Legal
गोपनीयता नीति | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
अंतिम अपडेट: 16 अगस्त 2026
Grouper व्यक्तिगत डेटा की सुरक्षा करने और गोपनीयता, सुरक्षा तथा नियामकीय अनुपालन के उच्च मानकों को बनाए रखने के लिए प्रतिबद्ध है। डेटा संरक्षण को एक मूल परिचालन और संविदात्मक ज़िम्मेदारी के रूप में माना जाता है, न कि बाद में सोचा गया विषय। हम अपनी सेवा-प्रदान व्यवस्था, पहुँच नियंत्रण, सहायता प्रक्रियाओं और विक्रेता-शासन को GDPR के जवाबदेही, अखंडता, गोपनीयता और पारदर्शिता सिद्धांतों के अनुरूप तैयार करते हैं।
यह गोपनीयता नीति बताती है कि Grouper Technology Limited (“Grouper”, “हम”, “हमें” या “हमारा”) सेवाओं के संबंध में व्यक्तिगत डेटा कैसे एकत्र, उपयोग, अभिगम, होस्ट, संग्रहीत, संरक्षित, स्थानांतरित और अन्यथा संसाधित करती है, जिसमें BambooHR की यूरोपीय भागीदार के रूप में हमारी भूमिका भी शामिल है।
Grouper संगठनों को आयरलैंड, यूनाइटेड किंगडम, यूरोप और अन्य क्षेत्रों में deployment, administration और BambooHR HRIS प्लेटफॉर्म और संबंधित HR तकनीक के उपयोग के साथ सहायता करता है।
हमारा यूरोपीय सेवा मॉडल यूरोपीय डेटा निवास के एक स्पष्ट सिद्धांत के आधार पर तैयार किया गया है। Grouper की यूरोपीय BambooHR सेवा के माध्यम से संभाला गया ग्राहक व्यक्तिगत डेटा यूरोपीय आर्थिक क्षेत्र (“EEA”) के भीतर होस्ट और संग्रहीत किया जाता है, जिसका प्राथमिक होस्टिंग स्थान आयरलैंड में है।
यह Privacy Policy उस personal data पर लागू है जो निम्न के संबंध में संसाधित किया गया है:
- BambooHR लागूकरण और ऑनबोर्डिंग;
- HRIS कॉन्फ़िगरेशन;
- खाता प्रशासन;
- ग्राहक समर्थन;
- तकनीकी समर्थन;
- इंटीग्रेशन सपोर्ट;
- डेटा माइग्रेशन;
- ग्राहक सफलता;
- प्रशिक्षण;
- पेशेवर सेवाएं;
- सुरक्षा और सेवा प्रशासन;
- ग्राहक संचार;
- बिक्री और डेमो;
- Grouper वेबसाइट्स और डिजिटल सेवाएं; और
- हमारी सामान्य व्यापार गतिविधियाँ।
Grouper टेक्नोलॉजी लिमिटेड एक आयरिश कंपनी है जिसका पंजीकृत कार्यालय 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland में है।
BambooHR प्रदान करता है underlying human resources information system और संबंधित उत्पाद कार्यक्षमता. Grouper यूरोपीय कार्यान्वयन, प्रवासन, कॉन्फ़िगरेशन, प्रशिक्षण, ग्राहक सफलता, सहायता, सेवा प्रबंधन और संबंधित पेशेवर सेवाएं प्रदान करता है. ग्राहक की सदस्यता और कॉन्फ़िगरेशन के अनुसार, BambooHR HRIS प्लेटफ़ॉर्म कर्मचारी रिकॉर्ड, ऑनबोर्डिंग, भर्ती, समय और उपस्थिति, अवकाश प्रबंधन, प्रदर्शन, लाभ, पेरोल-संबंधी कार्यक्षमता, रिपोर्टिंग, विश्लेषण, एकीकरण, APIs और कृत्रिम- बुद्धिमत्ता सुविधाओं का समर्थन कर सकता है।
किस प्रकार की सेवाएँ किसी ग्राहक द्वारा खरीदी जाती हैं उसके आधार पर Grouper संभव हो सकता है:
- BambooHR लागूकरण;
- onboarding;
- कॉन्फ़िगरेशन;
- खाता सेटअप;
- Migration assistance;
- इंटीग्रेशन सेवाएं;
- तकनीकी समर्थन;
- HRIS सपोर्ट;
- प्रशिक्षण;
- ग्राहक- सफलता सेवाएं;
- सेवा प्रशासन;
- Troubleshooting; and
- संबद्ध पेशेवर सेवाएं।
Grouper की सटीक डेटा-संरक्षण भूमिका विशेष Processing गतिविधि पर निर्भर करती है।
जहाँ Grouper निर्णय करता है Processing के उद्देश्य और साधनों के बारे में — उदाहरण के लिए कुछ वेबसाइट, बिक्री, व्यावसायिक-संपर्क, सुरक्षा या कॉर्पोरेट-प्रशासन गतिविधियों में — Grouper एक Controller के रूप में कार्य करता है।
जहाँ Grouper Customer के निजी डाटा को केवल Customer की प्रस्तुत निर्देशों के अनुसार Processing करता है, Grouper एक Processor के रूप में कार्य करता है।
जहाँ Customer स्वयं दूसरे Controller के लिए Processor के रूप में कार्य करता है, वहाँ Grouper Sub-processor के रूप में लागू हो सकता है।
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 कोर यूरोपीय residència प्रतिबद्धता
EEA 데이터 residency के साथ Grouper’s European BambooHR सेवा खरीदने वाले ग्राहकों के लिए, मूल HRIS उत्पादन वातावरण का हिस्सा बनने वाले Customer Personal Data को EEA के भीतर होस्ट और स्टोर किया जाता है, Ireland में प्राथमिक होस्टिंग स्थान के साथ।
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 भंडारण बनाम अभिगम
Data residency का मतलब है कि Customer Personal Data कहाँ रखा गया है। इसका मतलब यह नहीं कि किसी अन्य देश से कभी authorised सहायता या तकनीकी पहुँच नहीं हो सकती।
बाहरी EEA से असामान्य पहुँच केवल तब हो सकती है जब आवश्यक हो, अधिकृत हो और इस नीति के अनुभाग 17 और 18 में वर्णित हिसाब से कानूनी सुरक्षा हो।
4.3 बैकअप, लचीलापन और आपदा पुनर्प्राप्ति
Backup, जलोद्धार और आपदा-रिकवरी व्यवस्थाएं गोपनीयता, अखंडता और उपलब्धता बनाए रखने के लिए डिज़ाइन की गई हैं और Customer के कॉन्ट्रैक्टेड क्षेत्रीय होस्टिंग प्रतिबद्धताओं के अनुरूप बनी रहती हैं।
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 EEA के बाहर कोई रूटीन relocation नहीं
Grouper नियमित रूप से यूरोपीय ग्राहक व्यक्तिगत डेटा के स्थानांतरण के लिए असाधारण सहायता अभिगम का उपयोग नहीं करता है।
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
“Applicable Data Protection Law” का अर्थ है Processing पर लागू सभी डेटा- सुरक्षा, गोपprivacy и डेटा-सुरक्षा कानून और विनियम, जहाँ सन्दर्भित हो:
- Regulation (EU) 2016/679 — General Data Protection Regulation (GDPR);
- Irish Data Protection Act 2018;
- लागू आयरिश ePrivacy और इलेक्ट्रॉनिक- संचार नियम;
- जहाँ लागू हो, यूके GDPR और यूके डेटा संरक्षण अधिनियम 2018;
- जहाँ लागू हो वहाँ लागू स्विस डेटा-संरक्षण कानून;
- यूरोपीय गोपनीयता आवश्यकताओं को लागू करने वाला राष्ट्रीय कानून;
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
प्रसंस्कृत जानकारी वह सेवाओं पर निर्भर करती है जो ग्राहक द्वारा चयनित हैं और HR वातावरण में ग्राहक द्वारा डेटा डालने के लिए चुना गया डेटा.
