Legal
Política de privacidad | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
Última actualización: 16 de agosto de 2026
Grouper se compromete a proteger los datos personales y a mantener altos estándares de privacidad, seguridad y cumplimiento regulatorio. La protección de datos se trata como una responsabilidad operativa y contractual central, no como un apéndice. Diseñamos nuestra entrega de servicios, controles de acceso, procesos de soporte y gobernanza de proveedores para reflejar los principios de rendición de cuentas, integridad, confidencialidad y transparencia de GDPR.
Esta Política de Privacidad explica cómo Grouper Technology Limited (“Grouper”, “nosotros”, “nosotras” o “nuestro”) recopila, usa, accede, aloja, almacena, protege, transfiere y, de otro modo, trata datos personales en relación con los servicios que proporcionamos, incluido nuestro papel como socio europeo de BambooHR.
Grouper apoya a organizaciones en Irlanda, Reino Unido, Europa y otras regiones con el despliegue, administración y uso de la plataforma HRIS BambooHR y la tecnología HR relacionada.
Nuestro modelo de servicio europeo está diseñado con base en un principio claro de residencia de datos en Europa. Los Datos Personales del Cliente tratados a través del servicio europeo de Grouper’s BambooHR están alojados y almacenados dentro del Espacio Económico Europeo (“EEE”), con alojamiento principal en Irlanda.
Esta Política de Privacidad se aplica a datos personales procesados en relación con:
- Implementación e incorporación de BambooHR;
- Configuración de HRIS;
- administración de cuentas;
- soporte al cliente;
- soporte técnico;
- soporte de integración;
- migración de datos;
- éxito del cliente;
- capacitación;
- servicios profesionales;
- seguridad y administración del servicio;
- comunicaciones con clientes;
- ventas y demostraciones;
- sitios web y servicios digitales de Grouper; y
- nuestras actividades comerciales generales.
Grouper Technology Limited es una empresa irlandesa registrada con domicilio social en 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Irlanda.
BambooHR proporciona el sistema de información de recursos humanos subyacente y la funcionalidad relacionada del producto. Grouper proporciona servicios profesionales relacionados de implementación, migración, configuración, capacitación, éxito del cliente, soporte, gestión de servicios y otros servicios profesionales en Europa. Según la suscripción y la configuración del Cliente, la plataforma HRIS de BambooHR puede admitir expedientes de personal, incorporación, reclutamiento, tiempo y asistencia, gestión de ausencias, evaluación del desempeño, compensación, beneficios, funcionalidad relacionada con nómina, elaboración de informes, analítica, integraciones, APIs y funciones de inteligencia artificial.
Dependiendo de los servicios adquiridos por un cliente, Grouper puede proporcionar:
- Implementación de BambooHR;
- onboarding;
- configuración;
- configuración de la cuenta;
- asistencia de migración;
- servicios de integración;
- soporte técnico;
- soporte HRIS;
- capacitación;
- servicios de éxito del cliente;
- administración de servicios;
- mantenimiento de solución; y
- servicios profesionales relacionados.
El papel específico de protección de datos de Grouper depende de la actividad de procesamiento particular.
Cuando Grouper determina los fines y los medios del Tratamiento — por ejemplo, en ciertas actividades del sitio web, de ventas, de contacto comercial, de seguridad o de administración corporativa — Grouper actúa como Responsable.
Cuando Grouper Trata Datos Personales del Cliente únicamente en nombre de un Cliente y de conformidad con las instrucciones documentadas de ese Cliente, Grouper actúa como Encargado.
Cuando el propio Cliente actúa como Responsable para otro Controlador, Grouper puede actuar como Sub-procesador en la medida aplicable.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 Compromiso Central de Residencia Europea
Para los clientes que adquieren el servicio europeo de Grouper de BambooHR con residencia de datos en el EEE, los Datos Personales del Cliente que forman parte del entorno de producción principal del HRIS se alojan y almacenan dentro del EEE, con la ubicación principal de alojamiento en Irlanda.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 Almacenamiento frente a Acceso
La residencia de datos describe dónde se almacenan los Datos Personales del Cliente. No significa que no pueda ocurrir acceso autorizado de soporte o técnico desde otro país.
El acceso excepcional desde fuera del EEE puede ocurrir solo cuando sea necesario, esté autorizado y esté protegido legalmente como se describe en las Secciones 17 y 18 de esta Política.
4.3 Copias de seguridad, Resiliencia y Recuperación ante Desastres
Las disposiciones de respaldo, resiliencia y recuperación ante desastres están diseñadas para preservar la confidencialidad, integridad y disponibilidad y para permanecer consistentes con los compromisos de hosting regional contratados por el Cliente.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 No hay Relocalización de Rutina fuera del EEE
Grouper no utiliza acceso de soporte excepcional como mecanismo de relocalización de Datos Personales de Clientes en Europa de forma rutinaria.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
“Ley de Protección de Datos Aplicable” significa todas las leyes y reglamentos de protección de datos, privacidad y seguridad de datos aplicables al Tratamiento, incluyendo cuando corresponda:
- Reglamento (UE) 2016/679 — el Reglamento General de Protección de Datos (GDPR);
- la Ley de Protección de Datos de Irlanda de 2018;
- normas irlandesas de ePrivacy y comunicaciones electrónicas aplicables;
- la UK GDPR y la UK Data Protection Act 2018 cuando corresponda;
- ley de protección de datos suiza aplicable cuando corresponda;
- legislación nacional que implementa los requisitos de privacidad europeos; y
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
La información procesada depende de los Servicios seleccionados por el Cliente y de los datos que el Cliente elija colocar en el entorno de RR.HH.
