Legal
プライバシーポリシー | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
最終更新日: 2026年8月16日
Grouper は個人データの保護と高水準のプライバシー、セキュリティ、規制遵守を維持することを約束します。データ保護はコアな運用・契約上の責任として扱われ、後付けではありません。サービス提供、アクセス制御、サポートプロセス、ベンダー・ガバナンスを、GDPR の責任、整合性、機密性、透明性の原則を反映して設計します。
このプライバシーポリシーはGrouper Technology Limited（“Grouper”、“私たち”または“私たちの”）が、当社が提供するサービスに関連して個人データを収集・利用・アクセス・ホスト・保存・保護・転送およびその他の処理を行う方法を説明します。これはBambooHRの欧州パートナーとしての役割を含みます。
Grouper は、アイルランド、英国、欧州、他地域の組織に対し、BambooHR HRIS プラットフォームおよび関連HRテクノロジーの導入・運用・活用をサポートします。
私たちの欧州サービスモデルは、欧州データ所在の明確な原則に基づいて設計されています。Grouperの欧州BambooHRサービスを通じて取り扱われる顧客の個人データは、欧州経済領域（“EEA”）内にホストおよび保存され、主なホスティングはアイルランドで行われます。
このプライバシーポリシーは、以下に関連して処理される個人データに適用されます：
- BambooHR の実装とオンボーディング;
- HRIS設定;
- アカウント管理;
- カスタマーサポート;
- テクニカルサポート;
- 統合サポート;
- データ移行;
- カスタマーサクセス;
- トレーニング;
- プロフェッショナルサービス;
- セキュリティとサービス管理;
- 顧客コミュニケーション;
- セールスとデモ;
- Grouper ウェブサイトおよびデジタルサービス; および
- 私たちの一般的な事業活動。
Grouper Technology Limited は、登記上の所在地を 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland に置くアイルランド企業です。
BambooHRは、基盤となる人事情報システムおよび関連製品機能を提供します。Grouperは、欧州での実装、移行、構成、トレーニング、顧客成功、サポート、サービス管理および関連する専門サービスを提供します。顧客のサブスクリプションと構成に応じて、BambooHR HRISプラットフォームは従業員データ、オンボーディング、採用、勤怠、休暇管理、パフォーマンス、報酬、福利厚生、給与関連機能、レポーティング、分析、統合、APIおよび人工知能機能をサポートする場合があります。
顧客が購入するサービスの内容に応じて、Grouper は以下を提供する場合があります：
- BambooHR の実装;
- onboarding;
- 設定;
- アカウント設定;
- 移行支援;
- 統合サービス;
- テクニカルサポート;
- HRIS サポート;
- トレーニング;
- カスタマーサクセスサービス;
- サービス管理;
- トラブルシューティング; および
- 関連するプロフェッショナルサービス。
Grouper の正確なデータ保護役割は、特定の処理活動に依存します。
Grouper が処理の目的と手段を決定する場合 — 例として特定のウェブサイト、販売、ビジネス連絡先、セキュリティまたは企業運用活動において — Grouper はコントローラーとして機能します。
Grouper が顧客の個人データを顧客のためにのみ、かつその顧客の文書化された指示に従って処理する場合、Grouper は処理事業者として機能します。
顧客自身が他のコントローラの処理者として機能する場合、Grouper は適用される範囲でサブ処理者として機能することがあります。
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 コア欧州居住義務
EEAデータ居住性を伴う Grouper の欧州 BambooHR サービスを購入する顧客において、コアHRIS本番環境の一部を構成する顧客個人データはEEA内にホストされ、保存され、主なホスティング場所はアイルランドになります。
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 保存とアクセスの区別
データ所在は、顧客の個人データがどこに保管されているかを示します。これが、他国から正規のサポートや技術アクセスが一切発生しないことを意味するわけではありません。
EEA外からの特別アクセスは、必要性があり、許可され、法的に保護されている場合に限り発生することがあります。これは本方針の第17条および第18条に記載されています。
4.3 バックアップ、レジリエンスおよび災害復旧
バックアップ、レジリエンス、災害復旧の体制は、機密性・完全性・可用性を保持することを目的とし、顧客の契約上の地域ホスティングコミットメントと整合性を保つように設計されています。
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 EEA外への定常的な移転は行われません
Grouper はヨーロッパの顧客個人データの定常的な移転の機構として特別サポートアクセスを使用しません。
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
“適用データ保護法”とは、処理に適用される全てのデータ保護、プライバシーおよびデータセキュリティ法規制を指し、該当する場合には次のものを含みます：
