Jurídico

Política de Privacidade

Como a Grouper Technology Limited recolhe, utiliza, aloja e protege os seus dados pessoais enquanto parceiro europeu autorizado da BambooHR, com armazenamento primário de dados na AWS Irlanda.

Atualizado pela última vez: 16 August 2026

Esta tradução é disponibilizada apenas para conveniência. Em caso de conflito ou inconsistência, a versão em inglês prevalece.

Grouper compromete-se a proteger os dados pessoais e a manter elevados padrões de privacidade, segurança e conformidade regulamentar. A proteção de dados é tratada como uma responsabilidade operacional e contratual central, e não como uma reflexão tardia. Concebemos a prestação do nosso serviço, os controlos de acesso, os processos de suporte e a governação de fornecedores para refletir os princípios de responsabilização, integridade, confidencialidade e transparência do RGPD.

Esta Política de Privacidade explica como Grouper Technology Limited (“Grouper”, “nós” ou “nosso”) recolhe, utiliza, acede, aloja, armazena, protege, transfere e, de outro modo, trata dados pessoais no âmbito dos serviços que prestamos, incluindo o nosso papel como parceiro europeu de BambooHR.

Grouper apoia organizações em toda a Irlanda, no Reino Unido, na Europa e noutras regiões com a implementação, administração e utilização da plataforma HRIS BambooHR e da tecnologia de RH relacionada.

O nosso modelo de serviço europeu assenta num princípio claro de residência de dados na Europa. Os Dados Pessoais do Cliente tratados através do serviço europeu de Grouper’s BambooHR são alojados e armazenados no Espaço Económico Europeu (“EEE”), com alojamento principal na Irlanda.

Esta Política de Privacidade aplica-se a dados pessoais tratados no âmbito de:

implementação e integração de BambooHR;
configuração do HRIS;
administração da conta;
apoio ao cliente;
apoio técnico;
apoio à integração;
migração de dados;
sucesso do cliente;
formação;
serviços profissionais;
segurança e administração do serviço;
comunicações com clientes;
vendas e demonstrações;
websites e serviços digitais Grouper; e
as nossas atividades comerciais gerais.

Grouper Technology Limited é uma empresa irlandesa com sede registada em 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Irlanda.

BambooHR fornece o sistema de informação de recursos humanos subjacente e a funcionalidade de produto relacionada. Grouper fornece implementação, migração, configuração, formação, sucesso do cliente, suporte, gestão do serviço e serviços profissionais relacionados na Europa. Dependendo da subscrição e configuração do Cliente, a plataforma HRIS BambooHR pode suportar registos de colaboradores, integração, recrutamento, tempo e assiduidade, gestão de ausências, desempenho, remuneração, benefícios, funcionalidade relacionada com processamento salarial, relatórios, análise, integrações, APIs e funcionalidades de inteligência artificial.

Dependendo dos serviços adquiridos por um cliente, Grouper pode prestar:

implementação de BambooHR;
integração;
configuração;
configuração da conta;
assistência à migração;
serviços de integração;
apoio técnico;
suporte ao HRIS;
formação;
serviços de sucesso do cliente;
administração do serviço;
resolução de problemas; e
serviços profissionais relacionados.

A função precisa de proteção de dados de Grouper depende da atividade de Tratamento específica.

Quando Grouper determina as finalidades e os meios do Tratamento — por exemplo, em determinadas atividades de websites, vendas, contactos comerciais, segurança ou administração corporativa — Grouper atua como Responsável pelo Tratamento.

Quando Grouper trata Dados Pessoais do Cliente apenas em nome de um Cliente e em conformidade com as instruções documentadas desse Cliente, Grouper atua como Subcontratante.

Quando o próprio Cliente atua como Subcontratante para outro Responsável pelo Tratamento, Grouper pode atuar como Sub-subcontratante na medida aplicável.

BambooHR pode, separadamente, atuar como Processador ou Subprocessador em relação a Dados Pessoais de Clientes processados através da plataforma HRIS BambooHR. As funções são descritas mais detalhadamente na Parte B e no acordo de cliente aplicável.

Compromisso Central de Residência Europeia de 4.1

Para Clientes que adquiram o serviço europeu de Grouper’s BambooHR com residência de dados no EEE, os Dados Pessoais do Cliente que façam parte do ambiente central de produção do HRIS são alojados e armazenados no EEE, com a principal localização de alojamento na Irlanda.

A infraestrutura principal de alojamento na cloud para o serviço europeu é fornecida pela Amazon Web Services (AWS), com armazenamento principal de dados na região AWS da Irlanda. O serviço foi concebido para que o armazenamento ordinário de produção permaneça na região europeia contratada.

Isto aplica-se aos Dados Pessoais mantidos no ambiente europeu do HRIS, incluindo informação de colaboradores, candidatos e outra informação da força de trabalho.

Armazenamento Versus Acesso no 4.2

Residência de dados descreve onde os Dados Pessoais do Cliente são armazenados. Não significa que nunca possa ocorrer acesso autorizado de suporte ou técnico a partir de outro país.

O acesso excecional a partir de fora do EEE só pode ocorrer quando necessário, autorizado e legalmente protegido, conforme descrito nas Secções 17 e 18 desta Política.

Cópias de Segurança, Resiliência e Recuperação de Desastre de 4.3

Os mecanismos de cópia de segurança, resiliência e recuperação de desastre são concebidos para preservar a confidencialidade, integridade e disponibilidade e para permanecerem consistentes com os compromissos regionais de alojamento contratados pelo Cliente.

Quando é utilizada infraestrutura de replicação, resiliência ou recuperação de desastre, os Dados Pessoais de Clientes permanecem armazenados no EEE, sujeitos a cenários documentados de emergência, continuidade ou suporte e às salvaguardas de transferência aplicáveis.

4.4 Sem Realocação Rotineira para Fora do EEE

Grouper não utiliza o acesso excecional de suporte como mecanismo para a realocação rotineira de Dados Pessoais de Clientes europeus.

Os Dados Pessoais de Clientes que fazem parte do serviço europeu não são normalmente alojados nem armazenados fora do EEE. Qualquer alteração material ao modelo contratual de residência dos dados está sujeita ao Acordo aplicável, aos requisitos de notificação e à Legislação Aplicável em matéria de Proteção de Dados.

“Legislação Aplicável de Proteção de Dados” significa todas as leis e regulamentos de proteção de dados, privacidade e segurança de dados aplicáveis ao Tratamento, incluindo, quando relevante:

Regulamento (UE) 2016/679 — o Regulamento Geral sobre a Proteção de Dados (RGPD);
a Lei irlandesa de Proteção de Dados 2018;
as regras aplicáveis da Irlanda em matéria de ePrivacy e comunicações eletrónicas;
o RGPD do Reino Unido e a Lei de Proteção de Dados do Reino Unido 2018 quando aplicável;
a lei suíça aplicável em matéria de proteção de dados quando aplicável;
a legislação nacional aplicável que implementa os requisitos europeus de privacidade; e
qualquer legislação que substitua, complemente ou altere essas leis.

content.legal-document.record.content.811c9dc5

As partes interpretarão esta Política e qualquer DPA aplicável em conformidade com a Legislação imperativa em matéria de Proteção de Dados. As disposições imperativas do RGPD, os instrumentos de transferência aplicáveis e os requisitos da autoridade de supervisão prevalecem quando exigido.

A informação tratada depende dos Serviços selecionados pelo Cliente e dos dados que o Cliente optar por colocar no ambiente de RH.

