Legal
Politica de confidențialitate | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
Ultima actualizare: 16 august 2026
Grouper se angajează să protejeze datele cu caracter personal și să mențină standarde înalte de confidențialitate, securitate și conformitate în reglementări. Protecția datelor este tratată ca o responsabilitate operațională și contractuală de bază, nu ca o idee de ultimă intenție. Proiectăm livrarea serviciilor noastre, controalele de acces, procesele de suport și guvernanța furnizorilor pentru a reflecta principiile de responsabilitate, integritate, confidențialitate și transparență ale GDPR.
Această Politică de confidențialitate explică modul în care Grouper Technology Limited („Grouper”, „noi”, „nouă” sau „nostru”) colectează, utilizează, accesează, găzduiește, stochează, protejează, transferă și prelucrează în alt mod date cu caracter personal în legătură cu serviciile pe care le furnizăm, inclusiv rolul nostru de partener european al BambooHR.
Grouper sprijină organizații din Republica Irlanda, Regatul Unit, Europa și alte regiuni în implementarea, administrarea și utilizarea platformei BambooHR HRIS și a tehnologiei HR asociate.
Modelul nostru european de servicii este conceput în jurul unui principiu clar de rezidență a datelor în Europa. Datele Personale ale Clientului gestionate prin serviciul european Grouper de BambooHR sunt găzduite și stocate în Spațiul Economic European („SEE”), cu găzduire principală în Irlanda.
Această Politică de Confidențialitate se aplică datelor cu caracter personal procesate în legătură cu:
- Implementarea și onboarding-ul BambooHR;
- configurare HRIS;
- administrare conturi;
- asistență pentru clienți;
- asistență tehnică;
- asistență pentru integrare;
- migrarea datelor;
- success-ul clienților;
- instruire;
- servicii profesionale;
- administrare de securitate și servicii;
- comunicații cu clienții;
- vânzări și demonstrații;
- Grouper site-uri web și servicii digitale; și
- activitățile noastre generale de afaceri.
Grouper Technology Limited este o companie irlandeză cu sediul în 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Irlanda.
BambooHR oferă sistemul informațional de resurse umane de bază și funcționalitățile aferente produsului. Grouper oferă servicii profesionale în Europa pentru implementare, migrare, configurare, instruire, succesul clienților, suport, managementul serviciilor și servicii profesionale aferente. În funcție de abonamentul și configurarea Clientului, platforma HRIS BambooHR poate include evidența angajaților, onboarding, recrutare, pontaj și prezență, gestionarea concediilor, evaluarea performanței, compensații, beneficii, funcționalități legate de salarizare, raportare, analiză, integrări, API-uri și funcționalități de inteligență artificială.
În funcție de serviciile achiziționate de un client, Grouper poate furniza:
- implementarea BambooHR;
- onboarding;
- configurarea;
- configurarea contului;
- asistența pentru migrare;
- servicii de integrare;
- asistență tehnică;
- suport HRIS;
- instruire;
- servicii de succes pentru clienți;
- administrare de servicii;
- depanare; și
- servicii profesionale conexe.
Rolul precis de protecție a datelor al Grouper depinde de activitatea de Procesare specifică.
Atunci când Grouper stabilește scopurile și mijloacele Prelucrării — de exemplu, în anumite activități de site web, vânzări, contacte de afaceri, securitate sau administrare corporativă — Grouper acționează în calitate de Operator.
Atunci când Grouper Prelucrează Datele cu Caracter Personal ale Clientului exclusiv în numele unui Client și în conformitate cu instrucțiunile documentate ale acelui Client, Grouper acționează în calitate de Persoană Împuternicită de Operator.
În cazul în care Clientul în sine acționează ca Procesator pentru un alt Operator, Grouper poate acționa ca Subprocesator în măsura în care este aplicabil.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 Angajamentul de Reședință Europeană de bază
Pentru Clienții care achiziționează serviciul european Grouper BambooHR cu rezidența datelor în SEE, Datele cu caracter personal ale Clientului care fac parte din mediul de producție de bază al HRIS sunt găzduite și stocate în SEE, cu locația principală de găzduire în Irlanda.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 Stocare versus Acces
Reședința datelor descrie unde sunt stocate Datele cu Caracter Personal ale Clienților. Nu înseamnă că nu poate avea loc niciodată asistență autorizată sau acces tehnic dintr-o altă țară.
Accesul excepțional din afara SEE poate avea loc numai unde este necesar, autorizat și protejat legal, așa cum este descris în Secțiunile 17 și 18 ale acestei Politici.
4.3 Backupuri, Reziliență și Recuperare în caz de dezastru
Aranjamente de backup, reziliență și recuperare în caz de dezastru concepute pentru a păstra confidențialitatea, integritatea și disponibilitatea și pentru a rămâne în conformitate cu angajamentele de hosting regional contractate de Client.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 Fără Relocări de rutină în afara SEE
Grouper nu utilizează accesul de suport excepțional ca mecanism pentru relocarea de rutină a Datelor cu Caracter Personal ale Clienților din Europa.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
„Aplicabilă Lege de Protecția a Datelor” înseamnă toate legile și regulamentele privind protecția datelor, confidențialitatea și securitatea datelor aplicabile la Procesare, inclusiv, dacă este cazul, următoarele:
- Regulamentul (UE) 2016/679 — Regulamentul general privind protecția datelor (GDPR);
- Legea irlandeză privind protecția datelor din 2018;
- regulile irlandeze aplicabile de ePrivacy și comunicații electronice;
- GDPR din Marea Britanie și Legea privind protecția datelor 2018 în Marea Britanie, dacă este cazul;
- legea elvețiană aplicabilă privind protecția datelor, dacă este cazul;
- legislație națională aplicabilă implementând cerințe europene privind confidențialitatea; și
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
Informațiile procesate depind de serviciile selectate de Client și de datele pe care Clientul alege să le plaseze în mediul HR.
