Legal
Tietosuojakäytäntö | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
Viimeksi päivitetty: 16. elokuuta 2026
Grouper on sitoutunut suojaamaan henkilötietoja ja ylläpitämään korkeita tietosuojan, turvallisuuden ja säädösten noudattamisen standardeja. Tietosuojan hallinta käsitellään keskeisenä operatiivisena ja sopimuksellisena vastuuna, ei jälkikäteen. Suunnittelemme palvelukokonaisuuden, pääsyoikeudet, tuki- ja vetäytymisprosessit sekä toimittajavetoisen hallinnon siten, että more accountability, integriteetti, luottamuksellisuus ja läpinäkyvyysperiaatteet näkyvät GDPR.
Tämä tietosuojakäytäntö selittää, miten Grouper Technology Limited (“Grouper”, ”me”, ”meidän” tai ”meidän”) kerää, käyttää, käyttää, isännöi, tallentaa, suojaa, siirtää ja muuten käsittelee henkilötietoja tarjottujen palveluiden yhteydessä, mukaan lukien BambooHR:n roolimme Euroopan kumppanina.
Grouper tukee organisaatioita Irlannissa, Yhdistyneessä kuningaskunnassa, Euroopassa ja muilla alueilla BambooHR HRIS-alustan sekä siihen liittyvän HR-teknologian käyttöönotossa, hallinnoinnissa ja käytössä.
Eurooppalainen palvelumallimme perustuu selkeään periaatteeseen eurooppalaisesta datan asuinkunnasta. Grouper:n Euroopan BambooHR -palvelun kautta käsitellyt asiakkaiden henkilötiedot isännöidään ja tallennetaan Euroopan talousalueella (EEA), ensisijaisena isännöintinä Irlannissa.
Tämän tietosuojakäytännön sovelletaan henkilötietojen käsittelyyn, joka liittyy:
- BambooHR käyttöönotto ja perehdytys;
- HRIS-kokoonpano;
- tilin hallinta;
- asiakastuki;
- tekninen tuki;
- integraatio-tuki;
- datamigraatio;
- asiakasmenestys;
- koulutus;
- ammatilliset palvelut;
- turvallisuus ja palvelinhallinta;
- asiakasviestintä;
- myynti ja esitykset;
- Grouper -verkkosivustot ja digipalvelut; ja
- yleistaloudelliset liiketoiminta-aktiviteettimme.
Grouper Technology Limited on irlantilainen yritys, jonka rekisteröity osoite on 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.
BambooHR tarjoaa taustan HR-tiedotustojärjestelmän ja siihen liittyvän tuotekäyttötarkoituksen. Grouper tarjoaa eurooppalaisen käyttöönoton, migraation, konfiguroinnin, koulutuksen, asiakastuen, palvelunhallinnan ja siihen liittyvät ammatilliset palvelut. Asiakkaan tilaus- ja konfigurointisyövän mukaan BambooHR HRIS -alusta voi tukea työntekijärekistereitä, onboardingia, rekrytointia, ajan- ja läsnäolotietoja, poissaolien hallintaa, suorituskykyä, palkkaukseen liittyviä toimintoja, etuuksia, palkanlaskentaan liittyviä toimintoja, raportointia, analytiikkaa, integraatioita, API-rajapintoja ja tekoälyominaisuuksia.
Riippuen asiakkaan ostamien palvelujen luonteesta Grouper voi tarjota:
- BambooHR toteutus;
- onboarding;
- konfigurointi;
- tilin luominen;
- muuttopalvelujen avustaminen;
- integrointipalvelut;
- tekninen tuki;
- HRIS-tuki;
- koulutus;
- asiakastyytyväisyyspalvelut;
- palvelun hallinnointi;
- vianmääritys; ja
- sivuun liittyvät ammatilliset palvelut.
Tarkan Grouper henkilötietojen suojan rooli riippuu käsittelyn toiminnasta.
Missä Grouper määrittelee käsittelyn tarkoitukset ja keinot — esimerkiksi tietyissä verkkosivuston, myynti-, liiketoimintayhteystieto-, turvallisuus- tai yritysadministratiivitoiminnoissa — Grouper toimii Sekä Reklaamona.
Missä Grouper käsittelee asiakkaan henkilötietoja yksinomaan asiakkaan lukuun ja kyseisen asiakkaan kirjallisten ohjeiden mukaan, Grouper toimii Käyttäjänä.
Kun Asiakas toimii toisten Kontrolloijien puolesta käsittelijänä, Grouper voi toimia ali-käsittelijänä soveltuvalla tavalla.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 Ydin Eurooppalainen säilytysvelvoite
Asiakkaat, jotka ostavat Grouper:n Euroopan BambooHR -palvelua EEA-datan asuinkunnalla, muodostavat olennaisen osan core HRIS -tuotantoympistöä isännöidään ja tallennetaan EEA:n sisällä, ensisijainen isännöintipaikka Irlannissa.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 Tallennus versus pääsy
Tietojen säilytys kuvaa, missä Asiakkaan henkilötiedot säilytetään. Se ei tarkoita, että ulkomailta ei koskaan voisi tapahtua valtuutettua tukea tai teknistä pääsyä.
Kohdennettu pääsy EU-alueen ulkopuolelta voi tapahtua vain, kun se on tarpeellista, valtuutettua ja lainopillisesti suojattua tässä ohjeistuksessa kohdissa 17 ja 18 kuvatulla tavalla.
4.3 Varmuuskopiot, Resilienssi ja Katastrofien palautus
Varmuuskopiointi-, kestävyys- ja katastrofipalautussuunnitelmat on laadittu säilyttämään luottamuksellisuus, eheys ja saatavuus sekä olevan asiakkaan sovittujen alueellisten hosting-takuujen mukaisia.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 Rutiiniluonteinen siirtäminen Ei-EU-alueelta
Grouper ei käytä poikkeuksellista tukea välineenä Eurooppalaisen Asiakkaan Henkilötietojen rutiiniluonteiseen siirtämiseen.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
“ Sovellettava tietosuojalaki ” tarkoittaa kaikkia käsittelyyn sovellettavia tietosuoja-, yksityisyys- ja tietoturlalakeja ja -säädöksiä, mukaan lukien mikäli olennaista:
- Euroopan unionin yleinen tietosuoja-asetus (EU) 2016/679 — Tietosuoja-asetus (GDPR);
- Irish Data Protection Act 2018; (julkaistaan suojelu ennen kaikkea)
- sovellettavat Irlannin yksityisyydensääntöjä ja sähköisiä viestintäohjeita;
- Yhdistyneen kuningaskunnan GDPR ja UK Data Protection Act 2018 soveltuvin tavoin;
- sovellettava Sveitsin tietosuojalainsäädäntö soveltuvin tavoin;
- sovellettava kansallinen lainsäädäntö, joka toteuttaa Euroopan yksityisyydn vaatimukset; ja
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
Käsiteltävät tiedot riippuvat Asiakkaan valituista Palveluista ja tiedoista, jotka Asiakas valitsee sijoitettavaksi HR-ympäristöön.
