Legal
Política de Privacidade | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
Última atualização: 16 de agosto de 2026
Grouper compromete-se a proteger dados pessoais e manter elevados padrões de privacidade, segurança e conformidade regulatória. A proteção de dados é tratada como uma responsabilidade operacional e contratual central, não como uma reflexão tardia. Desenhamos a nossa prestação de serviço, controlos de acesso, processos de suporte e governança de fornecedores para refletir os princípios de responsabilização, integridade, confidencialidade e transparência do GDPR.
Esta Política de Privacidade explica como a Grouper Technology Limited (“Grouper”, “nós”, “nos” ou “nosso”) coleta, usa, acede, hospeda, armazena, protege, transfere e de outra forma processa dados pessoais em relação aos serviços que fornecemos, incluindo o nosso papel como parceiro europeu de BambooHR.
Grouper apoia organizações em Ireland, Reino Unido, Europa e outras regiões com a implementação, administração e uso da plataforma HRIS BambooHR e tecnologia de RH relacionada.
O nosso modelo de serviço europeu é concebido em torno de um princípio claro de residência de dados na Europa. Os Dados Pessoais do Cliente tratados através do serviço europeu Grouper’s BambooHR são alojados e armazenados no Espaço Económico Europeu (“EEE”), com alojamento primário na Irlanda.
Esta Política de Privacidade aplica-se aos dados pessoais processados em relação a:
- Implementação e onboarding do BambooHR;
- Configuração de HRIS;
- administração de contas;
- apoio ao cliente;
- suporte técnico;
- suporte de integração;
- migração de dados;
- sucesso do cliente;
- formação;
- serviços profissionais;
- segurança e administração de serviço;
- comunicações com clientes;
- vendas e demonstrações;
- Grouper sites e serviços digitais; e
- nossas atividades comerciais gerais.
Grouper Technology Limited é uma empresa irlandesa com escritório registrado no 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Irlanda.
BambooHR fornece o sistema subjacente de informações de recursos humanos e a funcionalidade de produto relacionada. Grouper fornece a implementação europeia, migração, configuração, formação, sucesso do cliente, suporte, gestão de serviços e serviços profissionais relacionados. Dependendo da subscrição e da configuração do Cliente, a plataforma BambooHR HRIS pode suportar registos de funcionários, integração, recrutamento, registo de tempo e presença, gestão de ausências, desempenho, remuneração, benefícios, funcionalidade relacionada com salários, relatórios, analítica, integrações, APIs e funcionalidades de inteligência artificial.
Dependendo dos serviços adquiridos por um cliente, Grouper pode fornecer:
- BambooHR implementação;
- onboarding;
- configuração;
- configuração de conta;
- assistência à migração;
- serviços de integração;
- suporte técnico;
- suporte HRIS;
- formação;
- serviços de sucesso do cliente;
- administração de serviço;
- resolução de problemas; e
- serviços profissionais relacionados.
A função exata de proteção de dados de Grouper depende da atividade de Processamento em questão.
Quando Grouper determina os fins e os meios de Tratamento — por exemplo em determinadas atividades de website, vendas, contacto empresarial, segurança ou administração corporativa — Grouper atua como Responsável pelo Tratamento.
Quando Grouper Processa Dados Pessoais do Cliente unicamente em nome de um Cliente e de acordo com as instruções documentadas desse Cliente, Grouper atua como Subconcedente.
Quando o próprio Cliente atua como Controlador para outro Responsável, Grouper pode atuar como Sub-processor na medida aplicável.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 Compromisso Central de Residência Europeia
Para Clientes que adquirem o serviço europeu Grouper’s BambooHR com residência de dados no EEE, os Dados Pessoais do Cliente que integram o ambiente de produção central do HRIS são alojados e armazenados dentro do EEE, com o local de alojamento primário na Irlanda.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 Armazenamento Versus Acesso
A residência de dados descreve onde os Dados Pessoais do Cliente são armazenados. Não significa que nenhum suporte autorizado ou acesso técnico possa ocorrer de outro país.
O acesso excecional de fora da EEA pode ocorrer apenas quando necessário, autorizado e legalmente protegido conforme descrito nas Seções 17 e 18 desta Política.
4.3 Backups, Resiliência e Recuperação de Desastres
As medidas de backup, resiliência e recuperação de desastres são desenhadas para preservar a confidencialidade, integridade e disponibilidade e manter a conformidade com os compromissos de alojamento regional contratados pelo Cliente.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 Sem Realocação de Rotina Fora da EEA
Grouper não utiliza acesso de suporte excepcional como mecanismo de realocação de Dados Pessoais do Cliente Europeu de rotina.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
“Lei de Proteção de Dados Aplicável” significa todas as leis e regulamentos de proteção de dados, privacidade e segurança de dados aplicáveis ao Tratamento, incluindo, quando relevante:
- Regulamento (UE) 2016/679 — o Regulamento Geral de Proteção de Dados (GDPR);
- a Lei de Proteção de Dados Irlandesa de 2018;
- regras irlandesas de ePrivacy e comunicações eletrônicas aplicáveis;
- o GDPR do Reino Unido e a Lei de Proteção de Dados do Reino Unido de 2018, quando aplicável;
- lei suíça de proteção de dados aplicável, quando aplicável;
- legislação nacional aplicável que implementa os requisitos europeus de privacidade; e
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
As informações processadas dependem dos Serviços selecionados pelo Cliente e dos dados que o Cliente escolhe colocar no ambiente de HR.