6.1 Informações de Colaboradores e da Força de Trabalho

Os Dados Pessoais podem incluir:

nome e números de identificação de colaboradores;
fotografias, quando fornecidas;
dados de contacto pessoais ou profissionais;
data de nascimento, género e informação demográfica, quando fornecida;
informação matrimonial ou familiar, quando fornecida;
contactos de emergência e números de telefone;
qualificações académicas e profissionais;
informação de CV ou currículo, historial de emprego e proficiência linguística;
cargo, categoria, departamento, localização, linhas hierárquicas e afiliação de equipa;
datas de admissão e cessação, horário de trabalho e detalhes contratuais;
informação sobre desempenho, avaliação, disciplina e historial laboral;
benefícios, seguros, bens da empresa e informação de formação; e
informação sobre licenças, assiduidade e ausências.

Informação de Processamento Salarial e Remuneração 6.2

Quando são utilizados serviços relevantes, os Dados Pessoais podem incluir:

salário, remuneração e bónus;
informação fiscal e de segurança social;
dados bancários e de pagamento;
informação sobre pensões;
opções de ações e outros benefícios; e
outra informação relacionada com processamento salarial.

Informação de Recrutamento, Candidatos e Referências 6.3

No caso de candidatos, potenciais colaboradores e referências, a informação pode incluir:

dados de identificação e de contacto;
CVs, currículos, historial de emprego e qualificações;
registos de candidatura, entrevista e recrutamento;
comunicações com candidatos e estado do recrutamento;
informação sobre remuneração proposta;
nomes dos referenciadores, dados de contacto e relação profissional; e
informação contida em referências.

Dados Especiais e Sensíveis 6.4

Dependendo da utilização que um Cliente faça da plataforma HRIS BambooHR, os Serviços podem conter informação de saúde ou deficiência e outros Dados Pessoais sensíveis ou de categoria especial.

O Cliente continua responsável por assegurar uma base legal apropriada ao abrigo de Article 6 e, quando o GDPR Article 9 se aplica, uma condição válida de categoria especial.

Os Clientes não devem colocar informação sensível em campos de texto livre ou funcionalidades de IA, salvo se tal for necessário, lícito e permitido pelos termos do produto relevantes.

Os Dados Pessoais tratados no âmbito dos serviços de Grouper podem referir-se a:

colaboradores atuais, anteriores, prospetivos e futuros;
candidatos e requerentes;
contratados, consultores, agentes e trabalhadores independentes;
trabalhadores de agência, temporários e ocasionais;
estagiários e voluntários;
dependentes de colaboradores, beneficiários e contactos de emergência;
referenciadores e entidades que fornecem referências;
administradores do Cliente e utilizadores autorizados; e
outras pessoas cujos Dados Pessoais um Cliente submeta licitamente aos Serviços.

Os Dados Pessoais podem ser obtidos:

diretamente da pessoa singular;
do empregador ou potencial empregador da pessoa singular;
dos administradores do Cliente e utilizadores autorizados;
durante a implementação, configuração e migração de dados;
através de integrações autorizadas ou APIs;
através de pedidos de suporte e resolução de problemas;
através da plataforma HRIS BambooHR ou de outro sistema selecionado pelo Cliente;
através de processos de recrutamento;
de fontes públicas, quando legalmente utilizadas; e
de outras fontes lícitas autorizadas pelo Cliente.

Grouper trata Dados Pessoais apenas para finalidades específicas e lícitas. Estas podem incluir:

implementar e configurar a plataforma HRIS BambooHR;
alojar ou facilitar o alojamento de Dados Pessoais do Cliente;
administrar contas e permissões de utilizador;
manter e proteger o serviço;
prestar apoio ao cliente e apoio técnico;
dar suporte a integrações e migrações;
prestar formação e serviços profissionais;
gerir subscrições e relações com clientes;
detetar e investigar eventos de segurança;
manter registos de auditoria;
prevenir fraude ou utilização indevida;
cumprir obrigações legais; e
melhorar o desempenho do serviço, quando permitido pelo Acordo e pela Legislação Aplicável em matéria de Proteção de Dados.

content.legal-document.record.content.811c9dc5

Quando o pessoal de suporte acede aos Dados Pessoais do Cliente, o acesso deve limitar-se ao mínimo de informação razoavelmente necessária para a finalidade de suporte e deve ser efetuado por pessoal autorizado, sujeito a controlos de confidencialidade e acesso.

Quando Grouper actua como Responsável pelo Tratamento, a base jurídica aplicável pode incluir:

Contrato 10.1

Tratamento necessário para celebrar ou executar um contrato, ou para اتخاذ steps antes de celebrar um contrato a pedido do indivíduo.

Interesses Legítimos 10.2

Tratamento necessário para interesses comerciais legítimos, desde que esses interesses não sejam sobrepostos pelos direitos e liberdades das pessoas singulares. Os interesses legítimos podem incluir:

prestação de serviços;
administração de clientes;
segurança da informação;
prevenção de fraude;
continuidade do negócio;
apoio ao cliente; e
gestão de relações.

Obrigação Legal 10.3

Tratamento necessário para cumprir requisitos legais ou regulamentares aplicáveis.

Consentimento 10.4

Quando adequado, o Tratamento pode basear-se no consentimento. O consentimento pode ser retirado a qualquer momento sem afetar a licitude do Tratamento efectuado antes da retirada.

Quando o Cliente actua como Responsável pelo Tratamento, o Cliente é responsável por:

determinar as finalidades para as quais os Dados Pessoais são tratados;
estabelecer bases jurídicas e condições de categoria especial;
fornecer os avisos de privacidade exigidos;
obter consentimento quando necessário;
garantir a exactidão e qualidade dos dados;
determinar os períodos de conservação adequados;
gerir utilizadores autorizados e permissões;
utilizar os Serviços de forma segura; e
garantir que as suas instruções a Grouper são lícitas.

content.legal-document.record.content.811c9dc5

O Cliente não deve instruir Grouper a Tratar Dados Pessoais de uma forma que infrinja a Legislação Aplicável em matéria de Protecção de Dados.

Grouper notificará o Cliente quando, no seu entendimento razoável, uma instrução infrinja a Legislação Aplicável em matéria de Protecção de Dados e poderá suspender o Tratamento afectado até que a questão seja resolvida.

Grouper limita o acesso aos Dados Pessoais do Cliente a pessoas autorizadas que razoavelmente necessitem de acesso para o exercício das suas funções. O pessoal está sujeito a obrigações adequadas de confidencialidade e recebe formação apropriada em matéria de privacidade e segurança, adequada à sua função. O acesso é regido pelos princípios de privilégio mínimo e necessidade de conhecimento.

Os controlos de acesso incluem:

controlos de identidade e autenticação;
controlos de acesso com base na função e acesso privilegiado;
controlos de contas administrativas;
gestão do ciclo de vida das contas;
registo e monitorização de acessos;
revisão periódica dos acessos;
requisitos de confidencialidade e de utilização aceitável; e
segurança e formação adequadas do pessoal.

Grouper mantém, e exige que os fornecedores de tecnologia relevantes mantenham, medidas técnicas e organizacionais adequadas aos riscos apresentados pelo Tratamento, tendo em conta o estado da arte, os custos de implementação, a natureza, o âmbito, o contexto e as finalidades do Tratamento e o risco para as pessoas singulares.

