개인정보 처리방침 | Grouper

4.1 핵심 유럽 거주지 약정

Grouper의 유럽 BambooHR 서비스를 EEA 데이터 상주 요건으로 구매하는 고객의 경우, 핵심 HRIS 운영 환경의 일부를 구성하는 고객 개인정보는 EEA 내에 호스팅 및 저장되며, 주요 호스팅 위치는 아일랜드입니다.

The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.

This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.

4.2 저장과 접근

데이터 거주지는 고객의 개인 데이터가 저장되는 위치를 설명합니다. 이는 다른 국가에서 합법적으로 지원 또는 기술적 접근이 전혀 발생하지 않음을 의미하지 않습니다.

EEA 외부에서의 예외적 접근은 필요한 경우에만 발생할 수 있으며, 본 정책의 17 및 18절에 따라 승인되고 법적으로 보호됩니다.

4.3 백업, 회복력 및 재해 복구

백업, 복원력 및 재해 복구 배열은 기밀성, 무결성 및 가용성을 보존하고 고객의 계약 지역 호스팅 약정과 일치하도록 설계되었습니다.

Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.

4.4 EEA 외부의 일상적 재배치 금지

Grouper는 유럽 고객 개인 데이터의 일상적 재배치 수단으로 예외적 지원 접근을 사용하지 않습니다.

Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.

The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.

6.1 Employee and Workforce Information

개인 데이터에는 다음이 포함될 수 있습니다:

• 이름 및 직원 식별 번호;
• 제공된 사진;
• 가정용 또는 업무용 연락처 세부정보;
• 생년월일, 성별 및 인구통계 정보(제공된 경우);
• 결혼 여부 또는 가족 정보(제공된 경우);
• 긴급 연락처 및 전화번호;
• 학력 및 전문 자격;
• 이력서 또는 CV 정보, 고용 이력 및 언어 능력;
• 직함, 등급, 부서, 위치, 보고 체계 및 팀 소속;
• 채용 및 해고 날짜, 근무 시간 및 계약 세부정보;
• 성과, 평가, 징계 및 근무 이력 정보;
• 복리후생, 보험, 회사 자산 및 교육 정보; 및
• 휴가, 출석 및 휴무 정보.

6.2 급여 및 보상 정보

관련 서비스가 사용될 경우, 개인 데이터에는 다음이 포함될 수 있습니다:

• 급여, 보상 및 보너스;
• 세금 및 사회보장 정보;
• 은행 및 지불 정보;
• 연금 정보;
• 주식 옵션 및 기타 혜택; 및
• 다른 급여 관련 정보.

6.3 채용, 후보자 및 추천인 정보

For candidates, prospective employees and referees, information may include:

• 신원 및 연락처 정보;
• 이력서, CV, 고용 이력 및 자격;
• 지원서, 면접 및 채용 기록;
• 후보자 커뮤니케이션 및 채용 상태;
• 제안된 보상 정보;
• 추천인의 이름, 연락처 및 전문적 관계; 및
• 참고문헌에 포함된 정보.

6.4 특별 카테고리 및 민감 데이터

BambooHR HRIS 플랫폼의 고객 사용 방식에 따라, 서비스에는 건강 또는 장애 정보와 기타 특수 범주 또는 민감한 개인정보가 포함될 수 있습니다.

The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.

필요하고 합법적이며 해당 제품 약관에서 허용할 때를 제외하고 자유 텍스트 필드나 AI 기능에 민감 정보를 입력하지 않아야 합니다.

지원 personnel이 고객 개인정보에 접근할 때, 접근은 합리적으로 필요한 최소 정보로 제한되어야 하며, 접근은 기밀 유지 및 접근 통제 하의 승인된 personnel에 의해 수행되어야 합니다.

10.1 계약

계약에 들어가거나 계약을 이행하기 위해 필요하거나, 개인의 요청에 따라 계약 체결 전의 조치를 취하기 위한 처리.

