Legal
Politique de confidentialité | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
Dernière mise à jour : 16 août 2026
Grouper s'engage à protéger les données personnelles et à maintenir des standards élevés de confidentialité, de sécurité et de conformité réglementaire. La protection des données est traitée comme une responsabilité opérationnelle et contractuelle centrale, pas comme une réflexion après coup. Nous concevons notre prestation, nos contrôles d'accès, nos processus de support et notre gouvernance des fournisseurs pour refléter les principes de responsabilité, d'intégrité, de confidentialité et de transparence de GDPR.
Cette Politique de confidentialité explique comment Grouper Technology Limited (“Grouper”, “nous”, “notre” ou “nos”) collecte, utilise, accède, héberge, stocke, protège, transfère et traite autrement les données personnelles dans le cadre des services que nous fournissons, y compris notre rôle de partenaire européen de BambooHR.
Grouper soutient des organisations en Irlande, au Royaume‑Uni, en Europe et dans d'autres régions avec le déploiement, l'administration et l'utilisation de la plateforme BambooHR HRIS et des technologies RH associées.
Notre modèle de service européen est conçu autour d’un principe clair de résidence des données en Europe. Les Données Personnelles du Client traitées via le service européen Grouper’s BambooHR sont hébergées et stockées dans l’Espace économique européen (« EEE »), avec un hébergement principal en Irlande.
Cette Politique de confidentialité s'applique aux données personnelles traitées en relation avec :
- Mise en œuvre et intégration BambooHR ;
- Configuration HRIS ;
- administration des comptes ;
- support client ;
- support technique ;
- support d'intégration ;
- migration des données ;
- succès client ;
- formation ;
- services professionnels ;
- sécurité et administration du service;
- communications clients ;
- ventes et démonstrations ;
- Grouper sites Web et services numériques ; et
- nos activités commerciales générales.
Grouper Technology Limited est une société irlandaise dont le siège social est au 3e étage, 22 Ely Place, Dublin, D02 AH73, Irlande.
BambooHR fournit le système d’information des ressources humaines sous-jacent et les fonctionnalités de produit associées. Grouper assure l’implémentation européenne, la migration, la configuration, la formation, la réussite client, le support, la gestion de service et les services professionnels connexes. Selon l’abonnement et la configuration du Client, la plateforme HRIS BambooHR peut prendre en charge les dossiers des employés, l’intégration, le recrutement, le temps et la présence, la gestion des congés, la performance, la rémunération, les fonctionnalités liées à la paie, les rapports, l’analyse, les intégrations, les API et les fonctionnalités d’intelligence artificielle.
Selon les services achetés par un client, Grouper peut fournir :
- implémentation de BambooHR ;
- onboarding;
- configuration ;
- mise en place du compte ;
- assistance à la migration ;
- services d’intégration ;
- support technique ;
- assistance HRIS ;
- formation ;
- services de réussite client ;
- administration du service ;
- dépannage ; et
- services professionnels associés.
La fonction précise de Grouper en matière de protection des données dépend de l’activité de Traitement spécifique.
Lorsque Grouper détermine les finalités et les moyens de traitement — par exemple dans certaines activités de site web, de vente, de contact commercial, de sécurité ou d’administration d’entreprise — Grouper agit en tant que Responsable du traitement.
Lorsque Grouper traite les Données Personnelles du Client uniquement pour le compte d’un Client et conformément aux instructions documentées de ce Client, Grouper agit en tant que Sous-traitant.
Lorsque le client agit lui-même en tant que Sous-traitant pour un autre Responsable, Grouper peut agir en tant que Sous-traitant dans la mesure applicable.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 Engagement de résidence européen central
Pour les Clients achetant le service européen Grouper’s BambooHR avec une résidence des données dans l’EEE, les Données Personnelles du Client faisant partie de l’environnement de production core HRIS sont hébergées et stockées au sein de l’EEE, avec le lieu d’hébergement principal en Irlande.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 Stockage versus accès
La résidence des données décrit où les données personnelles du client sont stockées. Cela ne signifie pas qu'aucun support autorisé ou accès technique ne peut jamais provenir d'un autre pays.
Un accès exceptionnel depuis l'extérieur de l'EEE peut intervenir uniquement lorsque nécessaire, autorisé et légalement protégé comme décrit dans les sections 17 et 18 de cette Politique.
4.3 Sauvegardes, résilience et reprise après sinistre
Les dispositions de sauvegarde, de résilience et de reprise après sinistre sont conçues pour préserver la confidentialité, l’intégrité et la disponibilité et rester cohérentes avec les engagements d’hébergement régionaux du Client.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 Aucun déplacement de routine en dehors de l'EEE
Grouper n’utilise pas d’accès de support exceptionnel comme mécanisme de relocation routinière des données personnelles européennes.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
« Loi applicable sur la protection des données » désigne l’ensemble des lois et règlements relatifs à la protection des données, à la vie privée et à la sécurité des données applicables au traitement, y compris, le cas échéant :
- Règlement (UE) 2016/679 — le Règlement général sur la protection des données (GDPR);
- la loi irlandaise sur la protection des données 2018;
- règles irlandaises d’ePrivacy et de communications électroniques applicables ;
- le Royaume-Uni GDPR et le UK Data Protection Act 2018 lorsque applicable ;
- droit suisse applicable en matière de protection des données lorsque applicable ;
- législation nationale applicable mettant en œuvre les exigences européennes en matière de confidentialité ; et
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
Les informations traitées dépendent des Services sélectionnés par le Client et des données que le Client choisit de placer dans l’environnement RH.
