Legal
Política de privacidade | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
Atualizado pela última vez: 16 de agosto de 2026
Grouper compromete-se a proteger dados pessoais e manter altos padrões de privacidade, segurança e conformidade regulatória. A proteção de dados é tratada como responsabilidade operacional e contratual central, não como um pensamento tardio. Projetamos nossa entrega de serviços, controles de acesso, processos de suporte e governança de fornecedores para refletir os princípios de responsabilidade, integridade, confidencialidade e transparência do GDPR.
Esta Política de Privacidade explica como Grouper Technology Limited (“Grouper”, “nós” ou “nosso”) coleta, usa, acessa, hospeda, armazena, protege, transfere e, de outra forma, processa dados pessoais em relação aos serviços que fornecemos, incluindo nosso papel como parceiro europeu de BambooHR.
Grouper apoia organizações na Irlanda, Reino Unido, Europa e outras regiões com a implantação, administração e uso da plataforma HRIS BambooHR e tecnologia RH relacionada.
Nosso modelo de serviço europeu é baseado em um princípio claro de residência de dados na Europa. Dados Pessoais de Clientes tratados através do serviço europeu BambooHR da Grouper são hospedados e armazenados dentro da Área Econômica Europeia (“EEA”), com hospedagem principal na Irlanda.
Esta Política de Privacidade se aplica aos dados pessoais processados em relação a:
- implementação e onboarding do BambooHR;
- configuração de HRIS;
- administração de contas;
- suporte ao cliente;
- suporte técnico;
- suporte de integração;
- migração de dados;
- sucesso do cliente;
- treinamento;
- serviços profissionais;
- segurança e administração de serviço;
- comunicações com o cliente;
- vendas e demonstrações;
- Grouper sites e serviços digitais; e
- nossas atividades comerciais gerais.
Grouper Limited Technology é uma empresa irlandesa com escritório registrado no 3º andar, 22 Ely Place, Dublin, D02 AH73, Irlanda.
BambooHR fornece o sistema de informação de recursos humanos subjacente e a funcionalidade de produto relacionada. Grouper fornece implementação europeia, migração, configuração, treinamento, sucesso do cliente, suporte, gestão de serviços e serviços profissionais relacionados. Dependendo da assinatura e configuração do Cliente, a plataforma HRIS BambooHR pode oferecer registros de funcionários, integração, recrutamento, tempo e frequência, gestão de licenças, desempenho, remuneração, benefícios, funcionalidades relacionadas à folha de pagamento, relatórios, análises, integrações, APIs e recursos de inteligência artificial.
Dependendo dos serviços adquiridos por um cliente, Grouper pode fornecer:
- BambooHR implementação;
- onboarding;
- configuração;
- configuração da conta;
- assistência à migração;
- serviços de integração;
- suporte técnico;
- suporte de HRIS;
- treinamento;
- serviços de sucesso do cliente;
- administração de serviço;
- solução de problemas; e
- serviços profissionais relacionados.
A função exata de proteção de dados de Grouper depende da atividade de Processamento específica.
Quando Grouper determina as finalidades e os meios de Processamento — por exemplo, em determinadas atividades de website, vendas, contato comercial, segurança ou administração corporativa — Grouper atua como Controlador.
Quando Grouper Processa Dados Pessoais de Clientes apenas em nome de um Cliente e de acordo com as instruções documentadas desse Cliente, Grouper atua como Processador.
Quando o Cliente atua como Responsável por outro Controlador, Grouper pode atuar como Subprocessador na medida aplicável.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 Compromisso Central de Residência Europeia
Para Clientes que adquirem o serviço europeu Grouper da BambooHR com residência de dados na EEA, os Dados Pessoais do Cliente que integram o ambiente de produção central do HRIS são hospedados e armazenados dentro da EEA, com o local principal de hospedagem na Irlanda.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 Armazenamento versus Acesso
A residência de dados descreve onde os Dados Pessoais do Cliente são armazenados. Não significa que nenhum suporte autorizado ou acesso técnico jamais possa ocorrer de outro país.
Acesso excepcional de fora do EEE pode ocorrer apenas quando necessário, autorizado e protegido legalmente conforme descrito nas Seções 17 e 18 desta Política.
4.3 Backups, Resiliência e Recuperação de Desastres
As ofertas de backup, resiliência e recuperação de desastres são projetadas para preservar confidencialidade, integridade e disponibilidade e manter consistência com os compromissos de hospedagem regional do Cliente.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 Não Relocação Rotineira Fora do EEE
Grouper não utiliza acesso de suporte excepcional como mecanismo de relocação rotineira de Dados Pessoais do Cliente dentro da Europa.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
“Lei de Proteção de Dados Aplicável” significa todas as leis e regulamentos de proteção de dados, privacidade e segurança de dados aplicáveis ao Processamento, incluindo, quando relevante:
- Regulamento (UE) 2016/679 — o Regulamento Geral de Proteção de Dados (GDPR);
- a Lei de Proteção de Dados da Irlanda de 2018;
- regras irlandesas de ePrivacy e comunicações eletrônicas aplicáveis;
- a GDPR do Reino Unido e a UK Data Protection Act 2018, quando aplicáveis;
- lei suíça de proteção de dados aplicável, quando aplicável;
- legislação nacional aplicável implementando os requisitos de privacidade europeus; e
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
As informações processadas dependem dos Serviços escolhidos pelo Cliente e dos dados que o Cliente optar por colocar no ambiente de RH.
