Legal
Integritetspolicy | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
Senast uppdaterad: 16 augusti 2026
Grouper är engagerat i att skydda personuppgifter och upprätthålla höga standarder för integritet, säkerhet och regulatorisk efterlevnad. Dataskydd behandlas som ett kärnmässigt operativt och avtalsmässigt ansvar, inte som en eftertanke. Vi utformar vår tjänsteleverans, åtkomstkontroller, supportprocesser och leverantörsstyrning för att spegla ansvarighet, integritet, konfidentialitet och transparens-principerna i GDPR.
Denna sekretesspolicy förklarar hur Grouper Technology Limited (“Grouper”, “vi”, “oss” eller “vårt”) samlar in, använder, får tillgång till, värdar, lagrar, skyddar, överför och annars behandlar personuppgifter i samband med de tjänster vi tillhandahåller, inklusive vår roll som europeisk partner till BambooHR.
Grouper stödjer organisationer i Irland, Storbritannien, Europa och andra regioner med implementering, administration och användning av BambooHR HRIS-plattform och relaterad HR-teknik.
Vårt europeiska tjänstemodell är utformad kring en tydlig princip om europeisk datalagring. Kundpersonuppgifter som hanteras genom Grouper’s europeiska BambooHR-tjänst lagras och förvaras inom Europeiska ekonomiska området (EES), med primär hosting i Irland.
Denna sekretesspolicy gäller för personuppgifter som behandlas i samband med:
- BambooHR implementering och onboarding;
- HRIS-konfiguration;
- kontoadministration;
- kundsupport;
- teknisk support;
- integrationsstöd;
- datamigration;
- kundframgång;
- utbildning;
- yrkesmässiga tjänster;
- säkerhet och systemadministration;
- kundkommunikationer;
- försäljning och demonstrationer;
- Grouper webbplatser och digitala tjänster; och
- våra allmänna affärsaktiviteter.
Grouper Technology Limited är ett irländskt företag med registrerat säte på 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Irland.
BambooHR tillhandahåller det underliggande HR-informationssystemet och relaterade produktfunktioner. Grouper tillhandahåller europeisk implementering, migrering, konfiguration, utbildning, kundframgång, support, tjänstehantering och relaterade professionella tjänster. Beroende på kundens prenumeration och konfiguration kan BambooHR HRIS-plattformen stödja anställdas register, onboarding, rekrytering, tid och närvaro, ledighetsadministration, prestationsbedömning, kompensation, förmåner, lönefunktioner, rapportering, analys, integrationer, API:er och artificiell intelligens-funktioner.
Beroende på vilka tjänster som köpts av en kund kan Grouper tillhandahålla:
- BambooHR implementering;
- onboarding;
- konfiguration;
- kontoetablering;
- migreringshjälp;
- integratingstjänster;
- teknisk support;
- HRIS-stöd;
- utbildning;
- kundframgångstjänster;
- tjänsteadministration;
- felsökning; och
- relaterade professionella tjänster.
Den exakta data-skyddsrollen för Grouper beror på den särskilda behandlingsaktiviteten.
När Grouper fastställer ändamålen och medlen för Bearbetning — till exempel i vissa webbplats-, försäljnings-, affärskontakt-, säkerhets- eller företagsadministrationsaktiviteter — fungerar Grouper som en Behandlare.
När Grouper Bearbetar Kundens Personuppgifter uteslutande å kundens vägnar och i enlighet med den kundens dokumenterade instruktioner, agerar Grouper som Behandlare.
Där kunden själv agerar som behandlare för en annan ansvarig, kan Grouper agera som underbehandlare i den mån det är tillämpligt.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 Kärnresidensåtagande i Europa
För kunder som köper Grouper’s europeiska BambooHR-tjänst med EES-datalagring, Kundens Personuppgifter som utgör en del av kärnan HRIS-produktionen miljö lagras och förvaras inom EES, med primär hostingplats i Irland.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 Lagring mot åtkomst
Dataresidens beskriver var kundens personuppgifter lagras. Det innebär inte att ingen auktoriserad support eller teknisk åtkomst någonsin kan ske från ett annat land.
Särskild åtkomst utanför EES får endast ske där det är nödvändigt, auktoriserat och lagligt skyddat enligt avsnitten 17 och 18 i denna policy.
