Legal
Polityka prywatności | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
Ostatnia aktualizacja: 16 sierpnia 2026
Grouper zobowiązuje się do ochrony danych osobowych i utrzymania wysokich standardów prywatności, bezpieczeństwa i zgodności regulacyjnej. Ochrona danych traktowana jest jako kluczowy obowiązek operacyjny i kontraktowy, a nie jako dodatek. Projektujemy nasze świadczenie usług, kontrolę dostępu, procesy wsparcia i zarządzanie dostawcami w zgodzie z zasadami odpowiedzialności, integralności, poufności i przejrzystości GDPR.
Niniejsza Polityka prywatności wyjaśnia, jak Grouper Technology Limited (“Grouper”, „my”, „nas” lub „nasz”) gromadzi, wykorzystuje, uzyskuje dostęp, hostuje, przechowuje, chroni, przekazuje i w innym zakresie przetwarza dane osobowe w związku z usługami, które świadczymy, w tym naszą rolę jako europejskiego partnera BambooHR.
Grouper wspiera organizacje w całej Irlandii, Wielkiej Brytanii, Europie i innych regionach w zakresie wdrożenia, administracji i użytkowania platformy BambooHR HRIS oraz powiązanej technologii HR.
Nasz europejski model serwisowy oparty jest na jasnej zasadzie rezydencji danych w Europie. Dane osobowe klientów obsługiwane w ramach europejskiego serwisu Grouper BambooHR są hostowane i przechowywane w Europejskim Obszarze Gospodarczym (EEA), z głównym hostowaniem w Irlandii.
Niniejsza Polityka prywatności dotyczy danych osobowych przetwarzanych w związku z:
- BambooHR implementacja i onboarding;
- Konfiguracja HRIS;
- administracja kontem;
- obsługa klienta;
- wsparcie techniczne;
- wsparcie integracyjne;
- migracja danych;
- sukces klienta;
- szkolenia;
- usługi profesjonalne;
- bezpieczeństwo i administracja usług;
- komunikacja z klientem;
- sprzedaż i demonstracje;
- Grouper stron internetowych i usług cyfrowych; i
- nasze ogólne działania biznesowe.
Grouper Technology Limited to irlandzka spółka z siedzibą pod adresem 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.
BambooHR zapewnia podstawowy system informacji o zasobach ludzkich oraz powiązaną funkcjonalność produktu. Grouper zapewnia europejską implementację, migrację, konfigurację, szkolenia, sukces klienta, wsparcie, zarządzanie usługami oraz związane usługi profesjonalne. W zależności od subskrypcji i konfiguracji klienta, platforma BambooHR HRIS może obsługiwać zapisy pracowników, onboarding, rekrutację, czas i obecność, zarządzanie urlopami, wydajność, wynagrodzenia, benefity, funkcje związane z płacą, raportowanie, analitykę, integracje, API oraz funkcje sztucznej inteligencji.
W zależności od usług zakupionych przez klienta, Grouper może zapewnić:
- BambooHR implementację;
- onboarding;
- konfigurację;
- tworzenie konta;
- wsparcie migracyjne;
- usługi integracyjne;
- wsparcie techniczne;
- wsparcie HRIS;
- szkolenia;
- usługi sukcesu klienta;
- administracja usług;
- rozwiązywanie problemów; i
- powiązane usługi profesjonalne.
Dokładna rola ochrony danych Grouper zależy od konkretnej czynności przetwarzania.
Tam gdzie Grouper określa cele i środki przetwarzania — na przykład w niektórych działaniach związanych ze stroną internetową, sprzedażą, kontaktami biznesowymi, bezpieczeństwem lub administracją korporacyjną — Grouper działa jako Administrator.
Tam gdzie Grouper przetwarza dane osobowe klienta wyłącznie na rzecz klienta i zgodnie z jego udokumentowanymi instrukcjami, Grouper działa jako Procesor.
Gdy sam Klient działa jako administrator danych dla innego administratora, Grouper może działać jako podprocesor w zakresie, w jakim ma to zastosowanie.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 Kluczowe zobowiązanie w zakresie europejskiej rezydencji
Dla klientów kupujących europejską usługę Grouper BambooHR z rezydencją danych w EEA, dane osobowe klienta stanowiące część środowiska produkcyjnego core HRIS są hostowane i przechowywane w EEA, z główną lokalizacją hostingu w Irlandii.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 Przechowywanie a dostęp
Rezydencja danych opisuje, gdzie przechowywane są dane osobowe klienta. Nie oznacza to, że nie może wystąpić autoryzowany dostęp wsparcia lub techniczny z innego kraju.
Wyjątkowy dostęp spoza EOG może mieć miejsce tylko wtedy, gdy jest to konieczne, autoryzowane i chronione prawnie, jak opisano w Sekcjach 17 i 18 niniejszej Polityki.
4.3 Kopie zapasowe, odporność i odzyskiwanie po awarii
Ułożenie zapasowe, odporności i planów odzyskiwania po awarii ma na celu zachowanie poufności, integralności i dostępności oraz pozostanie zgodnym z zobowiązaniami hostingowymi klienta na danym regionie.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 Brak rutynowego przemieszczania poza EEA
Grouper nie używa wyjątkowego dostępu wsparcia jako mechanizmu rutynowego przemieszczania Danych Osobowych Klienta w Europie.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
„Odpowiednie prawo ochrony danych” oznacza wszystkie przepisy dotyczące ochrony danych, prywatności i bezpieczeństwa danych mające zastosowanie do Przetwarzania, w tym w odniesieniu do:
- Rozporządzenie (UE) 2016/679 — Ogólne rozporządzenie o ochronie danych (GDPR);
- irish Data Protection Act 2018;
- obowiązujące irlandzkie zasady ePrivacy i zasady łączności elektronicznej;
- UK GDPR i UK Data Protection Act 2018, jeśli mają zastosowanie;
- obowiązujące szwajcarskie prawo o ochronie danych, jeśli ma zastosowanie;
- obowiązujące krajowe ustawodawstwo implementujące europejskie wymogi prywatności; i
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
Informacje przetwarzane zależą od wybranych przez Klienta usług i danych, które Klient decyduje się umieścić w środowisku HR.