6.1 Employee and Workforce Information
Dados Pessoais podem incluir:
- nome e números de identificação de empregados;
- fotografias quando fornecidas;
- detalhes de contato de casa ou trabalho;
- data de nascimento, gênero e informações demográficas quando fornecidas;
- informações familiares ou cônjuge quando fornecidas;
- contatos de emergência e números de telefone;
- qualificações acadêmicas e profissionais;
- informação de CV ou currículo, histórico de emprego e proficiência em idiomas;
- título do cargo, grau, departamento, localização, linhas de reporte e afiliação a equipe;
- datas de contratação e término, horários de trabalho e detalhes contratuais;
- informações de desempenho, avaliação, disciplina e histórico de trabalho;
- benefícios, seguro, ativos da empresa e informações de treinamento; e
- informações de licença, presença e folgas.
6.2 Informações de Folha de Pagamento e Remuneração
Quando serviços relevantes são usados, Dados Pessoais podem incluir:
- salários, remuneração e bônus;
- informações fiscais e de seguridade social;
- dados bancários e de pagamento;
- informação de pensão;
- opções de ações e outros benefícios; e
- outras informações relacionadas à folha de pagamento.
6.3 Recrutamento, Candidatura e Informações de Referência
For candidates, prospective employees and referees, information may include:
- identidade e dados de contato;
- CVs, currículos, histórico de emprego e qualificações;
- registros de candidatura, entrevista e recrutamento;
- comunicações com candidatos e status de recrutamento;
- informação de remuneração proposta;
- nomes de referências, detalhes de contato e relação profissional; e
- informação contida em referências.
6.4 Dados de Categoria Especial e Sensíveis
Dependendo do uso da plataforma HRIS BambooHR pelo Cliente, os Serviços podem conter informações de saúde ou deficiência e outros Dados Pessoais de categoria especial ou confidenciais.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
Os clientes não devem inserir informações sensíveis em campos de texto livre ou recursos de IA, a menos que seja necessário, legal e permitido pelos termos de produto relevantes.
Dados Pessoais processados em relação aos serviços de Grouper podem relacionar-se a:
- atuais, antigos, candidatos e futuros empregados;
- candidatos e requerentes;
- contratados, consultores, agentes e contratados independentes;
- agência, trabalhadores temporários e casuais;
- estagiários e voluntários;
- dependentes de funcionários, beneficiários e contatos de emergência;
- referentes e provedores de referências;
- Administradores do Cliente e usuários autorizados; e
- outras pessoas cujos Dados Pessoais o Cliente envia legalmente aos Serviços.
Dados Pessoais podem ser obtidos:
- diretamente da pessoa;
- da empregadora do indivíduo ou empregador em potencial;
- de administradores do Cliente e usuários autorizados;
- durante implantação, configuração e migração de dados;
- através de integrações autorizadas ou APIs;
- através de solicitações de suporte e solução de problemas;
- através da plataforma BambooHR HRIS ou de outro sistema selecionado pelo Cliente;
- através de processos de recrutamento;
- de fontes públicas onde legalmente utilizado; e
- de outras fontes legais autorizadas pelo Cliente.
Grouper Processa Dados Pessoais apenas para finalidades especificadas e legais. Estas podem incluir:
- implementar e configurar a plataforma HRIS BambooHR;
- hospedar ou facilitar a hospedagem de Dados Pessoais do Cliente;
- administrar contas e permissões de usuário;
- manter e assegurar o serviço;
- fornecer suporte ao cliente e técnico;
- apoiar integrações e migrações;
- oferecer treinamento e serviços profissionais;
- gerenciar assinaturas e relacionamentos com clientes;
- detectar e investigar eventos de segurança;
- manter registros de auditoria;
- prevenir fraude ou uso indevido;
- cumprir obrigações legais; e
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
Quando o pessoal de suporte acessa Dados Pessoais do Cliente, o acesso deve ser limitado às informações mínimas razoavelmente necessárias para o objetivo de suporte e deve ser realizado por pessoal autorizado sujeito a confidencialidade e controles de acesso.
Quando Grouper atua como Controlador, as bases legais aplicáveis podem incluir:
10.1 Contrato
Processamento necessário para celebrar ou executar um contrato, ou para tomar medidas antes de celebrar um contrato a pedido do indivíduo.
10.2 Interesses legítimos
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- entrega de serviço;
- administração do cliente;
- segurança da informação;
- prevenção de fraude;
- continuidade de negócios;
- suporte ao cliente; e
- relationship management.
10.3 Obrigação Legal
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 Consentimento
Quando apropriado, o Processamento pode basear-se em consentimento. O consentimento pode ser retirado a qualquer momento sem afetar a legalidade do Processamento realizado antes da retirada.