6.1 Employee and Workforce Information
Dados Pessoais podem incluir:
- nome e números de identificação de empregados;
- fotografias fornecidas;
- detalhes de contacto de casa ou do trabalho;
- data de nascimento, género e informações demográficas onde fornecidas;
- informação matrimonial ou familiar onde fornecida;
- contactos de emergência e números de telefone;
- qualificações académicas e profissionais;
- Informação de CV ou currículo, histórico de emprego e proficiência linguística;
- título de trabalho, categoria, departamento, localização, linhas de reporting e afiliação de equipa;
- datas de contratação e término, horas de trabalho e detalhes contratuais;
- desempenho, avaliação, disciplina e histórico de trabalho;
- benefícios, seguros, ativos da empresa e informação de formação; e
- informação de licença, presença e tempo de folga.
6.2 Informação de Folha de Pagamento e Compensação
Quando serviços relevantes são usados, Dados Pessoais podem incluir:
- salário, compensação e prémios;
- informação fiscal e de segurança social;
- dados bancários e de pagamento;
- informação de pensões;
- opções de ações e outros benefícios; e
- outra informação relacionada com a folha de pagamento.
6.3 Recrutamento, Candidato e Informação de Referência
For candidates, prospective employees and referees, information may include:
- identidade e detalhes de contacto;
- CVs, currículos, histórico de emprego e qualificações;
- registos de candidatura, entrevistas e recrutamento;
- comunicações com candidatos e estado do recrutamento;
- informação de compensação proposta;
- nomes de referências, detalhes de contacto e relação profissional;
- informação contida em referências.
6.4 Categoria Especial e Dados Sensíveis
Dependendo da utilização da plataforma HRIS BambooHR pelo Cliente, os Serviços podem conter informações de saúde ou incapacidade e outros Dados Pessoais de categoria especial ou sensíveis.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
Os Clientes não devem colocar informações sensíveis em campos de texto livre ou recursos de IA, a menos que seja necessário, legal e permitido pelos termos do produto relevantes.
Dados Pessoais tratados em relação aos serviços de Grouper podem relacionar-se com:
- empregados atuais, anteriores, potenciais e futuros;
- candidatos e requerentes;
- contratantes, consultores, agentes e contratados independentes;
- agência, trabalhadores temporários e informais;
- estagiários e voluntários;
- dependentes de funcionários, beneficiários e contactos de emergência;
- referenciadores e fornecedores de referências;
- Administradores de Cliente e usuários autorizados; e
- outros indivíduos cujos Dados Pessoais o Cliente submete legitimamente aos Serviços.
Dados Pessoais podem ser obtidos:
- diretamente da pessoa;
- doutros por parte do empregador ou empregador prospective do indivíduo;
- de administradores de Cliente e usuários autorizados;
- durante implementação, configuração e migração de dados;
- através de integrações autorizadas ou APIs;
- através de pedidos de suporte e resolução de problemas;
- através da plataforma HRIS BambooHR ou de outro sistema escolhido pelo Cliente;
- através de processos de recrutamento;
- de fontes públicas onde legalmente utilizado; e
- de outras fontes legais autorizadas pelo Cliente.
Grouper Processa Dados Pessoais apenas para finalidades especificadas e legais. Estas podem incluir:
- implementar e configurar a plataforma HRIS BambooHR;
- hospedar ou facilitar a hospedagem de Dados Pessoais do Cliente;
- administrar contas e permissões de utilizador;
- manter e assegurar o serviço;
- fornecer suporte ao cliente e técnico;
- apoiar integrações e migrações;
- oferecer formação e serviços profissionais;
- gerir assinaturas e relacionamentos com clientes;
- detetar e investigar eventos de segurança;
- manter registos de auditoria;
- prevenir fraude ou uso indevido;
- cumprir obrigações legais; e
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
Quando o pessoal de suporte acede aos Dados Pessoais do Cliente, o acesso deve ser limitado à informação mínima razoavelmente necessária para o objetivo de suporte e deve ser realizado por pessoal autorizado sujeito a confidencialidade e controlo de acesso.
Quando Grouper atua como Controlador, a base legal aplicável pode incluir:
10.1 Contrato
Processamento necessário para celebrar ou cumprir um contrato, ou para tomar medidas antes de celebrar um contrato a pedido do indivíduo.
10.2 Interesses Legítimos
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- entrega de serviço;
- administração do cliente;
- segurança da informação;
- prevenção de fraude;
- continuidade do negócio;
- suporte ao cliente; e
- relationship management.
10.3 Obrigação Legal
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 Consentimento
Quando apropriado, o tratamento pode basear-se no consentimento. O consentimento pode ser retirado a qualquer momento sem afetar a legalidade do Tratamento efetuado antes da retirada.
