Legal
Informativa sulla privacy | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
Ultimo aggiornamento: 16 agosto 2026
Grouper si impegna a proteggere i dati personali e a mantenere alti standard di privacy, sicurezza e conformità normativa. La protezione dei dati è trattata come una responsabilità operativa e contrattuale chiave, non come un dettaglio da sistemare in seguito. Progettiamo la nostra erogazione del servizio, i controlli di accesso, i processi di supporto e la governance dei fornitori per riflettere i principi di responsabilità, integrità, riservatezza e trasparenza di GDPR.
La presente Informativa sulla privacy illustra in che modo Grouper Technology Limited (“Grouper”, “noi”, “ci” o “nostro”) raccoglie, utilizza, accede, ospita, conserva, protegge, trasferisce e tratta altrimenti i dati personali in relazione ai servizi che forniamo, incluso il nostro ruolo di partner europeo di BambooHR.
Grouper supporta organizzazioni in Irlanda, Regno Unito, Europa e altre regioni con l'implementazione, l'amministrazione e l'uso della piattaforma HRIS BambooHR e della relativa tecnologia HR.
Il nostro modello di servizio europeo è progettato attorno a un principio chiaro di residenza dei dati in Europa. I Dati Personali del cliente trattati tramite il servizio europeo Grouper di BambooHR sono ospitati e conservati all’interno dello Spazio Economico Europeo (“SEE”), con hosting principale in Irlanda.
Questa Policy sulla privacy si applica ai dati personali trattati in relazione a:
- implementazione e onboarding di BambooHR;
- configurazione HRIS;
- amministrazione dell'account;
- assistenza clienti;
- assistenza tecnica;
- supporto di integrazione;
- migrazione dati;
- successo del cliente;
- formazione;
- servizi professionali;
- sicurezza e amministrazione del servizio;
- comunicazioni con i clienti;
- vendite e dimostrazioni;
- Grouper siti web e servizi digitali; e
- le nostre attività commerciali generali.
Grouper Technology Limited è una società irlandese con sede legale presso 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.
BambooHR fornisce il sistema informativo delle risorse umane sottostante e le funzionalità di prodotto correlate. Grouper fornisce servizi professionali europei di implementazione, migrazione, configurazione, formazione, customer success, supporto, service management e servizi professionali correlati. A seconda dell’abbonamento e della configurazione del Cliente, la piattaforma HRIS di BambooHR può supportare i registri dei dipendenti, l’onboarding, il recruiting, il rilevamento di presenze e orari, la gestione delle ferie, le performance, la retribuzione, i benefit, le funzionalità relative alle buste paga, il reporting, l’analisi, le integrazioni, le API e le funzionalità di intelligenza artificiale.
A seconda dei servizi acquistati dal cliente, Grouper potrebbe fornire:
- BambooHR implementazione;
- onboarding;
- configurazione;
- configurazione dell'account;
- assistenza alla migrazione;
- servizi di integrazione;
- assistenza tecnica;
- supporto HRIS;
- formazione;
- servizi di successo del cliente;
- amministrazione del servizio;
- risoluzione dei problemi; e
- servizi professionali correlati.
Il ruolo preciso di protezione dei dati di Grouper dipende dall'attività di trattamento specifica.
Quando Grouper determina le finalità e i mezzi del Trattamento — ad esempio in determinate attività relative al sito web, alle vendite, ai contatti commerciali, alla sicurezza o all’amministrazione aziendale — Grouper agisce in qualità di Titolare del trattamento.
Quando Grouper Tratta i Dati Personali del Cliente esclusivamente per conto di un Cliente e in conformità alle istruzioni documentate di tale Cliente, Grouper agisce in qualità di Responsabile del trattamento.
Quando il Cliente agisce come Titolare anche per un altro Controllore, Grouper può agire come Sub-processor nella misura applicabile.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 Impegno di residenza europeo centrale
Per i Clienti che acquistano il servizio europeo Grouper di BambooHR con residenza dei dati nello SEE, i Dati Personali del Cliente che fanno parte dell'ambiente di produzione core HRIS sono ospitati e conservati nello SEE, con sede principale di hosting in Irlanda.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 Conservazione vs. Accesso
La residenza dei dati descrive dove sono conservati i Dati Personali del Cliente. Non significa che non possa verificarsi un accesso supportato o tecnico da un altro paese.
L'accesso eccezionale dall'esterno dello SEE può verificarsi solo ove necessario, autorizzato e legalmente protetto come descritto nelle Sezioni 17 e 18 di questa Policy.
4.3 Backup, Resilienza e Ripristino di emergenza
Backup, resilienza e accordi di disaster-recovery sono progettati per preservare la riservatezza, l’integrità e la disponibilità e per rimanere coerenti con gli impegni di hosting regionale contrattualizzati dal Cliente.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 Nessun trasferimento di routine al di fuori dello SEE
Grouper non utilizza l'accesso di supporto eccezionale come meccanismo di relocazione di Dati Personali del Cliente nell'UE.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
“Applicable Data Protection Law” significa tutte le leggi e regolamenti sulla protezione dei dati, privacy e sicurezza dei dati applicabili al Trattamento, inclusi, ove pertinente:
- Regolamento (UE) 2016/679 — il Regolamento generale sulla protezione dei dati (GDPR);
- la legge irlandese sulla protezione dei dati del 2018;
- norme irlandesi ePrivacy ed elettroniche applicabili;
- il UK GDPR e il Data Protection Act 2018 del Regno Unito dove applicabile;
- legge sulla protezione dei dati svizzera applicabile dove applicabile;
- legislazione nazionale applicabile che implementa i requisiti di privacy europei; e
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
Le informazioni elaborate dipendono dai servizi selezionati dal Cliente e dai dati che il Cliente sceglie di inserire nell'ambiente HR.
