripciones y relaciones con clientes;
- detectar e investigar eventos de seguridad;
- mantener registros de auditoría;
- prevenir fraude o uso indebido;
- cumplir con obligaciones legales; y
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
Cuando el personal de soporte accede a Datos Personales del Cliente, el acceso debe limitarse a la mínima información razonablemente necesaria para el propósito de soporte y debe ser realizado por personal autorizado sujeto a confidencialidad y controles de acceso.
Cuando Grouper actúa como Responsable, la base legal aplicable puede incluir:
10.1 Contrato
Procesamiento necesario para celebrar o ejecutar un contrato, o para tomar medidas antes de celebrar un contrato a petición del individuo.
10.2 Intereses legítimos
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- entrega de servicios;
- administración del cliente;
- seguridad de la información;
- prevención de fraude;
- continuidad del negocio;
- soporte al cliente; y
- relationship management.
10.3 Obligación legal
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 Consentimiento
Cuando corresponde, el procesamiento puede basarse en el consentimiento. El consentimiento puede retirarse en cualquier momento sin afectar la legalidad del procesamiento realizado antes de la retirada.
Cuando el Cliente actúa como Responsable, el Cliente es responsable de:
- determinar las finalidades para las que se procesa Datos Personales;
- establecer bases legales y condiciones de categorías especiales;
- proporcionar avisos de privacidad requeridos;
- obtener consentimiento cuando sea necesario;
- garantizar la exactitud y la calidad de los datos;
- determinar los periodos de retención apropiados;
- gestionar usuarios autorizados y permisos;
- utilizar los Servicios de forma segura; y
- garantizar que sus instrucciones a Grouper sean legales.
El Cliente no debe instruir a Grouper para procesar Datos Personales de una manera que infrinja la Ley de Protección de Datos aplicable.
Grouper notificará al Cliente cuando, a su razonable juicio, una instrucción infrinja la Ley de Protección de Datos aplicable y podrá suspender el procesamiento afectado hasta que se resuelva el asunto.
Grouper limita el acceso a Datos Personales del Cliente solo a personas autorizadas que razonablemente necesiten acceso para sus funciones. El personal está sujeto a obligaciones de confidencialidad adecuadas y recibe capacitación en privacidad y seguridad acorde a su rol. El acceso se rige por los principios de menor privilegio y necesidad de conocer.
Controles de acceso incluyen:
- controles de identidad y autenticación;
- controles basados en roles y de acceso privilegiado;
- controles de cuentas administrativas;
- gestión del ciclo de vida de la cuenta;
- registro y monitorización de accesos;
- revisión periódica de accesos;
- requisitos de confidencialidad y uso aceptable; y
- personal adecuado y formación.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
Medidas incluyen:
- controles de acceso físicos y lógicos;
- autenticación robusta y controles de contraseñas apropiados;
- cifrado en tránsito y en reposo cuando sea apropiado;
- pseudonimización cuando sea apropiada;
- cortafuegos de red, seguridad perimetral y detección de intrusiones;
- registro, monitorización y trazas de auditoría;
- gestión de vulnerabilidades y pruebas de seguridad;
- acceso administrativo restringido;
- transmisión segura, incluidos canales de transferencia protegidos;
- respaldo, redundancia, recuperación y resiliencia;
- planificación de continuidad del negocio y recuperación ante desastres;
- desarrollo seguro y gestión de cambios;
- separación de datos entre clientes y fines de procesamiento;
- procedimientos de respuesta ante incidentes;
- concienciación y formación en seguridad del personal; y
- diligencia debida de subproveedores y gobierno de la seguridad.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
Cuando Grouper actúa como Procesador y toma conocimiento de una violación real o sospechada de Datos Personales que afecte a Datos Personales del Cliente, Grouper notificará al Cliente relevante en el menor tiempo razonablemente posible y, en cualquier caso, dentro de las 48 horas desde que tomó conocimiento del incidente.