6.1 Employee and Workforce Information
Datele cu Caracter Personal pot include:
- numele și numerele de identificare ale angajatului;
- fotografii, acolo unde furnizate;
- date de contact acasă sau la serviciu;
- data nașterii, genul și informațiile demografice acolo unde furnizate;
- informații despre stare civilă sau familie, dacă există;
- date de contact pentru situații de urgență și numere de telefon;
- calificări academice și profesionale;
- Informații despre CV sau rezumat, istoric de angajare și competențe lingvistice;
- titlu de lucru, clasă, departament, locație, linii de raportare și apartenența la echipă;
- date de angajare și încetare, ore de lucru și detalii contractuale;
- performanță, evaluare, disciplină și informații despre istoricul de muncă;
- beneficii, asigurări, active ale companiei și informații de instruire;
- informații despre concediu, prezență și timp liber.
6.2 Informații despre salarii și Compensații
Când serviciile relevante sunt utilizate, Datele cu Caracter Personal pot include:
- salarii, compensații și bonusuri;
- informații fiscale și de securitate socială;
- date bancare și de plată;
- informații despre pensii;
- opțiuni de acțiuni și alte beneficii; și
- alte informații legate de salarizare.
6.3 Recrutare, informații despre candidați și referințe
For candidates, prospective employees and referees, information may include:
- identitate și detalii de contact;
- CV-uri, rezumate, istoricul de angajare și calificări;
- dosare de aplicație, interviu și recrutare;
- comunicări cu candidații și statutul recrutării;
- informații despre compensația propusă;
- nume și date de contact ale referenților și relația profesională;
- informații conținute în referințe.
6.4 Date speciale de categorie and Date sensibile
În funcție de utilizarea platformei HRIS BambooHR de către un Client, Serviciile pot conține informații despre sănătate sau dizabilitate și alte Date cu Caracter Special sau sensibile.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
Clienții nu ar trebui să introducă informații sensibile în câmpuri de text liber sau în caracteristici AI, decât dacă este necesar, legal și permis de termenii produsului relevant.
Datele cu Caracter Personal prelucrate în legătură cu serviciile Grouper pot face referire la:
- actuali, foşti, candidaţi şi viitori angajaţi;
- candidati și aplicanți;
- contractori, consultanţi, agenţi şi contractori independenţi;
- agenţie, persoane temporare şi lucrători ocazionali;
- interni şi voluntari;
- dependenţii angajaţilor, beneficiarii şi contactele de urgenţă;
- referenţi şi furnizori de referinţe;
- administratorii de client şi utilizatorii autorizaţi; şi
- alte persoane a căror Date cu Caracter Personal le furnizează în mod legitim Clientul către Servicii.
Datele cu caracter personal pot fi obţinute:
- direct de la persoana în cauză;
- de la angajatorul individului sau potențialul angajator;
- de la administratorii de Client şi utilizatorii autorizaţi;
- în timpul implementării, configurării şi migraţiei datelor;
- prin integraţii sau API-uri autorizate;
- prin cereri de suport şi depanare;
- prin platforma BambooHR HRIS sau alt sistem ales de Client;
- prin procesele de recrutare;
- din surse publice utilizate în mod legal; şi
- din alte surse legale autorizate de Client.
Grouper Procesează Datele cu Caracter Personal doar pentru scopuri specificate şi legale. Acestea pot include:
- implementarea şi configurarea platformei BambooHR HRIS;
- gazduirea sau facilitarea găzduirii Datelor cu Caracter Personal ale Clientului;
- administrarea conturilor şi permisiunilor utilizatorilor;
- mentinerea şi securizarea serviciului;
- oferirea suportului pentru clienţi şi tehnic;
- sprijin pentru integrări şi migraţii;
- livrarea de instruire şi servicii profesionale;
- gestionarea abonamentelor şi relaţiilor cu clienţii;
- detectarea şi investigarea evenimentelor de securitate;
- păstrarea evidenţelor de audit;
- prevenirea fraudei sau abuzului;
- conformare cu obligaţii legale; şi
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
Când personalul de suport accesează Datele cu Caracter Personal ale Clientului, accesul trebuie limitat la minimul de informaţii rezonabil necesare scopului de suport şi trebuie efectuat de personal autorizat, sub rezerva confidenţialităţii şi a controalelor de acces.
Unde Grouper acţionează ca Operator, baza juridică aplicabilă poate include:
10.1 Contractul
Prelucrarea necesară pentru a încheia sau a îndeplini un contract, sau pentru a lua măsuri înainte de a încheia un contract la cererea persoanei;
10.2 Interese Legitime
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- asigurarea livrării serviciului;
- administrarea clienţilor;
- securitatea informaţiei;
- prevenirea fraudei;
- continuitatea afacerii;
- suport pentru clienţi; şi
- relationship management.
10.3 Obligaţie Legală
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 Consimţământ
Acolo unde este cazul, Prelucrarea se poate baza pe consimțământ. Consimțământul poate fi retras în orice moment, fără a afecta legalitatea Prelucrării efectuate înainte de retragere.