6.1 Employee and Workforce Information
Les données personnelles peuvent comprendre :
- nom et numéros d'identification des employés;
- photographies lorsque fournies ;
- coordonnées de domicile ou de travail ;
- date de naissance, genre et informations démographiques le cas échéant ;
- informations maritale ou familiale lorsque fournies ;
- contacts d’urgence et numéros de téléphone ;
- qualifications académiques et professionnelles ;
- Informations CV ou résumé, historique professionnel et maîtrise des langues;
- intitulé du poste, grade, département, localisation, lignes de reporting et appartenance à l’équipe ;
- dates d’embauche et de terminaison, heures de travail et détails contractuels ;
- performances, évaluation, mesures disciplinaires et historique professionnel ;
- avantages, assurances, actifs de l’entreprise et informations de formation ; et
- informations sur les congés, la présence et le temps libre.
6.2 Informations sur la paie et la rémunération
Lorsque les services pertinents sont utilisés, les données personnelles peuvent comprendre :
- salaire, rémunération et primes ;
- informations fiscales et de sécurité sociale ;
- coordonnées bancaires et de paiement ;
- informations sur les pensions ;
- options d’actions et autres avantages ; et
- autres informations liées à la paie.
6.3 Recrutement, candidats et références
For candidates, prospective employees and referees, information may include:
- identité et coordonnées;
- CV, résumés, historique professionnel et qualifications;
- dossiers de candidature, entretiens et recrutement ;
- communications avec les candidats et statut du recrutement ;
- informations sur la rémunération proposée ;
- noms de référence, coordonnées et relation professionnelle ; et
- informations contenues dans les lettres de référence.
6.4 Catégories particulières et données sensibles
En fonction de l’utilisation par le Client de la plateforme HRIS BambooHR, les Services peuvent contenir des informations de santé ou de handicap et d’autres Données Personnelles sensibles ou de catégorie spéciale.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
Les Clients ne doivent pas saisir d’informations sensibles dans les champs libre texte ou les fonctionnalités IA, sauf si nécessaire, licite et autorisé par les conditions produit pertinentes.
Les Données Personnelles traitées dans le cadre des services de Grouper peuvent concerner :
- employés actuels, anciens, éventuels et futurs ;
- candidats et postulants ;
- prestataires, consultants, agents et sous-traitants indépendants ;
- agence, travail temporaire et travailleurs occasionnels ;
- stages et bénévoles ;
- ayants droit des employés, bénéficiaires et contacts d’urgence ;
- référenceurs et fournisseurs de références ;
- administrateurs clients et utilisateurs autorisés ; et
- autres personnes dont le Client soumet légalement des Données Personnelles aux Services.
Les Données Personnelles peuvent être obtenues :
- directement de l’individu ;
- du employeur de l’individu ou de l’employeur potentiel;
- par les administrateurs et utilisateurs autorisés du Client ;
- pendant la mise en œuvre, la configuration et la migration des données ;
- par des intégrations ou API autorisées ;
- par des requêtes de support et dépannage ;
- par la plateforme HRIS BambooHR ou un autre système choisi par le Client ;
- par les processus de recrutement ;
- à partir de sources publiques utilisées légalement ; et
- à partir d’autres sources légales autorisées par le Client.
Grouper traite les Données Personnelles uniquement pour des finalités spécifiées et licites. Celles-ci peuvent inclure :
- implémenter et configurer la plateforme HRIS BambooHR ;
- héberger ou faciliter l’hébergement des Données Personnelles du Client ;
- administrer les comptes et les droits des utilisateurs ;
- maintenir et sécuriser le service ;
- fournir un support client et technique ;
- soutenir les intégrations et les migrations ;
- fournir des formations et des services professionnels ;
- gérer les abonnements et les relations client ;
- détecter et enquêter sur les événements de sécurité ;
- conserver les registres d’audit ;
- prévenir la fraude ou l’utilisation abusive ;
- se conformer aux obligations légales ; et
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
Lorsque le personnel de support accède aux Données Personnelles du Client, l’accès doit être limité à l’information minimale raisonnablement nécessaire à l’objectif du support et doit être effectué par du personnel autorisé soumis à des contrôles de confidentialité et d’accès.
Lorsque Grouper agit en tant que Contrôleur, la base légale applicable peut inclure :
10.1 Contrat
Traitement nécessaire pour conclure ou exécuter un contrat, ou pour prendre des mesures avant de conclure un contrat à la demande de la personne.
10.2 Intérêts légitimes
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- prestation de service ;
- administration du client ;
- sécurité de l’information ;
- prévention de fraude ;
- continuité des activités ;
- support client ; et
- relationship management.
10.3 Obligation légale
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 Consentement
Le cas échéant, le traitement peut être basé sur le consentement. Le consentement peut être retiré à tout moment sans affecter la licéité du traitement effectué avant le retrait.
