Legal
Personvernerklæring | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
Sist oppdatert: 16. august 2026
Grouper forplikter seg til å beskytte personopplysninger og opprettholde høye standarder for personvern, sikkerhet og etterlevelse av regelverk. Databeskyttelse behandles som en kjerneoperasjonell og kontraktsmessig ansvar, ikke som en etterslep. Vi utformer vår servicedistribusjon, tilgangskontroller, supportprosesser og leverandør-styring for å gjenspeile prinsippene om ansvarlighet, integritet, konfidensialitet og åpenhet i GDPR.
Denne personvernerklæringen forklarer hvordan Grouper Technology Limited (“Grouper”, “vi”, “oss” eller “vår”) samler inn, bruker, får tilgang til, drifter, lagrer, beskytter, overfører og ellers behandler personopplysninger i forbindelse med tjenestene vi leverer, inkludert vår rolle som europeisk partner for BambooHR.
Grouper støtter organisasjoner i Irland, Storbritannia, Europa og andre regioner med implementering, administrasjon og bruk av BambooHR HRIS-plattform og tilhørende HR-teknologi.
Vårt europeiske tjenestemodell er utformet rundt et klart prinsipp om europeisk dataoppbevaring. Kundens personopplysninger behandlet gjennom Grouper’s europeiske BambooHR-tjeneste er vertet og lagret innenfor Det europeiske økonomiske samarbeidsområde (“EEA”), med primær vertstjeneste i Irland.
Denne personvernerklæringen gjelder personopplysninger behandlet i forbindelse med:
- BambooHR implementering og onboarding;
- HRIS-konfigurasjon;
- kontoadministrasjon;
- kundestøtte;
- teknisk støtte;
- integrasjonstøtte;
- datamigrering;
- kundesuksess;
- opplæring;
- profesjonelle tjenester;
- sikkerhet og tjenesteadministrasjon;
- kundekommunikasjon;
- salg og demonstrasjoner;
- Grouper nettsteder og digitale tjenester; og
- våre generelle forretningsaktiviteter.
Grouper Technology Limited er et irsk selskap med registrert adresse i 3. etasje, 22 Ely Place, Dublin, D02 AH73, Irland.
BambooHR leverer det underliggende HR-informasjonssystemet og tilhørende produktegenskaper. Grouper leverer europeisk implementering, migrasjon, konfigurasjon, opplæring, kundesuksess, støtte, tjenesteadministrasjon og tilknyttede profesjonelle tjenester. Avhengig av kundens abonnement og konfigurasjon, kan BambooHR HRIS-plattformen støtte medarbeiderregistre, onboarding, rekruttering, tid- og fraværsregistrering, permisjonshåndtering, ytelse, kompensasjon, fordeler, lønnsrelatert funksjonalitet, rapportering, analyse, integrasjoner, API-er og kunstig intelligens-funksjoner.
Avhengig av tjenestene som en kunde kjøper, kan Grouper tilby:
- BambooHR implementering;
- onboarding;
- konfigurasjon;
- kontooppsett;
- migrasjonsstøtte;
- integrasjonstjenester;
- teknisk støtte;
- HRIS-støtte;
- opplæring;
- kundesuksess-tjenester;
- tjenesteadministrasjon;
- feilsøking; og
- relaterte profesjonelle tjenester.
Den presise personvernrollen til Grouper avhenger av den spesifikke behandlingsaktiviteten.
Der Grouper bestemmer formålene og midlene for behandling — for eksempel i visse nettsteder, salgs-, forretningskontakt-, sikkerhets- eller bedriftsadministrasjonsaktiviteter — fungerer Grouper som en behandlingsansvarlig.
Der Grouper behandler kundens personopplysninger utelukkende på vegne av en kunde og i samsvar med den kundens dokumenterte instruksjoner, fungerer Grouper som en behandlingsansvarlig.
Når kunden selv fungerer som Behandler for en annen Datatilsyn, kan Grouper opptre som Under-behandler i den utstrekning det er aktuelt.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 Kjerneoppfyllelse av europeisk bosted
For kunder som kjøper Grouper’s europeiske BambooHR-tjeneste med EEA-datas oppbevaring, er kundens personopplysninger som utgjør en del av kjerne HRIS-produksjonsmiljøet vertet og lagret innenfor EEA, med primær vertslokasjon i Irland.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 Lagring kontra tilgang
Databosted beskriver hvor Kundens Personopplysninger lagres. Det betyr ikke at det aldri kan forekomme autorisert støtte- eller teknisk tilgang fra et annet land.
Unntaksvis tilgang utenfor EØS kan forekomme kun der det er nødvendig, autorisert og juridisk beskyttet som beskrevet i avsnitt 17 og 18 i denne retningslinjen.
4.3 Sikkerhetskopier, motstandsdyktighet og katastrofehåndtering
Backup-, motstandsdyktighet- og katastrofegjenopprettingsordninger er utformet for å bevare konfidensialitet, integritet og tilgjengelighet og være i samsvar med kundens kontraktfestede regionale vertskapsforpliktelser.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 Ingen rutinemessig flytting utenfor EØS
Grouper bruker ikke unntaksstøtteadgang som mekanisme for rutinemessig omplassering av europeiske Kundepersonopplysninger.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
"Gjeldende databeskyttelseslov" betyr all databeskyttelse, personvern og datasikkerhetslover og forskrifter som gjelder for behandlingen, inkludert der det er relevant:
- Regulering (EU) 2016/679 — General Data Protection Regulation (GDPR);
- Den irske personopplysningsloven av 2018;
- gjeldende irske ePrivacy- og elektroniske kommunikasjonsregler;
- UK GDPR og UK Data Protection Act 2018 hvor aktuelt;
- gjeldende sveitsisk personvernlovgivning hvor aktuelt;
- gjeldende nasjonal lovgivning som implementerer europeiske personvernkrav; og
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
Informasjonen som behandles avhenger av tjenestene som kunden har valgt og dataene kunden velger å plassere i HR-miljøet.