6.1 Employee and Workforce Information
Los Datos Personales pueden incluir:
- nombre y números de identificación de empleados;
- fotografías cuando se proporcionen;
- datos de contacto de domicilio o trabajo;
- fecha de nacimiento, género e información demográfica cuando se proporcione;
- información marital o familiar cuando se proporcione;
- contactos de emergencia y números de teléfono;
- cualificaciones académicas y profesionales;
- Información de CV o currículum, historial laboral y dominio de idiomas;
- título de trabajo, grado, departamento, ubicación, líneas de reporte y afiliación de equipo;
- fechas de contratación y terminación, horas de trabajo y detalles contractuales;
- desempeño, evaluación, disciplina e información de historial laboral;
- beneficios, seguros, activos de la empresa e información de capacitación; y
- información de permisos, asistencia y tiempo libre.
6.2 Información de Nómina y Compensación
Cuando se usan servicios relevantes, los Datos Personales pueden incluir:
- salario, compensación y bonificaciones;
- información de impuestos y seguridad social;
- detalles bancarios y de pago;
- información de pensiones;
- opciones sobre acciones y otros beneficios; y
- otra información relacionada con nómina.
6.3 Reclutamiento, Candidatos e Información de Referencias
For candidates, prospective employees and referees, information may include:
- identidad y datos de contacto;
- CVs, currículums, historial laboral y calificaciones;
- registros de solicitud, entrevista y reclutamiento;
- comunicación con candidatos y estado de reclutamiento;
- información de compensación propuesta;
- nombres de referenciantes, datos de contacto y relación profesional; y
- información contenida en referencias.
6.4 Datos Especiales y Sensibles
Según el uso que un Cliente haga de la plataforma HRIS de BambooHR, los Servicios pueden contener información de salud o discapacidad y otros Datos Personales de categoría especial o sensibles.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
Los clientes no deben introducir información sensible en campos de texto libre ni en funciones de IA a menos que sea necesario, legal y permitido por los términos del producto relevantes.
Los Datos Personales tratados en relación con los servicios de Grouper pueden referirse a:
- empleados actuales, anteriores, candidatos y futuros;
- candidatos y solicitantes;
- contratistas, consultores, agentes y contratistas independientes;
- trabajadores de agencia, temporales y casuales;
- in practicantes y voluntarios;
- dependientes de empleados, beneficiarios y contactos de emergencia;
- referentes y proveedores de referencias;
- Administradores de clientes y usuarios autorizados; y
- otras personas cuyos Datos Personales un Cliente legalmente envía a los Servicios.
Los Datos Personales pueden obtenerse:
- directamente de la persona;
- del empleador de la persona o empleador potencial;
- de administradores y usuarios autorizados del Cliente;
- durante la implementación, configuración y migración de datos;
- a través de integraciones autorizadas o APIs;
- a través de solicitudes de soporte y resolución de problemas;
- a través de la plataforma BambooHR HRIS u otro sistema seleccionado por el Cliente;
- a través de procesos de reclutamiento;
- de fuentes públicas donde se utilicen legalmente; y
- de otras fuentes legales autorizadas por el Cliente.
Grouper Procesa Datos Personales solo para fines especificados y lícitos. Estos pueden incluir:
- implementación y configuración de la plataforma BambooHR HRIS;
- alojamiento o facilitación del alojamiento de Datos Personales del Cliente;
- administración de cuentas y permisos de usuarios;
- mantenimiento y aseguramiento del servicio;
- proporcionar soporte al cliente y técnico;
- apoyar integraciones y migraciones;
- entregar formación y servicios profesionales;
- gestionar suscripciones y relaciones con el cliente;
- detectar e investigar eventos de seguridad;
- mantener registros de auditoría;
- prevenir fraude o uso indebido;
- cumplir obligaciones legales; y
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
Cuando el personal de soporte acceda a Datos Personales del Cliente, el acceso debe limitarse a la información mínima razonablemente necesaria para el objetivo de soporte y debe ser realizado por personal autorizado sujeto a confidencialidad y controles de acceso.
Cuando Grouper actúa como Controlador, la base legal aplicable puede incluir:
10.1 Contrato
Procesamiento necesario para celebrar o ejecutar un contrato, o para tomar medidas antes de celebrar un contrato a solicitud del individuo.
10.2 Intereses legítimos
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- entrega de servicios;
- administración del cliente;
- seguridad de la información;
- prevención de fraude;
- continuidad del negocio;
- soporte al cliente; y
- relationship management.
10.3 Obligación legal
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 Consentimiento
Cuando corresponda, el Tratamiento puede basarse en el consentimiento. El consentimiento puede retirarse en cualquier momento sin afectar la licitud del Tratamiento realizado antes de la retirada.
