Legal
Politique de confidentialité | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
Dernière mise à jour : 16 août 2026
Grouper s’engage à protéger les données personnelles et à maintenir des standards élevés de confidentialité, de sécurité et de conformité réglementaire. La protection des données est traitée comme une responsabilité opérationnelle et contractuelle centrale, et non comme une réflexion après coup. Nous concevons notre prestation de service, nos contrôles d’accès, nos processus de support et notre gouvernance des fournisseurs de manière à refléter les principes de responsabilité, d’intégrité, de confidentialité et de transparence de GDPR.
Cette Politique de Confidentialité explique comment Grouper Technology Limited ("Grouper", « nous », « notre » ou « nos ») collecte, utilise, accède, héberge, stocke, protège, transfère et traite autrement les données personnelles dans le cadre des services que nous fournissons, y compris notre rôle en tant que partenaire européen de BambooHR.
Grouper prend en charge des organisations en Irlande, au Royaume-Uni, en Europe et dans d’autres régions avec le déploiement, l’administration et l’utilisation de la plateforme BambooHR HRIS et des technologies RH associées.
Notre modèle de service européen est conçu autour d’un principe clair de résidence des données européenne. Les données personnelles des clients traitées par le service européen BambooHR de Grouper sont hébergées et stockées dans l’Espace économique européen (EEE), avec l’hébergement principal en Irlande.
Cette Politique de confidentialité s’applique aux données personnelles traitées en relation avec :
- Mise en œuvre et intégration BambooHR ;
- Configuration du HRIS ;
- administration du compte ;
- support client ;
- support technique ;
- support d’intégration ;
- migration de données ;
- succès client ;
- formation ;
- services professionnels ;
- sécurité et administration des services ;
- communications client ;
- ventes et démonstrations ;
- Grouper sites web et services numériques ; et
- nos activités commerciales générales.
Grouper Technology Limited est une société irlandaise dont le siège social est au 3e étage, 22 Ely Place, Dublin, D02 AH73, Irlande.
BambooHR fournit le système d’information ressources humaines sous-jacent et les fonctionnalités produit associées. Grouper assure la mise en œuvre européenne, la migration, la configuration, la formation, le succès client, le support, la gestion de services et les services professionnels associés. Selon l’abonnement et la configuration du Client, la plateforme HRIS BambooHR peut prendre en charge les dossiers des employés, l’intégration, le recrutement, la gestion du temps et des présences, les congés, la performance, la rémunération, les avantages, les fonctionnalités liées à la paie, le reporting, l’analyse, les intégrations, les API et les caractéristiques d’intelligence artificielle.
Selon les services achetés par un client, Grouper peut fournir :
- BambooHR mise en œuvre ;
- onboarding;
- configuration ;
- mise en place du compte ;
- assistance à la migration ;
- services d’intégration ;
- support technique ;
- assistance HRIS ;
- formation ;
- services de réussite client ;
- administration du service ;
- dépannage ; et
- services professionnels connexes.
Le rôle précis de Grouper en matière de protection des données dépend de l’activité de traitement particulière.
Lorsque Grouper détermine les finalités et les moyens de Traitement — par exemple dans certaines activités de site web, de vente, de contact commercial, de sécurité ou d’administration d’entreprise — Grouper agit en tant que Responsable du traitement.
Lorsque Grouper traite les Données personnelles des Clients uniquement pour le compte d’un Client et conformément aux instructions documentées de ce Client, Grouper agit en tant que Sous-traitant.
Lorsque le Client agit lui-même en tant que Sous-traitant pour un autre Responsable, Grouper peut agir en tant que Sous-traitant dans la mesure applicable.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 Engagement de résidence européenne principale
Pour les Clients achetant le service européen Grouper’s BambooHR avec résidence des données dans l’EEE, les Données personnelles des Clients faisant partie de l’environnement de production HRIS central sont hébergées et stockées dans l’EEE, l’emplacement principal d’hébergement étant en Irlande.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 Stockage par rapport à l’accès
La résidence des données décrit où les Données Personnelles du Client sont stockées. Cela ne signifie pas qu’aucun support autorisé ou accès technique ne puisse jamais provenir d’un autre pays.
Un accès exceptionnel depuis l’extérieur de l’EEE peut intervenir uniquement lorsque nécessaire, autorisé et légalement protégé comme décrit dans les sections 17 et 18 de cette Politique.
4.3 Sauvegardes, résilience et reprise après sinistre
Les arrangements de sauvegarde, de résilience et de reprise après sinistre sont conçus pour préserver la confidentialité, l’intégrité et la disponibilité et rester conformes aux engagements d’hébergement régionaux du Client.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 Pas de relocalisation de routine en dehors de l’EEE
Grouper n’utilise pas d’accès de support exceptionnel comme mécanisme de relocalisation de routine des Données Personnelles des Clients européens.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
« Loi applicable sur la protection des données » désigne l’ensemble des lois et règlements relatifs à la protection des données, à la vie privée et à la sécurité des données applicables au Traitement, y compris le cas échéant :
- Règlement (UE) 2016/679 — le Règlement général sur la protection des données (GDPR);
- la loi irlandaise sur la protection des données de 2018 ;
- règles Irish ePrivacy et de communications électroniques applicables ;
- le Royaume-Uni GDPR et la Data Protection Act 2018 du Royaume-Uni lorsque cela est applicable ;
- loi suisse applicable sur la protection des données lorsque cela s’applique ;
- législation nationale applicable mettant en œuvre les exigences européennes en matière de confidentialité ; et
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
Les informations traitées dépendent des Services choisis par le Client et des données que le Client choisit de placer dans l’environnement RH.