6.1 Employee and Workforce Information
Personopplysninger kan inkludere:
- navn og ansattes identifikasjonsnumre;
- bilder der det er gitt;
- hjemme- eller arbeidskontaktdetaljer;
- fødselsdato, kjønn og demografiske opplysninger der det er oppgitt;
- familie- eller ektefelleinformasjon der det er oppgitt;
- nødsituasjonskontakter og telefonnumre;
- akademiske og profesjonelle kvalifikasjoner;
- CV- eller résumé-informasjon, ansettelseshistorikk og språkferdigheter;
- stillingstittel, grad, avdeling, sted, rapporteringslinjer og teamtilhørighet;
- ansettelses- og oppsigelsesdatoer, arbeidstimer og kontraktdetaljer;
- prestasjon, evaluering, disiplin og arbeids-historikkinformasjon;
- fordeler, forsikring, selskapsaktiva og opplæringsinformasjon; og
- ferie-, fraværs- og tidsinformasjon.
6.2 Lønns- og kompensasjonsinformasjon
Når relevante tjenester benyttes, kan Personopplysninger inkludere:
- lønn, kompensasjon og bonuser;
- skatte- og trygdeopplysninger;
- bank- og betalingsdetaljer;
- pensjonsinformasjon;
- aksjeopsjoner og andre fordeler; og
- annen lønnsrelatert informasjon.
6.3 Ansettelse-, kandidat- og referanseinformasjon
For candidates, prospective employees and referees, information may include:
- identitet og kontaktopplysninger;
- CV-er, résuméer, ansettelseshistorikk og kvalifikasjoner;
- søknads-, intervju- og rekrutteringsregistre;
- kandidatkommunikasjon og rekrutteringsstatus;
- forskutt kompenasjoninformasjon;
- referansepersoners navn, kontaktopplysninger og faglig forhold; og
- informasjon i referanser.
6.4 Spesiell kategori og sensitiv data
Avhengig av kundens bruk av BambooHR HRIS-plattformen, kan tjenestene inneholde helse- eller funksjonshemmingsinformasjon og annen spesiell kategori eller sensitiv personopplysninger.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
Kunder bør ikke lagre sensitiv informasjon i fritekstfelt eller AI-funksjoner med mindre det er nødvendig, lovlig og tillatt av relevante produktvilkår.
Personopplysninger som behandles i tilknytning til Grouper’s tjenester kan vedrøre:
- nåværende, tidligere, potensielle og fremtidige ansatte;
- kandidater og søkere;
- kontraktører, konsulenter, agenter og selvstendige entreprenører;
- byrå-, midlertidige- og tilfeldige arbeidere;
- praktikanter og frivillige;
- ansatte avhengige, begunstigede og nødetaker;
- referanser og referanseleverandører;
- Kundeadministratorer og autoriserte brukere; og
- andre personer hvis Personopplysninger en kunde lovlig sender til tjenestene.
Personopplysninger kan innhentes:
- direkte fra den enkelte;
- fra individets arbeidsgiver eller potensielle arbeidsgiver;
- fra Kundeadministratorer og autoriserte brukere;
- under implementering, konfigurasjon og datamigrering;
- gjennom autoriserte integrasjoner eller API-er;
- gjennom supportforespørsler og feilsøking;
- gjennom BambooHR HRIS-plattformen eller et annet av systemene som kunden velger;
- gjennom rekrutteringsprosesser;
- fra offentlige kilder der det er lovlig brukt; og
- fra andre lovlige kilder autorisert av Kunden.
Grouper Behandler Personopplysninger kun for spesifikke og lovlige formål. Dette kan inkludere:
- implementere og konfigurere BambooHR HRIS-plattformen;
- hoste eller legge til rette hosting av Kundepersonopplysninger;
- administrere kontoer og brukerrettigheter;
- vedlikeholde og sikre tjenesten;
- levere kundestøtte og teknisk støtte;
- støtte integrasjoner og migrasjoner;
- levere opplæring og profesjonelle tjenester;
- administrere abonnementer og kundeforhold;
- oppdage og undersøke sikkerhetshendelser;
- opprettholde revisjonsposter;
- forebygge svindel eller misbruk;
- overholde rettslige forpliktelser; og
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
Når støttepersonell får tilgang til Kundepersonopplysninger, må tilgangen være begrenset til minimumsinformasjon som rimelig nødvendig for støttetilfellet og må utføres av autorisert personale underlagt konfidensialitet og tilgangskontroller.
Når Grouper handler som Behandler, kan gjeldende rettslig grunnlag inkludere:
10.1 Kontrakt
Behandling som er nødvendig for å inngå eller oppfylle en kontrakt, eller for å ta skritt før inngåelse av kontrakt på individets anmodning.