As medidas incluem:

controlos de acesso físicos e lógicos;
autenticação forte e controlos adequados de palavra-passe;
encriptação em trânsito e em rest quando adequado;
pseudonimização quando adequado;
firewalls de rede, segurança perimetral e detecção de intrusão;
registos, monitorização e trilhos de auditoria;
gestão de vulnerabilidades e testes de segurança;
acesso administrativo restrito;
transmissão segura, incluindo canais de transferência protegidos;
cópia de segurança, redundância, recuperação e resiliência;
planeamento de continuidade do negócio e recuperação de desastre;
desenvolvimento seguro e gestão de alterações;
separação de dados entre clientes e finalidades de tratamento;
procedimentos de resposta a incidentes;
sensibilização do pessoal em matéria de segurança e formação; e
diligência devida dos subcontratantes e governação da segurança.

content.legal-document.record.content.811c9dc5

Detalhes adicionais sobre os domínios mínimos de controlo constam da Schedule 2 do Acordo de Tratamento de Dados. As medidas de segurança podem evoluir ao longo do tempo, mas as alterações não reduzirão materialmente o nível global de proteção dos Dados Pessoais de Clientes durante uma subscrição ativa, exceto quando exigido por lei ou acordado com o Cliente.

Grouper mantém procedimentos documentados para identificar, investigar, conter, mitigar, remediar e comunicar Violações de Dados Pessoais.

Quando Grouper actua como Subcontratante e toma conhecimento de uma Violação de Dados Pessoais real ou suspeita que afecte Dados Pessoais do Cliente, Grouper notificará o Cliente relevante no prazo mais expedito razoavelmente possível e, em qualquer caso, no prazo de 48 horas após tomar conhecimento do incidente.

Na medida do razoavelmente disponível, a notificação incluirá:

a natureza do incidente;
categorias de Dados Pessoais afectadas;
categorias e números aproximados de Titulares dos Dados e registos;
consequências prováveis;
medidas adoptadas ou propostas;
acções de mitigação; e
um ponto de contacto para mais informações.

content.legal-document.record.content.811c9dc5

A informação pode ser fornecida por fases, à medida que se torne disponível.

Grouper prestará cooperação razoável para permitir ao Cliente cumprir as obrigações aplicáveis de notificação regulatória e de Titulares dos Dados.

As comunicações públicas ou regulamentares relativas a uma violação específica de um Cliente serão coordenadas em conformidade com a lei e com o Acordo aplicável.

Grouper pode nomear Subcontratantes e prestadores de serviços cuidadosamente seleccionados quando necessário para fornecer, alojar, proteger, apoiar, monitorizar ou melhorar os Serviços.

Antes de permitir que um Subprocessador trate Dados Pessoais de Clientes, Grouper realizará a devida diligência apropriada e imporá obrigações escritas de proteção de dados adequadas ao Tratamento. Estas obrigações incluem confidencialidade, medidas técnicas e organizacionais apropriadas, limitação da finalidade, apoio aos direitos do Titular dos Dados, obrigações em caso de violação, requisitos de eliminação ou devolução e salvaguardas legais de transferência internacional, quando aplicável.

Grouper continua responsável pelo desempenho do Subprocessador na medida exigida pela Legislação Aplicável em matéria de Proteção de Dados e pelo contrato.

content.legal-document.record.content.811c9dc5

Quando as condições aplicáveis ao cliente prevejam autorização escrita geral, os Clientes receberão aviso prévio de novos Subcontratantes materiais e a possibilidade de se oporem com fundamentos razoáveis de protecção de dados.

Para os subcontratantes de BambooHR, o DPA actual de BambooHR prevê pelo menos 30 dias de aviso prévio de um novo Subcontratante que irá Tratar Dados Pessoais do Cliente.

Schedule 4 fornece transparência sobre as principais categorias de fornecedores e fornecedores identificados nos materiais de serviço que regem o serviço.

BambooHR LLC disponibiliza a plataforma subjacente de tecnologia de RH utilizada em ligação com os Serviços relevantes. Grouper pode trabalhar com BambooHR para manutenção da plataforma, alojamento, implementação, resolução de problemas, apoio ao serviço, segurança, administração técnica, integrações e outras funções necessárias para prestar os Serviços contratados.

O Tratamento de BambooHR é regido pelos termos contratuais e de protecção de dados aplicáveis, incluindo o seu DPA, medidas de segurança, acordos com subcontratantes e salvaguardas para transferências internacionais.

content.legal-document.record.content.811c9dc5

Grouper continua responsável pelas suas próprias obrigações ao abrigo da Legislação Aplicável em matéria de Protecção de Dados e do acordo aplicável com o cliente. Quando BambooHR Trata Dados Pessoais em apoio do ambiente europeu do cliente de Grouper, aplicam-se os requisitos contratuais, de segurança e de residência de dados aplicáveis.

Para o serviço europeu contratado de Grouper, os Dados Pessoais do Cliente são concebidos para serem armazenados no EEE, com alojamento principal na Irlanda através da Amazon Web Services (AWS). O Tratamento autorizado ou o acesso remoto a partir de fora do EEE pode constituir uma Transferência Restrita, mesmo quando os dados permanecem armazenados na Irlanda. Esse acesso só é permitido quando lícito, necessário e protegido por salvaguardas adequadas.

Exemplos de cenários excepcionais incluem:

uma emergência que afecte o ambiente do centro de dados irlandês ou a continuidade do serviço;
um pedido de apoio ou manutenção que exija acesso especializado autorizado a partir de fora do EEE, sujeito à aprovação aplicável do Cliente ou à autorização contratual; e
um pedido verificado do Cliente para relocalizar ou, de outro modo, Tratar dados fora da região contratada de alojamento europeia.

content.legal-document.record.content.811c9dc5

Quando ocorrer uma Transferência Restrita, Grouper e/ou o fornecedor tecnológico relevante utilizarão um mecanismo legalmente reconhecido, como:

uma decisão de adequação;
as Cláusulas Contratuais-Tipo da Comissão Europeia;
o Adendo Internacional de Transferência de Dados do Reino Unido, quando aplicável;
participação no Quadro de Privacidade de Dados UE-EUA quando legalmente disponível e aplicável;
Regras Vinculativas para as Empresas quando aplicável; ou
outra salvaguarda válida reconhecida ao abrigo da Legislação Aplicável em matéria de Protecção de Dados.

content.legal-document.record.content.811c9dc5

Quando exigido, será implementada uma Avaliação de Impacto de Transferência e medidas suplementares técnicas, contratuais ou organizacionais.

Nada nestes acordos de acesso excepcional altera o compromisso de Grouper de que os Dados Pessoais do Cliente para o serviço europeu são armazenados no EEE.

Quando forem necessárias as Cláusulas Contratuais-Tipo da UE, estas são incorporadas na sua forma oficialmente aprovada, sem alteração da redacção obrigatória. Para transferências de Responsável pelo Tratamento para Subcontratante, o Módulo Dois aplicar-se-á normalmente, salvo se outro módulo for exigido pelos papéis das partes.

Quando a Irlanda for seleccionada como a lei aplicável e foro da UE, as partes acordam nos tribunais da Irlanda, conforme previsto no anexo aplicável das SCCs.

Para transferências sujeitas à Legislação de Protecção de Dados do Reino Unido, as SCCs da UE aplicar-se-ão em conjunto com o Adendo Internacional de Transferência de Dados do Reino Unido em vigor nesse momento ou outro mecanismo de transferência do Reino Unido legalmente reconhecido.

content.legal-document.record.content.811c9dc5

As medidas suplementares podem incluir:

encriptação;
restrições de acesso;
controlos de gestão de chaves;
minimização;
registo;
limitações contratuais sobre transferências subsequentes;
procedimentos de revisão de pedidos governamentais;
medidas de transparência; e
suspensão ou cessação de transferências quando não possa ser assegurado um nível adequado de protecção.