En la medida de lo razonablemente disponible, la notificación incluirá:
- la naturaleza del incidente;
- categorías de Datos Personales afectadas;
- categorías aproximadas y números de Sujetos y registros de datos;
- consecuencias probables;
- medidas tomadas o propuestas;
- acciones de mitigación; y
- un punto de contacto para obtener más información.
La información puede proporcionarse en fases a medida que esté disponible.
Grouper proporcionará cooperación razonable para permitir al Cliente cumplir con las obligaciones regulatorias y de notificación a Sujetos de datos aplicables.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper puede nombrar cuidadosamente Subprocesadores y proveedores de servicios cuando sea necesario para proporcionar, alojar, asegurar, apoyar, supervisar o mejorar los Servicios.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
Cuando los términos del cliente aplicables proporcionen autorización general por escrito, los Clientes recibirán aviso con antelación de Subprocesadores sustanciales nuevos y la oportunidad de oponerse por razones razonables de protección de datos.
Para los subencargados de BambooHR, el DPA actual de BambooHR ofrece al menos 30 días de preaviso de un Nuevo Subcontratista que procesará Datos Personales del Cliente.
El Anexo 4 proporciona transparencia sobre las categorías de proveedores clave y proveedores identificados en los materiales de servicio que rigen.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
El procesamiento de BambooHR se rige por términos contractuales y de protección de datos aplicables, incluido su DPA, medidas de seguridad, acuerdos de subencargados y salvaguardas de transferencias internacionales.
Grouper sigue siendo responsable de sus propias obligaciones en virtud de la Ley de Protección de Datos Aplicable y del acuerdo con el cliente aplicable. Cuando BambooHR procesa Datos Personales para apoyar el entorno de clientes europeo de Grouper, se aplican los requisitos contractuales, de seguridad y de residencia de datos correspondientes.
Para el servicio europeo contratado de Grouper, los Datos Personales del Cliente están diseñados para almacenarse en la EEA, con hosting principal en Irlanda a través de Amazon Web Services (AWS). El procesamiento autorizado o el acceso remoto desde fuera de la EEA pueden constituir una Transferencia Restringida incluso cuando los datos permanezcan almacenados en Irlanda. Dicho acceso solo está permitido cuando sea legal, necesario y protegido por salvaguardas adecuadas.
Ejemplos de escenarios excepcionales incluyen:
- una emergencia que afecte al entorno del centro de datos irlandés o a la continuidad del servicio;
- una solicitud de soporte o mantenimiento que requiera acceso especializado autorizado desde fuera de la EEA, sujeto a la aprobación aplicable del Cliente o a la autorización contractual; y
- una solicitud verificada del Cliente para reubicar o procesar datos fuera de la región de alojamiento europeo contratada.
Cuando se produce una Transferencia Restringida, Grouper y/o el proveedor de tecnología relevante utilizarán un mecanismo reconocido legalmente como:
- una decisión de suficiencia;
- las Cláusulas Contractuales Estándar de la Comisión Europea;
- el Addendum de Transferencia de Datos Internacional del Reino Unido cuando sea aplicable;
- participación en el Marco de Privacidad de Datos EU-EE. UU. cuando esté legalmente disponible y aplicable;
- Reglas Corporativas Vinculantes cuando sea aplicable; o
- otra salvaguarda válida reconocida bajo la Ley de Protección de Datos aplicable.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
Nada de estas disposiciones de acceso excepcional cambia el compromiso de Grouper de que los Datos Personales del Cliente para el servicio europeo se almacenan dentro de la EEA.
Cuando se requieren las Cláusulas Contractuales Tipo de la UE, se incorporan en su forma oficialmente aprobada sin alterar su redacción obligatoria. Para transferencias Controller-to-Processor, el Módulo Dos se aplica normalmente a menos que las partes requieran otro módulo.
Cuando Irlanda sea la ley y foro gubernamentales de la UE aplicables, las partes aceptan los tribunales de Irlanda tal como se dispone en el SCC correspondiente.
Para transferencias sujetas a la Ley de Protección de Datos del Reino Unido, las SCC de la UE se aplicar además del entonces vigente Addendum Internacional de Transferencia de Datos del Reino Unido u otro mecanismo de transferencia reconocido legalmente.