10.2 정당한 이익

Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:

• 서비스 제공;
• 고객 관리;
• 정보 보안;
• 사기 방지;
• 비즈니스 연속성;
• 고객 지원; 그리고
• relationship management.

10.3 법적 의무

Processing necessary to comply with applicable legal or regulatory requirements.

10.4 동의

적절한 경우 처리(Processing)는 동의에 기반할 수 있습니다. 동의는 언제든지 철회할 수 있으며, 철회 이전의 처리의 합법성에는 영향을 주지 않습니다.

고객은 Grouper에 개인정보를 처리하도록 지시하는 것이 적용 데이터 보호 법을 위반하는 방식이어서는 안 됩니다.

Grouper는 합리적인 판단으로 지시가 적용 데이터 보호 법을 위반한다고 판단되면 고객에게 이를 통보하고 문제 해결이 이뤄질 때까지 영향을 받는 처리를 일시 중지할 수 있습니다.

Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.

정보는 이용 가능해지는 대로 단계적으로 제공될 수 있습니다.

Grouper는 고객이 적용 가능한 규제 및 데이터 주체 통지 의무를 충족할 수 있도록 합리적인 협조를 제공합니다.

Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.

적용 가능한 고객 약관에 일반적인 서면 승인이 제공되는 경우, 고객은 중대한 신규 하위처리업체에 대해 사전에 통지받고 합리적인 데이터 보호 사유에 따라 이의 제기를 할 기회를 갖게 됩니다.

BambooHR의 하위 처리업체에 대해, 현재의 BambooHR DPA는 고객 개인정보를 처리할 새로운 하도급업체에 대해 최소 30일 전에 사전 통지를 제공합니다.

Schedule 4는 주요 공급자 범주 및 governing 서비스 자료에 식별된 명명된 공급자에 대한 투명성을 제공합니다.

Grouper는 관련 데이터 보호법 및 해당 고객 계약에 따른 자체 의무에 대해 계속 책임을 집니다. BambooHR가 Grouper의 유럽 고객 환경을 지원하기 위해 개인 데이터를 처리하는 경우, 해당 계약, 보안 및 데이터 거주 요건이 적용됩니다.

Restricted Transfer가 발생하는 경우, Grouper 및/또는 관련 기술 공급자는 다음과 같은 법적으로 인정된 메커니즘을 사용합니다:

• 적정성 결정;
• 유럽 위원회 표준계약조항(SCCs);
• 적용 가능한 경우 UK International Data Transfer Addendum;
• 법적으로 가능하고 적용 가능한 EU-US 데이터 프라이버시 프레임워크에의 참여;
• 적용 가능한 경우 구속력 있는 기업 규칙(BCRs); 또는
• 또 다른 유효한 보호장치(Applicable Data Protection Law에 따라 인정된).

Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.

이러한 예외적 접근 방식은 유럽 서비스에 대한 고객 개인 데이터가 EEA 내에 저장된다는 Grouper의 약속을 변경하지 않습니다.

Supplementary measures may include:

• 암호화;
• 접근 제어;
• 키 관리 제어;
• 최소화;
• 로그 기록;
• 추가 이전 전송에 대한 계약상의 제한;
• 정부 요청 심사 절차;
• 투명성 조치; 및
• 전송의 적절한 보호 수준을 보장할 수 없을 때 이관 중지 또는 종료

공개는 법적으로 요구되는 최소한으로 제한됩니다.

합법적으로 허용되는 경우 고객에게 통지됩니다. 통지가 금지된 경우, 적절한 경우 고객에게 통지를 제공하기 위한 허가를 얻기 위해 합리적인 노력이 기울여질 것입니다.

요청과 응답에 대한 기록은 법률 및 적용 가능한 전송 메커니즘에 따라 유지됩니다.