- 規則（EU）2016/679 — 一般データ保護規則（GDPR）;
- アイルランドのデータ保護法2018年第1条
- アイルランドの適用されるePrivacyおよび電子通信規則；
- 該当する場合、英国の GDPR および英国データ保護法2018（Data Protection Act 2018）;
- 適用されるスイスのデータ保護法（該当する場合）;
- 欧州の個人情報保護要件を実施する国内法が適用される場合; および
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
処理される情報は、顧客が選択したサービスおよび顧客がHR環境に配置するデータによって異なります。
6.1 Employee and Workforce Information
個人データには含まれる可能性があるもの：
- 氏名と従業員識別番号；
- 提供される写真;
- 自宅または職場の連絡先情報;
- 生年月日、性別および提供された場合の人口統計情報;
- 婚姻状況または家族情報（提供される場合）;
- 緊急連絡先と電話番号;
- 学歴および職業上の資格;
- CVまたは履歴書情報、雇用履歴、言語能力；
- 職位、等級、部門、勤務地、報告ラインおよびチーム所属;
- 雇用開始日・終了日、勤務時間および契約条件;
- 業績、評価、懲戒および職歴情報;
- 福利厚生、保険、会社資産およびトレーニング情報; および
- 休暇、出勤状況および休職情報。
6.2 給与および報酬情報
関連するサービスが使用される場合、個人データには以下が含まれることがあります：
- 給与、報酬およびボーナス;
- 税金および社会保険情報;
- 銀行および支払い情報;
- 年金情報;
- 株式オプションその他の福利厚生; および
- その他の給与計算関連情報。
6.3 採用、候補者および推薦者情報
For candidates, prospective employees and referees, information may include:
- 身元情報と連絡先の詳細;
- CV、履歴書、雇用履歴および資格情報；
- 応募、面接および採用記録;
- 候補者コミュニケーションおよび採用状況;
- 提案された報酬情報;
- 推薦者の名前、連絡先情報および専門的関係;
- リファレンスに含まれる情報。
6.4 特別カテゴリおよび機微データ
BambooHR HRIS プラットフォームの顧客の使用状況次第で、サービスには健康情報または障害情報、その他の特別カテゴリーまたは機微な個人データが含まれる場合があります。
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
顧客は、必要かつ法的に許可され、関連製品条項で許可されている場合を除き、自由記述フィールドやAI機能に機微情報を入力してはなりません。
Grouper のサービスに関連して処理される個人データは、以下に関連することがあります：
- 現任、元従業員、見込み顧客および将来の従業員;
- 候補者および応募者;
- 契約者、コンサルタント、代理人および独立請負人;
- エージェンシー、派遣および臨時労働者;
- インターンおよびボランティア;
- 従業員の扶養家族、受益者および緊急連絡先;
- 推薦人および参照提供者;
- 顧客管理者および承認済みユーザー; および
- 顧客がサービスに提出する他の個人データを含むその他の個人
個人データは以下から取得される場合があります：
- 個人から直接;
- 個人の雇用主または将来の雇用主からの情報；
- 顧客管理者および承認済みユーザーから;
- 導入、設定およびデータ移行中;
- 認可された統合またはAPIを通じて;
- サポート要求およびトラブルシューティングを通じて;
- BambooHR HRIS プラットフォームまたは顧客が選択した他のシステムを通じて;
- 採用プロセスを通じて;
- 法的に使用が許可されている公開情報から; および
- 顧客が許可する他の正当な情報源から。
Grouper は個人データを指定された正当な目的のためのみに処理します。これには以下が含まれることがあります：
- BambooHR HRIS プラットフォームの実装と設定;
- 顧客個人データのホスティングまたはホスティングの促進;
- アカウントおよびユーザー権限の管理;
- サービスの維持と保護;
- 顧客および技術サポートの提供;
- 統合および移行のサポート;
- トレーニングおよびプロフェッショナルサービスの提供;
- サブスクリプションと顧客関係の管理;
- セキュリティイベントの検知と調査;
- 監査記録の維持;
- 詐欺や不正の防止;
- 法的義務の遵守; および
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
サポート担当者が顧客の個人データへアクセスする場合、アクセスはサポート目的に合理的に必要な最小情報に制限され、機密保持およびアクセス制御の対象となる承認済み担当者が実施する必要があります。
Grouper がコントローラとして行為する場合、適用される法的根拠には以下が含まれる場合があります：
10.1 契約
個人の要求に応じて契約を締結・履行するため、または個人の要求によって契約前に行うべき手順のための処理。
10.2 合法的な利益
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- サービス提供;
- 顧客管理;
- 情報セキュリティ;
- 不正防止;
- 事業継続;
- 顧客サポート; および
- relationship management.