Supplementary measures may include:
- cifrado;
- restricciones de acceso;
- controles de gestión de llaves;
- minimización;
- registro;
- limitaciones contractuales a transferencias ulteriores;
- procedimientos de revisión a solicitud del gobierno;
- medidas de transparencia; y
- suspensión o terminación de transferencias cuando no se puede garantizar un nivel adecuado de protección.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
Las solicitudes ilegales o desproporcionadas serán cuestionadas cuando existan bases razonables y una base legal para hacerlo.
La divulgación se limitará al mínimo legalmente requerido.
El Cliente será notificado donde sea legalmente permitido. Cuando la notificación esté prohibida, se harán esfuerzos razonables para obtener permiso para proporcionar la notificación cuando sea apropiado.
Los registros de la solicitud y la respuesta se mantendrán según lo exija la ley y el mecanismo de transferencia aplicable.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- acceso;
- rectificación;
- eliminación;
- restricción del Procesamiento;
- portabilidad de datos;
- objeción;
- retirada del consentimiento;
- derechos relacionados con la toma de decisiones automatizada y el perfilado; y
- the right to complain to a competent supervisory authority.
Cuando Grouper actúa como Procesador, las solicitudes relativas a Datos Personales del Cliente deben dirigirse ordinariamente al Cliente relevante como Responsable. Si Grouper recibe dicha solicitud directamente, Grouper, salvo prohibición legal, remitirá o notificará la solicitud al Cliente y no responderá sustantivamente salvo en instrucciones documentadas del Cliente o cuando la ley lo exija. Grouper prestará asistencia razonable para permitir al Cliente cumplir con sus obligaciones.
Teniendo en cuenta la naturaleza del Procesamiento y la información disponible para Grouper, Grouper proporcionará asistencia razonable con las Evaluaciones de Impacto de Protección de Datos y, cuando sea requerido, consulta previa con una autoridad de supervisión competente.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- documentación de seguridad;
- políticas;
- información de cumplimiento;
- información de auditoría;
- informes de aseguramiento independientes;
- certificaciones relevantes; y
- respuestas a cuestionarios de seguridad razonables.
Cuando esté legal o contractualmente requerido y la evidencia documental razonable sea insuficiente, los Clientes pueden ejercer los derechos de auditoría aplicables con un preaviso razonable, sujeto a confidencialidad, seguridad, no interferencia y protecciones para la información de otros clientes. A menos que sea necesario por un incidente de seguridad, requisito regulatorio o evidencia razonable de incumplimiento material, las auditorías formales normalmente deberían limitarse a una vez en cualquier periodo de doce meses. En general, los Clientes asumirán sus propios costos de auditoría, a menos que la ley o el contrato dispongan lo contrario.
Grouper retiene Datos Personales solo durante el tiempo razonablemente necesario para el objetivo relevante o según lo exija la ley.
Cuando Grouper actúa como Procesador, la retención se determina principalmente por:
- instrucciones documentadas del Cliente;
- el acuerdo del cliente aplicable;
- la duración de los Servicios;
- requisitos de soporte;
- obligaciones legales; y
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
Los Clientes son responsables de mantener Datos Personales del Cliente con precisión. Cuando Grouper o un procesador tome conocimiento de que los datos son inexactos o están desactualizados en circunstancias que requieren acción, Grouper cooperará con el Cliente para rectificar o borrar los datos de acuerdo con instrucciones documentadas y la Ley de Protección de Datos aplicable.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
Ciertas funciones de BambooHR pueden usar inteligencia artificial o aprendizaje automático. La funcionalidad de IA es opcional cuando se identifique como tal y puede estar sujeta a términos de IA separados de BambooHR.
Los materiales actuales de servicio de IA de BambooHR identifican proveedores de IA de terceros como OpenAI, Cohere y Anthropic/Claude, y los materiales de subcontratación actuales pueden identificar proveedores adicionales de IA o procesamiento de documentos (como LlamaIndex) dependiendo de la configuración de funciones.