Quando o Cliente atua como Controlador, o Cliente é responsável por:
- determinar as finalidades para as quais os Dados Pessoais são processados;
- estabelecendo bases legais e condições de categoria especial;
- fornecer avisos de privacidade obrigatórios;
- obter consentimento quando necessário;
- garantir a exatidão e qualidade dos dados;
- determinar prazos de retenção adequados;
- gerir utilizadores autorizados e permissões;
- usar os Serviços de forma segura; e
- garantir que as suas instruções a Grouper sejam legais.
O Cliente não deve instruir Grouper a Processar Dados Pessoais de uma maneira que infrinja a Lei de Proteção de Dados aplicável.
Grouper notificará o Cliente quando, na sua opinião razoável, uma instrução infringir a Lei de Proteção de Dados aplicável e poderá suspender o Processamento afetado até que a questão seja resolvida.
Grouper limita o acesso aos Dados Pessoais do Cliente a pessoas autorizadas que razoavelmente necessitam de acesso para as suas funções. O pessoal está sujeito a obrigações de confidencialidade apropriadas e recebe formação em privacidade e segurança adequada ao seu papel. O acesso é regido pelos princípios de mínimo privilégio e necessidade de saber.
Controles de acesso incluem:
- controles de identidade e autenticação;
- controles baseados em função e de acesso privilegiado;
- controles de contas administrativas;
- gestão do ciclo de vida da conta;
- registo e monitorização de acessos;
- revisões periódicas de acesso;
- requisitos de confidencialidade e uso aceitável; e
- pessoal apropriado e formação.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
Medidas incluem:
- controles de acesso físicos e lógicos;
- autenticação forte e controles de password apropriados;
- criptografia em trânsito e em repouso, quando apropriado;
- pseudonimização quando apropriado;
- firewalls de rede, segurança perimetral e deteção de intrusões;
- registo, monitorização e trilhas de auditoria;
- gestão de vulnerabilidades e testes de segurança;
- acesso administrativo restrito;
- transmissão segura, incluindo canais de transferência protegidos;
- cópias de segurança, redundância, recuperação e resiliência;
- continuidade de negócio e planeamento de recuperação de desastres;
- desenvolvimento seguro e gestão de mudanças;
- separação de dados entre clientes e finalidades de processamento;
- procedimentos de resposta a incidentes;
- conscientização e formação de segurança para a equipa; e
- diligência de subprocessor e governação de segurança.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
Quando Grouper atua como Processador e fica a conhecer uma violação real ou suspeita de Dados Pessoais que afeta Dados Pessoais do Cliente, Grouper notificará o Cliente relevante no tempo mais expedito possível e, noutros casos, dentro de 48 horas após ter conhecimento do incidente.
Na medida do possível, a notificação incluirá:
- a natureza do incidente;
- categorias de Dados Pessoais afetados;
- categorias aproximadas e números de Titulares de Dados e registos;
- consequências prováveis;
- medidas tomadas ou propostas;
- ações de mitigação; e
- um ponto de contacto para mais informações.
As informações podem ser fornecidas em fases à medida que ficam disponíveis.
Grouper irá fornecer cooperação razoável para permitir que o Cliente cumpra as obrigações regulatórias e de notificação de Titular de Dados aplicáveis.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper pode indicar Sub-processadores e prestadores de serviços cuidadosamente selecionados, quando necessário, para providenciar, hospedar, assegurar, apoiar, monitorizar ou melhorar os Serviços.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
Quando os termos aplicáveis do cliente prevêem autorização escrita geral, os Clientes receberão aviso prévio de novos Sub-processadores relevantes e oportunidade de objeção por motivos razoáveis de proteção de dados.
Para os sub-processadores de BambooHR, o atual DPA de BambooHR fornece um pré-aviso de pelo menos 30 dias sobre um Novo Subcontratante que irá Processar Dados Pessoais do Cliente.
O Schedule 4 fornece transparência sobre categorias-chave de provedores e provedores nomeados identificados nos materiais de serviço que o regem.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
O Tratamento de BambooHR é regido pelos termos contratuais e de proteção de dados aplicáveis, incluindo o seu DPA, medidas de segurança, acordos com sub-processadores e salvaguardas de transferências internacionais.
A Grouper mantém-se responsável pelas suas próprias obrigações ao abrigo da Lei Aplicável de Proteção de Dados e do acordo com o cliente aplicável. Quando BambooHR Processa Dados Pessoais para apoiar o ambiente de clientes europeu de Grouper, aplicam-se os requisitos contratuais, de segurança e de residência de dados relevantes.
Para o serviço contratado europeu da Grouper, os Dados Pessoais do Cliente são concebidos para ficar armazenados no EEE, com alojamento primário na Irlanda via Amazon Web Services (AWS). O Tratamento Autorizado ou o acesso remoto de fora do EEE pode constituir uma Transferência Restrita, mesmo que os dados permaneçam armazenados na Irlanda. Esse acesso é permitido apenas quando legal, necessário e protegido por salvaguardas adequadas.