6.1 Employee and Workforce Information
I dati personali possono includere:
- nome e numeri di identificazione dei dipendenti;
- fotografie fornite;
- dettagli di contatto domestici o di lavoro;
- data di nascita, genere e informazioni demografiche fornite;
- informazioni sul coniuge o famiglia fornite;
- contatti di emergenza e numeri di telefono;
- qualifiche accademiche e professionali;
- informazioni CV o riassunto, storia lavorativa e competenze linguistiche;
- titolo di lavoro, grado, dipartimento, posizione, linee di reporting e appartenenza al team;
- date di assunzione e terminazione, orari di lavoro e dettagli contrattuali;
- prestazioni, valutazione, disciplina e storico professionale;
- benefici, assicurazioni, beni aziendali e formazione; e
- informazioni su ferie, presenza e permessi.
6.2 Informazioni su paghe e compensi
Quando i servizi rilevanti sono utilizzati, i Dati Personali possono includere:
- stipendio, compensi e bonus;
- informazioni fiscali e di sicurezza sociale;
- dettagli bancari e di pagamento;
- informazioni sulla pensione;
- opzioni azionarie e altri benefici; e
- altre informazioni correlate alle paghe.
6.3 Reclutamento, candidati e informazioni sui referenti
For candidates, prospective employees and referees, information may include:
- dati identificativi e di contatto;
- CV, riassunti, storia lavorativa e qualifiche;
- registrazioni di candidatura, colloquio e reclutamento;
- comunicazioni con i candidati e stato del reclutamento;
- informazioni sulla compensazione proposta;
- nomi di referenti, contatti e relazione professionale; e
- informazioni contenute nelle referenze.
6.4 Dati speciali e sensibili
A seconda dell’utilizzo della piattaforma HRIS BambooHR da parte di un Cliente, i Servizi possono contenere informazioni sulla salute o sulla disabilità e altri Dati Personali di categoria speciale o sensibili.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
I clienti non dovrebbero inserire informazioni sensibili in campi di testo libero o funzionalità IA, salvo necessità, legittimità e permesso dai relativi termini di prodotto.
I Dati Personali trattati in relazione ai servizi di Grouper possono riguardare:
- impiegati attuali, ex-dipendenti, potenziali e futuri;
- candidati e richiedenti;
- appaltatori, consulenti, agenti e lavoratori autonomi;
- agenti, lavoratori temporanei e occasionali;
- tirocinanti e volontari;
- dipendenti dipendenti, beneficiari e contatti di emergenza;
- referenti e fornitori di referenze;
- amministratori del cliente e utenti autorizzati; e
- altri individui i cui Dati Personali un Cliente presenta legalmente ai servizi.
I Dati Personali possono essere ottenuti:
- direttamente dall'interessato;
- dal datore di lavoro dell’individuo o dal datore di lavoro potenziale;
- da amministratori e utenti autorizzati del Cliente;
- durante l'implementazione, configurazione e migrazione dei dati;
- attraverso integrazioni o API autorizzate;
- attraverso richieste di supporto e risoluzione dei problemi;
- attraverso la piattaforma BambooHR HRIS o un altro sistema scelto dal Cliente;
- attraverso processi di reclutamento;
- da fonti pubbliche ove legalmente utilizzati; e
- da altre fonti legittime autorizzate dal Cliente.
Grouper tratta i Dati Personali solo per scopi specifici e leciti. Questi possono includere:
- implementazione e configurazione della piattaforma HRIS BambooHR;
- hosting o facilitazione dell'hosting dei Dati Personali del Cliente;
- gestione degli account e dei permessi utente;
- manutenzione e sicurezza del servizio;
- fornire supporto clienti e tecnico;
- supportare integrazioni e migrazioni;
- offrire formazione e servizi professionali;
- gestire abbonamenti e relazioni con i clienti;
- rilevare e investigare eventi di sicurezza;
- mantenere registri di audit;
- prevenire frodi o uso improprio;
- diligenza con obblighi legali; e
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
Quando il personale di supporto accede ai Dati Personali del Cliente, l'accesso deve essere limitato al minimo necessario per lo scopo di supporto e deve essere eseguito da personale autorizzato soggetto a riservatezza e controlli di accesso.
Quando Grouper agisce da Titolare, la base lecita applicabile può includere:
10.1 Contratto
Trattamento necessario per entrare in un contratto o per eseguire un contratto, o per intraprendere passi prima di stipularne uno su richiesta dell'interessato.
10.2 Interessi legittimi
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- consegna del servizio;
- amministrazione del cliente;
- sicurezza delle informazioni;
- prevenzione delle frodi;
- continuità aziendale;
- supporto al cliente; e
- relationship management.
10.3 Obbligo legale
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 Consenso
Ove appropriato, il Trattamento può basarsi sul consenso. Il consenso può essere revocato in qualsiasi momento senza pregiudicare la liceità del Trattamento effettuato prima della revoca.