Customers remain responsible for:
- evaluar si el uso de IA es apropiado para su organización;
- establecer una base legal;
- proporcionar la transparencia requerida a los sujetos de datos;
- obtener consentimiento cuando sea necesario;
- implementar supervisión humana suficiente;
- evaluar riesgos de sesgo y equidad; y
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
Cuando BambooHR usa Datos, Entrada o Salida de un Cliente para ajustar finamente o entrenar un modelo específico del Cliente, los términos de IA aplicables de BambooHR establecen que dicho uso es para proporcionar las funciones de IA a ese Cliente y que el modelo entrenado por el cliente resultante no se utiliza de otro modo para prestar servicios a otros clientes.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
El acceso programático debe usar métodos de autenticación compatibles y no debe exponer Datos del Cliente ni credenciales a terceros no autorizados.
Las integraciones no deben usar los Datos del Cliente más allá del propósito documentado y autorizado.
Cuando un proveedor de integración procese Datos Personales en nombre del Cliente o de Grouper, deben aplicarse términos de procesador o subprocesador apropiados y salvaguardas de transferencia.
Cuando Grouper actúa como Responsable en relación con sus propias actividades comerciales, podemos procesar información de contacto comercial relacionada con:
- clientes potenciales;
- contactos de clientes;
- proveedores;
- socios;
- asesores profesionales;
- asistentes a eventos;
- visitantes del sitio web; y
- personas que contactan a Grouper.
La información puede incluir nombre, organización, rol, datos de contacto comerciales, comunicaciones, información de consulta, dirección IP, navegador y datos del dispositivo, páginas visitadas y datos técnicos similares.
Procesamos dicha información para responder a consultas, gestionar relaciones, proporcionar servicios solicitados, mantener la seguridad, cumplir contratos, cumplir con la ley y, cuando sea permitido, enviar comunicaciones comerciales relevantes. Los destinatarios pueden optar por no recibir marketing directo en cualquier momento. Las comunicaciones operativas, contractuales, de seguridad y de servicio al cliente no son marketing.
Los sitios web pueden usar cookies esenciales, funcionales y analíticas y tecnologías similares. Cuando sea legalmente requerido, las cookies no esenciales se utilizarán solo tras el consentimiento adecuado y se proporcionarán a los usuarios controles para gestionar preferencias.
Grouper seeks to embed privacy into service design and operations. This includes:
- Opciones de residencia de datos europea;
- minimización de datos;
- acceso de menor privilegio;
- autenticación adecuada;
- cifrado;
- registro de accesos;
- permisos basados en roles;
- transmisión segura;
- Controles de subprocesadores;
- controles de retención;
- procesos de respuesta a incidentes;
- formación en privacidad y seguridad;
- pruebas de seguridad;
- apoyo DPIA; y
- responsabilidad documentada.
Grouper mantendrá registros y medidas de gobernanza apropiados a su rol y cooperará de buena fe con Clientes, Sujetos de Datos y autoridades de supervisión competentes.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
Cuando Grouper Procesa Datos Personales de Clientes como Procesador, la Parte B y el acuerdo del cliente aplicable rigen la relación contractual de Procesamiento. En caso de inconsistencias respecto a los Datos Personales del Cliente, se aplica el siguiente orden de precedencia: Ley de Protección de Datos obligatoria; SCCs aplicables, Addendum del Reino Unido u otro mecanismo de transferencia obligatorio; el Acuerdo de Procesamiento de Datos; las disposiciones de protección de datos aplicables del Acuerdo; y el resto del Acuerdo.
La propuesta europea de Grouper para BambooHR se basa en tres principios:
Residencia de datos europea.
Los Datos Personales del Cliente se alojan y almacenan dentro del EEE, con el alojamiento primario en Irlanda a través de Amazon Web Services (AWS).
Estándares de privacidad europeos.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
Servicios y soporte europeos.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
Nuestro objetivo es permitir que las organizaciones utilicen BambooHR manteniendo los estándares de privacidad, gobernanza y residencia de datos que esperan los clientes europeos.