Exemplos de cenários excepcionais incluem:
- uma emergência que afete o ambiente de data-center irlandês ou a continuidade do serviço;
- uma solicitação de suporte ou de manutenção que exija acesso especializado autorizado de fora do EEE, sujeito à aprovação aplicável do Cliente ou à autorização contratual; e
- uma solicitação verificada do Cliente para realocar ou Processar dados fora da região de alojamento europeia contratada.
Quando ocorre uma Transferência Restrita, Grouper e/ou o respetivo fornecedor de tecnologia utilizarão um mecanismo reconhecido legalmente como:
- uma decisão de adequação;
- as Cláusulas Contratuais-Quadro da Comissão Europeia;
- o UK International Data Transfer Addendum, quando aplicável;
- participação no EU-US Data Privacy Framework, onde disponível e aplicável;
- Regras Corporativas Vinculativas quando aplicável; ou
- outra salvaguarda válida reconhecida pela Lei de Proteção de Dados aplicável.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
Nada em tais acordos de acesso excecional altera o compromisso da Grouper de que os Dados Pessoais do Cliente para o serviço europeu são armazenados dentro do EEE.
Onde os Cláusulas Contratuais Padrõo da UE forem necessárias, estas são incorporadas na sua forma aprovada oficialmente sem alteração da redação obrigatória. Para transfes de Controlador para Processador, o Módulo Dois normalmente aplica-se, a menos que outro módulo seja exigido pelos papéis das partes.
Onde a Irlanda é selecionada como a lei administrativa aplicável da UE e foro, as partes concordam com os tribunais da Irlanda conforme previsto no SCC aplicável.
Para transferências sujeitas à Lei de Proteção de Dados do Reino Unido, os SCCs da UE aplicar-se-ão juntamente com o Addendum Internacional de Transferência de Dados do Reino Unido vigente na altura ou outro mecanismo de transferência legalmente reconhecido.
Supplementary measures may include:
- criptografia;
- restrições de acesso;
- controles de gestão de chaves;
- minimização;
- registo;
- limitações contratuais à transferência para diante;
- procedimentos de revisão solicitados pelo governo;
- medidas de transparência; e
- suspensão ou terminação de transfers onde não possa ser assegurado um nível adequado de proteção.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
Pedidos ilegais ou desproporcionais serão contestados quando existirem motivos razoáveis e base legal para tal.
A divulgação será limitada ao mínimo legalmente exigido.
O Cliente será notificado quando legalmente permitido. Onde a notificação é proibida, serão envidados esforços razoáveis para obter permissão para fornecer aviso when apropriado.
Registos do pedido e da resposta serão mantidos conforme exigido por lei e pelo mecanismo de transferência aplicável.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- acesso;
- rectificação;
- eliminação;
- restrição de Processamento;
- portabilidade de dados;
- objeção;
- retraito de consentimento;
- direitos relacionados com decisão automatizada e criação de perfil; e
- the right to complain to a competent supervisory authority.
Onde Grouper atua como Processador, pedidos relativos aos Dados Pessoais do Cliente devem, normalmente, ser direcionados ao Cliente relevante como Controlador. Se Grouper receber tal pedido diretamente, Grouper deverá, salvo prohibição legal, encaminhar ou notificar o pedido ao Cliente e não responder de forma substancial a menos que haja instruções documentadas do Cliente ou exigido por lei. Grouper fornecerá assistência razoável para permitir que o Cliente cumpra as suas obrigações.
Tendo em conta a natureza do Processamento e as informações disponíveis para Grouper, Grouper fornecerá assistência razoável com Avaliações de Impacto de Proteção de Dados e, quando necessário, consulta prévia com uma autoridade de supervisão competente.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- documentação de segurança;
- políticas;
- informação de conformidade;
- informação de auditoria;
- relatórios de garantia independentes;
- certificações relevantes; e
- respostas a questionários de segurança razoáveis.
Quando legalmente ou contratualmente exigido e a evidência documental razoável não for suficiente, os Clientes podem exercer os direitos de auditoria aplicáveis com aviso razoável, sujeita a confidencialidade, segurança, não interferência e proteções para a informação de outros clientes. Salvo quando exigido devido a um incidente de segurança, exigência regulatória ou evidência razoável de incumprimento material, as auditorias formais devem normalmente ficar limitadas a uma vez em qualquer periodo de doze meses. Em geral, os Clientes arcam com os seus próprios custos de auditoria, salvo disposição legal ou contratual em contrário.
Grouper retém Dados Pessoais apenas pelo tempo que for razoavelmente necessário para o objetivo relevante ou conforme exigido por lei.
Quando Grouper atua como Processador, a retenção é principalmente determinada por:
- instruções documentadas do Cliente;
- o acordo aplicável do cliente;
- a duração dos Serviços;
- requisitos de suporte;
- obrigação legal; e
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
Os Clientes são responsáveis por manter dados precisos do Cliente. Onde Grouper ou um processador ficar ciente de que os dados são imprecisos ou desatualizados em circunstâncias que exijam ação, Grouper irá cooperar com o Cliente para retificar ou eliminar os dados de acordo com instruções documentadas e a Lei de Proteção de Dados Aplicável.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
Certas funcionalidades de BambooHR podem usar inteligência artificial ou aprendizagem automática. A funcionalidade de IA é opcional onde identificada como tal e pode estar sujeita a termos de IA BambooHR separados.