Cuando el Cliente actúa como Controlador, el Cliente es responsable de:
- determinar los fines para los que se procesan los Datos Personales;
- establecimiento de bases legales y condiciones de categoría especial;
- proporcionar avisos de privacidad requeridos;
- obtener consentimiento cuando sea necesario;
- asegurar la precisión y la calidad de los datos;
- determinar los periodos de retención apropiados;
- gestionar a los usuarios autorizados y permisos;
- utilizar los Servicios de forma segura; y
- asegurar que sus instrucciones a Grouper sean legales.
El Cliente no debe instruir a Grouper para Procesar Datos Personales de una manera que infrinja la Ley de Protección de Datos aplicable.
Grouper notificará al Cliente cuando, a su juicio razonable, una instrucción infrinja la Ley de Protección de Datos aplicable y puede suspender el procesamiento afectado hasta que se resuelva el problema.
Grouper limita el acceso a Datos Personales del Cliente a personas autorizadas que razonablemente requieren acceso para sus funciones. El personal está sujeto a obligaciones de confidencialidad adecuadas y recibe formación en privacidad y seguridad acorde a su rol. El acceso se rige por los principios de menor privilegio y necesidad de saber.
Los controles de acceso incluyen:
- controles de identidad y autenticación;
- controles basados en roles y de acceso privilegiado;
- controles de cuentas administrativas;
- gestión del ciclo de vida de la cuenta;
- registro de accesos y monitoreo;
- revisión periódica de accesos;
- requisitos de confidencialidad y uso aceptable; y
- personal adecuado y formación.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
Las medidas incluyen:
- controles de acceso físicos y lógicos;
- autenticación fuerte y controles de contraseñas adecuados;
- cifrado en tránsito y en reposo cuando sea apropiado;
- seudonimización cuando sea adecuado;
- cortafuegos de red, seguridad perimetral y detección de intrusiones;
- registros, monitoreo y trazabilidad;
- gestión de vulnerabilidades y pruebas de seguridad;
- acceso administrativo restringido;
- transmisión segura, incluidos canales de transferencia protegidos;
- copia de seguridad, redundancia, recuperación y resiliencia;
- planificación de continuidad del negocio y recuperación ante desastres;
- desarrollo seguro y gestión de cambios;
- separación de datos entre clientes y fines de procesamiento;
- procedimientos de respuesta a incidentes;
- concienciación y formación del personal en seguridad; y
- diligencia debida de subprocesadores y gobernanza de seguridad.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
Cuando Grouper actúa como Responsable y toma conocimiento de una violación real o sospechada de Datos Personales que afecte a Datos Personales del Cliente, Grouper notificará al Cliente relevante en el tiempo más expedito razonablemente posible y, en cualquier caso, dentro de las 48 horas de haberse enterado del incidente.
En la medida de lo razonablemente disponible, la notificación incluirá:
- la naturaleza del incidente;
- categorías de Datos Personales afectados;
- categorías aproximadas y números de Sujetos de Datos y registros;
- consecuencias probables;
- medidas adoptadas o propuestas;
- acciones de mitigación; y
- un punto de contacto para información adicional.
La información puede proporcionarse por fases a medida que esté disponible.
Grouper proporcionará cooperación razonable para permitir al Cliente cumplir con las obligaciones regulatorias y de notificación a los Sujetos de Datos.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper puede designar Subprocesadores y proveedores de servicios cuidadosamente seleccionados cuando sea necesario para proporcionar, alojar, asegurar, apoyar, supervisar o mejorar los Servicios.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
Cuando los términos aplicables del cliente prevean autorización escrita general, los Clientes recibirán aviso previo de Subprocesadores nuevos materiales y una oportunidad de oponerse por motivos razonables de protección de datos.
Para los subencargados de BambooHR, el BambooHR DPA vigente brinda al menos 30 días de aviso previo sobre un nuevo Subcontratista que Procesará Datos Personales del Cliente.
El Anexo 4 proporciona transparencia sobre las categorías clave de proveedores y proveedores identificados en los materiales de servicio que rigen.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
El Procesamiento de BambooHR se rige por los términos contractuales y de protección de datos aplicables, incluido su DPA, las medidas de seguridad, los acuerdos con subprocesadores y las salvaguardas para transferencias internacionales.
Grouper sigue siendo responsable de sus propias obligaciones conforme a la Ley de Protección de Datos Aplicable y al acuerdo vigente con el cliente. Cuando BambooHR procesa Datos Personales para respaldar el entorno de clientes europeos de Grouper, aplican los requisitos contractuales, de seguridad y de residencia de datos correspondientes.
Para el servicio europeo contratado de Grouper, los Datos Personales del Cliente están diseñados para almacenarse en el EEE, con alojamiento principal en Irlanda a través de Amazon Web Services (AWS). El Tratamiento Autorizado o el acceso remoto desde fuera del EEE puede constituir una Transferencia Restringida aun cuando los datos sigan almacenados en Irlanda. Dicho acceso solo se permite cuando sea lícito, necesario y esté protegido por las salvaguardas adecuadas.