6.1 Employee and Workforce Information
व्यक्तिगत डेटा में शामिल हो सकते हैं:
- नाम और कर्मचारी पहचान संख्याएँ;
- जहाँ प्रदान की गई हों, फ़ोटोग्राफ़;
- घर के संपर्क विवरण या कार्य संपर्क विवरण;
- जन्म तिथि, लिंग और जो भी प्रजातीय जानकारी उपलब्ध हो;
- जहाँ उपलब्ध कराया गया है वहाँ वैवाहिक या परिवारिक जानकारी;
- आकस्मिक संपर्क व्यक्ति और टेलीफोन नंबर;
- शैक्षणिक और व्यावसायिक योग्यता;
- CV या résumé जानकारी, रोजगार इतिहास और भाषा कौशल;
- नौकरी का पद, ग्रेड, विभाग, स्थान, रिपोर्टिंग रेखाएं और टीम-संयुक्तता;
- hiring और termination की तारीखें, कार्य समय और संविदात्मक विवरण;
- प्रदर्शन, मूल्यांकन, अनुशासनात्मक और कार्य-इतिहास सूचना;
- लाभ, बीमा, कंपनी की संपत्तियाँ और प्रशिक्षण जानकारी; और
- छुट्टी, उपस्थिति और समय-छुट्टी जानकारी.
6.2 वेतन और मुआवज़ा जानकारी
जहाँ उपयुक्त सेवाएँ प्रयुक्त होती हैं, Personal Data में शामिल हो सकता है:
- वेतन, मुआवज़ा और बोनस;
- कर और सामाजिक- सुरक्षा जानकारी;
- बैंक और भुगतान विवरण;
- पेंशन जानकारी;
- शेयर विकल्प और अन्य फायदे; और
- अन्य पेरोल-सम्बंधित जानकारी.
6.3 भर्ती, उम्मीदवार और परीक्षक जानकारी
For candidates, prospective employees and referees, information may include:
- पहचान और संपर्क विवरण;
- CVs,résumés, रोजगार इतिहास और योग्यता
- आवेदन, इंटरव्यू और भर्ती रिकॉर्ड;
- उम्मीदवार संचार और भर्ती स्थिति;
- प्रस्तावित मुआवज़ा जानकारी;
- परीक्षक के नाम, संपर्क विवरण और पेशेवर संबंध; और
- रेफरेंसेज़ में मौजूद जानकारी.
6.4 विशिष्ट वर्ग और संवेदनशील डेटा
Customer के BambooHR HRIS प्लेटफ़ॉर्म के उपयोग के आधार पर, सेवाओं में स्वास्थ्य या disability जानकारी और अन्य विशिष्ट-श्रेणी या संवेदनशील व्यक्तिगत डेटा हो सकता है।
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
ग्राहकों को_free-text_ क्षेत्रों या AI सुविधाओं में संवेदनशील जानकारी न डालनी चाहिए जब तक ज़रूरी, वैध और संबन्धित उत्पाद शर्तों द्वारा अनुमति प्राप्त न हो।
Personal Data जो Grouper की सेवाओं से जुड़ी.Processed हो सकता है वह शामिल हो सकता है:
- वर्तमान, पूर्व, संभावित और भविष्य के कर्मचारी;
- उम्मीदवार और आवेदनकर्त्ता;
- ठेकेदार, परामर्शदाता, एजेंट और स्वतंत्र ठेकेदार;
- एजेंसी, अस्थायी और कैज़ुअल कर्मचारी;
- इंटर्न और स्वयंसेवक;
- कर्मचारी आश्रित, लाभार्थी और आपातकालीन संपर्क;
- रेफरी और संदर्भ प्रदाता;
- ग्राहक प्रशासनिक और अधिकृत उपयोगकर्ता; और
- अन्य व्यक्ति जिनका Personal Data Customer सेवाओं में वैध रूप से प्रस्तुत करता है.
Personal Data प्राप्त हो सकता है:
- सीधे व्यक्ति से;
- व्यक्ति के नियोक्ता या संभावित नियोक्ता से;
- Customer administrators और अधिकृत उपयोगकर्ताओं से;
- कार्यान्वयन, कॉन्फ़िगरेशन और डेटा माइग्रेशन के दौरान;
- अधिकृत इंटीग्रेशन या APIs के माध्यम से;
- सपोर्ट अनुरोधों और ट्रबलशूट के माध्यम से;
- BambooHR HRIS प्लेटफॉर्म या Customer द्वारा चयनित किसी अन्य प्रणाली के माध्यम से;
- भर्ती प्रक्रियाओं के माध्यम से;
- कानूनी रूप से उपयोग किए गए सार्वजनिक स्रोतों से; और
- Customer द्वारा अधिकृत अन्य वैध स्रोतों से.
Grouper प्रक्रियात्मक डेटा को केवल निर्दिष्ट और वैध उद्देश्यों के लिए। इनमें शामिल हो सकते हैं:
- BambooHR HRIS प्लेटफॉर्म को लागू करना और कॉन्फ़िगर करना;
- Customer Personal Data की होस्टिंग या होस्टिंग की facilitation;
- खाते और उपयोगकर्ता अनुमतियाँ प्रबंधित करना;
- सेवा बनाए रखना और सुरक्षित रखना;
- ग्राहक और तकनीकी सहायता प्रदान करना;
- इंटीग्रेशन और माइग्रेशन का समर्थन करना;
- प्रशिक्षण और पेशेवर सेवाएँ प्रदान करना;
- subscriptions और ग्राहक संबंध प्रबंधित करना;
- सुरक्षा घटनाओं का पता लगाना और जांचना;
- ऑडिट रिकॉर्ड बनाए रखना;
- धोखाधड़ी या दुरुपयोग रोकना;
- कानूनी दायित्वों के पालन के लिए; और
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
जब Support personnel Customer Personal Data तक पहुँचते हैं, पहुँच न्यूनतम जानकारी तक सीमित होनी चाहिए और केवल अनुमत कर्मियों द्वारा गोपनीयता और पहुंच नियंत्रणों के अधीन की जानी चाहिए.
जहाँ Grouper नियंत्रक के रूप में कार्य करता है, वैधानिक आधार हो सकता है:
10.1 अनुबंध
ऐसे अनुबंध में प्रवेश करने या प्रदर्शन करने के लिए आवश्यक प्रोसेसिंग, या व्यक्ति के अनुरोध पर अनुबंध से पहले कदम उठाने के लिए;
10.2 वैध हित
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- सेवा वितरण;
- ग्राहक प्रशासन;
- सूचना सुरक्षा;
- धोखाधड़ी रोकथाम;
- व्यापार निरंतरता;
- ग्राहक समर्थन; और
- relationship management.