10.3 法的義務
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 同意
適切な場合、処理は同意に基づくことがあります。撤回はいつでも可能であり、撤回前に実行された処理の合法性には影響しません。
顧客がコントローラとして機能する場合、顧客は以下の責任を負います：
- 個人データが処理される目的の決定;
- 法的根拠と特別分類条件の確立;
- 必要なプライバシー通知の提供;
- 必要に応じて同意の取得;
- データの正確性と品質の確保;
- 適切な保持期間の決定;
- 承認済みユーザーおよび権限の管理;
- サービスを安全に使用すること; および
- Grouper への指示が合法であることを保証すること。
顧客は Grouper に個人データを処理させる指示が適用データ保護法に違反する方法であると判断した場合、通知します。
Grouper は、指示が適用データ保護法に違反していると合理的に判断した場合、問題が解決されるまで影響を受けた処理を一時停止することがあります。
Grouper は顧客個人データへのアクセスを、職務遂行上合理的に必要な承認された人员に限定します。人員は適切な機密保持義務を受け、役割に適したプライバシーおよびセキュリティ教育を受けます。アクセスは最小権限原則および知る必要性原則に基づき管理されます。
アクセス制御には以下が含まれます：
- 身元確認および認証制御;
- 役割ベースおよび特樈的アクセス制御;
- 管理者アカウントの制御;
- アカウントライフサイクル管理;
- アクセスログ記録と監視;
- 定期的なアクセス審査;
- 機密性と適切な使用要件; および
- 適切な人員のセキュリティと訓練。
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
対策には次のものが含まれます：
- 物理的および論理的アクセス制御;
- 強力な認証と適切なパスワード管理;
- 適切な場合には転送中および静止時の暗号化;
- 適切な場合には仮名化;
- ネットワークファイアウォール、境界セキュリティおよび侵入検知;
- ログ記録、監視および監査証跡;
- 脆弱性管理とセキュリティテスト;
- 制限付き管理アクセス;
- 保護された転送チャネルを含む安全な送信;
- バックアップ、冗長性、回復およびレジリエンス;
- 事業継続性および災害復旧計画;
- 安全な開発と変更管理;
- 顧客と処理目的とのデータ分離;
- インシデント対応手順;
- 従業員のセキュリティ認識と訓練; および
- サブプロセッサのデューデリジェンスとセキュリティガバナンス。
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
Grouper が処理者として顧客個人データに影響を及ぼす実際のまたは疑われる個人データ侵害を認識した場合、Grouper は関連する顧客へできるだけ迅速な方法で通知し、いかなる場合でも事案を認識してから48時間以内に通知します。
合理的に入手可能な範囲で、通知には以下を含みます：
- 事案の性質;
- 影響を受けた個人データのカテゴリ;
- データ主体およびレコードの概算カテゴリと数;
- おそらく生じ得る結果;
- 実施済みまたは提案された措置;
- 緩和策;
- 追加情報の連絡窓口。
利用可能となる段階で情報が提供されることがあります。
Grouper は顧客が適用される規制およびデータ主体通知義務を満たすのを可能とする合理的な協力を提供します。
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper は、サービスを提供・ホスト・安全確保・サポート・監視または改善するために、慎重に選択されたサブプロセッサおよびサービス提供者を必要に応じて任命することがあります。
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
適用される顧客条項が一般的な書面による承認を提供する場合、顧客には重要な新しいサブプロセッサの事前通知と合理的なデータ保護の理由に基づく異議申立ての機会が与えられます。
BambooHR のサブプロセッサに対して、現行の BambooHR DPA は、顧客個人データを処理する新しいサブコントラクターを事前に通知する少なくとも 30 日を提供します。
スケジュール4は主要な提供者カテゴリと支配的なサービス資料で特定された提供者に関する透明性を提供します。
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
BambooHR の処理は、適用される契約上およびデータ保護条件、DPA、セキュリティ対策、サブプロセッサの取り決め、および国際転送の保護措置を含む規定に従います。
Grouper は、適用データ保護法および適用顧客契約に基づく自身の義務について依然として責任を負います。BambooHR が Grouper の欧州顧客環境を支援するために個人データを処理する場合、適用契約上の、セキュリティ上の、データ居住要件が適用されます。
Grouper の欧州サービスに対して、顧客データはEEA内に保存されるように設計されており、主要なホスティングはアイルランドの Amazon Web Services (AWS) 経由です。EEA 外部からの許可された処理またはリモートアクセスは、データがアイルランドに保持されていても制限転送となる場合があります。そのようなアクセスは、法的に正当で、必要であり、適切な保護措置によって保護されている場合にのみ許可されます。
例外的なシナリオの例には以下が含まれます：
- アイルランドのデータセンター環境またはサービス継続性に影響を及ぼす緊急事態;