Ejemplos de escenarios excepcionales incluyen:
- una emergencia que afecte el entorno del centro de datos irlandés o la continuidad del servicio;
- una solicitud de soporte o mantenimiento que requiera acceso autorizado de un especialista desde fuera del EEE, sujeto a la aprobación contractual o correspondiente del Cliente; y
- una solicitud verificada del Cliente para reubicar o procesar datos fuera de la región de alojamiento europea contratada.
Cuando se produzca una Transferencia Restringida, Grouper y/o el proveedor de tecnología relevante utilizarán un mecanismo reconocido legalmente tales como:
- una decisión de adecuación;
- las Cláusulas Contractuales Estándar de la Unión Europea;
- el Anexo de Transferencia de Datos Internacional del Reino Unido cuando corresponda;
- participación en el Marco de Privacidad de Datos EU-US cuando esté disponible y sea aplicable;
- Reglas Corporativas Vinculantes cuando corresponda; o
- otra salvaguarda válida reconocida bajo la Ley de Protección de Datos aplicable.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
Nada en estos acuerdos de acceso excepcional modifica el compromiso de Grouper de que los Datos Personales del Cliente para el servicio europeo se almacenen dentro del EEE.
Cuando se requieren Cláusulas Contractuales Estándar de la UE, se incorporan en su forma oficialmente aprobada sin alteración del lenguaje obligatorio. Para transferencias de Controlador a Procesador, normalmente se aplicará el Módulo Dos a menos que las partes requieran otro módulo.
Cuando Irlanda sea la ley y foro aplicables de gobernanza de la UE, las partes acuerdan los tribunales de Irlanda como se establece en el anexo SCC aplicable.
Para transferencias sujetas a la Ley de Protección de Datos del Reino Unido, las SCC de la UE se aplicarán junto con el Anexo de Transferencia de Datos Internacional del Reino Unido vigente o con otro mecanismo de transferencia legalmente reconocido.
Supplementary measures may include:
- cifrado;
- restricciones de acceso;
- controles de gestión de claves;
- minimización;
- registro;
- limitaciones Contractuales sobre la transferencia posterior;
- procedimientos de revisión ante solicitudes gubernamentales;
- medidas de transparencia; y
- suspensión o terminación de transferencias cuando no pueda garantizarse un nivel adecuado de protección.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
Las solicitudes ilegales o desproporcionadas se impugnarán cuando existan motivos razonables y una base legal para hacerlo.
La divulgación se limitará al mínimo legalmente requerido.
El Cliente será notificado cuando esté legalmente permitido. Cuando la notificación esté prohibida, se realizarán esfuerzos razonables para obtener permiso para proporcionar la notificación cuando sea apropiado.
Los registros de la solicitud y la respuesta se mantendrán según lo exija la ley y el mecanismo de transferencia aplicable.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- acceso;
- rectificación;
- borrado;
- restricción del Procesamiento;
- portabilidad de datos;
- objeción;
- retirada del consentimiento;
- derechos relacionados con la toma de decisiones automatizada y la elaboración de perfiles; y
- the right to complain to a competent supervisory authority.
Cuando Grouper actúa como Processor, las solicitudes relacionadas con Datos Personales del Cliente deben dirigirse ordinariamente al Cliente relevante como Controlador. Si Grouper recibe dicha solicitud directamente, Grouper, salvo prohibición legal, derivará o notificará la solicitud al Cliente y no responderá sustantivamente salvo bajo instrucciones documentadas del Cliente o cuando lo exija la ley. Grouper proporcionará la cooperación razonable para permitir al Cliente cumplir con sus obligaciones.
Teniendo en cuenta la naturaleza del Procesamiento y la información disponible para Grouper, Grouper proporcionará asistencia razonable en Evaluaciones de Impacto de Protección de Datos y, cuando sea necesario, consulta previa con una autoridad de supervisión competente.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- documentación de seguridad;
- políticas;
- información de cumplimiento;
- información de auditoría;
- informes de aseguramiento independientes;
- certificaciones relevantes; y
- respuestas a cuestionarios razonables de seguridad.
Cuando sea legal o contractualmente requerido y la evidencia documental razonable sea insuficiente, los Clientes pueden ejercer los derechos de auditoría aplicables con aviso razonable, sujeto a confidencialidad, seguridad, no interferencia y protecciones para la información de otros clientes. A menos que sea necesario por un Incidente de Seguridad, requisito regulatorio o evidencia razonable de incumplimiento material, las auditorías formales deberían limitarse normalmente a una vez en cualquier periodo de doce meses. Los clientes suelen asumir sus propios costos de auditoría a menos que la ley o el contrato disponga lo contrario.
Grouper retiene Datos Personales solo mientras sea razonablemente necesario para el fin relevante o según lo exija la ley.
Cuando Grouper actúa como Processor, la retención está determinada principalmente por:
- instrucciones documentadas del Cliente;
- el acuerdo con el Cliente aplicable;
- la duración de los Servicios;
- requisitos de soporte;
- obligaciones legales; y
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
Los Clientes son responsables de mantener Datos Personales de Clientes precisos. Donde Grouper o un procesador tome conocimiento de que los datos son inexactos o están desactualizados en circunstancias que requieren acción, Grouper cooperará con el Cliente para rectificar o borrar los datos de acuerdo con las instrucciones documentadas y la Ley de Protección de Datos aplicable.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
Ciertas características de BambooHR pueden usar inteligencia artificial o aprendizaje automático. La funcionalidad de IA es opcional cuando se identifica como tal y puede estar sujeta a términos de IA separados de BambooHR.