10.3 कानूनी बाध्यता
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 सहमति
जहाँ उपयुक्त हो, प्रोसेसिंगConsent के आधार पर आधारित हो सकती है। Any time Consent हटाया जा सकता है बिना उस प्रोसेसिंग की वैधता प्रभावित हुए जिसे हटाने से पहले किया गया था।
जहाँ Customer Controller के रूप में कार्य करता है, Customer के लिए ज़िम्मेदारी है:
- यह निर्धारित करना कि Personal Data किस उद्देश्य के लिए प्रोसेस किया जाएगा;
- कानूनी आधार और विशिष्ट-श्रेणी स्थितियाँ स्थापित करना;
- आवश्यक privacidad notices प्रदान करना;
- जहाँ आवश्यक हो, सहमति प्राप्त करना;
- डेटा की सटीकता और गुणवत्ता सुनिश्चित करना;
- उचित retention अवधि निर्धारित करना;
- ऑथराइज़ड उपयोगकर्ताओं और अनुमतियों का प्रबंधन;
- सेवाओं का सुरक्षित उपयोग;
- यह सुनिश्चित करना कि Grouper के निर्देश कानूनी रूप से वैध हैं.
ग्राहक यह निर्देश नहीं दे सकता कि Grouper Personal Data को ऐसे तरीके से प्रोसेस करे जो लागू Data Protection कानून का उल्लंघन हो.
Grouper तब Customer को सूचित करेगा जब, उसकी व्यावहारिक राय में, कोई निर्देश लागू Data Protection कानून का उल्लंघन करता है और समस्या हल होने तक प्रभावित प्रोसेसिंग को निलंबित किया जा सकता है।
Grouper Customer Personal Data तक पहुंच केवल उन authorized व्यक्तियों तक सीमित है जिन्हें उनके कर्तव्यों के लिए वास्तविक आवश्यकता है। कर्मियों पर उपयुक्त गोपनीयता बाध्यताएँ लागू होती हैं और उनकी भूमिका के अनुरूप privacy और security प्रशिक्षण प्राप्त करते हैं। पहुंच सबसे कम-privilege और need-to-know के सिद्धांतों द्वारा शासित है.
पहुंच नियंत्रण शामिल हैं:
- पहचान और प्रमाणीकरण नियंत्रण;
- भूमिका-आधारित और विशेष पहुंच नियंत्रण;
- प्रशासकीय खाता नियंत्रण;
- खाता जीवनचक्र प्रबंधन;
- पहुँच लॉगिंग और निगरानी;
- समय-समय पर पहुंच समीक्षा;
- गोपनीयता और स्वीकार्य-प्रयोग आवश्यकताएँ; और
- उचित जन- सुरक्षा और प्रशिक्षण.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
उपाय शामिल हैं:
- भौतिक और तर्कसंगत पहुंच नियंत्रण;
- सशक्त प्रमाणीकरण और उपयुक्त पासवर्ड नियंत्रण;
- यात्रा में और विश्राम पर एन्क्रिप्शन जहाँ आवश्यक;
- जहाँ उपयुक्त हो, पseudonymisation;
- नेटवर्क फ़ायरवॉल, परिसीमा सुरक्षा और आक्रमण-ढूंढना;
- लॉगिंग, निगरानी और ऑडिट ट्रेल्स;
- कमज़ोरी प्रबंधन और सुरक्षा परीक्षण;
- प्रतिबंधित प्रशासनिक पहुँच;
- सुरक्षित ट्रांसमिशन, सहित संरक्षित ट्रांसफर चैनल;
- बैकअप, redundancy, पुनर्प्राप्ति और लचीलापन;
- बिज़नेस-कॉन्टिन्यूटी और आपदा-प्रबंधन योजना;
- सुरक्षित विकास और परिवर्तन प्रबंधन;
- ग्राहकों और प्रोसेसिंग उद्देश्यों के बीच डेटा पृथक्करण;
- घटना-प्रतिक्रिया प्रक्रियाएं;
- स्टाफ सुरक्षा जागरूकता और प्रशिक्षण; और
- subprocessor due diligence और सुरक्षा शासन.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
जहाँ Grouper Processor के रूप में कार्य करता है और Customer Personal Data में वास्तविक या संदेहित Personal Data Breach का आभास होता है, Grouper संबंधित Customer को संभवतः सबसे त्वरित समय में और किसी भी स्थिति में घटना का पता चलने के 48 घंटों के भीतर सूचित करेगा.
जहाँ संभव हो notification include करेगा:
- घटना की प्रकृति;
- संवेदनों के प्रकार प्रभावित हुए;
- डेटा subjects और रिकॉर्ड्स के अनुमानित वर्ग और संख्या;
- संभावित परिणाम;
- माप/प्रस्तावित कदम;
- निवारण क्रियाओं; और
- आगे की जानकारी के लिए संपर्क बिंदु.
जानकारी चरणों में उपलब्ध होने पर प्रदान की जा सकती है.
Grouper ग्राहक को कानूनी नियमों और Data Subject नोटिफिकेशन दायित्वों को पूरा करने के लिए उचित सहयोग देगा.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper आवश्यक होने पर carefully selected Sub-processors और service providers नियुक्त कर सकता है ताकि Services प्रदान, होस्ट, सुरक्षित, समर्थन, मॉनिटर या सुधार सकें.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
जहाँ लागू ग्राहक शर्तें सामान्य लिखित अनुमति प्रदान करती हैं, ग्राहकों को material नए Sub-processors की अग्रिम सूचना और reasonable डेटा-प्रोटेक्शन grounds पर आपत्ति करने का अवसर मिलेगा.