Os materiais atuais do serviço de IA BambooHR identificam fornecedores de IA de terceiros incluindo OpenAI, Cohere e Anthropic/Claude, e os materiais atuais de subcontratados podem identificar fornecedores adicionais de IA ou processamento de documentos (como LlamaIndex) dependendo da configuração de recursos.
Customers remain responsible for:
- avaliar se o uso de IA é adequado para a sua organização;
- estabelecer uma base legal;
- fornecer a transparência necessária aos titulares de dados;
- obter consentimento quando necessário;
- impor supervisão humana suficiente;
- avaliar riscos de viés e justiça; e
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
Quando BambooHR usa Dados do Cliente, Entrada ou Saída para ajustar ou treinar um modelo específico do cliente, os termos de IA aplicáveis de BambooHR estabelecem que tal uso é para fornecer as funcionalidades de IA a esse Cliente e que o modelo treinado pelo cliente resultante não é utilizado de outra forma para fornecer serviços a outros clientes.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
O acesso programático deve usar métodos de autenticação apoiados e não deve expor Dados do Cliente ou credenciais a partes não autorizadas.
As integrações não devem usar Dados do Cliente além do propósito documentado e autorizado.
Quando um fornecedor de integração Processa Dados Pessoais em nome do Cliente ou Grouper, devem aplicar-se termos de processador ou sub-processor apropriados e salvaguardas de transferência.
Quando Grouper atua como Controlador relativamente às suas próprias atividades comerciais, podemos Processar informações de contacto comercial relativas a:
- clientes potenciais;
- contactos de clientes;
- fornecedores;
- parceiros;
- consultores profissionais;
- participantes de eventos;
- visitantes de websites; e
- indivíduos que entram em contacto com Grouper.
As informações podem incluir nome, organização, função, detalhes de contacto comercial, comunicações, informações de consulta, endereço IP, informações do navegador e do dispositivo, páginas visitadas e dados técnicos semelhantes.
Processamos tais informações para responder a consultas, administrar relacionamentos, fornecer serviços solicitados, manter a segurança, cumprir contratos, cumprir a lei e, quando permitido, enviar comunicações de negócios relevantes. Os destinatários podem optar por não receber marketing direto a qualquer momento. Comunicações operacionais, contratuais, de segurança e de atendimento ao cliente não são de marketing.
Os websites podem usar cookies essenciais, funcionais e de analytics e tecnologias semelhantes. Onde legalmente exigido, cookies não essenciais serão usados apenas após o consentimento apropriado e os utilizadores terão controlo para gerir as preferências.
Grouper seeks to embed privacy into service design and operations. This includes:
- Opções de residência de dados europeias;
- minimização de dados;
- acesso de menor privilégio;
- autenticação adequada;
- criptografia;
- registo de acessos;
- permissões baseadas em função;
- transmissão segura;
- Controles de Sub-processor;
- controles de retenção;
- processos de resposta a incidentes;
- formação em privacidade e segurança;
- teste de segurança;
- apoio DPIA; e
- responsabilidade documentada.
Grouper manterá registos e medidas de governação apropriados ao seu papel e cooperará de boa-fé com Clientes, Titulares de Dados e autoridades de supervisão competentes.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
Quando Grouper Processa Dados Pessoais do Cliente como Processador, a Parte B e o acordo aplicável do cliente regem a relação contratual de Processamento. Em caso de inconsistência relativamente aos Dados Pessoais do Cliente, aplica-se a seguinte ordem de precedência: Lei de Proteção de Dados obrigatória aplicável; SCCs aplicáveis, Addendum do Reino Unido ou outro mecanismo de transferência obrigatório; o Acordo de Processamento de Dados; disposições de proteção de dados aplicáveis do Acordo; e o restante do Acordo.
A proposta europeia de Grouper para BambooHR baseia-se em três princípios:
Residência de dados europeia.
Dados Pessoais do Cliente são hospedados e armazenados dentro da EEE, com alojamento primário na Irlanda através do Amazon Web Services (AWS).
Padrões europeus de privacidade.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
Serviço e suporte europeus.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
O nosso objetivo é permitir que as organizações usem BambooHR mantendo os padrões de privacidade, governança e residência de dados esperados pelos clientes europeus.
Questões relativas a esta Política de Privacidade, às atividades de tratamento de Grouper, aos direitos dos titulares de dados, à segurança ou aos nossos arranjos de residência de dados europeus podem ser submetidas através dos canais de privacidade ou de apoio ao cliente designados pela Grouper.
Grouper Technology Limited também pode ser contactada em 3º Piso, 22 Ely Place, Dublin, D02 AH73, Irlanda.
Quando os Dados Pessoais em causa estiverem contidos na conta BambooHR de um empregador, os indivíduos deverão, normalmente, contactar primeiro esse empregador, pois essa organização será geralmente o Responsável pelo tratamento e pela determinação de como a informação é utilizada.