Grouper가 Processor로서 Customer Personal Data를 처리하는 경우 관련 Customer가 Controller인 경우에 일반적으로 해당 고객에게 지시가 내려야 합니다. Grouper가 이러한 요청을 직접 수신하는 경우, Grouper는 합법적으로 금지되지 않는 한 고객에게 요청을 이관하거나 통지하고, 문서화된 고객의 지시 또는 법에 의해 요구될 때만 실질적으로 응답합니다. Grouper는 고객의 의무 이행을 가능하게 하기 위해 합리적인 지원을 제공합니다.

법적 또는 계약상 요구사항이 있고 합리적 증거가 충분하지 않은 경우, 고객은 기밀 유지, 보안, 간섭 금지 및 다른 고객의 정보 보호 조건에 따라 합리적 사전 통지 하에 적용 가능한 감사 권한을 행사할 수 있습니다. 보안 사고, 규제 요건 또는 물질적 불이행에 대한 합리적 증거가 없는 한, 정식 감사는 일반적으로 12개월에 한 번으로 제한되어야 합니다. 일반적으로 고객이 비용을 부담하며, 법 또는 계약에 달리 규정되어 있지 않는 한 그러합니다.

Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.

Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.

Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.

고객은 정확한 고객 개인정보를 유지할 책임이 있습니다. Grouper 또는 처리자가 데이터가 부정확하거나 오래되어 조치가 필요한 상황을 인지하게 되면, Grouper은 기록된 지시에 따라 데이터를 수정하거나 삭제하도록 고객과 협력합니다. 또한 적용 가능한 데이터 보호법을 준수합니다.

Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.

Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.

Where BambooHR가 고객 데이터, 입력 또는 출력을 활용해 고객 맞춤형 모델을 미세 조정하거나 학습시키는 경우, 해당 BambooHR AI 약관은 그러한 사용이 해당 고객에게 AI 기능을 제공하기 위한 것이며, 결과적으로 고객 학습 모델이 다른 고객에게 서비스를 제공하는 데 사용되지 않는다고 명시합니다.

AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.

프로그래밍 접근은 지원되는 인증 방법을 사용해야 하며 고객 데이터 또는 자격 증명을 미승인 당사자에게 노출해서는 안 됩니다.

통합은 문서화되고 승인된 목적을 넘는 고객 데이터를 사용해서는 안 됩니다.

통합 공급자가 고객 또는 Grouper를 대신해 Personal Data를 Processing하는 경우, 적절한 Processor 또는 Subprocessor 약관 및 전송 안전장치가 적용되어야 합니다.

정보에는 이름, 조직, 직책, 비즈니스 연락처 정보, 커뮤니케이션, 문의 정보, IP 주소, 브라우저 및 기기 정보, 방문한 페이지 및 유사한 기술 데이터가 포함될 수 있습니다.

이러한 정보를 처리하여 문의에 응답하고, 관계를 관리하며, 요청된 서비스를 제공하고, 보안을 유지하며, 계약을 이행하고, 법을 준수하며, 허용되는 경우 관련 비즈니스 커뮤니케이션을 보내고 있습니다. 수신자는 언제든지 다이렉트 마케팅 수신을 거부할 수 있습니다. 운영, 계약, 보안 및 고객 서비스 커뮤니케이션은 마케팅으로 간주되지 않습니다.

웹사이트는 필수 쿠키, 기능 쿠키 및 분석 쿠키와 유사 기술을 사용할 수 있습니다. 법적으로 필요한 경우 비필수 쿠키는 적절한 동의 후에만 사용되며 사용자는 선호를 관리할 수 있는 제어 수단을 받게 됩니다.

Grouper는 역할에 적합한 기록 및 거버넌스 조치를 유지하고, 고객, 데이터 주체 및 적격 감독당국과 선의로 협력합니다.

Current DPC contact details: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland. The DPC recommends use of its online contact channels for complaints and data-protection concerns.