6.1 Employee and Workforce Information
Henkilötiedot voivat sisältää:
- nimi ja työntekijän tunnisteet;
- kuvat, jos ne ovat toimitettuja;
- koti- tai työpuhelinnumerot;
- syntymäaika, sukupuoli ja demografiset tiedot, jos ne ovat toimitettuja;
- naimaton tai perheeseen liittyvät tiedot, jos ne ovat toimitettuja;
- hätänumerot ja yhteystiedot;
- akateemiset ja ammatilliset pätevyydet;
- CV tai ansioluettelo tiedot, työhistoria ja kielivalmius;
- työnimike, luokka, osasto, sijainti, raportointiliitokset ja tiimiyhteys;
- työllistymis- ja irtisanomispäivät, työaika ja sopimusyhteenveto;
- suorituskyky, arviointi, kurinpitohistoria ja työhistoria
- edut, vakuutukset, yritysvarat ja koulutustiedot; ja
- loma- tai poissaolotiedot ja sairaspoissaolotiedot.
6.2 Palkka- ja korvaustiedot
Kun relevantit palvelut ovat käytössä, Henkilötiedot voivat sisältää:
- palkka, korvaukset ja bonukset;
- verotiedot ja sosiaaliturvatiedot;
- pankki- ja maksutiedot;
- eläketiedot;
- osuuskohteet ja muut edut; ja
- muu palkanlaskentaan liittyvä tieto.
6.3 Rekrytointi-, hakija- ja todentajatiedot
For candidates, prospective employees and referees, information may include:
- identiteetti ja yhteystiedot;
- CV:t, ansioluettelot, työhistoria ja pätevyydet;
- hakemus-, haastattelu- ja rekrytointirekisterit;
- hakijoiden viestintä ja rekrytointitila;
- ehdotettu palkkio tieto;
- todentajien nimet, yhteystiedot ja ammatillinen suhde;
- todistuksessa olevat tiedot.
6.4 Erityinen luokka ja herkästi käsiteltävät tiedot
Riippuen asiakkaan käytöstä BambooHR HRIS -alustalla, palvelut voivat sisältää terveydentilaan tai vammaisuuteen liittyviä tietoja sekä muita erityisryhmän tai arkaluonteisia henkilötietoja.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
Asiakkaiden ei tulisi syöttää herkkiä tietoja vapaamuotoisiin kenttiin tai AI-ominaisuuksiin, ellei se ole tarpeellista, laillista ja asianmukaisesti tuotteen ehdot sallivat.
Henkilötiedot, joita käsitellään Grouper:n palveluiden yhteydessä, voivat liittyä:
- nykyiset, entiset, tulevat ja tulevaisuuden työntekijät;
- kandidaatit ja hakijat;
- urakoitsijat, neuvonantajat, agendat ja itsenäiset urakoitsijat;
- toimisto, väliaikaiset ja epämuodolliset työntekijät;
- harjoittelijat ja vapaaehtoiset;
- työntekijän huoltajat, edunsaajat ja hätänumerot;
- suositteet ja suositteiden tarjoajat;
- Asiakashallinnoijat ja valtuutetut käyttäjät; ja
- muut henkilöt, joiden Henkilötietoja Asiakas laki mukaan toimittaa Palveluihin.
Henkilötietoja voidaan saada:
- suoraan yksilöltä;
- yksilön työnantajalta tai potentiaaliselta työnantajalta;
- Asiakashallinnoijilta ja valtuutetuilta käyttäjiltä;
- käyttöönoton, konfiguroinnin ja tietojen migraation aikana;
- valtuutettujen integraatioiden tai API:iden kautta;
- tukipyynnöistä ja vianmäärityksestä;
- BambooHR HRIS -alustan tai Asiakkaan valitseman muun järjestelmän kautta;
- rekrytointiprosessien kautta;
- julkaistuista lähteistä laillisesti käytettynä; ja
- muista Asiakkaan luvittämistä laillisista lähteistä.
Grouper käsittelee Henkilötietoja vain määriteltyihin ja laillisiin tarkoituksiin. Näihin voi kuulua:
- kokoamaan ja konfiguroimaan BambooHR HRIS -alustan;
- isännöintiä tai Asiakkaan Henkilötietojen isännöinnin mahdollistaminen;
- tilien ja käyttäjäoikeuksien hallinta;
- palvelun ylläpito ja turvaaminen;
- asiakas- ja teknisen tuen tarjoaminen;
- integraatioiden ja migraatioiden tukeminen;
- koulutuksen ja ammatillisen palvelun tarjoaminen;
- tilaukset ja asiakassuhteiden hallinta;
- turvallisuustapahtumien havaitseminen ja tutkiminen;
- auditointijärjestelmien ylläpito;
- petoksen tai väärinkäytön estäminen;
- lainsäädännöllisten velvoitteiden noudattaminen; ja
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
Kun tukihenkilöstö pääsee käsiksi Asiakkaan Henkilötietoihin, pääsyn on rajoitututtava minimiin tiedoihin, jotka ovat kohtuullisesti välttämättömiä tukitarkoitusta varten, ja sen on tapahduttava valtuutettujen henkilöstön toimesta, joihin sovelletaan vaitiolaisuuskirjausta ja pääsynhallintaa.
Kun Grouper toimii Käsittelijänä, sovellettavat lailliset perusteet voivat sisältää:
10.1 Sopimus
Käsittely, joka on välttämätöntä sopimuksen solmimiseksi tai suorittamiseksi tai toimenpiteisiin ryhtymiseksi ennen sopimusta yksilön pyynnöstä.
10.2 Oikeutetut edut
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- palvelutoimitus;
- asiakashallinto;
- tiedotietoturva;
- petosten ehkäisy;
- liiketoiminnan jatkuvuus;
- asiakastuki; ja
- relationship management.
