Legal
Adatvédelmi irányelvek | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
Utoljára frissítve: 2026. augusztus 16.
Grouper személyes adatok védelmére és a magas szintű adatvédelmi, biztonsági és szabályozási megfelelés fenntartására törekszik. Az adatvédelmet operatív és szerződéses felelősségként kezeljük, nem utólagos fontosságként. Szolgáltatás-nyújtásunkat, hozzáférési kontrolljainkat, támogatási folyamataikat és beszállítói irányításunkat úgy tervezünk, hogy tükrözze a GDPR elszámoltathatóságát, integritását, bizalmasságát és átláthatóságát.
Jelen Adatvédelmi Tájékoztató ismerteti, hogy a(z) Grouper Technology Limited („Grouper”, „mi”, „minket” vagy „a miénk”) hogyan gyűjti, használja, éri el, tárolja, védi, továbbítja és egyéb módon kezeli a személyes adatokat az általunk nyújtott szolgáltatásokkal összefüggésben, beleértve azt a szerepünket is, mint a(z) BambooHR európai partnere.
Grouper támogató szervezeteket Írországban, az Egyesült Királyságban, Európában és más régiókban az BambooHR HRIS platform és kapcsolódó HR technológia kiépítésében, adminisztrációjában és használatában.
Európai szolgáltatási modellünk egyértelmű elvre épül: az európai adattárolási helyre vonatkozó követelményre. A Grouper által kezelt ügyfél-személyes adatok a BambooHR európai szolgáltatásán keresztül az Európai Gazdasági Térségen („EEA”) belül kerülnek üzemeltetésre és tárolásra, elsődleges tárhelyük Írországban található.
Ez a adatvédelmi irányelv a következőkkel kapcsolatos személyes adatok feldolgozására vonatkozik:
- BambooHR bevezetése és onboarding;
- HRIS konfiguráció;
- fiók- és felhasználókezelés;
- ügyfélszolgálat;
- technikai támogatás;
- integrációs támogatás;
- adat-migráció;
- ügyfél-sikeresség;
- képzés;
- szakmai szolgáltatások;
- biztonság és szolgáltatás adminisztráció;
- ügyfélszolgálati kommunikáció;
- értékesítés és demonstrációk;
- Grouper weboldalak és digitális szolgáltatások; és
- általános üzleti tevékenységeink.
Grouper Technology Limited egy ír cég, bejegyzett székhellye: 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Írország.
BambooHR biztosítja az alapul szolgáló humán erőforrás információs rendszert és a kapcsolódó termékfunkcionalitást. Grouper biztosítja az európai bevezetési, migrációs, konfigurációs, képzési, ügyfélsiker, támogatási, szolgáltatásirányítási és kapcsolódó szakmai szolgáltatásokat. Az Ügyfél előfizetésétől és konfigurációjától függően a BambooHR HRIS platform támogathatja a munkavállalói nyilvántartásokat, az onboardingot, a toborzást, a munkaidőt és jelenlétet, a szabadságkezelést, a teljesítményértékelést, a javadalmazást, a juttatásokat, a bérszámfejtéssel kapcsolatos funkciókat, a jelentéskészítést, az analitikát, az integrációkat, az API-kat és a mesterségesintelligencia-funkciókat.
Az ügyfél által vásárolt szolgáltatásoktól függően a Grouper a következőket nyújthatja:
- BambooHR megvalósítása;
- onboarding;
- konfiguráció;
- fiók beállítása;
- migrációs támogatás;
- integrációs szolgáltatások;
- technikai támogatás;
- HRIS támogatás;
- képzés;
- ügyfél-siker szolgáltatások;
- szolgáltatás-adminisztráció;
- hibaleküzdés; és
- kapcsolódó szakmai szolgáltatások.
A Grouper pontos adatvédelmi szerepe az adott Feldolgozási tevékenységtől függ.
Amennyiben Grouper határozza meg az Adatkezelés céljait és eszközeit — például bizonyos webhely-, értékesítési, üzleti kapcsolattartási, biztonsági vagy vállalatirányítási tevékenységek során — Grouper Adatkezelőként jár el.
Amennyiben Grouper kizárólag egy Ügyfél nevében és az adott Ügyfél dokumentált utasításainak megfelelően Kezeli az Ügyfél Személyes Adatait, Grouper Adatfeldolgozóként jár el.
Ha az Ügyfél maga Feldolgozóként jár el egy Másik Szolgáltató felett, a Grouper albővítőként járhat el az alkalmazhatóság mértékéig.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 Alapvető Európai Lakóhely-elkötelezettség
Azoknál az Ügyfeleknél, akik a(z) Grouper európai BambooHR szolgáltatását EGT-adatlokalizációval vásárolják meg, az alapvető HRIS-gyártókörnyezet részét képező Ügyfél személyes adatai az EGT-n belül kerülnek üzemeltetésre és tárolásra, elsődleges hosztolási helyszínként Írországban.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 Tárolás kontra Hozzáférés
Az adat-elhelyezés leírja, hogy hol tárolódnak az Ügyfél Személyes adatai. Ez nem jelenti azt, hogy nem érkezhet engedélyezett támogatás vagy technikai hozzáférés egy másik országból.
Kivételes hozzáférés az EGT-n kívül csak akkor lehetséges, ha szükséges, jóváhagyott és jogilag védett, ahogyan ezt a Szakaszok 17 és 18 leírja a Szabályzatban.
4.3 Biztonsági Mentések, Ellenállás és Katasztrófa-áthidalás
A biztonság, integritás és rendelkezésre állás megőrzésére és a megbízott regionális tárhelyszolgáltatásokhoz való összhang fenntartására tervezett biztonsági mentési, rugalmassági és katasztrófaelhárítási intézkedések kapcsolódnak a megbízó szerződés szerinti regionális hosting kötelezettségeihez.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 Nem Rutinszerű Rekonstrukció az EEA-n kívül
Grouper nem használ kivételes támogatási hozzáférést a Európai Ügyfél Személyes Adatainak rutinált áthelyezésének mechanizmusaként.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
"Applicable Data Protection Law" means all data-protection, privacy and data-security laws and regulations applicable to the Processing, including where relevant:
- Az (EU) 2016/679 rendelet — az általános adatvédelmi rendelet (GDPR);
- az ír adatvédelmi törvény 2018;
- alkalmazandó ír ePrivacy és elektronikus közlések szabályai;
- az Egyesült Királyság GDPR és az UK Adatvédelmi Törvény 2018, ahol alkalmazható;
- alkalmazható svájci adatvédelmi törvény, ahol alkalmazható;
- alkalmazható nemzeti jogszabályok, amelyek végrehajtják az európai adatvédelmi követelményeket; és
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
Az information processing attól függ, hogy mely Szolgáltatásokat választotta az Ügyfél és milyen adatokat kíván az Ügyfél HR-környezetébe helyezni.