6.1 Employee and Workforce Information
Les Données Personnelles peuvent inclure :
- nom et numéros d’identification des employés;
- photographies lorsque fournies ;
- coordonnées de domicile ou de travail ;
- date de naissance, sexe et informations démographiques lorsque fournies ;
- informations maritale ou familiale lorsque fournies ;
- contacts d’urgence et numéros de téléphone ;
- qualifications académiques et professionnelles ;
- informations CV ou résumé, antécédents professionnels et maîtrise des langues ;
- intitulé du poste, grade, département, localisation, lignes de reporting et affiliation à l’équipe ;
- dates d’embauche et de termination, heures de travail et détails contractuels ;
- performances, évaluations, information disciplinaire et historique professionnel ;
- avantages, assurances, actifs de l’entreprise et informations de formation ; et
- informations sur les congés, l’assiduité et les périodes d’absence.
6.2 Informations sur la paie et la rémunération
Lorsque les services pertinents sont utilisés, les Données Personnelles peuvent inclure :
- salaire, rémunération et primes ;
- informations fiscales et de sécurité sociale ;
- détails bancaires et de paiement ;
- informations sur la pension ;
- options d’action et autres avantages ; et
- autres informations liées à la paie.
6.3 Recrutement, informations sur les candidats et les référents
For candidates, prospective employees and referees, information may include:
- identité et coordonnées;
- CV, résumés, antécédents professionnels et qualifications ;
- dossiers de candidature, d’entretiens et de recrutement ;
- communications avec le candidat et statut du recrutement ;
- informations sur la rémunération proposée ;
- noms des référents, coordonnées et relation professionnelle ; et
- informations contenues dans les références.
6.4 Catégorie spéciale et données sensibles
Selon l’utilisation par le Client de la plateforme HRIS BambooHR, les Services peuvent contenir des informations sur la santé ou le handicap et d’autres Données personnelles sensibles ou de catégorie spéciale.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
Les Clients ne doivent pas placer des informations sensibles dans des champs de texte libre ou des fonctionnalités d’IA, sauf si nécessaire, légal et autorisé par les conditions produit pertinentes.
Les Données personnelles traitées dans le cadre des services Grouper peuvent concerner :
- employés actuels, anciens, potentiels et futurs ;
- candidats et postulants ;
- prestataires, consultants, agents et entrepreneurs indépendants ;
- agence, travailleurs temporaires et occasionnels ;
- stages et bénévoles ;
- ayant-droit, bénéficiaires et contacts d’urgence des employés ;
- référents et fournisseurs de référence ;
- administrateurs clients et utilisateurs autorisés ; et
- toutes autres personnes dont les Données Personnelles sont légalement soumises par le Client aux Services.
Les Données Personnelles peuvent être obtenues :
- directement de la personne concernée ;
- du employeur de l’individu ou de l’employeur potentiel ;
- par les administrateurs et utilisateurs autorisés du Client ;
- lors de la mise en œuvre, de la configuration et de la migration des données ;
- par des intégrations ou API autorisées ;
- par le biais de demandes de support et de dépannage ;
- par la plateforme HRIS BambooHR ou par un autre système sélectionné par le Client ;
- par les processus de recrutement ;
- à partir de sources publiques lorsqu’utilisé légalement ; et
- à partir d’autres sources légales autorisées par le Client.
Grouper ne traite les Données Personnelles que pour des finalités spécifiées et licenciées. Celles-ci peuvent inclure :
- la mise en œuvre et la configuration de la plateforme HRIS BambooHR ;
- l’hébergement ou la facilitation de l’hébergement des Données Personnelles du Client ;
- l’administration des comptes et des autorisations utilisateur ;
- la maintenance et la sécurisation du service ;
- fournir un support client et technique ;
- soutenir les intégrations et les migrations ;
- fournir des formations et des services professionnels ;
- gérer les abonnements et les relations clients ;
- détecter et enquêter sur les événements de sécurité ;
- tenir des registres d’audit ;
- prévenir la fraude ou les abus ;
- se conformer aux obligations légales ; et
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
Lorsqu’un personnel de support accède aux Données Personnelles du Client, l’accès doit être limité à l’information minimale raisonnablement nécessaire au but du support et doit être effectué par du personnel autorisé soumis à la confidentialité et à des contrôles d’accès.
Lorsque Grouper agit en tant que Responsable, la base légale applicable peut inclure :
10.1 Contrat
Traitement nécessaire pour conclure ou exécuter un contrat, ou pour prendre des mesures avant de conclure un contrat à la demande de la personne.
10.2 Finalités licites
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- prestation de service ;
- administration du client ;
- sécurité des informations ;
- prévention de la fraude ;
- continuité des activités ;
- support client ; et
- relationship management.
10.3 Obligation légale
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 Consentement
Le cas échéant, le traitement peut être basé sur le consentement. Le consentement peut être retiré à tout moment sans affecter la licéité du traitement effectué avant le retrait.