10.3 Lainsäädäntövelvoite
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 Suostumus
Soveltuvin osin käsittely voidaan perustaa suostumukseen. Suostumuksen voi peruuttaa milloin tahansa ilman, että aiemmin suoritetun käsittelyn laillisuus muuttuu.
Kun Asiakas toimii Käsittelijänä, Asiakas vastaa seuraavista:
- määrittelee Henkilötietojen käsittelyn tarkoitukset;
- lausuttujen laillisten perusteiden ja erityiskategorian ehtojen määrittäminen;
- tarjoaa tarvittavat yksityisyydensekakohtaiset tiedonannot;
- hankkii suostumuksen, kun se on tarpeellista;
- varmistaa tietojen oikeellisuuden ja laadun;
- määrittää asianmukaiset säilytysaikojen pituiset;
- hallinnoi valtuutettuja käyttäjiä ja oikeuksia;
- käyttää Palveluita turvallisesti; ja
- varmistaa, että sen ohjeet Grouper ovat lailliset.
Asiakas ei saa käskeä Grouper käsittelemään Henkilötietoja tavalla, joka loukkaa sovellettavaa tietosuojalainsäädäntöä.
Grouper ilmoittaa Asiakkaalle, kun sen kohtuullisessa mielessä katsotaan, että ohje loukkaa sovellettavaa tietosuojalainsäädäntöä, ja voi keskeyttää kyseisen käsittelyn, kunnes asia on ratkaistu.
Grouper rajoittaa pääsyn Asiakkaan Henkilötietoihin valtuutetuille henkilöille, joiden työnkuva vaatii pääsyä. Henkilöstöä sitovat asianmukaiset vaitiolovelvoitteet ja he saavat rooliinsa soveltuvan yksityisyyden ja turvallisuuden koulutuksen. Pääsy määräytyy pienimmän oikeuden ja tarpeen mukaan -periaatteiden mukaisesti.
Pääsynvalvonta sisältää:
- henkilöllisyyden vahvistamisen ja todennuksen hallinta;
- roolipohjainen ja etuoikeutettu pääsyn hallinta;
- hallinnolliset tilikontrollit;
- tilin elinkaaren hallinta;
- pääsylokit ja seuranta;
- säännöllinen pääsyn tarkastelu;
- luottamuksellisuus ja hyväksyttävän käytön vaatimukset; ja
- asialliset henkilöstöturvallisuus- ja koulutustoimenpiteet.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
Toimenpiteet sisältävät:
- fyysiset ja loogiset pääsynvalvontatavat;
- vahva todennus ja asianmukaiset salasanahallintatavat;
- salaus Siirrossa ja levossa missä tarpeen;
- psseudonymisointi tarpeen mukaan;
- verkkosovellusten palomuurit, periferialisaatio ja tunkeutumisen havaitseminen;
- kirjaukset, valvonta ja auditointihaarat;
- haavoittuvuuksien hallinta ja turvallisuustestaus;
- rajoitettu järjestelmänvalvojan pääsy;
- turvallinen siirtäminen, mukaan lukien suojatut siirtokanavat;
- varmuuskopiointi, redundanssi, palauttaminen ja resilienssi;
- liiketoiminnan jatkuvuus ja katastrofipalautussuunnittelu;
- turvallinen kehitys ja muutoksenhallinta;
- asiakkaiden ja käsittelyn tarkoitusten välinen datan erottelu;
- tapahtuman käsittelyn menettelytavat;
- henkilöstön turvallisuustietoisuus ja koulutus; ja
- alitoteuttajan due diligence ja turvallisuusjohtaminen.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
Kun Grouper toimii käsittelijänä ja saa tietoon todellinen tai epäilty henkilötietorikos, joka koskee Asiakkaan henkilötietoja, Grouper ilmoittaa asianomaiselle asiakkaalle mahdollisimman nopeasti ja joka tapauksessa viimeistään 48 tunnin kuluessa tapahtuman havaitsemisesta.
Sillä perusteella, mitä on kohtuudella saatavilla, ilmoituksen tulee sisältää:
- tapahtuman luonne;
- vaikutettujen henkilötietojen luokat;
- arvioidut tietojenkäsittelytietojen arviot ja rekisteröityjen määrät;
- todennäköiset seuraamukset;
- toimenpiteet toteutettu tai ehdotettu;
- lieventämistoimet; ja
- yhteyshenkilö lisätiedot varten.
Tiedot voidaan toimittaa vaiheittain sitä mukaa kuin niitä tulee saataville.
Grouper tarjoaa kohtuullisen yhteistyön, jotta Asiakas voi täyttää sovellettavat sääntely- ja rekisteröityjen ilmoitusvelvoitteet.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper voi nimittää huolellisesti valittuja alitoteuttajia ja palveluntarjoajia tarpeen mukaan tarjotakseen, isännöidäkseen, suojatakseen, tukeakseen, valvoakseen tai parantaakseen Palveluita.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
Kun sovellettavat asiakkaan ehdot antavat yleisen kirjallisen valtuutuksen, asiakkaat saavat ennakkoilmoituksen olennaisista uusista alitoteuttajista ja mahdollisuuden vastustaa kohtuullisten tietosuoja-perusteiden perusteella.
BambooHR-tiedostojen alikäsittelijöille nykyinen BambooHR DPA antaa vähintään 30 päivän ennakkoilmoituksen uudesta alihankkijasta, joka käsittelee asiakkaan henkilötietoja.
Liite 4 tarjoaa läpinäkyvyyden keskeisistä palveluntarjoajaryhmistä ja hallitsevien palvelumateriaalien nimetyistä palveluntarjoajista.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
BambooHR:n käsittelyä säätelevät soveltuvat sopimus- ja tietosuojaperiaatteet, mukaan lukien DPA, turvatoimet, alihankkijäsopimukset ja kansainväliset siirtosuojaukset.
Grouper vastaa edelleen omista velvoitteistaan sovellettavan tietosuojalainsäädännön ja soveltuvan asiakassopimuksen alaisuudessa. Kun BambooHR käsittelee henkilötietoja tukeakseen Grouper:n eurooppalaista asiakasympäristöä, soveltuvat sopimus-, turvallisuus- ja datan residenssivaatimukset soveltuvat.
Grouper:n sopimuspohjaisen Euroopan palvelun osalta asiakkaan henkilötiedot on suunniteltu tallennettavaksi EEA:han, ensisijaisena isännöintipaikkana Irlannissa Amazon Web Servicesin (AWS) kautta. Salliiko käsittely tai etäkäyttö EEA:n ulkopuolelta rajoitettua siirtoa voi ilmetä, vaikka tiedot tallennettaisiin Irlannissa. Tällainen pääsy on sallittua vain laillisesti, tarpeellisena ja asianmukaisilla turvatoimilla suojattuna.