6.1 Employee and Workforce Information
Személyes Adat magában foglalhatja:
- nev és munkavállalói azonosító számok;
- fotók, ahol rendelkezésre állnak;
- otthoni vagy munkahelyi kapcsolattartási adatok;
- születési dátum, nem és demográfiai adatok, ahol rendelkezésre állnak;
- házasságkori vagy családi adatok, ahol rendelkezésre állnak;
- vészhelyzeti kapcsolattartó és telefonszámok;
- akadémiai és szakmai képesítések;
- Önéletrajz vagy CV információk, foglalkoztatási előzmények és nyelvi készségek;
- munkakör, osztály, részleg, helyszín, riportálási vonalak és csapat tagság;
- felvételi és szerződéses dátumok, munkaidő és szerződéses részletek;
- teljesítmény, értékelés, fegyelmi és munkaviszony adatok;
- juttatások, biztosítás, vállalati eszközök és képzési információk; és
- szabadság, jelenlét és időtartam információk.
6.2 Bér- és Kinevezési Információk
Ha releváns szolgáltatások kerülnek igénybevételre, Személyes Adat magában foglalhatja:
- fizetés, juttatások és bónuszok;
- adó- és társadalombiztosítási információk;
- bank- és fizetési adatok;
- nyugdíjinformációk;
- részvényopciók és egyéb juttatások; és
- egyéb bérrel kapcsolatos információk.
6.3 Toborzás, Jelölt- és Referens Információk
For candidates, prospective employees and referees, information may include:
- azonosító és kapcsolattartási adatok;
- Önéletrajzok, CV-k, foglalkoztatási előzmények és képesítések;
- alkalmazás, interjú és toborzási nyilvántartások;
- jelölt kommunikációk és toborzási állapot;
- javasolt kompenzációs információ;
- referens neve, kapcsolattartási adatok és szakmai kapcsolatrendszer;
- a referenciákban szereplő információk.
6.4 Különleges Kategória és Szenszes Adatok
A BambooHR HRIS platform ügyfél általi használatától függően a Szolgáltatások egészségügyi vagy fogyatékossági információkat, valamint egyéb különleges kategóriájú vagy érzékeny Személyes Adatokat tartalmazhatnak.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
Az Ügyfél ne helyezzen érzékeny adatokat szabad szöveg mezőkbe vagy AI funkciókba, kivéve, ha szükséges, jogszerű és a vonatkozó termékkifejezések által engedélyezett.
A Grouper szolgáltatásaival összefüggésben kezelt Személyes Adatok az alábbiakra vonatkozhatnak:
- jelenlegi, korábbi, ígéretes és jövőbeni alkalmazottak;
- jelöltek és pályázók;
- alkalmazottak, tanácsadók, ügynökök és független vállalkozók;
- ügynökségi, ideiglenes és alkalmi dolgozók;
- gyakornokok és önkéntesek;
- munkavállalói függők, kedvezményezettek és vészkapcsolatok;
- referensek és referenciaadók;
- Ügyfél adminisztrátorok és jóváhagyott felhasználók; és
- egyéb olyan személyek, akiknek Személyes Adatait az Ügyfél jogszerűen adja át a Szolgáltatásoknak.
Személyes Adatok szerezhetők:
- közvetlenül az érintett személlyel;
- az egyén munkaadója vagy leendő munkaadója felől;
- az Ügyfél adminisztrátoraitól és jóváhagyott felhasználóktól;
- a bevezetés, konfiguráció és adatmigráció során;
- engedélyezett integrációkon vagy API-kon keresztül;
- támogatási kérések és hibaleküzdés útján;
- a BambooHR HRIS platformon vagy az Ügyfél által kiválasztott más rendszeren keresztül;
- toborzási folyamatok útján;
- szabálykönyvben jogszerűen használt nyilvános forrásokból; és
- az Ügyfél által jóváhagyott más jogszerű forrásokból.
Grouper Személyes Adatokat csak meghatározott és jogszerű célokra dolgoz fel. Ezek lehetnek:
- a BambooHR HRIS platform megvalósítása és konfigurálása;
- Ügyfél Személyes Adatainak tárhelyezése vagy tárhelyhez való közvetítés;
- szolgáltatások fiókjainak és felhasználói jogosultságok adminisztrálása;
- a szolgáltatás fenntartása és védelme;
- ügyfél- és technikai támogatás nyújtása;
- integrációk és migrációk támogatása;
- képzési és professzionális szolgáltatások nyújtása;
- előfizetések és ügyfélkapcsolatok kezelése;
- biztonsági események észlelése és kivizsgálása;
- audit nyilvántartások fenntartása;
- csalás vagy visszaélés megelőzése;
- jogi kötelezettségeknek való megfelelés; és
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
Amikor a támogatási személyzet hozzáfér az Ügyfél Személyes Adataihoz, a hozzáférésnek a támogatási célhoz szükséges minimális információra kell korlátozódnia, és az jogosult személyzet által, titokban és hozzáférés-ellenőrzéssel kell történnie.
Ahol Grouper Szabályként Szerepel, a vonatkozó jogszerű alap a következőket tartalmazhatja:
10.1 Szerződés
A szerződés megkötéséhez vagy teljesítéséhez szükséges feldolgozás, vagy olyan lépések megtétele, amelyeket az egyén kérésére a szerződés megkötése előtt tesznek.
10.2 Jogszerű Érdekek
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- szolgáltatásnyújtás;
- ügyfél-adminisztráció;
- információbiztonság;
- csalás megelőzése;
- üzleti folytonosság;
- ügyféltámogatás; és
- relationship management.
10.3 Jogi Kötelezettség
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 Hozzájárulás
A megfelelő esetben a feldolgozás alapja lehet a beleegyezés. A hozzájárulást bármikor visszavonhatják anélkül, hogy a visszavonás előtti feldolgozás jogszerűségét érintené.