Lorsque le Client agit en tant que Contrôleur, le Client est responsable de :
- déterminer les finalités pour lesquelles les Données Personnelles sont traitées ;
- établir des bases juridiques et des conditions de catégorie spéciale;
- fournir les avis de confidentialité requis ;
- obtenir le consentement lorsque nécessaire ;
- assurer l’exactitude et la qualité des données ;
- déterminer les périodes de conservation appropriées ;
- gérer les utilisateurs autorisés et les permissions ;
- utiliser les Services en toute sécurité ; et
- s’assurer que ses instructions à Grouper sont licites.
Le Client ne doit pas instruire Grouper à traiter les Données Personnelles d’une manière qui enfreint la Loi applicable sur la protection des données.
Grouper informera le Client lorsque, à son avis raisonnable, une instruction enfreint la Loi applicable sur la protection des données et peut suspendre le Traitement concerné jusqu’à résolution de la question.
Grouper limite l’accès aux Données Personnelles du Client aux personnes autorisées qui en ont raisonnablement besoin pour leurs tâches. Le personnel est soumis à des obligations de confidentialité appropriées et reçoit une formation sur la confidentialité et la sécurité adaptée à son rôle. L’accès est régi par les principes du moindre privilège et du besoin de savoir.
Contrôles d’accès incluent :
- contrôles d’identité et d’authentification ;
- contrôles basés sur les rôles et d’accès privilégié ;
- contrôles de compte administratif ;
- gestion du cycle de vie du compte ;
- journalisation et surveillance des accès ;
- révision périodique des accès ;
- exigences de confidentialité et d’utilisation acceptable ; et
- personnel et formation appropriés en matière de sécurité.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
Mesures incluent :
- contrôles d’accès physiques et logiques ;
- authentification forte et contrôles de mot de passe appropriés ;
- chiffrement en transit et au repos lorsque approprié ;
- pseudonymisation lorsque approprié ;
- pare-feu réseau, sécurité périmétrique et détection d’intrusion ;
- journalisation, surveillance et traces d’audit ;
- gestion des vulnérabilités et tests de sécurité ;
- accès administratif restreint ;
- transmission sécurisée, y compris les canaux de transfert protégés ;
- sauvegarde, redondance, récupération et résilience ;
- continuité des activités et plan de reprise après sinistre ;
- développement sécurisé et gestion du changement ;
- séparation des données entre clients et finalités de traitement ;
- procédures de réponse aux incidents ;
- sensibilisation et formation à la sécurité du personnel ; et
- diligence raisonnable et gouvernance de la sécurité des sous-traitants.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
Lorsque Grouper agit en tant que Processeur et prend connaissance d’une violation réelle ou présumée des Données Personnelles affectant les Données Personnelles du Client, Grouper informera le Client concerné dans les plus brefs délais raisonnables et, en tout état de cause, dans les 48 heures suivant la prise de connaissance de l’incident.
Dans la mesure du raisonnablement possible, la notification comprendra :
- la nature de l’incident ;
- catégories de Données Personnelles affectées ;
- catégories approximatives et nombres de Personnes concernées et d’enregistrements ;
- conséquences probables ;
- mesures prises ou proposées;
- mesures d’atténuation ; et
- un point de contact pour obtenir de plus amples informations.
Les informations peuvent être fournies par étapes au fur et à mesure de leur disponibilité.
Grouper offrira une coopération raisonnable pour permettre au Client de respecter les obligations réglementaires et de notification liées au Sujet des données applicables.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper peut nommer soigneusement des sous-traitants et des prestataires lorsque nécessaire pour fournir, héberger, sécuriser, soutenir, surveiller ou améliorer les Services.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
Lorsque les conditions générales applicables au client prévoient une autorisation écrite générale, les Clients recevront un préavis des nouveaux Sous-traitants importants et une opportunité d’émettre des objections pour des raisons raisonnables liées à la protection des données.
Pour les sous-traitants BambooHR, le DPAs actuel avec BambooHR prévoit un préavis d’au moins 30 jours concernant un nouveau Sous-traitant qui traitera les Données Personnelles du Client.
L’annexe 4 prévoit la transparence sur les catégories de fournisseurs clés et les fournisseurs nommés identifiés dans les documents de service régissant.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
Le traitement de BambooHR est régi par les termes contractuels et de protection des données applicables, y compris son DPA, les mesures de sécurité, les arrangements avec les sous-traitants et les garanties de transfert international.
Grouper demeure responsable de ses propres obligations en vertu de la Loi applicable sur la protection des données et de l’accord client applicable. Lorsque BambooHR traite des Données Personnelles pour soutenir l’environnement client européen de Grouper, les exigences contractuelles, de sécurité et de résidence des données applicables s’appliquent.
Pour le service européen contracté de Grouper, les Données Personnelles du Client sont conçues pour être stockées dans l’EEE, avec l’hébergement principal en Irlande via Amazon Web Services (AWS). Le traitement autorisé ou l’accès à distance depuis l’extérieur de l’EEE peut constituer un Transfert Restreint même lorsque les données restent stockées en Irlande. Cet accès n’est autorisé que lorsqu’il est légal, nécessaire et protégé par des garanties appropriées.
