Legal
Privacybeleid | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
Laatst bijgewerkt: 16 augustus 2026
Grouper zet zich in voor de bescherming van persoonlijke gegevens en het handhaven van hoge normen op het gebied van privacy, beveiliging en regelgeving. Data-bescherming wordt beschouwd als een kerntaak van operatie en contractuele verantwoordelijkheid. We ontwerpen onze servicelevering, toegangscontroles, ondersteuningsprocessen en leveranciers governance om de verantwoordelijkheid, integriteit, vertrouwelijkheid en transparantie-principes van de GDPR te weerspiegelen.
This Privacy Policy explains how Grouper Technology Limited (“Grouper”, “wij”, “ons” of “ons”) verzamelt, gebruikt, opent, host, slaat op, beschermt, overdraagt en anders verwerkt persoonsgegevens in verband met de diensten die wij leveren, inclusief onze rol als Europese partner van BambooHR.
Grouper ondersteunt organisaties in Ierland, het Verenigd Koninkrijk, Europa en andere regio's met de implementatie, administratie en het gebruik van het BambooHR HRIS-platform en gerelateerde HR-technologie.
Ons Europese service-model is opgebouwd rond een duidelijk principe van Europese gegevensresidentie. Klantgegevens verwerkt via Grouper’s Europese BambooHR-dienst worden gehost en opgeslagen binnen de Europese Economische Ruimte (“EEA”), met primaire hosting in Ierland.
Deze Privacy Policy is van toepassing op persoonlijke gegevens die worden verwerkt in verband met:
- BambooHR implementatie en onboarding;
- HRIS-configuratie;
- accountbeheer;
- klantenondersteuning;
- technische ondersteuning;
- integratie-ondersteuning;
- datamigratie;
- klantsucces;
- opleiding;
- professionele diensten;
- beveiliging en servicebeheer;
- klantcommunicatie;
- verkoop en demonstraties;
- Grouper websites en digitale diensten; en
- onze algemene bedrijfsactiviteiten.
Grouper Technology Limited is een Ierse onderneming met haar statutaire zetel op de 3e verdieping, 22 Ely Place, Dublin, D02 AH73, Ierland.
BambooHR levert het onderliggende human resources informatiesysteem en gerelateerde productfunctionaliteit. Grouper levert Europese implementatie, migratie, configuratie, training, klantensucces, ondersteuning, servicebeheer en gerelateerde professionele diensten. Afhankelijk van het abonnement en de configuratie van de Klant kan het BambooHR HRIS-platform ondersteuning bieden voor medewerkersdossiers, onboarding, werving, tijd en aanwezigheid, verlofbeheer, prestatie, beloning, voordelen, loon gerelateerde functionaliteit, rapportage, analyse, integraties, API's en kunstmatige intelligentie functies.
Afhankelijk van de door de klant afgenomen diensten kan Grouper mogelijk: leveren
- BambooHR implementatie;
- onboarding;
- configuratie;
- accountinstellingen;
- migratiehulp;
- implementatiediensten;
- technische ondersteuning;
- HRIS-ondersteuning;
- opleiding;
- klantensucces-diensten;
- dienstbeheer;
- oplossing; en
- gerelateerde professionele diensten.
De precieze rol van Grouper met betrekking tot gegevensbescherming hangt af van de specifieke verwerkingsactiviteit.
Waar Grouper de doeleinden en middelen van Verwerking bepaalt — bijvoorbeeld in bepaalde websites, verkoop, zakelijke contacten, beveiligings- of bedrijfsadministratieve activiteiten — handelt Grouper als Verantwoordelijke.
Waar Grouper Klantengegevens uitsluitend verwerkt namens een Klant en in overeenstemming met de gedocumenteerde instructies van die Klant, treedt Grouper op als Verwerker.
Wanneer de Klant zelf optreedt als Verwerker voor een andere Verantwoordelijke, kan Grouper optreden als Sub-processor voor zover van toepassing.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 Kernverplichting Europese residentie
Voor Klanten die Grouper’s Europese BambooHR-dienst afnemen met gegevensresidentie in de EEA, worden Klantengegevens die deel uitmaken van de kern HRIS-productieomgeving gehost en opgeslagen binnen de EEA, met de primaire hostinglocatie in Ierland.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 Opslag versus Toegang
Gegevensresidentie beschrijft waar Klantpersoonsgegevens worden opgeslagen. Dit betekent niet dat er nooit geautoriseerde ondersteuning of technische toegang vanaf een ander land kan plaatsvinden.
Uitzonderlijke toegang vanaf buiten de EER kan alleen plaatsvinden waar nodig, geautoriseerd en wettelijk beschermd zoals beschreven in Secties 17 en 18 van dit Beleid.
4.3 Back-ups, Veerkracht en disaster recovery
Back-up-, veerkracht- en rampenherstelregelingen zijn ontworpen om vertrouwelijkheid, integriteit en beschikbaarheid te bewaren en in lijn te blijven met de regionale hostingverplichtingen van de Klant.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 Geen routinematige verplaatsing buiten de EEA
Grouper gebruikt geen uitzonderlijke ondersteuningstoegang als mechanisme voor routinematige verplaatsing van Europese Klantpersoonsgegevens.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
“Toepasselijke wetgeving inzake gegevensbescherming” betekent alle wetten en regelgeving op het gebied van gegevensbescherming, privacy en gegevensbeveiliging die van toepassing zijn op de Verwerking, waaronder waar relevant:
- Verordening (EU) 2016/679 — de Algemene Verordening Gegevensbescherming (GDPR);
- het Ierse Data Protection Act 2018;
- toepasselijke Ierse ePrivacy- en elektronische communicatieregels;
- de UK GDPR en UK Data Protection Act 2018 waar van toepassing;
- toepasselijk Zwitsers gegevensbeschermingsrecht waar van toepassing;
- toepasselijke nationale wetgeving die Europese privacy-eisen implementeert; en
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
De verwerkte informatie is afhankelijk van de Diensten die door de Klant zijn geselecteerd en van de gegevens die de Klant kiest om in de HR-omgeving te plaatsen.