Ha az Ügyfél Szabályozóként jár el, akkor az Ügyfél felelős a:
- Személyes Adatok Feldolgozásának céljainak meghatározásáért;
- jogi alapok és különleges kategóriák feltételeinek megállapítása;
- szükséges adatvédelmi értesítések biztosításáért;
- a szükséges hozzájárulás megszerzéséért;
- adatpontosság és minőség biztosításáért;
- megfelelő megőrzési időtartamok meghatározásáért;
- jóváhagyott felhasználók és jogosultságok kezeléséért;
- a Szolgáltatások biztonságos használatáért; és
- biztosítani, hogy a Grouper részére adott utasításai jogszerűek legyenek.
Az Ügyfél nem utasíthatja a Grouper-t Személyes Adatok Feldolgozására olyan módon, amely az alkalmazandó adatvédelmi törvényt megsértené.
Grouper értesíti az Ügyfelet, ahol ésszerű véleménye szerint egy utasítás megsérti az Alkalmazandó Adatvédelmi Törvényt, és felfüggesztheti a érintett Feldolgozást, amíg a probléma megoldódik.
Grouper hozzáférést korlátozza az Ügyfél Személyes Adataihoz az arra jogosult személyekre, akik feladataikhoz valóban szükségük van rá. A személyzetre megfelelő titoktartási kötelezettségek vonatkoznak, és jutalmazásuk a szerepükhöz megfelelő adatvédelmi és biztonsági képzéssel történik. A hozzáférést a legkisebb jogosultság és a szükségszerűség elvei szerint szabályozzuk.
Hozzáférés-ellenőrzések:
- azonosítási és hitelesítési ellenőrzések;
- szerep-alapú és jogosultság-alapú ellenőrzések;
- adminisztrációs fiókok ellenőrzése;
- fiók-lifecycle menedzsment;
- hozzáférési naplózás és monitorozás;
- rendszeres hozzáférési felülvizsgálat;
- bizalmas használati és elfogadható felhasználási követelmények; és
- alkalmazható személyzeti biztonság és képzés.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
Intézkedések:
- fizikai és logikai hozzáférési ellenőrzések;
- erős hitelesítés és megfelelő jelszó-kontrollok;
- átvitelben és pihenés közben történő titkosítás szükség szerint;
- kitalált névhasználat szükség szerint;
- hálózati tűzfalak, peremvédelmi és behatolás-észlelés;
- naplózás, monitorozás és audit trail-ek;
- felfedés- és sebezhetőség-kezelés; és
- korlátozott adminisztrációs hozzáférés;
- biztonságos átvitel, ideértve védett átviteli csatornákat;
- mentés, redundancia, helyreállítás és ellenállóképesség;
- üzleti folytonosság- és katasztrófavédelmi tervezés;
- biztonságos fejlesztés és változáskezelés;
- adatok elkülönítése az Ügyfél és a feldolgozási célok között;
- incidens-reakciós eljárások;
- személyzeti biztonságtudatosság és képzés; és
- albelfogadó és biztonsági kormányzás- alvállalkozói pedizmés.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
Ahol Grouper Feldolgozóként jár el, és értesül tényleges vagy feltételezett Személyes Adat-sérülésről, amely az Ügyfél Személyes Adatait érinti, a Grouper a releváns Ügyfelet a lehető leggyorsabban értesíti, minden esetben pedig a esemény tudomására jutásától számított 48 órán belül.
Annak érdekében, amennyiben lehetséges, a értesítés a következőket tartalmazza:
- a esemény jellege;
- érintett Személyes Adat kategóriák;
- becsült Személyes Adat-alanyok és rekordok kategóriái és számai;
- valószínű következmények;
- mért intézkedések vagy javaslatok;
- mérsékleti intézkedések; és
- további információ érdekének kapcsolati pont.
Az információ fázisokban is rendelkezésre állhat, ahogy elérhetővé válik.
Grouper ésszerű együttműködést nyújt a Ügyfélnek, hogy megfeleljen a vonatkozó szabályozási és Adat-érintett értesítési kötelezettségeknek.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper szükség esetén gondosan kiválasztott Alb-feldolgozókat és szolgáltatókat nevezhet ki a Szolgáltatások biztosításához, tárhelyszolgáltatáshoz, biztonsághoz, támogatáshoz, megfigyeléshez vagy fejlesztéséhez.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
Ahol a vonatkozó Ügyfél feltételek általános írásbeli felhatalmazást adnak, az Ügyfelek előzetes értesítést kapnak anyagias új Alb-feldolgozókról és lehetőséget frissíthetik az adatvédelmi alapokon történő kifogást.
A BambooHR alfeldolgozók esetében a jelen BambooHR DPA legalább 30 nappal előzetesen értesít egy új alvállalkozóról, amely az Ügyfél Személyes Adatait fogja Feldolgozni.
A 4. melleklet átláthatást nyújt a kulcs szolgáltató kategóriákról és a hivatkozott szolgáltatói nevekről, amelyeket a vezérlő szolgáltatási anyagokban azonosítottak.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
A(z) BambooHR Feldolgozását a vonatkozó szerződéses és adatvédelmi feltételek szabályozzák, beleértve a DPA-ját, biztonsági intézkedéseit, alfeldolgozói megállapodásait és a nemzetközi adattovábbításokra vonatkozó garanciákat.
Grouper továbbra is saját kötelezettségeiért felel a vonatkozó adatvédelmi jogszabályok és az alkalmazandó ügyfélszerződés alapján. Amennyiben BambooHR a Grouper európai ügyfélkörnyezetének támogatása érdekében Személyes Adatokat dolgoz fel, a vonatkozó szerződéses, biztonsági és adattárolási követelmények irányadóak.
A Grouper szerződéses európai szolgáltatása esetén az Ügyfél személyes adatai az EGT-ben kerülnek tárolásra, elsődleges hosztolással Írországban az Amazon Web Services (AWS) szolgáltatásán keresztül. A feldolgozásra jogosult fél által végzett feldolgozás vagy az EGT-n kívülről történő távoli hozzáférés Korlátozott Adattovábbításnak minősülhet akkor is, ha az adatok Írországban maradnak tárolva. Az ilyen hozzáférés kizárólag akkor megengedett, ha jogszerű, szükséges, és megfelelő garanciákkal védett.