Las cuestiones relacionadas con esta Política de Privacidad, las actividades de procesamiento de Grouper, los derechos de los sujetos de datos, la seguridad o nuestros arreglos de residencia de datos europeos pueden enviarse a través de los canales de privacidad o atención al cliente designados de Grouper.
Grouper Technology Limited también puede ser contactada en 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.
Cuando los Datos Personales de los que se trata se encuentran dentro de la cuenta BambooHR de un empleador, las personas normalmente deben ponerse en contacto primero con ese empleador, ya que esa organización, por lo general, será el Responsable del tratamiento encargado de determinar cómo se utiliza la información.
Este Acuerdo de Protección de Datos (“DPA”) forma parte del acuerdo, formulario de pedido, declaración de trabajo u otro contrato que rige la prestación de los servicios relacionados con Grouper’s BambooHR entre el Cliente y Grouper Technology Limited.
Al brindar los Servicios, Grouper puede procesar datos personales del Cliente en nombre del Cliente. Este DPA establece las obligaciones respectivas de las Partes para ese procesamiento.
Este DPA se aplica en la medida en que Grouper Processes Customer Personal Data en nombre del Cliente y dicho Procesamiento está sujeto a la Ley de Protección de Datos Aplicable. Complementa y forma parte del Acuerdo; los términos en mayúsculas no definidos aquí tienen el significado dado en el Acuerdo.
Para este DPIA:
Datos Personales del Cliente
Datos personales controlados por un Cliente o Afiliado del Cliente y procesados por Grouper en relación con los Servicios.
Transferencia Restringida
Una transferencia de Datos Personales que requiere un mecanismo de transferencia legal bajo la Ley de Protección de Datos Aplicable.
Cláusulas Contractuales Estándar (SCCs)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
Un tercero designado por o en nombre de Grouper para Procesar Datos Personales del Cliente.
Proveedor de tecnología
BambooHR LLC y, cuando corresponda, entidades BambooHR relacionadas que proporcionan la plataforma tecnológica HR subyacente.
Salvo acuerdo escrito en contrario, el Cliente actúa como Responsable y Grouper como Responsable del procesamiento. Cuando el Cliente actúa como Encargado para otro Responsable, Grouper actúa como Sub-encargado en la medida aplicable.
Grouper procesará Datos Personales del Cliente solo bajo instrucciones documentadas del Cliente y solo en la medida necesaria para proporcionar, mantener, asegurar y soportar los Servicios, a menos que la ley aplicable exija procesar los datos.
Grouper informará oportunamente al Cliente si, a su juicio razonable, una instrucción infringe la Ley de Protección de Datos Aplicable y puede suspender el procesamiento afectado hasta su resolución.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper se asegurará de que las Personas Autorizadas estén sometidas a obligaciones de confidencialidad apropiadas, accedan a los Datos Personales del Cliente solo cuando sea razonablemente necesario, reciban la formación adecuada en privacidad y seguridad y Procesen Datos Personales del Cliente solo de acuerdo con este DPA e instrucciones documentadas del Cliente. El acceso estará limitado según los principios de menor privilegio y necesidad de conocer.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
Los dominios de control mínimo se describen en el Anexo 2. Grouper puede actualizar esas medidas, siempre que los cambios no reduzcan materialmente el nivel general de protección otorgado a los Datos Personales del Cliente.
Grouper notificará al Cliente tan pronto como sea razonablemente práctico y, cuando aplique el compromiso contractual de 48 horas, en ningún caso más de 48 horas después de hacerse consciente de un Incidente de Seguridad real o sospechado que afecte a los Datos Personales del Cliente.
La información puede proporcionarse por fases a medida que esté disponible. Grouper proporcionará la cooperación razonable necesaria para que el Cliente cumpla con las obligaciones de notificación a las autoridades de supervisión y a los Interesados afectados.