Quando o Cliente atua como Controlador, o Cliente é responsável por:
- determinar as finalidades para as quais Dados Pessoais são processados;
- estabelecendo bases legais e condições de categoria especial;
- fornecer avisos de privacidade exigidos;
- obter consentimento quando exigido;
- garantir a precisão e qualidade dos dados;
- determinar os períodos de retenção apropriados;
- gerenciar usuários autorizados e permissões;
- usar os Serviços com segurança; e
- garantir que suas instruções a Grouper sejam legais.
O Cliente não deve instruir Grouper a Processar Dados Pessoais de maneira que infrinja a Lei de Proteção de Dados Aplicável.
Grouper notificará o Cliente quando, em sua opinião razoável, uma instrução infringe a Lei de Proteção de Dados Aplicável e pode suspender o Processamento afetado até a resolução da questão.
Grouper limita o acesso aos Dados Pessoais do Cliente a pessoas autorizadas que razoavelmente necessitam de acesso para seus deveres. O pessoal está sujeito a obrigações de confidencialidade adequadas e recebe treinamento de privacidade e segurança compatível com seu papel. O acesso é regido pelos princípios de menor privilégio e necessidade de conhecimento.
Controles de acesso incluem:
- controles de identidade e autenticação;
- controles baseados em função e de acesso privilegiado;
- controles de contas administrativas;
- gerenciamento do ciclo de vida da conta;
- registro e monitoramento de acessos;
- revisão periódica de acesso;
- requisitos de confidencialidade e uso aceitável; e
- segurança apropriada de pessoal e treinamento.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
Medidas incluem:
- controles de acesso físicos e lógicos;
- autenticação forte e controles de senha adequados;
- criptografia em trânsito e em repouso quando apropriado;
- pseudonimização quando apropriado;
- firewalls de rede, segurança perimetral e detecção de intrusões;
- registro, monitoramento e trilhas de auditoria;
- gestão de vulnerabilidades e testes de segurança;
- acesso administrativo restrito;
- transmissão segura, incluindo canais de transferência protegidos;
- backup, redundância, recuperação e resiliência;
- planejamento de continuidade de negócios e recuperação de desastres;
- desenvolvimento seguro e gestão de mudanças;
- separação de dados entre clientes e finalidades de processamento;
- procedimentos de resposta a incidentes;
- conscientização e treinamento de segurança do pessoal; e
- diligência de sub-processadores e governança de segurança.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
Quando Grouper atua como Processador e toma conhecimento de um Vazamento de Dados Pessoais afetando Dados Pessoais do Cliente, Grouper notificará o Cliente relevante no tempo mais rápido razoavelmente possível e, em qualquer caso, dentro de 48 horas após tomar conhecimento do incidente.
Na medida do que for razoavelmente disponível, a notificação incluirá:
- a natureza do incidente;
- categorias de Dados Pessoais afetadas;
- categorias aproximadas e números de Titulares de Dados e registros;
- conseqências prováveis;
- medidas tomadas ou propostas;
- ações de mitigação; e
- um ponto de contato para informações adicionais.
As informações podem ser fornecidas em fases conforme estiverem disponíveis.
Grouper fornecerá cooperação razoável para permitir que o Cliente cumpra as obrigações regulatórias e de notificação de Titulares de Dados aplicáveis.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper pode nomear cuidadosamente Subprocessadores e prestadores de serviços onde necessário para fornecer, hospedar, proteger, apoiar, monitorar ou melhorar os Serviços.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
Quando os termos aplicáveis do cliente fornecerem autorização escrita geral, os Clientes receberão aviso prévio de Subprocessadores novos relevantes e uma oportunidade de objeção com base em motivos razoáveis de proteção de dados.
Para subprocessadores de BambooHR, o DPA atual de BambooHR prevê pelo menos 30 dias de aviso prévio de um novo Subcontratado que Processará Dados Pessoais do Cliente.
O Anexo 4 fornece transparência sobre categorias-chave de provedores e provedores nomeados identificados nos materiais de serviço orientadores.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
O Processamento de BambooHR é regido por termos contratuais e de proteção de dados aplicáveis, incluindo seu DPA, medidas de segurança, acordos com subprocessadores e salvaguardas de transferências internacionais.
Grouper continua responsável por suas próprias obrigações sob a Lei de Proteção de Dados Aplicável e o contrato com o cliente aplicável. Quando BambooHR Processa Dados Pessoais para apoiar o ambiente de clientes europeus de Grouper, os requisitos contratuais, de segurança e de residência de dados aplicáveis são aplicáveis.
Para o serviço europeu contratado de Grouper, os Dados Pessoais do Cliente são projetados para serem armazenados na EEA, com hospedagem principal na Irlanda via Amazon Web Services (AWS). Processamento autorizado ou acesso remoto de fora da EEA pode constituir uma Transferência Restrita, mesmo quando os dados permaneçam armazenados na Irlanda. Esse acesso é permitido apenas quando legal, necessário e protegido por salvaguardas apropriadas.