10.2 Legitimerte interesser
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- tjenestelevering;
- kundeadministrasjon;
- informasjonssikkerhet;
- svindelforebygging;
- forretningskontinuitet;
- kundestøtte; og
- relationship management.
10.3 Lovlig forpliktelse
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 Samtykke
Der det er aktuelt kan behandling baseres på samtykke. Samtykke kan trekkes tilbake når som helst uten at lovligheten av behandling som er utført før tilbaketrekningen påvirkes.
Når Kunden fungerer som Behandler, er Kunden ansvarlig for:
- å bestemme formålene for hvilke Personopplysninger behandles;
- etablering av lovlige grunnlag og spesialkategoribetingelser;
- å gi nødvendige personvernvarsler;
- å innhente samtykke der det kreves;
- å sikre nøyaktighet og kvalitet på dataene;
- å bestemme passende oppbevaringsperioder;
- å administrere autoriserte brukere og rettigheter;
- å bruke tjenestene sikkert; og
- å sikre at instruksene til Grouper er lovlige.
Kunden må ikke instruere Grouper til å behandle Personopplysninger på en måte som krenker gjeldende personvernlovgivning.
Grouper vil varsle Kunden dersom, etter rimelig oppfatning, en instruksjon krenker gjeldende personvernlovgivning og kan suspendere den aktuelle behandlingen inntil problemet er løst.
Grouper begrenser tilgangen til Kundepersonopplysninger til autoriserte personer som rimelig trenger tilgang for sine oppgaver. Personell er underlagt passende konfidensialitetsforpliktelser og får personvern- og sikkerhetstrening som er passende for deres rolle. Tilgang styres av prinsippene om minst privilegium og behov-for-kjent.
Tilgangskontroller inkluderer:
- identitets- og autentiseringskontroller;
- rollebaserte og priviligerte tilgangskontroller;
- administrative kontokontroller;
- konto-livssyklusstyring;
- tilgangslogging og overvåking;
- periodisk tilgangsgjennomgang;
- konfidensialitet og akseptable bruks- krav; og
- passende personellsikkerhet og trening.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
Tiltak inkluderer:
- fysiske og logiske tilgangskontroller;
- sterk autentisering og passende passordkontroller;
- kryptering i overføring og i ro når det er aktuelt;
- pseudonymisering der det er aktuelt;
- nettverks-brannmurer, yttervegg-sikkerhet og inntrengningsdeteksjon;
- logging, overvåking og revisjonssporelementer;
- sårbarhetsstyring og sikkerhetstesting;
- begrenset administrativ tilgang;
- trygg overføring, inkludert beskyttede overføringskanaler;
- backup, redundans, gjenoppretting og motstandsdyktighet;
- forretningskontinuitet og katastrofesgjenoppretting;
- trygg utvikling og endringsstyring;
- datadeling mellom kunder og behandlingsformål;
- hendelsesrespons-prosedyrer;
- ansatt-sikkerhetsbevissthet og opplæring; og
- underdatabehandleres aktsomhet og sikkerhetsstyring.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
Når Grouper fungerer som Behandler og blir oppmerksom på et faktisk eller mistenkt Personopplysningsbrudd som påvirker Kundepersonopplysninger, vil Grouper varsle den relevante Kunden så raskt som praktisk mulig og i alle fall innen 48 timer etter at hendelsen ble kjent.
I den grad det er rimelig tilgjengelig, vil varslingen inkludere:
- hendelsens art;
- kategorier av berørte Personopplysninger;
- omtrentlig antall Datagrunnlag og antall poster;
- sannsynlige konsekvenser;
- mål som er tatt eller foreslått;
- avbøtende tiltak; og
- en kontaktperson for ytterligere informasjon.
Informasjon kan gis i faser etter hvert som den blir tilgjengelig.
Grouper vil gi rimelig samarbeid for å gjøre det mulig for Kunden å oppfylle gjeldende regulatoriske og Datatilsyns-meldingsforpliktelser.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper kan utpeke nøye utvalgte Underdatabehandlere og tjenesteleverandører der det er nødvendig for å levere, hoste, sikre, støtte, overvåke eller forbedre Tjenestene.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
Når gjeldende kundebetingelser gir generell skriftlig autorisasjon, vil Kundene få varsel om vesentlige nye Underdatabehandlere på forhånd og få mulighet til å gjøre innsigelse av fornuftige personvernsgrunnlag.
For BambooHR underleverandører gir den gjeldende BambooHR-DPA minst 30 dagers forhåndsvarsel om en ny underleverandør som vil behandle kundens personopplysninger.
Vedlegg 4 gir gjennomsiktighet om nøkkelkategorier av leverandører og navngitte leverandører identifisert i styrende tjenestemateriell.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
BambooHR’s behandling er underlagt gjeldende kontraktuelle og databeskyttelsesterminer, inkludert DPA, sikkerhetstiltak, underleverandørordninger og internasjonale overføringsvern.
Grouper forblir ansvarlig for sine egne forpliktelser i henhold til gjeldende databeskyttelseslovgivning og den gjeldende kundeaavtalen. Når BambooHR behandler personopplysninger for å støtte Grouper’s europeiske kundemiljø, gjelder de relevante kontraktlige, sikkerhets- og datarenovskravene.