Kivételes forgatókönyvek közé tartoznak például:
- egy sürgősségi helyzet, amely érinti az ír adatközponti környezetet vagy a szolgáltatás folytonosságát;
- támogatási vagy karbantartási kérelem, amely jogosult szakértői hozzáférést igényel a EEA-n kívülről, az Ügyfél vonatkozó jóváhagyásával vagy szerződéses felhatalmazásával;
- egy hitelesített Ügyfél-kérés, hogy a adatokat a szerződéses európai hosting régión kívülre helyezzék vagy egyébként Feldolgozzák.
Amikor korlátozott átutalás történik, a "Grouper" és/vagy a releváns technológiai szolgáltató jogilag elismert mechanizmust alkalmazhat, mint például:
- a megfelelőségre vonatkozó döntés;
- az Európai Bizottság Szabványos Kellék Tárgyalási Záradékai (SCC-k);
- az Egyesült Királyság Nemzetközi Adatátviteli Kiegészítése (UK Addendum), ahol alkalmazható;
- részvétel az EU–US Adatvédelmi Keretrendszerben, ahol jogszerű és alkalmazandó;
- Kötő Korporatív Szabályok, ahol alkalmazható; vagy
- egy másik érvényes védelem, amelyet az Alkalmazandó Adatvédelmi Törvény elismer.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
Az ilyen kivételes hozzáférési megállapodások semmilyen módon nem változtatnak Grouper azon kötelezettségén, hogy az európai szolgáltatáshoz kapcsolódó Vevői Személyes Adatokat az EGT-n belül tárolják.
Ahol EU-s Szabályozási Tárgyalások (Standard Contractual Clauses) szükségesek, azokat hivatalosan jóváhagyott, változatlan formában építik be, kötelező szövegezés módosítása nélkül. Controller-to-Processor átviteli esetekben általában a Modul 2 alkalmazandó, hacsak a felek szerepei más modul igényét nem követelik meg.
Ha Írországot választják alkalmazandó EU-s joghatóságként és fórumként, a felek az Írország bíróságaihoz kötik magukat az érvényes SCC mellékletben foglaltak szerint.
Az Egyesült Királyság Adatvédelmi Törvényének tárgya alá tartozó átutalások esetén az EU SCC-k a UK Nemzetközi Adatátviteli Kiegészítésével vagy más jogilag elismert átviteli mechanizmussal együtt érvényesek.
Supplementary measures may include:
- titkosítás;
- hozzáférés-korlátozások;
- kulcs-kezelési ellenőrzések;
- minimalizálás;
- naplózás;
- a továbbított adatokra vonatkozó szerződéses korlátozások;
- kormányzati kérések felülvizsgálati menetei;
- átláthatósági intézkedések; és
- átutalások felfüggesztése vagy megszüntetése, ahol a védettség megfelelő szintje nem biztosított.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
Törvénytelen vagy aránytalan kéréseket akkor is vitatunk, ha okok és jogalapok vannak rá.
A hozzájárulásokra és adat-érintetti értesítésekre vonatkozó kötelezettségek minimális mértékben kerülnek közlésre.
A Ügyfelet értesítik jogszerűen megengedett módon. Ha a értesítés tilos, ésszerű erőfeszítés történik a hozzájárulás megszerzésére, ahol megfelelő.
A kérelem és válasz nyilvántartása a törvény által előírt és az alkalmazható átviteli mechanizmus szerint történik.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- hozzáférés;
- helyreigazítás;
- törlés;
- Feldolgozás korlátozása;
- adat-hordozhatóság;
- ellenzés;
- hozzájárulás visszavonása;
- a automatikus döntéshozatal és profilalkotás jogaival kapcsolatos jogok; és
- the right to complain to a competent supervisory authority.
Ha Grouper Feldolgozóként jár el, a Személyes Adatokkal kapcsolatos kéréseket általában az érintett Ügyfélnek, Szabályozónak kell címeznie. Ha Grouper közvetlenül kap ilyen kérést, Grouper kivizsgálás vagy értesítés céljából a kérést a Ügyfélhez továbbítja vagy értesíti, és csak dokumentált Ügyfél utasításokra vagy jog által megkövetelt esetekben válaszol. Grouper ésszerű segítséget nyújt az Ügyfél kötelezettségeinek teljesítéséhez.
Figyelembe véve a Feldolgozás természetét és a Grouper által rendelkezésre álló információkat, Grouper ésszerű segítséget nyújt az Adatvédelmi Hatásvizsgálatokhoz, és szükség esetén előzetes konzultációt végez egy illetékes felügyeleti hatósággal.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- biztonsági dokumentáció;
- irányelvek;
- megfelelőségi információ;
- audit információ;
- független biztosítási jelentések;
- releváns tanúsítványok; és
- kérdésekre adott választ a jogszerű biztonsági kérdőívekre.
Ahol jogi vagy szerződéses kötelezettség és ésszerű iratműveltség nem elegendő, Ügyfelek jogosult auditjogokat gyakorolhatnak ésszerű értesítéssel, titoktartás, biztonság, más ügyfelek információinak védelme és akadálymentesítés érdekében. Hogy Biztonsági Incidensek, szabályozói követelmények vagy ésszerű bizonyíték alapján lényeges nem-megfelelés legyen, formális auditok általában évente egyszerre korlátozódjanak. Az Ügyfelek általában saját auditköltségeiket viselik, hacsak a jog vagy a szerződés másként nem rendelkezik.
Grouper csak addig őrzi a Személyes Adatokat, ameddig az adott célhoz vagy törvény által szükséges.
Ahol Grouper Szolgáltatóként jár el, a megőrzés elsősorban a következőktől függ:
- dokumentált Ügyfél utasítások;
- alkalmazható Ügyfél megállapodás;
- a Szolgáltatások időtartama;
- támogatási követelmények;
- jogi kötelezettségek; és
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
Az Ügyfelek felelősek az Ügyfél Személyes Adatainak pontosságáért. Ha Grouper vagy egy feldolgozó úgy vesz észre, hogy az adatok pontatlanok vagy elavultak olyan körülmények között, amelyek intézkedést igényelnek, Grouper együttműködik az Ügyféllel az adatok helyreállítására vagy törlésére a dokumentált utasítások és az Alkalmazandó Adatvédelmi Törvény szerint.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
Néhány BambooHR funkció mesterséges intelligenciát vagy gépi tanulást használhat. Az AI funkcionalitás opcionális, ha ilyen módon azonosítva van, és elkülönített BambooHR AI feltételek alatt is lehet.