Este Acordo de Tratamento de Dados (“DPA”) faz parte do acordo, formulário de pedido, declaração de trabalho ou outro contrato que rege a prestação dos serviços relacionados com Grouper’s BambooHR entre o Cliente e a Grouper Technology Limited.
Ao prestar os Serviços, Grouper pode Processar Dados Pessoais do Cliente em nome do Cliente. Este DPA estabelece as obrigações respectivas das Partes relativamente a esse Processamento.
Este DPA aplica-se na medida em que Grouper Processes Customer Personal Data on behalf of the Customer and such Processing is subject to Applicable Data Protection Law. It supplements and forms part of the Agreement; capitalised terms not defined here have the meaning given in the Agreement.
Para este DPA:
Dados Pessoais do Cliente
Dados pessoais controlados por um Cliente ou Afiliado do Cliente e Processados pela Grouper em ligação com os Serviços.
Transferência Restrita
Uma transferência de Dados Pessoais que requer um mecanismo de transferência legal ao abrigo da Lei de Proteção de Dados aplicável.
Cláusulas Contratuais padrão (SCCs)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
Um terceiro nomeado pela ou em nome da Grouper para Processar Dados Pessoais do Cliente.
Provedor de Tecnologia
BambooHR LLC e, quando aplicável, entidades BambooHR relacionadas que fornecem a plataforma subjacente de tecnologia de RH.
Salvo acordo escrito em contrário, o Cliente atua como Controlador e Grouper atua como Processador. Quando o Cliente atua como Processador para outro Controlador, Grouper atua como Sub-processor na medida aplicável.
Grouper Processará Dados Pessoais do Cliente apenas com instruções documentadas do Cliente e apenas na medida necessária para fornecer, manter, assegurar e suportar os Serviços, a menos que seja necessário processar os dados por força de lei aplicável.
Grouper informará rapidamente o Cliente se, na sua opinião razoável, uma instrução infringir a Lei de Proteção de Dados aplicável e poderá suspender o processamento afetado até resolução.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper assegurará que Pessoas Autorizadas estejam sujeitas a obrigações de confidencialidade apropriadas, acedam aos Dados Pessoais do Cliente apenas quando razoavelmente necessário, recebam formação adequada em privacidade e segurança e Parem Dados Pessoais do Cliente apenas de acordo com este DPA e instruções documentadas do Cliente. O acesso será limitado de acordo com os princípios de mínimo privilégio e necessidade de saber.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
Os domínios de controlo mínimos são descritos no Anexo 2. Grouper pode atualizar essas medidas desde que as alterações não diminuam materialmente o nível geral de proteção conferido aos Dados Pessoais do Cliente.
Grouper informará o Cliente assim que razoavelmente praticável e, quando se aplique o compromisso contratual de 48 horas, em nenhuma circunstância após 48 horas de se tornar ciente de um Incidente de Segurança real ou suspeito que afete os Dados Pessoais do Cliente.
As informações podem ser fornecidas em fases, conforme ficam disponíveis. Grouper fornecerá cooperação razoável necessária para o Cliente cumprir as obrigações de notificação às autoridades supervisoras e aos Titulares de Dados afetados.
O Cliente concede ao Grouper autorização geral por escrito para envolver Sub-processadores necessários para fornecer os Serviços.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
Quando o DPA subjacente de BambooHR se aplica, a BambooHR atualmente fornece pelo menos 30 dias de pré-aviso por escrito de um Novo Subcontratante que irá Processar Dados Pessoais do Cliente.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Se Grouper receber um pedido diretamente relacionado com Dados Pessoais do Cliente, Grouper encaminhará ou notificará rapidamente o Cliente e não responderá de forma substantiva, exceto mediante instruções documentadas ou quando exigido por lei.
Grouper fornecerá assistência razoável, tendo em conta a natureza do Processamento e as informações disponíveis, com Avaliações de Impacto sobre a Proteção de Dados, consulta prévia com autoridades supervisoryas e diligências razoáveis ou investigações por uma autoridade supervisory competente relacionadas com os Serviços.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
Na medida permitida por lei, Grouper irá rever pedidos legais vinculativos de autoridades públicas para Dados Pessoais do Cliente, contestar pedidos ilegais ou desproporcionados quando houver motivos razoáveis, procurar limitar a divulgação ao mínimo exigido por lei, notificar o Cliente quando permitido por lei e manter registos apropriados.
A pedido do Cliente, ou na terminação ou caducidade dos Serviços, Grouper devolverá ou irá excluir de forma segura os Dados Pessoais do Cliente, na opção do Cliente e sujeito à viabilidade técnica e ao Acordo, e exigirá aos Sub-processadores relevantes que façam o mesmo. Quando a lei exigir retenção, a Grouper isolará e protegerá os dados retidos e os processará apenas na medida legalmente exigida.