Lorsque le Client agit en tant que Responsable, le Client est responsable de :
- déterminer les finalités pour lesquelles les Données Personnelles sont traitées ;
- établissement de bases juridiques et conditions de catégorie spéciale ;
- fournir les avis de confidentialité requis ;
- obtenir le consentement lorsque cela est nécessaire ;
- assurer l’exactitude et la qualité des données ;
- déterminer les périodes de rétention appropriées ;
- gérer les utilisateurs autorisés et les permissions ;
- utiliser les Services en toute sécurité ; et
- veiller à ce que ses instructions à Grouper soient légales.
Le Client ne doit pas instruire Grouper à traiter les Données Personnelles d’une manière qui enfreigne la Loi applicable sur la protection des données.
Grouper vous informera lorsque, de son point de vue raisonnable, une instruction enfreint la Loi applicable sur la protection des données et peut suspendre le traitement concerné jusqu’à résolution du problème.
Grouper limite l’accès aux Données Personnelles du Client aux personnes autorisées qui en ont raisonnablement besoin pour leurs fonctions. Le personnel est soumis à des obligations de confidentialité appropriées et reçoit une formation en matière de confidentialité et de sécurité adaptée à son rôle. L’accès est régi par les principes du moindre privilège et du besoin de savoir.
Contrôles d’accès incluent :
- contrôles d’identité et d’authentification ;
- contrôles basés sur le rôle et accès privilégié ;
- contrôles de compte administratif ;
- gestion du cycle de vie du compte ;
- journalisation et surveillance des accès ;
- révisions périodiques des accès ;
- exigences de confidentialité et d’utilisation acceptable ; et
- personnel et formation appropriés en matière de sécurité.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
Mesures comprennent :
- contrôles d’accès physique et logique ;
- authentication forte et contrôles de mot de passe appropriés ;
- chiffrement en transit et au repos lorsque pertinent ;
- pseudonymisation lorsque pertinent ;
- pare-feux réseau, sécurité périphérique et détection d’intrusion ;
- journalisation, surveillance et pistes d’audit ;
- gestion des vulnérabilités et tests de sécurité ;
- accès administratif restreint ;
- transmission sécurisée, y compris les canaux de transfert protégés ;
- sauvegarde, redondance, récupération et résilience ;
- planification de la continuité des activités et de la reprise après sinistre ;
- développement sécurisé et gestion des changements ;
- séparation des données entre les clients et les objectifs de traitement ;
- procédures de réponse aux incidents ;
- sensibilisation et formation à la sécurité du personnel ; et
- diligence raisonnable des sous-traitants et gouvernance de la sécurité.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
Lorsque Grouper agit en tant que Sous-traitant et prend connaissance d’une violation de Données Personnelles affectant les Données Personnelles du Client, Grouper informera le Client concerné dans le délai le plus rapide possible et, en tout état de cause, dans les 48 heures suivant la prise de connaissance de l’incident.
Dans la mesure du raisonnablement possible, la notification comprendra :
- la nature de l’incident ;
- catégories de Données Personnelles touchées ;
- catégories approximatives et nombres de personnes concernées et d’enregistrements ;
- conséquences probables ;
- mesures prises ou proposées;
- actions d’atténuation ; et
- un point de contact pour de plus amples informations.
Les informations peuvent être fournies par phases au fur et à mesure qu’elles deviennent disponibles.
Grouper fournira une coopération raisonnable pour permettre au Client de respecter les obligations de notification réglementaires et relatives à la Personne concernée.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper peut nommer des Sous-traitants soigneusement sélectionnés et des prestataires de services lorsque cela est nécessaire pour fournir, héberger, sécuriser, soutenir, surveiller ou améliorer les Services.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
Lorsque les conditions générales applicables au client prévoient une autorisation écrite générale, les Clients recevront un préavis des nouveaux Sous-traitants importants et auront la possibilité de s’opposer pour des raisons légitimes de protection des données.
Pour les sous-traitants BambooHR, le DPA en vigueur de BambooHR prévoit au moins un préavis de 30 jours d’un nouveau Sous-traitant qui traitera les Données personnelles des Clients.
L’annexe 4 fournit la transparence sur les catégories de fournisseurs clés et les fournisseurs nommés identifiés dans les documents opérationnels.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
Le Traitement de BambooHR est régi par les termes contractuels et les termes de protection des données applicables, y compris son DPA, les mesures de sécurité, les dispositions relatives aux sous-traitants et les garanties de transfert international.
Grouper demeure responsable de ses propres obligations au titre de la Loi applicable sur la protection des données et du contrat client applicable. Lorsque BambooHR traite des Données personnelles dans le cadre de l’environnement client européen de Grouper, les exigences contractuelles, de sécurité et de résidence des données applicables s’appliquent.
Pour le service européen contracté de Grouper, les Données personnelles du Client sont destinées à être stockées dans l’EEE, avec l’hébergement principal en Irlande via Amazon Web Services (AWS). Un traitement autorisé ou un accès à distance depuis l’extérieur de l’EEE peut constituer un Transfert Restreint même lorsque les données restent stockées en Irlande. Un tel accès est autorisé uniquement lorsqu’il est licite, nécessaire et protégé par des garanties appropriées.