Grouper reconhece que os pedidos legais de acesso por parte de autoridades públicas podem criar riscos materiais para a privacidade. Na medida permitida por lei, quando Grouper ou um processador relevante recebe um pedido juridicamente vinculativo de Dados Pessoais de Clientes de uma autoridade pública, policial ou judicial, o pedido será analisado quanto à validade, âmbito e proporcionalidade.

Pedidos ilegais ou desproporcionados serão contestados quando existam fundamentos razoáveis e uma base jurídica para o fazer.

content.legal-document.record.content.811c9dc5

A divulgação será limitada ao mínimo legalmente exigido.

O Cliente será notificado quando tal seja legalmente permitido. Quando a notificação for proibida, envidar-se-ão esforços razoáveis para obter autorização para prestar aviso quando apropriado.

Os registos do pedido e da resposta serão mantidos conforme exigido por lei e pelo mecanismo de transferência aplicável.

Dependendo da Legislação Aplicável em matéria de Proteção de Dados, as pessoas singulares podem ter direitos incluindo:

acesso;
rectificação;
apagamento;
limitação do Tratamento;
portabilidade dos dados;
oposição;
retirada do consentimento;
direitos relativos à tomada de decisões automatizadas e à definição de perfis; e
o direito de apresentar reclamação a uma autoridade de controlo competente.

content.legal-document.record.content.811c9dc5

Quando Grouper actua como Subcontratante, os pedidos relativos aos Dados Pessoais do Cliente devem, em regra, ser dirigidos ao Cliente relevante enquanto Responsável pelo Tratamento. Se Grouper receber esse pedido directamente, Grouper, salvo proibição legal, encaminhará ou notificará o pedido ao Cliente e não responderá de forma substantiva, excepto com instruções documentadas do Cliente ou quando exigido por lei. Grouper prestará assistência razoável para permitir ao Cliente cumprir as suas obrigações.

Tendo em conta a natureza do Tratamento e a informação disponível para Grouper, Grouper prestará assistência razoável com Avaliações de Impacto sobre a Protecção de Dados e, quando exigido, com a consulta prévia a uma autoridade de controlo competente.

O Cliente continua responsável por determinar se é necessária uma DPIA ou consulta prévia para a sua utilização dos Serviços.

Grouper disponibilizará a informação razoavelmente necessária para demonstrar a conformidade com as obrigações aplicáveis do Processador. Isto pode incluir:

documentação de segurança;
políticas;
informação de conformidade;
informação de auditoria;
relatórios de garantia independentes;
certificações relevantes; e
respostas a questionários razoáveis de segurança.

content.legal-document.record.content.811c9dc5

Quando legal ou contratualmente exigido e a prova documental razoável for insuficiente, os Clientes podem exercer os direitos de auditoria aplicáveis mediante aviso razoável, sujeitos a confidencialidade, segurança, não interferência e protecções para a informação de outros clientes. Salvo exigência decorrente de um Incidente de Segurança, requisito regulatório ou prova razoável de incumprimento material, as auditorias formais devem, em regra, limitar-se a uma vez em qualquer período de doze meses. Os Clientes suportam, em geral, os seus próprios custos de auditoria, salvo disposição em contrário da lei ou do contrato.

Grouper conserva Dados Pessoais apenas durante o tempo razoavelmente necessário para a finalidade relevante ou conforme exigido por lei.

Quando Grouper actua como Subcontratante, a conservação é determinada principalmente por:

instruções documentadas do Cliente;
o acordo aplicável com o cliente;
a duração dos Serviços;
requisitos de apoio;
obrigações legais; e
requisitos contratuais de eliminação.

content.legal-document.record.content.811c9dc5

Após a cessação ou expiração dos Serviços, ou antecipadamente mediante instrução válida do Cliente quando tecnicamente e legalmente exequível, Grouper devolverá, disponibilizará para exportação ou eliminará de forma segura os Dados Pessoais de Clientes, de acordo com o Acordo.

Quando a lei exigir retenção contínua, os dados afetados permanecerão protegidos, isolados do uso ordinário e tratados apenas na medida exigida por lei.

A informação relacionada com suporte será conservada apenas durante o período necessário para prestar, comprovar e encerrar a atividade de suporte, sujeito aos requisitos legais e operacionais de retenção aplicáveis.

Grouper apoia os princípios da minimização de dados, exatidão e limitação da finalidade. Os Clientes devem tratar apenas os Dados Pessoais razoavelmente necessários para fins legítimos de RH e gestão da força de trabalho e devem evitar informação sensível desnecessária em campos de texto livre, anexos, notas, campos personalizados ou funcionalidades opcionais.

content.legal-document.record.content.811c9dc5

Os Clientes são responsáveis por manter Dados Pessoais do Cliente exactos. Quando Grouper ou um subcontratante tome conhecimento de que os dados estão incorrectos ou desactualizados em circunstâncias que exijam acção, Grouper cooperará com o Cliente para rectificar ou apagar os dados em conformidade com instruções documentadas e com a Legislação Aplicável em matéria de Protecção de Dados.

content.legal-document.record.content.811c9dc5

Os Dados Pessoais de categoria especial devem ser limitados à informação para a qual o Cliente tenha uma base legal apropriada e uma necessidade comercial genuína.

Determinadas funcionalidades de BambooHR podem utilizar inteligência artificial ou aprendizagem automática. A funcionalidade de IA é opcional quando assim identificada e pode estar sujeita a condições separadas de IA de BambooHR.

Os materiais de serviço de IA actuais de BambooHR identificam fornecedores de IA terceiros, incluindo OpenAI, Cohere e Anthropic/Claude, e os materiais actuais dos subcontratantes podem identificar fornecedores adicionais de IA ou de processamento de documentos (como o LlamaIndex), dependendo da configuração da funcionalidade.

Os Clientes continuam responsáveis por:

avaliar se a utilização de IA é adequada para a sua organização;
estabelecer uma base jurídica;
fornecer a transparência exigida aos titulares dos dados;
obter consentimento quando necessário;
implementar supervisão humana suficiente;
avaliar riscos de enviesamento e de imparcialidade; e
cumprir a legislação laboral, de igualdade, de IA e de proteção de dados.

content.legal-document.record.content.811c9dc5

Os Clientes não podem submeter informação sensível ou regulada a funcionalidades de IA quando tal seja proibido pelos termos aplicáveis de IA, incluindo informação de saúde, genética ou biométrica, identificadores emitidos pelo governo e informação financeira pessoal ou bancária. As saídas de IA podem ser imprecisas, incompletas, enviesadas, não exclusivas ou inadequadas para um fim específico e não devem ser tratadas como substituto de um juízo humano responsável.

content.legal-document.record.content.811c9dc5

Quando BambooHR utiliza Dados do Cliente, Input ou Output para afinar ou treinar um modelo específico do cliente, as condições de IA aplicáveis de BambooHR estabelecem que essa utilização serve para fornecer as funcionalidades de IA a esse Cliente e que o modelo treinado com dados do cliente daí resultante não é utilizado de outro modo para prestar serviços a outros clientes.

content.legal-document.record.content.811c9dc5

Os fornecedores de IA e o tratamento relacionado com IA podem envolver Tratamento autorizado fora do EEE. Esse Tratamento está sujeito às salvaguardas de transferência internacional desta Política e a qualquer Acordo de Tratamento de Dados aplicável. Os compromissos de residência do armazenamento principal do HRIS não significam, por si só, que todas as operações opcionais de inferência de IA ocorram fisicamente dentro do EEE.