Poikkeuksellisiin skenaarioihin voi kuulua:
- hätätapaus, joka vaikuttaa Irlannin datakeskuksen ympäristöön tai palvelun jatkuvuuteen;
- tukipyynnön tai ylläpidon pyyntö, joka vaatii virallista asiantuntijan pääsyä EEA:n ulkopuolelta, asiakkaan sovittujen hyväksyntöjen tai sopimuksellisten valtuutusten alaisena; ja
- todennettu Asiakkaan pyyntö siirtää tai muuten käsitellä dataa sopimuksen mukaista Euroopan hosting-aluetta pidemmällä alueella.
Kun rajoitettu siirto tapahtuu, Grouper ja/tai asiaankuuluva teknologiayritys käyttävät laillisesti tunnistettua mekanismia kuten:
- riittävän tunnustuksen päätös;
- Euroopan komission standardisopimuslausekkeet;
- Yhdistyneen kuningaskunnan kansainvälinen tietojen siirtokohtainen lisäys (UK International Data Transfer Addendum) siinä missä sovellettavissa;
- osallistuminen EU–USA:n tietosuojakehykseen, kun se on laillisesti saatavilla ja sovellettavissa;
- Sitovat yrityssäännöt, missä soveltuu; tai
- toinen kelvollinen turvatoimi, joka on tunnustettu sovellettavan tietosuojalainsäädännön alaisessa.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
Mikään tällaisista poikkeuksellisista pääsytjärjestelyistä ei muuta Grouper:n sitoutumista, että asiakkaan henkilötiedot eurooppalaiselle palvelulle tallennetaan EEA:han.
Missä EU-standardin sopimuslausekkeita vaaditaan, ne sisällytetään virallisesti hyväksytyssä muodossa ilman pakollisen sanamuodon muuttamista. Hallinnoijalta-toimittajalle siirroissa module Two sovelletaan yleensä, ellet osapuolien roolit vaadi toista moduulia.
Kun Irlanti on sovellettavaksi valittu EU:n lainsäädännön ja foorumin mukaan, osapuolet sopivat Irlannin tuomioistuimista sovellettavien SCC-liitteiden mukaisesti.
Siirroille, jotka kuuluvat UK:n tietosuojalainsäädäntöön, EU SCC:t sovelletaan yhdessä silloin voimassa olevan UK:n kansainvälisen tietojen siirron lisäyksen tai muun laillisesti tunnustetun siirtomekanismin kanssa.
Supplementary measures may include:
- salaus;
- käyttörajoitukset;
- avainten hallintavalvonta;
- minimoiminen;
- kirjaaminen;
- sopimukselliset rajoitukset siirron jatkamiselle;
- hallituspyynnöt tarkastusmenettelyt;
- läpinäkyvyystoimenpiteet; ja
- siirtojen epätyydyttävän suojauksen vuoksi keskeytys tai päättäminen
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
Laittomat tai kohtuuttomat pyynnöt tullaan kyseenalaistamaan, kun on riittävät perusteet ja laillinen perusta siihen.
Ilmoitus rajoitetaan minimiin laissa vaadittuun määrään.
Asiakas ilmoitetaan, kun se on laillisesti sallittu. Kun ilmoittaminen on kielletty, pyritään kohtuullisesti saamaan lupa ilmoittaa, kun se on asianmukaista.
Pyyntöön ja vastaukseen liittyvät tiedot säilytetään lain ja sovellettavan siirtomekanismin mukaisesti.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- käyttö;
- korjaaminen;
- poisto;
- Käsittelyn rajoittaminen;
- datan siirron siirtoon liittyvät oikeudet;
- vastaanotto;
- suostumuksen peruutus;
- oikeudet automatisoidun päätöksenteon ja profiloinnin suhteen; ja
- the right to complain to a competent supervisory authority.
Kun Grouper toimii käsittelijänä, koskien Asiakkaan henkilötietoja, pyynnöt tulisi normaalisti osoittaa asiakkaalle sen hallinnoimana kontrollerina. Jos Grouper vastaanottaa tällaisen pyynnön suoraan, Grouper saattaa lakiin nähden kieltäytyä ja ohjata tai ilmoittaa pyynnön asiakkaalle eikä vastaa sisällöllisesti muuta kuin dokumentoitujen asiakkaan ohjeiden tai lain vaatimien ehtojen mukaan. Grouper tarjoaa kohtuullista apua asiakkaan velvollisuuksien täyttämiseksi.
Ottamalla huomioon käsittelyn luonteen ja sen, mitä tietoja Grouper on käytettävissä, Grouper antaa kohtuullista apua tietosuojan vaikutusarviointeihin ja vaadittaessa etukäteen kuulemisen valvontaviranomaisen kanssa.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- turvallisuusasiakirjat;
- käytännöt;
- yhteensopivuustiedot;
- auditointitiedot;
- riippumattomat varmuusraportit;
- luontevat sertifikaatit; ja
- vastaussessiot kohtuullisille turvallisuuskyselyille.
Missä laillisesti tai sopimuksen mukaan vaaditaan ja kohtuulliset todistukset ovat riittämättömiä, asiakkaat voivat käyttää sovellettavia tarkastusvaltuuksia kohtuullisella andausilmoituksella, luottamuksellisuus-, turvallisuus-, ei-sekaantumisen ja muiden asiakkaiden tietojen suojelun ehtojen alaisina. Ellei tarvita turvallisuustapauksen, sääntelyvaatimuksen tai kohtuullisen näytön aineellisesta noudattamatta jättämisestä, muodolliset auditoinnit tulisi yleensä rajoittaa kerran yhdessä kahdennessatoista kalenterivuodessa. Asiakkaat kantavat yleensä omat auditointikustannuksensa, ellei laki tai sopimus toisin sovi.
Grouper säilyttää Henkilötietoja vain niin kauan kuin kohtuudella tarpeen kyseisen tarkoituksen toteuttamiseksi tai lain vaatimusten mukaan.