Exemples de scénarios d’exception :
- une urgence affectant l’environnement du centre de données irlandais ou la continuité du service ;
- une demande de support ou de maintenance nécessitant un accès spécialisé autorisé depuis l’extérieur de l’EEE, sous réserve de l’approbation ou de l’autorisation contractuelle du Client ; et
- une demande vérifiée du Client de relocaliser ou de traiter les données en dehors de la région d’hébergement européenne contractée.
Lorsqu’un Transfert Restreint se produit, Grouper et/ou le fournisseur de technologie concerné utiliseront un mécanisme reconnu légalement tel que :
- une décision d’adéquation ;
- les Clauses contractuelles types de la Commission européenne ;
- l’Addendum UK sur les Transferts de Données Internationales lorsque cela est applicable ;
- participation au cadre de confidentialité des données EU-US lorsque légalement disponible et applicable ;
- Règles d’entreprise contraignantes lorsque applicable ; ou
- une autre sauvegarde valable reconnue en vertu de la Loi applicable sur la protection des données.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
Aucun élément de ces dispositions d’accès exceptionnel ne remet en cause l’engagement de Grouper selon lequel les Données personnelles du Client pour le service européen sont stockées dans l’EEE.
Lorsque les Clauses types européennes sont requises, elles sont intégrées dans leur forme officiellement approuvée sans modification du libellé obligatoire. Pour les transferts Contrôleur-vers-Processor, le Module Deux s’applique Ordinairement, sauf si un autre module est requis par les rôles des parties.
Lorsque l’Irlande est choisie comme loi applicable et for juridiction EU, les parties conviennent des tribunaux d’Irlande tels que prévus dans l’annexe SCC applicable.
Pour les transferts soumis à la Loi sur la protection des données du Royaume-Uni, les SCC de l’UE s’appliqueront conjointement à l’Addendum UK International Data Transfer en vigueur ou à un autre mécanisme de transfert reconnu légalement.
Supplementary measures may include:
- chiffrement ;
- restrictions d’accès ;
- contrôles de gestion des clés ;
- minimisation ;
- journalisation ;
- limitations contractuelles au transfert ultérieur ;
- procédures d’examen par les autorités gouvernementales ;
- mesures de transparence; et
- suspension ou termination des transferts lorsque un niveau de protection adéquat ne peut être assuré.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
Les demandes illégales ou disproportionnées seront contestées lorsqu’il existe des motifs raisonnables et une base légale pour le faire.
Les divulgations seront limitées au minimum légalement requis.
Le Client sera informé lorsque cela est légalement autorisé. Lorsque la notification est interdite, des efforts raisonnables seront faits pour obtenir l’autorisation de notifier lorsque cela est approprié.
Des enregistrements de la demande et de la réponse seront conservés comme l’exige la loi et le mécanisme de transfert applicable.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- accès ;
- rectification ;
- suppression ;
- restriction du Traitement ;
- portabilité des données ;
- objection ;
- retrait du consentement ;
- droits relatifs à la prise de décision automatisée et au profilage ; et
- the right to complain to a competent supervisory authority.
Lorsque Grouper agit en tant que Sous-traitant, les demandes concernant les Données Personnelles du Client doivent ordinairement être dirigées vers le Client concerné en tant que Responsable. Si Grouper reçoit une telle demande directement, Grouper la transmettra ou notifiera la demande au Client et ne répondra substantiellement que sur les instructions documentées du Client ou lorsque la loi l’exige. Grouper fournira une assistance raisonnable pour permettre au Client de remplir ses obligations.
Compte tenu de la nature du Traitement et des informations disponibles pour Grouper, Grouper fournira une assistance raisonnable pour les évaluations d’impact sur la protection des données et, le cas échéant, la consultation préalable auprès d’une autorité compétente.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- documentation de sécurité ;
- politiques ;
- informations de conformité ;
- informations d’audit ;
- rapports d’assurance indépendants ;
- certifications pertinentes ; et
- réponses à des questionnaires de sécurité raisonnables.
Lorsque cela est légalement ou contractuellement requis et que les éléments de preuve documentaires raisonnables sont insuffisants, les Clients peuvent exercer les droits d’audit applicables sur préavis raisonnable, sous réserve de confidentialité, de sécurité, de non-interférence et de protections pour les informations des autres clients. Sauf en cas d’incident de sécurité, d’exigence réglementaire ou de preuve raisonnable d’une non-conformité matérielle, les audits formels devraient normalement être limités à une fois sur une période de douze mois. Les Clients supportent généralement leurs propres coûts d’audit, sauf disposition légale ou contractuelle contraire.
Grouper conserve les Données Personnelles aussi longtemps que nécessaire raisonnablement pour la finalité pertinente ou comme requis par la loi.
Lorsque Grouper agit en tant que Sous-traitant, la rétention est principalement déterminée par :
- instructions documentées du Client ;
- l’accord client applicable ;
- la durée des Services ;
- exigences de support ;
- obligations légales ; et
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
Les Clients sont responsables de maintenir des Données Personnelles du Client exactes. Lorsque Grouper ou un sous-traitant prend connaissance que les données sont inexactes ou obsolètes dans des circonstances nécessitant une action, Grouper coopérera avec le Client pour rectifier ou effacer les données conformément aux instructions documentées et à la Loi applicable sur la protection des données.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
Certaines fonctionnalités BambooHR peuvent utiliser l’intelligence artificielle ou l’apprentissage automatique. Les fonctionnalités d’IA sont facultatives lorsqu’elles sont identifiées comme telles et peuvent faire l’objet de conditions d’utilisation IA séparées BambooHR.