În cazul în care Clientul acţionează ca Operator, Clientul este responsabil pentru:
- stabilirea scopurilor pentru care Datele cu Caracter Personal sunt prelucrate;
- stabilirea bazelor legale și a condițiilor de categorie specială;
- furnizarea notificărilor de confidențialitate necesare;
- obținerea consimțământului acolo unde este necesar;
- asigurarea acurateţei şi calităţii datelor;
- stabilirea perioadelor de retenţie adecvate;
- administrarea utilizatorilor autorizaţi şi a permisiunilor;
- utilizarea în siguranţă a Serviciilor; şi
- asigurarea că instrucţiunile sale către Grouper sunt legale.
Clientul nu trebuie să îşi înscrie Grouper pentru a Prelucra Date cu Caracter Personal într-un mod care încalcă Legea aplicabilă privind protecția datelor.
Grouper va notifica Clientul atunci când, din punct de vedere rezonabil, o instrucţiune încalcă Legea aplicabilă privind protecția datelor şi poate suspenda Prelucrarea afectată până la rezolvarea problemei.
Grouper limitează accesul la Datele cu Caracter Personal ale Clientului la persoanele autorizate care au nevoie în mod rezonabil de acces pentru îndeplinirea sarcinilor lor. Personalul este supus obligaţiilor corespunzătoare de confidenţialitate şi primeşte instruire în domeniul confidenţialităţii şi securităţii adecvată rolului lor. Accesul este guvernat de principiile de minim privilegiu şi necesitate.
Controalele de acces includ:
- controle de identitate şi autentificare;
- controle bazate pe roluri şi acces privilegiat;
- controle de cont administrativ;
- gestionarea ciclului de viaţă al contului;
- înregistrare şi monitorizare a accesului;
- revizuire periodică a accesului;
- confidenţialitate şi cerinţe de utilizare acceptabilă; şi
- personal adecvat de securitate şi instruire.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
Măsuri includ:
- controlul accesului fizic și logic;
- autentificare puternică și controale adecvate ale parolei;
- criptare în tranzit și în repaus unde este cazul;
- pseudonimizare unde este cazul;
- firewall-uri de rețea, securitate perimetrală și detectare de intruziuni;
- înregistrare, monitorizare și piste de audit;
- gestionarea vulnerabilităților și testarea de securitate;
- acces administrativ restricționat;
- transmitere securizată, inclusiv canale de transfer protejate;
- backup, redundanță, recuperare și reziliență;
- continuitate în afaceri și plan de recuperare în caz de dezastru;
- dezvoltare sigură și managementul schimbărilor;
- separarea datelor între clienți și scopurile de prelucrare;
- proceduri de răspuns la incidente;
- conștientizare și instruire în securitatea personalului; și
- diligența subprocesatorilor și guvernanța securității.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
În măsura fostei Grouper acționează ca Procesator și ia cunoștință de un incident real sau suspect de scurgere de date cu caracter personal afectând datele personale ale Clientului, Grouper va Notifica Clientul relevant în cel mai scurt timp rezonabil posibil și, în orice caz, în termen de 48 de ore de la luarea la cunoștință a incidentului.
În măsura în care este rezonabil disponibil, notificarea va include:
- natură incidentului;
- categorii de Date cu Caracter Personal afectate;
- categorii aproximative și număr de Operatori de Date și înregistrări;
- consecințe probabile;
- măsurile luate sau propuse;
- acțiuni de atenuare; și
- un punct de contact pentru informații suplimentare.
Informațiile pot fi furnizate în etape pe măsură ce devin disponibile.
Grouper va oferi colaborare rezonabilă pentru a permite Clientului să îndeplinească obligațiile de notificare reglementare și pentru subiectul datelor.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper poate numi Sub-procesatori și furnizori de servicii selectați cu grijă, dacă este necesar, pentru a furniza, găzdui, securiza, sprijini, monitoriza sau îmbunătăți serviciile.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
În cazul în care termenii clientului aplicabili prevăd o autorizare scrisă generală, Clienții vor primi notificare în avans cu privire la noi Sub-procesatori semnificativi și o oportunitate de a obiecta pe motive rezonabile de protecție a datelor.
Pentru BambooHR subcontractori, DPA-ul actual BambooHR prevede o notificare prealabilă de cel puțin 30 de zile înaintea unui nou Subcontractor care va Prelucra Datele cu Caracter Personal ale Clientului.
Programul 4 oferă transparență privind categoriile principale de furnizori și furnizorii numiți identificați în materialele de serviciu ale guvernanței.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
Prelucrarea BambooHR este reglementată de termenii contractuali și de protecție a datelor aplicabili, inclusiv DPA-ul său, măsurile de securitate, aranjamentele privind subprocessori și garanțiile pentru transferurile internaționale.
Grouper rămâne responsabil pentru propriile sale obligații conform Legii aplicabile privind protecția datelor și acordului aplicabil cu clientul. În cazul în care BambooHR prelucrează Date cu Caracter Personal în sprijinul mediului european al clienților Grouper, se aplică cerințele contractuale, de securitate și de rezidență a datelor aplicabile.
Pentru serviciul european contractat al lui Grouper, Datele Personale ale Clientului sunt concepute să fie stocate în SEE, cu găzduire principală în Irlanda prin Amazon Web Services (AWS). Prelucrarea autorizată sau accesul de la distanță din afara SEE poate constitui un Transfer Restricționat chiar și atunci când datele rămân stocate în Irlanda. Un astfel de acces este permis numai atunci când este legal, necesar și protejat prin garanții adecvate.