- EEA 外部からの認可済み専門家アクセスを必要とするサポートまたは保守リクエスト；顧客の該当する承認または契約上の権限付与を条件とします；および
- 契約された欧州ホスティング地域外へデータを移転または処理する顧客の検証済み要求。
制限転送が発生する場合、Grouper および/または関連技術提供者は以下の法的認識メカニズムを使用します：
- 妥当性決定;
- 欧州委員会の標準契約条項;
- 適用される場合には英国国際データ転送補足条項;
- 法的に利用可能で適用される場合にはEU-USデータ保護フレームワークへの参加;
- 適用可能なデータ保護法の下で認められた別の有効な保護策、または
- 適用可能なデータ保護法の下で認められた別の有効な保護策。
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
そのような特別アクセスの取り決めにより、Grouper の欧州サービスにおける顧客データのEEA内保存というコミットメントは変更されません。
EU 標準契約条項が必要とされる場合、それらは公式に承認された形式で改変なく組み込まれます。コントローラーからプロセッサーへの移転の場合、当事者の役割によって別のモジュールが求められない限り、通常はモジュール二が適用されます。
アイルランドを適用されるEU準拠法および裁判地として選択した場合、当事者は適用SCC付属書に規定されたアイルランドの裁判所に同意します。
英国データ保護法の対象となる転送には、EU SCCs が適用され、当時有効な英国国際データ転送補足条項または他の法的に認められた英国転送機構とともに適用されます。
Supplementary measures may include:
- 暗号化;
- アクセス制限;
- 鍵管理コントロール;
- 最小化;
- ログ記録;
- 転送先に関する契約上の制限;
- 政府機関からの要請の審査手続き;
- 透明性の措置; および
- 適切な保護レベルが確保できない場合の転送の停止または終了。
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
正当な根拠と法的根拠がある場合には、不法または過度に広範な要請は異議を申し立てます。
開示は法的に必要とされる最小限に限定されます。
法的に許可されている範囲で、顧客に通知されます。通知が禁止されている場合には、適切な通知を提供する許可を得るための合理的な努力が行われます。
要請と応答の記録は、法令および適用される移転メカニズムに従って維持されます。
Depending upon Applicable Data Protection Law, individuals may have rights including:
- アクセス;
- 修正;
- 抹消;
- 処理の制限;
- データの可搬性;
- 異議申立て;
- 同意の撤回;
- 自動化された意思決定およびプロファイリングに関する権利; および
- the right to complain to a competent supervisory authority.
Grouper が処理者として機能する場合、顧客の個人データに関するリクエストは通常、該当する顧客（コントローラー）に向けられます。Grouper が直接そのようなリクエストを受け取った場合、法的に禁止されていなければ、Grouper はリクエストを顧客に付して通知し、文書化された顧客の指示または法令により要求される場合を除き、実質的な回答を行いません。Grouper は顧客がその義務を履行できるよう合理的な支援を提供します。
処理の性質と Grouper に利用可能な情報を考慮して、Grouper はデータ保護影響評価および、必要に応じて有能な監督機関との事前協議に対して合理的な支援を提供します。
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- セキュリティ文書;
- 方針;
- 遵守情報;
- 監査情報;
- 独立保証報告書;
- 関連認証; および
- 合理的なセキュリティ質問票への回答。
法的または契約的に要求され、適切な文書証拠が不十分な場合、顧客は機密性・セキュリティ・他の顧客情報への干渉防止および保護を条件に、合理的な通知期間を設けて適用監査権を行使できます。セキュリティインシデント、規制要件、または重大な非準拏の合理的証拠が原因で要件となる場合を除き、正式な監査は原則として12か月あたり1回に制限されるべきです。顧客は一般に自社監査費用を負担しますが、法律または契約に別段の定めがある場合を除きます。
Grouper は関連する目的のため、または法令で要求される範囲内で、個人データを合理的に必要とされる期間のみ保持します。
Grouper が処理者として機能する場合、保持は主に次によって決定されます：
- 文書化された顧客の指示;
- 適用される顧客契約;
- サービスの期間;
- サポート要件;
- 法的義務; および
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
顧客は正確な顧客個人データを維持する責任があります。Grouper または処理者が、データが不正確または時代遅れであり、対応が求められる状況においてそれを認識した場合、Grouper は顧客と協力して、文書化された指示および適用データ保護法に従ってデータを修正または消去します。
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
特定の BambooHR 機能は人工知能または機械学習を使用する場合があります。AI 機能は、識別された場合には任意であり、別個の BambooHR AI 条項の対象となる場合があります。