4.3 Säkerhetskopior, motståndskraft och katastrofåterställning
Åtkommen, motstånds- och katastrofåterställningsarrangemang är utformade för att bevara konfidentialitet, integritet och tillgänglighet samt förbli i överensstämmelse med kundens regionala hostingåtaganden.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 Ingen ordinarie flyttning utanför EEA
Grouper använder inte exceptionell supportåtkomst som mekanism för rutinmässig flyttning av europeiska kunddata.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
"Tillämplig dataskyddslagstiftning" innebär all lagstiftning och reglering inom dataskydd, integritet och datasäkerhet som är tillämplig för Bearbetningen, inklusive där det är relevant:
- Förordning (EU) 2016/679 — allmänna dataskyddsförordningen (GDPR);
- den irländska Data Protection Act 2018;
- sådana irländska ePrivacy- och elektroniska kommunikationsregler;
- den brittiska GDPR och UK Data Protection Act 2018 där tillämpligt;
- gällande schweizisk dataskyddslagstiftning där tillämpligt;
- gällande nationell lagstiftning som genomför europeiska integritetskrav;
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
informationen som behandlas beror på de Tjänster som Kunden väljer och de uppgifter som Kunden väljer att lägga i HR-miljön.
6.1 Employee and Workforce Information
Personuppgifter kan inkludera:
- namn och anställdas identifikationsnummer;
- fotografier där sådana tillhandahålls;
- hem- eller arbetskontaktuppgifter;
- födelsedatum, kön och demografisk information där det tillhandahålls;
- civilstånd eller familjeinformation där det tillhandahålls;
- nödkontakter och telefonnummer;
- akademiska och yrkesmässiga kvalifikationer;
- CV- eller meritförteckningsinformation, anställningshistoria och språklig kompetens;
- arbets titel, lönespann, avdelning, plats, rapporteringslinjer och teamtillhörighet;
- anställnings- och uppsägningsdatum, arbetstider och avtalsdetaljer;
- prestation, utvärdering, disciplin och arbetslivshistorik;
- förmåner, försäkring, företags-tillgångar och utbildningsinformation; och
- ledig-, närvaro- och frånvarouppgifter.
6.2 Lön- och kompensationsinformation
När relevanta tjänster används kan Personuppgifter inkludera:
- lön, ersättning och bonusar;
- skatte- och socialförsäkringsinformation;
- bank- och betalningsuppgifter;
- pensionsinformation;
- aktieoptioner och andra förmåner; och
- annat löne-relaterat information.
6.3 Rekrytering, kandidat- och referensuppgifter
For candidates, prospective employees and referees, information may include:
- identitet och kontaktuppgifter;
- CV:er, meritförteckningar, anställningshistoria och kvalifikationer;
- ansöknings-, intervju- och rekryteringsanteckningar;
- kandidatkommunikation och rekryteringsstatus;
- föreslagen kompensation; och
- referenters namn, kontaktuppgifter och professionell relation; och
- information i referenser.
6.4 Särskild kategori och känsliga uppgifter
Beroende på en kunds användning av BambooHR HRIS-plattform kan tjänsterna innehålla hälsouppgifter eller funktionsnedsättningar och andra särskilda eller känsliga personuppgifter.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
Kunder bör inte lägga känslig information i fritextfält eller AI-funktionen om det inte är nödvändigt, lagligt och tillåtet enligt relevanta prisvillkor.
Personuppgifter som behandlas i samband med Grouper’s tjänster kan relatera till:
- nuvarande, tidigare, potentiella och framtida anställda;
- kandidater och sökande;
- entreprenörer, konsulter, agenter och oberoende entreprenörer;
- byrå-, tillfälliga- och oklara arbetare;
- praktikanter och volontärer;
- anställda anhöriga, beneficiaries och nödkontakter;
- referender och referensprovidrar;
- kundadministratörer och auktoriserade användare; och
- andra personer vars personuppgifter en kund lagligen lämnar till tjänsterna.