Exemple de scenarii excepționale includ:
- o urgență care afectează mediul centru de date din Irlanda sau continuitatea serviciului;
- o cerere de asistență sau întreținere care necesită acces autorizat din afara SEE, în conformitate cu aprobarea sau autorizarea contractuală a Clientului; și
- o cerere verificată a clientului pentru relocarea sau prelucrarea datelor în afara regiunii de găzduire europeană contractate.
Când are loc o Transferare Restricționată, Grouper și/sau furnizorul tehnologic relevant vor utiliza un mecanism recunoscut legal, cum ar fi:
- o decizie de adecvare;
- Clauzele contractuale standard ale Uniunii Europene;
- Aditamentul pentru transferuri internaționale de date al Regatului Unit unde este cazul;
- participarea la cadrul EU-US pentru protecția vieții private a datelor unde este legal disponibil și aplicabil;
- Reguli corporative obligatorii acolo unde este cazul; sau
- altă măsură de protecție validă recunoscută în temeiul legii aplicabile privind protecția datelor.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
Nimic din astfel de aranjamente cu acces excepțional nu modifică angajamentul Grouper că Datele Personale ale Clientului pentru serviciul european sunt stocate în cadrul SEE.
În cazul în care Clauzele contractuale standard ale UE sunt necesare, ele sunt încorporate în forma lor oficial aprobată fără modificări ale limbajului obligatoriu. Pentru transferuri Controller-to-Processor, Modulul doi va fi în mod normal aplicabil, cu excepția cazului în care un alt modul este cerut de rolurile părților.
Atunci când Irlanda este aleasă ca dreptul UE aplicabil și forumul, părțile convin să se adreseze curților din Irlanda, așa cum este prevăzut în anexele SCC aplicabile.
Pentru transferuri supuse legii de protecție a datelor din Regatul Unit, SCC-urile UE se vor aplica împreună cu Addendum-ul internațional de transfer de date al Regatului Unit curent sau cu un alt mecanism de transfer recunoscut legal în Regatul Unit.
Supplementary measures may include:
- criptare;
- restricții de acces;
- reglări de gestionare a cheilor;
- minimizare;
- înregistrare;
- limitări contractuale privind transferul ulterior;
- proceduri de revizuire la cererea autorității guvernamentale;
- masuri de transparenta; şi
- suspendarea sau încetarea transferurilor în cazul în care nu se poate asigura un nivel adecvat de protecție.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
Cereri ilegale sau disproporționate vor fi contestate dacă există motive rezonabile și temei legal pentru aceasta.
Divulgarea va fi limitată la minimumul cerut de lege.
Clientul va fi notificat atunci când este permis legal. În cazul în care notificarea este interzisă, se vor depune eforturi rezonabile pentru a obține permisiunea de a oferi notificare atunci când este cazul.
Sunt menținute înregistrări ale cererii și răspunsului, conform cerințelor legale și mecanismului de transfer aplicabil.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- acces;
- rectificare;
- ștergere;
- restricționarea Prelucrării;
- portabilitatea datelor;
- oiectie;
- retragerea consimământului;
- drepturi referitoare la decizia automată și profilare;
- the right to complain to a competent supervisory authority.
În cazul în care Grouper acționează ca Persoană Împuternicită de Operator, solicitările privind Datele cu Caracter Personal ale Clientului ar trebui, de regulă, adresate Clientului relevant în calitate de Operator. Dacă Grouper primește o astfel de solicitare direct, Grouper va, cu excepția cazului în care este interzis din punct de vedere legal, să transmită sau să notifice Clientul cu privire la solicitare și nu va răspunde pe fond decât în baza instrucțiunilor documentate ale Clientului sau atunci când legea impune acest lucru. Grouper va oferi asistență rezonabilă pentru a permite Clientului să își îndeplinească obligațiile.
Ținând cont de natura Prelucrării și de informațiile disponibile Grouper, Grouper va oferi asistență rezonabilă în evaluările impactului protecției datelor și, unde este necesar, consultarea prealabilă cu o autoritate de supraveghere competentă.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- documentația de securitate;
- politici;
- informații de conformitate;
- informații de audit;
- rapoarte de asigurare independente;
- certificări relevante;
- reacții la chestionare de securitate rezonabile.
Când este necesar legal sau contractual și dovezile documentare rezonabile sunt insuficiente, Clienții pot exercita drepturile de audit aplicabile cu notificare rezonabilă, cu păstrarea confidențialității, securității, fără interferențe și protecții pentru informațiile altor clienți. Cu excepția cazului în care este necesar din cauza unui Incident de securitate, cerință de reglementare sau dovezi rezonabile de non-conformitate materială, auditurile formale ar trebui în mod normal să fie limitate la o singură dată în orice perioadă de douăsprezece luni. Clienții suportă în general propriile costuri de audit, cu excepția cazului în care legea sau contractul prevede altfel.
Grouper reține Date cu Caracter Personal numai atât timp cât este rezonabil necesar scopului relevant sau cât este cerut de lege.