Les documents actuels du service BambooHR AI identifient des fournisseurs d’IA tiers tels qu’OpenAI, Cohere et Anthropic/Claude, et les documents des sous-traitants actuels peuvent identifier des fournisseurs d’IA ou de traitement de documents supplémentaires (tel que LlamaIndex) selon la configuration des fonctionnalités.
Customers remain responsible for:
- évaluer si l’utilisation de l’IA est appropriée pour leur organisation ;
- établir une base légale ;
- fournir la transparence requise aux personnes concernées ;
- obtenir le consentement lorsque cela est nécessaire ;
- mettre en place une supervision humaine suffisante ;
- évaluer les risques de biais et d’équité ; et
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
Lorsque BambooHR utilise les Données Clients, l’Entrée ou la Sortie pour affiner ou entraîner un modèle spécifique au client, les conditions applicables BambooHR IA indiquent que cette utilisation vise à fournir les fonctionnalités d’IA à ce Client et que le modèle entraîné par le client n’est pas utilisé autrement pour fournir des services à d’autres clients.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
L’accès programmatique doit utiliser les méthodes d’authentification prises en charge et ne doit pas exposer les Données du Client ou les identifiants à des tiers non autorisés.
Les intégrations ne doivent pas utiliser les Données du Client au-delà de l’objectif documenté et autorisé.
Lorsqu’un fournisseur d’intégration traite des Données Personnelles pour le compte du Client ou de Grouper, les termes du sous-traitant ou du sous-traitant et les garanties de transfert doivent s’appliquer.
Lorsque Grouper agit en tant que Responsable par rapport à ses propres activités, nous pouvons traiter les informations de contact professionnelles relatives à :
- clients potentiels ;
- contacts clients ;
- fournisseurs ;
- partenaires ;
- conseillers professionnels ;
- participants à des événements ;
- visiteurs du site web ; et
- personnes qui contactent Grouper.
Les informations peuvent inclure nom, organisation, rôle, coordonnées professionnelles, communications, informations de requête, adresse IP, navigateur et informations sur l’appareil, pages visitées et données techniques similaires.
Nous traitons ces informations pour répondre aux requêtes, administrer les relations, fournir les services demandés, maintenir la sécurité, exécuter les contrats, se conformer à la loi et, lorsque cela est permis, envoyer des communications professionnelles pertinentes. Les destinataires peuvent se désabonner du marketing direct à tout moment. Les communications opérationnelles, contractuelles, de sécurité et de service client ne constituent pas du marketing.
Les sites Web peuvent utiliser des cookies essentiels, fonctionnels et analytiques et des technologies similaires. Lorsque la loi l’exige, les cookies non essentiels ne seront utilisés qu’après obtention du consentement approprié et les utilisateurs disposeront de contrôles pour gérer leurs préférences.
Grouper seeks to embed privacy into service design and operations. This includes:
- Options de résidence des données européennes ;
- minimisation des données ;
- accès au principe du moindre privilège ;
- authentification appropriée ;
- chiffrement ;
- journalisation des accès ;
- permissions basées sur le rôle ;
- transmission sécurisée ;
- contrôles du sous-traitant ;
- contrôles de rétention ;
- processus d’intervention en cas d’incident;
- formation en confidentialité et sécurité ;
- tests de sécurité ;
- prise en charge DPIA ; et
- responsabilité documentée.
Grouper tiendra des registres et des dispositifs de gouvernance adaptés à son rôle et coopérera de bonne foi avec les Clients, les Personnes concernées et les autorités compétentes.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
Lorsque Grouper traite les Données Personnelles des Clients en tant que Sous-traitant, la Partie B et l’accord client applicable régissent la relation contractuelle de traitement. En cas d’incohérence concernant les Données Personnelles du Client, l’ordre de prééminence suivant s’applique : loi applicable sur la protection des données obligatoire ; SCC applicables, Addendum UK ou autre mécanisme de transfert obligatoire ; l’Accord de traitement des données ; dispositions pertinentes de protection des données du Contrat ; et le reste du Contrat.
La proposition européenne BambooHR de Grouper repose sur trois principes :
résidence européenne des données.
Les Données Personnelles du Client sont hébergées et stockées dans l’EEE, avec l’hébergement principal en Irlande via Amazon Web Services (AWS).
Normes européennes de protection de la vie privée.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
Service et assistance européens.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
Notre objectif est de permettre aux organisations d’utiliser BambooHR tout en respectant les normes de confidentialité, de gouvernance et de localisation des données attendues par les clients européens.
Les questions relatives à cette Politique de confidentialité, les activités de traitement de Grouper, les droits des personnes concernées, la sécurité ou nos arrangements de résidence de données en Europe peuvent être soumises via les canaux désignés de confidentialité ou d’assistance clientèle de Grouper.
Grouper Technology Limited peut également être contactée au 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.