Jelenlegi BambooHR AI szolgáltatás anyagok harmadik fél AI-szolgáltatókat az OpenAI, Cohere és Anthropic/Claude bevonják; a jelenlegi alvállalkozói anyagok további AI vagy dokumentum-kezelő szolgáltatókat is azonosíthatnak (például LlamaIndex), a funkció beállításától függően.
Customers remain responsible for:
- értékelni, hogy az AI használata megfelelő-e a szervezet számára;
- jogi alap meghatározása;
- megismertetést nyújtani az adatfeldolgozók részére;
- a szükséges hozzájárulás megszerzéséért;
- biztosítani elegendő emberi felügyeletet;
- elfogultság és méltányosság kockázatainak értékelése; és
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
Ha BambooHR az Ügyfél adatait, bevitelét vagy kimenetét használja, egy ügyfél-specifikus modell finomhangolására vagy tréningezésére, a hatályos BambooHR AI feltételek kimondják, hogy ilyen használat az adott Ügyfél számára nyújtja az AI funkciókat, és az ebből származó Ügyfél-kontrollált modell nem használható más ügyfelek szolgáltatásainak nyújtására.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
Programozott hozzáférésnek támogatott hitelesítési módokat kell használni, és nem szabad az Ügyfél Adatát vagy hitelesítő adatait jogosulatlan féltől elérhetővé tenni.
Integrációk nem használhatják az Ügyfél Adatait a dokumentált és engedélyezett célon túl.
Ha egy integrációs szolgáltató a Ügyfél vagy Grouper nevében Feldolgozza a Személyes Adatokat, megfelelő feldolgozó vagy alb-feldolgozó feltételek és átviteli védelmek érvényesek.
Ha Grouper a saját üzleti tevékenységeivel összefüggésben Szabályozóként jár el, feldolgozhatjuk az alábbi üzleti kapcsolattartási információkat:
- potenciális ügyfelek;
- ügyfélkapcsolatok;
- beszállítók;
- partnerek;
- szakmai tanácsadók;
- rendezvény résztvevői;
- weboldal látogatók; és
- azok a személyek, akik felveszik a kapcsolatot a Grouper-val.
Információ tartalmazhat név, szervezet, szerep, üzleti kapcsolattartási adatok, kommunikációk, érdeklődési információk, IP-cím, böngésző és eszköz információk, meglátogatott oldalak és hasonló technikai adatok.
Az ilyen információkat arra használjuk, hogy válaszoljunk az érdeklődésekre, kapcsolatokat kezeljünk, kért szolgáltatásokat nyújtsunk, biztonságot fenntartsunk, szerződéseket teljesítsünk, jogszabályoknak megfeleljünk és engedélyezett esetben üzleti kommunikációkat küldjünk. A címzettek bármikor kiléphetnek a közvetlen marketingből. Működési, szerződéses, biztonsági és ügyfélszolgálati kommunikációk nem marketing célúak.
Weboldalak szükséges, funkcionális és analitikai cookie-kat és hasonló technológiákat használhatnak. Ha jogszabály szerint szükséges, nem létfontosságú cookie-kat csak megfelelő beleegyezés után használnak, és a felhasználóknak nyilvános beállításokkal rendelkezniük kell.
Grouper seeks to embed privacy into service design and operations. This includes:
- Európai adat-elhelyezési lehetőségek;
- adatminimalizálás;
- legkisebb jogosultság elve;
- megfelelő hitelesítés;
- titkosítás;
- hozzáférési naplózás;
- szereplő-alapú jogosultságok;
- biztonságos átvitel;
- Alb-feldolgozó ellenőrzések;
- megőrzési ellenőrzések;
- incidens- és válaszadási folyamatok;
- adatvédelmi és biztonsági képzés;
- biztonsági tesztelés;
- DPIA támogatás; és
- dokumentált elszámoltathatóság.
Grouper fenntartja a saját szerepéhez és feladatköréhez megfelelő nyilvántartásokat és irányítási intézkedéseket, és jóhiszeműen együttműködik az Ügyfelekkel, az Adat-érintettekkel és a kompetens felügyeleti hatóságokkal.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
Ha Grouper Személyes Adatokat Feldolgozóként Kezeli, a B Rész és a vonatkozó Ügyfél-megállapodás szabályozza a szerződéses Feldolgozási kapcsolatot. Az Ügyfél Személyes Adataival kapcsolatos ellentmondás esetén a következő sorrend érvényes: kötelező Alkalmazandó Adatvédelmi Törvény; alkalmazható SCC-k, UK Addendum vagy más kötelező átviteli mechanizmus; az Adatfeldolgozási Megállapodás; a Megállapodás alkalmazandó adatvédelmi rendelkezései; és a Megállapodás fennmaradó része.
Grouper európai BambooHR javaslata három elvre épül:
európai adat-elhelyezés.
Az Ügyfél Személyes Adatai az EEA-n belül kerülnek üzemeltetésre és tárolásra, elsősorban Írországban az AWS révén.
Európai adatvédelmi szabványok.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
Európai szolgáltatási és támogatási szolgáltatás.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
Célunk az, hogy szervezetek BambooHR használhassanak anélkül, hogy megsértenék az európai ügyfelek által elvárt adatvédelmi, kormányzási és adat-rezidencia szabványokat.
A Privacy Policy-vel, Grouper & Processing tevékenységével, Data Subject jogokkal, biztonsággal vagy európai adat-residencia megállapodásokkal kapcsolatos kérdések benyújthatók a Grouper kijelölt adatvédelmi vagy ügyfélszolgálati csatornáin.
Grouper Technology Limitedet közvetlenül a 3. emeletre, 22 Ely Place, Dublin, D02 AH73, Írország címére is fel lehet venni.
Abban az esetben, ha az érintett személyes adatok egy munkáltató BambooHR fiókjában találhatók, az érintettek általában először ezt a munkáltatót keressék, mivel az a szervezet általában az Adatkezelő, aki meghatározza, hogyan kerülnek felhasználásra az adatok.