Atunci când Grouper acționează ca Procesator, menținerea este determinată în principal de:
- instrucțiuni documentate ale clientului;
- contractul aplicabil al clientului;
- durata serviciilor;
- cerințe de asistență;
- obligații legale;
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
Clienții sunt responsabili pentru menținerea Datelor cu Caracter Personal corecte. În cazul în care Grouper sau un procesator devine conștient de faptul că datele sunt incorecte sau învechite în circumstanțe care necesită acțiune, Grouper va coopera cu Clientul pentru a corecta sau șterge datele în conformitate cu instrucțiunile documentate și Legea aplicabilă privind protecția datelor.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
Unele caracteristici BambooHR pot utiliza inteligență artificială sau învățare automată. Funcționalitatea AI este opțională când este identificată ca atare și poate fi supusă unor termeni AI separat BambooHR.
Materialele actuale de servicii BambooHR AI identifică furnizori terți de AI, inclusiv OpenAI, Cohere și Anthropic/Claude, iar materialele actuale ale subcontractanților pot identifica furnizori suplimentari de AI sau de procesare a documentelor (cum ar fi LlamaIndex), în funcție de configurația caracteristicilor.
Customers remain responsible for:
- evaluarea dacă utilizarea AI este adecvată pentru organizația lor;
- stabilirea bazei legale;
- asigurarea transparenței necesare subiecților datelor;
- obținerea consimțământului acolo unde este necesar;
- implementarea supravegherii umane suficiente;
- evaluarea riscurilor de părtinire și echitate; și
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
Unde BambooHR folosește Datele Clienților, intrări sau ieșiri pentru a ajusta fin sau antrena un model specific clientului, prevederile aplicabile ale termenilor BambooHR AI stabilesc că o astfel de utilizare este pentru a oferi caracteristicile AI acelui Client și că modelul antrenat de client nu este utilizat în altfel pentru a oferi servicii altor clienți.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
Accesul programatic trebuie să utilizeze metode de autentificare acceptate și nu trebuie să exposing Datele Clienților sau credentialele către părți neautorizate.
Integrările nu trebuie să utilizeze Datele Clienților dincolo de scopul documentat și autorizat.
Când un furnizor de integrare procesează Date cu Caracter Personal în numele Clientului sau Grouper, termenele aferente ale unui procesor sau sub-procesor și măsurile de transfer trebuie să se aplice.
Când Grouper acționează ca Operator în legătură cu propriile sale activități de afaceri, putem procesa informații de contact de afaceri referitoare la:
- posibili clienți;
- contacte de clienți;
- furnizori;
- parteneri;
- consilieri profesioniști;
- participanți la evenimente;
- vizitatori ai site-ului; și
- persoane care contactează Grouper.
Informațiile pot include nume, organizație, rol, detalii de contact de afaceri, comunicări, informații despre solicitare, adresă IP, informații despre browser și dispozitiv, pagini vizitate și date tehnice similare.
Procesăm astfel de informații pentru a răspunde solicitărilor, a administra relațiile, a furniza serviciile solicitate, a menține securitatea, a îndeplini contracte, a respecta legea și, unde este permis, a trimite comunicări de afaceri relevante. Destinatarilor li se poate renunța la marketingul direct în orice moment. Comunicațiile operaționale, contractuale, de securitate și de serviciu pentru clienți nu sunt marketing.
Website-urile pot folosi cookie-uri esențiale, funcționale și de analiză, precum și tehnologii similare. În cazul în care este obligatoriu prin lege, cookie-urile non-esențiale vor fi utilizate doar după un consimțământ adecvat iar utilizatorilor li se vor oferi controale pentru gestionarea preferințelor.
Grouper seeks to embed privacy into service design and operations. This includes:
- Opțiuni europene de rezidență a datelor;
- minimizarea datelor;
- acces cu minim privilegiu;
- autentificare adecvată;
- criptare;
- înregistrarea accesului;
- permisiuni bazate pe roluri;
- transfer securizat;
- Controlul sub-procesatorilor;
- măsuri de păstrare;
- procese de răspuns la incident;
- antrenament în domeniul confidențialității și securității;
- testarea securității;
- sprijin DPIA; și
- răspundere documentată.
Grouper va menține evidențe și măsuri de guvernanță adecvate rolului său și va coopera de bunăvoie cu Clienții, Subiectii datelor și autoritățile de supraveghere competente.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
În cazul în care Grouper procesează Date Caractere ale Clientului în calitate de Procesator, Partea B și acordul aplicabil cu clientul reglează relația contractuală de Procesare. În caz de inconsecvență referitoare la Datele Personale ale Clientului, se aplică următoarea ordine de precedență: legea aplicabilă obligatorie privind protecția datelor; SCC-urile aplicabile, Addendum-ul UK sau alt mecanism obligatoriu de transfer; Acordul de Procesare a Datelor; prevederile de protecția datelor ale Acordului; iar restul Acordului.
propunerea europeană BambooHR a Grouper este construită în jurul a trei principii:
rezidența europeană a datelor.
Datele Personale ale Clientului sunt găzduite și stocate în EEA, cu găzduire primară în Irlanda prin Amazon Web Services (AWS).
Standarde de confidențialitate europene.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
Serviciu și asistență europeană.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
Scopul nostru este să permitem organizațiilor să utilizeze BambooHR în timp ce menținem standardele de confidențialitate, guvernanță și rezidență a datelor așteptate de clienții europeni.
Întrebările referitoare la această Politică de confidențialitate, la activitățile de Prelucrare ale Grouper, la drepturile persoanelor vizate, la securitate sau la aranjamentele noastre de reședință a datelor în Europa pot fi trimise prin canalele desemnate de confidențialitate sau asistență pentru clienți ale Grouper.
Grouper Technology Limited poate fi contactată, de asemenea, la 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.