現在の BambooHR AI サービス資料は、OpenAI、Cohere、Anthropic/Claude を含む第三者AI提供者を特定しており、現在の下請け資料には、機能構成次第で LlamaIndex などの追加AIまたは文書処理提供者が特定されることがあります。
Customers remain responsible for:
- 組織にとって AI の利用が適切かどうかを評価する
- 法的根拠を確立する;
- データ主体へ必要な透明性を提供する;
- 必要に応じて同意の取得;
- 十分な人間の監視を実装する;
- バイアスと公正性のリスクを評価する;
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
BambooHR が顧客データ、入力または出力を使用して顧客特化モデルを微調整または訓練する場合、適用される BambooHR AI 条項は、その使用がその顧客に対してAI機能を提供するためのものであり、顧客が訓練したモデルが他の顧客にサービスを提供するためには使用されないと規定します。
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
プログラムによるアクセスはサポートされている認証方法を用い、顧客データや認証情報を未承認の第三者に公開してはならない。
統合は、文書化され承認された目的を超えて顧客データを使用してはならない。
統合提供者が顧客または Grouper を代理して個人データを処理する場合、適切な処理者またはサブ処理者の条件および転送保護が適用される必要があります。
Grouper が自身の事業活動に関連してコントローラとして機能する場合、私たちは以下に関連するビジネス連絡先情報を処理することがあります：
- 見込み顧客;
- 顧客連絡先;
- サプライヤー;
- パートナー;
- 専門家アドバイザー;
- イベント出席者;
- ウェブサイト訪問者; および
- Grouper に連絡する個人。
情報には姓名、組織、役職、ビジネス連絡先の詳細、通信、問い合わせ情報、IPアドレス、ブラウザおよびデバイス情報、訪問したページ、類似の技術データが含まれる場合があります。
この情報を処理するのは、問い合わせへの対応、関係の管理、要求されたサービスの提供、セキュリティの維持、契約の履行、法令の遵守、適用がある場合には関連するビジネスコミュニケーションの送信を目的とします。受信者はいつでもダイレクトマーケティングの配信停止を選択できます。運用、契約、セキュリティ、カスタマーサポートの通信はマーケティングには該当しません。
ウェブサイトは必須、機能、分析クッキーおよび同様の技術を使用する場合があります。法的に必要とされる場合を除き、非必須クッキーは適切な同意の後にのみ使用され、ユーザーは嗜好を管理するためのコントロールを提供されます。
Grouper seeks to embed privacy into service design and operations. This includes:
- 欧州のデータ居住オプション；
- データ最小化；
- 最小特権アクセス；
- 適切な認証；
- 暗号化;
- アクセスログ記録；
- 役割ベースの権限；
- 安全な転送；
- サブプロセッサー管理；
- 保持管理；
- インシデント対応プロセス；
- プライバシーとセキュリティの教育訓練；
- セキュリティ評価の訓練;（DPIA）
- DPIA支援; および
- 文書化された説明責任。
Grouper は自らの役割に適した記録とガバナンス措置を維持し、顧客、データ主体および適格な監督機関と善意で協力します。
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
Grouper が顧客の個人データを処理者として処理する場合、パートBおよび該当する顧客契約が契約上の処理関係を規定します。顧客個人データに関する不一致が生じた場合、以下の優先順位が適用されます：必須の適用データ保護法；適用されるSCC、UK付録またはその他の必須転送機構；データ処理契約；契約の適用データ保護条項；そして契約の残りの部分。
Grouperの欧州BambooHR提案は、3つの原則を軸に構築されています：
欧州のデータ居住性。
顧客個人データはEEA内にホスト・保存され、主なホスティングはアイルランドを介してAmazon Web Services（AWS）によって行われます。
欧州のプライバシー基準。
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
欧州のサービスとサポート。
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
私たちの目的は、欧州のお客様が期待するプライバシー、統治、データ居住基準を維持しつつBambooHR の利用を可能にすることです。
本プライバシーポリシー、Grouperの処理活動、データ主体の権利、セキュリティ、欧州のデータ居住体制に関する質問は、Grouperの指定されたプライバシーまたは顧客サポート窓口を通じて提出できます。
Grouper Technology Limited へは、3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland からの連絡も可能です。
対象となる個人データが雇用主のBambooHRアカウント内に含まれている場合、個人は通常、まず雇用主に連絡すべきです。その組織は通常、情報の使用を決定する責任者であるコントローラーです。
このデータ処理契約（“DPA”）は、契約、注文書、作業指示書またはその他のGrouperのBambooHRに関連するサービス提供をCustomerとGrouper Technology Limitedとの間で規定する契約の一部を形成します。