Exemples de scénarios exceptionnels :
- une urgence affectant l’environnement du centre de données irlandais ou la continuité du service ;
- une demande de support ou de maintenance nécessitant un accès spécialisé autorisé depuis l’extérieur de l’EEE, sous réserve de l’approbation applicable du Client ou de l’autorisation contractuelle; et
- une demande vérifiée du Client de relocaliser ou de traiter les données en dehors de la région d’hébergement européenne contractée.
Lorsqu’un Transfert Restreint se produit, Grouper et/ou le fournisseur de technologie concerné utiliseront un mécanisme reconnu légalement tel que :
- une décision d’adéquation ;
- les Clauses Contractuelles type de la Commission européenne ;
- l’Addendum international sur les transferts du Royaume-Uni lorsque applicable ;
- participation au cadre de protection des données UE–USA lorsque légalement disponible et applicable ;
- Règles d’entreprise contraignantes lorsque applicable ; ou
- une autre sauvegarde valide reconnue en vertu de la loi applicable sur la protection des données.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
Aucune disposition de ces arrangements d’accès exceptionnel ne modifie l’engagement de Grouper selon lequel les Données Personnelles du Client pour le service européen sont stockées dans l’EEE.
Lorsque les clauses contractuelles types de l’UE sont requises, elles sont intégrées dans leur forme officiellement approuvée sans modification du phrasé obligatoire. Pour les transferts Contracteur-vers-Processor, le Module Deux s’applique normalement, sauf si un autre module est requis par les rôles des parties.
Lorsque l’Irlande est choisie comme loi applicable de l’UE et juridiction compétente, les parties conviennent des tribunaux d’Irlande tels que prévus dans l’annexe SCC applicable.
Pour les transferts soumis à la loi britannique sur la protection des données, les SCC de l’UE s’appliqueront conjointement à l’Addendum britannique international sur les transferts ou à un autre mécanisme de transfert reconnu légalement.
Supplementary measures may include:
- chiffrement ;
- restrictions d’accès ;
- contrôles de gestion des clés ;
- minimisation ;
- journalisation ;
- limitations contractuelles sur les transferts ultérieurs ;
- procédures d’examen sur demande gouvernementale ;
- mesures de transparence; et
- suspension ou termination des transferts lorsqu’un niveau de protection adéquat ne peut être assuré.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
Les demandes illégales ou disproportionnées seront contestées lorsqu’il existe des motifs raisonnables et une base légale pour ce faire.
La divulgation sera limitée au minimum légal.
Le Client sera informé lorsque la loi le permet. Lorsque la notification est interdite, des efforts raisonnables seront déployés pour obtenir l’autorisation de notifier le cas échéant.
Les enregistrements de la demande et de la réponse seront conservés comme l’exige la loi et le mécanisme de transfert applicable.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- accès ;
- rectification ;
- effacement ;
- restriction du Traitement ;
- portabilité des données ;
- opposition ;
- retrait du consentement ;
- droits relatifs à la prise de décision automatisée et au profilage ; et
- the right to complain to a competent supervisory authority.
Lorsque Grouper agit en tant que Processeur, les demandes concernant les Données Personnelles du Client doivent généralement être dirigées vers le Client concerné en tant que Responsable. Si Grouper reçoit une telle demande directement, Grouper la renverra ou informera le Client, sauf interdiction légale, et ne répondra pas substantiellement sauf sur les instructions documentées du Client ou lorsque la loi l’exige. Grouper offrira une assistance raisonnable pour permettre au Client de remplir ses obligations.
Compte tenu de la nature du Traitement et des informations disponibles pour Grouper, Grouper offrira une assistance raisonnable pour les évaluations d’impact sur la protection des données et, le cas échéant, une consultation préalable auprès d’une autorité de supervision compétente.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- documentation de sécurité ;
- politiques ;
- informations de conformité ;
- informations d’audit ;
- rapports d’assurance indépendants ;
- certifications pertinentes ; et
- réponses à des questionnaires de sécurité raisonnables.
Légalement ou contractuellement requis et si les preuves documentaires raisonnables sont insuffisantes, les Clients peuvent exercer les droits d’audit applicables sur préavis raisonnable, sous réserve de la confidentialité, de la sécurité, de la non-interférence et des protections des informations d’autres clients. Sauf si nécessaire en raison d’un incident de sécurité, d’une exigence réglementaire ou d’une preuve raisonnable de non-conformité matérielle, les audits formels devraient normalement être limités à une fois par période de douze mois. Les Clients supportent généralement leurs propres coûts d’audit, sauf disposition contraire prévue par la loi ou le contrat.
Grouper conserve les Données Personnelles aussi longtemps que cela est raisonnablement nécessaire pour la finalité concernée ou imposé par la loi.
Lorsque Grouper agit en tant que Processeur, la rétention est principalement déterminée par :
- instructions documentées du Client ;
- l’accord client applicable ;
- la durée des Services ;
- exigences de support ;
- obligations légales ; et
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
Les Clients sont responsables de maintenir des Données Personnelles Client précises. Lorsque Grouper ou un processeur prend connaissance que des données sont inexactes ou obsolètes dans des circonstances nécessitant une action, Grouper coopérera avec le Client pour rectifier ou effacer les données conformément aux instructions documentées et à la Loi applicable sur la protection des données.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
Certaines fonctionnalités BambooHR peuvent utiliser l’intelligence artificielle ou l’apprentissage automatique. La fonction IA est facultative lorsque identifiée comme telle et peut être soumise à des conditions IA séparées de BambooHR.