În cazul în care Datele cu caracter personal vizate sunt incluse în contul BambooHR al angajatorului, persoanele ar trebui în mod normal să contacteze mai întâi acel angajator, deoarece acea organizație va fi în general Operatorul responsabil pentru determinarea modului în care informațiile sunt utilizate.
Acest Memorandum de Prelucrare a Datelor („DPA”) face parte din contract, formularul de comandă, declarația de lucru sau alt contract care guvernează furnizarea serviciilor Grouper’s BambooHR-relate între Client și Grouper Technology Limited.
În furnizarea Serviciilor, Grouper poate Prelucra Datele Personale ale Clientului în numele Clientului. Acest DPA stabilește obligațiile fiecărei părți în ceea ce privește acea Prelucrare.
Acest DPA se aplică în măsura în care Grouper procesează Datele cu caracter personal ale Clientului în numele Clientului iar o astfel de Procesare este supusă legilor aplicabile privind protecția datelor. Îl completează și face parte din Acord; termenii cu majusculă care nu sunt definiți aici au înțelesul acordat în Acord.
Pentru acest DPA:
Datele cu caracter personal ale Clientului
Datele personale controlate de către Client sau de o filială a Clientului și procesate de Grouper în legătură cu Serviciile.
Transfer restricționat
Un transfer de Date cu caracter personal care necesită un mecanism de transfer legal în temeiul legilor aplicabile privind protecția datelor.
Clauze contractuale standard (SCC)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
Un terț desemnat de sau în numele Grouper pentru a procesa Datele cu caracter personal ale Clientului.
Furnizor de tehnologie
BambooHR LLC și, după caz, entități afiliate BambooHR care furnizează platforma tehnică HR subiacente.
În lipsa unui acord scris contrar, Clientul operează ca Operator iar Grouper operează ca Procesator. În cazul în care Clientul acționează ca Procesator pentru un alt Operator, Grouper acționează ca Sub-procesator în măsura în care este aplicabil.
Grouper va procesa Datele cu caracter personal ale Clientului doar pe baza instrucțiunilor scrise ale Clientului și numai atât cât este necesar pentru a furniza, întreține, securiza și sprijini Serviciile, cu condiția să nu fie necesar să proceseze datele conform legii aplicabile.
Grouper va informa prompt Clientul dacă, în opinia sa rezonabilă, o instrucțiune încalcă legea aplicabilă privind protecția datelor și poate suspenda Procesarea afectată până la rezolvare.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper va asigura că Persoanele Oricât de autorizate sunt supuse obligațiilor corespunzătoare de confidențialitate, accesează Datele cu caracter personal ale Clientului doar dacă este rezonabil necesar, beneficiază de instruire adecvată privind confidențialitatea și securitatea și Procesează Datele cu caracter personal ale Clientului numai în conformitate cu acest DPA și instrucțiunile scrise ale Clientului. Accesul va fi limitat conform principiilor de minim privilegiu și necesitate de cunoaștere.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
Domeniile minime de control sunt descrise în Anexa 2. Grouper poate actualiza acești măsuri cu condiția ca modificările să nu diminueze în mod semnificativ nivelul general de protecție acordat Datelor cu caracter personal ale Clientului.
Grouper va informa Clientul cât mai curând cu putință și, în cazul în care se aplică angajamentul contractual de 48 de ore, în niciun caz nu mai târziu de 48 de ore de la luarea la cunoștință a unui Incident de Securitate real sau suspectat care afectează Datele cu caracter personal ale Clientului.
Informațiile pot fi furnizate în etape pe măsură ce devin disponibile. Grouper va oferi cooperarea rezonabilă necesară pentru ca Clientul să se conformeze obligațiilor de notificare către autoritățile de supraveghere și persoanele vizate afectate.
Clientul acordă Grouper autorizație scrisă generală pentru a angaja Sub-procesatori necesari pentru a presta Serviciile.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
În cazul în care se aplică DPA-ul de bază BambooHR, BambooHR furnizează în prezent o notificare scrisă în prealabil de cel puțin 30 de zile privind un Subcontractor nou care va Prelucra Date Personale ale Clientului.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Dacă Grouper primește o cerere directă referitoare la Datele cu caracter personal ale Clientului, Grouper va face prompt referire sau notificare Clientului și nu va răspunde substanțial decât pe baza instrucțiunilor documentate sau în cazul în care este cerut prin lege.
Grouper va oferi asistență rezonabilă, luând în considerare natura Prelucrării și informațiile disponibile, cu privire la Evaluările impactului asupra protecției datelor, consultarea prealabilă cu autoritățile de supraveghere și solicitările sau investigațiile rezonabile ale unei autorități de supraveghere competente referitoare la Servicii.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
În măsura admisă de lege, Grouper va revizui cererile oficiale, obligatorii, ale autorităților publice pentru Datele cu caracter personal ale Clientului, va contesta cereri nelegale sau disproporționate când există motive întemeiate, va încerca să limiteze dezvăluirea la minimul necesar din punct de vedere legal, va notifica Clientul acolo unde este permis legal și va păstra evidențe adecvate.
La cererea Clientului, sau la încetarea sau expirarea Serviciilor, Grouper va, la opțiunea Clientului și sub rezerva fezabilității tehnice și a Acordului, returna sau șterge în siguranță Datele Personale ale Clientului și va solicita subprocesoarelor relevante să facă același lucru. În cazul în care legea impune păstrarea, Grouper va izola și proteja datele reținute și le va prelucra numai în mod legal.