Los materiales actuales del servicio de IA de BambooHR identifican proveedores de IA de terceros, incluidos OpenAI, Cohere y Anthropic/Claude, y los materiales actuales de subcontratistas pueden identificar proveedores adicionales de IA o de procesamiento de documentos (como LlamaIndex) según la configuración de la función.
Customers remain responsible for:
- evaluar si el uso de IA es apropiado para su organización;
- establecer una base legal;
- proporcionar la transparencia necesaria a los titulares de los datos;
- obtener consentimiento cuando sea necesario;
- implementar una supervisión humana suficiente;
- evaluar riesgos de sesgo y equidad; y
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
Cuando BambooHR utiliza Datos del Cliente, Entrada o Salida para ajustar o entrenar un modelo específico del cliente, los términos de IA aplicables de BambooHR establecen que dicho uso es para proporcionar las funciones de IA a ese Cliente y que el modelo entrenado por el cliente resultante no se utiliza para brindar servicios a otros clientes.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
El acceso programático debe usar métodos de autenticación compatibles y no debe exponer Datos del Cliente ni credenciales a terceros no autorizados.
Las integraciones no deben usar Datos del Cliente más allá del fin documentado y autorizado.
Cuando un proveedor de integración procesa Datos Personales en nombre del Cliente o de Grouper, deben aplicarse términos de procesador o subprocessor y salvaguardas de transferencia adecuadas.
Cuando Grouper actúa como Controlador en relación con sus propias actividades comerciales, podemos Procesar información de contacto comercial relacionada con:
- clientes potenciales;
- contactos de clientes;
- proveedores;
- socios;
- asesores profesionales;
- asistentes a eventos;
- visitantes del sitio web; y
- personas que contactan a Grouper.
La información puede incluir nombre, organización, cargo, datos de contacto comerciales, comunicaciones, información de consulta, dirección IP, información de navegador y dispositivo, páginas visitadas y datos técnicos similares.
Procesamos dicha información para responder consultas, administrar relaciones, proporcionar servicios solicitados, mantener la seguridad, cumplir contratos, cumplir la ley y, cuando esté permitido, enviar comunicaciones comerciales relevantes. Los destinatarios pueden optar por no recibir marketing directo en cualquier momento. Las comunicaciones operativas, contractuales, de seguridad y de servicio al cliente no son marketing.
Los sitios web pueden usar cookies esenciales, funcionales y analíticas y tecnologías similares. Cuando la ley lo requiera, las cookies no esenciales se usarán solo tras el consentimiento adecuado y a los usuarios se les proporcionarán controles para gestionar sus preferencias.
Grouper seeks to embed privacy into service design and operations. This includes:
- Opciones de residencia de datos europeas;
- minimización de datos;
- acceso de menor privilegio;
- autenticación adecuada;
- cifrado;
- registro de accesos;
- permisos basados en roles;
- transmisión segura;
- Controles de Sub-procesadores;
- controles de retención;
- procesos de respuesta a incidentes;
- formación en privacidad y seguridad;
- pruebas de seguridad;
- apoyo DPIA; y
- responsabilidad documentada.
Grouper mantendrá registros y medidas de gobernanza apropiados para su función y cooperará de buena fe con Clientes, Sujetos de Datos y autoridades de supervisión competentes.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
Cuando Grouper procesa Datos Personales de Cliente como Procesador, la Parte B y el acuerdo de cliente aplicable rigen la relación contractual de procesamiento. En caso de inconsistencia con respecto a Datos Personales del Cliente, se aplica el siguiente orden de prevalencia: Ley de Protección de Datos aplicable obligatoria; SCCs aplicables, Addéndum del Reino Unido u otro mecanismo de transferencia obligatorio; el Acuerdo de Procesamiento de Datos; las disposiciones de protección de datos aplicables del Acuerdo; y el resto del Acuerdo.
La propuesta europea de Grouper para BambooHR se basa en tres principios:
Residencia de datos europea.
Los Datos Personales del Cliente se alojan y almacenan dentro del EEE, con el alojamiento principal en Irlanda a través de Amazon Web Services (AWS).
Estándares de privacidad europeos.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
Servicio y soporte europeos.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
Nuestro objetivo es permitir a las organizaciones usar BambooHR manteniendo la privacidad, la gobernanza y los estándares de residencia de datos que esperan los clientes europeos.
Las preguntas relacionadas con esta Política de Privacidad, las actividades de procesamiento de Grouper, los derechos de los Sujetos de Datos, la seguridad o nuestras disposiciones de residencia de datos en Europa pueden enviarse a través de los canales designados de privacidad o de atención al cliente de Grouper.
Grouper Technology Limited también puede ser contactada en 3rd Floor, 22 Ely Place, Dublín, D02 AH73, Irlanda.
Donde los Datos Personales relevantes se encuentren dentro de la cuenta BambooHR de un empleador, las personas normalmente deben contactar primero a ese empleador, ya que esa organización suele ser el Responsable del tratamiento que determina cómo se utiliza la información.