Ez a Adatfeldolgozási Megállapodás („DPA”) része a megállapodásnak, megrendelői űrlapnak, munka-nyilatkozatnak vagy más szerződésnek, amely a Grouper BambooHR-hoz kapcsolódó szolgáltatások nyújtását szabályozza az Ügyfél és a Grouper Technology Limited között.
A Szolgáltatások nyújtása során Grouper az Ügyfél nevében az Ügyfél Személyes Adatait feldolgozhatja. Ez a DPA rögzíti a Felek ehhez a Feldolgozáshoz fűződő kötelezettségeit.
Ez a DPA azon mértékig alkalmazandó, amennyiben Grouper Feldolgozza Ügyfél Személyes Adatait az Ügyfél nevében, és az ilyen Feldolgozás Alkalmazandó Adatvédelmi Törvény hatálya alá tartozik. Ez kiegészíti és része a Megállapodásnak; a benne nem definiált nagybetűs kifejezések a Megállapodásban meghatározott jelentést hordozzák.
Ehhez a DPA-hoz:
Ügyfél Személyes Adata
Az Ügyfél vagy Ügyfél-alkalmazott által ellenőrzött Személyes Adatot, amelyet Grouper a Szolgáltatásokkal összefüggésben feldolgoz.
Korlátozott átadás
Személyes Adatok átadása, amely jogszerű átadási mechanizmust igényel az Alkalmazható Adatvédelmi Törvény szerint.
Általános szerződéses záradások (SCC-k)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
Harmadik fél, akit a Grouper megbízott vagy képvisel, Ügyfél Személyes Adatainak Feldolgozására.
Technológiai Szolgáltató
BambooHR LLC és, ahol alkalmazható, a kapcsolódó BambooHR entitások, amelyek alaprendi HR technológiai platformot biztosítják.
Háttere írásban megállapodva, az Ügyfél Irányítóként jár el, és Grouper Feldolgozóként. Amikor az Ügyfél másik Irányító részére Feldolgozóként jár el, Grouper al-al-feldolgozóként jár el, amennyiben alkalmazható.
Grouper Személyes Adatot csak dokumentált Ügyfél utasításokra dolgoz fel, és csak a Szolgáltatások biztosításához, fenntartásához, védelméhez és támogatásához szükséges mértékben, kivéve, ha a jogalkotó előírásai másként követelik.
Grouper haladéktalanul tájékoztatja az Ügyfelet arról, ha ésszerű véleménye szerint egy utasítás sérti az Alkalmazható Adatvédelmi Törvényt, és a érintett Feldolgozást függőben felakadhatja a megoldásig.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper biztosítja, hogy a Jogosult Személyek megfelelő titoktartási kötelezettségek hatálya alá tartozzanak, az Ügyfél Személyes Adataihoz csak akkor férjenek hozzá, amikor az ésszerűen szükséges, megfelelő adatvédelmi és biztonsági képzést kapjanak, és a Személyes Adatokat csak ezen DPA és dokumentált Ügyfél utasítások szerint dolgozzák fel. Hozzáférés a legkisebb jogkör és a tudomásulvétel elvei szerint korlátozott.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
A minimálisan kontrollálási területek a 2. ütemezésben kerülnek leírásra. Grouper megváltoztathatja az intézkedéseket, feltéve, hogy a változtatások nem nagymértékben csökkentik az Ügyfél Személyes Adatainak védelmi szintjét.
Grouper a lehető leghamarabb értesíti az Ügyfelet, és ahol a 48 órás szerződéses kötelezettség érvényes, semmilyen esetben sem később 48 órán belül a tényleges vagy gyanított Biztonsági Incidensről az Ügyfél Személyes Adatainak érintettségéről.
Az információk fázisokban is rendelkezésre állhatnak, ahogy válik elérhetővé. Grouper ésszerű együttműködést nyújt az Ügyfél számára a felügyeleti hatóságok tájékoztatási kötelezettségeinek és az érintett Személyekkal szembeni érintések teljesítéséhez.
Az Ügyfél általános írásbeli felhatalmazást ad a Grouper számára a Szolgáltatások biztosításához szükséges al-feldolgozók bevonására.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
Ahol az alapul szolgáló BambooHR DPA alkalmazandó, BambooHR jelenleg legalább 30 napos írásbeli előzetes értesítést ad egy új alvállalkozó számára, aki Ügyfél Személyes Adatokat fog Feldolgozni.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Ha Grouper közvetlenül Ügyfél Személyes Adatait érintő kérést kap, Grouper haladéktalanul utal vagy értesíti az Ügyfelet, és csak dokumentált utasításokra vagy a jog által előírt esetekben ad érdemi választ.
Grouper ésszerű segítséget nyújt az Adatvédelmi Hatások értékelésében, a felügyeleti hatóságokkal folytatott előzetes egyeztetésben és a szolgáltatásokkal kapcsolatos kompetens felügyeleti hatóság által végzett ésszerű vizsgálatokban figyelembe véve a Feldolgozás jellegét és rendelkezésre álló információkat.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
A törvény által megengedett mértékben az Grouper áttekinti a Személyes Adatokra vonatkozó kötelező köz- hatósági kéréseket, jogellenes vagy aránytalan kérelmeket, ha ésszerű alapokkal rendelkezik, a jogilag minimálisan szükséges mértékre korlátozza a közzétételt, értesíti az Ügyfelet, amennyiben jogilag megengedett, és megfelelő nyilvántartásokat vezet.
Ügyfél kérésére, vagy a Szolgáltatások megszüntetése vagy lejárta esetén, Grouper az Ügyfél opciója szerint és technikai megvalósíthatóság és a Megállapodás figyelembevételével visszaadja vagy biztonságosan törli az Ügyfél Személyes Adatait, és kötelezi a releváns al-feldolgozókat is ugyanezt megtenni. A törvényben meghatározott megőrzés esetén Grouper izolálja és védi a megőrzött adatokat, és csak törvény által előírt módon dolgozza fel őket.