Clientul garantează că deține drepturile, permisiunile, notificările, temeiurile legale și consimțămintele necesare pentru a furniza Datele cu caracter personal pentru Procesare; că instrucțiunile sale respectă Legea aplicabilă privind protecția datelor; că nu va instrui Prelucrare nelegală; și că va configura și utiliza Serviciile în mod securizat și va menține controalele adecvate asupra conturilor de utilizator, acreditărilor și integrărilor.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
Acest Acord DPA intră în vigoare când Clientul devine legat de el și continuă atât timp cât Grouper Procesează Datele Personale ale Clientului în numele Clientului. Obligațiile care, prin natura lor sau conform legii, trebuie să continue în timp ce datele sunt păstrate supraviețuiesc expirării sau rezilierii.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
În caz de neconcordanță privind Datele Personale ale Clientului, se aplică următoarea ordine de precedență: Legea de protecție a datelor obligatorie; Clauze contractuale standard (SCC) aplicabile, Addendum-ul UK sau alt mecanism obligatoriu de transfer; acest DPA; prevederi de protecție a datelor din Acord; iar restul Acordului.
Operator / Exportator de Date
The Customer identified in the applicable Agreement or Order Form.
Operator / Importator de Date
Grouper Technology Limited, Etajul 3, 22 Ely Place, Dublin, D02 AH73, Irlanda.
Furnizor de tehnologie
BambooHR LLC și entitățile BambooHR aplicabile care furnizează platforma HRIS de bază.
Obiectul
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
Natura Prelucrării
Colectare, primire, înregistrare, organizare, structurare, migrare, găzduire, stocare, recuperare, consultare, utilizare, transmitere, disponibilizare, restricționare, suport pentru acces, ștergere și alte Prelucrări necesare în mod rezonabil pentru a furniza Serviciile.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
Pentru durata Serviciilor și orice perioadă ulterioară necesară pentru a returna sau șterge Datele Personale ale Clientului sau pentru a respecta legea.
Subiecți ai Datelor
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
Date Personale
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
Date Sensibile
La alegerea Clientului, poate include informații despre sănătate și dizabilități și alte date speciale sau sensibile permise de Servicii.
Stocare Europeană Primară
Irlanda / EEA prin Amazon Web Services (AWS) pentru Clienții care achiziționează serviciul de rezidență a datelor din Europa.
Autoritatea de Supraveghere Competentă
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper menține măsuri tehnice și organizatorice în domeniile minime de control următoare:
1. Guvernanța Securității Informațiilor
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. Securitatea Personalului
Obligații de confidențialitate, screening pe baza rolului, acolo unde este legal, conștientizarea securității și instruire în confidențialitate, și controale disciplinare pentru acces neautorizat.
3. Securitatea Fizică
Acces restrâns la facilități și infrastructură relevante; trasee de acces controlate; autorizații de acces; monitorizare fizică și alte măsuri de protecție adecvate mediului de găzduire.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. Controlul Accesului la Date
Controale proiectate astfel încât utilizatorii autorizați să poată accesa doar datele din cadrul permisiunilor lor; înregistrarea și monitorizarea accesului; eliberarea datelor doar către persoane autorizate.
6. Criptare și Pseudonimizare
Criptare adecvată a Datelor Personale în tranzit și în repaus; pseudonimizare acolo unde este adecvată scopului prelucrării.
7. Securitatea Rețelei și a Transmiterii
Firewall-uri, porți securizate, canale de comunicare securizate, TLS/SFTP sau mecanisme de transfer protejate similare și controale împotriva interceptării sau modificării neautorizate.
8. Înregistrarea și Monitorizarea
Înregistrarea activităților relevante ale sistemului, administrative și de acces; monitorizare pentru evenimente suspecte; păstrarea informațiilor de audit adecvate riscului.
9. Controlul Intrărilor și Schimbărilor
Controale pentru a identifica cine a introdus, modificat sau șters datele; autentificarea utilizatorilor și sistemelor autorizați; practici documentate de gestionare a schimbărilor.
10. Testarea vulnerabilităților și a securității
Procese pentru identificarea, evaluarea și remedierea vulnerabilităților; teste periodice de penetrare sau securitate; evaluări regulate și evaluarea eficacității controalelor.
11. Disponibilitate, Backup și Recuperare
Redundanța infrastructurii, backup, capacitate de restaurare, controale de disponibilitate și protecție împotriva pierderii sau distrugerii accidentale.
12. Continuitatea Afacerii și Recuperarea în Caz de Dezastru
Planuri documentate de continuitate și recuperare menite să restabilească disponibilitatea și accesul în timp util în urma unei perturbări sau Incident de Securitate.
13. Separarea Datelor
Separarea logică sau la nivel de aplicație între clienți și între scopurile de prelucrare; controale menite să prevină accesul neautorizat între clienți.
14. Dezvoltare În Siguranță
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
Diligență, obligații scrise privind protecția datelor, revizuire de securitate, măsuri de transfer și supraveghere continuă adecvate prelucrării.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
Transferuri Restricționate UE
În cazul în care SCC-urile UE sunt necesare, SCC-urile oficiale ale Comisiei Europene sunt încorporate prin referință fără modificări ale textului obligatoriu. Prinreiuri, Clientul este Exportatorul de Date, Grouper și/sau Furnizorul de Tehnologie aplicabil este Importatorul de Date, iar Modulul al Doilea se aplică transferurilor de la Ajutorul Operatorului la Procesator.