Exemplos de cenários excepcionais incluem:
- uma emergência que afete o ambiente do centro de dados irlandês ou a continuidade do serviço;
- uma solicitação de suporte ou manutenção que exija acesso especializado autorizado de fora da EEA, sujeita à aprovação aplicável do Cliente ou autorização contratual; e
- uma solicitação verificada do Cliente para realocar ou, de outra forma, Processar dados fora da região de hospedagem europeia contratada.
Quando ocorre uma Transferência Restrita, Grouper e/ou o respectivo provedor de tecnologia usarão um mecanismo legalmente reconhecido, como:
- uma decisão de adequação;
- as Cláusulas Contratuais Padrão da Comissão Europeia;
- o UK International Data Transfer Addendum, quando aplicável;
- participação no EU-US Data Privacy Framework quando legalmente disponível e aplicável;
- Regras Corporativas Vinculativas, quando aplicável; ou
- outro mecanismo de transferência válido reconhecido pela Lei de Proteção de Dados Aplicável.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
Nada nesses arranjos de acesso excepcional altera o compromisso do Grouper de que os Dados Pessoais do Cliente para o serviço europeu são armazenados na EEA.
Quando cláusulas contratuais padrão da UE são exigidas, elas são incorporadas em sua forma oficialmente aprovada sem alteração do texto obrigatório. Para transferências de Controlador para Processador, o Módulo Dois normalmente se aplica, a menos que outro módulo seja exigido pelas funções das partes.
Onde a Irlanda é selecionada como a lei governante da UE aplicável e foro, as partes concordam com os tribunais da Irlanda conforme previsto no SCC aplicável.
Para transferências sujeitas à Lei de Proteção de Dados do Reino Unido, os SCCs da UE se aplicarão juntamente com o Addendum Internacional de Transferência de Dados do Reino Unido vigente ou outro mecanismo legalmente reconhecido de transferência no Reino Unido.
Supplementary measures may include:
- criptografia;
- restrições de acesso;
- controles de gerenciamento de chaves;
- minimização;
- registro;
- limitações contratuais à transferência subsequente;
- procedimentos de revisão mediante solicitação governamental;
- medidas de transparência; e
- suspensão ou término de transferências quando não puder ser assegurado um nível adequado de proteção.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
Solicitações ilegais ou desproporcionais serão contestadas quando houver fundamentos razoáveis e base legal para isso.
Divulgação será limitada ao mínimo exigido por lei.
O Cliente será notificado quando legalmente permitido. Onde a notificação for proibida, envidar-se-ão esforços razoáveis para obter permissão de fornecer notificação quando aplicável.
Registros da solicitação e da resposta serão mantidos conforme exigido pela lei e pelo mecanismo de transferência aplicável.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- acesso;
- retificação;
- apagamento;
- restrição de Processamento;
- portabilidade de dados;
- objecção;
- retração do consentimento;
- direitos relacionados à tomada de decisão automatizada e à criação de perfis; e
- the right to complain to a competent supervisory authority.
Quando Grouper atua como Processador, solicitações relativas aos Dados Pessoais do Cliente devem normalmente ser direcionadas ao Cliente relevante como Controlador. Se Grouper receber tal solicitação diretamente, Grouper irá, a menos que proibido por lei, encaminhar ou notificar a solicitação ao Cliente e não responder de forma substantiva exceto sob instruções documentadas do Cliente ou quando exigido por lei. Grouper fornecerá assistência razoável para permitir que o Cliente cumpra suas obrigações.
Levando em conta a natureza do Processamento e as informações disponíveis para Grouper, Grouper fornecerá assistência razoável com Avaliações de Impacto de Proteção de Dados e, quando requerido, consulta prévia a uma autoridade supervisora competente.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- documentação de segurança;
- políticas;
- informações de conformidade;
- informação de auditoria;
- relatórios de garantia independentes;
- certificações relevantes; e
- respostas a questionários de segurança razoáveis.
Quando exigido por lei ou contrato e evidência documental razoável é insuficiente, os Clientes podem exercer os direitos de auditoria aplicáveis mediante aviso razoável, sujeitos a confidencialidade, segurança, não interferência e proteções para informações de outros clientes. A menos que seja exigido devido a um incidente de segurança, requisito regulatório ou evidência razoável de não conformidade material, auditorias formais devem, em geral, ocorrer no máximo uma vez em qualquer período de doze meses. Os Clientes geralmente arcam com seus próprios custos de auditoria, salvo disposição legal ou contratual em contrário.
Grouper mantém Dados Pessoais apenas pelo tempo necessário de forma razoável para a finalidade relevante ou conforme exigido por lei.
Quando Grouper atua como Processador, a retenção é determinada principalmente por:
- instruções documentadas do Cliente;
- o acordo do cliente aplicável;
- a duração dos Serviços;
- requisitos de suporte; e
- obrigigações legais; e
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
Os Clientes são responsáveis por manter Dados Pessoais do Cliente precisos. Quando Grouper ou um processador ficar ciente de que os dados são imprecisos ou desatualizados em circunstâncias que exijam ação, Grouper cooperará com o Cliente para corrigir ou apagar os dados de acordo com instruções documentadas e com a Lei de Proteção de Dados Aplicável.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
Certos recursos BambooHR podem usar inteligência artificial ou aprendizado de máquina. A funcionalidade de IA é opcional quando identificada como tal e pode estar sujeita a termos de IA BambooHR separados.