Kun Grouper toimii käsittelijänä, säilytys määräytyy ensisijaisesti seuraavasti:
- kirjatut Asiakkaan ohjeet;
- sovellettava asiakassopimus;
- Palvelujen kesto;
- tukivaatimukset;
- lakisääteiset velvoitteet; ja
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
Asiakkaat vastaavat siitä, että Asiakas Henkilötiedot ovat oikeellisia. Kun Grouper tai käsittelijä saa tietoon, että tiedot ovat virheellisiä tai vanhentuneita tilanteissa, joissa toimista on kyse, Grouper tekee yhteistyötä Asiakkaan kanssa korjatakseen tai poistakseen tiedot dokumentoitujen ohjeiden ja sovellettavan tietosuojalainsäädännön mukaisesti.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
Joitakin BambooHR ominaisuuksia voi käyttää tekoälyä tai koneoppimista. AI-toiminnallisuus on vapaaehtoista, kun se on merkitty sellaiseksi, ja siihen voidaan soveltaa erillisiä BambooHR AI-ehtoja.
Nykyiset BambooHR AI -palvelumateriaalit identifioivat kolmansia AI-tarjoajia mukaan OpenAI, Cohere ja Anthropic/Claude, ja nykyinen alihankkijamateriaali voi tunnistaa lisää AI- tai asiakirjankäsittelypalveluntarjoajia (kuten LlamaIndex) ominaisuusasetusten mukaan.
Customers remain responsible for:
- arvioiminen, onko AI:n käyttö organisaation kannalta tarkoituksenmukaista;
- laillisen perustein perustaminen;
- tarvittavan läpinäkyyden tarjoaminen rekisteröidyille;
- hankkii suostumuksen, kun se on tarpeellista;
- riittävän inhimillisen valvonnan toteuttaminen;
- ennakointiarvioiden tarkasteleminen: harha ja oikeudenmukaisuuden riskit; ja
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
Missä BambooHR käyttää Asiakasdataa, syötettä tai tulosta hienosäätääkseen tai kouluttaakseen asiakaskohtaisen mallin, sovellettavat BambooHR AI-ehdot määrittävät, että tällainen käyttö on tarkoitettu AI-ominaisuuksien tarjoamiseen kyseiselle asiakkaalle ja että tuloksena saatua asiakkaan kouluttamaa mallia ei käytetä muille asiakkaille palveluiden tarjoamiseen.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
Ohjelmallinen pääsy tulisi käyttää tuettuja todennustapoja eikä sen tule altistaa Asiakasdataa tai tunnuksia valtuuttamattomille osapuolille.
Integraatioiden ei tule käyttää Asiakasdataa muuta kuin dokumentoidun ja valtuutetun tarkoituksen puitteissa.
Jos integraatio-operaattori käsittelee Henkilötietoja asiakkaan tai Grouper puolesta, soveltuvien käsittelijän tai alikäsittelijän ehdot ja siirtosuojaukset on sovellettava.
Kun Grouper toimii Kontrollerina omien liiketoimintansa yhteydessä, voimme käsitellä liike-elämän yhteystietoja liittyen:
- mahdolliset asiakkaat;
- asiakasyhteyshenkilöt;
- toimittajat;
- kumppanit;
- ammattilaiset neuvonantajat;
- tapahtumien osallistujat;
- verkkosivuston kävijät; ja
- henkilöt, jotka ottavat yhteyttä Grouper.
Tietoihin voi sisältyä nimi, organisaatio, asema, liikeyhteystiedot, viestintä, tiedustelutiedot, IP-osoite, selaimen ja laitteen tiedot, vierailleet sivut ja vastaavat tekniset tiedot.
Käsittelemme tällaisia tietoja vastaamaan tiedusteluihin, hallinnoimaan suhteita, tarjoamaan pyydetyt palvelut, ylläpitämään turvallisuutta, täyttämään sopimukset, noudattamaan lainsäädäntöä ja, missä sallittua, lähettämään asiaankuuluvia liiketoimintaviestintöjä. Vastaanottajilla on mahdollisuus kieltäytyä suoraan markkinoinnista milloin tahansa. Toiminnallinen, sopimuksellinen, turvallisuus- ja asiakaspalveluviestintä eivät ole markkinointia.
Verkkosivustot voivat käyttää olennaisia, toiminnallisia ja analytiikkaevästeitä sekä vastaavia teknologioita. Missä lainsäädäntö sitä vaatii, ei-olennaisista evästeistä käytetään vain asianmukaisen suostumuksen jälkeen ja käyttäjille annetaan hallintalaitteet suosikkien hallintaan.
Grouper seeks to embed privacy into service design and operations. This includes:
- Eurooppalaiset datan residenssivaihtoehdot;
- datan minimointi;
- minimaalinen oikeuksien taso;
- sopiva todennus;
- salaus;
- käyttökirjaukset;
- roolipohjaiset oikeudet;
- turvallinen siirtäminen;
- Alikäsittelijävalvonta;
- säilytysvalvonta;
- tapahtumavastausprosessit;
- yksityisyyden ja turvallisuuden koulutus;
- turvallisuustestaus;
- DPIA-tuki; ja
- dokumentoitu tilivelvollisuus.
Grouper ylläpitää rooliinsa liittyviä asianmukaisia rekistereitä ja hallintotoimia ja tekee hyvän uskon yhteistyötä Asiakkaiden, Rekisteröityjen ja pätevien valvontaviranomaisten kanssa.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
Kun Grouper käsittelee Asiakkaan henkilötietoja käsittelijänä, Osa B ja sovellettava asiakassopimus ohjaavat sopimuksellista käsittelysuhdetta. Epäyhtäisyyden ilmetessä Asiakkaan Henkilötietojen osalta seuraava etusijajärjestys on voimassa: pakollinen sovellettava tietosuojalainsäädäntö; sovellettavat SCC:t, UK:n lisäys tai muu pakollinen siirtomekanismi; Tietojenkäsittelysopimus; sovellettavat tietosuojaehtotettelit; ja muun Sopimuksen loput kohdat.
Grouper European BambooHR -ehdotus perustuu kolmeen periaatteeseen:
Eurooppalainen datan residenssi.
Asiakkaan henkilötiedot on isännöity ja tallennettu EEA-alueella, pääisännöinti Irlannissa Amazon Web Servicesin (AWS) kautta.
Euroopan tietosuojastandardit.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
Eurooppalainen palvelu ja tuki.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
Tavoitteenamme on mahdollistaa organisaatioiden käyttävän BambooHR samalla kun ylläpidämme eurooppalaisten asiakkaiden odottamat yksityisyyden, hallinnan ja tietojen säilyttämistä koskevat standardit.
Kysymykset tästä tietosuojakäytännöstä, Grouper:n käsittelytoimista, rekisteröidyn oikeuksista, turvallisuudesta tai eurooppalaisista data-asuinjärjestelyistä voidaan toimittaa Grouper:n valittuihin tietosuoja- tai asiakastukikanaviin.