For Grouper’s kontraherte europeiske tjeneste er kundens personopplysninger utformet for å lagres i EEA, med primær vert i Irland via Amazon Web Services (AWS). Autorisert behandling eller ekstern tilgang fra utenfor EEA kan utgjøre en begrenset overføring selv når dataene forblir lagret i Irland. Slike tilgang er tillatt kun der lovlig, nødvendig og beskyttet av passende sikkerhetstiltak.
Eksempler på eksepsjonelle scenarier inkluderer:
- en nødsituasjon som påvirker irsk datasentermiljø eller tjenestekontinuitet;
- en forespørsel om støtte eller vedlikehold som krever autorisert spesialisert tilgang fra utenfor EEA, underlagt kundens gjeldende godkjenning eller kontraktfestet autorisasjon; og
- en bekreftet kundeforespørsel om å flytte eller på annen måte behandle data utenfor den kontraktfestede europeiske vertsområdet.
Når en Begrenset overføring finner sted, vil Grouper og/eller den relevante teknologileverandøren bruke en lovlig anerkjent mekanisme som:
- en tilstrekkelighetsavgjørelse;
- EU-kommisjonens standard kontraktsvilkår;
- UK International Data Transfer Addendum hvor aktuelt;
- deltakelse i EU-US Data Privacy Framework hvor lovlig tilgjengelig og aktuelt;
- Bindende konsernsregler hvor aktuelt; eller
- en annen gyldig sikkerhetsforanstaltning som er anerkjent under gjeldende personvernlovgivning.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
Ingenting i slike ordninger for unntaksadgang endrer Grouper’s forpliktelse om at kundens personopplysninger for den europeiske tjenesten lagres innenfor EEA.
Der EU-standardavtalevilkårene er påkrevd, er de integrert i sin offisielt godkjente form uten endring av nødvendig ordlyd. For overføringer Controller-to-Processor gjelder Modul to vanligvis med mindre en annen modul kreves av partenes roller.
Hvis Irland velges som gjeldende EU-lovgivning og rettssak, godtar partene domstolene i Irland som angitt i vedlegget til SCC.
For overføringer som omfattes av UK Data Protection Law, vil EU SCC-ene gjelde sammen med da gjeldende UK International Data Transfer Addendum eller annen lovlig UK-overføringsmekanisme.
Supplementary measures may include:
- kryptering;
- tilgangsrestriksjoner;
- nøkler og nøkkelstyring-kontroller;
- minimering;
- loggføring;
- kontraktlige begrensninger på videreoverføring;
- regeringsforespørsel-vurderingsprosedyrer;
- åpenbare tiltak; og
- suspensjon eller terminering av overføringer der et tilstrekkelig beskyttelsesnivå ikke kan sikres.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
Ulovlige eller urimelige forespørsler vil bli utfordret der det er rimelige grunner og en lovlig grunnlag for å gjøre det.
Offentliggjøring vil være begrenset til det som juridisk kreves.
Kunden vil bli varslet der det er lovlig tillatt. Hvor varsling er forbudt, vil rimelige forsøk gjøres på å oppnå tillatelse til å varsle der det er hensiktsmessig.
Poster av forespørselen og svar vil bli opprettholdt som loven krever og i henhold til den gjeldende overføringsmekanismen.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- tilgang;
- retting;
- sletting;
- behandling- restriksjon;
- dataportabilitet;
- innsigelse;
- tilbaketrekking av samtykke;
- rettigheter knyttet til automatisert beslutningstaking og profilering; og
- the right to complain to a competent supervisory authority.
Når Grouper handler som Behandler, bør forespørsler om Kundepersonopplysninger normalt rettes til den relevante Kunden som Behandlere. Hvis Grouper mottar en slik forespørsel direkte, vil Grouper, med mindre det er lovlig forbudt, henvise eller varsle forespørselen til Kunden og vil ikke svare substansielt annet enn på dokumenterte Kundebeskjeder eller der det er påkrevd av lov. Grouper vil gi rimelig assistanse for å gjøre Kunden i stand til å oppfylle sine forpliktelser.
Med tanke på behandlings natur og informasjonen som er tilgjengelig for Grouper, vil Grouper gi rimelig assistanse med databeskyttelsesvurderinger og, der det er nødvendig, forhåndskonsultasjon med en kompetent tilsynsmyndighet.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- sikkerhetsdokumentasjon;
- policyer;
- overholdelsesinformasjon;
- revisjonsinformasjon;
- uavhengige sikkerhetsrapporter;
- relevante sertifiseringer; og
- svar på rimelige sikkerhetsspørreskjemaer.
Når det er juridisk eller kontraktsmessig påkrevd og rimelig dokumentasjonsbevis mangler, kan kunder utøve gjeldende revisjonsrettigheter med rimelig varsel, underlagt taushetsplikt, sikkerhet, ikke-innblanding og beskyttelse av annen kundes informasjon. Med mindre det kreves på grunn av en sikkerhetshendelse, regulatorisk krav eller rimelig bevis på vesentlig avvik, skal formelle revisjoner normalt begrenses til én gang i løpet av tolv påfølgende måneder. Kunder bærer som regel sine egne revisjonskostnader med mindre lov eller kontrakt annet tilsier.
Grouper beholder Personopplysninger kun så lenge som rimelig nødvendig for det aktuelle formålet eller som det følger av lov.