6.1 Employee and Workforce Information
Dane Osobowe mogą obejmować:
- nazwisko i numery identyfikacyjne pracowników;
- zdjęcia, jeśli są dostarczone;
- dane kontaktowe domowe lub służbowe;
- data urodzenia, płeć i dane demograficzne, jeśli są dostarczone;
- informacje o stanie cywilnym lub rodzinie, jeśli są dostarczone;
- punkty kontaktowe awaryjne i numery telefonów;
- kwalifikacje naukowe i zawodowe;
- Informacje z CV lub życiorysu, historia zatrudnienia i znajomość języków;
- stanowisko, stopień, dział, lokalizacja, linie raportowania i przynależność do zespołu;
- daty zatrudnienia i zakończenia pracy, godziny pracy i szczegóły umowy;
- wydajność, oceny, informacje dotyczące dyscypliny i historii zatrudnienia;
- świadczenia, ubezpieczenia, aktywa firmy i informacje o szkoleniach; oraz
- informacje o urlopach, obecności i wolnym czasie.
6.2 Informacje o wynagrodzeniach i rekompensatach
Gdy używane są odpowiednie usługi, Dane Osobowe mogą obejmować:
- wynagrodzenie, wynagrodzenie i premie;
- informacje podatkowe i ubezpieczeniowe;
- szczegóły bankowe i płatnicze;
- informacje o emeryturze;
- opcje na akcje i inne świadczenia; oraz
- inna informacja związana z wynagrodzeniami.
6.3 Rekrutacja, Informacje o kandydacie i referencje
For candidates, prospective employees and referees, information may include:
- tożsamość i dane kontaktowe;
- CV, życiorysy, historia zatrudnienia i kwalifikacje;
- wnioski, przebieg rozmów i zapisy rekrutacyjne;
- komunikacja z kandydatami i status rekrutacji;
- proponowana informacja o wynagrodzeniu;
- nazwy referentów, dane kontaktowe i profesjonalny związek;
- informacje zawarte w referencjach.
6.4 Dane specjalnej kategorii i wrażliwe
W zależności od korzystania przez Klienta z platformy HRIS BambooHR, Usługi mogą zawierać informacje o zdrowiu lub niepełnosprawnościach oraz inne dane osobowe wrażliwe lub z kategorii specjalnej.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
Klienci nie powinni umieszczać wrażliwych informacji w polach wolnego tekstu ani w funkcjach AI, chyba że jest to konieczne, zgodne z prawem i dozwolone przez odpowiednie warunki produktu.
Dane osobowe przetwarzane w związku z usługami Grouper mogą dotyczyć:
- aktualni, byli, kandydaci i przyszli pracownicy;
- kandydaci i aplikanci;
- wykonawcy, konsultanci, agenci i niezależni wykonawcy;
- agencja, pracownicy tymczasowi i zatrudnieni na umowę o pracę;
- praktykanci i wolontariusze;
- podopieczni pracownicy, beneficjenci i kontakty alarmowe;
- osoby wyznaczone do referencji i źródła referencji;
- administratorzy klienta i uprawnieni użytkownicy; oraz
- inne osoby, których Dane Osobowe klient prawnie przekazuje do Usług.
Dane Osobowe mogą być pozyskiwane:
- bezpośrednio od osoby
- od pracodawcy lub przyszłego pracodawcy danej osoby;
- od administratorów klienta i uprawnionych użytkowników;
- podczas wdrożenia, konfiguracji i migracji danych;
- poprzez autoryzowane integracje lub API;
- poprzez zgłoszenia wsparcia i rozwiązywanie problemów;
- przez platformę HRIS BambooHR lub inny system wybrany przez Klienta;
- poprzez procesy rekrutacyjne;
- ze źródeł publicznych, jeśli legalnie używane;
- z innych prawnie dozwolonych źródeł wybrananych przez Klienta.
Grouper Przetwarza Dane Osobowe wyłącznie w określonych i prawnie uzasadnionych celach. Mogą to obejmować:
- wdrożenie i konfigurację platformy BambooHR HRIS;
- hosting lub ułatwianie hostingu Danych Osobowych Klienta;
- zarządzanie kontami i uprawnieniami użytkowników;
- utrzymanie i zabezpieczenie usługi;
- świadczenie wsparcia klienta i technicznego;
- wspieranie integracji i migracji;
- świadczenie szkoleń i usług profesjonalnych;
- zarządzanie subskrypcjami i relacjami z klientami;
- wykrywanie i badanie zdarzeń związanych z bezpieczeństwem;
- prowadzenie rejestrów audytu;
- zapobieganie oszustwom lub nadużyciom;
- przestrzeganie obowiązków prawnych; i
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
Kiedy personel wsparcia uzyska dostęp do Danych Osobowych Klienta, dostęp musi być ograniczony do minimalnych informacji koniecznych do celów wsparcia i musi być dokonywany przez uprawniony personel podlegający poufności i kontroli dostępu.
Gdy Grouper działa jako Administrator, właściwe podstawy prawne mogą obejmować:
10.1 Umowa
Przetwarzanie niezbędne do zawarcia lub wykonania umowy, lub podjęcia kroków przed zawarciem umowy na żądanie osoby.
10.2 Uzasadnione interesy
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- świadczenie usług;
- administracja klienta;
- bezpieczeństwo informacji;
- zapobieganie oszustwom;
- ciągłość działalności;
- wsparcie klienta; i
- relationship management.
10.3 Obowiązek prawny
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 Zgoda
Tam, gdzie ma to zastosowanie, Przetwarzanie może opierać się na zgodzie. Zgoda może zostać wycofana w każdej chwili bez wpływu na legalność przetwarzania dokonanego przed wycofaniem.