O Cliente garante ter os direitos, permissões, avisos, bases legais e consentimentos necessários para fornecer Dados Pessoais do Cliente para Processamento; que as suas instruções cumprem a Lei de Proteção de Dados aplicável; que não instruirá Processamento ilegal; e que irá configurar e usar os Serviços de forma segura e manter controlos adequados sobre contas de utilizador, credenciais e integrações.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
Este DPA entra em vigor quando o Cliente fica vinculado por ele e continua enquanto a Grouper Processa Dados Pessoais do Cliente em nome do Cliente. Obrigações que, pela sua natureza ou por lei, devem continuar enquanto os dados forem retidos sobrevivem ao término ou vencimento.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
Em caso de inconsistência relacionada com Dados Pessoais do Cliente, aplica-se a seguinte ordem de precedência: Lei de Proteção de Dados aplicável obrigatória; SCCs aplicáveis, Adendo do Reino Unido ou outro mecanismo de transferência obrigatório; este DPA; disposições aplicáveis de proteção de dados do Acordo; e o restante do Acordo.
Controlador / Exportador de Dados
The Customer identified in the applicable Agreement or Order Form.
Processador / Importador de Dados
Grouper Technology Limited, 3º Piso, 22 Ely Place, Dublin, D02 AH73, Irlanda.
Provedor de Tecnologia
BambooHR LLC e entidades BambooHR aplicáveis que fornecem a plataforma HRIS subjacente.
Objeto
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
Natureza do Processamento
Coleta, receção, registo, organização, estruturação, migração, alojamento, armazenamento, recuperação, consulta, uso, transmissão, disponibilização, restrição, apoio ao acesso, eliminação e outro Processamento razoavelmente necessário para fornecer os Serviços.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
Durante a vigência dos Serviços e any período subsequente necessário para devolver ou eliminar Dados Pessoais do Cliente ou cumprir a lei.
Titulares de Dados
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
Dados Pessoais
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
Dados Sensíveis
Quando selecionado pelo Cliente, pode incluir informações de saúde e incapacidade e outros dados especiais ou sensíveis permitidos pelos Serviços.
Armazenamento Europeu Primário
Irlanda / EEA via Amazon Web Services (AWS) para Clientes que adquirirem o serviço de residência de dados europeu.
Autoridade Supervisora Competente
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper mantém medidas técnicas e organizacionais nos seguintes domínios de controlo mínimos:
1. Governança de Segurança da Informação
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. Segurança de Pessoal
Obrigações de confidencialidade, verificação de função apropriada quando legal, consciência de segurança e formação em privacidade, e controles disciplinares para acesso não autorizado.
3. Segurança Física
Acesso restrito às instalações e infraestrutura relevantes; caminhos de acesso controlados; autorizações de acesso; monitorização física e outras salvaguardas apropriadas ao ambiente de hospedagem.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. Controlo de Acesso aos Dados
Controles desenhados para que utilizadores autorizados acedam apenas aos dados dentro das suas permissões; registo e monitorização de acessos; divulgação de dados apenas a pessoas autorizadas.
6. Criptografia e Pseudonimização
Criptografia adequada de Dados Pessoais em trânsito e em repouso; pseudonimização quando apropriado para o objetivo do processamento.
7. Segurança de Rede e Transmissão
Firewalls, gateways protegidos, canais de comunicação seguros, TLS/SFTP ou mecanismos de transferência protegidos equivalentes, e controles contra interceptação ou alteração não autorizadas.
8. Registo e Monitorização
Registo de atividade relevante do sistema, administrativa e de acesso; monitorização de eventos suspeitos; retenção de informação de auditoria adequada ao risco.
9. Controlo de Entrada e Alteração
Controles para identificar quem introduziu, alterou ou eliminou dados; autenticação de utilizadores e sistemas autorizados; práticas documentadas de gestão de alterações.
10. Testes de Vulnerabilidade e Segurança
Processos para identificar, avaliar e remediar vulnerabilidades; testes periódicos de intrusão ou de segurança; avaliação regular e avaliação da eficácia do controlo.
11. Disponibilidade, Cópia de Segurança e Recuperação
Redundância de infraestrutura, cópia de segurança, capacidade de restauração, controles de disponibilidade e proteção contra perda ou destruição acidental.
12. Continuidade de Negócios e Recuperação de Desastres
Planos de continuidade e recuperação documentados para restabelecer disponibilidades e acessos em tempo útil após uma perturbação ou Incidente de Segurança.
13. Separação de Dados
Separação lógica ou a nível de aplicação entre clientes e entre fins de processamento; controles para evitar acesso não autorizado entre clientes.
14. Desenvolvimento Seguro
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
Diligência devida, obrigações de proteção de dados por escrito, revisão de segurança, salvaguardas de transferência e supervisão contínua apropriadas ao processamento.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
Transferências Restritas da UE
Quando SCCs da UE são obrigatórias, as SCCs oficiais da Comissão Europeia são incorporadas por referência sem alteração do texto obrigatório. Salvo se os papéis exigirem o contrário, o Cliente é o Exportador de Dados, Grouper e/ou o Fornecedor de Tecnologia aplicável é o Importador de Dados, e o Módulo Dois aplica-se a transferências de Controlador para Processador.
Transferências Restritas do Reino Unido
Para transferências sujeitas à Lei de Proteção de Dados do Reino Unido, os SCCs da UE aplicar-se-ão juntamente com o Addendum Internacional de Transferência de Dados do Reino Unido vigente na altura ou outro mecanismo de transferência legalmente reconhecido.