Quando il Cliente agisce da Titolare, il Cliente è responsabile di:
- determinare gli scopi per i quali i Dati Personali sono trattati;
- stabilire basi giuridiche e condizioni per categorie particolari;
- fornire le informative sulla privacy richieste;
- ottenere il consenso dove necessario;
- garantire l'accuratezza e la qualità dei dati;
- determinare i periodi di conservazione appropriati;
- gestire gli utenti autorizzati e i permessi;
- utilizzare i servizi in modo sicuro; e
- assicurarsi che le istruzioni a Grouper siano lecite.
Il Cliente non deve istruire Grouper a Processare Dati Personali in modo che violi la legge applicabile sulla protezione dei dati.
Grouper avviserà il Cliente quando, a suo avviso ragionevole, un'istruzione violi la legge applicabile sulla protezione dei dati e potrebbe sospendere il trattamento interessato finché la questione non sia risolta.
Grouper limita l'accesso ai Dati Personali del Cliente a persone autorizzate che ragionevolmente necessitano di accedervi per i loro compiti. Il personale è soggetto a obblighi di riservatezza appropriati e riceve formazione su privacy e sicurezza in base al ruolo. L'accesso è governato dai principi di minimo privilegio e necessità di conoscenza.
Controlli di accesso includono:
- controlli di identità e autenticazione;
- controlli basati sul ruolo e di accesso privilegiato;
- controlli dell'account amministrativo;
- gestione del ciclo di vita dell'account;
- registrazione e monitoraggio degli accessi;
- revisioni periodiche degli accessi;
- requisiti di riservatezza e uso accettabile; e
- sicurezza del personale adeguata e formazione.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
Le misure includono:
- controlli di accesso fisico e logico;
- autenticazione forte e controlli password appropriati;
- cifratura in transito e a riposo dove opportuno;
- pseudonimizzazione dove opportuno;
- firewall di rete, sicurezza perimetrale e rilevamento di intrusioni;
- registrazione, monitoraggio e tracce di audit;
- gestione delle vulnerabilità e test di sicurezza;
- accesso amministrativo ristretto;
- trasmissione sicura, inclusi canali di trasferimento protetti;
- backup, ridondanza, recupero e resilienza;
- pianificazione della continuità aziendale e del recupero dai disastri;
- sviluppo sicuro e gestione delle modifiche;
- separazione dei dati tra clienti e finalità di trattamento;
- procedure di risposta agli incidenti;
- sensibilizzazione e formazione del personale sulla sicurezza; e
- diligenza approfondita sui sub-processori e governance della sicurezza.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
Nella misura in cui Grouper agisce come Titolare e prende conoscenza di una violazione effettiva o sospetta di Dati Personali che coinvolge Dati Personali del Cliente, Grouper informerà il Cliente rilevante nel tempo più rapido ragionevolmente possibile e, in ogni caso, entro 48 ore dall'acquisizione della conoscenza dell'incidente.
Nella misura ragionevolmente disponibile, la notifica includerà:
- la natura dell'incidente;
- categorie di Dati Personali interessati;
- categorie e numeri approssimativi di Interessati e record;
- conseguenze probabili;
- misure adottate o proposte;
- azioni di mitigazione; e
- un punto di contatto per ulteriori informazioni.
Le informazioni possono essere fornite in fasi man mano che diventano disponibili.
Grouper offrirà una cooperación ragionevole per consentire al Cliente di soddisfare gli obblighi normativi e di notifica ai soggetti interessati applicabili.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper può nominare con attenzione Sub-processori e fornitori di servizi quando necessario per fornire, ospitare, garantire, supportare, monitorare o migliorare i Servizi.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
Qualora i termini applicabili del cliente prevedano un'autorizzazione scritta generale, i Clienti riceveranno un preavviso di nuovi Sub-processori rilevanti e l'opportunità di opporsi per motivi ragionevoli di protezione dei dati.
Per BambooHR subfornitori, l’attuale BambooHR DPA prevede un preavviso di almeno 30 giorni per un nuovo Subappaltatore che Tratterà i Dati Personali del Cliente.
Allegato 4 fornisce trasparenza sulle principali categorie di fornitori e fornitori nominati identificati nei materiali di servizio governing.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
Il Trattamento di BambooHR è disciplinato dai termini contrattuali e di protezione dei dati applicabili, inclusi la sua DPA, le misure di sicurezza, gli accordi con i subfornitori e le garanzie per i trasferimenti internazionali.
Grouper rimane responsabile dei propri obblighi ai sensi della Normativa Applicabile in materia di Protezione dei Dati e del relativo accordo con il cliente. Laddove BambooHR Tratta Dati Personali a supporto dell’ambiente clienti europeo di Grouper, si applicano i relativi requisiti contrattuali, di sicurezza e di localizzazione dei dati.
Per il servizio europeo contrattualizzato di Grouper, i Dati Personali del Cliente sono concepiti per essere conservati nello SEE, con hosting principale in Irlanda tramite Amazon Web Services (AWS). Il Trattamento Autorizzato o l’accesso remoto dall’esterno dello SEE può costituire un Trasferimento Limitato anche quando i dati restano archiviati in Irlanda. Tale accesso è consentito solo se lecito, necessario e protetto da adeguate misure di sicurezza.