Les matériaux actuels du service BambooHR AI identifient des fournisseurs d’IA tiers tels que OpenAI, Cohere et Anthropic/Claude, et les documents des sous-traitants actuels peuvent identifier des fournisseurs IA supplémentaires ou de traitement de documents (tel que LlamaIndex) en fonction de la configuration des fonctionnalités.
Customers remain responsible for:
- évaluer si l’utilisation de l’IA est appropriée pour leur organisation ;
- établir une base juridique ;
- fournir la transparence requise aux personnes concernées ;
- obtenir le consentement lorsque nécessaire ;
- mettant en place une supervision humaine suffisante ;
- évaluer les risques de biais et d’équité ; et
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
Lorsque BambooHR utilise les Données Client, les entrées ou les sorties pour ajuster ou entraîner un modèle spécifique au client, les termes IA applicables de BambooHR indiquent que cette utilisation sert à fournir les fonctionnalités IA à ce Client et que le modèle entraîné par le client n’est pas autrement utilisé pour fournir des services à d’autres clients.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
L’accès programmatique doit utiliser des méthodes d’authentification prises en charge et ne doit pas exposer les Données du Client ou les identifiants à des tiers non autorisés.
Les intégrations ne doivent pas utiliser les Données du Client au-delà de l’objectif documenté et autorisé.
Lorsqu’un fournisseur d’intégration Traite les Données Personnelles pour le compte du Client ou de Grouper, les termes applicables du processeur ou du sous-processeur et les sauvegardes de transfert doivent s’appliquer.
Lorsque Grouper agit en tant que Contrôleur relativement à ses propres activités commerciales, nous pouvons traiter des informations de contact d’affaires liées à :
- clients potentiels ;
- contacts clients ;
- fournisseurs ;
- partenaires ;
- conseillers professionnels ;
- participants à des événements ;
- visiteurs du site Web ; et
- personnes qui contactent Grouper.
Les informations peuvent inclure nom, organisation, rôle, coordonnées professionnelles, communications, informations de demande, adresse IP, navigateur et informations sur l’appareil, pages visitées et données techniques similaires.
Nous traitons ces informations pour répondre aux demandes, gérer les relations, fournir les services demandés, maintenir la sécurité, exécuter les contrats, se conformer à la loi et, lorsque permis, envoyer des communications professionnelles pertinentes. Les destinataires peuvent se désabonner du marketing direct à tout moment. Les communications opérationnelles, contractuelles, de sécurité et de service client ne constituent pas du marketing.
Les sites Web peuvent utiliser des cookies essentiels, fonctionnels et analytiques et des technologies similaires. Lorsque la loi l’exige, les cookies non essentiels seront utilisés uniquement après consentement approprié et les utilisateurs auront des contrôles pour gérer leurs préférences.
Grouper seeks to embed privacy into service design and operations. This includes:
- Options de résidence des données à l’échelle européenne ;
- minimisation des données ;
- accès au moins privilégié ;
- authentification appropriée ;
- chiffrement ;
- journalisation des accès ;
- autorisation basée sur les rôles ;
- transmission sécurisée ;
- Contrôles des sous-traitants ;
- contrôles de rétention ;
- processus de réponse aux incidents;
- formation à la confidentialité et à la sécurité ;
- tests de sécurité ; et
- soutien DPIA ; et
- responsabilité documentée.
Grouper tiendra des registres et des mesures de gouvernance propres à son rôle et coopérera de bonne foi avec les Clients, les Subjects de données et les autorités de supervision compétentes.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
Lorsque Grouper Traite les Données Personnelles du Client en tant que Processeur, la Partie B et l’accord client applicable régissent la relation contractuelle de Traitement. En cas d’incohérence concernant les Données Personnelles du Client, l’ordre de prééminence suivant s’applique : Loi applicable sur la protection des données obligatoire ; SCC applicables, Addendum britannique ou tout autre mécanisme de transfert obligatoire ; l’Accord de Traitement des Données ; les dispositions pertinentes de protection des données du Contrat ; et le reste du Contrat.
La proposition européenne BambooHR de Grouper est construite autour de trois principes :
Résidence des données en Europe.
Les Données Personnelles du Client sont hébergées et stockées dans l’EEE, l’hébergement principal se fait en Irlande via Amazon Web Services (AWS).
Normes européennes sur la vie privée.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
Service et support européens.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
Notre objectif est de permettre aux organisations d'utiliser BambooHR tout en respectant les normes de confidentialité, de gouvernance et de résidence des données attendues par les clients européens.
Les questions relatives à cette Politique de confidentialité, aux activités de traitement de Grouper, aux droits des sujets de données, à la sécurité ou à nos configurations de résidence des données européennes peuvent être soumises via les canaux désignés de confidentialité ou d’assistance client de Grouper.
Grouper Technology Limited peut également être contactée au 3e étage, 22 Ely Place, Dublin, D02 AH73, Irlande.