6.1 Employee and Workforce Information
Persoonsgegevens kunnen bevatten:
- naam en identificatienummers van werknemers;
- foto's waar mee geleverd;
- huis-/werk-contactgegevens;
- geboortedatum, geslacht en demografische informatie waar geleverd;
- huwelijks-/gezinsinformatie waar geleverd;
- noodcontacten en telefoonnummers;
- academische en professionele kwalificaties;
- CV- of cv-informatie, werkervaring en taalbekwaamheid;
- functie, graad, afdeling, locatie, meldlijnen en teamverband;
- aanwerving en beëindigingdata, werktijden en contractuele details;
- prestaties, evaluatie, disciplinaire en werkgeschiedenisinformatie;
- voordelen, verzekering, bedrijfsactiva en trainingsinformatie; en
- verlof-, aanwezigheids- en tijd-off-informatie.
6.2 Loon- en vergoedingsinformatie
Wanneer relevante diensten worden gebruikt, kunnen Persoonsgegevens bevatten:
- salaris, vergoedingen en bonussen;
- belasting- en sociale zekerheidsinformatie;
- bank- en betalingsgegevens;
- pensioeninformatie;
- aandelenopties en andere voordelen; en
- andere payroll-gerelateerde informatie.
6.3 Werving, kandidaat- en referentie-informatie
For candidates, prospective employees and referees, information may include:
- identiteit en contactgegevens;
- CV’s, cv’s, werkervaring en kwalificaties;
- solicitatie-, interview- en wervingsgegevens;
- kandidaatcommunicatie en wervingsstatus;
- voorgestelde remuneratie-informatie;
- referenamen, contactgegevens en professionele relatie; en
- informatie in referenties.
6.4 Speciale categorieën en gevoelige gegevens
Afhankelijk van het gebruik van het BambooHR HRIS-platform door een Klant, kunnen de Diensten gezondheid- of handicap-informatie en andere speciale categorieën of gevoelige Persoonsgegevens bevatten.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
Klanten dienen gevoelige informatie niet in vrije tekstvelden of AI-functies te plaatsen tenzij noodzakelijk, rechtmatig en toegestaan door de relevante productvoorwaarden.
Persoonsgegevens die in verband met de diensten van Grouper worden verwerkt, kunnen betrekking hebben op:
- huidige, voormalige, potentiële en toekomstige medewerkers;
- kandidaten en sollicitanten;
- contractanten, consultants, agentschappen en onafhankelijke contractanten;
- bureau-, tijdelijke en incidentele medewerkers;
- stagaire en vrijwilligers;
- werknemersafhankelijken, begunstigden en noodcontacten;
- getuigen en referentieaanbieders;
- Klantbeheerders en geautoriseerde gebruikers; en
- andere personen wiens Persoonsgegevens een Klant wettelijk indient bij de Diensten.
Persoonsgegevens kunnen verkregen worden:
- rechtstreeks van het individu;
- van de werkgever of beoogde werkgever van het individu;
- van Klantbeheerders en geautoriseerde gebruikers;
- tijdens implementatie, configuratie en gegevensmigratie;
- via geautoriseerde integraties of API's;
- via ondersteuning en probleemoplossing;
- via het BambooHR HRIS-platform of een ander door de Klant geselecteerd systeem;
- via wervingsprocessen;
- uit openbare bronnen waar dit wettelijk is toegestaan; en
- uit andere door de Klant geautoriseerde wettige bronnen.
Grouper Verwerkt Persoonsgegevens uitsluitend voor gespecificeerde en rechtmatige doeleinden. Deze kunnen omvatten:
- het implementeren en configureren van het BambooHR HRIS-platform;
- hosting of faciliteren van de hosting van Klantpersoonsgegevens;
- beheer van accounts en gebruikersrechten;
- het onderhouden en beveiligen van de service;
- het leveren van klant- en technische ondersteuning;
- het ondersteunen van integraties en migraties;
- het leveren van training en professionele diensten;
- het beheren van abonnementen en klantrelaties;
- het detecteren en onderzoeken van beveiligingsincidenten;
- het bijhouden van auditsporen;
- fraude of misbruik voorkomen;
- naleving van wettelijke verplichtingen; en
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
Wanneer supportmedewerkers toegang hebben tot Klantpersoonsgegevens, moet die toegang beperkt zijn tot de minimaal benodigde informatie voor het supportdoel en moet deze worden uitgevoerd door bevoegde medewerkers onder geheimhoudings- en toegangscontrole.
Wanneer Grouper optreedt als Verantwoordelijke, kan de toepasselijke wettelijke basis omvatten:
10.1 Contract
Verwerking die nodig is om een contract aan te gaan of uit te voeren, of om stappen te ondernemen voorafgaand aan het aangaan van een contract op verzoek van de betrokkene.
10.2 Gerechtvaardigde belangen
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- dienstverlening;
- klantenadministratie;
- informatieveiligheid;
- fraudepreventie;
- continuïteit van de bedrijfsvoering;
- klantondersteuning; en
- relationship management.
10.3 Wettelijke verplichting
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 Toestemming
Waar gepast kan verwerking gebaseerd zijn op toestemming. Toestemming kan te allen tijde worden ingetrokken zonder de geldig rechtmatigheid van eerder uitgevoerde verwerking te beïnvloeden.