Esempi di scenari eccezionali includono:
- un'emergenza che riguarda l'ambiente del data-centre irlandese o la continuità del servizio;
- una richiesta di supporto o manutenzione che richiede accesso autorizzato da professionisti dall’esterno dell’EEA, soggetta all’approvazione applicabile del Cliente o all’autorizzazione contrattuale; e
- una richiesta verificata del Cliente di relocation o di trattamento dei dati al di fuori della regione di hosting europea contrattualizzata.
Quando si verifica un Trasferimento Restrinto, Grouper e/o il relativo fornitore di tecnologia utilizzeranno un meccanismo legalmente riconosciuto come:
- una decisione di adeguatezza;
- le Clausole Contrattuali Standard dell'Unione Europea (SCCs);
- l'Addendum UK Transferimento Dati Internazionale ove applicabile;
- partecipazione al Quadro UE-US sulla protezione della privacy dove legalmente disponibile e applicabile;
- Regole Vincolanti dell'Azienda dove applicabile; o
- un'altra salvaguardia valida riconosciuta ai sensi della normativa applicabile sulla protezione dei dati.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
Nessuna disposizione di accesso eccezionale modifica l’impegno di Grouper a garantire che i Dati Personali del Cliente per il servizio europeo siano archiviati all’interno del SEE.
Dove sono richieste le Clausole Contrattuali UE Standard, esse sono incorporate nella forma ufficialmente approvata senza alterazioni al testo obbligatorio. Per trasferimenti Controller-Processor, il Modulo Due si applicherà di norma a meno che le parti non richiedano un altro modulo in base ai ruoli.
Qualora l'Irlanda sia selezionata come legge governante EU applicabile e foro, le parti accettano i tribunali irlandesi come previsto nell'allegato SCC applicabile.
Per trasferimenti soggetti al Diritto Britannico sulla Protezione dei Dati, le SCC dell'UE si applicano insieme all'Addendum UK International Data Transfer o ad altro meccanismo di trasferimento legalmente riconosciuto nel Regno Unito.
Supplementary measures may include:
- crittografia;
- restrizioni di accesso;
- controlli di gestione delle chiavi;
- minimizzazione;
- registrazione;
- limitazioni contrattuali sul trasferimento successivo;
- procedure di riesame su richiesta governativa;
- misure di trasparenza; e
- sospensione o cessazione dei trasferimenti qualora non possa essere garantito un livello adeguato di protezione.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
Le richieste illegali o sproporzionate saranno contestate quando vi sono motivi ragionevoli e una base legale per farlo.
La divulgazione sarà limitata al minimo legalmente richiesto.
Al Cliente sarà notificato dove legalmente consentito. Dove la notifica è vietata, verranno adottati sforzi ragionevoli per ottenere il permesso di fornire notifica ove opportuno.
I registri della richiesta e della risposta saranno mantenuti come richiesto dalla legge e dal meccanismo di trasferimento applicabile.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- accesso;
- rettifica;
- cancellazione;
- restrizione del Trattamento;
- portabilità dei dati;
- opposizione;
- revoca del consenso;
- diritti relativi a decisioni automatizzate e profilazione; e
- the right to complain to a competent supervisory authority.
Qualora Grouper agisca come Titolare, le richieste riguardanti i Dati Personali del Cliente dovrebbero essere di norma indirizzate al Cliente rilevante come Contitolare. Se Grouper riceve una tale richiesta direttamente, Grouper la riferirà o la notificherà al Cliente e non risponderà sostanzialmente se non su istruzioni documentate del Cliente o quando richiesto dalla legge. Grouper fornirà assistenza ragionevole per consentire al Cliente di adempiere ai propri obblighi.
Tenendo conto della natura del Trattamento e delle informazioni disponibili a Grouper, Grouper fornirà un'assistenza ragionevole con Valutazioni d'Impatto sulla Protezione dei Dati e, quando richiesto, consultazione preventiva con un'autorità di controllo competente.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- documentazione di sicurezza;
- policy;
- informazioni di conformità;
- informazioni di audit;
- rapporti di assicurazione indipendenti;
- certificazioni rilevanti; e
- risposte a questionari di sicurezza ragionevoli.
Qualora sia legalmente o contrattualmente richiesto e la documentazione ragionevole sia insufficiente, i Clienti possono esercitare i diritti di audit applicabili con preavviso ragionevole, nel rispetto della riservatezza, della sicurezza, della non interferenza e delle protezioni per le informazioni di altri clienti. Salvo quando richiesto a causa di un Incidente di Sicurezza, requisito normativo o prova ragionevole di non conformità sostanziale, gli audit formali dovrebbero essere limitati in genere a una volta in qualsiasi intervallo di dodici mesi. I Clienti sostengono generalmente i propri costi di audit salvo diversa disposizione di legge o contratto.
Grouper conserva i Dati Personali solo per il tempo ragionevolmente necessario per lo scopo rilevante o come richiesto dalla legge.
Qualora Grouper agisca come Titolare, la ritenzione è determinata principalmente da:
- istruzioni documentate del Cliente;
- il contratto applicabile con il cliente;
- la durata dei Servizi;
- requisiti di supporto;
- obblighi legali;
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
I Clienti sono responsabili di mantenere accurati Dati Personali del Cliente. Qualora Grouper o un responsabile del trattamento venga a conoscenza che i dati sono inaccurati o obsoleti in circostanze che richiedono un'azione, Grouper collaborerà con il Cliente per rettificare o cancellare i dati in conformità alle istruzioni documentate e alla normativa applicabile sulla protezione dei dati.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
Alcune funzionalità BambooHR possono utilizzare intelligenza artificiale o apprendimento automatico. La funzionalità AI è facoltativa quando identificata come tale e può essere soggetta a termini di IA separati BambooHR.