Lorsque les Données personnelles concernées se trouvent dans le compte BambooHR d’un employeur, les personnes concernées devraient généralement contacter d’abord cet employeur, car cette organisation sera généralement le Responsable du traitement déterminant comment les informations sont utilisées.
Le présent Accord de traitement des données (« DPA ») fait partie de l’accord, du formulaire de commande, de l’affirmation de travail ou d’un autre contrat régissant la fourniture des services liés à Grouper’s BambooHR entre le Client et Grouper Technology Limited.
Lors de la fourniture des Services, Grouper peut traiter les Données personnelles du Client au nom du Client. Le présent DPA établit les obligations respectives des Parties pour ce traitement.
Cette EDPB s'applique dans la mesure où Grouper Traite les Données Personnelles du Client pour le compte du Client et que ce Traitement est soumis au Droit Applicable sur la Protection des Données. Il complète et fait partie de l'Accord; les termes en majuscules non définis ici ont la signification donnée dans l'Accord.
Pour ce DP A :
Données Personnelles du Client
Données personnelles contrôlées par un Client ou une Filiale du Client et traitées par Grouper dans le cadre des Services.
Transfert Restreint
Un transfert de Données personnelles nécessitant un mécanisme de transfert licite en vertu du Droit Applicable sur la Protection des Données.
Clauses Contractuelles Types (CCTs)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
Un tiers désigné par ou pour le compte de Grouper pour traiter les Données personnelles du Client.
Fournisseur de technologie
BambooHR LLC et, le cas échéant, les entités BambooHR affiliées fournissant la plateforme technologique RH sous-jacente.
Sauf convention contraire écrite, le Client agit en tant que Responsable et Grouper agit en tant que Sous-traitant. Lorsque le Client agit comme Sous-traitant pour un autre Responsable, Grouper agit en tant que Sous-sous-traitant dans la mesure applicable.
Grouper traitera les Données Personnelles du Client uniquement sur les instructions documentées du Client et uniquement lorsque nécessaire pour fournir, maintenir, sécuriser et soutenir les Services, sauf si la loi applicable exige de traiter les données.
Grouper informera rapidement le Client si, de son avis raisonnable, une instruction enfreint le Droit Applicable sur la Protection des Données et peut suspendre le Traitement affecté jusqu'à résolution.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper veillera à ce que les Personnes Autorisées soient soumises à des obligations de confidentialité appropriées, n'accèdent aux Données Personnelles du Client que lorsque cela est raisonnablement nécessaire, reçoivent une formation appropriée sur la confidentialité et la sécurité et Traitent les Données Personnelles du Client uniquement conformément au présent DPA et aux instructions documentées du Client. L'accès sera limité selon les principes du moindre privilège et du besoin de savoir.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
Les domaines de contrôle minimaux sont décrits à l'Annexe 2. Grouper peut mettre à jour ces mesures pourvu que les modifications n'abaissent pas sensiblement le niveau global de protection des Données Personnelles du Client.
Grouper informera le Client dès que raisonnablement possible et, lorsque l'engagement contractuel de 48 heures s'applique, en aucun cas plus tard que 48 heures après avoir pris connaissance d'un Incident de sécurité affectant les Données Personnelles du Client.
Les informations peuvent être fournies par étapes à mesure qu'elles deviennent disponibles. Grouper fournira la coopération raisonnable nécessaire pour que le Client respecte les obligations de notification envers les autorités de supervision et les Personnes Concernées.
Le Client accorde à Grouper une autorisation générale écrite d'engager des Sous-traitants nécessaires pour fournir les Services.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
Lorsque le DPA sous-jacent BambooHR s’applique, BambooHR prévoit actuellement un préavis écrit d’au moins 30 jours pour tout nouveau sous-traitant qui traitera les Données personnelles du Client.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Si Grouper reçoit une demande directement concernant les Données Personnelles du Client, Grouper orientera rapidement ou informera le Client et ne répondra pas de manière substantielle sauf sur instructions documentées ou lorsque la loi l’exige.
Grouper fournira une assistance raisonnable, compte tenu de la nature du Traitement et des informations disponibles, pour les évaluations d'impact sur la protection des données, la consultation préalable avec les autorités de contrôle et les enquêtes raisonnables par une autorité de contrôle compétente liées aux Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
Dans toute la mesure permise par la loi, Grouper examinera les demandes juridiquement contraignantes des autorités publiques concernant les Données Personnelles du Client, contestera les demandes illégales ou disproportionnées lorsqu'il y a des raisons raisonnables, cherchera à limiter la divulgation au minimum légalement requis, notifiera le Client lorsque cela est légalement permis et tiendra des registres appropriés.
À la demande du Client, ou à l’expiration ou à la résiliation des Services, Grouper retournera ou supprimera de manière sécurisée les Données personnelles du Client et exigera des sous-traitants concernés qu’ils fassent de même, selon l’option du Client et sous réserve de faisabilité technique et de l’Accord. Lorsque la loi exige une rétention, Grouper isolera et protégera les données retenues et les traitera uniquement comme la loi l’exige.