Grouper fornece implementação de tecnologia de RH, apoio e serviços relacionados. Grouper não determina normalmente quem um Cliente recruta ou emprega, promoções, remuneração, resultados de desempenho, ação disciplinar, decisões sobre benefícios, cessação ou outras decisões de emprego. Essas decisões continuam a ser da responsabilidade do empregador relevante ou do Responsável pelo Tratamento.

Os Clientes devem garantir que as funcionalidades de IA, analítica, pontuação ou fluxo de trabalho não são usadas para tomar decisões automatizadas ilícitas que produzam efeitos legais ou igualmente significativos sem as salvaguardas exigidas pela Legislação Aplicável em matéria de Proteção de Dados, incluindo envolvimento humano significativo quando exigido.

A plataforma HRIS BambooHR suporta APIs e integrações que podem recuperar, transmitir ou modificar dados dos colaboradores e outros dados de RH. Os Clientes são responsáveis por autorizar as permissões adequadas, proteger credenciais API, limitar o acesso das integrações a fins comerciais legítimos e garantir que as integrações de terceiros são configuradas legalmente e regidas contratualmente.

content.legal-document.record.content.811c9dc5

O acesso programático deve utilizar métodos de autenticação suportados e não deve expor Dados do Cliente ou credenciais a partes não autorizadas.

As integrações não devem utilizar Dados do Cliente para além da finalidade documentada e autorizada.

Quando um fornecedor de integração trate Dados Pessoais em nome do Cliente ou de Grouper, devem aplicar-se condições adequadas de subcontratante ou subcontratante subsequente e salvaguardas para transferências.

Quando Grouper actua como Responsável pelo Tratamento no que respeita às suas próprias actividades comerciais, podemos tratar informações de contacto comercial relativas a:

potenciais clientes;
contactos de clientes;
fornecedores;
parceiros;
consultores profissionais;
participantes em eventos;
visitantes do website; e
indivíduos que contactam Grouper.

content.legal-document.record.content.811c9dc5

A informação pode incluir nome, organização, função, dados de contacto profissionais, comunicações, informação de pedido de esclarecimento, endereço IP, informação do navegador e do dispositivo, páginas visitadas e dados técnicos semelhantes.

content.legal-document.record.content.811c9dc5

Tratamos tais informações para responder a pedidos de esclarecimento, gerir relações, fornecer serviços solicitados, manter a segurança, cumprir contratos, cumprir a lei e, quando permitido, enviar comunicações comerciais relevantes. Os destinatários podem opor-se ao marketing directo a qualquer momento. As comunicações operacionais, contratuais, de segurança e de serviço ao cliente não são marketing.

content.legal-document.record.content.811c9dc5

Os websites podem utilizar cookies essenciais, funcionais e de análise, bem como tecnologias semelhantes. Quando legalmente exigido, os cookies não essenciais só serão utilizados após consentimento adequado e os utilizadores receberão controlos para gerir as preferências.

Grouper procura incorporar a privacidade no design e nas operações do serviço. Isto inclui:

opções de residência de dados europeia;
minimização de dados;
acesso com privilégio mínimo;
autenticação adequada;
encriptação;
registo de acessos;
permissões com base na função;
transmissão segura;
controlos de subcontratante;
controlos de retenção;
processos de resposta a incidentes;
formação em privacidade e segurança;
testes de segurança;
apoio a DPIA; e
responsabilização documentada.

content.legal-document.record.content.811c9dc5

Grouper manterá registos e medidas de governação adequados ao seu papel e cooperará de boa-fé com os Clientes, Titulares dos Dados e autoridades de controlo competentes.

Grouper está estabelecida na Irlanda. A Data Protection Commission (“DPC”) é a autoridade de controlo independente da Irlanda responsável por salvaguardar o direito fundamental à protecção de dados e é a autoridade de controlo irlandesa para o RGPD.

Quando a DPC for a autoridade de supervisão competente para uma atividade de Tratamento relevante, Grouper cooperará com a DPC e cumprirá decisões vinculativas e requisitos regulamentares legais.

As pessoas que considerem que os seus direitos de proteção de dados foram violados podem apresentar a questão ao Responsável pelo Tratamento relevante e podem apresentar uma reclamação à DPC ou a outra autoridade de supervisão competente, quando permitido por lei.

content.legal-document.record.content.811c9dc5

Contactos atuais da DPC: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Irlanda. A DPC recomenda a utilização dos seus canais de contacto online para reclamações e preocupações de proteção de dados.

Grouper incentiva as pessoas a contactar primeiro o Responsável pelo Tratamento relevante quando a questão esteja relacionada com uma conta BambooHR gerida pelo empregador, para que o assunto possa ser investigado e resolvido prontamente.

Grouper pode atualizar esta Política de Privacidade e o DPA quando razoavelmente necessário para refletir alterações na lei, orientação regulatória, requisitos de segurança, tecnologia, Serviços, atividades de Tratamento, subprocessadores ou mecanismos de transferência. Alterações materiais serão comunicadas quando exigido.

content.legal-document.record.content.811c9dc5

Quando Grouper trata Dados Pessoais do Cliente como Subcontratante, a Parte B e o acordo aplicável com o cliente regem a relação contratual de Tratamento. Em caso de inconsistência relativa a Dados Pessoais do Cliente, aplica-se a seguinte ordem de prevalência: Legislação Aplicável em matéria de Protecção de Dados obrigatória; SCCs aplicáveis, Adendo do Reino Unido ou outro mecanismo de transferência obrigatório; o Acordo de Tratamento de Dados; disposições de protecção de dados aplicáveis do Acordo; e o restante Acordo.

A proposta europeia de Grouper BambooHR assenta em três princípios:

Residência de dados europeia.

Os Dados Pessoais do Cliente são alojados e armazenados no EEE, com alojamento principal na Irlanda através da Amazon Web Services (AWS).

Normas europeias de privacidade.

Os Dados Pessoais de Clientes são tratados em conformidade com os requisitos europeus aplicáveis em matéria de proteção de dados, incluindo o RGPD.

Serviço e apoio europeus.

Grouper fornece aos clientes implementação europeia, apoio e gestão de serviço em torno da plataforma HRIS BambooHR.

content.legal-document.record.content.811c9dc5

O nosso objectivo é permitir que as organizações utilizem BambooHR mantendo as normas de privacidade, governação e residência de dados esperadas pelos clientes europeus.

As questões relativas a esta Política de Privacidade, às actividades de Tratamento de Grouper, aos direitos dos Titulares dos Dados, à segurança ou aos nossos acordos de residência de dados europeia podem ser submetidas através dos canais designados de privacidade ou de apoio ao cliente de Grouper.

Grouper Technology Limited também pode ser contactada em 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.

Quando os Dados Pessoais em causa estiverem contidos na conta BambooHR de um empregador, os indivíduos devem, em regra, contactar primeiro esse empregador, uma vez que essa organização será geralmente a Responsável pelo Tratamento responsável por determinar a forma como a informação é utilizada.

Parte B — Acordo de Tratamento de Dados do ClienteTermos contratuais de subcontratante aplicáveis quando a Grouper trata Dados Pessoais do Cliente em seu nome

Este Acordo de Tratamento de Dados (“DPA”) faz parte do acordo, formulário de encomenda, declaração de trabalho ou outro contrato que rege a prestação dos serviços relacionados com Grouper de BambooHR entre o Cliente e Grouper Technology Limited.