Az Ügyfél megerősíti, hogy rendelkezik a Személyes Adatok Feldolgozásához szükséges jogokkal, engedélyekkel, értesítésekkel, jogszerű alapokkal és hozzájárulásokkal; hogy utasításai megfelelnek az Alkalmazható Adatvédelmi Törvénynek; hogy nem ad utasítást jogellenes Feldolgozásra; és hogy a Szolgáltatásokat biztonságosan konfigurálja és használja, valamint megfelelő ellenőrzéseket tart fenn a felhasználói fiókok, jelszavak és integrációk felett.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
Ez a DPA hatályba lép, amikor az Ügyfél kötelező érvényűvé válik, és addig érvényes, amíg Grouper Ügyfél nevében Személyes Adatokat dolgoz fel. Az adat megőrzésével összefüggő kötelezettségek, természettől vagy jogszabály alapján fenn kell tartani; a lejárat vagy megszűnés után is fennmaradnak.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
Ügyfél Személyes Adataival kapcsolatos ellentmondás esetén a következő sorrendben érvényesek a rendelkezések: kötelező Alkalmazható Adatvédelmi Törvény; alkalmazandó SCC-k, UK-Addendum vagy más kötelező átviteli mechanizmus; ez a DPA; a Megállapodás adatvédelmi rendelkezései; és a Megállapodás fennmaradó része.
Irányító / Adat-exportőr
The Customer identified in the applicable Agreement or Order Form.
Feldolgozó / Adat-importőr
Grouper Technology Limited, 3. emelet, 22 Ely Place, Dublin, D02 AH73, Írország.
Technológiai Szolgáltató
BambooHR LLC és alkalmazandó BambooHR entitások, amelyek biztosítják a mögöttes HRIS platformot.
Tárgy
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
Feldolgozás jellege
Gyűjtés, fogadás, felvétel, szervezés, strukturálás, migráció, hosztolás, tárolás, adatok visszakeresése, egyeztetés, felhasználás, továbbítás, elérhetővé tétel, korlátozás, támogatott hozzáférés, törlés és egyéb olyan Feldolgozás, amely ésszerűen szükséges a Szolgáltatások biztosításához.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
A Szolgáltatások időtartama alatt és bármely későbbi szükséges időszakban az Ügyfél Személyes Adatainak visszajuttatására vagy törlésére vagy jogszabály szerinti megfelelés érdekében.
Adatalanyok
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
Személyes Adat
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
Szenzitív Adat
Ami az Ügyfél által kiválasztásra kerül, magában foglalhat egészségügyi és fogyatékossági információkat, vagy egyéb különleges vagy érzékeny adatokra vonatkozó információkat, amelyeket a Szolgáltatások engedélyeznek.
Elsődleges Európai Tárhely
Írország / EEA az Amazon Web Services (AWS) révén az Ügyfeleknek a Európai adatrezidencia-szolgáltatás vásárlásakor.
Hivatásos felügyeleti hatóság
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper technikai és szervezeti intézkedéseket tart fenn az alábbi minimális kontroll-dombokon:
1. Információbiztonsági irányítás
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. Személyzeti Biztonság
Titoktartási kötelezettségek, a szerepnek megfelelő szűrés jogszerűen, biztonságtudatosság és adatvédelmi képzés, valamint fegyelmi intézkedések jogosulatlan hozzáférés esetén.
3. Fizikai biztonság
Korlátozott hozzáférés a releváns létesítményekhez és infrastruktúrához; ellenőrzött hozzáférési útvonalak; hozzáférési engedélyek; fizikai megfigyelés és egyéb, a hosztolási környezethez megfelelő védelmek.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. Adat-hozzáférési kontroll
Olyan ellenőrzések, hogy jogosult felhasználók csak a jogosultságaiknál megengedett adatokhoz férhessenek hozzá; hozzáférés naplózása és figyelése; adatok kiadása csak jogosult személyeknek.
6. Kódolás és névtelenítés
Megfelelő adatátvitel és pihenő állapotban történő személyes adatok titkosítása; szükség szerint névtelenítés a feldolgozás célja szerint.
7. Hálózati és továbbítási Biztonság
Tűzfalak, védett átjárók, biztonságos kommunikációs csatornák, TLS/SFTP vagy társítás védett továbbítási mechanizmusok, és jogosulatlan elfogás vagy módosítás elleni védelmek.
8. Naplózás és Monitorozás
Rendszerhez, adminisztrációhoz és hozzáférési tevékenységek naplózása; gyanús események figyelése; a kockázathoz megfelelő audit információk megőrzése.
9. Bemeneti és Módosítási Kontrol
Olyan ellenőrzések, hogy ki lépett be, ki módosította vagy törölte az adatokat; a jogosult felhasználók és rendszerek hitelesítése; dokumentált változáskezelési gyakorlatok.
10. Sérülékenység és Biztonsági Tesztelés
Olyan folyamatok, amelyek azonosítják, értékelik és orvosolják a sebezhetőségeket; időszakos behatolási vagy biztonsági tesztek; rendszeres értékelés és ellenőrzés a kontrollok hatékonyságáról.
11. Elérhetőség, Biztonsági Mentés és Visszaállítás
Infrastruktúra redundancia, mentés, visszaállítási képesség, rendelkezésre állási ellenőrzések és védelem véletlen adatvesztés vagy megsemmisítés ellen.
12. Üzletmenet-folytonosság és Katasztrófa-elhárítás
Dokumentált folytonossági és helyreállítási terv a rendelkezésre állás és hozzáférés időben történő helyreállításához egy megszakítás vagy Biztonsági Incidens után.
13. Adat Szeparáció
Logikai vagy alkalmazás-szintű szeparáció az ügyfelek között és a feldolgozási célok között; olyan ellenőrzések, amelyek megakadályozzák az illetéktelen keresztüli hozzáférést.
14. Biztonságos Fejlesztés
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
Történeti átvilágítás, írásos adatvédelmi kötelezettségek, biztonsági felülvizsgálat, átviteli védintézkedések és a feldolgozáshoz kapcsolódó folyamatos felügyelet.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
EU-hoz kötött Átviteli Korlátozások
Amikor EU SCC-k szükségesek, az Európai Bizottság hivatalos SCC-jeit hivatkozás révén beépítve, kötelező megfogalmazást változtatás nélkül tartalmazzák. Ha a szerepek másként nem írják elő, az Ügyfél az Adatexportáló, a Grouper és/vagy a vonatkozó Technológia Szolgáltató az Adatimportáló, és a Modúl Kettes alkalmazható az Irányító-tő Feldolgozó átadásokra.