Gdy Klient działa jako Administrator, Klient odpowiada za:
- określanie celów, dla których Dane Osobowe są przetwarzane;
- ustalanie podstaw prawnych i warunków specjalnych kategorii;
- zapewnienie wymaganych informacji o prywatności;
- uzyskiwanie zgody, gdzie wymagana;
- zapewnienie dokładności i jakości danych;
- określanie odpowiednich okresów przechowywania;
- zarządzanie autoryzowanymi użytkownikami i uprawnieniami;
- bezpieczne korzystanie z Usług; i
- zapewnienie, że instrukcje wobec Grouper są zgodne z prawem.
Klient nie może nakazać Grouper przetwarzania Danych Osobowych w sposób naruszający obowiązujące prawo o ochronie danych.
Grouper powiadomi Klienta, jeśli w ich uznaniu instrukcja narusza obowiązujące prawo o ochronie danych i może zawiesić przetwarzanie dotknięte do czasu rozwiązania problemu.
Grouper ogranicza dostęp do Danych Osobowych Klienta do upoważnionych osób, które racjonalnie potrzebują dostępu do swoich obowiązków. Personel podlega odpowiednim zobowiązaniom poufności i otrzymuje szkolenia z zakresu prywatności i bezpieczeństwa odpowiednie do swojej roli. Dostęp podlega zasadom minimalnych uprawnień i potrzeby wiedzy.
Kontrole dostępu obejmują:
- kontrole tożsamości i uwierzytelniania;
- kontrole oparte na rolach i uprawnieniach uprzywilejowanych;
- kontrole konta administracyjnego;
- zarządzanie cyklem życia konta;
- logowanie i monitorowanie dostępu;
- okresowe przeglądy dostępu;
- wymagania poufności i dopuszczalnego użytkowania; oraz
- odpowiednie szkolenia i bezpieczeństwo personelu.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
Środki obejmują:
- fizyczne i logiczne kontrole dostępu;
- silną uwierzytelnianie i odpowiednie kontrole haseł;
- szyfrowanie w tranzycie i spoczynku, gdy stosowne;
- pseudonimizacja, gdy stosowne;
- zapory sieciowe, perymetria i wykrywanie wtargnięć;
- logowanie, monitorowanie i ścieżki audytu;
- zarządzanie podatnościami i testy bezpieczeństwa;
- ograniczony dostęp administracyjny;
- bezpieczny przekaz, w tym chronione kanały transferu;
- kopie zapasowe, redundancja, odtwarzanie i odporność;
- planowanie ciągłości działania i odzyskiwania po awarii;
- bezpieczny rozwój i zarządzanie zmianami;
- oddzielenie danych między klientami a celami przetwarzania;
- procedury reagowania na incydenty;
- świadomość i szkolenie z zakresu bezpieczeństwa personelu; i
- należyta staranność podwykonawców i zarządzanie bezpieczeństwem.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
Gdy Grouper działa jako Podmiot Przetwarzający i staje się świadomym faktycznego lub podejrzewanego naruszenia danych osobowych dotyczących Danych Osobowych Klienta, Grouper powiadomi odpowiedniego Klienta w najkrótszym możliwym czasie i w każdym razie w ciągu 48 godzin od uzyskania informacji o incydencie.
W miarę możliwości powiadomienie będzie obejmować:
- charakter incydentu;
- kategorie Dotkniętych Danych Osobowych;
- przybliżone kategorie i liczby Podmiotów Danych i rekordów;
- prawdopodobne konsekwencje;
- środki podjęte lub proponowane;
- działania w zakresie ograniczania skutków;
- punkt kontaktowy do dalszych informacji.
Informacje mogą być przekazywane etapami w miarę ich dostępności.
Grouper zapewni rozsądną współpracę, aby umożliwić Klientowi spełnienie obowiązków związanych z przepisami i powiadomieniem podmiotów danych.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper może wyznaczyć starannie wybranych Podprocesorów i dostawców usług tam, gdzie to konieczne, aby zapewnić, hostować, zabezpieczyć, wspierać, monitorować lub ulepszać Usługi.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
Gdy odpowiednie warunki umowy z klientem przewidują ogólne pisemne upoważnienie, Klienci otrzymają uprzednie powiadomienie o istotnych nowych Podprocesorach oraz możliwość zgłoszenia sprzeciwu z rozsądnymi powodami dotyczącymi ochrony danych.
Dla podprocesorów BambooHR obecny DPA BambooHR przewiduje co najmniej 30 dni wcześniejszego powiadomienia o nowym Podwykonawcy, który będzie Przetwarzał Dane Osobowe Klienta.
Załącznik 4 zapewnia przejrzystość w zakresie kluczowych kategorii dostawców i nazwanych dostawców wskazanych w materiałach dotyczących usług.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
Przetwarzanie BambooHR podlega obowiązującym warunkom umownym i ochrony danych, w tym DPA, środkom bezpieczeństwa, porozumieniom z podpodmiotami i zabezpieczeniom transferu międzynarodowego.
Grouper pozostaje odpowiedzialny za własne zobowiązania wynikające z Obowiązującego prawa ochrony danych i odpowiedniej umowy z klientem. Gdy BambooHR Przetwarza Dane Osobowe na rzecz środowiska klienta europejskiego Grouper, zastosowanie mają odpowiednie wymogi umowne, bezpieczeństwa i rezydencji danych.
W przypadku contractowej europejskiej usługi Grouper, Dane Osobowe Klienta są projektowane do przechowywania w EEA, z głównym hostingiem w Irlandii za pośrednictwem Amazon Web Services (AWS). Uprawnione Przetwarzanie lub zdalny dostęp spoza EEA może stanowić Ograniczony Transfer, nawet jeśli dane pozostają przechowywane w Irlandii. Takie dostępy są dozwolone wyłącznie tam, gdzie są zgodne z prawem, niezbędne i chronione odpowiednimi środkami bezpieczeństwa.