BambooHR उप-प्रसंस्कारकों के लिए, वर्तमान BambooHR DPA एक नए Subcontractor के बारे में कम-से-कम 30 दिनों की पूर्व सूचना देता है जो Customer Personal Data को प्रक्रिया करेगा।
Schedule 4 प्रमुख provider समूहों और governing service materials में पहचाने गए नामित प्रदाताओं पर पारदर्शिता प्रदान करता है.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
BambooHR की Processing लागू अनुबंधीय और डेटा-उपकरण शर्तों के अनुसार है, जिसमें उसकी DPA, सुरक्षा उपाय, उप-संरचना प्रावधान और अंतरराष्ट्रीय-हस्तांतरण सुरक्षा शामिल हैं।
Grouper अपने वैधानिक 데이터- सुरक्षा कानून और लागू ग्राहक समझौते के तहत अपने दायित्वों के लिए जिम्मेदार बना रहता है। जहाँ BambooHR Personal Data को Grouper के यूरोपीय ग्राहक वातावरण के समर्थन में संसाधित करता है, लागू कॉन्ट्रैक्चुअल, सुरक्षा और data-residency आवश्यकताएं लागू होती हैं।
Grouper के अनुबंधित यूरोपीय सेवा के लिए, ग्राहक Personal Data EEA में स्टोर किया जाना है, Ireland में प्राथमिक होस्टिंग के साथ Amazon Web Services (AWS) के माध्यम से। EEA के बाहर से अधिकृत प्रोसेसिंग या रिमोट एक्सेस एक Restricted Transfer बन सकता है जबकि डेटा Ireland में ही रहता है। ऐसी पहुँच केवल तब ही अनुमति है जब कानूनी, आवश्यक और उपयुक्त सुरक्षा उपायों से संरक्षित हो।
exceptional scenarios के उदाहरण शामिल हैं:
- आयरिश डाटा-केन्द्र वातावरण या सेवा निरंतरता पर एक आपात स्थिति;
- Outside the EEA से अनुमोदित विशेषज्ञ पहुँच की मांग करने वाला समर्थन या रख-रखाव अनुरोध; और
- contracted European hosting क्षेत्र के बाहर डेटा को स्थानांतरित करने के लिए Customer द्वारा सत्यापित अनुरोध।
जब Restricted Transfer होता है, Grouper और/या संबंधित टेक्नोलॉजी प्रदाता legally recognized mechanism जैसे:
- उचित पर्याप्तता निर्णय;
- यूरोपियन कमीशन Standard Contractual Clauses;
- UK International Data Transfer Addendum जहाँ लागू;
- EU-US Data Privacy Framework में भागीदारी जहां कानूनी रूप से उपलब्ध और लागू हो;
- Binding Corporate Rules जहाँ लागू; या
- अन्य वैध सुरक्षा उपाय जो Applicable Data Protection Law के अंतर्गत मान्य हों.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
ऐसी exceptional-access व्यवस्थाओं में यह स्पष्ट नहीं किया गया कि Grouper का ग्राहक Personal Data यूरोपीय सेवा के लिए EEA के भीतर ही रहेगा।
जहाँ EU Standard Contractual Clauses आवश्यक हैं, वे आधिकारिक रूप में स्वीकृत प्रारूप में बिना अनिवार्य शब्दों में परिवर्तन के शामिल हैं। Controller-to-Processor transfers के लिए Module Two सामान्यतः लागू होगा जब तक पक्षों के भूमिका अन्य मॉड्यूल की आवश्यकता न हो।
जहाँ आयरलैंड को लागू EU governing law और forum के रूप में चुना गया है, पार्टियाँ आयरलैंड के अदालतों से SCC annex के अनुसार सहमत हैं.
UK Data Protection Law के अधीन transfers के लिए EU SCCs लागू होंगे साथ में UK International Data Transfer Addendum या किसी अन्य वैध ट्रांसफर मैकेनिज़्म के साथ.
Supplementary measures may include:
- एन्क्रिप्शन;
- पहुंच प्रतिबन्ध;
- (key-management controls;)
- minimisation;
- लॉगिंग;
- onward transfer पर contractual limitations;
- सरकारी-अनुरोध समीक्षा प्रक्रियाएं;
- पारदर्शिता उपाय; और
- जहाँ पर्याप्त सुरक्षा स्तर सुनिश्चित नहीं किया जा सकता वहां ट्रांसफर का निलंबन या termination।
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
अनियमित या असमान अनुरोधों को चुनौती दी जाएगी जहाँReasonable grounds और कानूनी आधार हो.
Disclosure को न्यूनतम कानूनी आवश्यकता तक सीमित किया जाएगा.
ग्राहक को सूचित किया जाएगा जहाँ कानूनी रूप से अनुमति हो. जहाँ सूचना देना प्रतिबंधित हो, मापदंडित अनुमति प्राप्त करने के लिए उचित प्रयास किए जाएंगे.
अनुरोध और उत्तर के रिकॉर्ड कानून और लागू transfer mechanism द्वारा आवश्यकतानुसार बनाए रखे जाएंगे.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- पहुंच;
- सुधार;
- erasure;
- प्रोसेसिंग पर प्रतिबंध;
- डेटा पोर्टेबिलिटी;
- आपत्ति;
- अनुमति की वापसी;
- स्वचालित निर्णय-निर्माण और प्रोफाइलिंग के साथ अधिकार; और
- the right to complain to a competent supervisory authority.
जहाँ Grouper Processor के रूप में काम करता है, customer के Personal Data से संबंधित अनुरोध सामान्यतः संबंधित Customer के Controller हेतु निर्देशित होने चाहिए। यदि Grouper ऐसे अनुरोध सीधे प्राप्त करे, तो Grouper, वैधानिक रूप से निषिद्ध नहीं हो, customer को संदर्भित या सूचना देगा और केवल दस्तावज्ञानिक Customer निर्देशों पर या कानून द्वारा आवश्यक होने पर ही substantively उत्तर देगा। Grouper Customer को अपनी बाध्यताओं को पूरा करने के लिए तर्कसंगत सहायता प्रदान करेगा।
Processing के स्वभाव और Grouper द्वारा उपलब्ध जानकारी को ध्यान में रखते हुए, Grouper Data Protection Impact Assessments में तर्कसंगत सहायता देगा और जहां आवश्यक हो competent supervisory authority के साथ prior consultation करेगा।
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- सुरक्षा दस्तावेज़ीकरण;
- नीतियाँ;
- अनुपालन जानकारी;
- ऑडिट जानकारी;
- स्वतंत्र आश्वासन रिपोर्टें;
- प्रासंगिक प्रमाणपत्र; और
- संभावित सुरक्षा प्रश्नावलियों के उत्तर;
जहाँ कानूनी या अनुबंधगत रूप से आवश्यक और पर्याप्त दस्तावाजी साक्ष्य अपर्याप्त हो, Customers लागू ऑडिट अधिकार reasonable notice पर लागू कर सकते हैं, गोपनीयता, सुरक्षा, अन्य ग्राहकों की जानकारी के लिए प्रतिबंध और संरक्षण के साथ। सुरक्षा घटना, नियामक आवश्यकता या सामग्री अन-नुसरत-उल्लंघन के उचित प्रमाण के कारण चाहिए तो formal audits आमतौर पर बारह-month के एक बार तक सीमित होनी चाहिए। सामान्यतः Customers अपने ही ऑडिट खर्च वहन करते हैं जब तक कानून या अनुबंध अन्यथा न कहे।
Grouper व्यक्तिगत डेटा को केवल उतनी अवधि तक रखता है जितनी संबंधित उद्देश्य के लिए यथोचित रूप से आवश्यक हो या कानून द्वारा अपेक्षित हो।
जहाँ Grouper प्रोसेसर के रूप में कार्य करता है, प्रतिधारण मुख्यतः निम्न द्वारा निर्धारित होता है:
- दस्तावेज़ीकृत ग्राहक निर्देश;
- लागू ग्राहक समझौते;
- सेवाओं की अवधि;
- समर्थन आवश्यकताएँ;
- कानूनी दायित्व; और
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
ग्राहक सटीक ग्राहक व्यक्तिगत डेटा बनाए रखने के लिए जिम्मेदार हैं। जहाँ Grouper या कोई प्रोसेसर यह जानता है कि डेटा गलत है या पुराना हो गया है और ऐसी परिस्थितियाँ हैं जिनमें कार्रवाई आवश्यक है, तो Grouper दस्तावेज़ीकृत निर्देशों और लागू डेटा संरक्षण कानून के अनुसार डेटा को सुधारने या मिटाने के लिए ग्राहक के साथ सहयोग करेगा।
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
कुछ BambooHR सुविधाएँ कृत्रिम बुद्धिमत्ता या मशीन लर्निंग का उपयोग कर सकती हैं। जहाँ AI कार्यक्षमता को इस रूप में पहचाना गया है, वहाँ यह वैकल्पिक है और अलग BambooHR AI शर्तों के अधीन हो सकती है।
वर्तमान BambooHR AI सर्विस सामग्री third-party AI प्रदाताओं सहित OpenAI, Cohere और Anthropic/Claude को पहचानती है, और वर्तमान उपठेकेदार सामग्री फीचर कॉन्फ़िगरेशन के अनुसार अतिरिक्त AI या दस्तावेज-प्रोसेसिंग प्रदाताओं (जैसे LlamaIndex) की पहचान कर सकती है।
Customers remain responsible for:
- क्या उनके संगठन के लिए AI उपयोग उपयुक्त है, इसकी मूल्यांकन
- कानूनी आधार स्थापित करना;
- डेटा विषयों के लिए आवश्यक पारदर्शिता प्रदान करना;
- जहाँ आवश्यक हो, सहमति प्राप्त करना;
- पर्याप्त मानव निगरानी लागू करना;
- evaluating bias and fairness risks; और
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
जहाँ BambooHR Customer Data, Input या Output का उपयोग किसी ग्राहक-विशिष्ट मॉडल को fine-tune करने या train करने के लिए करता है, वहाँ लागू BambooHR AI terms यह बताते हैं कि ऐसा उपयोग उस Customer को AI features प्रदान करने के लिए है और यह कि परिणामी customer-trained model का उपयोग अन्य ग्राहकों को सेवाएँ प्रदान करने के लिए अन्यथा नहीं किया जाता।
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
कार्यक्रमगत पहुँच को समर्थित प्रम Authenticate methods उपयोग करना चाहिए और Customer Data या क्रेडेंशियल्स को अस्वीकृत पक्षों तक exposed नहीं करना चाहिए.