I materiali attuali del servizio AI di BambooHR identificano fornitori AI terzi tra cui OpenAI, Cohere e Anthropic/Claude, e i materiali attuali dei subfornitori possono identificare ulteriori fornitori di AI o di elaborazione documentale (come LlamaIndex) a seconda della configurazione delle funzionalità.
Customers remain responsible for:
- valutare se l'uso dell'IA sia appropriato per la loro organizzazione;
- stabilire una base legale;
- fornire trasparenza richiesta ai soggetti interessati;
- ottenere il consenso dove necessario;
- attuare una supervisione umana sufficiente;
- valutare rischi di bias e di equità; e
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
Qualora BambooHR utilizzi Dati del Cliente, Input o Output per affinare o addestrare un modello specifico del cliente, i relativi termini IA BambooHR prevedono che tale uso sia finalizzato a fornire le funzionalità AI a quel Cliente e che il modello addestrato dal cliente non venga utilizzato in altro modo per fornire servizi ad altri clienti.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
L'accesso programmatico deve utilizzare metodi di autenticazione supportati e non deve esporre Dati del Cliente o credenziali a soggetti non autorizzati.
Le integrazioni non devono utilizzare Dati del Cliente oltre lo scopo documentato e autorizzato.
Dove un fornitore di integrazione Tratta Dati Personali per conto del Cliente o Grouper, devono applicarsi termini di responsabile o sub-responsabile adeguati e salvaguardie di trasferimento.
Qualora Grouper agisca come Titolare nelle proprie attività aziendali, possiamo trattare informazioni di contatto commerciale relative a:
- potenziali clienti;
- contatti dei clienti;
- fornitori;
- partner;
- consulenti professionisti;
- partecipanti agli eventi;
- visiteditori del sito web; e
- individui che contattano Grouper.
Le informazioni possono includere nome, organizzazione, ruolo, dettagli di contatto aziendali, comunicazioni, informazioni di richiesta, indirizzo IP, dati del browser e del dispositivo, pagine visitate e dati tecnici simili.
Trattiamo tali informazioni per rispondere alle richieste, gestire le relazioni, fornire i servizi richiesti, mantenere la sicurezza, adempiere ai contratti, rispettare la legge e, dove consentito, inviare comunicazioni commerciali rilevanti. I destinatari possono revocare il consenso al direct marketing in qualsiasi momento. Comunicazioni operative, contrattuali, di sicurezza e di servizio al cliente non sono marketing.
I siti web possono utilizzare cookie essenziali, funzionali e analitici e tecnologie simili. Dove richiesto dalla legge, i cookie non essenziali verranno utilizzati solo dopo un adeguato consenso e agli utenti saranno forniti controlli per gestire le preferenze.
Grouper seeks to embed privacy into service design and operations. This includes:
- Opzioni di residenza dei dati europei;
- minimizzazione dei dati;
- accesso con privilegi minimi;
- autenticazione appropriata;
- crittografia;
- registrazione degli accessi;
- permessi basati sui ruoli;
- trasmissione sicura;
- Controlli del sub-responsabile;
- controlli di ritenzione;
- processi di risposta agli incidenti;
- formazione su privacy e sicurezza;
- test di sicurezza;
- supporto DPIA; e
- responsabilità documentata.
Grouper manterrà registri e misure di governance adeguati al proprio ruolo e collaborerà in buona fede con Clienti, Interessati e autorità supervisorie competenti.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
Nel caso in cui Grouper Tratti Dati Personali del Cliente come Titolare, la Parte B e l'accordo con il Cliente applicabile governano la relazione contrattuale di Trattamento. In caso di incoerenza riguardo ai Dati Personali del Cliente, segue l'ordine di precedenza: legge applicabile sui dati obbligatoria; SCC applicabili, Addendum UK o altro meccanismo di trasferimento obbligatorio; l'Accordo sul Trattamento dei Dati; disposizioni di protezione dei dati dell'Accordo; e il resto dell'Accordo.
La proposizione europea di Grouper per BambooHR si basa su tre principi:
Residenza dei dati europea.
I Dati Personali del Cliente sono ospitati e conservati all'interno dell'EEA, con hosting principale in Irlanda tramite Amazon Web Services (AWS).
Standard europei sulla privacy.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
Servizio e supporto europei.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
Il nostro obiettivo è consentire alle organizzazioni di utilizzare BambooHR mantenendo privacy, governance e standard di residenza dei dati attesi dai clienti europei.
Le domande relative a questa Privacy Policy, alle attività di Elaborazione di Grouper, ai diritti dell’Interessato, alla sicurezza o ai nostri accordi di residenza dei dati europei possono essere presentate tramite i canali designati per la privacy o l’assistenza clienti di Grouper.
Grouper Technology Limited può essere contattata anche al 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Irlanda.
Quando i Dati Personali in questione sono contenuti nell’account BambooHR di un datore di lavoro, gli individui dovrebbero normalmente contattare prima quel datore di lavoro, poiché quella organizzazione sarà generalmente il Titolare responsabile della determinazione di come le informazioni vengono utilizzate.