Atual materiais de serviço de IA da BambooHR identificam provedores de IA de terceiros, incluindo OpenAI, Cohere e Anthropic/Claude, e materiais de subcontratados atuais podem identificar fornecedores adicionais de IA ou processamento de documentos (como LlamaIndex) dependendo da configuração de recursos.
Customers remain responsible for:
- avaliar se o uso de IA é apropriado para a organização;
- estabelecer uma base legal;
- fornecer transparência necessária aos titulares de dados;
- obter consentimento quando exigido;
- implementar supervisão humana suficiente;
- avaliar riscos de viés e equidade; e
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
Quando BambooHR usa Dados do Cliente, Entrada ou Saída para ajustar finamente ou treinar um modelo específico do cliente, os termos de IA aplicáveis BambooHR afirmam que tal uso é para fornecer os recursos de IA a esse Cliente e que o modelo treinado pelo cliente resultante não é usado de outra forma para fornecer serviços a outros clientes.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
O acesso programático deve usar métodos de autenticação suportados e não deve expor Dados do Cliente ou credenciais a partes não autorizadas.
As integrações não devem usar Dados do Cliente além do objetivo documentado e autorizado.
Quando um provedor de integração Processa Dados Pessoais em nome do Cliente ou Grouper, termos apropriados de processador ou subprocessador e salvaguardas de transferência devem ser aplicáveis.
Quando Grouper atua como Controlador em relação às suas próprias atividades comerciais, podemos Processar informações de contato empresarial relacionadas a:
- clientes em potencial;
- contatos de clientes;
- fornecedores;
- parceiros;
- assessores profissionais;
- participantes de eventos;
- visitantes de websites; e
- indivíduos que entram em contato com Grouper.
As informações podem incluir nome, organização, cargo, dados de contato comercial, comunicações, informações de consulta, endereço IP, informações de navegador e dispositivo, páginas visitadas e dados técnicos semelhantes.
Processamos tais informações para responder a consultas, administrar relacionamentos, fornecer serviços solicitados, manter a segurança, cumprir contratos, cumprir a lei e, quando permitido, enviar comunicações comerciais relevantes. Os destinatários podem optar por não receber marketing direto a qualquer momento. Comunicações operacionais, contratuais, de segurança e de atendimento ao cliente não são marketing.
Sites podem usar cookies essenciais, funcionais e de analytics e tecnologias semelhantes. Quando exigido por lei, cookies não essenciais serão usados somente após o consentimento apropriado e os usuários serão fornecidos com controles para gerenciar preferências.
Grouper seeks to embed privacy into service design and operations. This includes:
- Opções de residência de dados europeias;
- minimização de dados;
- acesso de menor privilégio;
- autenticação adequada;
- criptografia;
- registro de acesso;
- permissões baseadas em função;
- transmissão segura;
- Controles de Sub-processadores;
- controles de retenção;
- processos de resposta a incidentes;
- treinamento de privacidade e segurança;
- teste de segurança;
- apoio DPIA; e
- responsabilidade documentada.
Grouper manterá registros e medidas de governança apropriadas ao seu papel e cooperará de boa-fé com Clientes, Titulares de Dados e autoridades supervisoras competentes.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
Quando Grouper Processa Dados Pessoais do Cliente como Processador, a Parte B e o acordo do cliente aplicável regerão a relação contratual de Processamento. Em caso de inconsistência em relação aos Dados Pessoais do Cliente, aplica-se a seguinte ordem de precedência: Lei de Proteção de Dados aplicável obrigatória; SCCs aplicáveis, Addendum do Reino Unido ou outro mecanismo obrigatório de transferência; o Acordo de Processamento de Dados; disposições aplicáveis de proteção de dados do Acordo; e o restante do Acordo.
A proposition europeia da Grouper para BambooHR baseia-se em três princípios:
Residência de dados europeia.
Dados Pessoais do Cliente são hospedados e armazenados dentro do EEE, com hospedagem primária na Irlanda via Amazon Web Services (AWS).
Padrões de privacidade europeus.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
Serviço e suporte europeus.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
Nosso objetivo é capacitar organizações a usar BambooHR mantendo os padrões de privacidade, governança e residência de dados esperados pelos clientes europeus.
Questões relativas a esta Política de Privacidade, às atividades de Tratamento da Grouper, aos direitos dos Titulares de Dados, à segurança ou às nossas arrumações de residência de dados europeias podem ser submetidas através dos canais designados de privacidade ou suporte ao cliente da Grouper.
Grouper Technology Limited também pode ser contatada em 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Irlanda.
Quando os Dados Pessoais em questão estão contidos na conta BambooHR de um empregador, as pessoas devem normalmente contatar primeiro esse empregador, pois essa organização geralmente será o Controlador responsável por determinar como as informações são utilizadas.