Przykłady wyjątkowych scenariuszy obejmują:
- nagły wypadek wpływający na środowisko centry danych irlandzkich lub ciągłość usługi;
- wniosek o wsparcie lub utrzymanie wymagający upoważnionego specjalistycznego dostępu spoza EEA, pod warunkiem zgody klienta lub umownych upoważnień; oraz
- zwerywiona prośba Klienta o przeniesienie lub w inny sposób przetwarzanie danych poza wyznaczonym regionem hostingowym w Europie.
Gdy występuje transfer ograniczony, Grouper i/lub odpowiedni dostawca technologii będą korzystać z mechanizmu uznanego prawnie, takiego jak:
- decyzja o adekwatności;
- Standardowe klauzule umówne Komisji Europejskiej;
- UK International Data Transfer Addendum, jeśli ma zastosowanie;
- uczestnictwo w EU-US Data Privacy Framework, gdy jest prawnie dostępne i stosowne;
- Wiążące zasady korporacyjne, jeśli mają zastosowanie; lub
- inny ważny mechanizm zabezpieczający uznany zgodnie z prawem o ochronie danych.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
Nic w takich wyjątkowych arrangements dostępowych nie zmienia zobowiązania Grouper do przechowywania Danych Osobowych Klienta dla europejskiej usługi w EEA.
Gdy wymagane są EU Standard Contractual Clauses, są one włączone w ich oficjalnie zatwierdzonej formie bez zmian w obowiązkowym brzmieniu. Dla transferów Kontrolera do Procesora zastosowanie zazwyczaj ma moduł Drugi, chyba że rolami stron wymagany jest inny moduł.
Gdy Irlandia jest wybrana jako stosowne prawo UE oraz forum, strony zgadzają się na sądy Irlandii zgodnie z odpowiednim załącznikiem SCC.
Dla transferów objętych prawem ochrony danych UK, EU SCC będą miały zastosowanie wraz z obowiązującym wówczas UK Addendum International Data Transfer lub innym prawnie uznanym mechanizmem przekazu.
Supplementary measures may include:
- szyfrowanie;
- ograniczenia dostępu;
- kontrole zarządzania kluczami;
- minymalizacja;
- logowanie;
- ograniczenia na przesyłanie dalej w umowach;
- procedury przeglądu na żądanie rządowe;
- środki przejrzystości; i
- zawieszenie lub zakończenie transferów, jeśli nie można zapewnić odpowiedniego poziomu ochrony.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
Nienalegalne lub nieracjonalne żądania będą kwestionowane, gdy istnieją uzasadnione powody i prawna podstawa do tego.
Udostępnianie ograniczone do minimum wymaganego prawem.
Klient zostanie powiadomiony, gdy jest to dozwolone prawnie. Gdy powiadomienie jest zabronione, podejmowane będą rozsądne działania w celu uzyskania zgody na udzielenie powiadomienia, gdy to właściwe.
Rekordy żądania i odpowiedzi będą prowadzone zgodnie z prawem i obowiązującym mechanizmem transferu.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- dostęp;
- korektywność;
- Kasowanie;
- ograniczenie przetwarzania;
- przenoszalność danych;
- sprzeciwy;
- wycofanie zgody;
- prawa związane z automatycznym podejmowaniem decyzji i profilowaniem; oraz
- the right to complain to a competent supervisory authority.
Gdy Grouper działa jako Podmiot Przetwarzający, żądania dotyczące Danych Osobowych Klienta powinny zwykle kierować się do odpowiedniego Klienta jako Administratora. Jeśli Grouper otrzyma takie żądanie bezpośrednio, Grouper, chyba że prawnie zabronione, przekaże lub powiadomi żądanie Klientowi i nie będzie odpowiadać merytorycznie poza dokumentowanymi instrukcjami Klienta lub gdy wymaga tego prawo. Grouper udzieli rozsądnej pomocy, aby umożliwić Klientowi wypełnienie zobowiązań.
Uwzględniając charakter Przetwarzania i informacje dostępne Grouper, Grouper zapewni rozsądną pomoc w ocenach wpływu na ochronę danych i, gdy wymaga tego, wcześniejsze konsultacje z właściwym organem nadzorczym.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- dokumentacja bezpieczeństwa;
- polityki;
- informacje o zgodności;
- informacje z audytu;
- niezależne raporty zapewnienia;
- odpowiednie certyfikaty; i
- odpowiedzi na rozsądne kwestionariusze dotyczące bezpieczeństwa.
Tam, gdzie prawo lub umowa tego wymaga, a uzasadnione dokumentacyjne dowody są niewystarczające, Klienci mogą korzystać z odpowiednich praw do audytu po przekazaniu stosownego zawiadomienia, z zachowaniem poufności, bezpieczeństwa, nieingerencji i ochrony informacji dotyczących innych klientów. Dopóki nie zachodzi wymóg z powodu Incydentu bezpieczeństwa, wymogów regulacyjnych lub rozsądnych dowodów istotnego niezgodności, formalne audyty powinny być ograniczone zwykle do raz w ciągu 12 miesięcy. Koszty audytu ponoszą zwykle Klienci, chyba że prawo lub umowa stanowią inaczej.
Grouper przechowuje Dane Osobowe tylko tak długo, jak jest to racjonalnie konieczne dla odpowiedniego celu lub wymaga tego prawo.
Gdy Grouper działa jako Podmiot Przetwarzający, okres przechowywania jest głównie determinowany przez:
- udokumentowane instrukcje Klienta;
- obowiązującą umowę z klientem;
- czas trwania Usług;
- wymogi wsparcia;
- obowiązki prawne; i
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
Klienci są odpowiedzialni za utrzymanie aktualnych Danych Osobowych Klienta. Gdy Grouper lub procesor zauważą, że dane są nieprawidłowe lub przestarzałe w okolicznościach wymagających działania, Grouper będzie współpracować z Klientem w celu skorygowania lub wymazania danych zgodnie z udokumentowanymi instrukcjami i obowiązującym prawem ochrony danych.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
Niektóre funkcje BambooHR mogą wykorzystywać sztuczną inteligencję lub uczenie maszynowe. Funkcjonalność AI jest opcjonalna, jeśli została tak oznaczona i może podlegać odrębnych warunkom AI BambooHR.