Personuppgifter kan erhållas:
- direkt från den enskilde;
- från individens arbetsgivare eller potentiella arbetsgivare;
- från kundadministratörer och auktoriserade användare;
- under implementering, konfiguration och dataflytt;
- genom auktoriserade integrationer eller API:er;
- genom supportförfrågningar och felsökning;
- genom BambooHR HRIS-plattformen eller ett annat system som Kunden väljer;
- genom rekryteringsprocesser;
- från offentliga källor där de får användas lagenligt;
- från andra lagligen auktoriserade källor av Kunden.
Grouper behandlar personuppgifter endast för angivna och rättsliga ändamål. Dessa kan inkludera:
- implementering och konfiguration av BambooHR HRIS-plattformen;
- värdskap eller underlättande av värdskap för kundens Personuppgifter;
- administration av konton och användarbehörigheter;
- underhåll och säkring av tjänsten;
- tillhandahållande av kund- och teknisk support;
- stöd för integrationer och migrationer;
- leverera utbildning och professionella tjänster;
- hantera prenumerationer och kundrelationer;
- upptäcka och utreda säkerhetshändelser;
- underhålla revisionsspår;
- förebygga bedrägeri eller missbruk;
- efterleva rättsliga förpliktelser; och
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
När supportpersonal får tillgång till Kundens Personuppgifter ska tillgången begränsas till den minsta information som skäligt behövs för stödet och måste utföras av auktoriserad personal under sekretess och åtkomstkontroller.
När Grouper agerar som behandlingsansvarig kan den tillämpliga rättsliga grunden inkludera:
10.1 Avtal
Behandling som är nödvändig för ingående eller fullgörande av ett avtal, eller för att vidta åtgärder före ingående av ett avtal på begäran av den fysiska personen.
10.2 Legitima intressen
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- tjänsteleverans;
- kundadministration;
- informationssäkerhet;
- bedrägeriförebyggande;
- affärskontinuitet;
- kundsupport; och
- relationship management.
10.3 Laglig förpliktelse
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 Samtycke
Där det är lämpligt kan behandlingen baseras på samtycke. Samtycke kan återkallas när som helst utan att påverka behandlingen som utförts före återkallelsen.
Där Kunden agerar som Behandlingsansvarig är Kunden ansvarig för:
- att fastställa ändamålen för vilka Personuppgifter behandlas;
- etablera lagliga grunder och särskilda kategorivillkor;
- att tillhandahålla erforderliga integritetsmeddelanden;
- att inhämta samtycke där det krävs;
- att säkerställa datans exakthet och kvalitet;
- att fastställa lämpliga arkiveringsperioder;
- att hantera auktoriserade användare och behörigheter;
- att använda Tjänsterna säkert; och
- att säkerställa att dess instruktioner till Grouper är lagliga.
Kunden får inte instruera Grouper att behandla Personuppgifter på ett sätt som kränker gällande dataskyddslagstiftning.
Grouper kommer att informera Kunden om instruktionen STRIDER mot gällande dataskyddslagstiftning och kan tillfälligt pausa den berörda behandlingen tills frågan är löst.
Grouper begränsar åtkomst till Kundens Personuppgifter till auktoriserade personer som skäligt behöver åtkomst för sina uppgifter. Personal ska följa lämpliga sekretessskyldigheter och få integritets- och säkerhetsutbildning som passar deras roll. Åtkomst regleras av principerna om minsta behörighet och de som behöver känna till.
Åtkomstkontroller inkluderar:
- identitets- och autentiseringskontroller;
- rollbaserade och befogenhetskontroller;
- administrativa konto-kontroller;
- konto livscykelhantering;
- åtkomstloggning och övervakning;
- periodisk åtkomstgranskning;
- sekretess och godtagbart användningskrav; och
- passande personal- säkerhet och utbildning.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
Åtgärder inkluderar:
- fysiska och logiska åtkomstkontroller;
- stark autentisering och lämpliga lösenordskontroller;
- kryptering under överföring och vila där det är lämpligt;
- pseudonymisering där det är lämpligt;
- nätverksbrandväggar, perimetersäkerhet och intrångsdetektion;
- loggning, övervakning och revisionsspår;
- sårbarhetshantering och säkerhetstestning;
- begränsad administrativ åtkomst;
- säker överföring, inklusive skyddade överföringskanaler;
- backup, redundans, återställning och motståndskraft;
- affärskontinuitet och katastrofåterställning;
- säker utveckling och förändringshantering;
- dataseparation mellan kunder och behandlingsändamål;
- incidentrespons-procedurer;
- personalens säkerhetsmedvetenhet och utbildning; och
- underleverantörers due diligence och säkerhetsstyrning.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
Där Grouper agerar som Processor och blir medveten om en faktisk eller misstänkt personuppgiftsincident som påverkar Kundens Personuppgifter, kommer Grouper att meddela den relevanta Kunden på så snabb tid som skäligt möjligt och under alla omständigheter inom 48 timmar från att ha blivit medveten om händelsen.