El Cliente concede a Grouper una autorización escrita general para contratar Sub-encargados necesarios para proporcionar los Servicios.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
Cuando se aplica el DPA subyacente de BambooHR, BambooHR actualmente proporciona al menos 30 días de preaviso por escrito de un nuevo Subcontratista que procesará datos personales del Cliente.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Si Grouper recibe una solicitud directamente relacionada con Datos Personales del Cliente, Grouper informará de inmediato al Cliente y no responderá sustantivamente excepto en instrucciones documentadas o cuando la ley lo exija.
Grouper proporcionará asistencia razonable, teniendo en cuenta la naturaleza del Procesamiento e información disponible, con Evaluaciones de Impacto de Protección de Datos, consulta previa con autoridades de supervisión y consultas o investigaciones razonables por una autoridad de supervisión competente en relación con los Servicios.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
En la medida permitida por la ley, Grouper revisará solicitudes vinculantes de autoridades públicas para Datos Personales del Cliente, cuestionará solicitudes ilegales o desproporcionadas cuando existan razones razonables, buscará limitar la divulgación al mínimo legalmente requerido, notificará al Cliente cuando sea legalmente permitido y mantendrá registros adecuados.
A petición del Cliente, o tras la terminación o caducidad de los Servicios, Grouper hará, a elección del Cliente y sujeto a la viabilidad técnica y al Acuerdo, devolverá o eliminará de forma segura los datos personales del Cliente y exigirá a los Subprocesadores relevantes que hagan lo mismo. Cuando la ley exija la retención, Grouper aislará y protegerá los datos retenidos y los procesará solo cuando sea legalmente necesario.
El Cliente garantiza que tiene los derechos, permisos, avisos, bases legales y consentimientos necesarios para proporcionar Datos Personales del Cliente para su Tratamiento; que sus instrucciones cumplen con la Ley de Protección de Datos Aplicable; que no instruirá un Procesamiento ilícito; y que configurará y utilizará los Servicios de forma segura y mantendrá controles apropiados sobre cuentas de usuario, credenciales e integraciones.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
Este DPA entra en vigor cuando el Cliente queda vinculado por él y continúa mientras Grouper Procesa Datos Personales del Cliente en nombre del Cliente. Las obligaciones que por su naturaleza o por la ley deben continuar mientras se conserve la datos sobreviven al vencimiento o terminación.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
En caso de incoherencia con respecto a Datos Personales del Cliente, se aplica el siguiente orden de prevalencia: Ley de Protección de Datos aplicable obligatoria; SCCs aplicables, Addendum del Reino Unido u otro mecanismo de transferencia obligatorio; este DPA; disposiciones de protección de datos del Acuerdo; y el resto del Acuerdo.
Controlador / Exportador de Datos
The Customer identified in the applicable Agreement or Order Form.
Procesador / Importador de Datos
Grouper Technology Limited, 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Irlanda.
Proveedor de tecnología
BambooHR LLC y las entidades BambooHR aplicables que proporcionan la plataforma HRIS subyacente.
Objeto
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
Naturaleza del Procesamiento
Recolección, recepción, registro, organización, estructuración, migración, alojamiento, almacenamiento, recuperación, consulta, uso, transmisión, puesta a disposición, restricción, soporte de acceso, eliminación y otros Procesamientos razonablemente necesarios para proporcionar los Servicios.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
Durante la duración de los Servicios y cualquier periodo posterior necesario para devolver o eliminar Datos Personales del Cliente o cumplir con la ley.
Interesados
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
Datos Personales
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
Datos Sensibles
Cuando el Cliente lo seleccione, puede incluir información de salud y discapacidad y otros datos de categorías especiales o sensibles permitidos por los Servicios.
Almacenamiento Europeo Primario
Irlanda / EEE a través de Amazon Web Services (AWS) para Clientes que adquieren el servicio de residencia de datos Europeo.
Autoridad de Supervisión Competente
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper mantiene medidas técnicas y organizativas en los siguientes dominios de control mínimos:
1. Gobernanza de Seguridad de la Información
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. Seguridad del Personal
Obligaciones de confidencialidad, cribado apropiado de personal cuando sea legal, concienciación en seguridad y formación en privacidad, y controles disciplinarios para accesos no autorizados.