Le Client garantit qu'il détient les droits, autorisations, avis, bases légales et consentements requis pour fournir les Données Personnelles du Client en vue du Traitement; que ses instructions respectent le Droit Applicable sur la Protection des Données; qu'il n'instruira pas de Traitement illégal; et qu'il configurera et utilisera les Services de manière sécurisée et maintiendra des contrôles appropriés sur les comptes utilisateurs, les identifiants et les intégrations.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
Cette EDPB prend effet lorsque le Client y est bound et se poursuit tant que Grouper Traite les Données Personnelles du Client pour le compte du Client. Les obligations qui, par leur nature ou en vertu de la loi, doivent se poursuivre tant que les données sont conservées, survivent à l'expiration ou à la résiliation.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
En cas d'incohérence concernant les Données Personnelles du Client, l'ordre de prééminence suivant s'applique: loi applicable sur la protection des données obligatoire; CCTs applicables, Addendum UK ou autre mécanisme de transfert obligatoire; présente RDP; dispositions applicables sur la protection des données de l'Accord; et le reste de l'Accord.
Responsable / Exportateur de données
The Customer identified in the applicable Agreement or Order Form.
Sous-traitant / Importateur de données
Grouper Technology Limited, 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Irlande.
Fournisseur de technologie
BambooHR LLC et les entités BambooHR applicables fournissant la plateforme HRIS sous-jacente.
Objet
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
Nature du Traitement
Collecte, réception, enregistrement, organisation, structuration, migration, hébergement, stockage, récupération, consultation, utilisation, transmission, mise à disposition, restriction, soutien, accès, suppression et autres Traitements raisonnablement nécessaires pour fournir les Services.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
Pour la durée des Services et toute période subséquente nécessaire pour restituer ou supprimer les Données Personnelles du Client ou se conformer à la loi.
Personnes concernées
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
Données Personnelles
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
Données sensibles
Lorsqu'elles sont sélectionnées par le Client, peuvent inclure des informations de santé et d'invalidité et d'autres données sensibles ou catégoriques spéciales autorisées par les Services.
Stockage européen principal
Irlande / EEE via Amazon Web Services (AWS) pour les Clients achetant le service de résidence des données en Europe.
Autorité de supervision compétente
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper maintient des mesures techniques et organisationnelles couvrant les domaines minimaux de contrôle suivants:
1. Gouvernance de la sécurité de l'information
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. Sécurité du personnel
Obligations de confidentialité, vérifications appropriées selon le rôle lorsque licite, sensibilisation à la sécurité et formation à la confidentialité, et contrôles disciplinaires pour l'accès non autorisé.
3. Sécurité physique
Accès restreint aux installations et infrastructures pertinentes; chemins d'accès contrôlés; autorisations d'accès; surveillance physique et autres mesures de sauvegarde adaptées à l'environnement d'hébergement.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. Contrôle d'accès aux données
Contrôles permettant aux utilisateurs autorisés d'accéder uniquement aux données dans leurs droits; journalisation et surveillance des accès; diffusion des données uniquement aux personnes autorisées.
6. Chiffrement et pseudonymisation
Chiffrement approprié des Données Personnelles en transit et au repos; pseudonymisation lorsque cela est pertinent pour l'objectif du traitement.
7. Sécurité du réseau et des transmissions
Pare-feu, passerelles protégées, canaux de communication sécurisés, TLS/SFTP ou mécanismes de transfert protégés équivalents, et contrôles contre l'interception ou la modification non autorisées.
8. Journalisation et surveillance
Journalisation des activités pertinentes du système, administratives et d'accès; surveillance des événements suspects; conservation des informations d'audit adaptée au risque.
9. Contrôle des entrées et des changements
Contrôles pour identifier qui a saisi, modifié ou supprimé les données; authentification des utilisateurs et systèmes autorisés; pratiques de gestion des changements documentées.
10. Tests de vulnérabilité et de sécurité
Processus pour identifier, évaluer et corriger les vulnérabilités; tests de pénétration ou de sécurité périodiques; évaluation et révision régulières de l'efficacité des contrôles.
11. Disponibilité, sauvegarde et récupération
Redondance d'infrastructure, sauvegarde, capacité de restauration, contrôles de disponibilité et protection contre la perte ou la destruction accidentelles.
12. Continuité des activités et reprise après sinistre
Plans de continuité et de reprise documentés conçus pour rétablir la disponibilité et l'accès en temps opportun après une perturbation ou un Incident de sécurité.
13. Séparation des données
Séparation logique ou au niveau de l'application entre les clients et entre les finalités de traitement; contrôles destinés à prévenir l'accès non autorisé inter-client.
14. Développement sécurisé
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
Diligence raisonnable, obligations écrites en matière de protection des données, revue de sécurité, garanties de transfert et surveillance continue appropriées au traitement.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
Transferts restreints dans l'UE
Lorsque les CCT de l'UE sont requises, les CCT officielles de la Commission européenne sont intégrées par référence sans modification du libellé obligatoire. Sauf désignation contraire des rôles, le Client est le Donneur d'Exportation des données, Grouper et/ou le Fournisseur de Technologie applicable est l'Importateur des données, et le Module Deux s'applique aux transferts Responsable vers Sous-traitant.
Transferts restreints au Royaume-Uni
Pour les transferts soumis à la loi britannique sur la protection des données, les SCC de l’UE s’appliqueront conjointement à l’Addendum britannique international sur les transferts ou à un autre mécanisme de transfert reconnu légalement.