Obecne materiały usług AI BambooHR identyfikują zewnętrznych dostawców AI, w tym OpenAI, Cohere i Anthropic/Claude, a obecne materiały podwykonawców mogą identyfikować dodatkowych dostawców AI lub przetwarzania dokumentów (takich jak LlamaIndex) w zależności od konfiguracji funkcji.
Customers remain responsible for:
- ocena, czy użycie AI jest odpowiednie dla ich organizacji;
- ustalenie podstawy prawnej;
- zapewnienie wymaganej przejrzystości dla podmiotów danych;
- uzyskiwanie zgody, gdzie wymagana;
- wprowadzenie wystarczającego nadzoru ludzkiego;
- ocena ryzyka stronniczości i sprawiedliwości;
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
Gdy BambooHR używa Danych Klienta, Wejścia lub Wyjścia do dostrojenia lub szkolenia modelu dostosowanego do klienta, obowiązujące warunki AI BambooHR stwierdzają, że takie użycie ma na celu dostarczenie funkcji AI temu Klientowi, a wynikowy model dostosowany przez klienta nie jest w inny sposób wykorzystywany do świadczenia usług innym klientom.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
Programowy dostęp powinien korzystać ze wspieranych metod uwierzytelniania i nie może ujawniać Danych Klienta ani poświadczeń nieuprawnionym stronom.
Integracje nie mogą używać Danych Klienta poza udokumentowanym i upoważnionym celem.
Gdy dostawca integracji Przetwarza Dane Osobowe w imieniu Klienta lub Grouper, muszą obowiązywać odpowiednie warunki przetwarzającego lub podprzetwarzającego oraz zabezpieczenia transferu.
Gdy Grouper działa jako Administrator w odniesieniu do własnych działań biznesowych, możemy Przetwarzać informacje kontaktowe biznesowe dotyczące:
- potencjalni klienci;
- kontakty z klientami;
- dostawcy;
- partnerzy;
- doradcy zawodowi;
- uczestnicy wydarzeń;
- odwiedzający strony internetowe; i
- osoby kontaktujące Grouper.
Informacje mogą obejmować imię, organizację, stanowisko, dane kontaktowe biznesowe, korespondencję, informacje zapytania, adres IP, przeglądarkę i informacje o urządzeniu, odwiedzone strony i podobne dane techniczne.
Przetwarzamy takie informacje w celu odpowiadania na zapytania, zarządzania relacjami, zapewniania żądanych usług, utrzymania bezpieczeństwa, realizacji umów, zgodności z prawem, a tam, gdzie dopuszczalne, wysyłania odpowiednich komunikatów biznesowych. Odbiorcy mogą w każdej chwili zrezygnować z bezpośredniego marketingu. Komunikacje operacyjne, umowne, bezpieczeństwa i obsługi klienta nie stanowią marketingu.
Strony internetowe mogą używać niezbędnych, funkcjonalnych i analitycznych cookies oraz podobnych technologii. Tam, gdzie wymaga tego prawo, cookies nieistotne będą używane dopiero po uzyskaniu odpowiedniej zgody, a użytkownikom zapewnione będą możliwości zarządzania preferencjami.
Grouper seeks to embed privacy into service design and operations. This includes:
- Europejskie opcje rezydencji danych;
- minimalizacja danych;
- dostęp o najmniejszych uprawnieniach;
- odpowiednie uwierzytelnianie;
- szyfrowanie;
- logowanie dostępu;
- uprawnienia oparte na rolach;
- bezpieczny przekaz;
- Kontrole podprzetwarzających;
- kontroli przechowywania;
- procesy reagowania na incydenty;
- szkolenie z prywatności i bezpieczeństwa;
- testy bezpieczeństwa;
- wsparcie DPIA; oraz
- udokumentowana odpowiedzialność.
Grouper utrzymuje odpowiednie do swojej roli rejestry i środki zarządzania i będzie działać w dobrej wierze z Klientami, Osobami, a także kompetentnymi organami nadzorczymi.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
Gdy Grouper Przetwarza Dane Klienta Osobowe jako Podmiot Przetwarzający, Część B oraz odpowiednia umowa z klientem regulują stosunki przetwarzania. W przypadku sprzeczności dotyczących Danych Klienta, ma zastosowanie następująca kolejność priorytetu: obowiązujące prawo ochrony danych; właściwe SCC, dodatek UK lub inny obowiązkowy mechanizm przekazu; Umowa o przetwarzaniu danych; odpowiednie postanowienia ochrony danych w Umowie; reszta Umowy.
Propozycja europejskiej BambooHR Grouper opiera się na trzech zasadach:
Europejska rezydencja danych.
Dane Osobowe Klienta są hostowane i przechowywane w obrębie EEA, z głównym hostingiem w Irlandii poprzez Amazon Web Services (AWS).
Europejskie standardy prywatności.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
Europejski serwis i wsparcie.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
Naszym celem jest umożliwienie organizacjom korzystania z BambooHR przy jednoczesnym utrzymaniu prywatności, zarządzania i standardów lokalizacji danych oczekiwanych przez europejskich klientów.
Pytania dotyczące niniejszej Polityki prywatności, działań przetwarzania Grouper, praw osób, bezpieczeństwa lub naszych europejskich rozwiązań dotyczących miejsca przetwarzania danych mogą być kierowane poprzez wyznaczone kanały prywatności lub obsługi klienta Grouper.
Grouper Technology Limited można również skontaktować pod adresem 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.
Gdy dotyczące danych osobowych znajdują się w koncie BambooHR pracodawcy, osoby fizyczne powinny zwykle najpierw skontaktować się z pracodawcą, ponieważ organizacja ta będzie zazwyczaj administratorem wskazującym, jak informacje są wykorzystywane.