Este Contrato de Processamento de Dados (“DPA”) faz parte do acordo, formulário de pedido, declaração de trabalho ou outro contrato que rege a prestação dos serviços relacionados à Grouper’s BambooHR entre o Cliente e a Grouper Technology Limited.
Ao fornecer os Serviços, a Grouper pode Processar Dados Pessoais do Cliente em nome do Cliente. Este DPA estabelece as obrigações das Partes para esse Processamento.
Este DPA aplica-se na medida em que Grouper Processa Dados Pessoais do Cliente em nome do Cliente e tais Processamentos estão sujeitos à Lei de Proteção de Dados Aplicável. Complementa e faz parte do Acordo; termos em maiúsculas não definidos aqui têm o significado dado no Acordo.
Para este DPA:
Dados Pessoais do Cliente
Dados pessoais controlados por um Cliente ou Afiliado do Cliente e processados pela Grouper em relação aos Serviços.
Transferência Restrita
Transferência de Dados Pessoais que exige um mecanismo de transferência legal de acordo com a Lei de Proteção de Dados Aplicável.
Cláusulas Contratuais Padrão (SCCs)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
Terceiro contratado pela Grouper para Processar Dados Pessoais do Cliente.
Fornecedor de Tecnologia
BambooHR LLC e, quando aplicável, entidades BambooHR relacionadas que fornecem a plataforma de tecnologia de HR subjacente.
Salvo acordo escrito em contrário, o Cliente atua como Controlador e Grouper atua como Operador. Onde o Cliente atua como Operador para outro Controlador, Grouper atua como Sub-operador na medida aplicável.
Grouper Processará Dados Pessoais do Cliente apenas com instruções documentadas do Cliente e apenas na medida necessária para fornecer, manter, proteger e dar suporte aos Serviços, a menos que seja exigido pelo direito aplicável.
Grouper informará prontamente o Cliente se, em sua opinião razoável, uma instrução viole a Lei de Proteção de Dados Aplicável e poderá suspender o Processamento afetado até resolução.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper garantirá que Pessoas Autorizadas estejam sujeitas a obrigações de confidencialidade apropriadas, acessem Dados Pessoais do Cliente apenas quando razoavelmente necessário, recebam treinamento adequado em privacidade e segurança e Processem Dados Pessoais do Cliente apenas de acordo com este DPA e instruções documentadas do Cliente. O acesso será limitado conforme os princípios de menor privilégio e necessidade de conhecimento.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
Os domínios de controle mínimos estão descritos no Anexo 2. Grouper pode atualizar essas medidas desde que alterações não provoquem redução material do nível geral de proteção aos Dados Pessoais do Cliente.
Grouper notificará o Cliente assim que razoavelmente praticável e, quando o compromisso contratual de 48 horas se aplicar, em nenhum caso após 48 horas desde que teve conhecimento de um Incidente de Segurança real ou suspeito que afete Dados Pessoais do Cliente.
As informações podem ser fornecidas em fases conforme ficarem disponíveis. Grouper fornecerá a cooperação razoável necessária para o Cliente cumprir as obrigações de notificação às autoridades Supervisórias e aos Titulares de Dados afetados.
O Cliente concede à Grouper autorização escrita geral para contratar Sub-processadores necessários para fornecer os Serviços.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
Quando o DPA subjacente da BambooHR se aplica, a BambooHR atualmente fornece pelo menos 30 dias de aviso prévio por escrito de um Novo Subcontratado que irá Processar Dados Pessoais do Cliente.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Se Grouper receber um pedido diretamente relacionado aos Dados Pessoais do Cliente, Grouper encaminhará prontamente ou notificar o Cliente e não responderá substancialmente exceto com instruções documentadas ou quando exigido por lei.
Grouper fornecerá assistência razoável, levando em conta a natureza do Processamento e as informações disponíveis, com Avaliações de Impacto à Proteção de Dados, consulta prévia com autoridades supervisoras, e investigações ou questionamentos razoáveis por uma autoridade supervisora competente relacionados aos Serviços.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
Na medida permitida por lei, Grouper revisará solicitações de Dados Pessoais do Cliente por autoridades públicas vinculantes, contestará pedidos ilegais ou desproporcionais quando houver razões razoáveis, buscará limitar a divulgação ao mínimo legalmente exigido, notificará o Cliente quando legalmente permitido e manterá registros apropriados.
A pedido do Cliente, ou mediante término ou expiração dos Serviços, a Grouper, à escolha do Cliente e sujeito à viabilidade técnica e ao Acordo, devolverá ou excluirá com segurança os Dados Pessoais do Cliente e exigirá que os Subprocessadores relevantes façam o mesmo. Quando a lei exigir retenção, a Grouper irá isolar e proteger os dados retidos e Processá-los apenas conforme exigido por lei.