サービスの提供において、GrouperはCustomerに代わってCustomer個人データを処理する場合があります。本DPAは、当該処理に関する当事者のそれぞれの義務を定めます。
本DPAは、Grouper が顧客の代理として顧客個人データを処理する範囲に適用され、該当する処理は適用データ保護法の対象です。契約の補足および本契約の一部を成します。ここに定義されていない大文字項目は契約における意味を有します。
この DPA のために：
顧客個人データ
サービスに関連してGrouper が顧客または顧客関連企業が管理・処理する個人データ。
制限付き転送
適用データ保護法の下で合法的な転送メカニズムを必要とする個人データの転送。
標準契約条項（SCCs）
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
Grouper によって顧客個人データを処理するために任命された第三者。
テクノロジー提供者
BambooHR LLC および該当する場合は、基盤となるHR技術プラットフォームを提供する関連BambooHR 組織。
書面で別途合意されていない限り、顧客はコントローラとして、Grouper は処理者として機能します。顧客が別のコントローラの処理者として行動する場合、Grouper はサブプロセッサとして適用範囲に応じて機能します。
Grouper は、文書化された顧客指示の下でのみ顧客個人データを処理し、サービスを提供、維持、保護、サポートするために必要な範囲でのみ処理します。適用法によりデータ処理が求められる場合を除きます。
Grouper は、合理的な意見として指示が適用データ保護法に違反する場合、影響を受ける処理を解決するまで保留する可能性があることを顧客に直ちに通知します。
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper は、承認された者が適切な機密保持義務を遵守し、顧客個人データに正当に必要な範囲でのみアクセスし、適切なプライバシーおよびセキュリティ訓練を受け、文書化された顧客指示に従って顧客個人データを処理します。アクセスは最小権限と必要性の原則に従って制限されます。
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
最小限の制御領域はスケジュール2に記載されています。Grouper は、顧客個人データの保護レベル全体を著しく低下させない範囲でこれらの対策を更新することができます。
Grouper は、合理的に実行可能な範囲で顧客に通知し、48時間の契約約束が適用される場合には、顧客個人データに影響を及ぼす実際のまたは疑わしいセキュリティインシデントを知って以降、遅くとも48時間以内に通知します。
情報は利用可能になり次第、段階的に提供される場合があります。Grouper は、監督機関および影響を受けるデータ主体への通知義務を顧客が遵守できるよう合理的な協力を提供します。
顧客は Grouper に、サービス提供に必要なサブプロセッサを利用する一般的な書面による権限を付与します。
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
基礎となるBambooHR DPAが適用される場合、BambooHRは現在、Customer個人データを処理する新しい下請け業者の事前通知を少なくとも30日提供します。
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Grouper が顧客個人データに直接関する要請を受けた場合、Grouper は直ちに顧客へ送達または通知し、文書化された指示または法令によってのみ実質的な回答を行います。
Grouper は、処理の性質と利用可能な情報を考慮した上で、データ保護影響評価、監督機関への事前協議、サービスに関連する適格監督機関による合理的な調査または調査の実施を合理的に支援します。
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
法令で認められる範囲で、Grouper は顧客個人データの公的機関の法的要請を検討し、不法または不適切な要請に対して正当な理由がある場合は異議を唱え、法的に要求される最小限の開示に限定し、顧客へ通知し、適切な記録を保持します。
顧客の要請、またはサービスの終了・満了時には、Grouperは顧客の選択と技術的実現可能性および契約条件に従い、顧客個人データを返却または安全に削除し、関連する下処理業者にも同様を要求します。法令で保持が必要な場合、Grouperは保持データを分離・保護し、法的に義務付けられた範囲でのみ処理します。
顧客は、処理のために顧客個人データを提供する権利、許可、通知、法的根拠および同意を有しており、指示が適用データ保護法に準拴していること、違法な処理を指示しないこと、サービスを安全に構成・使用し、ユーザーアカウント、資格情報および統合の適切な管理を維持することを保証します。
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
本DPAは顧客が拘束される時点で効力を生じ、Grouper が顧客の代理として顧客個人データを処理する限り継続します。データが保持される間は、性質上または法令により継続する義務は満了または終了後も存続します。
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
顧客個人データに関する不一致が生じた場合、以下の優先順位が適用されます：必須の適用データ保護法；適用SCC、UK付録または他の必須転送機構；本DPA；契約の適用データ保護条項；契約の残りの部分。
コントローラ/データエクスポーター
The Customer identified in the applicable Agreement or Order Form.