Wanneer de Klant optreedt als Verantwoordelijke, is de Klant verantwoordelijk voor:
- het bepalen van de doeleinden waarvoor Persoonsgegevens worden verwerkt;
- het vaststellen van wettelijke bases en bijzonder-categorie voorwaarden;
- het verstrekken van vereiste privacyverklaringen;
- het verkrijgen van toestemming waar vereist;
- het waarborgen van nauwkeurigheid en kwaliteit van gegevens;
- het bepalen van passende bewaartermijnen;
- het beheren van geautoriseerde gebruikers en machtigingen;
- het veilig gebruiken van de Diensten; en
- het zeker stellen dat de instructies aan Grouper wettig zijn.
De Klant mag Grouper niet instrueren Persoonsgegevens te Verwerken op een manier die inbreuk maakt op toepasselijk Gegevensbeschermingsrecht.
Grouper zal de Klant op de hoogte stellen waar, naar haar redelijke oordeel, een instructie inbreuk maakt op toepasselijk Gegevensbeschermingsrecht en kan de betrokken Verwerking opschorten totdat het probleem is opgelost.
Grouper beperkt de toegang tot Klantpersoonsgegevens tot geautoriseerde personen die redelijk toegang nodig hebben voor hun taken. Personeel is onderworpen aan passende geheimhoudingsverplichtingen en ontvangt privacy- en beveiligingstraining die aangepast is aan hun rol. Toegang wordt geregeld volgens het principe van minste rechten en noodzaak van bekendheid.
Toegangsbeheersmaatregelen omvatten:
- identiteits- en authenticatieregels;
- rolgebaseerde en privileged-access controles;
- administratieve accountcontroles;
- accountlevenscyclusbeheer;
- toegangslogging en -bewaking;
- periodieke toegangsbeoordeling;
- vertrouwelijkheids- en aanvaardbaar gebruik-vereisten; en
- passende personeelsbeveiliging en training.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
Maatregelen omvatten:
- fysieke en logische toegangscontroles;
- sterke authenticatie en passende wachtwoordcontroles;
- versleuteling tijdens overdracht en opgeslagen waar passend;
- pseudonimisering waar passend;
- netwerkfirewalls, perimeterbeveiliging en indringingsdetectie;
- logging, bewaking en audittrails;
- kwetsbaarheidsbeheer en beveiligingstesten;
- beperkte administratieve toegang;
- veilige transmissie, inclusief beschermde overdrachtroutes;
- back-up, redundantie, herstel en veerkracht;
- bedrijf continuïteits- en rampenherstelplanning;
- veilige ontwikkeling en wijzigingsbeheer;
- gegevensscheiding tussen klanten en verwerkingsdoeleinden;
- incidentresponsprocedures;
- personeelsbewustzijn en -training; en
- due diligence bij subverwerkers en beveiligingsgovernance.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
Wanneer Grouper optreedt als Verwerker en zich bewust wordt van een feitelijke of vermoedelijke Persoonsgegevensinbreuk die Klantpersoonsgegevens raakt, zal Grouper de relevante Klant zo snel mogelijk informeren en in elk geval binnen 48 uur na het bewustworden van het incident.
Voor zover redelijk beschikbaar, zal de kennisgeving bevatten:
- de aard van het incident;
- categorieën van getroffen Persoonsgegevens;
- geschatte categorieën en aantallen Data Subject en records;
- waarschijnlijke gevolgen;
- maatregelen genomen of voorgesteld;
- mitigatieacties; en
- een contactpunt voor nadere informatie.
Informatie kan in fasen worden verstrekt zodra deze beschikbaar komt.
Grouper zal redelijke medewerking verlenen om de Klant in staat te stellen aan toepasselijke regelgeving en meldingsverplichtingen jegens de Data Subject te voldoen.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper kan zorgvuldig geselecteerde Sub-Verwerkers en serviceproviders aanstellen indien nodig om de Diensten te leveren, hosten, beveiligen, ondersteunen, te monitoren of te verbeteren.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
Wanneer de toepasselijke klantvoorwaarden algemene schriftelijke autorisatie verstrekken, ontvangen Klanten vooruitgeschoven melding van materiële nieuwe Sub-Verwerkers en de mogelijkheid om bezwaar te maken op redelijke data-beschermingsgronden.
Voor BambooHR sub-processors biedt de huidige BambooHR DPA ten minste 30 dagen vooraf kennisgeving van een nieuwe Subonderaannemer die Klantengegevens zal Verwerken.
Schema 4 biedt transparantie over sleutelprovidercategorieën en benoemde providers zoals geïdentificeerd in de governance dienstmaterialen.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
De verwerking van BambooHR valt onder toepasselijke contractuele en gegevensbeschermingsvoorwaarden, inclusief diens DPA, beveiligingsmaatregelen, subprocessor-regelingen en waarborgen voor internationale overdracht.
Grouper blijft verantwoordelijk voor zijn eigen verplichtingen onder Toepasselijke Gegevensbeschermingswetgeving en de toepasselijke klantovereenkomst. Waar BambooHR Persoonsgegevens Verwerkt ter ondersteuning van het Europese klantomgevings van Grouper, gelden de toepasselijke contractuele, beveiligings- en gegevensresidentie-eisen.
Voor de contracted Europese dienst van Grouper, is Klantengegevens ontworpen om opgeslagen te worden in de EEA, met primaire hosting in Ierland via Amazon Web Services (AWS). Geauthoriseerde Verwerking of externe toegang vanuit buiten de EEA kan een Beperkte Overdracht vormen, ook wanneer de gegevens in Ierland blijven opgeslagen. Zodoende toegang uitsluitend toegestaan indien wettelijk, noodzakelijk en beschermd door passende waarborgen.