O Cliente garante que possui os direitos, permissões, avisos, bases legais e consentimentos necessários para fornecer Dados Pessoais do Cliente para Processamento; que suas instruções estão em conformidade com a Lei de Proteção de Dados Aplicável; que não instruirá Processamento ilegal; e que configurará e usará os Serviços de forma segura e manterá controles apropriados sobre contas de usuário, credenciais e integrações.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
Este DPA entra em vigor quando o Cliente fica vinculado por ele e continua enquanto a Grouper Processa Dados Pessoais do Cliente em nome do Cliente. Obrigações que, pela natureza ou por lei, devem continuar enquanto os dados forem retidos sobrevivem após o vencimento ou rescisão.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
Em caso de inconsistência relacionada aos Dados Pessoais do Cliente, aplica-se a seguinte ordem de precedência: Lei de Proteção de Dados aplicável obrigatória; SCCs aplicáveis, Adendo do Reino Unido ou outro mecanismo de transferência obrigatório; este DPA; disposições de proteção de dados do Acordo; e o restante do Acordo.
Controlador / Exportador de Dados
The Customer identified in the applicable Agreement or Order Form.
Processador / Importador de Dados
Grouper Technology Limited, 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Irlanda.
Fornecedor de Tecnologia
BambooHR LLC e entidades BambooHR aplicáveis fornecendo a plataforma HRIS subjacente.
Objeto
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
Natureza do Processamento
Coleta, recebimento, registro, organização, estruturação, migração, hospedagem, armazenamento, recuperação, consulta, uso, transmissão, disponibilização, restrição, suporte de acesso, exclusão e outros Processamentos razoavelmente necessários para fornecer os Serviços.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
Durante a vigência dos Serviços e qualquer período subsequente necessário para retornar ou excluir Dados Pessoais do Cliente ou cumprir a lei.
Titulares de Dados
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
Dados Pessoais
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
Dados Sensíveis
Quando selecionado pelo Cliente, pode incluir informações de saúde e deficiência e outros dados de categoria especial ou sensíveis permitidos pelos Serviços.
Armazenamento Europeu Primário
Irlanda / EEA via Amazon Web Services (AWS) para Clientes que adquirem o serviço de residência de dados europeu.
Autoridade Supervisora Competente
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper mantém medidas técnicas e organizacionais nos seguintes domínios de controle mínimos:
1. Governança de Segurança da Informação
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. Segurança de Pessoal
Obrigações de confidencialidade, triagem adequada ao papel quando legal, conscientização em segurança e treinamento em privacidade, e controles disciplinares para acesso não autorizado.
3. Segurança Física
Acesso restrito a instalações e infraestrutura relevantes; caminhos de acesso controlados; autorizações de acesso; monitoramento físico e outras salvaguardas apropriadas ao ambiente de hospedagem.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. Controle de Acesso a Dados
Controles projetados para que usuários autorizados acessem apenas dados dentro de suas permissões; registro e monitoramento de acessos; liberação de dados apenas a pessoas autorizadas.
6. Criptografia e Pseudonimização
Criptografia adequada de Dados Pessoais em trânsito e em repouso; pseudonimização quando apropriado para o objetivo do processamento.
7. Segurança de Rede e Transmissão
Firewalls, gateways protegidos, canais de comunicação seguros, TLS/SFTP ou mecanismos de transferência protegidos equivalentes, e controles contra interceptação ou alteração não autorizadas.
8. Registro e Monitoramento
Registro de atividades relevantes do sistema, administrativas e de acesso; monitoramento de eventos suspeitos; retenção de informações de auditoria adequada ao risco.
9. Controle de Entrada e Alteração
Controles para identificar quem inseriu, alterou ou excluiu dados; autenticação de usuários e sistemas autorizados; práticas documentadas de gestão de mudanças.
10. Testes de Vulnerabilidade e Segurança
Processos para identificar, avaliar e remediar vulnerabilidades; testes periódicos de penetração ou segurança; avaliação e confirmação regulares da eficácia dos controles.
11. Disponibilidade, Backup e Recuperação
Redundância de infraestrutura, backup, capacidade de restauração, controles de disponibilidade e proteção contra perda ou destruição acidental.
12. Continuidade de Negócios e Recuperação de Desastres
Planos de continuidade e recuperação documentados projetados para restaurar disponibilidade e acesso em tempo hábil após uma interrupção ou Incidente de Segurança.
13. Separação de Dados
Separação lógica ou em nível de aplicação entre clientes e entre finalidades de processamento; controles desenhados para evitar acesso não autorizado entre clientes.
14. Desenvolvimento Seguro
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
Due diligence, obrigações de proteção de dados por escrito, revisão de segurança, salvaguardas de transferência e supervisão contínua apropriada ao processamento.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
Transferências Restritas da UE
Quando SCCs da UE são necessários, os SCCs oficiais da Comissão Europeia são incorporados por referência sem alterações ao texto obrigatório. A menos que as funções exijam o contrário, o Cliente é o Exportador de Dados, Grouper e/ou o Provedor de Tecnologia aplicável é o Importador de Dados, e o Módulo Dois aplica-se a transferências de Controlador para Processador.
Transferências Restritas do Reino Unido
Para transferências sujeitas à Lei de Proteção de Dados do Reino Unido, os SCCs da UE se aplicarão juntamente com o Addendum Internacional de Transferência de Dados do Reino Unido vigente ou outro mecanismo legalmente reconhecido de transferência no Reino Unido.