Na prestação dos Serviços, Grouper pode tratar Dados Pessoais do Cliente em nome do Cliente. Este DPA estabelece as obrigações respectivas das Partes para esse Tratamento.

Este DPA aplica-se na medida em que Grouper trate Dados Pessoais do Cliente em nome do Cliente e esse Tratamento esteja sujeito à Legislação Aplicável em matéria de Protecção de Dados. Complementa e faz parte do Acordo; os termos em maiúsculas não definidos aqui têm o significado que lhes é atribuído no Acordo.

Para este DPA:

Dados Pessoais do Cliente

Dados Pessoais controlados por um Cliente ou Afiliada do Cliente e Tratados por Grouper em ligação com os Serviços.

Transferência Restrita

Uma transferência de Dados Pessoais que exige um mecanismo de transferência lícito ao abrigo da Legislação Aplicável em matéria de Protecção de Dados.

Cláusulas Contratuais-Tipo (SCCs)

As cláusulas contratuais-tipo aplicáveis da Comissão Europeia para transferências de Dados Pessoais para países terceiros, tal como alteradas, substituídas ou complementadas periodicamente.

Subprocessador

Um terceiro nomeado por ou em nome de Grouper para Tratar Dados Pessoais do Cliente.

Fornecedor Tecnológico

BambooHR LLC e, quando aplicável, entidades relacionadas BambooHR que fornecem a plataforma subjacente de tecnologia de RH.

Salvo acordo escrito em contrário, o Cliente actua como Responsável pelo Tratamento e Grouper actua como Subcontratante. Quando o Cliente actua como Subcontratante para outro Responsável pelo Tratamento, Grouper actua como Subcontratante subsequente na medida aplicável.

content.legal-document.record.content.811c9dc5

Grouper tratará os Dados Pessoais do Cliente apenas com base em instruções documentadas do Cliente e apenas na medida necessária para fornecer, manter, proteger e apoiar os Serviços, salvo se for necessário tratar os dados por força da lei aplicável.

Grouper informará prontamente o Cliente se, no seu entendimento razoável, uma instrução infringir a Legislação Aplicável em matéria de Protecção de Dados e poderá suspender o Tratamento afectado até resolução.

Cada Parte cumprirá as suas obrigações ao abrigo da Legislação Aplicável em matéria de Proteção de Dados no que diz respeito aos Dados Pessoais tratados ao abrigo ou em ligação com o Acordo. Grouper não tratará conscientemente Dados Pessoais de Clientes de forma suscetível de levar o Cliente a incumprir a Legislação Aplicável em matéria de Proteção de Dados.

Grouper garantirá que as Pessoas Autorizadas estão sujeitas a obrigações adequadas de confidencialidade, acedem aos Dados Pessoais do Cliente apenas quando razoavelmente necessário, recebem formação adequada em privacidade e segurança e tratam os Dados Pessoais do Cliente apenas em conformidade com este DPA e com instruções documentadas do Cliente. O acesso será limitado de acordo com os princípios de privilégio mínimo e necessidade de conhecimento.

Grouper implementará e manterá medidas técnicas e organizacionais apropriadas para proteger os Dados Pessoais de Clientes contra destruição acidental ou ilícita, perda, alteração, divulgação não autorizada ou acesso não autorizado.

Os domínios mínimos de controlo estão descritos em Schedule 2. Grouper pode actualizar essas medidas desde que as alterações não reduzam materialmente o nível global de protecção conferido aos Dados Pessoais do Cliente.

Grouper notificará o Cliente logo que razoavelmente praticável e, quando se aplicar o compromisso contratual de 48 horas, em caso algum mais tarde do que 48 horas após tomar conhecimento de um Incidente de Segurança real ou suspeito que afecte Dados Pessoais do Cliente.

A informação pode ser fornecida por fases, à medida que se torne disponível. Grouper prestará a cooperação razoável necessária para que o Cliente cumpra os deveres de notificação às autoridades de controlo e aos Titulares dos Dados afectados.

O Cliente concede a Grouper autorização escrita geral para recorrer a Subcontratantes necessários para prestar os Serviços.

content.legal-document.record.content.811c9dc5

Grouper manterá informação sobre Subprocessadores que tratam Dados Pessoais de Clientes e fornecerá aviso prévio razoável de adições ou substituições materiais.

Quando se aplicar o DPA subjacente de BambooHR, BambooHR fornece actualmente pelo menos 30 dias de aviso prévio por escrito de um novo Subcontratante que irá tratar Dados Pessoais do Cliente.

Grouper imporá aos Subprocessadores obrigações escritas de proteção de dados materialmente equivalentes às proteções exigidas por este DPA. Grouper continua responsável pelo desempenho do Subprocessador na medida exigida pela Legislação Aplicável em matéria de Proteção de Dados.

Tendo em conta a natureza do Tratamento, Grouper prestará assistência razoável para permitir que o Cliente responda a pedidos de acesso, retificação, apagamento, restrição, portabilidade, oposição e outros direitos aplicáveis.

Se Grouper receber um pedido directamente relativo a Dados Pessoais do Cliente, Grouper encaminhará ou notificará prontamente o Cliente e não responderá substantivamente, excepto com instruções documentadas ou quando exigido por lei.

Grouper prestará assistência razoável, tendo em conta a natureza do Tratamento e a informação disponível, com Avaliações de Impacto sobre a Protecção de Dados, consulta prévia com autoridades de controlo e inquéritos ou investigações razoáveis por uma autoridade de controlo competente relativos aos Serviços.

Grouper disponibilizará a informação razoavelmente necessária para demonstrar a conformidade com as obrigações aplicáveis do Processador, o que pode incluir documentação de segurança, certificações, relatórios de auditoria e resumos.

Quando essa informação for insuficiente e for necessária uma auditoria por força da Legislação Aplicável em matéria de Proteção de Dados, o Cliente pode solicitar uma auditoria mediante aviso razoável. As auditorias limitar-se-ão normalmente a uma vez em qualquer período de doze meses, salvo se um Incidente de Segurança ou requisito regulatório justificar revisão mais frequente. O Cliente suportará os seus próprios custos de auditoria, salvo disposição em contrário na lei ou no Acordo.

Grouper assegurará que as Transferências Restritas de Dados Pessoais de Clientes são efetuadas em conformidade com a Legislação Aplicável em matéria de Proteção de Dados. Quando o Cliente adquirir o serviço de residência de dados europeia, o armazenamento principal dos Dados Pessoais de Clientes situa-se na Irlanda/EEE através da Amazon Web Services (AWS), mas o acesso remoto autorizado fora do EEE ainda pode constituir uma Transferência Restrita e deve ser protegido em conformidade.

Se um mecanismo de transferência deixar de ser legal, Grouper trabalhará com o Cliente para implementar um mecanismo legal alternativo ou suspender a transferência afetada.

Na medida permitida por lei, Grouper analisará pedidos juridicamente vinculativos de autoridades públicas relativos a Dados Pessoais do Cliente, contestará pedidos ilegais ou desproporcionados quando existirem fundamentos razoáveis, procurará limitar a divulgação ao mínimo legalmente exigido, notificará o Cliente quando tal seja legalmente permitido e manterá registos adequados.

A pedido do Cliente, ou após cessação ou expiração dos Serviços, Grouper irá, à opção do Cliente e sujeito à viabilidade técnica e ao Acordo, devolver ou eliminar de forma segura os Dados Pessoais do Cliente e exigir que os Subcontratantes relevantes façam o mesmo. Quando a lei exigir conservação, Grouper isolará e protegerá os dados conservados e tratar-los-á apenas conforme legalmente exigido.