Voorbeelden van uitzonderlijke scenario's omvatten:
- een noodgeval dat de Ierse data-centre-omgeving of servicecontinuïteit beïnvloedt;
- een ondersteunings- of onderhoudsverzoek dat geautoriseerde specialistische toegang buiten de EEA vereist, onder voorbehoud van de geldende goedkeuring of contractuele autorisatie van de Klant; en
- een geverifieerd Klantverzoek om gegevens buiten de afgesproken Europese hostingregio te verplaatsen of anderszins te Verwerken.
Waar een Beperkte Overdracht plaatsvindt, zullen Grouper en/of de relevante technologieverschaffer een juridisch erkend mechanisme gebruiken zoals:
- een toestemmingsbesluit;
- de standaard contractuele clausules van de Europese Commissie;
- de UK International Data Transfer Addendum waar van toepassing;
- deelname aan het EU-US Data Privacy Framework waar wettelijk beschikbaar en van toepassing;
- Bindende bedrijfsregels waar van toepassing; of
- een andere geldige waarborg erkend onder toepasselijk Gegevensbeschermingsrecht.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
Niets in dergelijke uitzonderlijke-toegangsregelingen wijzigt de toezegging van Grouper dat Klantengegevens voor de Europese dienst binnen de EEA worden opgeslagen.
Wanneer EU-modelclausules voor verwerkingsovereenkomsten vereist zijn, worden deze in hun officieel goedgekeurde vorm opgenomen zonder wijziging van verplichte bewoording. Voor Verwerking van controller naar processor zullen doorgaans Module Twee van toepassing zijn, tenzij de partijen anders aangeven op basis van hun rollen.
Wanneer Ierland is geselecteerd als het toepasselijke rechtsgebied en forum van de EU, stemmen de partijen in met de rechtbanken van Ierland zoals voorzien in de toepasselijke SCC-bijlage.
Voor overdrachten onderworpen aan UK Gegevensbeschermingswetgeving, zullen de EU SCC's samen met de toenmalige UK International Data Transfer Addendum of een ander wettelijk erkend UK-transfermechanisme van toepassing zijn.
Supplementary measures may include:
- versleuteling;
- toegangsbeperkingen;
- sleutelbeheercontroles;
- minimalisatie;
- loggen;
- contractuele beperkingen op doorgifte;
- overheidsverzoek procedure;
- transparantiemaatregelen; en
- opschorting of beëindiging van transfers wanneer een adequaat beschermingsniveau niet kan worden gewaarborgd.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
Onwettige of onevenredige verzoeken worden aangevochten indien er redelijke gronden en een wettelijke basis voor bestaan.
Openbaarmaking zal beperkt blijven tot het minimum dat wettelijk vereist is.
De Klant zal worden geïnformeerd waar wettelijk toegestaan. Waar bekendmaking verboden is, zullen redelijke pogingen worden ondernomen om toestemming te verkrijgen voor bekendmaking waar passend.
Dossiers van het verzoek en de respons worden bijgehouden zoals vereist door de wet en de geldende overdrachtmechanisme.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- toegang;
- rectificatie;
- verwijdering;
- beperking van Verwerking;
- gegevensoverdraagbaarheid;
- bezwaar;
- intrekking van toestemming;
- rechten met betrekking tot geautomatiseerde besluitvorming en profilering; en
- the right to complain to a competent supervisory authority.
Wanneer Grouper optreedt als Verwerker, dienen verzoeken met betrekking tot Klantpersoonsgegevens doorgaans gericht te worden aan de relevante Klant als Verantwoordelijke. Als Grouper zo'n verzoek rechtstreeks ontvangt, zal Grouper, tenzij wettelijk verboden, het verzoek doorverwijzen of melden aan de Klant en zal niet substantieel reageren behalve op gedocumenteerde instructies van de Klant of wanneer dit wettelijk vereist is. Grouper zal redelijke bijstand verlenen om de Klant in staat te stellen aan haar verplichtingen te voldoen.
Met inachtneming van de aard van de Verwerking en de informatie die beschikbaar is voor Grouper, zal Grouper redelijke bijstand verlenen bij Gegevensbescherming Impact-beoordelingen en, waar vereist, voorafgaand overleg met een bevoegd toezichthoudend orgaan.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- beveiligingsdocumentatie;
- beleid;
- nalevinginformatie;
- auditinformatie;
- onafhankelijke assurance-rapporten;
- relevante certificeringen; en
- antwoorden op redelijke beveiligingsvragenlijsten.
Wanneer wettelijk of contractueel vereist en redelijkerwijs bewijsmateriaal niet toereikend is, kunnen Klanten toepasselijke auditrechten uitoefenen met redelijke kennisgeving, met inachtneming van geheimhouding, beveiliging, niet-interferentie en bescherming van informatie van andere klanten. Tenzij vereist vanwege een beveiligingsincident, wettelijke vereiste of redelijk bewijsmateriaal van materiële niet-naleving, dienen formele audits doorgaans beperkt te blijven tot eenmaal in een periode van twaalf maanden. Klanten dragen doorgaans zelf de kosten van audits, tenzij wet- of contractueel anders is geregeld.
Grouper bewaart Persoonsgegevens alleen zo lang als redelijkerwijs noodzakelijk voor het relevante doel of zoals wettelijk vereist.
Wanneer Grouper optreedt als Verwerker, wordt de bewaring primair bepaald door:
- gedocumenteerde Klantinstructies;
- de toepasselijke klantovereenkomst;
- de duur van de Diensten;
- ondersteuningsvereisten;
- juridische verplichtingen; en
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
Klanten zijn verantwoordelijk voor het behouden van nauwkeurige Klantpersoonsgegevens. Wanneer Grouper of een verwerker zich ervan bewust wordt dat gegevens onnauwkeurig of verouderd zijn in omstandigheden die actie vereisen, zal Grouper samenwerken met de Klant om de gegevens te corrigeren of te verwijderen volgens gedocumenteerde instructies en toepasbaar Gegevensbeschermingsrecht.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
Bepaalde BambooHR-functies kunnen kunstmatige intelligentie of machine learning gebruiken. AI-functionaliteit is optioneel waar geïdentificeerd als zodanig en kan onderworpen zijn aan afzonderlijke BambooHR AI-voorwaarden.