Questo Accordo sul trattamento dei dati (“DPA”) fa parte dell’accordo, del modulo d’ordine, della dichiarazione di lavoro o di altro contratto che regolamenta la fornitura dei servizi Grouper relativi a BambooHR tra il Cliente e Grouper Technology Limited.
Nell’offrire i Servizi, Grouper può Elaborare Dati Personali del Cliente per conto del Cliente. Il presente DPA stabilisce gli obblighi rispettivi delle Parti per tale Elaborazione.
Questo DPA si applica nella misura in cui Grouper Tratta Dati Personali del Cliente per conto del Cliente e tale Trattamento è soggetto alla normativa applicabile sulla protezione dei dati. Esso integra e fa parte dell'Accordo; i termini in maiuscolo non definiti qui hanno il significato conferito nell'Accordo.
Per questo DPA:
Dati Personali del Cliente
Dati Personali controllati da un Cliente o da un'Affiliata del Cliente e Processati da Grouper in relazione ai Servizi.
Trasferimento Ristrett o Transfer
Un trasferimento di Dati Personali che richiede un meccanismo di trasferimento legale ai sensi della normativa sulla protezione dei dati.
Clausole contrattuali standard (SCCs)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
Un terzo nominato da o per conto di Grouper per Processare Dati Personali del Cliente.
Fornitore tecnologico
BambooHR LLC e, ove applicabile, entità BambooHR collegate che forniscono la piattaforma HRIS sottostante.
Salvo diverso accordo scritto, il Cliente agisce come Titolare e Grouper agisce come Titolare. Qualora il Cliente agisca come Responsabile per un altro Contitolare, Grouper agisce come Sub-responsabile nella misura applicabile.
Grouper tratterà i Dati Personali del Cliente solo su istruzioni documentate del Cliente e solo nella misura necessaria per fornire, mantenere, garantire e supportare i Servizi, salvo quanto richiesto dalla legge per trattare i dati.
Grouper informerà prontamente il Cliente se, a suo parere ragionevole, un'istruzione viola la normativa sulla protezione dei dati applicabile e potrebbe sospendere il relativo Trattamento in attesa della risoluzione.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper si assicurerà che le Persone Autorizzate siano soggette ad adeguate obbligazioni di riservatezza, accettino di accedere ai Dati Personali del Cliente solo dove ragionevolmente necessario, ricevano adeguata formazione sulla privacy e sulla sicurezza e trattino i Dati Personali del Cliente solo in conformità con questo DPA e le istruzioni documentate del Cliente. L'accesso sarà limitato secondo i principi di minimo privilegio e necessità di conoscere.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
I domini di controllo minimi sono descritti nell'Allegato 2. Grouper può aggiornare tali misure purché le modifiche non diminuiscano materialmente il livello complessivo di protezione offerto ai Dati Personali del Cliente.
Grouper informerà il Cliente non appena ragionevolmente praticabile e, laddove si applichi l'impegno contrattuale di 48 ore, non oltre 48 ore dall'acquisizione della conoscenza di un incidente di sicurezza effettivo o sospetto che influenzi i Dati Personali del Cliente.
Le informazioni possono essere fornite in fasi man mano che diventano disponibili. Grouper fornirà la cooperazione ragionevole necessaria per consentire al Cliente di adempiere agli obblighi di notifica alle autorità di vigilanza e ai soggetti interessati.
Il Cliente concede a Grouper l'autorizzazione scritta generale per coinvolgere Sub-processori necessari a fornire i Servizi.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
Dove si applica il DPA sottostante BambooHR, BambooHR attualmente prevede almeno 30 giorni di preavviso scritto per un nuovo Subappaltatore che elaborerà Dati Personali del Cliente.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Se Grouper riceve una richiesta diretta riguardante i Dati Personali del Cliente, Grouper informerà prontamente o notificherà al Cliente e non risponderà sostanzialmente se non su istruzioni documentate o laddove richiesto dalla legge.
Grouper fornirà un'assistenza ragionevole, tenendo conto della natura del Trattamento e delle informazioni disponibili, con Valutazioni d'Impatto sulla Protezione dei Dati, consultazione preventiva con le autorità di vigilanza e richieste ragionevoli o indagini da parte di un'autorità di vigilanza competente relative ai Servizi.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
Nella misura consentita dalla legge, Grouper esaminerà richieste pubbliche vincolanti da parte di autorità competenti per Dati Personali del Cliente, contesterà richieste illegali o sproporzionate ove vi siano motivi ragionevoli, cercherà di limitare la divulgazione al minimo legalmente richiesto, notificherà al Cliente dove consentito dalla legge e manterrà registri adeguati.
Su richiesta del Cliente, o al termine o scadenza dei Servizi, Grouper, a scelta del Cliente e soggetto alla fattibilità tecnica e all’Accordo, restituirà o eliminerà in modo sicuro i Dati Personali del Cliente e richiederà ai Subprocessori rilevanti di fare lo stesso. Dove la legge richiede la conservazione, Grouper isolerà e proteggerà i dati conservati e li elaborerà solo quando legalmente richiesto.