Transferuri restricționate în Marea Britanie
Pentru transferuri supuse legii de protecție a datelor din Regatul Unit, SCC-urile UE se vor aplica împreună cu Addendum-ul internațional de transfer de date al Regatului Unit curent sau cu un alt mecanism de transfer recunoscut legal în Regatul Unit.
Transferuri elvețiene
Pentru transferuri supuse legii elvețiene privind protecția datelor, SCC-urile vor fi interpretate și adaptate conform necesităților potrivite în baza legii elvețiene aplicabile, inclusiv referințe adecvate la autoritatea de supraveghere elvețiană și data subjects elvețieni.
Cadrul UE-SUA privind protecția datelor
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
Scenarii de acces excepțional pentru clienții europeni
Accesul excepțional autorizat în afara ÅE (EEA) poate avea loc doar în următoarele circumstanțe:
- o urgență care afectează mediul centru de date din Irlanda sau continuitatea serviciului;
- o cerere de suport sau întreținere care necesită acces special autorizat în afara EEA, sub rezerva aprobării clientului sau autorizării contractuale; și
- o cerere verified a clientului pentru procesare sau găzduire în afara regiunii europene.
Furnizorii preciși utilizati variază în funcție de produs, funcționalitate, cale de suport și configurația clientului. Registrul curent al subproducătorilor în direct ținut de Grouper și/sau BambooHR este cel care controlează livrarea activă a serviciilor.
Următorii furnizori-cheie au fost identificați în materialele de guvernanță ale serviciilor. Un furnizor listat aici nu procesează neapărat datele personale ale fiecărui client sau ale fiecărei implementări.
BambooHR LLC
Furnizor de tehnologie; întreținerea HRIS, găzduire și suport. Locație: Statele Unite / regiuni de servicii inclusiv Europa.
Amazon Web Services (AWS)
Infrastructură principală de găzduire în cloud; găzduire regională europeană în Irlanda. Locație: Irlanda / Europa și alte regiuni în funcție de configurația serviciului.
Anthropic / Claude
Procesare AI / model de limbaj. Locație: Statele Unite.
Cohere
API de model de limbaj / procesare AI. Locație: Statele Unite.
OpenAI
API de model de limbaj / procesare AI. Locație: Statele Unite.
LlamaIndex / LlamaParse
Analiza opțională a documentelor asociată cu funcționalitatea AI. Locație: Statele Unite.
Atlas MongoDB
Stocare de date sprijinind servicii selectate / funcționalitate legată de AI. Locație: Statele Unite.
Gainsight
Gestionarea relației cu clientul / servicii CRM.
Salesforce
Platformă CRM.
Cloudflare
Firewall de aplicație / securitate web.
Datadog
Infrastructură și monitorizare a aplicațiilor.
Microsoft / Google Workspace
Colaborare, comunicare și stocare de documente în funcție de configurația curentă.
Mailgun
Comunicări între aplicații.
Snowflake
Analiză de date.
Twilio
MFA / livrarea SMS.
Furnizori suplimentari
Furnizori suplimentari identificați în materialele de serviciu curente pot include Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike și alții. Clienții ar trebui să consulte lista de subcontractori live a BambooHR și informațiile actuale despre subprocesorul Grouper pentru cele mai recente detalii.
1. Domeniu de aplicare
Acest program se aplică în cazul în care Clientul activează sau utilizează funcționalitatea de inteligență artificială sau învățare automată BambooHR în legătură cu serviciile Grouper-sprijinite.
2. Furnizori AI
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. Intrări și ieșiri
Indicațiile, instrucțiunile sau datele furnizate de client către funcționalitatea AI pot constitui „Intrări” și răspunsurile generate pot constitui „Ieșiri”. În funcție de funcționalitate, Intrările sau Ieșirile pot include Datele Clientului. Ieșirile pot să nu fie unice și pot fi similare cu ieșirile produse pentru alți utilizatori.
4. Responsabilitățile clientului și supravegherea umană
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. Restricții privind datele sensibile și reglementate
În situații în care termenii AI aplicați interzic, clientul nu trebuie să transmite informații sensibile sau reglementate către funcționalitățile AI, inclusiv informații despre sănătate, genetice sau biometrice, numere de identificare emise de guvern, sau informații financiare personale sau conturi bancare. Clienții ar trebui să minimizeze Datele Personale în solicitări.
6. Precizie, părtinire și echitate
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
În situația în care termenii AI aplicabili BambooHR permit utilizarea Datelor de Performanță și a Feedback-ului pentru îmbunătățirea funcționalității AI, astfel de utilizare este guvernată de acei termeni. În cazul în care Datele Clientului sunt utilizate pentru ajustarea fină a unui model specific clientului, modelul rezultat este folosit pentru a oferi funcționalități AI acelui Client și nu este altfel folosit pentru a oferi servicii altor clienți.
8. Procesare internațională
Furnizorii de AI pot Prelucra Intrări autorizate sau Date Personale aferente în afara SEE. O astfel de Prelucrare este supusă măsurilor de protecție a transferului din acest DPA și nu modifică locația regiunii principale de stocare HRIS a Clientului. Clienții ar trebui să evalueze dacă utilizarea opțională a AI este compatibilă cu rezidența proprie, consiliul lucrătorilor, reglementările muncii și cerințele de risc înainte de a o activa.
Întrebări despre această politică de confidențialitate sau despre drepturile dvs. de date?
Contactați-ne