Niniejsza Umowa dotycząca przetwarzania danych („DPA”) stanowi część umowy, formularza zamówienia, oświadczenia o zakresie prac lub innej umowy regulującej świadczenie usług Grouper związanych z BambooHR między Klientem a Grouper Technology Limited.
Świadcząc Usługi, Grouper może Przetwarzać Dane Osobowe Klienta w imieniu Klienta. Niniejsza DPA określa zobowiązania Stron dotyczące tego Przetwarzania.
Niniejsza DPA ma zastosowanie w zakresie Grouper Procesów Danych Osobowych Klienta w imieniu Klienta i takie Przetwarzanie podlega odpowiedniemu prawu ochrony danych. Uzupełnia i stanowi część Umowy; definicje w tekście nie zdefiniowane mają znaczenie nadane w Umowie.
Dla tego DPA:
Dane Osobowe Klienta
Dane Osobowe kontrolowane przez Klienta lub jego spółkę zależną i Przetwarzane przez Grouper w związku z Usługami.
Ograniczony Transfer
Przeniesienie Danych Osobowych wymagające prawnego mechanizmu transferu zgodnie z obowiązującym prawem ochrony danych.
Standardowe klauzule umów (SCCs)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
Osoba trzecia wyznaczona przez lub w imieniu Grouper do Przetwarzania Danych Osobowych Klienta.
Dostawca technologii
BambooHR LLC oraz, w stosownych przypadkach, powiązane podmioty BambooHR zapewniające podstawową platformę technologiczną HR.
O ile nie ustalono inaczej na piśmie, Klient działa jako Administrator, a Grouper jako Przetwarzający. Gdy Klient działa jako Przetwarzający dla innego Administratora, Grouper działa jako Podprzetwarzający w zakresie mającym zastosowanie.
Grouper będzie Przetwarzać Dane Osobowe Klienta wyłącznie na udokumentowane instrukcje Klienta i tylko w zakresie niezbędnym do zapewnienia, utrzymania, zabezpieczenia i wsparcia Usług, chyba że wymagane jest Przetwarzanie danych na mocy właściwego prawa.
Grouper niezwłocznie poinformuje Klienta, jeśli w uzasadnionym przekonaniu instrukcja narusza obowiązujące prawo ochrony danych i może zawiesić dotknięte Przetwarzanie do czasu wyjaśnienia.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper zapewni, że Upoważnione Osoby podlegają odpowiednim zobowiązaniom poufności, uzyskują dostęp do Danych Osobowych Klienta tylko tam, gdzie jest to rozsądnie konieczne, otrzymują odpowiednie szkolenia z zakresu prywatności i bezpieczeństwa oraz Przetwarzają Dane Osobowe Klienta wyłącznie zgodnie z niniejszą DPA i udokumentowanymi instrukcjami Klienta. Dostęp będzie ograniczany zgodnie z zasadami najmniejszych uprawnień i potrzeby wiedzy.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
Minimalne domeny kontroli znajdują się w Harmonogramie 2. Grouper może aktualizować te środki pod warunkiem, że zmiany nie zmniejszają materialnie ogólnego poziomu ochrony Danych Osobowych Klienta.
Grouper powiadomi Klienta tak szybko, jak to będzie praktycznie możliwe, a w przypadku zastosowania zobowiązania 48 godzinnego wynikającego z umowy, nie później niż 48 godzin od uzyskania informacji o fakcie lub podejrzeniu incydentu bezpieczeństwa wpływającego na Dane Osobowe Klienta.
Informacje mogą być udostępniane etapami w miarę dostępności. Grouper zapewni rozsądną współpracę niezbędną do spełnienia przez Klienta obowiązków związanych z powiadamianiem organów nadzorczych i osób, których dotyczy incydent.
Klient udziela Grouper ogólnej pisemnej autoryzacji do angażowania Podprzetwarzających niezbędnych do świadczenia Usług.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
Gdy ma zastosowanie podstawowe DPA BambooHR, BambooHR obecnie zapewnia co najmniej 30 dni pisemnego uprzedzenia o nowym Podwykonawcy, który będzie Przetwarzał Dane Osobowe Klienta.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Jeżeli Grouper otrzyma bezpośrednie żądanie dotyczące Danych Osobowych Klienta, Grouper niezwłocznie skieruje je lub poinformuje Klienta i nie odpowie merytorycznie, chyba że na podstawie udokumentowanych instrukcji lub gdy wymaga tego prawo.
Grouper zapewni rozsądną pomoc, biorąc pod uwagę charakter Przetwarzania i dostępne informacje, w zakresie ocen wpływu na ochronę danych, wcześniejszych konsultacji z organami nadzorczymi oraz rozsądnych dochodzeń lub postępowań przez właściwy organ nadzorczy związanych z Usługami.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
W zakresie dozwolonym przez prawo, Grouper będzie przeglądać wnioski publicznych organów władzy dotyczące Danych Osobowych Klienta, kwestionować bezprawne lub dysproporcjonalne żądania, gdzie istnieją uzasadnione podstawy, dążyć do ograniczenia ujawnienia do minimum wymaganego prawem, powiadamiać Klienta, gdy jest to dozwolone prawnie i utrzymywać odpowiednie dokumenty.
Na żądanie Klienta lub po zakończeniu lub wygaśnięciu Usług, Grouper, według wyboru Klienta i z zastrzeżeniem możliwości technicznych oraz Umowy, zwróci lub bezpiecznie usunie Dane Osobowe Klienta i nakaże odpowiednim Podprocesorom wykonanie tego samego. Tam, gdzie prawo wymaga przechowywania, Grouper odizoluje i zabezpieczy przechowywane dane i przetwarza je tylko wtedy, gdy jest to prawnie wymagane.