Når Grouper fungerer som Behandler, bestemmes oppbevaringen primært av:
- dokumenterte kundebeskjeder;
- gjeldende kundeavtale;
- varigheten av Tjenestene;
- støttebehov;
- juridiske forpliktelser; og
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
Kunder er ansvarlige for å opprettholde nøyaktige Kundepersonopplysninger. Når Grouper eller en behandler blir oppmerksom på at data er unøyaktige eller utdaterte i omstendigheter som krever handling, vil Grouper samarbeide med Kunden for å rette opp eller slette dataene i samsvar med dokumenterte instruksjoner og gjeldende personvernlovgivning.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
Visse BambooHR-funksjoner kan bruke kunstig intelligens eller maskinlæring. AI-funksjonalitet er valgfri der den er identifisert som slik og kan være underlagt separate BambooHR AI-betingelser.
Nåværende BambooHR AI-tjeneste-materialer identifiserer tredjeparter AI-leverandører inkludert OpenAI, Cohere og Anthropic/Claude, og nåværende underleverandørmaterialer kan identifisere ytterligere AI eller dokumentbehandlingsleverandører (som LlamaIndex) avhengig av funksjonskonfigurasjon.
Customers remain responsible for:
- vurdere om AI-bruk er passende for organisasjonen;
- etablere en lovlig grunnlag;
- gi nødvendig åpenhet til data_subjects;
- å innhente samtykke der det kreves;
- implementere tilstrekkelig menneskelig tilsyn;
- vurdere skjevhet og rettferdighetsrisikoer; og
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
Når BambooHR bruker Kundedata, Inndata eller Utdata til å finjustere eller trene en kundespesifikk modell, angir gjeldende BambooHR AI-betingelser at slik bruk er for å levere AI-funksjonene til den Kunden og at den resulterende kundetrente modellen ikke brukes til å tilby tjenester til andre kunder.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
Programmatisk tilgang bør bruke støttede autentiseringsmetoder og må ikke avsløre Kundedata eller på logg innloggede opplysninger til uautoriserte parter.
Integrasjoner må ikke bruke Kundedata utover det dokumenterte og autoriserte formålet.
Når en integrasjonsleverandør behandler Personopplysninger på vegne av Kunden eller Grouper, må passende Behandler- eller Underdatabehandlervilkår og overføringsvern gjelde.
Når Grouper fungerer som Behandler i forhold til sine egne forretningsaktiviteter, kan vi behandle forretningskontaktinformasjon knyttet til:
- potensielle kunder;
- kunde kontakter;
- leverandører;
- partnere;
- faglige rådgivere;
- arrangørobsøkte deltakere;
- nettstedsbesøkende; og
- personer som kontakter Grouper.
Informasjon kan inkludere navn, organisasjon, rolle, forretningskontaktdetaljer, kommunikasjon, forespørselsinformasjon, IP-adresse, nettleser og enhetsinformasjon, besøkte sider og lignende tekniske data.
Vi behandler slik informasjon for å svare på henvendelser, administrere forhold, levere etterspurt tjenester, opprettholde sikkerhet, oppfylle kontrakter, overholde loven og, der det er tillatt, sende relevant forretningskommunikasjon. Mottakere kan avmelde direkte markedsføring når som helst. Operasjonelle, kontraktuelle, sikkerhets- og kundeservicekommunikasjoner er ikke markedsføring.
Nettsteder kan bruke essensielle, funksjonelle og analyse-kaker og lignende teknologier. Hvor det er lovpålagt, vil ikke-essensielle informasjonskapsler bli brukt først etter riktig samtykke, og brukere vil få mulighetene til å styre preferanser.
Grouper seeks to embed privacy into service design and operations. This includes:
- Europeiske data-oppholdsvalg;
- dataminimering;
- minste-privilegium-tilgang;
- passende autentisering;
- kryptering;
- tilgangslogging;
- rollebasert tilgangstillatelse;
- sikker overføring;
- underdatabehandler-kontroller;
- oppholdskontroller;
- hendelsesresponsprosesser;
- personvern- og sikkerhetstrening;
- sikkerhetstesting;
- DPIA-støtte; og
- dokumentert ansvarlighet.
Grouper vil opprettholde poster og styringsmekanismer som passer til sin rolle og vil i god tro samarbeide med kunder, data-subjekter og kompetente tilsynsmyndigheter.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
Når Grouper behandler Kundepersonopplysninger som Behandler, reguleres kontraktsforholdet av Del B og gjeldende kundeavtale. Ved motstrid mellom Kundepersonopplysninger, gjelder følgende prioritetsrekkefølge: obligatorisk gjeldende personvernlovgivning; gjeldende SCC-er, UK-tillegg eller annen obligatorisk overføringsmekanisme; Data Processing Agreement; gjeldende personvernbestemmelser i Avtalen; og resterende av Avtalen.
Grouper’s europeiske BambooHR-tilbud er bygget rundt tre prinsipper:
Europeisk datas residence.
Kundepersonopplysninger er vert og lagret innen EØS, med primær hosting i Irland via Amazon Web Services (AWS).
Europeiske personvernstandarder.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
Europeisk tjeneste og support.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
Vårt mål er å gjøre det mulig for organisasjoner å bruke BambooHR samtidig som personverns-, styrings- og data-sone-standarder som forventes av europeiske kunder opprettholdes.
Spørsmål vedrørende denne personvernerklæringen, Grouper’s behandlingsaktiviteter, registrertes rettigheter, sikkerhet eller våre europeiske dataresidensordninger kan sendes gjennom Grouper’s utpekte personvern- eller kundestøttekanaler.