Este Acuerdo de Procesamiento de Datos (“DPA”) forma parte del acuerdo, formulario de pedido, declaración de trabajo u otro contrato que rige la prestación de los servicios relacionados con Grouper de BambooHR-relacionados entre el Cliente y Grouper Technology Limited.
Al prestar los Servicios, Grouper puede Procesar Datos Personales del Cliente en nombre del Cliente. Este DPA establece las obligaciones respectivas de las Partes para ese procesamiento.
Este DPA se aplica en la medida en que Grouper Procesa Datos Personales del Cliente en nombre del Cliente y dicho Procesamiento está sujeto a la Ley de Protección de Datos aplicable. Complementa y forma parte del Acuerdo; los términos en mayúsculas no definidos aquí tienen el significado dado en el Acuerdo.
Para este DPA:
Datos Personales del Cliente
Datos Personales controlados por un Cliente o Afiliada del Cliente y Procesados por Grouper en relación con los Servicios.
Transferencia Restringida
Una transferencia de Datos Personales que requiere un mecanismo de transferencia legal conforme a la Ley de Protección de Datos aplicable.
Cláusulas Contractuales Estándar (SCCs)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
Un tercero designado por o en nombre de Grouper para Procesar Datos Personales del Cliente.
Proveedor de tecnología
BambooHR LLC y, cuando corresponda, entidades relacionadas BambooHR que proporcionan la plataforma subyacente de tecnología HR.
A menos que se acuerde por escrito lo contrario, el Cliente actúa como Controlador y Grouper actúa como Procesador. Cuando el Cliente actúa como Procesador para otro Controlador, Grouper actúa como Sub-procesador en la medida en que sea aplicable.
Grouper Procesará Datos Personales del Cliente solo con instrucciones documentadas del Cliente y solo en la medida necesaria para proporcionar, mantener, asegurar y apoyar los Servicios, salvo que la ley aplicable exija procesar los datos.
Grouper informará con prontitud al Cliente si, a su juicio razonable, una instrucción infringe la Ley de Protección de Datos Aplicable y puede suspender el procesamiento afectado pendiente de resolución.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper garantizará que las Personas Autorizadas estén sujetas a obligaciones de confidencialidad adecuadas, accedan a Datos Personales del Cliente solo cuando sea razonablemente necesario, reciban formación adecuada en privacidad y seguridad y Procesen Datos Personales del Cliente solo de acuerdo con este DPA y las instrucciones documentadas del Cliente. El acceso se limitará según los principios de menor privilegio y necesidad de saber.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
Los dominios de control mínimos se describen en el Anexo 2. Grouper puede actualizar esas medidas siempre que los cambios no disminuyan materialmente el nivel general de protección otorgado a Datos Personales del Cliente.
Grouper notificará al Cliente tan pronto como sea razonablemente práctico y, cuando aplique el compromiso contractual de 48 horas, en ningún caso después de 48 horas desde que tome conocimiento de un Incidente de Seguridad real o sospechado que afecte a Datos Personales del Cliente.
La información puede proporcionarse por fases a medida que esté disponible. Grouper proporcionará la cooperación razonable necesaria para que el Cliente cumpla con las obligaciones de notificación a las autoridades supervisoras y a los Sujetos de Datos afectados.
El Cliente otorga a Grouper una autorización escrita general para contratar Sub-procesadores necesarios para proporcionar los Servicios.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
Cuando se aplique el DPA subyacente de BambooHR, BambooHR actualmente proporciona al menos 30 días de aviso previo por escrito sobre un Subcontratista que procesará Datos Personales del Cliente.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Si Grouper recibe una solicitud directamente relacionada con Datos Personales del Cliente, Grouper derivará o notificará al Cliente con prontitud y no responderá sustantivamente salvo bajo instrucciones documentadas o cuando lo exija la ley.
Grouper proporcionará asistencia razonable, teniendo en cuenta la naturaleza del Procesamiento y la información disponible, en Evaluaciones de Impacto de Protección de Datos, consulta previa con autoridades de supervisión y investigaciones razonables por una autoridad de supervisión competente relacionadas con los Servicios.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
En la medida permitida por la ley, Grouper revisará solicitudes vinculantes de autoridad pública para Datos Personales de Clientes, cuestionará solicitudes ilegales o desproporcionadas cuando existan fundamentos razonables, buscará limitar la divulgación al mínimo legalmente requerido, notificará al Cliente cuando legalmente sea permitido y mantendrá registros adecuados.
A solicitud del Cliente, o al finalizar o terminar los Servicios, Grouper, a opción del Cliente y sujeto a la viabilidad técnica y al Acuerdo, devolverá o eliminará de forma segura los Datos Personales del Cliente y exigirá a los Subprocesadores relevantes que hagan lo mismo. Cuando la ley exija retención, Grouper aislara y protegerá los datos retenidos y los procesará solo cuando sea legalmente requerido.