Grouper Technology Limited voi ottaa yhteyttä osoitteeseen 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.
Kun käsiteltävän henkilötiedon sijaitsee työnantajan BambooHR-tilillä, kyseiseen organisaatioon tulisi yleensä olla yhteydessä ensin, sillä kyseinen organisaatio vastaa yleensä tietojen käytön määräämisestä.
Tämä tietojenkäsittelysopimus (“DPA”) muodostaa osan sopimuksesta, tilaustyökartasta tai muusta sopimuksesta, jolla hallitaan Grouper:n BambooHR-palveluiden tarjontaa asiakkaan ja Grouper Technology Limitedin välillä.
Palveluja tarjottaessa Grouper saattaa käsitellä asiakkaan henkilötietoja asiakkaan puolesta. Tämä DPA määrittelee osapuolten velvoitteet kyseisessä käsittelyssä.
Tämä DPA koskee Grouper Prosessoi Asiakkaan henkilötietoja Asiakkaan puolesta ja tällaista käsittelyä säätelee sovellettava tietosuoja-lainsäädäntö. Se täydentää ja muodostaa osan Sopimuksesta; tässä määriteltyjen, ei tässä määriteltyjen yläkäsiteiden merkitykset on annettu Sopimuksessa.
Tälle DPAlle:
Asiakkaan henkilötiedot
Henkilötiedot, joita Asiakas tai Asiakas-liittyvä hallinnoi ja joita Grouper käsittelee Palvelujen yhteydessä.
Rajoitettu siirto
Henkilötietojen siirto, joka vaatii laillisen siirtomekanismin sovellettavan tietosuojalainsäädännön nojalla.
Standardoidut sopimuslausekkeet (SCCs)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
Kolmas osapuoli, joka on nimetty tai puolestaan Grouper:n toimesta Asiakkaan henkilötietojen käsittelyyn.
Teknologiatoimittaja
BambooHR LLC ja, soveltuvin osin, siihen liittyvät BambooHR-yhtiöt tarjoavat taustalla olevan HR-teknologiaportaalin.
Ellei toisin ole kirjallisesti sovittu, Asiakas toimii Rekisterinpitäjänä ja Grouper toimii Käsittelijänä. Missä Asiakas toimii Käsittelijänä toisen Rekisterinpitäjän puolesta, Grouper toimii Ali-käsittelijänä soveltuvin osin.
Grouper käsittelee Asiakkaan henkilötietoja vain asianmukaisilla Asiakkaan ohjeilla ja vain tarpeen mukaan Palvelujen tarjoamiseksi, ylläpitämiseksi, turvaamiseksi ja tukemiseksi, ellei sovellettava laki vaadi käsittelyä.
Grouper ilmoittaa Asiakkaalle viipymättä, jos kohtuullisessa mielipiteessään ohjeistus rikkoo Sovellettavaa tietosuojalakia ja saattaa käsittelyn väliaikaisesti keskeyttää, kunnes asia on ratkaistu.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper varmistaa, että valtuutetut henkilöt ovat asianmukaisesti sitoutuneet luottamuksellisuuteen, pääsevät Asiakkaan henkilötietoihin vain silloin kun se on kohtuullisen välttämätöntä, saavat asianmukaista yksityisyyden ja tietoturvan koulutusta ja käsittelevät Asiakkaan henkilötietoja vain tämän DPA:n ja dokumentoitujen asiakkaan ohjeiden mukaisesti. Pääsy on rajoitettu minimioikeuksien ja tarpeellisuuden periaatteiden mukaan.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
Vähimmäisvalvontatodelliset alueet on kuvattu Liitteessä 2. Grouper voi päivittää näitä toimia siten, että muutokset eivät olennaisesti heikennä asiakkaan henkilötietojen suojan kokonaistasoa.
Grouper ilmoittaa Asiakkaalle kohtuullisen pikaisesti ja, jos 48 tunnin sopimusvelvoite koskee, ei myöhemmin kuin 48 tuntia saatuaan tietää todellisesta tai epäillystä Tietoturvatapahtumasta, joka vaikuttaa Asiakkaan henkilötietoihin.
Tietoja voidaan toimittaa vaiheittain sitä mukaa kun ne ovat saatavilla. Grouper tarjoaa kohtuullista yhteistyötä Asiakkaan suojaviranomaisten tiedonanto- ja vaikutuksenseurantalajeihin sekä asiaankuuluvien Data Subjectien tiedottamisvelvollisuuksien noudattamiseen.
Asiakas myöntää Grouper yleisen kirjallisen suostumuksen ali-käsittelijöiden sitomiseksi, joita tarvitaan Palvelujen tarjoamiseksi.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
Missä taustalla oleva BambooHR DPA sovelletaan, BambooHR antaa tällä hetkellä vähintään 30 päivän etukäteen kirjallinen ilmoitus uudesta alihankkijasta, joka käsittelee asiakkaan henkilötietoja.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Jos Grouper vastaanottaa suoran pyynnön, joka koskee Asiakkaan henkilötietoja, Grouper viittaa Asiakkaalle viipymättä ja ei vastaa asiasta substanssin osalta ilman dokumentoitua ohjetta tai lain edellyttämällä tavalla.
Grouper antaa kohtuullista apua, ottaen huomioon KÄSITTELYN luonne ja käytettävissä olevat tiedot, Tietosuoja- Vaikutusten arvioinnissa, ennalta kuulemisen valvontaviranomaisiin ja asianmukaisia selvityksiä tai tutkintaa koskien Palveluita.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
Soveltuvien lakien mukaan Grouper tarkistaa oikeudellisesti sitovat julkisen viranomaisenpyynnöt Asiakkaan henkilötietojen osalta, kyseenalaistaa laittomat tai epätasapainoiset pyynnöt, kun on olemassa kohtuulliset perusteet, pyrkii rajoittamaan paljastamisen minimimääräiseen lain vaatiman, ilmoittaa Asiakkaalle milloin laillisesti sallittua ja säilyttää asianmukaiset asiakirjat.
Asiakkaan pyynnöstä tai palvelujen päättyessä tai erääntymisen yhteydessä Grouper palauttaa tai turvallisesti poistaa asiakkaan henkilötiedot ja vaatii relevantit alihankkijat tekemään samoin asiakkaan valinnan ja teknisen toteutettavuuden sekä Sopimuksen puitteissa, edellyttäen että laki vaatii säilyttämisen. Mikäli laki vaatii säilyttämisen, Grouper eristää ja suojaa säilytettävät tiedot ja käsittelee ne vain laillisesti vaadittavalla tavalla.