Grouper Technology Limited kan også kontaktes på 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Irland.
Der hvor aktuelle personopplysninger er lagret i arbeidsgivers BambooHR-konto, bør enkeltpersoner vanligvis kontakte arbeidsgiveren først, da denne organisasjonen vanligvis vil være behandlingsansvarlig for å fastslå hvordan informasjonen brukes.
Denne databehandlingsavtalen (“DPA”) utgjør en del av avtalen, bestillingsskjemaet, arbeidsomfanget eller annet kontrakt som regulerer levering av Grouper’s BambooHR-relaterte tjenester mellom Kunden og Grouper Technology Limited.
Ved levering av tjenestene kan Grouper behandle kundens personopplysninger på vegne av Kunden. Denne DPA fastsetter partenes respektive forpliktelser for den behandlingen.
Denne DPA gjelder i den grad Grouper Prosesserer Kundepersonopplysninger på vegne av Kunden og slik behandling er underlagt gjeldende personvernlovgivning. Den supplerer og utgjør en del av Avtalen; kapitlerte begreper som ikke er definert her har betydningen gitt i Avtalen.
For denne DPA:
Kundepersonopplysninger
Personopplysninger som er kontrollert av en Kunde eller Kunde-tilknyttet foretak og behandles av Grouper i forbindelse med Tjenestene.
Begrenset overføring
En overføring av personopplysninger som krever et lovlig overføringsgrunnlag i henhold til gjeldende personvernlovgivning.
Standardkontraktbestemmelser (SCC-er)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
En tredjepart utnevnt av eller på vegne av Grouper for å behandle Kundepersonopplysninger.
Teknologileverandør
BambooHR LLC og, der det er aktuelt, tilknyttede BambooHR enheter som leverer den underliggende HR-teknologi-plattformen.
Med mindre annet er skriftlig avtalt, fungerer Kunden som Behandler og Grouper som Behandlingsansvarlig. Der Kunden opptrer som Behandler for en annen Behandlingsansvarlig, fungerer Grouper som Sub-behandler i den utstrekning det er aktuelt.
Grouper vil behandle Kundeopplysninger kun i samsvar med dokumenterte Kundeinstruksjoner og kun i den grad det er nødvendig for å levere, vedlikeholde, sikre og støtte Tjenestene, med mindre det er påkrevd å behandle dataene i henhold til gjeldende lovgivning.
Grouper vil snarest informere Kunden hvis, etter dets rimelige oppfatning, en instruksjon bryter gjeldende personvernlovgivning og kan suspendere den berørte behandlingen inntil delingen er avklart.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper vil sikre at autoriserte personer er underlagt passende taushetsplikt, har tilgang til Kundeopplysninger kun der det er rimelig nødvendig, får riktig personvern- og sikkerhetsopplæring og behandler Kundeopplysninger kun i samsvar med denne DPA og dokumenterte kundeinstrukser. Tilgang vil være begrenset i tråd med prinsippene om minste privilegium og behov-til-kjennskap.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
Minimumskontrollområdene er beskrevet i Avtalevedlegg 2. Grouper kan oppdatere disse tiltakene forandringer ikke vesentlig reduserer det totale beskyttelsesnivået som ytes til Kundepersonopplysninger.
Grouper vil varsle Kunden så snart rimelig mulig og, der den 48-timers forpliktelsen gjelder, i alle tilfeller senest 48 timer etter å ha blitt oppmerksom på en faktisk eller mistenkt sikkerhetshendelse som påvirker Kundeopplysninger.
Informasjon kan leveres i faser etter hvert som den blir tilgjengelig. Grouper vil gi rimelig samarbeid nødvendig for Kunden å overholde varsling til tilsynsmyndigheter og berørte registrerte.
Kunden gir Grouper generell skriftlig myndighet til å engasjere under-behandlere som er nødvendige for å levere Tjenestene.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
Når den underliggende BambooHR-DPA gjelder, gir BambooHR for tiden minst 30 dagers skriftlig varsel om en ny underleverandør som vil behandle kundens personopplysninger.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Hvis Grouper mottar en forespørsel direkte vedrørende Kundeopplysninger, vil Grouper straks henvise eller varsle Kunden og vil ikke svare vesentlig annet enn på dokumenterte instrukser eller der lov påbyr.
Grouper vil bidra med rimelig bistand, tatt i betraktning arten av behandlingen og tilgjengelig informasjon, med konsekvensvurdering av personvern (DPIA), forhåndskonsultasjon med tilsynsmyndigheter, samt rimelige forespørsler eller undersøkelser av en kompetent tilsynsmyndighet relatert til Tjenestene.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
I den utstrekning loven tillater, vil Grouper vurdere juridisk bindende offentlige forespørsler om Kundeopplysninger, utfordre ulovlige eller urimelige forespørsler der det er rimelig grunnlag, søke å begrense avsløringen til det minst lovpålagte, varsle Kunden der det er lovlig tillatt og opprettholde passende arkiver.
På Kundens forespørsel, eller ved oppsigelse eller utløp av tjenestene, vil Grouper, etter Kundens valg og underlagt teknisk gjennomførbarhet og Avtalen, returnere eller sikkert slette Kundens personopplysninger og kreve at relevante under-behandlere gjør det samme. Hvor loven krever oppbevaring, vil Grouper isolere og beskytte de beholde dataene og behandle dem kun slik det er juridisk påkrevd.