Klient gwarantuje, że posiada prawa, uprawnienia, zawiadomienia, podstawy prawne i zgody niezbędne do dostarczenia Danych Osobowych Klienta do Przetwarzania; że jego instrukcje są zgodne z obowiązującym prawem ochrony danych; że nie będzie wydawać niezgodnych z prawem instrukcji Przetwarzania; oraz że skonfiguruje i będzie bezpiecznie używać Usług oraz utrzymywać odpowiednie kontrole nad kontami użytkowników, poświadczeniami i integracjami.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
Niniejsza DPA zaczyna obowiązywać, gdy Klient wiąże się z nią, i trwa tak długo, jak Grouper Przetwarza Dane Osobowe Klienta w imieniu Klienta. Obowiązki, które z natury lub na mocy prawa muszą być kontynuowane podczas przechowywania danych, przetrwają po wygaśnięciu lub zakończeniu.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
W przypadku sprzeczności dotyczących Danych Osobowych Klienta obowiązuje następująca hierarchia pierwszeństwa: obowiązujące prawo ochrony danych; odpowiednie SCCs, UK Addendum lub inny obowiązkowy mechanizm transferu; niniejsza DPA; obowiązujące postanowienia ochrony danych Umowy; i reszta Umowy.
Administrator / Nadawca danych
The Customer identified in the applicable Agreement or Order Form.
Przetwarzający / Importer danych
Grouper Technology Limited, 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.
Dostawca technologii
BambooHR LLC i applicable BambooHR podmioty zapewniające podstawową platformę HRIS.
Przedmiot
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
Charakter przetwarzania
Gromadzenie, odbiór, rejestrowanie, organizacja, strukturyzacja, migracja, hosting, przechowywanie, odzyskiwanie, konsultacja, użycie, transmisja, udostępnianie, ograniczenie, wsparcie dostępu, usunięcie i inne przetwarzanie niezbędne do świadczenia Usług.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
Na czas trwania Usług oraz w każdym późniejszym okresie niezbędnym do zwrócenia lub usunięcia Danych Osobowych Klienta albo do spełnienia wymogów prawnych.
Osoby, których dane dotyczą
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
Dane Osobowe
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
Dane wrażliwe
W wybranych przypadkach przez Klienta mogą obejmować informacje o zdrowiu i niepełnosprawności oraz inne dane wrażliwe lub z kategorii szczególnej, dozwolone przez Usługi.
Podstawowe przechowywanie w Europie
Irlandia / EEA za pośrednictwem Amazon Web Services (AWS) dla Klientów korzystających z europejskiej usługi lokalizacji danych.
Należyta władz nadzorcza
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper utrzymuje środki techniczne i organizacyjne w zakresie następujących minimalnych domen kontrolnych:
1. Zarządzanie bezpieczeństwem informacji
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. Bezpieczeństwo personelu
Zobowiązania poufności, dwustopniowe weryfikacje na podstawie roli, szkolenie z bezpieczeństwa i prywatności oraz środki dyscyplinarne w przypadku nieautoryzowanego dostępu.
3. Bezpieczeństwo fizyczne
Ograniczony dostęp do odpowiednich obiektów i infrastruktury; kontrolowane ścieżki dostępu; upoważnienia dostępu; fizyczny monitoring i inne zabezpieczenia adekwatne do środowiska hostingowego.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. Kontrola dostępu do danych
Mechanizmy zapewniające, że uprawnieni użytkownicy mogą uzyskać dostęp tylko do danych w ramach swoich uprawnień; logowanie i monitorowanie dostępu; ujawnianie danych jedynie uprawnionym osobom.
6. Szyfrowanie i pseudonimizacja
Odpowiednie szyfrowanie danych osobowych w tranzycie i w stanie spoczynku; pseudonimizacja tam, gdzie ma to zastosowanie do celu przetwarzania.
7. Bezpieczeństwo sieci i transmisji
Zapory sieciowe, chronione bramki, bezpieczne kanały komunikacyjne, TLS/SFTP lub równoważne mechanizmy bezpiecznego transferu oraz kontrole przed nieautoryzowanym przechwyceniem lub zmianą.
8. Rejestracja i monitorowanie
Rejestrowanie odpowiednich działań systemu, administracyjnych i dostępu; monitorowanie podejrzanych zdarzeń; przechowywanie informacji z audytu zgodnie z ryzykiem.
9. Kontrola wejścia i zmian
Środki identyfikujące, kto wprowadził, zmienił lub usunął dane; uwierzytelnianie autoryzowanych użytkowników i systemów; udokumentowane praktyki zarządzania zmianą.
10. Wykrywanie podatności i testy bezpieczeństwa
Procedury identyfikowania, oceny i łagodzenia podatności; okresowe testy penetracyjne lub testy bezpieczeństwa; regularna ocena i ocena skuteczności kontroli.
11. Dostępność, kopie zapasowe i odzyskiwanie
Niezawodność infrastruktury, kopie zapasowe, możliwość przywrócenia, kontrole dostępności i ochrona przed przypadkową utratą lub zniszczeniem.
12. Ciągłość działania i odzyskiwanie po awarii
Udokumentowane plany ciągłości i odzyskiwania, zaprojektowane w celu przywrócenia dostępności i dostępu w odpowiednim czasie po zakłóceniu lub incydencie bezpieczeństwa.
13. Rozdzielenie danych
Logiczne lub na poziomie aplikacji rozdzielenie między klientami oraz między celami przetwarzania; środki zapobiegające nieautoryzowanemu dostępowi między klientami.
14. Bezpieczny rozwój
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
Należyta staranność, pisemne zobowiązania dotyczące ochrony danych, przegląd bezpieczeństwa, środki ochrony transferu i bieżący nadzór adekwatny do przetwarzania.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
Unijne transfery ograniczone
W przypadku gdy wymagane są EU SCCs, oficjalne SCCs Komisji Europejskiej są włączone przez odniesienie bez zmieniania obowiązującego brzmienia. Chyba że role wymagają inaczej, Klient jest Eksportującym Dane, Grouper i/lub odpowiedni Dostawca Technologii jest Importującym Dane, a Moduł Drugi ma zastosowanie do transferów Administratora do Przetwarzającego.