Grouper encourages individuals to contact the relevant Controller first where the issue relates to an employer-managed BambooHR account so that the matter can be investigated and resolved promptly.

Grouper가 Customer Personal Data를 Processor로서 처리하는 경우, Part B 및 해당 고객 계약이 계약적 Processing 관계를 규율합니다. Customer Personal Data에 관한 불일치가 있을 경우, 다음 우선순위 순서가 적용됩니다: 의무적인 적용 데이터 보호법; 해당 SCCs, UK Addendum 또는 기타 의무 이전 메커니즘; Data Processing Agreement; 계약의 적용 가능한 데이터 보호 조항; 및 계약의 나머지 내용.

유럽 데이터 거주성.

고객 개인정보 데이터는 EEA 내에서 호스팅되고 저장되며, 기본 호스팅은 아일랜드의 AWS를 통해 이루어집니다.

유럽의 개인정보 보호 표준.

Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.

유럽의 서비스 및 지원.

Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.

당사의 목표는 BambooHR를 활용하면서 유럽 고객이 기대하는 프라이버시, 거버넌스 및 데이터 주권 표준을 유지하도록 하는 것입니다.

고객 개인정보 데이터

서비스와 관련하여 Grouper가 처리하는 고객 또는 고객 계열사가 관리하는 개인정보 데이터

제한된 전송

적용 가능한 데이터 보호 법령에 따라 합법적인 양도 메커니즘이 필요한 개인정보 데이터의 전송.

표준 계약 의�� 조항(SCCs)

The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.

Sub-processor

Grouper가 고객 개인정보 데이터를 처리하도록 임명한 제3자

기술 공급자

BambooHR LLC 및 해당 BambooHR 엔티티가 기저 HR 기술 플랫폼을 제공하는 경우

Grouper는 문서화된 고객 지시에 따라 필요할 때만 서비스를 제공·유지·보안 및 지원을 목적으로 고객 개인정보를 처리하며, 적용 법률이 요구하지 않는 한 그 목적 외의 처리는 수행하지 않습니다.

Grouper는 합리적으로 판단했을 때 지시가 적용 데이터 보호 법령을 침해하는 경우 고객에게 즉시 통보하고 해결되기 전까지 해당 처리의 중지를 할 수 있습니다.

Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.

기본 BambooHR DPA가 적용되는 경우, BambooHR은 고객의 개인정보를 처리할 새로운 하청업체에 대하여 최소 30일의 서면 사전 통지를 현재 제공합니다.

Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.

컨트롤러 / 데이터 수출자

The Customer identified in the applicable Agreement or Order Form.

프로세서 / 데이터 수입자

Grouper Technology Limited, 3층, 22 Ely Place, Dublin, D02 AH73, Ireland.

기술 공급자

BambooHR LLC 및 관련 BambooHR 엔티티가 기저 HRIS 플랫폼을 제공하는 경우.

주제

Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.

처리의 성격

수집, 수신, 기록, 조직화, 구조화, 마이그레이션, 호스팅, 저장, 검색, 상담, 사용, 전송, 이용 가능하게 함, 제한, 지원, 접근, 삭제 및 서비스를 제공하는 데 합리적으로 필요한 기타 처리

Purpose

To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.

Duration

서비스 기간 및 데이터 반환 또는 삭제 또는 법 준수에 필요한 후속 기간

데이터 주체

Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.

개인 정보

Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.

민감 데이터

고객이 선택한 경우, 건강 및 장애 정보 및 서비스가 허용하는 기타 특별 범주 또는 민감 데이터를 포함할 수 있습니다.

주요 유럽 저장소

아일랜드 / EEA를 통해 AWS를 이용하는 고객의 유럽 데이터 주거 서비스 구매 시.

적격 감독기관

Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.

1. 정보 보안 거버넌스

Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.