El Cliente garantiza que tiene los derechos, permisos, avisos, bases legales y consentimientos necesarios para proporcionar Datos Personales del Cliente para su procesamiento; que sus instrucciones cumplen con la Ley de Protección de Datos Aplicable; que no instruirá un procesamiento ilegal; y que configurará y usará los Servicios de forma segura y mantendrá controles adecuados sobre cuentas de usuario, credenciales e integraciones.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
Este DPA entra en vigor cuando el Cliente queda obligado por el mismo y continúa mientras Grouper Procese Datos Personales del Cliente en nombre del Cliente. Las obligaciones que por su naturaleza o por ley deben continuar mientras los datos se conserven sobreviven a la expiración o terminación.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
En caso de inconsistencia respecto a Datos Personales del Cliente, se aplica el siguiente orden de precedencia: Ley de Protección de Datos aplicable obligatoria; SCCs aplicables, Anexo del Reino Unido u otro mecanismo de transferencia obligatorio; este DPA; disposiciones de protección de datos aplicables del Acuerdo; y el resto del Acuerdo.
Responsable / Exportador de Datos
The Customer identified in the applicable Agreement or Order Form.
Procesador / Importador de Datos
Grouper Technology Limited, 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Irlanda.
Proveedor de tecnología
BambooHR LLC y las entidades BambooHR aplicables que proporcionan la plataforma HRIS subyacente.
Objeto
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
Naturaleza del Procesamiento
Recolección, recepción, registro, organización, estructuración, migración, hosting, almacenamiento, recuperación, consulta, uso, transmisión, disponibilidad, restricción, soporte de acceso, eliminación y otros Procesamientos razonablemente necesarios para proporcionar los Servicios.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
Durante la vigencia de los Servicios y cualquier periodo subsiguiente necesario para devolver o eliminar Datos Personales del Cliente o cumplir con la ley.
Sujetos de Datos
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
Datos Personales
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
Datos Sensibles
Cuando sea seleccionado por el Cliente, puede incluir información de salud y discapacidad y otros datos de categoría especial o sensibles permitidos por los Servicios.
Almacenamiento Primario Europeo
Irlanda / EEA vía Amazon Web Services (AWS) para Clientes que adquieren el servicio de residencia de datos europeo.
Autoridad Supervisora Competente
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper mantiene medidas técnicas y organizativas en los siguientes dominios de control mínimos:
1. Gobernanza de Seguridad de la Información
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. Seguridad del Personal
Obligaciones de confidencialidad, selección de personal adecuada al cargo cuando sea legal, concienciación en seguridad y formación en privacidad, y controles disciplinarios para acceso no autorizado.
3. Seguridad Física
Acceso restringido a instalaciones e infraestructura relevantes; rutas de acceso controladas; autorizaciones de acceso; monitorización física y otras salvaguardas adecuadas al entorno de hosting.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. Control de Acceso a Datos
Controles diseñados para que usuarios autorizados solo accedan a datos dentro de sus permisos; registro y monitoreo de accesos; liberación de datos solo a personas autorizadas.
6. Encriptación y Pseudonimización
Encriptación adecuada de Datos Personales en tránsito y en reposo; pseudonimización cuando sea apropiado para el propósito del procesamiento.
7. Seguridad de Red y Transmisión
Firewalls, gateways protegidos, canales de comunicación seguros, mecanismos de transferencia protegidos TLS/SFTP o equivalentes, y controles contra interceptación o alteración no autorizadas.
8. Registro y Monitoreo
Registro de actividad relevante del sistema, administrativa y de acceso; monitoreo de eventos sospechosos; retención de información de auditoría adecuada al riesgo.
9. Control de Entrada y Cambio
Controles para identificar quién ingresó, alteró o eliminó datos; autenticación de usuarios y sistemas autorizados; prácticas documentadas de gestión de cambios.
10. Pruebas de Vulnerabilidad y Seguridad
Procesos para identificar, evaluar y remediar vulnerabilidades; pruebas periódicas de penetración o de seguridad; evaluación y valoración regulares de la efectividad de controles.
11. Disponibilidad, Copia de Seguridad y Recuperación
Redundancia de infraestructura, capacidad de copia de seguridad, restauración, controles de disponibilidad y protección contra pérdida o destrucción accidental.
12. Continuidad de Negocio y Recuperación ante Desastres
Planes de continuidad y recuperación documentados diseñados para restaurar disponibilidad y acceso en un plazo razonable tras una interrupción o Incidente de Seguridad.
13. Separación de Datos
Separación lógica o a nivel de aplicación entre clientes y entre fines de procesamiento; controles diseñados para evitar acceso no autorizado entre clientes.
14. Desarrollo Seguro
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
Debida diligencia, obligaciones de protección de datos por escrito, revisión de seguridad, salvaguardas de transferencia y supervisión continua apropiada para el procesamiento.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
Transferencias Restrictivas de la UE
Cuando se requieren SCCs de la UE, los SCCs oficiales de la Comisión Europea se incorporan por referencia sin alteración del texto obligatorio. A menos que los roles exijan lo contrario, el Cliente es el Exportador de Datos, Grouper y/o el Proveedor de Tecnología aplicable es el Importador de Datos, y el Módulo Dos se aplica a transferencias de Controlador a Procesador.
Transferencias Restringidas del Reino Unido
Para transferencias sujetas a la Ley de Protección de Datos del Reino Unido, las SCC de la UE se aplicarán junto con el Anexo de Transferencia de Datos Internacional del Reino Unido vigente o con otro mecanismo de transferencia legalmente reconocido.