O Cliente garante que dispõe dos direitos, permissões, avisos, bases jurídicas e consentimentos necessários para fornecer Dados Pessoais do Cliente para Tratamento; que as suas instruções cumprem a Legislação Aplicável em matéria de Protecção de Dados; que não instruirá Tratamento ilícito; e que configurará e utilizará os Serviços de forma segura e manterá controlos adequados sobre contas de utilizador, credenciais e integrações.

A responsabilidade resultante ou relacionada com este DPA está sujeita às limitações e exclusões do Acordo, exceto na medida proibida pela Legislação Aplicável em matéria de Proteção de Dados ou incompatível com disposições obrigatórias das SCC. Nada neste DPA limita os direitos dos Titulares dos Dados ou das autoridades de supervisão que não possam legalmente ser limitados.

Este DPA produz efeitos quando o Cliente fica vinculado ao mesmo e continua em vigor durante todo o período em que Grouper trate Dados Pessoais do Cliente em nome do Cliente. As obrigações que, pela sua natureza ou por força da lei, devam continuar enquanto os dados forem conservados mantêm-se após a expiração ou cessação.

Grouper pode atualizar este DPA quando razoavelmente necessário para cumprir a lei, implementar novos mecanismos de transferência, responder a orientações regulamentares ou refletir alterações aos Serviços ou ao Tratamento. Nenhuma atualização reduzirá materialmente a proteção durante um período de subscrição ativo, exceto quando exigido por lei ou expressamente acordado.

Exceto quando a Legislação Aplicável em matéria de Proteção de Dados ou os termos de transferência obrigatórios exigirem o contrário, este DPA rege-se pela lei aplicável ao Acordo.

Em caso de inconsistência relativa a Dados Pessoais do Cliente, aplica-se a seguinte ordem de prevalência: Legislação Aplicável em matéria de Protecção de Dados obrigatória; SCCs aplicáveis, Adendo do Reino Unido ou outro mecanismo de transferência obrigatório; este DPA; disposições de protecção de dados aplicáveis do Acordo; e o restante Acordo.

AnexosDetalhes do tratamento, medidas técnicas, salvaguardas de transferência, subcontratantes e termos de IA

Responsável pelo Tratamento / Exportador de Dados

O Cliente identificado no Acordo ou Formulário de Encomenda aplicável.

Subcontratante / Importador de Dados

Grouper Technology Limited, 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.

Fornecedor Tecnológico

BambooHR LLC e entidades aplicáveis BambooHR que fornecem a plataforma subjacente de HRIS.

Matéria

Prestação, implementação, configuração, operação, manutenção, apoio de alojamento, segurança e apoio de serviços de sistema de informação de recursos humanos relacionados com BambooHR.

Natureza do Tratamento

Recolha, recepção, registo, organização, estruturação, migração, alojamento, armazenamento, recuperação, consulta, utilização, transmissão, disponibilização, limitação, acesso de apoio, eliminação e outro Tratamento razoavelmente necessário para prestar os Serviços.

Finalidade

Prestar, implementar, operar, proteger, manter e apoiar os Serviços em conformidade com as instruções documentadas do Cliente e com o Acordo.

Duração

Durante a vigência dos Serviços e qualquer período subsequente necessário para devolver ou eliminar os Dados Pessoais do Cliente ou cumprir a lei.

Titulares dos Dados

Colaboradores, ex-colaboradores, potenciais colaboradores, candidatos, contratados, consultores, trabalhadores de agência, trabalhadores temporários e ocasionais, estagiários, voluntários, referências, dependentes, beneficiários, contactos de emergência, administradores do Cliente e outras pessoas cujos Dados Pessoais sejam submetidos pelo Cliente ou em seu nome.

Dados Pessoais

Informação de identidade, contacto, demográfica, emprego, recrutamento, qualificações, organização, remuneração, processamento salarial, impostos, segurança social, banca, pensões, benefícios, assiduidade, férias, desempenho, formação, disciplina, contacto de emergência, conta, sistema e outras informações relacionadas com RH.

Dados Sensíveis

Quando seleccionado pelo Cliente, pode incluir informações de saúde e deficiência e outros dados de categoria especial ou sensíveis permitidos pelos Serviços.

Armazenamento Europeu Principal

Irlanda / EEE via Amazon Web Services (AWS) para Clientes que adquiram o serviço de residência de dados europeia.

Autoridade de Controlo Competente

Quando a DPC é competente: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Irlanda.

Grouper mantém medidas técnicas e organizativas nos seguintes domínios mínimos de controlo:

1. Governação da Segurança da Informação

Responsabilidades de segurança documentadas, avaliação de riscos, governação, supervisão da gestão e políticas apropriadas.

2. Segurança do Pessoal

Obrigações de confidencialidade, avaliação adequada ao cargo quando legalmente permitida, formação em sensibilização para a segurança e privacidade, e controlos disciplinares para acessos não autorizados.

3. Segurança Física

Acesso restrito às instalações e infraestruturas relevantes; vias de acesso controladas; autorizações de acesso; monitorização física e outras salvaguardas adequadas ao ambiente de alojamento.

4. Gestão de Identidade e Acesso

Autenticação, acesso baseado em funções, princípio do menor privilégio, controlos de contas privilegiadas, gestão do ciclo de vida das contas, tempo limite de inatividade e revisão periódica.

5. Controlo de Acesso aos Dados

Controlos concebidos para que os utilizadores autorizados apenas possam aceder aos dados dentro das suas permissões; registo e monitorização dos acessos; divulgação de dados apenas a pessoas autorizadas.

6. Encriptação e Pseudonimização

Encriptação adequada dos Dados Pessoais em trânsito e em rest; pseudonimização quando apropriado à finalidade do tratamento.

7. Segurança da Rede e da Transmissão

Firewalls, gateways protegidos, canais de comunicação seguros, TLS/SFTP ou mecanismos equivalentes de transferência protegida, e controlos contra interceção ou alteração não autorizadas.

8. Registo e Monitorização

Registo da atividade relevante do sistema, administrativa e de acesso; monitorização de eventos suspeitos; retenção de informação de auditoria adequada ao risco.

9. Controlo de Entrada e de Alterações

Controlos para identificar quem inseriu, alterou ou eliminou dados; autenticação de utilizadores e sistemas autorizados; práticas documentadas de gestão de alterações.

10. Testes de Vulnerabilidade e Segurança

Processos para identificar, avaliar e remediar vulnerabilidades; testes periódicos de intrusão ou de segurança; avaliação regular da eficácia dos controlos.

11. Disponibilidade, Cópia de Segurança e Recuperação

Redundância da infraestrutura, cópia de segurança, capacidade de restauro, controlos de disponibilidade e proteção contra perda ou destruição acidental.

12. Continuidade do Negócio e Recuperação de Desastres

Planos documentados de continuidade e recuperação concebidos para restabelecer atempadamente a disponibilidade e o acesso após uma interrupção ou Incidente de Segurança.

13. Separação de Dados

Separação lógica ou ao nível da aplicação entre clientes e entre finalidades de tratamento; controlos concebidos para impedir o acesso cruzado não autorizado entre clientes.

14. Desenvolvimento Seguro

Práticas de segurança adequadas ao desenvolvimento, testes, lançamento e gestão de alterações de software.

15. Gestão de Subprocessadores

Diligência devida, obrigações escritas de proteção de dados, revisão de segurança, salvaguardas de transferência e supervisão contínua adequadas ao tratamento.