2. 인력 보안

기밀성 의무, 정당한 법적 요건에 따른 역할별 심사, 보안 인식 및 프라이버시 교육, 무단 접근에 대한 징계 조치

3. 물리적 보안

관련 시설 및 인프라에 대한 제한적 접근; 통제된 접근 경로; 접근 권한 부여; 호스팅 환경에 적합한 물리적 모니터링 및 기타 보안 대책

4. Identity and Access Management

Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.

5. 데이터 접근 제어

승인된 사용자만 권한 범위 내의 데이터에 접근하도록 설계된 제어; 접근의 로깅 및 모니터링; 승인된 인원에게만 데이터 공개

6. 암호화 및 가명처리

전송 중 및 저장 중 개인정보 데이터의 적절한 암호화; 처리 목적에 맞는 가명처리

7. 네트워크 및 전송 보안

방화벽, 보호 게이트웨이, 보안 통신 채널, TLS/SFTP 또는 동등한 보호 전송 메커니즘, 미인가 가로채기 또는 변경에 대한 제어

8. 로깅 및 모니터링

관련 시스템, 관리 및 접근 활동의 로깅; 의심스러운 이벤트 모니터링; 위험에 적합한 감사 정보의 보관

9. 입력 및 변경 관리

데이터를 입력, 변경 또는 삭제한 사람 식별; 허가된 사용자 및 시스템의 인증; 문서화된 변경 관리 관행

10. 취약점 및 보안 테스트

취약점을 식별, 평가 및 시정하는 절차; 주기적 침투 또는 보안 테스트; 제어의 효과성에 대한 정기적 평가 및 평가

11. 가용성, 백업 및 복구

인프라 이중화, 백업, 복구 기능, 가용성 제어 및 실수로 인한 손실 또는 파손 방지

12. 비즈니스 연속성 및 재해 복구

중단이나 보안 사고 발생 후 신속하게 가용성 및 접근성을 회복하기 위한 문서화된 연속성 및 복구 계획

13. 데이터 분리

고객 간 및 처리 목적 간의 논리적 또는 애플리케이션 수준의 분리; 무단 교차 고객 접근을 방지하기 위한 제어

14. 보안 개발

Security practices appropriate to software development, testing, release and change management.

15. Subprocessor Management

실사, 서면 데이터 보호 의무, 보안 검토, 전송 보호 및 처리에 적합한 지속적 감독

16. Incident Management

Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.

EU 제한 전송

EU SCC가 필요한 경우, 공식적인 유럽 위원회 SCC를 의무적 문구를 변경 없이 인용합니다. 역할이 달리 필요하지 않는 한, 고객은 데이터 수출자이며 Grouper 및/또는 해당 기술 공급자가 데이터 수입자이며, 모듈 2가 컨트롤러-프로세서 간 전송에 적용됩니다.

UK 제한 전송

UK 데이터 보호법에 따라 이전되는 경우 EU SCCs는 적용되며 당시의 UK International Data Transfer Addendum 또는 기타 법적으로 인정된 UK 이전 메커니즘과 함께 적용됩니다.

스위스 전송

스위스 데이터 보호법에 따라 전송이 적용되는 경우 SCC는 해당 스위스 법에 따라 해석 및 필요에 따라 조정되며, 스위스 감독 당국 및 스위스 데이터 주체에 대한 적절한 참조를 포함합니다.

EU-US 데이터 프라이버시 프레임워크

Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.

Transfer Impact Assessments and Supplementary Measures

Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.

유럽 고객을 위한 예외적 액세스 시나리오

허가된 예외적 비-EU 접근은 아래의 상황에서만 발생할 수 있습니다:

• 아일랜드 데이터 센터 환경이나 서비스 연속성에 영향을 주는 긴급 상황;
• a. EEA 외부의 승인된 전문 접근이 필요한 지원 또는 유지보수 요청; 고객의 승인의 적용 또는 계약상의 허용이 있는 경우; 및
• a. 유럽 지역 외부에서의 처리 또는 호스팅에 대한 검증된 고객 요청.