De huidige BambooHR AI-servicematerialen identificeren aanbieders van AI van derden, waaronder OpenAI, Cohere en Anthropic/Claude, en de huidige subcontractormaterialen kunnen aanvullende AI- of documentverwerkingsaanbieders identificeren (zoals LlamaIndex), afhankelijk van de functieconfiguratie.
Customers remain responsible for:
- toetsen of het gebruik van AI geschikt is voor hun organisatie;
- een wettige basis vaststellen;
- vereiste transparantie aan betrokkenen verstrekken;
- het verkrijgen van toestemming waar vereist;
- voldoende menselijke toezichtsmaatregelen implementeren;
- bias- en eerlijkheidsrisico's evalueren; en
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
Waar BambooHR Klantgegevens, Invoer of Uitvoer gebruikt om een klant-specifiek model af te stemmen of te trainen, geven de toepasselijke BambooHR AI-voorwaarden aan dat dergelijk gebruik is bedoeld om de AI-functies aan die Klant te leveren en dat het resulterende klantgetrainde model niet anders wordt gebruikt om diensten aan andere klanten te leveren.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
Programmatische toegang moet gebruik maken van ondersteunde authenticatiemethoden en mag Klantgegevens of referenties niet blootstellen aan onbevoegde partijen.
Integraties mogen Klantgegevens niet verder gebruiken dan het gedocumenteerde en geautoriseerde doel.
Wanneer een integratieprovider Persoonsgegevens Verwerkt namens de Klant of Grouper, dienen passende verwerkings- of subverwerkingsvoorwaarden en overdrachtswaarborgen van toepassing te zijn.
Wanneer Grouper optreedt als Verantwoordelijke met betrekking tot zijn eigen bedrijfsactiviteiten, kunnen wij zakelijke contactgegevens verwerken met betrekking tot:
- potentiële klanten;
- klantcontacten;
- leveranciers;
- partners;
- professionele adviseurs;
- evenementdeelnemers;
- websitebezoekers; en
- personen die contact opnemen met Grouper.
Informatie kan naam, organisatie, rol, zakelijke contactgegevens, communicatie, informatie over vragen, IP-adres,/browser- en apparaatgegevens, bezochte pagina's en soortgelijke technische data bevatten.
Wij verwerken dergelijke informatie om op vragen te reageren, relaties te beheren, gevraagde diensten te leveren, veiligheid te handhaven, contracten na te komen, wet te voldoen en, waar toegestaan, relevante zakelijke communicatie te verzenden. Ontvangers kunnen zich afmelden voor direct marketing op elk moment. Operationele, contractuele, beveiligings- en klantenservicecommunicatie zijn geen marketing.
Websites kunnen essentiële, functionele en analytische cookies en vergelijkbare technologieën gebruiken. Wanneer wettelijk vereist, zullen niet-essentiële cookies alleen worden gebruikt na passende toestemming en gebruikers krijgen controles om voorkeuren te beheren.
Grouper seeks to embed privacy into service design and operations. This includes:
- Europese dataresidentie-opties;
- gegevensminimalisatie;
- least-privilege-toegang;
- passende authenticatie;
- versleuteling;
- toegangslogging;
- rolgebaseerde machtigingen;
- veilige overdracht;
- Sub-verwerkercontroles;
- bewaringscontroles;
- incident response-processen;
- privacy- en beveiligingstraining;
- beveiligingstesten;
- DPIA-ondersteuning; en
- gedocumenteerde verantwoording.
Grouper zal registers en governance-maatregelen bijhouden die passend zijn bij haar rol en zal in goed vertrouwen samenwerken met Klanten, Data Subject en bevoegd toezichthouders.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
Wanneer Grouper Persoonsgegevens van Klanten verwerkt als Verwerker, regelt Deel B en de toepasselijke klantovereenkomst de contractuele Verwerkingsrelatie. In geval van inconsistentie met betrekking tot Klantpersoonsgegevens geldt de volgende volgorde van voorrang: wettelijk verplichte Toepasselijke Gegevensbeschermingswet; toepasselijke SCC's, UK Addendum of ander verplicht overdrachtsmechanisme; de Gegevensverwerkingsovereenkomst; toepasselijke gegevensbeschermingsbepalingen van de Overeenkomst; en de rest van de Overeenkomst.
Grouper’s European BambooHR-voorstel is opgebouwd rond drie principes:
Europese gegevensresidentie.
Klantpersoonsgegevens worden gehost en opgeslagen binnen de EER, met primaire hosting in Ierland via Amazon Web Services (AWS).
Europees privacykader.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
Europeaanse service en ondersteuning.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
Ons doel is organisaties in staat te stellen BambooHR te gebruiken terwijl we de privacy-, governance- en data- residency- normen handhaven die European klanten verwachten.
Vragen over dit Privacybeleid, Grouper’s verwerkingsactiviteiten, rechten van betrokkenen, beveiliging of onze Europese dataresidentie-regelingen kunnen worden ingediend via de aangewezen privacy- of klantenondersteuningskanalen van Grouper.
Grouper Technology Limited kan tevens worden geraadpleegd op 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ierland.
Wanneer de betreffende Persoonsgegevens zich bevinden in het BambooHR-account van een werkgever, dienen individuen doorgaans eerst contact op te nemen met die werkgever, omdat die organisatie doorgaans de Verantwoordelijke is voor het bepalen van hoe de informatie wordt gebruikt.