Lorsque les données personnelles concernées se trouvent dans le compte BambooHR d’un employeur, les individus doivent normalement contacter cet employeur en premier lieu, car cette organisation sera généralement Responsable du contrôle déterminant la manière dont les informations sont utilisées.
Le présent Accord de traitement des données (« DPA ») fait partie de l’accord, du bon de commande, de la déclaration de travail ou de tout autre contrat régissant la fourniture des services Grouper liés à BambooHR entre le Client et Grouper Technology Limited.
Dans le cadre de la fourniture des Services, Grouper peut traiter les Données Personnelles du Client pour le compte de celui-ci. Le présent DPA établit les obligations respectives des Parties quant à ce traitement.
Cette DPA s’applique dans la mesure où Grouper Traitera des Données Personnelles du Client pour le compte du Client et un tel Traitement est soumis au Droit applicable en matière de protection des données. Elle complète et fait partie de l’Accord; les termes en majuscules non définis ici ont la signification qui leur est donnée dans l’Accord.
Pour ce DPA :
Données Personnelles du Client
Données personnelles contrôlées par un Client ou une Société affiliée au Client et traitées par Grouper dans le cadre des Services.
Transfert Restreint
Un transfert de Données Personnelles nécessitant un mécanisme de transfert licite en vertu du Droit applicable en matière de protection des données.
Clauses contractuelles types (CCT)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
Un tiers désigné par ou pour le compte de Grouper pour traiter les Données Personnelles du Client.
Fournisseur de technologie
BambooHR LLC et, le cas échéant, les entités affiliées BambooHR fournissant la plateforme technologique RH sous-jacente.
Sauf accord écrit contraire, le Client agit en tant que Responsable du traitement et Grouper agit en tant que Sous-traitant. Lorsque le Client agit en tant que Sous-traitant pour un autre Responsable, Grouper agit en tant que Sous-sous-traitant dans la mesure applicable.
Grouper traitera les Données personnelles du Client uniquement sur des instructions écrites du Client et uniquement dans la mesure nécessaire pour fournir, maintenir, sécuriser et prendre en charge les Services, sauf si le traitement des données est requis par la loi applicable.
Grouper informera rapidement le Client si, à son avis raisonnable, une instruction enfreint le droit applicable en matière de protection des données et peut suspendre le Traitement affecté en attendant la résolution.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper veillera à ce que les personnes autorisées soient soumises à des obligations de confidentialité appropriées, n'accèdent aux Données Personnelles du Client que lorsque cela est raisonnablement nécessaire, reçoivent une formation appropriée sur la confidentialité et la sécurité et traitent les Données Personnelles du Client uniquement conformément à cette DPA et aux instructions documentées du Client. L’accès sera limité selon les principes du moindre privilège et du besoin de connaissance.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
Les domaines de contrôle minimaux sont décrits à l’Annexe 2. Grouper peut mettre à jour ces mesures fourni que les modifications n’abaissent pas sensiblement le niveau global de protection accordé aux Données Personnelles du Client.
Grouper notifiera le Client dès que raisonnablement possible et, lorsque l’engagement contractuel de 48 heures s’applique, en aucun cas pas plus de 48 heures après avoir pris connaissance d’un incident de sécurité réel ou suspect affectant les Données Personnelles du Client.
Les informations peuvent être fournies par étapes à mesure qu’elles deviennent disponibles. Grouper fournira la coopération raisonnable nécessaire pour permettre au Client de se conformer à ses obligations de notification auprès des autorités de supervision et des personnes concernées.
Le Client accorde à Grouper une autorisation écrite générale d’engager des sous-traitants nécessaires pour fournir les Services.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
Lorsque le DPA sous-jacent de BambooHR s’applique, BambooHR fournit actuellement un préavis écrit d’au moins 30 jours pour un nouveau Sous-traitant qui traitera les Données Personnelles du Client.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Si Grouper reçoit une demande directement concernant les Données Personnelles du Client, Grouper renverra ou notifiera rapidement le Client et ne répondra pas substantiellement sauf sur instructions documentées ou lorsque la loi l’exige.
Grouper apportera une assistance raisonnable, compte tenu de la nature du Traitement et des informations disponibles, pour les évaluations d’impact sur la protection des données, la consultation préalable auprès des autorités de supervision et les enquêtes raisonnables ou les investigations menées par une autorité de supervision compétente relatives aux Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
Dans la mesure permise par la loi, Grouper examinera les demandes juridiquement contraignantes des autorités publiques concernant les Données Personnelles du Client, contestera les demandes illégales ou disproportionnées lorsqu’il existe des motifs raisonnables, cherchera à limiter la divulgation au minimum légalement requis, informera le Client lorsque cela est légalement permis et tiendra des enregistrements appropriés.
À la demande du Client, ou lors de la résiliation ou de l’expiration des Services, Grouper, au choix du Client et sous réserve de faisabilité technique et de l’Accord, retournera ou supprimera définitivement les Données Personnelles du Client et demandera aux Sous-traitants concernés d’en faire autant. Lorsque la loi exige la conservation, Grouper isolera et protègera les données conservées et les traitera uniquement lorsque cela est légalement requis.