16. Gestão de Incidentes

Procedimentos documentados para deteção, investigação, contenção, remediação, escalada, notificação ao cliente e lições aprendidas.

Transferências Restritas UE

Quando forem necessárias SCCs da UE, as SCCs oficiais da Comissão Europeia são incorporadas por remissão sem alteração da redação obrigatória. Salvo se os papéis exigirem o contrário, o Cliente é o Exportador de Dados, Grouper e/ou o Fornecedor de Tecnologia aplicável é o Importador de Dados, e o Módulo Dois aplica-se a transferências de Responsável para Subcontratante.

Transferências Restritas do Reino Unido

Transferências Suíças

No caso de transferências sujeitas à legislação suíça em matéria de proteção de dados, as SCCs serão interpretadas e adaptadas conforme exigido pela legislação suíça aplicável, incluindo referências adequadas à autoridade de supervisão suíça e aos Titulares dos Dados suíços.

EU-US Data Privacy Framework

Quando um destinatário nos EUA for um participante elegível no EU-US Data Privacy Framework e a decisão de adequação da Comissão Europeia se mantiver válida para o Tratamento relevante, o framework pode ser invocado como mecanismo de adequação. Grouper não depende dos obsoletos frameworks Privacy Shield EU-US ou Swiss-US.

Avaliações de Impacto de Transferência e Medidas Suplementares

Quando exigido, as partes avaliarão as circunstâncias da transferência, as leis e práticas do país de destino, as transferências subsequentes, as categorias de dados, a localização do armazenamento, os canais de transmissão e as salvaguardas técnicas, contratuais ou organizacionais suplementares. As transferências serão suspensas quando não puder ser razoavelmente mantida qualquer salvaguarda legal e adequada.

Cenários de Acesso Excecional para Clientes Europeus

O acesso excecional não-EEE autorizado pode ocorrer apenas nas seguintes circunstâncias:

uma emergência que afecte o ambiente do centro de dados irlandês ou a continuidade do serviço;
um pedido de suporte ou manutenção que exija acesso autorizado de especialistas fora do EEE, sujeito à aprovação aplicável do Cliente ou à autorização contratual; e
um pedido verificado do Cliente para Tratamento ou alojamento fora da região europeia.

Os fornecedores exactos utilizados variam consoante o produto, funcionalidade, via de suporte e configuração do Cliente. O registo de subcontratantes em tempo real actualmente mantido por Grouper e/ou BambooHR é o documento controlante para a prestação ativa do serviço.

Os seguintes fornecedores principais foram identificados nos materiais de serviço que regem o contrato. Um fornecedor aqui listado não trata necessariamente Dados Pessoais do Cliente para todos os Clientes ou para todas as implementações.

BambooHR LLC

Fornecedor de tecnologia; manutenção, alojamento e suporte do HRIS. Localização: Estados Unidos / regiões de serviço incluindo a Europa.

Amazon Web Services (AWS)

Infraestrutura principal de alojamento na nuvem; alojamento regional europeu na Irlanda. Localização: Irlanda / Europa e outras regiões, consoante a configuração do serviço.

Anthropic / Claude

Processamento de IA / modelos de linguagem. Localização: Estados Unidos.

Cohere

Processamento de modelos de linguagem API / IA. Localização: Estados Unidos.

OpenAI

Processamento de modelos de linguagem API / IA. Localização: Estados Unidos.

LlamaIndex / LlamaParse

Análise opcional de documentos associada à funcionalidade de IA. Localização: Estados Unidos.

Atlas MongoDB

Armazenamento de dados que suporta serviços selecionados / funcionalidade relacionada com IA. Localização: Estados Unidos.

Gainsight

Serviços de relação com o cliente / CRM.

Salesforce

Plataforma CRM.

Cloudflare

Firewall de aplicações web / segurança.

Datadog

Monitorização de infraestrutura e aplicações.

Microsoft / Google Workspace

Colaboração, comunicação e armazenamento de documentos, consoante a configuração atual.

Mailgun

Comunicações da aplicação.

Snowflake

Análise de dados.

Twilio

MFA / entrega de SMS.

Fornecedores Adicionais

Os fornecedores adicionais identificados nos materiais de serviço atuais podem incluir Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike e outros. Os Clientes devem consultar a lista de subcontratantes em tempo real BambooHR e as informações atuais de subcontratantes secundários de Grouper para obter os detalhes mais recentes.

1. Âmbito

Esta Adenda aplica-se quando o Cliente ativa ou utiliza funcionalidades de inteligência artificial ou aprendizagem automática de BambooHR em ligação com Serviços suportados por Grouper.

2. Fornecedores de IA

Os materiais de serviço actuais identificam fornecedores de IA, incluindo OpenAI, Cohere e Anthropic/Claude, e podem identificar fornecedores adicionais, como LlamaIndex, para análise opcional de documentos. O conjunto activo de fornecedores pode mudar em conformidade com os requisitos aplicáveis de notificação de subcontratantes.

3. Entradas e Saídas

Os pedidos, instruções ou dados fornecidos pelo Cliente e submetidos à funcionalidade de IA podem constituir “Entradas” e as respostas geradas podem constituir “Saídas”. Dependendo da funcionalidade, as Entradas ou Saídas podem incluir Dados do Cliente. As Saídas podem não ser únicas e podem ser semelhantes a saídas produzidas para outros utilizadores.

4. Responsabilidades do Cliente e Supervisão Humana

O Cliente é responsável por assegurar que detém os direitos, a base jurídica, os avisos e as permissões necessários para submeter Entradas e utilizar Saídas. O Cliente deve implementar supervisão humana suficiente e deve avaliar de forma independente as saídas antes de as utilizar para decisões laborais, jurídicas, financeiras, de segurança crítica ou decisões igualmente significativas.

5. Restrições a Dados Sensíveis e Regulamentados

Quando proibido pelos termos de IA aplicáveis, o Cliente não deve submeter informações sensíveis ou regulamentadas a funcionalidades de IA, incluindo informações de saúde, genéticas ou biométricas, números de identificação emitidos pelo governo, ou informações financeiras pessoais ou de contas bancárias. Os Clientes devem minimizar os Dados Pessoais nos pedidos.

6. Exactidão, Preconceito e Equidade

A IA generativa tem limitações conhecidas e desconhecidas. As saídas podem ser imprecisas, incompletas, inseguras, tendenciosas, injustas, ofensivas ou de outro modo inadequadas. Os Clientes são responsáveis por rever as saídas, testar riscos relevantes e evitar discriminação ilícita ou decisões laborais exclusivamente automatizadas.

7. Melhoria do Modelo

Quando os termos de IA aplicáveis de BambooHR permitirem a utilização de Dados de Desempenho e Feedback para melhorar a funcionalidade de IA, essa utilização rege-se por esses termos. Quando os Dados do Cliente são utilizados para afinar um modelo específico de um cliente, o modelo resultante é utilizado para fornecer funcionalidades de IA a esse Cliente e não é, de outro modo, utilizado para prestar serviços a outros clientes.

8. Tratamento Internacional

Os fornecedores de IA podem Tratar Entradas autorizadas ou Dados Pessoais relacionados fora do EEE. Esse Tratamento está sujeito às salvaguardas de transferência previstas nesta DPA e não altera a localização da região de armazenamento principal do HRIS contratada pelo Cliente. Os Clientes devem avaliar se a utilização opcional de IA é consistente com os seus próprios requisitos de residência, conselho de trabalhadores, direito laboral e risco antes de a ativarem.

Questões sobre esta Política de Privacidade ou os seus direitos em matéria de dados?

Contacte-nos