Transferências da Suíça
Para transferências sujeitas à Lei de Proteção de Dados da Suíça, os SCCs serão interpretados e adaptados conforme necessário pela lei suíça aplicável, incluindo referências apropriadas à autoridade supervisora suíça e aos Titulares de Dados suíços.
EU-US Privacy Framework
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
Cenários de Acesso Excepcional para Clientes Europeus
O acesso excepcional autorizado fora da EEA pode ocorrer apenas nas seguintes circunstâncias:
- uma emergência que afete o ambiente do centro de dados irlandês ou a continuidade do serviço;
- a solicitação de suporte ou manutenção que exija acesso especializado autorizado fora da EEA, sujeito à aprovação do Cliente ou autorização contratual; e
- uma solicitação verificada do Cliente para Processamento ou hospedagem fora da região europeia.
Os provedores precisos usados variam por produto, recurso, caminho de suporte e configuração do Cliente. O registro atual de subprocessadores ativos mantido pela Grouper e/ou BambooHR está em controle para entrega de serviço.
Os seguintes provedores-chave foram identificados nos materiais de serviço governantes. Um provedor listado aqui nem sempre processa Dados Pessoais do Cliente para todo Cliente ou toda implantação.
BambooHR LLC
Provedor de tecnologia; manutenção, hospedagem e suporte de HRIS. Local: Estados Unidos / regiões de serviço incluindo Europa.
Amazon Web Services (AWS)
Infraestrutura de hospedagem em nuvem primária; hospedagem regional europeia na Irlanda. Local: Irlanda / Europa e outras regiões dependendo da configuração do serviço.
Anthropic / Claude
Processamento de IA / modelo de linguagem. Local: Estados Unidos.
Cohere
API de modelo de linguagem / processamento de IA. Local: Estados Unidos.
OpenAI
API de modelo de linguagem / processamento de IA. Local: Estados Unidos.
LlamaIndex / LlamaParse
Parsers de documentos opcionais associados à funcionalidade de IA. Local: Estados Unidos.
Atlas MongoDB
Armazenamento de dados que suporta serviços selecionados / funcionalidade relacionada a IA. Local: Estados Unidos.
Gainsight
Relacionamento com o cliente / serviços de CRM.
Salesforce
Plataforma de CRM.
Cloudflare
Firewall/segurança de aplicações web.
Datadog
Monitoramento de infraestrutura e aplicações.
Microsoft / Google Workspace
Colaboração, comunicação e armazenamento de documentos dependendo da configuração atual.
Mailgun
Comunicações de aplicações.
Snowflake
Análise de dados.
Twilio
Entrega MFA / SMS.
Provedores adicionais
Provedores adicionais identificados nos materiais de serviço atuais podem incluir Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike e outros. Os Clientes devem consultar a lista de subcontratados ativa da BambooHR e as informações atuais do subprocessador da Grouper para os detalhes mais recentes.
1. Escopo
Este Anexo aplica-se quando o Cliente ativa ou utiliza funcionalidade de inteligência artificial ou aprendizado de máquina da BambooHR em relação aos Serviços suportados pela Grouper.
2. Provedores de IA
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. Entradas e Saídas
Entradas fornecidas pelo Cliente, instruções ou dados enviados à funcionalidade de IA podem constituir “Entradas” e as respostas geradas podem constituir “Saídas”. Dependendo do recurso, Entradas ou Saídas podem incluir Dados do Cliente. As Saídas podem não ser únicas e podem ser semelhantes a saídas produzidas para outros usuários.
4. Responsabilidades do Cliente e Supervisão Humana
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. Restrições de Dados Sensíveis e Regulatórios
Quando proibido pelos termos de IA aplicáveis, o Cliente não deve submeter informações sensíveis ou reguladas a recursos de IA, incluindo saúde, informações genéticas ou biométricas, números de identificação emitidos pelo governo, ou informações financeiras pessoais ou de conta bancária. Os clientes devem minimizar Dados Pessoais em prompts.
6. Precisão, Viés e Equidade
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
Quando os termos de IA aplicáveis da BambooHR permitirem o uso de Dados de Desempenho e Feedback para melhorar a funcionalidade de IA, tal uso é regido por esses termos. Quando Dados do Cliente são usados para ajustar um modelo específico do cliente, o modelo resultante é usado para fornecer recursos de IA a aquele Cliente e não é usado para fornecer serviços a outros clientes.
8. Processamento Internacional
Provedores de IA podem Processar Entradas autorizadas ou Dados Pessoais relacionados fora do EEE. Esse Processamento está sujeito aos salvaguardas de transferência neste DPA e não altera a localização da região de armazenamento central de RH contratada pelo Cliente. Os Clientes devem avaliar se o uso opcional de IA é compatível com seus próprios requisitos de residência, conselho de trabalho, direito trabalhista e risco antes de habilitá-lo.
Dúvidas sobre esta Política de Privacidade ou seus direitos de dados?
Fale Conosco