UK Korlátozott Átviteli
Az Egyesült Királyság Adatvédelmi Törvényének tárgya alá tartozó átutalások esetén az EU SCC-k a UK Nemzetközi Adatátviteli Kiegészítésével vagy más jogilag elismert átviteli mechanizmussal együtt érvényesek.
Svájci Átviteli
Svájci adatvédelmi törvény alá tartozó átvitelnél a SCC-k a vonatkozó svájci jog szerint értelmezve és alkalmazva lesznek, ideértve a megfelelő hivatkozásokat a Svájci Felügyeleti Hatóságra és Svájci Adatalanyokra.
EU-US Adatvédelmi Keret
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
Különleges hozzáférési forgatókönyvek európai ügyfelek számára
Kiválasztott kivételes, nem EEA-hozzáférés csak a következő körülmények között lehetséges:
- egy sürgősségi helyzet, amely érinti az ír adatközponti környezetet vagy a szolgáltatás folytonosságát;
- a támogatási vagy karbantartási kérelem, amely jogosult szakértői hozzáférést igényel az EEA-n kívül, az Ügyfél megfelelő jóváhagyásával vagy szerződéses felhatalmazásával; és
- egy ellenőrzött Ügyfél-kérés a Feldolgozásra vagy hosztolásra az európai régión kívül.
A pontos szolgáltatók terméktől, funkciótól, támogatási útvonaltól és Ügyfél konfigurációtól függően változnak. A Grouper és/vagy a BambooHR által karbantartott aktuális élő al-feldolgozói nyilvántartás az aktív szolgáltatásnyújtást irányítja.
A következő kulcsfontosságú szolgáltatók a kormányzó szolgáltatási anyagokban kerültek azonosításra. Itt felsorolt szolgáltató nem feltétlenül dolgozza fel minden Ügyfélnek Személyes Adatokat minden telepítésnél.
BambooHR LLC
Technológiai szolgáltató; HRIS karbantartás, hosztolás és támogatás. Helyszín: Egyesült Államok / szolgáltatási régiók, beleértve Európát.
Amazon Web Services (AWS)
Elsődleges felhő hosztolási infrastruktúra; európai regionális hosztolás Írországban. Helyszín: Írország / Európa és egyéb régiók a szolgáltatás konfigurációjától függően.
Anthropic / Claude
AI / nyelvi modell feldolgozás. Helyszín: Egyesült Államok.
Cohere
Nyelvi modell API / AI feldolgozás. Helyszín: Egyesült Államok.
OpenAI
Nyelvi modell API / AI feldolgozás. Helyszín: Egyesült Államok.
LlamaIndex / LlamaParse
Opcionális dokumentum-parse-olás AI funkcióval. Helyszín: Egyesült Államok.
Atlas MongoDB
Kiválasztott szolgáltatások / AI‑hez kapcsolódó funkciók adatszárazása. Helyszín: Egyesült Államok.
Gainsight
Ügyfélkapcsolat / CRM szolgáltatások.
Salesforce
CRM platform
Cloudflare
Webalkalmazás‑tűzfal / biztonság.
Datadog
Infrastruktúra és alkalmazásmonitorozás.
Microsoft / Google Workspace
Együttműködés, kommunikáció és dokumentumtárolás a jelenlegi konfigurációtól függően.
Mailgun
Alkalmazás kommunikációk.
Snowflake
Adatelemzés.
Twilio
MFA / SMS kézbesítés.
További Szolgáltatók
A jelenlegi szolgáltatási anyagokban azonosított további szolgáltatók magukban foglalhatják a Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike és mások. Az Ügyfeleknek a élő BambooHR alvállalkozói lista és a Grouper aktuális al-feldolgozó-információi alapján a legfrissebb részleteket kell szem előtt tartani.
1. Terjedelem
Ez az Ütemezés akkor alkalmazandó, amikor az Ügyfél BambooHR mesterséges intelligencia vagy gépi tanulás funkciót kapcsol be vagy használ a Grouper‑támogatott Szolgáltatásokkal összefüggésben.
2. AI Szolgáltatók
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. Bemenetek és Kimenetek
Az Ügyfél által adott utasítások, adatok vagy adatok AI funkciókhoz benyújtott válaszként „Beviteli” információkká válhatnak, és a generált válaszok „Kimenetek” lehetnek. A funkciótól függően a Beviteli vagy Kimeneti adatok Ügyfél Adatait is tartalmazhatják. A Kimenetek nem feltétlenül egyedi, és hasonlíthatók más felhasználók kimeneteihez.
4. Ügyfél Felelősségei és Emberi Felügyelet
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. Szenzitív és Szabályozott Adatok Korlátozások
A vonatkozó AI feltételek tiltása esetén az Ügyfél nem adhat meg érzékeny vagy szabályozott információkat AI funkciókhoz, beleértve az egészségügyi, genetikai vagy biometrikus információkat, kormányzati azonosító számokat vagy személyes pénzügyi vagy bankszámlával kapcsolatos információkat. Az Ügyfelek minimalizálják a Személyes Adatokat a promptokban.
6. Pontosság, Torzítás és Igazságosság
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
Amikor az alkalmazandó BambooHR AI feltételei lehetővé teszik a Teljesítményi Adatok és Visszajelzések felhasználását az AI funkcionalitás javítására, ezen felhasználás ezen feltételek szerint történik. Ha Ügyfél adatait használják egy egyedi modell finomhangolására, a kapott modell ezen Ügyfélnek nyújt AI funkciókat, és egyébként nem használható más Ügyfelek szolgáltatásainak nyújtására.
8. Nemzetközi Feldolgozás
AI-szolgáltatók a jóváhagyott Beviteli vagy kapcsolódó Személyes Adatok feldolgozását az EGT-n túl is végezhetik. Az ilyen Feldolgozás e DPA transfer-védelmi elemeinek hatálya alá esik, és nem változtatja meg az Ügyfél szerződéses mag HRIS-tárolási régiójának helyét. Az Ügyfeleknek értékelniük kell, hogy a opcionális AI-használat összhangban áll-e saját rezidenciáikkal, munkaközösségi döntésekkel, foglalkoztatási joggal és kockázati követelményekkel, mielőtt engedélyeznék.
Kérdései vannak ezen adatvédelmi irányelvvel vagy adataival kapcsolatos jogaival kapcsolatban?
Kapcsolatfelvétel