Asiakas takaa, että sillä on oikeudet, luvat, ilmoitukset, lailliset perusteet ja suostumukset tarjota Asiakkaan henkilötietoja Käsittelylle; että sen ohjeet noudattavat Sovellettavaa tietosuoja-lainsäädäntöä; että se ei anna laitonta Käsittelyä; ja että se konfiguroi ja käyttää Palveluita turvallisesti sekä ylläpitää asianmukaiset hallinnat käyttäjätilien, tunnisteiden ja integrointien yli.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
Tämä DPA tulee voimaan, kun Asiakas sitoutuu siihen ja jatkuu niin kauan kuin Grouper käsittelee Asiakkaan henkilötietoja Asiakkaan puolesta. Lakien mukaan dataa säilyttäessä jatkuvat velvoitteet säilyvät voimassa ehtojen päättyessä tai lopetettaessa.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
Mikäli Asiakkaan henkilötietojen osalta syntyy ristiriita, noudatetaan seuraavaa etusijajärjestystä: pakollinen sovellettava tietosuojalaki; sovellettavat SCC:t, UK-lisäys tai muu pakollinen siirtomekanismi; tämä DPA; sovellettavat data-suojan määräykset Sopimuksessa; ja loput Sopimuksesta.
Rekisterinpitäjä / Data Exporter
The Customer identified in the applicable Agreement or Order Form.
Käsittelijä / Data Importer
Grouper Technology Limited, 3. kerros, 22 Ely Place, Dublin, D02 AH73, Irlanti.
Teknologiatoimittaja
BambooHR LLC ja sovellettavat BambooHR-yhtiöt tarjoavat taustalla olevan HRIS-alustan.
Kohde
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
Käsittelyn luonne
Kokoelma, vastaanotto, tallennus, organisointi, rakenne, siirtäminen, isännöinti, tallennus, nouto, neuvottelu, käyttö, siirtäminen, saatavilla tekeminen, rajoitus, tukipalvelujen pääsy, poisto ja muut Palvelujen tarjoamisen kohtuullisesti tarpeelliset Käsittelytoimet.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
Palvelujen keston ajan ja mahdollisesti sen jälkeen palauttamisen tai henkilötietojen poistamisen tai lain noudattamisen vuoksi.
Tietosubjektit
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
Henkilötiedot
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
Herkkä tieto
Jos Asiakas valitsee, voi sisältyä terveys- ja vammaistietoja sekä muita erityisryhmiin tai herkkiä tietoja, joita Palvelut sallivat.
Ensisijainen eurooppalainen tallennus
Irlanti / EEA Amazon Web Servicesin (AWS) kautta Asiakkaiden ostaessa eurooppalaisen tietojen asuinpalvelun.
Asiantuntijaviranomainen, jolla on toimivaltaa
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper ylläpitää teknisiä ja organisatorisia toimenpiteitä seuraavien vähimmäisvalvontakontrollien alueilla:
1. Tietoturva-johtaminen
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. Henkilöstöturvallisuus
Luottamuksellisuusvelvoitteet, roolipohjainen seulonta lain mukaan, turvallisuustietoisuus ja yksityisyyden koulutus sekä kurinpidolliset toimet luvattoman pääsyn varalta.
3. Fyysinen turvallisuus
Rajoitettu pääsy asianmukaisiin tiloihin ja infrastruktuuriin; kontrolloidut pääsytiet; pääsyoikeudet; fyysinen valvonta ja muut hosting-ympäristöön sopivat suojatoimet.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. Tietojen pääsyoikeudet
Säätökset siten, että valtuutetut käyttäjät pääsevät vain heidän oikeuksien sisältämiin tietoihin; pääsyn lokitus ja valvonta; tiedon vapauttaminen vain valtuutetuille henkilöille.
6. Salaus ja pseudonymisointi
Soveltuva salaus siirrossa ja lepotilassa; tarvittaessa pseudonymisointi käsittelyn tarkoitukseen.
7. Verkkosuoja ja tiedonsiirto
Palomuurit, suojatut portit, turvalliset viestintäkanavat, TLS/SFTP tai vastaavat suojatut siirtomekanismit sekä suojaukset luvattomalta sieppaukselta tai muutoksilta.
8. Lokitus ja seuranta
V relevanttien järjestelmä- ja hallinto- sekä pääsekäyttöjen tapahtumien lokitus; epäilyttävien tapahtumien valvonta; riskin mukaan auditoinnin tiedostojen säilytys.
9. Syötteen ja muutoksen hallinta
Hallitset, ketkä ovat syöttäneet, muuttaneet tai poistaneet tiedot; todentaminen valtuutetuista käyttäjistä ja järjestelmistä; dokumentoidut muutoksenhallintakäytännöt.
10. Haavoittuvuuksien ja turvallisuustestauksen hallinta
Prosessit haavoittuvuuksien tunnistamiseksi, arvioimiseksi ja korjaamiseksi; säännölliset tunkeutumis- tai turvallisuustestaukset; kontrollien tehokkuuden säännöllinen arviointi.
11. Saatavuus, varmuuskopiointi ja palautus
Infrastruktuurin redundanssi, varmuuskopiointi, palautuskyky, saatavuushallinta ja onnettomuuksien menetyksen ehkäisy.
12. Liiketoiminnan jatkuvuus ja katastrofien palautus
Dokumentoitu jatkuvuus- ja palautussuunnitelmat, jotka on suunniteltu palauttamaan saatavuus ja pääsy ajallaan häiriön tai Tietoturvatapahtuman jälkeen.
13. Tietojako
Looginen tai sovellus-tason erottelu asiakkaiden välillä sekä käsittelyn tarkoitusten välillä; hallintatoimet luvattoman asiakaskäytäntöläisen estämiseksi.
14. Turvallinen kehitys
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
Huolellisuus, kirjalliset tietosuojavelvoitteet, turvallisuustarkastus, siirtosuojaus ja jatkuva valvonta, joka on asianmukaista käsittelyyn.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
EU:n rajoitetut siirrot
Kun EU:n SCC:t ovat tarpeen, virallinen Euroopan komission SCCs sisällytetään viitteellä muuttamatta pakollista sanamuotoa. Ottaen huomioon roolit, Asiakas on Data Exporter, Grouper ja/tai sovellettava Teknologiapuolto on Data Importer, ja Module Two koskee Rekisterinpitäjältä Kantajalle siirtoja.