इंटीग्रेशन को दस्तावेजीकृत और स्वीकृत उद्देश्य से बाहर Customer Data का उपयोग नहीं करना चाहिए.
जहाँ कोई integration provider Customer या Grouper की ओर से Personal Data को Process करता है, वहाँ उपयुक्त processor या subprocessor terms और transfer safeguards लागू होने चाहिए।
जहाँ Grouper अपनी स्वयं की व्यावसायिक गतिविधियों के संबंध में Controller के रूप में कार्य करता है, हम निम्न से संबंधित business contact information को Process कर सकते हैं:
- prospective customers;
- customer contacts;
- suppliers;
- partners;
- professional advisers;
- event attendees;
- website visitors; and
- individuals who contact Grouper.
जानकारी में नाम, संगठन, भूमिका, व्यावसायिक संपर्क विवरण, संचार, पूछताछ जानकारी, IP पता, ब्राउज़र और डिवाइस जानकारी, देखे गए पन्ने और समान तकनीकी डेटा शामिल हो सकते हैं.
हम ऐसी जानकारी को पूछताछों के उत्तर देने, संबंधों का प्रशासन करने, अनुरोधित सेवाएँ प्रदान करने, सुरक्षा बनाए रखने, अनुबंधों को पूरा करने, कानून के अनुसार अनुपालन करने और, जहां अनुमति है, संबंधित व्यावसायिक संचार भेजने के लिए प्रोसेस करते हैं। प्राप्तकर्ता किसी भी समय डायरेक्ट मार्केटिंग से opt-out कर सकते हैं। परिचालन, संविदात्मक, सुरक्षा और ग्राहक-सर्विस संचार विपणन नहीं हैं।
वेबसाइटें आवश्यक, फ़ंक्शनल और विश्लेषणात्मक कुकीज़ और समान तकनीकों का उपयोग कर सकती हैं। जहाँ कानूनन आवश्यक हो, गैर-ज़रूरी कुकीज़ केवल उचित सहमति मिलने पर ही उपयोग की जाएंगी और उपयोगकर्ताओं को प्राथमिकताओं को प्रबंधित करने के नियंत्रण दिए जाएंगे।
Grouper seeks to embed privacy into service design and operations. This includes:
- यूरोपीय डेटा-रेज़िडेसी विकल्प;
- डेटा न्यूनतमकरण;
- न्यूनतम-विशेषाधिकार पहुँच;
- उचित प्रमाणीकरण;
- एन्क्रिप्शन;
- पहुंच लॉगिंग;
- भूमिका-आधारित अनुमतियाँ;
- सुरक्षित प्रेषण;
- उप-प्रसंस्करण नियंत्रण;
- धारण नियंत्रण;
- घटना-प्रतिक्रिया प्रक्रियाएं;
- गोपनीयता और सुरक्षा प्रशिक्षण;
- सुरक्षा परीक्षण;
- DPIA समर्थन; और
- दस्तावेज़ीकृत जवाबदेही।
Grouper अपने role के अनुरूप अभिलेख और governance measures बनाए रखेगा तथा Customers, Data Subjects और सक्षम supervisory authorities के साथ सद्भावना में सहयोग करेगा।
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
जहाँ Grouper प्रोसेसर के रूप में ग्राहक व्यक्तिगत डेटा का प्रसंस्करण करता है, वहाँ भाग B और लागू ग्राहक समझौता संविदात्मक प्रसंस्करण संबंध को नियंत्रित करते हैं। ग्राहक व्यक्तिगत डेटा के संबंध में किसी असंगति की स्थिति में, निम्नलिखित प्राथमिकता क्रम लागू होगा: अनिवार्य लागू डेटा संरक्षण कानून; लागू SCCs, UK Addendum या अन्य अनिवार्य स्थानांतरण तंत्र; डेटा प्रसंस्करण समझौता; समझौते के लागू डेटा-संरक्षण प्रावधान; और समझौते के शेष प्रावधान।
Grouper की यूरोपীয় BambooHR प्रस्तावना तीन सिद्धांतों पर आधारित है:
यूरोपीय डेटा निवास।
ग्राहक व्यक्तिगत डेटा EEA के भीतर होस्ट किया गया है, आयरलैंड में प्राथमिक होस्टिंग के साथ AWS के माध्यम से।
यूरोपीय गोपनीयता मानक।
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
यूरोपीय सेवा और समर्थन।
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
हमारा उद्देश्य संगठनों को BambooHR का उपयोग करने में सक्षम बनाना है, साथ ही यूरोपीय ग्राहकों द्वारा अपेक्षित गोपनीयता, शासन और डेटा-निवास मानकों को बनाए रखना है।
इस गोपनीयता नीति, Grouper की प्रसंस्करण गतिविधियों, डेटा विषय अधिकारों, सुरक्षा या हमारी यूरोपीय डेटा-रेज़िडेंसी व्यवस्था से संबंधित प्रश्न Grouper के निर्दिष्ट गोपनीयता या ग्राहक-सहायता चैनलों के माध्यम से प्रस्तुत किए जा सकते हैं।
Grouper Technology Limited से 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland पर भी संपर्क किया जा सकता है।
जहाँ व्यक्तिगत डेटा संबंधित है वह नियोक्ता के BambooHR खाते में आता है, व्यक्ति आम तौर पर पहले उस नियोक्ता से संपर्क करें, क्योंकि वह संगठन सामान्यतः डेटा के उपयोग के निर्णय के लिए नियंत्रक होगा।
यह Data Processing Agreement ("DPA") समझौते, ऑर्डर फॉर्म, कार्य विवरण या अन्य अनुबंध का भाग है जो Grouper की BambooHR-सम्बन्धित सेवाओं की आपूर्ति को Customer और Grouper Technology Limited के बीच नियंत्रित करता है।
सेवाओं की आपूर्ति के दौरान, Grouper Customer के लिए Customer Personal Data को Process कर सकता है। यह DPA उन प्रक्रियाओं के लिए पार्टियों की संबंधित जिम्मेदारियाँ निर्धारित करता है।
यह DPA उस सीमा तक लागू होता है जहाँ Grouper ग्राहक की ओर से ग्राहक व्यक्तिगत डेटा का प्रसंस्करण करता है और ऐसा प्रसंस्करण लागू डेटा संरक्षण कानून के अधीन है। यह समझौते का पूरक है और उसका हिस्सा बनता है; यहाँ परिभाषित न किए गए बड़े अक्षरों वाले शब्दों का अर्थ वही होगा जो समझौते में दिया गया है।
इस DPA के लिए:
ग्राहक व्यक्तिगत डेटा
ग्राहक या ग्राहक सहयोगी द्वारा नियंत्रित और सेवाओं के संबंध में Grouper द्वारा संसाधित व्यक्तिगत डेटा।
प्रतिबंधित हस्तांतरण
ऐसी व्यक्तिगत डेटा के ट्रांसफर की आवश्यकता है जो लागू डेटा सुरक्षा कानून के अंतर्गत वैध ट्रांसफर तंत्र की मांग करता है।
मानक अनुबंधीय क्लॉज़ (SCCs)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
Grouper द्वारा या उसकी ओर से Customer Personal Data को संसाधित करने के लिए नियुक्त तृतीय पक्ष।