プロセッサー/データインポーター
Grouper Technology Limited、3rd Floor、22 Ely Place、Dublin、D02 AH73、アイルランド。
テクノロジー提供者
BambooHR LLC および基盤となるHRISプラットフォームを提供する適用BambooHR エンティティ。
対象物
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
処理の性質
収集、受領、記録、組織化、構造化、移行、ホスティング、保存、検索、照会、使用、送信、利用可能化、制限、サポートアクセス、削除およびサービス提供のために合理的に必要なその他の処理。
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
サービスの期間中およびその後、顧客個人データを返却または削除するため、法令遵守を確保するために必要な期間。
データ主体
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
個人データ
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
機微データ
顧客が選択した場合、健康情報や障害情報、サービスで許可される他の特別カテゴリまたは機微データを含むことがあります。
主な欧州保存
ヨーロッパのデータ居 residency サービスを購入する顧客向けの、アイルランド/EEA 経由のAWSによる保存。
適格な監督機関
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper は以下の最小制御領域にわたる技術的・組織的対策を維持します:
1. 情報セキュリティガバナンス
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. 人事セキュリティ
機密保持義務、法的に適切な役割別スクリーニング、セキュリティ意識とプライバシー訓練、不正アクセスに対する懲戒的対策。
3. 物理的セキュリティ
関連施設およびインフラへの制限されたアクセス；制御されたアクセス経路；アクセス承認；物理的監視およびホスティング環境に適したその他の保護措置。
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. データアクセス制御
権限を持つユーザーのみデータへアクセスできるように設計された制御、アクセスの記録と監視、承認された者へのデータ開示のみ。
6. 暗号化と擬似匿名化
転送中および保存時の個人データの適切な暗号化；処理目的に適した場合の擬似匿名化。
7. ネットワークと伝送セキュリティ
ファイアウォール、保護されたゲートウェイ、セキュアな通信チャネル、TLS/SFTPまたは同等の保護転送メカニズム、盗聴や改ざんを防ぐ対策。
8. ログ記録と監視
関連システム、管理およびアクセス活動のログ記録；疑わしいイベントの監視；リスクに適合した監査情報の保持。
9. 入力と変更管理
データの入力・変更・削除を行った人物の特定、認証されたユーザーとシステムの認証、文書化された変更管理の実践。
10. 脆弱性とセキュリティ検査
脆弱性を特定・評価・是正する手順、定期的な侵入テストまたはセキュリティ検証、対策の有効性の定期評価。
11. 可用性・バックアップ・復旧
インフラの冗長性、バックアップ、復旧能力、可用性の管理、および偶発的な喪失または破壊からの保護。
12. 事業継続性と災害復旧
中断またはセキュリティ事案の後、可用性とアクセスをタイムリーに回復させることを目的とした文書化された継続性および復旧計画。
13. データ分離
顧客間および処理目的間の論理的またはアプリケーションレベルの分離；不正な顧客間アクセスを防止するよう設計された統制。
14. セキュア開発
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
処理に適したデューデリジェンス、文書化されたデータ保護義務、セキュリティ審査、転送保護、継続的な監督。
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
EU 制限移転
EU SCCs が必要な場合、公式の欧州委員会の SCCs を変更なしに参照として組み込み、必須の文言を変更しない。役割が特に求められない限り、顧客はデータ輸出者であり、Grouper および/または適用されるテクノロジー・プロバイダーはデータ輸入者であり、セラーマルク２はコントローラーから処理者への移転に適用される。
UK 制限移転
英国データ保護法の対象となる転送には、EU SCCs が適用され、当時有効な英国国際データ転送補足条項または他の法的に認められた英国転送機構とともに適用されます。
スイス移転
スイスのデータ保護法の移転対象の場合、SCC は適用されるスイス法の下で適切に解釈・適用され、スイスの監督機関およびスイスのデータ主体への適切な言及を含む。
EU-US データプライバシーフレームワーク
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