UK:n rajoitetut siirrot
Siirroille, jotka kuuluvat UK:n tietosuojalainsäädäntöön, EU SCC:t sovelletaan yhdessä silloin voimassa olevan UK:n kansainvälisen tietojen siirron lisäyksen tai muun laillisesti tunnustetun siirtomekanismin kanssa.
Sveitsiläiset siirrot
Sveitsin tietosuojalain alaisia siirtoja koskien SCC:t tulkitaan ja mukautetaan sovellettavan Sveitsin lain mukaan, mukaan lukien asianmukaiset viittaukset Sveitsin valvontaviranomaiseen ja Sveitsin tietosubjekteihin.
EU-US tietosuoja-rahasto
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
Poikkeukselliset käyttötilanteet eurooppalaisille asiakkaille
Salliinko poikkeuksellisen ei-EEA-käytön vain seuraavissa olosuhteissa:
- hätätapaus, joka vaikuttaa Irlannin datakeskuksen ympäristöön tai palvelun jatkuvuuteen;
- a tuki- tai huoltopyyntö, joka vaatii virallisesti valtuutetun asiantuntijan pääsyn ulkopuolelle EEA:ta, asiakkaan hyväksyntä tai sopimusvaltuutus; ja
- a vahvistettu Asiakkaan pyyntö käsittelystä tai isännöinnistä ulkopaikkakunnalla
Tarkat palveluntarjoajat vaihtelevat tuotteen, ominaisuuden, tukipolun ja Asiakkaan kokoonpanon mukaan. Grouper:n ja/tai BambooHR:n ylläpitämä aktiivinen ali-käsittelijöiden rekisteri määrää palvelun toiminnan.
Seuraavat avainpalveluntarjoajat on identifioitu hallitsevaan palvelumateriaaliin. Tässä lueteltu toimittaja ei välttämättä käsittele Asiakkaan henkilötietoja jokaiselle asiakkaalle tai jokaiselle käyttöönotolle.
BambooHR LLC
Teknologiatoimittaja; HRIS:n ylläpito, isännöinti ja tuki. Sijainti: Yhdysvallat / palvelualueet mukaan lukien Eurooppa.
Amazon Web Services (AWS)
Ensisijainen pilviisäntäinfrastruktuuri; Eurooppalainen alueellinen isännöinti Irlannissa. Sijainti: Irlanti / Eurooppa ja muut alueet palvelukonfiguraation mukaan.
Anthropic / Claude
AI / kielimallin käsittely. Sijainti: Yhdysvallat.
Cohere
Kielimallin API / AI-käsittely. Sijainti: Yhdysvallat.
OpenAI
Kielimallin API / AI-käsittely. Sijainti: Yhdysvallat.
LlamaIndex / LlamaParse
Valinnainen asiakirjojen jäsentäminen AI-toiminnon yhteydessä. Sijainti: Yhdysvallat.
Atlas MongoDB
Tietovarastointi valittujen palveluiden / AI-ominaisuuksien tueksi. Sijainti: Yhdysvallat.
Gainsight
Asiakassuhteet / CRM-palvelut.
Salesforce
CRM-alusta.
Cloudflare
Web-sovelluspalomuuri / turvallisuus.
Datadog
Infrastruktuuri- ja sovellusvalvonta.
Microsoft / Google Workspace
Yhteistyö, viestintä ja asiakirjahallinta nykyisen kokoonpanon mukaan.
Mailgun
Sovelluksen viestintä.
Snowflake
Data-analytiikka.
Twilio
MFA / SMS-toimitus.
Lisäpalveluntarjoajat
Muun palvelujen nykyisissä palvelumateriaaleissa voi olla lisäksi Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike ja muut. Asiakkaiden tulisi viitata live BambooHR -alihankkijaluetteloon sekä Grouper:n nykyiseen alihankkijatiedotteeseen ajantasaisimpien tietojen saamiseksi.
1. Soveltamisala
Tämä Liite soveltuu kun Asiakas ottaa käyttöön tai käyttää BambooHR tekoälyä tai koneoppimisen toiminnallisuutta Grouper:n tuettujen Palvelujen yhteydessä.
2. AI-toimittajat
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. Syötteet ja tulokset
Asiakkaan antamat kehotteet, ohjeet tai data, joita AI-toimintoihin on toimitettu, voivat muodostaa “Tuloja” ja generoitu vastaukset voivat muodostaa “Vastauksia”. Ominaisuuden mukaan Tulot tai Vastaukset voivat sisältää Asiakasdataa. Vastaukset eivät välttämättä ole uniikkeja ja voivat olla samankaltaisia kuin toisille käyttäjille tuotetut vastaukset.
4. Asiakkaan vastuut ja ihmiskontrolli
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. Herkät ja säännellyt tiedot
Missä sovellettavien tekoälyehtojen mukaan on kielletty, Asiakas ei saa toimittaa herkkiä tai säänneltyjä tietoja tekoälyn ominaisuuksiin, mukaan lukien terveys-, geneettiset tai biologiset tiedot, hallituksen myöntämät tunnistetiedot tai henkilötiedot taloudesta tai pankkitileistä. Asiakkaiden tulisi minimoida Henkilötiedot kehotteissa.
6. Tarkkuus, puolueellisuus ja oikeudenmukaisuus
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
Missä sovellettavat BambooHR tekoälyehdot sallivat suorituskykytietojen ja palautteen käytön tekoälyn toiminnallisuuden parantamiseen, tällainen käyttö on näiden ehtojen alainen. Jos Asiakkaan tiedot käytetään asiakaskohtaisen mallin hienosäätöön, syntynyt malli annetaan kyseiselle asiakkaalle tekoälytoimintoina eikä muuhun palveluihin käytetä muiden asiakkaiden hyväksi.
8. Kansainvälinen käsittely
AI-toimittajat voivat käsitellä valtuutettuja Tuloksia tai niihin liittyviä henkilötietoja ETA:n ulkopuolella. Tällainen käsittely on tämän DPA:n siirtosuojausten alaista eikä muuta asiakkaan sopimuksellisen ydin HRIS-tallennusalueen sijaintia. Asiakkaiden tulisi arvioida, onko vaihtoehtoinen AI:n käyttö yhteensopiva omien asuinpaikan, työlainsäädännön ja riskivaatimusten kanssa ennen käyttöönottoa.
Kysymyksiä tämän tietosuojakäytännön tai tietojesi oikeuksista?
Ota yhteyttä