Transferts suisses
Pour les transferts soumis au droit suisse sur la protection des données, les CCT seront interprétées et adaptées selon le droit suisse applicable, y compris les références appropriées à l'autorité de supervision suisse et aux personnes concernées suisses.
Cadre de confidentialité des données EU-US
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
Scénarios d'accès exceptionnel pour les clients européens
Un accès exceptionnel autorisé en dehors de l'EEE peut intervenir uniquement dans les circonstances suivantes:
- une urgence affectant l’environnement du centre de données irlandais ou la continuité du service ;
- a) une demande de support ou de maintenance nécessitant un accès spécialiste autorisé en dehors de l'EEE, sous réserve de l'approbation ou de l'autorisation contractuelle du Client; et
- b) une demande vérifiée du Client pour le Traitement ou l'hébergement en dehors de la région européenne.
Les fournisseurs précis utilisés varient selon le produit, la fonctionnalité, le chemin de support et la configuration du Client. L'enregistrement des sous-traitants actifs actuel tenu par Grouper et/ou BambooHR prévaut pour la prestation active du service.
Les fournisseurs clés suivants ont été identifiés dans les documents directeurs du service. Un fournisseur répertorié ici ne Traite pas nécessairement les Données Personnelles du Client pour chaque Client ou chaque déploiement.
BambooHR LLC
Fournisseur de technologie; maintenance, hébergement et support HRIS. Emplacement: États-Unis / régions de service incluant l'Europe.
Amazon Web Services (AWS)
Infrastructure d'hébergement cloud principale; hébergement régional européen en Irlande. Emplacement: Irlande / Europe et autres régions selon la configuration du service.
Anthropique / Claude
Traitement IA / modèle linguistique. Emplacement: États-Unis.
Cohere
API de modèle linguistique / traitement IA. Emplacement: États-Unis.
OpenAI
API de modèle linguistique / traitement IA. Emplacement: États-Unis.
LlamaIndex / LlamaParse
Analyse de documents optionnelle associée à la fonctionnalité d'IA. Emplacement: États-Unis.
Atlas MongoDB
Stockage de données supportant les services sélectionnés / fonctionnalité liée à l'IA. Emplacement: États-Unis.
Gainsight
Services relation client / CRM.
Salesforce
Plateforme CRM.
Cloudflare
Pare-feu d'applications web / sécurité.
Datadog
Surveillance d'infrastructure et d'applications.
Microsoft / Google Workspace
Collaboration, communication et stockage de documents selon la configuration en vigueur.
Mailgun
Communications d’application.
Snowflake
Analyse de données.
Twilio
MFAv / livraison par SMS.
Fournisseurs supplémentaires
Les fournisseurs supplémentaires identifiés dans les documents de service actuels peuvent inclure Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike et d’autres. Les Clients doivent se référer à la liste des sous-traitants BambooHR en direct et aux informations actuelles sur les sous-traitants de Grouper pour obtenir les détails les plus récents.
1. Portée
Cette annexe s’applique lorsque le Client active ou utilise BambooHR des fonctionnalités d’intelligence artificielle ou d’apprentissage automatique en lien avec des Services pris en charge par Grouper.
2. Fournisseurs d’IA
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. Entrées et sorties
Les incitations, instructions ou données fournis par le Client soumis à la fonctionnalité IA peuvent constituer des « entrées » et les réponses générées peuvent constituer des « sorties ». Selon la fonctionnalité, les entrées ou les sorties peuvent inclure des Données Client. Les sorties ne sont pas obligatoirement uniques et peuvent ressembler à des sorties produites pour d’autres utilisateurs.
4. Responsabilités du Client et supervision humaine
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. Restrictions sur les données sensibles et réglementées
Lorsque les conditions d’IA applicables interdisent cette utilisation, le Client ne doit pas soumettre d’informations sensibles ou réglementées aux fonctionnalités d’IA, y compris des informations de santé, génétiques ou biométriques, des numéros d’identification émis par le gouvernement, ou des informations personnelles financières ou relatives au compte bancaire. Les Clients devraient minimiser les données à caractère personnel dans les invites.
6. Exactitude, biais et équité
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
Lorsque les conditions d’IA applicables du BambooHR permettent l’utilisation de données de performance et de retours pour améliorer les performances de l’IA, cette utilisation est régie par ces conditions. Lorsque les données du Client sont utilisées pour ajuster un modèle spécifique au client, le modèle résultant est utilisé pour fournir des fonctionnalités d’IA à ce Client et n’est pas autrement utilisé pour fournir des services à d’autres clients.
8. Traitement international
Les fournisseurs d’IA peuvent traiter des entrées autorisées ou des données personnelles associées en dehors de l’EEE. Ce traitement est soumis aux garanties de transfert prévues dans le présent DPA et ne modifie pas l’emplacement de la zone de stockage HRIS principale du Client. Les Clients devraient évaluer si l’utilisation optionnelle de l’IA est conforme à leurs propres exigences de résidence, de conseil sur le travail, de droit du travail et de risques avant de l’activer.
Des questions concernant cette politique de confidentialité ou vos droits concernant les données ?
Communiquez avec nous