欧州顧客に対する特殊なアクセスシナリオ
許可されたEEA以外の特例アクセスは、以下の状況でのみ発生することができます：
- アイルランドのデータセンター環境またはサービス継続性に影響を及ぼす緊急事態;
- a. 適用される顧客承認または契約認可を条件として、EEA 外での認可済みスペシャリストアクセスを要するサポートまたは保守リクエスト；および
- b. 欧州地域外での処理またはホスティングの検証済み顧客リクエスト。
正確なプロバイダーは製品、機能、サポート経路、顧客の設定によって異なります。Grouper および/または BambooHR が管理する現在のライブサブプロセッサ登録簿がアクティブなサービス提供を統括します。
以下の主要プロバイダーは統治サービス資料で特定されています。ここに挙げられたプロバイダーは、すべての顧客またはすべての導入で必ずしも顧客個人データを処理するわけではありません。
BambooHR LLC
テクノロジー・プロバイダー；HRIS の保守、ホスティング、サポート。所在地：米国／ヨーロッパを含むサービス地域。
Amazon Web Services (AWS)
主要なクラウドホスティング基盤；アイルランドにおける欧州地域ホスティング。所在地：アイルランド／ヨーロッパおよびサービス設定に応じた他地域。
Anthropic / Claude
AI / 言語モデル処理。所在地：米国。
Cohere
言語モデルAPI / AI処理。所在地：米国。
OpenAI
言語モデルAPI / AI処理。所在地：米国。
LlamaIndex / LlamaParse
AI機能に関連する任意の文書解析。所在地：米国。
アトラス MongoDB
選択されたサービス / AI関連機能を支えるデータ保管。所在地：米国。
Gainsight
顧客関係管理 / CRM サービス。
Salesforce
CRM プラットフォーム。
Cloudflare
Web アプリケーションファイアウォール / セキュリティ。
Datadog
インフラストラクチャおよびアプリケーションの監視。
Microsoft / Google Workspace
現在の設定に応じたコラボレーション、通信、文書ストレージ。
Mailgun
アプリケーション間の通信。
Snowflake
データ分析。
Twilio
MFA / SMS 配信。
追加プロバイダー
現在のサービス資料で特定されている追加の提供者には Celonis/Make、Databricks、Formstack、Jira、Netskope、Omni/Visier、Pendo、Rollbar、Slack、Tableau、OneTrust/TrustArc、Wrike などが含まれる場合があります。顧客は、最新のBambooHR下請け一覧およびGrouperの最新の下処理業者情報を参照して、最も新しい詳細を確認してください。
1. 範囲
このスケジュールは、顧客が BambooHR の人工知能または機械学習機能を Grouper 対応サービスと連携して有効化または使用する場合に適用されます。
2. AI プロバイダー
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. 入力と出力
AI機能に提供された顧客によるプロンプト、指示またはデータは“Inputs”に該当する場合があり、生成された回答は“Outputs”に該当する場合があります。機能に応じて、InputsまたはOutputsには顧客データが含まれる場合があります。Outputsは一意でない場合があり、他のユーザーに対して生成された出力と類似する場合があります。
4. 顧客の責任と人間の監督
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. 敏感データおよび規制データの制限
適用される AI 利用規約が禁止している場合、顧客はAI機能に機微情報・規制情報を含む健康情報、遺伝情報または生体情報、政府発行の識別番号、個人の財務或いは銀行口座情報などを提出してはならない。顧客はプロンプト内の個人データを最小限にするべきである。
6. 正確性・偏り・公平性
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
適用される BambooHR AI 条項がパフォーマンスデータとフィードバックを AI 機能の向上に使用することを許可している場合、その使用は当該条項に従う。顧客データが顧客特有のモデルのファインチューニングに使用される場合、得られたモデルはその顧客に対して AI 機能を提供するためにのみ使用され、他の顧客へのサービス提供には使用されない。
8. 国際処理
AI提供者は認可済みのInputsまたは関連する個人データをEEA外で処理する場合があります。そのような処理は本DPAの移転保護措置の対象となり、顧客の契約上のコアHRIS保管地域の場所を変更しません。顧客は、オプションのAI使用が自身の居住、労働協議会、雇用法およびリスク要件と整合するかどうかを評価してから有効化してください。
このプライバシーポリシーまたはデータ権利に関するご質問はありますか？
お問い合わせ