BambooHR LLC

기술 공급자; HRIS 유지보수, 호스팅 및 지원. 위치: 미국 / 유럽 등 서비스 지역.

Amazon Web Services (AWS)

주요 클라우드 호스팅 인프라; 아일랜드의 유럽 지역 호스팅. 위치: 아일랜드 / 유럽 및 서비스 구성에 따라 기타 지역.

Anthropic / Claude

AI / 언어 모델 처리. 위치: 미국.

Cohere

언어 모델 API / AI 처리. 위치: 미국.

OpenAI

언어 모델 API / AI 처리. 위치: 미국.

LlamaIndex / LlamaParse

AI 기능과 연관된 선택적 문서 파싱. 위치: 미국.

Atlas MongoDB

선택된 서비스 / AI 관련 기능을 지원하는 데이터 저장소. 위치: 미국.

Gainsight

고객 관계 / CRM 서비스.

Salesforce

CRM 플랫폼.

Cloudflare

웹 애플리케이션 방화벽 / 보안.

Datadog

인프라 및 애플리케이션 모니터링.

Microsoft / Google Workspace

현재 구성에 따라 협업, 커뮤니케이션 및 문서 저장소를 제공.

Mailgun

애플리케이션 간 통신.

Snowflake

데이터 분석.

Twilio

다단계 인증 / SMS 전송.

추가 공급자

현재 서비스 자료에서 확인 가능한 추가 공급자는 Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike 등일 수 있습니다. 고객은 가장 최신의 BambooHR 하청업체 목록과 Grouper의 현재 하위프로세서 정보를 참조해야 합니다.

1. 범위

본 일정은 고객이 BambooHR 인공지능 또는 기계학습 기능을 활성화하거나 사용하고, Grouper-지원 서비스와 연계될 때 적용됩니다.

2. AI 공급자

Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.

3. 입력 및 출력

AI 기능에 제출된 고객 제공 프롬프트, 지시 또는 데이터는 “입력”으로 간주될 수 있으며 생성된 응답은 “출력물”로 간주될 수 있습니다. 기능에 따라 입력 또는 출력에 고객 데이터가 포함될 수 있습니다. 출력물은 고유하지 않을 수 있으며 다른 사용자에게도 제공된 출력과 유사할 수 있습니다.

4. 고객 책임 및 인간 감독

The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.

5. 민감하고 규제된 데이터 제한

적용 가능한 AI 약관에서 허용하지 않는 경우, 고객은 AI 기능에 건강, 유전 정보 또는 생체 정보, 정부 발급 신분증 번호 또는 개인 재정 또는 은행 계좌 정보와 같은 민감하거나 규제된 정보를 제출해서는 안 됩니다. prompts에서 개인정보를 최소화해야 합니다.

6. 정확성, 편향 및 공정성

Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.

7. Model Improvement

해당 BambooHR AI 약관이 성능 데이터 및 피드백을 사용하여 AI 기능을 개선하는 것을 허용하는 경우, 그러한 사용은 해당 약관에 의해 규율됩니다. 고객 데이터가 특정 고객 모델의 미세 조정에 사용되면, 그 결과로 만들어진 모델은 해당 고객에게 AI 기능을 제공하는 데만 사용되며 다른 고객에게 서비스를 제공하는 데에는 더 이상 사용되지 않습니다.

8. 국제 처리

AI 공급자는 EEA 외부에서 허가된 입력 또는 관련 개인 데이터를 처리할 수 있습니다. 이러한 처리는 본 DPA의 전송 보호 조항의 적용을 받으며 고객의 계약상 핵심 HRIS 저장 위치를 변경하지 않습니다. 고객은 선택적 AI 사용이 자국의 거주, 노동위원회, 고용법 및 위험 요건에 부합하는지 여부를 enable하기 전에 평가해야 합니다.