Kunden garanterer at den har de rettigheter, tillatelser, varsler, rettslige grunnlag og samtykker som kreves for å gi Kundeopplysninger til Behandling; at dens instruksjoner overholder gjeldende personvernlovgivning; at den ikke gir instruks om ulovlig behandling; og at den konfigurerer og bruker Tjenestene sikkert og opprettholder passende kontroller over brukerkontoer, legitimasjon og integrasjoner.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
Dette DPA trer i kraft når Kunden blir bundet av den og fortsetter så lenge Grouper Behandler Kundeopplysninger på vegne av Kunden. Forpliktelser som etter natur eller lov må fortsette mens data beholdes, overlever ved utløp eller oppsigelse.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
Ved motstrid om Kundeopplysninger gjelder følgende rangering: tvungen gjeldende personvernlovgivning; gjeldende SCC-er, UK tilleggsavtale eller annen nødvendig overføringsmekanisme; denne DPA; gjeldende databeskyttelsesbestemmelser i Avtalen; og resten av Avtalen.
Behandler / Dataeksportør
The Customer identified in the applicable Agreement or Order Form.
Behandler / Dataimportør
Grouper Technology Limited, 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Irland.
Teknologileverandør
BambooHR LLC og gjeldende BambooHR enheter som leverer den underliggende HRIS-plattformen.
Tema for behandling
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
Behandlingens Art
Innsamling, mottak, registrering, organisering, strukturering, migrasjon, vert, lagring, henting, konsultasjon, bruk, formidling, tilgjengeliggjøring, restriksjon, støtte tilgang, sletting og annen Behandling som rimelig nødvendig for å levere Tjenestene.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
I løpet av Tjenestenes varighet og eventuelt etterfølgende periode nødvendig for å returnere eller slette Kundeopplysninger eller overholde lovgivning.
Registrerte personer
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
Personopplysninger
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
Følsomme data
Når Kundens valg, kan inneholde helseinformasjon og funksjonshemmede informasjonsdata og andre spesielle eller følsomme data tillatt av Tjenestene.
Primær europeisk lagring
Irland / EØS via Amazon Web Services (AWS) for kunder som kjøper europeisk data-sone tjeneste.
Kompentent tilsynsmyndighet
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper opprettholder tekniske og organisatoriske tiltak i henhold til følgende minste kontrollområde:
1. Informasjonssikkerhetsstyring
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. Personalsecurity
Taushetsplikt, aldersmessig gransking der lovlig, sikkerhetsbevissthet og personvernopplæring, samt disiplinære tiltak for uautorisert tilgang.
3. Fysisk sikkerhet
Begrenset tilgang til relevante fasiliteter og infrastruktur; kontrollerte tilgangsveier; tilgangstillatelser; fysisk overvåkning og andre tiltak som er hensiktsmessige for vertsmiljøet.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. Data-tilgangskontroll
Kontroller som gjør at autoriserte brukere kun kan få tilgang til data innenfor deres tillatelser; logging og overvåkning av tilgang; utgivelse av data kun til autoriserte personer.
6. Kryptering og pseudonymisering
Passende kryptering av personopplysninger i overføring og i hvile; pseudonymisering der det er hensiktsmessig for behandlingsformålet.
7. Nettverk og transmisjonssikkerhet
Brannmurer, beskyttede gatewayer, sikre kommunikasjonskanaler, TLS/SFTP eller tilsvarende beskyttede overføringsmekanismer, og kontroller mot uautorisert avlytting eller endring.
8. Logging og overvåking
Logging av relevant system-, administrasjons- og tilgangsaktivitet; overvåking for mistenkelige hendelser; oppbevaring av revisjonsinformasjon som er passende for risiko.
9. Inngangs- og endringskontroll
Kontroller for å identifisere hvem som har skrevet inn, endret eller slettet data; autentisering av autoriserte brukere og systemer; dokumenterte endringshåndteringspraksiser.
10. Sårbarhet og sikkerhetstesting
Prosesser for å identifisere, vurdere og utbedre sårbarheter; periodisk penetrasjonstesting eller sikkerhetstesting; regelmessig vurdering og evaluering av kontrollenes effektivitet.
11. Tilgjengelighet, backup og gjenoppretting
Infrastrukturredundans, backup, gjenopprettingskapasitet, tilgjengelighetskontroller og beskyttelse mot utilsiktet tap eller ødeleggelse.
12. Forretningskontinuitet og katastrofeberedskap
Dokumenterte kontinuitets- og gjenopprettingsplaner utformet for å gjenopprette tilgjengelighet og tilgang raskt etter forstyrrelse eller sikkerhetshendelse.
13. Datadeling
Logisk eller applikasjonsnivådeling mellom kunder og mellom behandlingsformål; kontroller som forhindrer uautoristert kryss-kundes tilgang.
14. Sikker utvikling
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
Aktsomhet, skriftlige datapersonvernforpliktelser, sikkerhetsgjennomgang, overføringssikringer og kontinuerlig tilsyn som er passende for behandlingen.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
EU-begrensede overføringer
Når EU SCC-er er påkrevd, er de offisielle europeiske kommisjonens SCC-er inkorporert ved referanse uten endring av påkrevd formulering. Såfremt roller ikke krever annet, er Kunden Dataeksportør, Grouper og/eller den gjeldende Teknologileverandøren Dataimportør, og Modul To gjelder for Behandler-til-Prosessor overføringer.