Deze Verwerkersovereenkomst (“DPA”) maakt deel uit van de overeenkomst, orderformulier, statement of work of andere contractuele overeenkomst die de levering van Grouper’s BambooHR-gerelateerde diensten tussen de Klant en Grouper Technology Limited regelt.
Bij het leveren van de Diensten kan Grouper Persoonsgegevens van de Klant verwerken namens de Klant. Deze DPA legt de wederzijdse verplichtingen vast met betrekking tot die verwerking.
Deze DPA geldt voor zover Grouper Process Customer Personal Data namens de Klant en dergelijke Verwerking onderworpen is aan Toepasselijke gegevensbeschermingswetgeving. Het vult de Overeenkomst aan en maakt daarvan deel uit; hoofdletters gedefinieerde termen die hier niet zijn gedefinieerd hebben de betekenis zoals uiteengezet in de Overeenkomst.
Voor deze DPA:
Klantgegevens
Persoonsgegevens die door een Klant of Klant-gelieerde partij worden beheerd en door Grouper in verband met de Diensten worden verwerkt.
Beperkte overdracht
Een overdracht van Persoonsgegevens die een wettelijk verwerkingsmechanisme vereist volgens Toepasselijke Gegevensbeschermingswetgeving.
Standaard Contractuele Clausules (SCCs)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
Een derde partij aangesteld door of namens Grouper om Klantgegevens te verwerken.
Technologieprovider
BambooHR LLC en, waar van toepassing, verwante BambooHR entiteiten die het onderliggende HR-technologieplatform leveren.
Tenzij schriftelijk anders overeengekomen, handelt de Klant als Verantwoordelijke en handelt Grouper als Verwerker. Waar de Klant als Verwerker optreedt voor een andere Verantwoordelijke, treedt Grouper op als Sub-processor voor zover van toepassing.
Grouper zal Persoonsgegevens van Klanten uitsluitend verwerken op basis van gedocumenteerde Klantinstructies en uitsluitend voor zover noodzakelijk om de Diensten te leveren, te onderhouden, te beveiligen en te ondersteunen, tenzij vereist door toepasselijke wetgeving om de gegevens te verwerken.
Grouper zal de Klant zo snel mogelijk informeren als, naar haar redelijke oordeel, een instructie inbreuk maakt op Toepasselijke Gegevensbeschermingswetgeving en kan de betreffende Verwerking schorsen in afwachting van een oplossing.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper zal ervoor zorgen dat Geautoriseerde Personen onderworpen zijn aan passende geheimhoudingsverplichtingen, Persoonsgegevens van Klanten uitsluitend openen waar redelijkerwijs nodig, passende privacy- en beveiligingstrainingen ontvangen en Persoonsgegevens van Klanten only verwerken in overeenstemming met deze DPA en gedocumenteerde Klantinstructies. Toegang zal worden beperkt volgens het beginsel van geringst mogelijke privilege en noodzaak.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
De minimale controledomeinen staan beschreven in Bijlage 2. Grouper mag deze maatregelen bijwerken mits wijzigingen de algehele beveiligingsniveau voor Klantgegevens niet wezenlijk verminderen.
Grouper zal de Klant zo snel redelijkerwijs mogelijk informeren en, waar de 48-uur contractuele verplichting van toepassing is, in ieder geval niet later dan 48 uur nadat een daadwerkelijke of vermoede Beveiligingsgebeurtenis die Klantgegevens betreft, bekend is.
Informatie kan gefaseerd worden verstrekt naarmate deze beschikbaar komt. Grouper zal redelijke medewerking verlenen die nodig is voor de Klant om te voldoen aan meldingsplicht aan toezichthoudende autoriteiten en betrokken Data Subjects.
De Klant verleent Grouper algemene schriftelijke bevoegdheid om Sub-processors in te schakelen die nodig zijn om de Diensten te leveren.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
Indien de onderliggende BambooHR DPA van toepassing is, biedt BambooHR momenteel ten minste 30 dagen vooraf schriftelijke kennisgeving van een nieuwe subverwerker die Persoonsgegevens van de Klant zal verwerken.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Als Grouper rechtstreeks een verzoek ontvangt met betrekking tot Klantgegevens, zal Grouper de Klant onmiddellijk doorverwijzen of informeren en zal niet substantieel reageren behalve op gedocumenteerde instructies of waar wettelijk vereist.
Grouper zal redelijke bijstand leveren, rekening houdend met de aard van de Verwerking en beschikbare informatie, bij Data Protection Impact Assessments, voorafgaand overleg met toezichthoudende autoriteiten, en redelijke verzoeken of onderzoeken door een bevoegde toezichthoudende autoriteit met betrekking tot de Diensten.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
Voor zover wettelijk toegestaan, zal Grouper wettelijk bindende verzoeken van openbare autoriteiten voor Klantgegevens beoordelen, onrechtmatige of onevenredig verzoeken aanvechten waar er redelijke gronden zijn, proberen bekendmaking tot het minimum wettelijk vereiste te beperken, de Klant informeren waar wettelijk toegestaan en passende registers bijhouden.
Op verzoek van de Klant, of bij beëindiging of afloop van de Diensten, zal Grouper, naar keuze van de Klant en onder voorbehoud van technische haalbaarheid en de Overeenkomst, Klantelijke Persoonsgegevens retourneren of veilig verwijderen en relevante Sub-verwerkers daartoe verplichten. Waar de wet vereiste bewaring oplegt, zal Grouper de bewaarde gegevens isoleren en beschermen en deze alleen verwerken zoals wettelijk vereist.