टेक्नोलॉजी प्रोवाइडर
BambooHR LLC तथा, जहाँ लागू हो, अंतर्निहित HR प्रौद्योगिकी प्लेटफ़ॉर्म प्रदान करने वाली संबंधित BambooHR संस्थाएँ।
जब तक लिखित रूप में अन्यथा सहमति न हो, Customer नियंत्रक के रूप में कार्य करता है और Grouper प्रोसेसर के रूप में कार्य करता है। जहाँ Customer किसी अन्य नियंत्रक के लिए प्रोसेसर के रूप में कार्य करता है, वहाँ लागू सीमा तक Grouper उप-प्रोसेसर के रूप में कार्य करता है।
Grouper Customer Personal Data को केवल प्रलेखित Customer निर्देशों के आधार पर और केवल Services प्रदान करने, बनाए रखने, सुरक्षित रखने और समर्थन करने के लिए आवश्यक सीमा तक ही संसाधित करेगा, जब तक कि लागू कानून द्वारा डेटा को संसाधित करना आवश्यक न हो।
यदि, अपनी युक्तिसंगत राय में, कोई निर्देश Applicable Data Protection Law का उल्लंघन करता है, तो Grouper Customer को तुरंत सूचित करेगा और समाधान लंबित रहने तक प्रभावित Processing को निलंबित कर सकता है।
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper यह सुनिश्चित करेगा कि अधिकृत व्यक्तियों पर उपयुक्त गोपनीयता दायित्व लागू हों, वे ग्राहक व्यक्तिगत डेटा तक केवल वहीं पहुँचें जहाँ यह यथोचित रूप से आवश्यक हो, उन्हें उपयुक्त गोपनीयता और सुरक्षा प्रशिक्षण मिले, और वे ग्राहक व्यक्तिगत डेटा का प्रसंस्करण केवल इस DPA तथा दस्तावेज़ीकृत ग्राहक निर्देशों के अनुसार ही करें। पहुँच को न्यूनतम-विशेषाधिकार और आवश्यकता-जानने के सिद्धांतों के अनुसार सीमित किया जाएगा।
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
न्यूनतम नियंत्रण डोमेन Schedule 2 में वर्णित हैं। Grouper उन मापदंडों को अपडेट कर सकता है बशर्ते परिवर्तन Customer Personal Data के समग्र सुरक्षा स्तर को मूलतः कम न करें।
Grouper ग्राहक को यथासंभव त्वरित सूचना देगा और, जहां 48-hour अनुबंधित प्रतिबद्धता लागू हो, क्लियर सूचना मिलने के बाद किसी भी स्थिति में 48 घंटे के भीतर प्रभावित डेटा Subject के साथ नोटिफिकेशन देंगे।
जानकारी चरणों में उपलब्ध होते ही प्रदान की जा सकती है। Grouper निगरानी प्राधिकरणों के साथ सूचना देयताओं के अनुपालन के लिए आवश्यक उचित सहयोग और प्रभावित डेटा Subjects के लिए आवश्यक सूचना प्रदान करेगा।
ग्राहक Grouper को सेवाओं के प्रदाय के लिए आवश्यक Sub-processors कोEngage करने के लिए सामान्य लिखित प्राधिकृति प्रदान करता है।
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
जहाँ मौजूद BambooHR DPA लागू है, BambooHR वर्तमान में Customer Personal Data को प्रसंस्करण करने वाले एक नए Subcontractor के बारे में कम से कम 30 दिन पूर्व लिखित सूचना प्रदान करता है।
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
अगर Grouper Customer Personal Data से सीधे संबंधित एक अनुरोध प्राप्त करता है, Grouper जल्द से जल्द Customer को संदर्भित या नोटिफाई करेगा और केवल दस्तावद्ध निर्देशों पर या कानून द्वारा आवश्यक होने पर ही वास्तविक जवाब देगा।
Grouper व्यावहारिक होने के अनुसार डेटा संरक्षण प्रभाव आकलन, supervisory authorities के साथ पूर्व-परामर्श और सेवाओं से संबंधित सक्षम supervisory authority द्वारा उचित पूछताछ या जांच के साथ उपयुक्त सहायता प्रदान करेगा।
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
कानून द्वारा अनुमत सीमा तक, Grouper Customer Personal Data के लिए सार्वजनिक-प्राधिकरण के कानूनी रूप से बाध्य अनुरोधों की समीक्षा करेगा, जब उचित आधार हों तो अवैध या असमान अनुरोधों को चुनौती देगा, आवश्यक न्यूनतम प्रकटन तक disclosure को सीमित करने की कोशिश करेगा, कानूनी रूप से अनुमत होने पर Customer को सूचित करेगा और उचित रिकॉर्ड बनाए रखेगा।
ग्राहक के अनुरोध पर, या सेवाओं की समाप्ति या समाप्त होने पर, Grouper ग्राहक के विकल्प और तकनीकी संभवता और समझौते के अधीन, ग्राहक Personal Data को लौटाएगा या सुरक्षित रूप से हटा देगा और संबंधित Sub-processors से भी ऐसा करने को कहेगा। जहां कानूनी जरूरत डेटा के संरक्षण की मांग करती है, Grouper संग्रहीत डेटा को पृथक कर सुरक्षित करेगा और इसे केवल कानूनी आवश्यकतानुसार ही प्रोसेस करेगा।
ग्राहक यह गारंटी देता है कि उसके पास Processing के लिए Customer Personal Data प्रदान करने के लिए अधिकार, अनुमति, सूचनाएं, वैधानिक आधार और सहमति हैं; कि उसकी निर्देश लागू डेटा सुरक्षा कानून के अनुरूप हैं; कि वह अवैध Processing का निर्देश नहीं देगा; और सुरक्षा से सेवाओं को कॉन्फ़िगर और उपयोग करेगा तथा उपयोगकर्ता खातों, क्रेडेंशियल्स और इंटीग्रेशनों पर उचित नियंत्रण बनाए रखेगा।
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
यह DPA कल.customer द्वारा बाध्य होने पर प्रभावी होता है और तब तक चलता है जब तक Grouper Customer के पक्ष से Customer Personal Data Proccess करता है। data retention के दौरान हमेशा पालन किए जाने वाले बंधन data expiry या termination के बाद भी रहते हैं।
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
Customer Personal Data के संबंध में असंगतता होने पर निम्न क्रम के पूर्वाधिकार लागू होते हैं: अनिवार्य Applicable Data Protection Law; लागू SCCs, UK Addendum या अन्य अनिवार्य transfer mechanism; यह DPA; अनुबंध के data-protection प्रावधान; और बाकी अनुबंध।
नियंत्रक / डेटा निर्यातक
The Customer identified in the applicable Agreement or Order Form.