Il Cliente garantisce di possedere diritti, permessi, notifiche, basi legali e consensi necessari per fornire Dati Personali del Cliente per il Trattamento; che le sue istruzioni rispettano la normativa applicabile sulla protezione dei dati; che non istruirà un Trattamento illecito; e che configurerà e userà i Servizi in modo sicuro e manterrà controlli adeguati su account utente, credenziali e integrazioni.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
Questo DPA entra in vigore quando il Cliente diventa vincolato da esso e continua per tutto il tempo in cui Grouper Processa Dati Personali del Cliente per conto del Cliente. Le obbligazioni che per loro natura o secondo la legge devono continuare mentre i dati sono conservati sopravvivono alla scadenza o al termine.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
In caso di incoerenza riguardante Dati Personali del Cliente, segue l'ordine di precedenza: legge applicabile sui dati obbligatoria; SCC applicabili, Addendum UK o altro meccanismo di trasferimento obbligatorio; questo DPA; disposizioni di protezione dei dati dell'Accordo; e il resto dell'Accordo.
Contitolare / Esportatore di Dati
The Customer identified in the applicable Agreement or Order Form.
Responsabile / Importatore di Dati
Grouper Technology Limited, 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Irlanda.
Fornitore tecnologico
BambooHR LLC e le entità BambooHR applicabili che forniscono la piattaforma HRIS sottostante.
Oggetto
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
Natura del trattamento
Raccolta, ricezione, registrazione, organizzazione, strutturazione, migrazione, hosting, archiviazione, recupero, consultazione, utilizzo, trasmissione, messa a disposizione, restrizione, accesso di supporto, cancellazione e altri Trattamenti ragionevolmente necessari per fornire i Servizi.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
Per la durata dei Servizi e per qualsiasi periodo successivo necessario a restituire o cancellare i Dati Personali del Cliente o conformarsi alla legge.
Interessati
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
Dati Personali
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
Dati Sensibili
Qualora selezionato dal Cliente, può includere informazioni su salute e disabilità e altri dati di categoria speciale o sensibili consentiti dai Servizi.
Storage Principale Europeo
Irlanda/EEA tramite Amazon Web Services (AWS) per Clienti che acquistano il servizio di residenza europea dei dati.
Autorità di vigilanza competente
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper mantiene misure tecniche e organizzative nei seguenti domini di controllo minimi:
1. Governance della Sicurezza delle Informazioni
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. Sicurezza del Personale
Obblighi di riservatezza, selezione adeguata del personale ove lecito, sensibilizzazione alla sicurezza e formazione sulla privacy, e controlli disciplinari per accessi non autorizzati.
3. Sicurezza Fisica
Accesso ristretto agli impianti e infrastrutture rilevanti; percorsi di accesso controllati; autorizzazioni di accesso; monitoraggio fisico e altre salvaguardie adeguate all'ambiente di hosting.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. Controllo degli Accessi ai Dati
Controlli progettati affinché gli utenti autorizzati possano accedere solo ai dati nelle loro autorizzazioni; registrazione e monitoraggio degli accessi; rilascio dei dati solo a persone autorizzate.
6. Crittografia e Pseudonimizzazione
Crittografia adeguata dei Dati Personali in transito e a riposo; pseudonimizzazione dove opportuno rispetto allo scopo del trattamento.
7. Sicurezza di rete e trasmissione
Firewall, gateway protetti, canali di comunicazione sicuri, TLS/SFTP o meccanismi di trasferimento protetti equivalenti, e controlli contro intercettazioni o alterazioni non autorizzate.
8. Registrazione e Monitoraggio
Registrazione di attività di sistema rilevanti, attività amministrative e di accesso; monitoraggio di eventi sospetti; conservazione delle informazioni di audit in base al rischio.
9. Controllo Input e Cambiamenti
Controlli per identificare chi ha inserito, modificato o cancellato dati; autenticazione di utenti e sistemi autorizzati; pratiche documentate di gestione delle modifiche.
10. Vulnerabilità e Test di Sicurezza
Processi per identificare, valutare e rimediare alle vulnerabilità; test di penetrazione o di sicurezza periodici; valutazione e verifica regolari dell'efficacia dei controlli.
11. Disponibilità, Backup e Recupero
Ridondanza infrastrutturale, backup, capacità di ripristino, controlli di disponibilità e protezione contro perdita o distruzione accidentale.
12. Continuità Aziendale e Recupero in caso di Disastro
Piani di continuità e ripristino documentati progettati per ripristinare disponibilità e accesso in tempi opportuni dopo una interruzione o un Security Incident.
13. Separazione dei dati
Separazione logica o a livello applicativo tra clienti e tra scopi di trattamento; controlli progettati per prevenire l'accesso cross-cliente non autorizzato.
14. Sviluppo sicuro
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
Diligenza dovuta, obblighi scritti di protezione dei dati, revisione della sicurezza, salvaguardie di trasferimento e supervisione continua appropriate al trattamento.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
Trasferimenti Restritti UE
Quando sono richiesti gli SCC UE, gli SCC ufficiali della Commissione europea sono incorporati per riferimento senza alcuna modifica al testo obbligatorio. Salvo diverso necessario dai ruoli, il Cliente è l'Esportatore dei Dati, Grouper e/o il fornitore di tecnologia applicabile è l'Importatore dei Dati, e il Modulo Due si applica ai trasferimenti Controller-to-Processor.