De Klant verklaart dat zij de rechten, toestemmingen, kennisgevingen, rechtsgrondslagen en toestemming heeft die nodig zijn om Klantgegevens voor Verwerking te verstrekken; dat haar instructies voldoen aan de Toepasselijke Gegevensbeschermingswet; dat zij geen illegale Verwerking zal instrueren; en dat zij de Diensten veilig zal configureren en gebruiken en passende controles over gebruikersaccounts, inloggegevens en integraties zal handhaven.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
Deze DPA treedt in werking wanneer de Klant zich daaraan bindt en blijft van kracht zolang Grouper Persoonsgegevens van Klanten verwerkt namens de Klant. Verplichtingen die van nature of krachtens de wetgeving blijven gelden zolang gegevens bewaard blijven, blijven bestaan na verval of beëindiging.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
In geval van inconsistentie betreffende Klantgegevens geldt de volgende prioriteitsvolgorde: vereiste Toepasselijke Gegevensbeschermingswet; toepasbare SCC's, UK Addendum of andere verplichte overdrachtsmechanismen; deze DPA; toepasselijke gegevensbeschermingsbepalingen van de Overeenkomst; en de rest van de Overeenkomst.
Verantwoordelijke / Gegevensexporteur
The Customer identified in the applicable Agreement or Order Form.
Verwerker / Gegevensimporteur
Grouper Technology Limited, 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ierland.
Technologieprovider
BambooHR LLC en toepasselijke BambooHR entiteiten die het onderliggende HRIS-platform leveren.
Onderwerp
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
Aard van Verwerking
Verzameling, ontvangst, notering, organisatie, structurering, migratie, hosting, opslag, opvragen, raadplegen, gebruik, transmissie, beschikbaar stellen, beperking, ondersteuning van toegang, verwijdering en overige Verwerking die redelijkerwijs nodig is om de Diensten te leveren.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
Gedurende de Diensten en elke daaropvolgende periode die nodig is om Klantgegevens terug te geven of te verwijderen of te voldoen aan de wet.
Dat subjects
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
Persoonsgegevens
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
Gevaarlijke gegevens
Wanneer geselecteerd door de Klant, kan het gezondheid- en arbeidsongeschiktheidsinformatie en andere speciale of gevoelige gegevens bevatten die door de Diensten zijn toegestaan.
Primair Europese opslaglocatie
Ierland / EER via Amazon Web Services (AWS) voor Klanten die de Europese dataresidentie-service afnemen.
Bevoegde toezichthoudende autoriteit
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper houdt technische en organisatorische maatregelen aan op de volgende minimum-controle-domeinen:
1. Informatiebeveiligings governance
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. Personeelsbeveiliging
Vertrouwelijkheidsverplichtingen, op rol afgestemde screening waar toegestaan, beveiligingsbewustzijn en privacytraining, en disciplinaire maatregelen bij ongeoorloofde toegang.
3. Fysieke beveiliging
Beperkte toegang tot relevante faciliteiten en infrastructuur; beheerde toegangswegen; toegangsautorisaties; fysieke bewaking en andere waarborgen die geschikt zijn voor de hostingomgeving.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. Gegevenstoegangsbewaking
Maatregelen die zodanig zijn ontworpen dat geautoriseerde gebruikers alleen toegang hebben tot data binnen hun toestemmingen; registratie en bewaking van toegang; vrijgave van data alleen aan geautoriseerde personen.
6. Encryptie en pseudonimisering
Passende encryptie van Persoonsgegevens tijdens overdracht en in rust; pseudonimisering waar passend voor het verwerkingsdoel.
7. Netwerk- en transmissiebeveiliging
Firewalls, beschermde gateways, beveiligde communicatiekanalen, TLS/SFTP of gelijkwaardige beveiligde overdrachtmechanismen, en controles tegen ongeautoriseerde onderschepping of wijziging.
8. Logging en Monitoring
Logging van relevante systeems-, beheer- en toegangsactiviteiten; bewaken van verdachte gebeurtenissen; bewaren van auditinformatie die relevant is voor het risico.
9. Invoer- en wijzigingsbeheer
Maatregelen om vast te stellen wie data heeft ingevoerd, gewijzigd of verwijderd; authenticatie van geautoriseerde gebruikers en systemen; gedocumenteerde wijzigingsbeheerpraktijken.
10. Kwetsbaarheden- en beveiligingstest
Processen om kwetsbaarheden te identificeren, beoordelen en verhelpen; periodieke penetratietests of beveiligingstests; regelmatige beoordeling en evaluatie van de effectiviteit van controles.
11. Beschikbaarheid, back-up en herstel
Infrastructuurredundantie, back-up, herstelmogelijkheden, beschikbaarheidscontroles en bescherming tegen per ongeluk verlies of vernietiging.
12. Bedrijfscontinuïteit en rampenherstel
Gedocumenteerde continuïteits- en herstelplannen ontworpen om beschikbaarheid en toegang op tijd te herstellen na een verstoring of Beveiligings Incident.
13. Gegevensscheiding
Logische of applicatieniveau scheiding tussen klanten en tussen verwerkingsdoeleinden; controles die ongeautoriseerde cross-klanten toegang voorkomen.
14. Beveiligde ontwikkeling
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
Due diligence, schriftelijke gegevensbeschermingsverplichtingen, beveiligingsbeoordeling, transfer waarborgen en voortdurende toezicht die passend is voor de verwerking.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
EU Beperkte Overdrachten
Wanneer EU SCC's vereist zijn, worden de officiële SCC's van de Europese Commissie zonder wijziging in de verplichte bewoording opgenomen. Tenzij rollen anders vereisen, is de Klant de Gegevensexporteur, Grouper en/of de toepasselijke Technology Provider is de Gegevensimporteur, en Module Twee is van toepassing op Verantwoordelijke-naar-Verwerker overdrachten.