प्रसंस्कर्ता / डेटा आयातक
Grouper टेक्नोलॉजी लिमिटेड, 3री मंज़िल, 22 एली प्लेस, डबलिन, D02 AH73, आयरलैंड.
टेक्नोलॉजी प्रोवाइडर
BambooHR LLC और लागू BambooHR इकाइयाँ underlying HRIS प्लेटफॉर्म प्रदान कर रही हैं।
विषय-वस्तु
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
प्रसंस्करण की प्रकृति
संग्रह, प्राप्ति, रिकॉर्डिंग, संगठन, संरचना, माइग्रेशन, होस्टिंग, स्टोरेज, पुनः प्राप्ति, परामर्श, उपयोग, संचार, उपलब्ध कराना, प्रतिबन्ध, सहायता अभिगमान, निष्पादन और अन्य प्रसंस्करण जो सेवाओं को प्रदान करने के लिए.reasonably आवश्यक है
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
सेवाओं की अवधि के लिए और किसी भी उपयुक्त अवधि जो ग्राहक Personal Data को वापस करने या हटाने या कानून के पालन के लिए आवश्यक हो
डेटा विषय
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
व्यक्तिगत डेटा
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
संवेदनशील डेटा
जहाँ ग्राहक द्वारा चयनित, स्वास्थ्य और विकलांगता जानकारी और सेवा द्वारा अनुमत अन्य विशिष्ट-श्रेणी या संवेदनशील डेटा शामिल हो सकता है
प्राथमिक यूरोपीय भंडारण
आयरलैंड / ईईए डिजिटल Residency सेवा खरीदने वाले ग्राहकों के लिए Amazon Web Services (AWS) के माध्यम से
सक्षम पर्यवेक्षी प्राधिकरण
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper निम्नलिखित न्यूनतम नियंत्रण डोमेन के अंतर्गत तकनीकी और संगठनात्मक उपायों को बनाए रखता है:
1. सूचना सुरक्षा शासन
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. कार्मिक सुरक्षा
गोपनीयता बाध्यताएँ, प्रयोजनानुसार स्क्रीनिंग जहां वैध है, सुरक्षा जागरूकता और गोपनीयता प्रशिक्षण, और अवांछित अभिगणना के लिए अनुशासनात्मक नियंत्रण
3. भौतिक सुरक्षा
प्रासंगिक सुविधाओं और ढांचागत संरचना तक सीमित पहुंच; नियंत्रित पहुंच मार्ग; पहुंच प्रमाणन; hosting वातावरण के लिए भौतिक निगरानी और अन्य सुरक्षा उपाय
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. डेटा अभिगम नियंत्रण
ऐसे नियंत्रण जिन्हें अधिकृत उपयोगकर्ता केवल अपनी अनुमति के भीतर डेटा तक पहुँच सकें; पहुँच लॉगिंग और मॉनीटरिंग; केवल अधिकृत व्यक्तियों को डेटा जारी करना
6. एन्क्रिप्शन और छद्मनामकरण
चलते समय और विश्राम में Personal Data की उचित एन्क्रिप्शन; प्रसंस्करण के उद्देश्य के अनुसार उपनामकरण जहां उचित हो
7. नेटवर्क और ट्रांसमिशन सुरक्षा
फायरवॉल, संरक्षित गेटवे, सुरक्षित संचार चैनल, TLS/SFTP या समकक्ष सुरक्षित ट्रांसफर तंत्र, और अवांछित अवरोधन या परिवर्तन के खिलाफ नियंत्रण
8. लॉगिंग और निगरानी
प्रासंगिक प्रणाली, प्रशासनिक और अभिगान गतिविधियों की लॉगिंग; संदेहजनक घटनाओं के लिए निगरानी; जोखिम के अनुरूप ऑडिट जानकारी की reten tion
9. इनपुट और परिवर्तन नियंत्रण
डाटा में प्रवेश करने, परिवर्तन करने या हटाने किसने किया, यह पहचानने के लिए नियंत्रण; अधिकृत उपयोगकर्ताओं और प्रणालियों की प्रमाणीकरण; परिवर्तन-प्रबंधन प्रथाओं का दस्तावेजित पालन
10. जोखिमशीलता और सुरक्षा परीक्षण
जोखिमों का पहचानना, आकलन करना और उनका उपचार करना; आवधिक हमला-या सुरक्षा परीक्षण; नियंत्रण प्रभावशीलता का नियमित मूल्यांकन
11. उपलब्धता, बैकअप और पुनर्प्राप्ति
इन्फ्रास्ट्रक्चर पुनरावृत्ति, बैकअप, पुनर्स्थापना क्षमता, उपलब्धता नियंत्रण और आकस्मिक नुकसान या विनाश से सुरक्षा
12. व्यवसाय निरन्तरता और आपदा पुनःप्राप्ति
डाक्यूमेंटेड निरन्तरता और पुनःप्राप्ति योजनाएं जो व्यवधान या सुरक्षा घटना के पश्चात उपलब्धता और अभिगमन को समय पर पुनर्स्थापित करना सुनिश्चित करें
13. डेटा पृथक्करण
ग्राहकों के बीच और प्रसंस्करण उद्देश्यों के बीच तर्कसंगत पृथक्करण; अवांछित क्रॉस-ग्राहक पहुंच रोकने के लिए नियंत्रण
14. सुरक्षित विकास
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
उचित डेटा- संरक्षा दायित्वों, सुरक्षा समीक्षा, ट्रांसफर सुरक्षा उपाय और प्रसंस्करण के लिए चल रही निगरानी
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
EU-प्रतिबंधित स्थानांतरण
जहाँ EU SCCs आवश्यक हैं, वहाँ आधिकारिक यूरोपीय आयोग SCCs को अनिवार्य शब्दावली में बिना किसी परिवर्तन के संदर्भ द्वारा शामिल किया गया है। जब तक भूमिकाएँ अन्यथा अपेक्षित न करें, Customer Data Exporter है, Grouper और/या लागू Technology Provider Data Importer है, और Module Two Controller-to-Processor स्थानांतरणों पर लागू होता है।
UK-प्रतिबंधित स्थानांतरण
UK Data Protection Law के अधीन transfers के लिए EU SCCs लागू होंगे साथ में UK International Data Transfer Addendum या किसी अन्य वैध ट्रांसफर मैकेनिज़्म के साथ.