Trasferimenti Restritti UK
Per trasferimenti soggetti al Diritto Britannico sulla Protezione dei Dati, le SCC dell'UE si applicano insieme all'Addendum UK International Data Transfer o ad altro meccanismo di trasferimento legalmente riconosciuto nel Regno Unito.
Trasferimenti svizzeri
Per i trasferimenti soggetti alla legge sulla protezione dei dati svizzera, gli SCC saranno interpretati e adattati come richiesto dalla legge svizzera applicabile, inclusi riferimenti appropriati all'autorità di vigilanza svizzera e ai soggetti di dati svizzeri.
UE-USA Framework di protezione della privacy dei dati
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
Scenari di accesso eccezionale per i clienti europei
L'accesso eccezionale autorizzato non-EAA può avvenire solo nelle seguenti circostanze:
- un'emergenza che riguarda l'ambiente del data-centre irlandese o la continuità del servizio;
- una richiesta di supporto o manutenzione che richiede accesso specializzato autorizzato all'esterno dell'EEA, soggetta all'approvazione del Cliente o all'autorizzazione contrattuale; e
- una richiesta verificata del Cliente per il Processing o l'hosting al di fuori della regione europea.
I fornitori precisi utilizzati variano a seconda del prodotto, della funzione, del percorso di supporto e della configurazione del Cliente. L'attuale registro subprocessor attivo gestito da Grouper e/o BambooHR è quello in vigore per la fornitura di servizi attiva.
I seguenti fornitori chiave sono stati identificati nei materiali di governance del servizio. Un fornitore elencato qui non è necessariamente un Processore di Dati Personali del Cliente per ogni Cliente o per ogni implementazione.
BambooHR LLC
Fornitore tecnologico; manutenzione HRIS, hosting e supporto. Località: Stati Uniti / regioni di servizio inclusa l'Europa.
Amazon Web Services (AWS)
Infrastruttura di hosting cloud primaria; hosting regionale europeo in Irlanda. Località: Irlanda / Europa e altre regioni a seconda della configurazione del servizio.
Anthropic / Claude
Elaborazione AI / modelli linguistici. Località: Stati Uniti.
Cohere
API modello linguistico / elaborazione AI. Località: Stati Uniti.
OpenAI
API modello linguistico / elaborazione AI. Località: Stati Uniti.
LlamaIndex / LlamaParse
Analisi documenti opzionale associata alle funzionalità AI. Località: Stati Uniti.
Atlas MongoDB
Archiviazione dati a supporto dei servizi selezionati / funzionalità correlate all'IA. Località: Stati Uniti.
Gainsight
Servizi di relazione con il cliente / CRM.
Salesforce
Piattaforma CRM.
Cloudflare
Firewall web / sicurezza.
Datadog
Monitoraggio infrastruttura e applicazioni.
Microsoft / Google Workspace
Collaborazione, comunicazione e archiviazione documenti a seconda dell'attuale configurazione.
Mailgun
Comunicazioni applicative.
Snowflake
Analisi dati.
Twilio
MFA / consegna SMS.
Fornitori aggiuntivi
I fornitori aggiuntivi identificati nei materiali di servizio attuali possono includere Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike e altri. I Client devono fare riferimento all’elenco live dei subcontractor di BambooHR e alle informazioni correnti sui subprocessor di Grouper per i dettagli più aggiornati.
1. Ambito
Questo Allegato si applica quando il Cliente abilita o utilizza funzionalità di intelligenza artificiale o apprendimento automatico BambooHR in relazione ai Servizi supportati da Grouper.
2. Fornitori AI
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. Input e Output
Prompt, istruzioni o dati forniti dal Cliente per le funzionalità di IA possono costituire “Input” e le risposte generate possono costituire “Output”. A seconda della funzione, Input o Output possono includere Dati del Cliente. Gli Output potrebbero non essere unici e possono essere simili agli Output prodotti per altri utenti.
4. Responsabilità del Cliente e Supervisione Umana
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. Restrizioni su Dati Sensibili e Regolamentati
Dove vietato dai termini AI applicabili, il Cliente non deve inviare informazioni sensibili o regolamentate alle funzioni AI, inclusi dati sanitari, genetici o biometrici, numeri di identificazione rilasciati dalle autorità, o informazioni finanziarie personali o di conto bancario. I Clienti dovrebbero minimizzare i Dati Personali nei prompt.
6. Esattezza, Bias e Lealtà
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
Quando i termini AI BambooHR applicabili consentono l'uso di Dati di Prestazione e Feedback per migliorare la funzionalità AI, tale uso è disciplinato da tali termini. Quando i Dati del Cliente sono utilizzati per affinare un modello specifico del cliente, il modello risultante è usato per fornire funzionalità AI a quel Cliente e non è altrimenti utilizzato per fornire servizi ad altri clienti.
8. Elaborazione Internazionale
I fornitori di IA possono Elaborare Input autorizzati o dati personali correlati al di fuori dello SEE. Tale Elaborazione è soggetta alle salvaguardie di trasferimento in questo DPA e non altera la collocazione della regione di archiviazione HRIS core contrattata dal Cliente. I Client devono valutare se l’uso opzionale di IA è coerente con la propria residenza, modello di comitati aziendali, diritto del lavoro e requisiti di rischio prima di abilitarlo.
Hai domande su questa Informativa sulla Privacy o sui tuoi diritti sui dati?
Contattaci