Ograniczone transfery UK
Dla transferów objętych prawem ochrony danych UK, EU SCC będą miały zastosowanie wraz z obowiązującym wówczas UK Addendum International Data Transfer lub innym prawnie uznanym mechanizmem przekazu.
Transfery szwajcarskie
Dla transferów podlegających prawu ochrony danych w Szwajcarii, SCCs będą interpretowane i dostosowywane zgodnie z odpowiednim prawem szwajcarskim, w tym odpowiednie odniesienia do szwajcarskiego organu nadzorczego i szwajcarskich osób, których dane dotyczą.
Ramowa ochrona prywatności danych UE-USA
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
Wyjątkowe scenariusze dostępu dla europejskich klientów
Autoryzowany wyjątkowy dostęp spoza EOG może mieć miejsce tylko w następujących okolicznościach:
- nagły wypadek wpływający na środowisko centry danych irlandzkich lub ciągłość usługi;
- a) prośba o wsparcie lub konserwację wymagająca uprawnionego dostępu specjalistycznego poza EEA, pod warunkiem zgody klienta lub zgodnej z umową; oraz
- b) zweryfikowana prośba Klienta o Przetwarzanie lub hostowanie poza regionem europejskim.
Dokładni dostawcy używani różnią się w zależności od produktu, funkcji, ścieżki wsparcia i konfiguracji Klienta. Obecny aktywny rejestr podprzetwarzających prowadzony przez Grouper i/lub BambooHR ma kontrolę nad aktywną realizacją usługi.
Następujący kluczowi dostawcy zostali zidentyfikowani w materiałach dotyczących usług. Dostawca wymieniony tutaj niekoniecznie Przetwarza Dane Osobowe Klienta dla każdego Klienta lub każdej instalacji.
BambooHR LLC
Dostawca technologii; utrzymanie HRIS, hosting i wsparcie. Lokalizacja: Stany Zjednoczone / regiony serwisowe obejmujące Europę.
Amazon Web Services (AWS)
Podstawowa infrastruktura hostingowa w chmurze; europejski hosting regionalny w Irlandii. Lokalizacja: Irlandia / Europa i inne regiony w zależności od konfiguracji usługi.
Anthropic / Claude
Przetwarzanie AI / model językowy. Lokalizacja: Stany Zjednoczone.
Cohere
API modelu językowego / przetwarzanie AI. Lokalizacja: Stany Zjednoczone.
OpenAI
API modelu językowego / przetwarzanie AI. Lokalizacja: Stany Zjednoczone.
LlamaIndex / LlamaParse
Opcjonalne przetwarzanie dokumentów związane z funkcjami AI. Lokalizacja: Stany Zjednoczone.
Atlas MongoDB
Przechowywanie danych wspierające wybrane usługi / funkcjonalność związana z AI. Lokalizacja: Stany Zjednoczone.
Gainsight
Relacje z klientem / usługi CRM.
Salesforce
Platforma CRM.
Cloudflare
Zapora aplikacji webowej / bezpieczeństwo.
Datadog
Infrastruktura i monitorowanie aplikacji.
Microsoft / Google Workspace
Współpraca, komunikacja i przechowywanie dokumentów w zależności od aktualnej konfiguracji.
Mailgun
Komunikacja aplikacji.
Snowflake
Analiza danych.
Twilio
MFA / dostarczanie SMS.
Dodatkowi dostawcy
Dodatkowi dostawcy wskazani w bieżących materiałach serwisowych mogą obejmować Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike i innych. Klienci powinni odwoływać się do aktualnej listy podwykonawców BambooHR i bieżących informacji podprocesorów Grouper w celu uzyskania najświeższych danych.
1. Zakres
Niniejszy harmonogram ma zastosowanie, gdy Klient włącza lub korzysta z funkcji sztucznej inteligencji lub uczenia maszynowego BambooHR w związku z usługami obsługiwanymi przez Grouper.
2. Dostawcy AI
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. Dane wejściowe i wyjściowe
Wskazówki, instrukcje lub dane dostarczone przez Klienta do funkcji AI mogą stanowić „Wejścia”, a generowane odpowiedzi mogą stanowić „Wyjścia”. W zależności od funkcji, Wejścia lub Wyjścia mogą zawierać Dane Klienta. Wyjścia mogą nie być unikalne i mogą być podobne do wyjść wygenerowanych dla innych użytkowników.
4. Obowiązki Klienta i nadzór ludzki
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. Ograniczenia dotyczące danych wrażliwych i regulowanych
Gdy obowiązują postanowienia AI dotyczące UE, Klient nie może przekazywać AI poufnych lub regulowanych informacji, w tym danych o stanie zdrowia, genetycznych lub biometrycznych, numerów identyfikacyjnych wydanych przez rząd lub osobistych informacji finansowych lub kont bankowych. Klienci powinni ograniczyć Dane Osobowe w zapytaniach.
6. Dokładność, stronniczość i sprawiedliwość
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
Gdy obowiązujące warunki AI BambooHR dopuszczają użycie Danych Wydajności i Informacji zwrotnej w celu ulepszenia funkcjonalności AI, takie użycie podlega tym warunkom. Gdy Dane Klienta są używane do dopasowania modelu specyficznego dla klienta, wynikowy model jest używany do udostępniania funkcji AI temu Klientowi i nie jest wykorzystywany do świadczenia usług innym klientom.
8. Przetwarzanie międzynarodowe
Dostawcy AI mogą Przetwarzać autoryzowane Wejścia lub powiązane Dane Osobowe poza EOG. Takie Przetwarzanie podlega środkom zabezpieczającym transfer w niniejszej DPA i nie zmienia lokalizacji kontraktowanego rdzeniowego magazynu HRIS Klienta. Klienci powinni ocenić, czy opcjonalne użycie AI jest zgodne z ich własnym miejscem zamieszkania, radą pracowniczą, prawem pracy i wymaganiami ryzyka przed włączeniem go.
Masz pytania dotyczące niniejszych zasad prywatności lub swoich praw do danych?
Kontakt