Transferências Suíças
Para transferências sujeitas à lei suíça de proteção de dados, as SCCs serão interpretadas e adaptadas conforme necessário ao abrigo da lei suíça aplicável, incluindo referências apropriadas à autoridade supervisora suísa e aos Titulares de Dados suíços.
Estrutura de Privacidade de Dados EU-EUA
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
Cenários de Acesso Excecional para Clientes Europeus
O acesso excecional autorizado fora do EEE pode ocorrer apenas nas seguintes circunstâncias:
- uma emergência que afete o ambiente de data-center irlandês ou a continuidade do serviço;
- a) um pedido de suporte ou manutenção que exija acesso especializado autorizado fora do EEE, sujeito à aprovação do Cliente ou autorização contratual; e
- b) um pedido verificado do Cliente para Processamento ou hosting fora da região europeia.
Os fornecedores precisos utilizados variam consoante o produto, funcionalidade, via de suporte e configuração do Cliente. O registo de subcontratados ativo mantido pela Grouper e/ou BambooHR é o regime controlador para a entrega de serviço ativa.
Os seguintes fornecedores-chave foram identificados nos materiais de serviço em vigor. Um fornecedor aqui listado não processa necessariamente Dados Pessoais do Cliente para cada Cliente ou para cada implementação.
BambooHR LLC
Provedor de tecnologia; manutenção de HRIS, alojamento e suporte. Localização: Estados Unidos / regiões de serviço, incluindo Europa.
Amazon Web Services (AWS)
Infraestrutura primária de hospedagem em cloud; hospedagem regional europeia na Irlanda. Localização: Irlanda / Europa e outras regiões dependendo da configuração do serviço.
Anthropic / Claude
Processamento de IA / modelo de linguagem. Localização: Estados Unidos.
Cohere
API de modelo de linguagem / processamento de IA. Localização: Estados Unidos.
OpenAI
API de modelo de linguagem / processamento de IA. Localização: Estados Unidos.
LlamaIndex / LlamaParse
Processamento opcional de documentos associado à funcionalidade de IA. Localização: Estados Unidos.
Atlas MongoDB
Armazenamento de dados que suporta serviços selecionados / funcionalidade relacionada com IA. Localização: Estados Unidos.
Gainsight
Relacionamento com o cliente / serviços de CRM.
Salesforce
Plataforma CRM.
Cloudflare
Firewall de aplicação web / segurança.
Datadog
Monitorização de infraestrutura e aplicações.
Microsoft / Google Workspace
Colaboração, comunicação e armazenamento de documentos, dependendo da configuração atual.
Mailgun
Comunicações de aplicação.
Snowflake
Análise de dados.
Twilio
MFA / entrega por SMS.
Fornecedores Adicionais
Fornecedores adicionais identificados na documentação de serviço atual podem incluir Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike e outros. Os Clientes devem consultar a lista de subcontratados ao vivo BambooHR e as informações atuais sobre subprocessadores da Grouper para obter os detalhes mais atualizados.
1. Alcance
Este Anexo aplica-se quando o Cliente ativa ou utiliza funcionalidade de inteligência artificial ou aprendizagem automática em relação a Serviços apoiados por BambooHR Grouper.
2. Fornecedores de IA
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. Entradas e Saídas
Prompts, instruções ou dados fornecidos pelo Cliente para funcionalidades de IA podem constituir “Entradas” e respostas geradas podem constituir “Saídas”. Dependendo do recurso, Entradas ou Saídas podem incluir Dados do Cliente. As Saídas podem não ser únicas e podem assemelhar-se a saídas produzidas para outros utilizadores.
4. Responsabilidades do Cliente e Supervisão Humana
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. Restrições de Dados Sensíveis e Regulados
Quando proibido pelos termos aplicáveis de IA, o Cliente não deve submeter informações sensíveis ou reguladas a recursos de IA, incluindo informações de saúde, genéticas ou biométricas, números de identificação emitidos pelo governo, ou informações financeiras pessoais ou de contas bancárias. Os Clientes devem reduzir ao mínimo os Dados Pessoais em prompts.
6. Precisão, Viés e Justiça
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
Onde os termos de IA aplicáveis da BambooHR permitirem o uso de Dados de Desempenho e Feedback para melhorar a funcionalidade da IA, tal uso está sujeito a esses termos. Quando Dados do Cliente forem usados para afinar um modelo específico do cliente, o modelo resultante é utilizado para fornecer recursos de IA a esse Cliente e não é usado de outra forma para fornecer serviços a outros clientes.
8. Processamento Internacional
Os fornecedores de IA podem Processar Entradas autorizadas ou Dados Pessoais relacionados fora do EEE. Esse Processamento está sujeito às salvaguardas de transferência neste DPA e não altera a localização da região de armazenamento central de HRIS contratada pelo Cliente. Os Clientes devem avaliar se o uso opcional de IA é consistente com as suas exigências de residência, conselho de trabalho, direito laboral e de risco antes de ativá-lo.
Perguntas sobre esta Política de Privacidade ou sobre os seus direitos de dados?
Contacte-nos