स्विस स्थानांतरण
सুইस डेटा-डिफेंस कानून के अधीन transfers के लिए SCCs की व्याख्या और आवश्यकतानुसार स्विस कानून के अनुसार अनुकूल किया जाएगा, जिसमें स्विस निगरानी प्राधिकरण और Swiss Data Subjects के उपयुक्त संदर्भ शामिल हों
EU-US डेटा गोपनीयता ढाँचा
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
यूरोपीय ग्राहकों के लिए असाधारण एक्सेस परिदृश्य
अधिकारिक असाधारण गैर-EEA अभिगामण केवल निम्न परिस्थितियों में हो सकता है:
- आयरिश डाटा-केन्द्र वातावरण या सेवा निरंतरता पर एक आपात स्थिति;
- a समर्थक या रख-रखाव अनुरोध जो EEA के बाहर प्राधिकृत specialist access की मांग करता है, लागू ग्राहक अनुमोदन या अनुबंधिक authorisation के अधीन; और
- a यूरोपीय क्षेत्र के बाहर प्रसंस्करण या होस्टिंग के लिए सत्यापित ग्राहक अनुरोध
उपयोग किए जाने वाले सटीक प्रदाता उत्पाद, सुविधा, सहायता मार्ग और Customer कॉन्फ़िगरेशन के अनुसार भिन्न होते हैं। Grouper और/या BambooHR द्वारा बनाए रखा गया वर्तमान लाइव उपप्रसंस्करणकर्ता रजिस्टर सक्रिय सेवा प्रदायगी के लिए नियंत्रक है।
नीचे दिए गए प्रमुख प्रदाताओं को गवर्निंग सेवा सामग्री में पहचाना गया है। यहाँ सूचीबद्ध प्रदाता हर ग्राहक या हर deployment के लिए आवश्यक रूप से Customer Personal Data پروसेस नहीं करता है।
BambooHR LLC
टेक्नोलॉजी प्रदाता; HRIS रख-रखाव, होस्टिंग और सहायता. स्थान: संयुक्त राज्य / यूरोप सहित सेवा क्षेत्र
Amazon Web Services (AWS)
प्राथमिक क्लाउड होस्टिंग इन्फ्रास्ट्रक्चर; आयरलैंड में यूरोपीय क्षेत्रीय होस्टिंग. स्थान: आयरलैंड / यूरोप और सेवा कॉन्फ़िगरेशन के अनुसार अन्य क्षेत्र
एंथ्रोपिक / क्लॉड
AI / भाषा-आधारित प्रसंस्करण. स्थान: संयुक्त राज्य
Cohere
भाषा-आधारित API / AI प्रसंस्करण. स्थान: संयुक्त राज्य
OpenAI
भाषा-आधारित API / AI प्रसंस्करण. स्थान: संयुक्त राज्य
LlamaIndex / LlamaParse
AI कार्यक्षमता से जुड़ा वैकल्पिक दस्तावेज़ पार्सिंग. स्थान: संयुक्त राज्य
एटलस MongoDB
चयनित सेवाओं / AI-संबद्ध कार्यक्षमता का डेटा भंडारण. स्थान: संयुक्त राज्य
Gainsight
ग्राहक संबंध / CRM सेवाएं
Salesforce
CRM प्लेटफ़ॉर्म।
Cloudflare
वेब अनुप्रयोग फ़ायरवॉल / सुरक्षा
Datadog
इन्फ्रास्ट्रक्चर और अनुप्रयोग मॉनिटरिंग
Microsoft / Google Workspace
सहयोग, संचार और दस्तावेज़ भंडारण वर्तमान कॉन्फ़िगरेशन पर निर्भर
Mailgun
एप्लिकेशन संचार।
Snowflake
डेटा विश्लेषण।
Twilio
MFA / SMS डिलीवरी।
अतिरिक्त प्रदाता
वर्तमान सेवा सामग्री में पहचाने गए अतिरिक्त प्रदाता Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike आदि शामिल हो सकते हैं। ग्राहकों को live BambooHR Subcontractor सूची और Grouper के वर्तमान उप-प्रोसेसर जानकारी के लिए सबसे नवीन विवरण देखने चाहिए।
1. दायरा
यह अनुसूची तब लागू होती है जब ग्राहक BambooHR कृत्रिम-बुद्धिमत्ता या मशीन-लर्निंग कार्यक्षमता का उपयोग Grouper-समर्थित सेवाओं के संबंध में करता है।
2. AI प्रदाता
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. इनपुट और आउटपुट
AI फ़ंक्शनlalिटी के लिए ग्राहक द्वारा प्रदान किए गए प्रॉम्प्ट, निर्देश या डेटा "इनपुट" बन सकते हैं और उत्पन्न प्रतिक्रियाएं "आउटपुट" बन सकती हैं। फ़ीचर के अनुसार, इनपुट या आउटपुट में ग्राहक डेटा शामिल हो सकता है। आउटपुट अनन्य नहीं हो सकते और अन्य उपयोगकर्ताओं के लिए उत्पादित आउटपुट के समान हो सकते हैं।
4. ग्राहक की जिम्मेदारियाँ और मानवीय निगरानी
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. संवेदनशील और विनियमित डेटा प्रतिबंध
जहाँ लागू AI शर्तों द्वारा निषेध है, ग्राहक को AI फीचर्स में संवेदनशील या नियमन-आवश्यक जानकारी प्रस्तुत नहीं करनी चाहिए, जिसमें स्वास्थ्य, आनुवंशिक या जैविक जानकारी, सरकार द्वारा जारी पहचान संख्या, या व्यक्तिगत वित्तीय या बैंक-खाता जानकारी शामिल है। Prompts में व्यक्तिगत डेटा को न्यूनतम रखें।
6. सटीकता, पूर्वाग्रह और निष्पक्षता
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
जहाँ लागू BambooHR AI शर्तें AI कार्यक्षमता में सुधार के लिए Performance Data और Feedback के उपयोग की अनुमति देती हैं, वहाँ ऐसा उपयोग उन्हीं शर्तों द्वारा शासित होगा। जहाँ Customer Data का उपयोग किसी ग्राहक-विशिष्ट मॉडल को fine-tune करने के लिए किया जाता है, वहाँ परिणामी मॉडल का उपयोग उस Customer को AI सुविधाएँ प्रदान करने के लिए किया जाता है और अन्यथा अन्य ग्राहकों को सेवाएँ प्रदान करने के लिए उपयोग नहीं किया जाता।
8. अंतरराष्ट्रीय प्रसंस्करण
AI प्रदाताओं द्वारा अधिकृत इनपुट या संबंधित व्यक्तिगत डेटा को EEA के बाहर प्रोसेस किया जा सकता है। ऐसा प्रोसेसिंग इस DPA में ट्रांसफर सुरक्षा उपायों के अधीन है और ग्राहक के अनुबंधित मुख्य HRIS भंडारण क्षेत्र के स्थान को नहीं बदलता। ग्राहकों को यह मूल्यांकन करना चाहिए कि वैकल्पिक AI उपयोग उनके अपने निवास, कार्य-परिषद, रोजगार-कानून और जोखिम आवश्यकताओं के अनुरूप है या नहीं, इसे सक्षम करने से पहले।
इस गोपनीयता नीति या आपके डेटा अधिकारों के बारे में प्रश्न?
हमसे संपर्क करें