3. Seguridad Física
Acceso restringido a instalaciones e infraestructuras relevantes; rutas de acceso controladas; autorizaciones de acceso; monitorización física y otras salvaguardas adecuadas al entorno de hosting.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. Control de Acceso a Datos
Controles diseñados para que los usuarios autorizados accedan solo a los datos dentro de sus permisos; registro y monitorización de accesos; liberación de datos solo a personas autorizadas.
6. Cifrado y Pseudonimización
Cifrado adecuado de Datos Personales en tránsito y en reposo; pseudonimización cuando sea apropiado para el propósito del procesamiento.
7. Seguridad de Red y Transmisión
Firewalls, pasarelas protegidas, canales de comunicación seguros, TLS/SFTP o mecanismos de transferencia protegidos equivalentes y controles contra intercepción o alteración no autorizadas.
8. Registro y Monitorización
Registro de actividad relevante del sistema, administrativo y de acceso; monitorización de eventos sospechosos; retención de información de auditoría adecuada al riesgo.
9. Control de Entrada y Cambio
Controles para identificar quién introdujo, modificó o eliminó datos; autenticación de usuarios y sistemas autorizados; prácticas de gestión de cambios documentadas.
10. Pruebas de Vulnerabilidad y Seguridad
Procesos para identificar, evaluar y remediar vulnerabilidades; pruebas periódicas de penetración o de seguridad; evaluación y revisión regulares de la eficacia de los controles.
11. Disponibilidad, Copia de Seguridad y Recuperación
Redundancia de la infraestructura, capacidad de copia de seguridad y restauración, controles de disponibilidad y protección contra pérdidas o destrucción accidentales.
12. Continuidad Empresarial y Recuperación ante Desastres
Planes de continuidad y recuperación documentados diseñados para restaurar la disponibilidad y el acceso en tiempo oportuno tras una interrupción o Incidente de Seguridad.
13. Separación de Datos
Separación lógica o a nivel de aplicación entre clientes y entre fines de procesamiento; controles diseñados para impedir el acceso no autorizado entre clientes.
14. Desarrollo Seguro
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
Diligencia debida, obligaciones de protección de datos por escrito, revisión de seguridad, salvaguardas de transferencia y supervisión continua apropiada al procesamiento.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
Transferencias Restringidas en la UE
Cuando se requieran SCCs de la UE, los SCCs oficiales de la Comisión Europea se incorporan por referencia sin alterar el texto obligatorio. Salvo que los roles exijan lo contrario, el Cliente es el Exportador de Datos, Grouper y/o el Proveedor de Tecnología aplicable es el Importador de Datos, y el Módulo Dos se aplica a transferencias de Responsable a Encargado.
Transferencias Restringidas del Reino Unido
Para transferencias sujetas a la Ley de Protección de Datos del Reino Unido, las SCC de la UE se aplicar además del entonces vigente Addendum Internacional de Transferencia de Datos del Reino Unido u otro mecanismo de transferencia reconocido legalmente.
Transferencias Suizas
Para transferencias sujetas a la Ley de Protección de Datos Suiza, los SCCs serán interpretados y adaptados según lo requiera la ley suiza aplicable, incluyendo referencias adecuadas a la autoridad de supervisión suiza y a los Sujetos de Datos suizos.
Marco de Privacidad de Datos EU-US
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
Escenarios de Acceso Excepcional para Clientes Europeos
El acceso excepcional autorizado fuera de la EEE puede ocurrir solo en las siguientes circunstancias:
- una emergencia que afecte al entorno del centro de datos irlandés o a la continuidad del servicio;
- una solicitud de soporte o mantenimiento que requiera acceso autorizado de especialistas fuera de la EEE, sujeto a la aprobación o autorización contractual del Cliente; y
- una solicitud verificada del Cliente para Procesamiento o alojamiento fuera de la región europea.
Los proveedores precisos utilizados varían según el producto, la función, la ruta de soporte y la configuración del Cliente. El registro de subprocesadores en vivo vigente mantenido por Grouper y/o BambooHR es la referencia para la entrega de servicio activa.