Le Client garantit qu’il dispose des droits, autorisations, avis, bases légales et consentements requis pour fournir les Données Personnelles du Client en vue du traitement; que ses instructions respectent le droit applicable en matière de protection des données; qu’il n’instruira pas de traitement illicite; et qu’il configurera et utilisera les Services de manière sécurisée et maintiendra des contrôles appropriés sur les comptes d’utilisateurs, les identifiants et les intégrations.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
Cette DPA prend effet lorsque le Client y est bound et se poursuit aussi longtemps que Grouper Traite des Données Personnelles du Client pour le compte du Client. Les obligations qui par leur nature ou en vertu de la loi doivent se poursuivre tant que les données sont conservées survivent à l’expiration ou à la résiliation.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
En cas d’incohérence concernant les Données Personnelles du Client, l’ordre suivant de prééminence s’applique: droit applicable obligatoire en matière de protection des données; CCT applicables, Addendum au R.-U. ou autre mécanisme de transfert obligatoire; cette DPA; dispositions applicables en matière de protection des données de l’Accord; et le reste de l’Accord.
Responsable / Exportateur de données
The Customer identified in the applicable Agreement or Order Form.
Préposé / Importateur de données
Grouper Technology Limited, 3e étage, 22 Ely Place, Dublin, D02 AH73, Ireland.
Fournisseur de technologie
BambooHR LLC et les entités BambooHR applicables fournissant la plateforme HRIS sous-jacente.
Objet du traitement
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
Nature du traitement
Collecte, réception, enregistrement, organisation, structuration, migration, hébergement, stockage, récupération, consultation, utilisation, transmission, mise à disposition, restriction, support d’accès, deletion et autres Traitements nécessaire raisonnablement pour fournir les Services.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
Pendant la durée des Services et toute période subséquente nécessaire pour retourner ou supprimer les Données Personnelles du Client ou se conformer à la loi.
Personnes concernées
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
Données personnelles
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
Données sensibles
Selon le choix du Client, peut inclure des informations de santé et de handicap et d’autres données sensibles ou de catégorie spéciale autorisées par les Services.
Stockage européen principal
Irlande / EEE via Amazon Web Services (AWS) pour les Clients achetant le service de localisation européenne des données.
Autorité de supervision compétente
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper maintient des mesures techniques et organisationnelles sur les domaines de contrôle minimaux suivants :
1. Gouvernance de la sécurité de l’information
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. Sécurité du personnel
Obligations de confidentialité, filtrage approprié des personnes, sensibilisation à la sécurité et formation à la vie privée, et contrôles disciplinaires pour accès non autorisé.
3. Sécurité physique
Accès restreint aux installations et infrastructures pertinentes; parcours d’accès contrôlés; autorisations d’accès; surveillance physique et autres mesures de sécurité adaptées à l’environnement d’hébergement.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. Contrôle d’accès aux données
Contrôles conçus pour que les utilisateurs autorisés puissent accéder qu’aux données dans leurs droits; journalisation et surveillance des accès; divulgation des données uniquement à des personnes autorisées.
6. Chiffrement et pseudonymisation
Chiffrement approprié des Données Personnelles en transit et au repos; pseudonymisation lorsque cela est approprié à l’objectif du traitement.
7. Sécurité du réseau et des transmissions
Pare-feu, passerelles protégées, canaux de communication sécurisés, TLS/SFTP ou mécanismes de transfert protégés équivalents, et contrôles contre l’interception ou modification non autorisée.
8. Journalisation et surveillance
Journalisation des activités pertinentes des systèmes, administratives et d’accès; surveillance des événements suspects; conservation des informations d’audit adaptée au risque.
9. Contrôle des entrées et des changements
Contrôles pour identifier qui a entré, modifié ou supprimé des données; authentification des utilisateurs et systèmes autorisés; pratiques documentées de gestion des changements.
10. Vulnérabilité et tests de sécurité
Processus pour identifier, évaluer et remédier les vulnérabilités; tests de pénétration périodiques ou tests de sécurité; évaluation et révision régulières de l’efficacité des contrôles.
11. Disponibilité, sauvegarde et reprise
Redondance de l’infrastructure, sauvegarde, capacité de restauration, contrôles de disponibilité et protection contre la perte ou la destruction accidentelle.
12. Continuité d’activité et reprise après sinistre
Plans de continuité et de reprise documentés conçus pour restaurer la disponibilité et l’accès en temps utile après une perturbation ou un Incident de sécurité.
13. Séparation des données
Séparation logique ou au niveau de l’application entre les clients et entre les finalités de traitement; contrôles destinés à prévenir l’accès non autorisé entre clients.
14. Développement sûr
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
Diligence raisonnable, obligations écrites de protection des données, revue de sécurité, sauvegardes de transfert et supervision continue appropriées au traitement.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
Transferts restreints au sein de l’UE
Lorsque les CCT de l’UE sont requises, les CCT officielles de la Commission européenne sont incorporées par référence sans modification du libellé obligatoire. Sauf si les rôles l’exigent autrement, le Client est le Exportateur de Données, Grouper et/ou le fournisseur de technologie applicable est l’Importateur de Données, et le Module Deux s’applique aux transferts de Responsable vers Prestataire.