UK-begrensede overføringer
For overføringer som omfattes av UK Data Protection Law, vil EU SCC-ene gjelde sammen med da gjeldende UK International Data Transfer Addendum eller annen lovlig UK-overføringsmekanisme.
Sveitsiske overføringer
For overføringer som omfattes av sveitsisk personvernlovgivning, vil SCC-ene tolkes og tilpasses i samsvar med gjeldende sveitsisk lov, inkludert passende referanser til sveitsisk tilsynsmyndighet og sveitsiske registrerte.
EU-US-personvernramverk
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
Særlige tilgangsscenarier for europeiske kunder
Autoriserte særlige unntakstilfeller for ikke-EØS-tilgang kan forekomme bare i følgende omstendigheter:
- en nødsituasjon som påvirker irsk datasentermiljø eller tjenestekontinuitet;
- a) en støtte- eller vedlikeholdsforespørsel som krever autorisert spesialtilgang utenfor EØS, underlagt kundegodkjenning eller kontraktlig autorisasjon; og
- b) en verifisert kundeforespørsel om behandling eller hosting utenfor den europeiske regionen.
De presise leverandørene som brukes varierer av produkt, funksjon, supportvei og Kunde-konfigurasjon. Den nåværende live under-behandlerregisteret som vedlikeholdes av Grouper og/eller BambooHR er styrende for aktiv tjenestelevering.
Følgende nøkkel-leverandører er identifisert i styrende tjeneste-materialer. En leverandør som er oppført her behandler ikke nødvendigvis Kundeopplysninger for hver Kunde eller hver utrulling.
BambooHR LLC
Teknologileverandør; HRIS-vedlikehold, hosting og support. Beliggenhet: USA / tjenesteområder inkludert Europa.
Amazon Web Services (AWS)
Primær skysnummeringsinfrastruktur; europeisk regional hosting i Irland. Beliggenhet: Irland / Europa og andre regioner avhengig av tjeneste-konfigurasjon.
Anthropic / Claude
AI / språkmodell-behandling. Beliggenhet: USA.
Cohere
Språkmodell-API / AI-behandling. Beliggenhet: USA.
OpenAI
Språkmodell-API / AI-behandling. Beliggenhet: USA.
LlamaIndex / LlamaParse
Valgfri dokumentanalyse knyttet til AI-funksjonalitet. Beliggenhet: USA.
Atlas MongoDB
Datavarehus som støtter valgte tjenester / AI-relatert funksjonalitet. Beliggenhet: USA.
Gainsight
Kundedata / CRM-tjenester.
Salesforce
CRM-plattform.
Cloudflare
Webapplikasjons-firewall / sikkerhet.
Datadog
Infrastruktur og applikasjonsovervåkning.
Microsoft / Google Workspace
Samarbeid, kommunikasjon og dokumentlagring avhengig av gjeldende konfigurasjon.
Mailgun
Applikasjonskommunikasjon.
Snowflake
Dataanalyse.
Twilio
MFA / SMS-levering.
Tilleggsleverandører
Ytterligere leverandører identifisert i nåværende servicemateriale kan inkludere Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike og andre. Kunder bør referere til den levende BambooHR underleverandørlisten og Grouper’s nåværende underbehandlerinformasjon for de mest oppdaterte detaljene.
1. Omfang
Denne vedlegg gjelder der Kunden aktiverer eller bruker BambooHR kunstig intelligens eller maskinlæringsfunksjonalitet i forbindelse med Grouper-støttede Tjenester.
2. AI-leverandører
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. Inndata og utdata
Kundebistildte forespørsler, instruksjoner eller data som sendes til AI-funksjonalitet kan utgjøre “Inndata” og genererte responser kan utgjøre “Utdata”. Avhengig av funksjonen kan Inndata eller Utdata inkludere Kundedata. Utdata kan ikke være unike og kan ligne på utdata som er produsert for andre brukere.
4. Kundeansvar og menneskelig tilsyn
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. Grenseverdier for sensitive og regulerte data
Når de gjeldende AI-vilkårene for bi avviker, må Kunden ikke sende sensitive eller regulerte opplysninger til AI-funksjoner, inkludert helse, genetisk eller biometrisk informasjon, statlig utstedte identifikasjonsnumre eller personlig økonomisk eller bankkontoinformasjon. Kunder bør minimere Kundeopplysninger i forespørslene.
6. Nøyaktighet, partiskhet og rettferdighet
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
Hvor gjeldende BambooHR AI-vilkår tillater bruk av Ytelsesdata og Tilbakemelding for å forbedre AI-funksjonalitet, er slik bruk underlagt disse vilkårene. Hvor Kundeopplysninger brukes til å finjustere en kunde-spesifikk modell, brukes den resulterende modellen til å gi AI-funksjoner til den Kunden og brukes ikke for å levere tjenester til andre kunder.
8. Internasjonal behandling
AI-leverandører kan behandle autoriserte Inndata eller relaterte Personopplysninger utenfor EØS. Slik behandling er underlagt overføringssikringene i denne DPA og endrer ikke plasseringen av kundens kontraherte kjerne HRIS-lagringsområde. Kunder bør vurdere om valgfri AI-bruk er i samsvar med deres egen bosettings-, arbeidsråd-, arbeidstids- og risikokrav før aktivering.
Spørsmål om personvernpolicy eller dine datarettigheter?
Kontakt oss