Transferencias suizas
Para transferencias sujetas a la ley suiza de protección de datos, los SCCs serán interpretados y adaptados según lo requiera la ley suiza aplicable, incluyendo referencias apropiadas a la autoridad supervisora suiza y a los Sujetos de Datos suizos.
Marco de Privacidad de Datos UE-EE. UU.
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
Escenarios de Acceso Excepcional para Clientes Europeos
El acceso excepcional autorizado fuera del EEE solo puede ocurrir en las siguientes circunstancias:
- una emergencia que afecte el entorno del centro de datos irlandés o la continuidad del servicio;
- a) una solicitud de soporte o mantenimiento que requiera acceso autorizado de especialistas fuera del EEE, sujeta a la aprobación o autorización contractual del Cliente; y
- b) una solicitud verificada del Cliente para Procesamiento o hosting fuera de la región europea.
Los proveedores precisos utilizados varían por producto, característica, ruta de soporte y configuración del Cliente. El registro de subprocesadores en vivo actual mantenido por Grouper y/o BambooHR es el que controla la prestación activa del servicio.
Los proveedores clave identificados en los materiales de servicio de gobernanza. Un proveedor listado aquí no necesariamente Procesa Datos Personales del Cliente para cada Cliente o para cada implementación.
BambooHR LLC
Proveedor de tecnología; mantenimiento de HRIS, hosting y soporte. Ubicación: Estados Unidos / regiones de servicio incluidas Europa.
Amazon Web Services (AWS)
Infraestructura principal de hosting en la nube; hosting regional europeo en Irlanda. Ubicación: Irlanda / Europa y otras regiones según la configuración del servicio.
Anthropic / Claude
Procesamiento de IA / modelos de lenguaje. Ubicación: Estados Unidos.
Cohere
API de modelos de lenguaje / procesamiento de IA. Ubicación: Estados Unidos.
OpenAI
API de modelos de lenguaje / procesamiento de IA. Ubicación: Estados Unidos.
LlamaIndex / LlamaParse
Procesamiento opcional de documentos asociado a la funcionalidad de IA. Ubicación: Estados Unidos.
Atlas MongoDB
Almacenamiento de datos que soporta servicios seleccionados / funcionalidad relacionada con IA. Ubicación: Estados Unidos.
Gainsight
Relaciones con clientes / CRM.
Salesforce
Plataforma CRM.
Cloudflare
Firewall de aplicación web / seguridad.
Datadog
Monitoreo de infraestructura y aplicaciones.
Microsoft / Google Workspace
Colaboración, comunicación y almacenamiento de documentos dependiendo de la configuración actual.
Mailgun
Comunicaciones de aplicación.
Snowflake
Análisis de datos.
Twilio
MFA / entrega de SMS.
Proveedores Adicionales
Los proveedores adicionales identificados en los materiales de servicio actuales pueden incluir Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike y otros. Los Clientes deben consultar la lista de subcontratistas en vivo de BambooHR y la información actual de subprocesadores de Grouper para obtener los detalles más actuales.
1. Alcance
Este Anexo se aplica cuando el Cliente habilita o utiliza funcionalidad de inteligencia artificial o aprendizaje automático BambooHR en relación con Servicios Grouper soportados.
2. Proveedores de IA
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. Entradas y Salidas
Las indicaciones, instrucciones o datos proporcionados por el Cliente para la funcionalidad de IA pueden constituir 'Entradas' y las respuestas generadas pueden constituir 'Salidas'. Dependiendo de la función, las Entradas o Salidas pueden incluir Datos del Cliente. Las Salidas pueden no ser únicas y pueden ser similares a las salidas producidas para otros usuarios.
4. Responsabilidades del Cliente y Supervisión Humana
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. Restricciones de Datos Sensibles y Regulados
Cuando esté prohibido por los términos de IA aplicables, el Cliente no debe enviar información sensible o regulada a las funciones de IA, incluida información de salud, genética o biométrica, números de identificación emitidos por el gobierno o información financiera personal o de cuentas bancarias. Los Clientes deben minimizar los Datos Personales en las indicaciones.
6. Precisión, Sesgo y Equidad
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
Cuando los términos de IA aplicables de BambooHR permiten el uso de Datos de Rendimiento y Retroalimentación para mejorar la funcionalidad de IA, dicho uso está regido por esos términos. Cuando se utilicen Datos del Cliente para ajustar un modelo específico del cliente, el modelo resultante se utiliza para proporcionar funciones de IA a ese Cliente y no se utiliza para prestar servicios a otros clientes.
8. Procesamiento Internacional
Los proveedores de IA pueden Procesar Entradas autorizadas o Datos Personales relacionados fuera del EEE. Dicho procesamiento está sujeto a las salvaguardas de transferencia en este DPA y no altera la ubicación del almacenamiento central de RR. HH. contratado por el Cliente. Los Clientes deben evaluar si el uso opcional de IA es consistente con su propia residencia, consejo de trabajo, normativa laboral y requisitos de riesgo antes de habilitarlo.
¿Preguntas sobre esta Política de Privacidad o sus derechos de datos?
Contáctenos