Transferts restreints au Royaume-Uni
Pour les transferts soumis à la Loi sur la protection des données du Royaume-Uni, les SCC de l’UE s’appliqueront conjointement à l’Addendum UK International Data Transfer en vigueur ou à un autre mécanisme de transfert reconnu légalement.
Transferts suisses
Pour les transferts soumis au droit allemand sur la protection des données en Suisse, les CCT seront interprétées et adaptées comme requis par la loi suisse applicable, y compris les références appropriées à l’autorité de supervision suisse et aux sujets de données suisses.
Cadre européen de protection des données UE-US
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
Scénarios d’accès exceptionnel pour les clients européens
Un accès exceptionnel autorisé en dehors de l’EEE peut intervenir uniquement dans les circonstances suivantes:
- une urgence affectant l’environnement du centre de données irlandais ou la continuité du service ;
- Une demande de support ou de maintenance nécessitant un accès spécialisé autorisé en dehors de l’EEE, sous réserve de l’approbation du Client ou d’une autorisation contractuelle; et
- une demande vérifiée du Client pour le traitement ou l’hébergement en dehors de la région européenne.
Les fournisseurs précis utilisés varient selon le produit, la fonctionnalité, le chemin de support et la configuration du Client. Le registre des sous-traitants actuels et en vigueur tenu par Grouper et/ou BambooHR est déterminant pour la prestation active du service.
Les principaux fournisseurs identifiés dans les matériaux de service régissant. Un fournisseur répertorié ici ne traite pas nécessairement les Données Personnelles du Client pour chaque Client ou chaque déploiement.
BambooHR LLC
Fournisseur de technologie; maintenance, hébergement et support HRIS. Lieu: États-Unis / régions de service y compris l’Europe.
Amazon Web Services (AWS)
Infrastructure principale d’hébergement cloud; hébergement régional européen en Irlande. Lieu: Irlande / Europe et autres régions selon la configuration du service.
Anthropic / Claude
Traitement IA / modèle linguistique. Lieu: États-Unis.
Cohere
API de modèle linguistique / traitement IA. Lieu: États-Unis.
OpenAI
API de modèle linguistique / traitement IA. Lieu: États-Unis.
LlamaIndex / LlamaParse
Analyse optionnelle de documents associée à la fonctionnalité IA. Lieu: États-Unis.
Atlas MongoDB
Stockage de données soutenant les services sélectionnés / fonctionnalités liées à l’IA. Lieu: États-Unis.
Gainsight
Relations client / CRM services.
Salesforce
Plateforme CRM.
Cloudflare
Pare-feu d’applications web / sécurité.
Datadog
Surveillance des infrastructures et des applications.
Microsoft / Google Workspace
Collaboration, communication et stockage de documents selon la configuration actuelle.
Mailgun
Communications d’application.
Snowflake
Analyse de données.
Twilio
MFA / Livraison par SMS.
Fournisseurs supplémentaires
Des fournisseurs supplémentaires identifiés dans les documents de service actuels peuvent comprendre Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike et d’autres. Les Clients doivent se référer à la liste de sous-traitants BambooHR en direct et aux informations actuelles sur les sous-traitants Grouper pour les détails les plus récents.
1. Portée
Cette Annexe s’applique lorsque le Client active ou utilise la fonctionnalité d’intelligence artificielle ou d’apprentissage automatique BambooHR en relation avec les Services pris en charge par Grouper.
2. Fournisseurs d’IA
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. Entrées et sorties
Les invites, instructions ou données fournies par le Client soumises à la fonctionnalité d’IA peuvent constituer des « entrées » et les réponses générées peuvent constituer des « sorties ». Selon la fonctionnalité, les Entrées ou les Sorties peuvent inclure des Données Client. Les Sorties ne sont pas nécessairement uniques et peuvent être similaires à celles produites pour d’autres utilisateurs.
4. Responsabilités du Client et supervision humaine
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. Restrictions sur les données sensibles et réglementées
Lorsque les termes d’IA applicables l’interdisent, le Client ne doit pas soumettre d’informations sensibles ou réglementées aux fonctionnalités IA, y compris les informations de santé, génétiques ou biométriques, les numéros d'identification délivrés par le gouvernement, ou les informations financières personnelles ou bancaires. Les Clients devraient minimiser les Données Personnelles dans les invites.
6. Précision, biais et équité
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
Lorsque les termes d’IA applicables du BambooHR permettent l’utilisation des Données de Performance et des Retours pour améliorer la fonctionnalité IA, cette utilisation est régie par ces termes. Lorsque les Données Clients sont utilisées pour affiner un modèle spécifique au client, le modèle résultant est utilisé pour fournir des fonctionnalités IA à ce Client et n’est pas utilisé autrement pour fournir des services à d’autres clients.
8. Traitement international
Les fournisseurs d’IA peuvent traiter des Entrées autorisées ou des Données personnelles associées en dehors de l’EEE. Ce traitement est soumis aux garanties de transfert prévues par le présent DPA et ne modifie pas le lieu de stockage central du RHIS du Client sous contrat. Les Clients doivent évaluer si l’utilisation optionnelle de l’IA est conforme à leurs propres exigences de résidence, de comité d’entreprise, de droit du travail et de gestion des risques avant de l’activer.
Des questions sur cette politique de confidentialité ou vos droits relatifs aux données ?
Contactez-nous