Los proveedores clave identificados en los materiales de servicio de gobernanza son los siguientes. Un proveedor listado aquí no procesará necesariamente Datos Personales del Cliente para cada Cliente o para cada implementación.
BambooHR LLC
Proveedor de tecnología; mantenimiento, hosting y soporte de HRIS. Ubicación: Estados Unidos / regiones de servicio que incluyen Europa.
Amazon Web Services (AWS)
Infraestructura principal de hosting en la nube; hosting regional europeo en Irlanda. Ubicación: Irlanda / Europa y otras regiones dependiendo de la configuración del servicio.
Anthropic / Claude
Procesamiento de IA / modelo de lenguaje. Ubicación: Estados Unidos.
Cohere
API de modelo de lenguaje / procesamiento de IA. Ubicación: Estados Unidos.
OpenAI
API de modelo de lenguaje / procesamiento de IA. Ubicación: Estados Unidos.
LlamaIndex / LlamaParse
Análisis de documentos opcional asociado a la funcionalidad de IA. Ubicación: Estados Unidos.
Atlas MongoDB
Almacenamiento de datos que respalda servicios seleccionados / funcionalidad relacionada con IA. Ubicación: Estados Unidos.
Gainsight
Relación con el cliente / CRM
Salesforce
Plataforma CRM.
Cloudflare
Firewall/seguridad de aplicaciones web.
Datadog
Monitorización de infraestructura y aplicaciones.
Microsoft / Google Workspace
Colaboración, comunicación y almacenamiento de documentos según la configuración actual.
Mailgun
Comunicaciones de la aplicación.
Snowflake
Análisis de datos.
Twilio
MFA / Entrega por SMS.
Proveedores Adicionales
Los proveedores adicionales identificados en los materiales de servicio actuales pueden incluir Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike y otros. Los Clientes deben consultar la lista de subcontratistas en vivo de BambooHR y la información actual de subprocesadores de Grouper para obtener los detalles más recientes.
1. Alcance
Este Anexo se aplica cuando el Cliente habilita o utiliza la funcionalidad de inteligencia artificial o aprendizaje automático de BambooHR en relación con Servicios compatibles con Grouper.
2. Proveedores de IA
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. Entradas y Salidas
Las indicaciones, instrucciones o datos proporcionados por el Cliente para la funcionalidad de IA pueden constituir “Entradas” y las respuestas generadas pueden constituir “Salidas”. Dependiendo de la función, las Entradas o las Salidas pueden incluir Datos del Cliente. Las Salidas pueden no ser únicas y pueden ser similares a las salidas producidas para otros usuarios.
4. Responsabilidades del Cliente y Supervisión Humana
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. Restricciones de Datos Sensibles y Regulados
Cuando esté prohibido por los términos de IA aplicables, el Cliente no debe enviar información sensible o regulada a las funciones de IA, incluyendo información de salud, genética o biométrica, números de identificación emitidos por el gobierno, o información financiera personal o de cuentas bancarias. Los Clientes deben minimizar los Datos Personales en los prompts.
6. Precisión, Sesgo y Equidad
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
Cuando los términos de IA aplicables de BambooHR permiten el uso de Datos de Rendimiento y Retroalimentación para mejorar la funcionalidad de IA, dicho uso está regido por esos términos. Cuando se utilizan Datos del Cliente para ajustar un modelo específico del cliente, el modelo resultante se utiliza para proporcionar funciones de IA a ese Cliente y no se utiliza para prestar servicios a otros clientes.
8. Procesamiento Internacional
Los proveedores de IA pueden procesar entradas autorizadas o datos personales relacionados fuera del EEE. Dicho procesamiento está sujeto a las salvaguardas de transferencia en este DPA y no altera la ubicación de la región de almacenamiento HRIS central contratada por el Cliente. Los Clientes deben evaluar si el uso opcional de IA es coherente con sus propios requisitos de residencia, comité de empresa, derecho laboral y gestión de riesgos antes de habilitarlo.
¿Preguntas sobre esta Política de Privacidad o sus derechos de datos?
Contáctanos