UK Beperkte Overdrachten
Voor overdrachten onderworpen aan UK Gegevensbeschermingswetgeving, zullen de EU SCC's samen met de toenmalige UK International Data Transfer Addendum of een ander wettelijk erkend UK-transfermechanisme van toepassing zijn.
Zwitserse Overdrachten
Voor overdrachten onderworpen aan Zwitsers gegevensbeschermingswetgeving, worden de SCC's geïnterpreteerd en aangepast zoals vereist onder de toepasselijke Zwitserse wetgeving, inclusief passende verwijzingen naar de Zwitserse toezichthoudende autoriteit en Zwitserse gegevenssubjecten.
EU-US Gegevensbeschermingskader
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
Uitzonderlijke Toegangsgevallen voor Europese Klanten
Toegestaan uitzonderlijk niet-EER-toegang kan alleen plaatsvinden onder de volgende omstandigheden:
- een noodgeval dat de Ierse data-centre-omgeving of servicecontinuïteit beïnvloedt;
- een ondersteuning- of onderhoudsverzoek dat geautoriseerde specialistentoegang buiten de EEA vereist, onder voorbehoud van de goedkeuring of contractuele autorisatie van de Klant; en
- een geverifieerd Klantverzoek voor Verwerking of hosting buiten de Europese regio.
De exacte leveranciers verschillen per product, functie, ondersteuningspad en Klantconfiguratie. Het huidige live subprocessor-register dat wordt onderhouden door Grouper en/of BambooHR is bepalend voor actieve dienstverlening.
De volgende belangrijkste leveranciers zijn geïdentificeerd in de leidende service-informatie. Een leverancier die hier wordt genoemd verwerkt niet noodzakelijk Klantgegevens voor elke Klant of elke implementatie.
BambooHR LLC
Technologieprovider; HRIS-onderhoud, hosting en ondersteuning. Locatie: Verenigde Staten / service regio's waaronder Europa.
Amazon Web Services (AWS)
Primaire cloud hosting-infrastructuur; Europese regionale hosting in Ierland. Locatie: Ierland / Europa en andere regio's afhankelijk van serviceconfiguratie.
Anthropic / Claude
AI-/taalmodelverwerking. Locatie: Verenigde Staten.
Cohere
Taalmodel-API / AI-verwerking. Locatie: Verenigde Staten.
OpenAI
Taalmodel-API / AI-verwerking. Locatie: Verenigde Staten.
LlamaIndex / LlamaParse
Optionele documentanalyse met AI-functionaliteit. Locatie: Verenigde Staten.
Atlas MongoDB
Dataopslag ter ondersteuning van geselecteerde diensten / AI-gerelateerde functionaliteit. Locatie: Verenigde Staten.
Gainsight
Klantrelatie / CRM-diensten.
Salesforce
CRM-platform.
Cloudflare
Webapplicatie firewall / beveiliging.
Datadog
Infrastructuur- en applicatiemonitoring.
Microsoft / Google Workspace
Samenwerking, communicatie en documentopslag afhankelijk van de huidige configuratie.
Mailgun
Applicatiecommunicatie.
Snowflake
Data-analyse.
Twilio
MFA / SMS-levering.
Aanvullende providers
Aanvullende leveranciers die in de huidige servicedocumentatie zijn geïdentificeerd kunnen Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike en anderen omvatten. Klanten dienen de actuele subverwerkerlijst van BambooHR en de huidige informatie over subverwerkers van Grouper te raadplegen voor de meest actuele details.
1. Reikwijdte
Deze Bijlage is van toepassing wanneer de Klant BambooHR kunstmatige-intelligentie of machine-learning functionaliteit inschakelt in combinatie met door Grouper ondersteunde Diensten.
2. AI-leveranciers
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. In- en uitvoer
Door de Klant aangeleverde prompts, instructies of gegevens die aan AI-functionaliteit worden aangeboden, kunnen ‘Inputs’ vormen en gegenereerde antwoorden kunnen ‘Outputs’ vormen. Afhankelijk van de functie kunnen Inputs of Outputs Klantgegevens bevatten. Outputs zijn mogelijk niet uniek en kunnen lijken op outputs die voor andere gebruikers zijn gegenereerd.
4. Klantverantwoordelijkheden en menselijke toezicht
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. Beperkingen voor gevoelige en gereguleerde gegevens
Waar verboden door de toepasselijke AI-termen, mag de Klant geen gevoelige of gereguleerde informatie indienen bij AI-functies, inclusief gezondheids-, genetische of biometrische informatie, door de overheid uitgereikte identificatienummers, of persoonlijke financiële of bankrekeninggegevens. Klanten dienen Persoonsgegevens in prompts te minimaliseren.
6. Nauwkeurigheid, Bias en Rechtvaardigheid
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
Waar de toepasselijke BambooHR AI-termen het gebruik van Prestatiedata en Feedback toestaan om AI-functionaliteit te verbeteren, is dergelijk gebruik onderworpen aan die termen. Wanneer Klantgegevens worden gebruikt om een klant-specifiek model bij te sturen, wordt het resulterende model gebruikt om AI-functies aan die Klant te leveren en wordt het verder niet gebruikt om diensten aan andere klanten te leveren.
8. Internationale Verwerking
AI-aanbieders kunnen geautoriseerde Inputs of gerelateerde Persoonsgegevens buiten de EEA verwerken. Die Verwerking valt onder de overdrachtbeveiligingen in deze DPA en wijzigt niet de locatie van de door de Klant gecontracteerde kern HRIS-opslagregio. Klanten dienen te evalueren of optioneel AI-gebruik in overeenstemming is met hun eigen verblijf, ondernemingsraad, arbeidsrecht en risicovoorschriften voordat ze het inschakelen.
Vragen over dit Privacybeleid of uw gegevensrechten?
Neem contact met ons op