i den mån det är skäligt tillgängligt kommer meddelandet att inkludera:
- händelsens natur;
- kategorier av berörda personuppgifter;
- ungefärliga kategorier och antal registrerade och uppgifter;
- sannolika konsekvenser;
- åtgärder som vidtagits eller föreslagna;
- åtgärder för att mildra effekterna; och
- en kontaktpunkt för ytterligare information.
Informationen kan ges i faser när den blir tillgänglig.
Grouper kommer att tillhandahålla rimligt samarbete för att möjliggöra att Kunden uppfyller gälliga regler- och personuppgiftsmeddelandeåtaganden.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper kan utse noggrant utvaldaUnderleverantörer och tjänsteleverantörer där det är nödvändigt för att tillhandahålla, vara värd, säkra, stödja, övervaka eller förbättra Tjänsterna.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
Där tillämpade kundvillkor ger generell skriftlig auktorisation kommer kunder att få förhandsmeddelande om materiel nya Underleverantörer och möjlighet att invända av skälig dataskyddsskäl.
För BambooHR underleverantörer tillhandahåller nuvarande BambooHR DPA minst 30 dagars förhandsmeddelande om en ny underleverantör som kommer att Bearbeta Kundens Personuppgifter.
Schema 4 ger transparens om nyckelkategorier av leverantörer och namngivna leverantörer som identifierats i styrande tjänstmaterial.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
BambooHR ’s Bearbetning styrs av tillämpliga avtals- och dataskyddsvillkor, inklusive dess DPA, säkerhetsåtgärder, underleverantörsarrangemang och internationella överföringsskydd.
Grouper förblir ansvarig för sina egna skyldigheter enligt tillämplig dataskyddslagstiftning och den gällande kundavtalet. När BambooHR Bearbetar Personuppgifter i stöd för Grouper’s europeiska kundmiljö, gäller de tillämpliga kontraktsmässiga, säkerhets- och datalagringskraven.
För Grouper’s kontrakterade europeiska tjänst är Kundens Personuppgifter utformade för att lagras inom EES, med primär hosting i Irland via Amazon Web Services (AWS). Tillåten Bearbetning eller fjärråtkomst utanför EES kan utgöra en Begränsad överföring även om uppgifterna förblir lagrade i Irland. Sådan tillgång är tillåten endast när den är laglig, nödvändig och skyddas av lämpliga säkerhetsåtgärder.
Exempel på undantagssituationer inkluderar:
- en nödsituation som påverkar irländska datacenter-miljön eller tjänstekontinuitet;
- en support- eller underhållsförfrågan som kräver auktoriserad specialiståtkomst utanför EES, i enlighet med kundens gällande godkännande eller avtalsbehörighet; och
- en verifierad kundförfrågan att flytta eller på annat sätt behandla data utanför den avtalade europeiska hosting-regionen.
När en begränsad överföring uppstår kommer Grouper och/eller den relevanta teknologileverantören att använda ett rättsligt erkänt mekanism som:
- ett tillräcklighetsbeslut;
- Europeiska kommissionens standardavtalsklausuler;
- UK International Data Transfer Addendum där tillämpligt;
- deltagande i EU-US Data Privacy Framework där det är lagligen tillgängligt och tillämpligt;
- BINDING Corporate Rules där det är tillämpligt; eller
- en annan giltig skyddsåtgärd som erkänns enligt gällande dataskyddslagstiftning.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
Ingenting i sådana särskilda åtkomstarrangemang ändrar Grouper’s åtagande att Kundens Personuppgifter för den europeiska tjänsten lagras inom EEA.
Där EU:s standardavtalsklausuler krävs tillämpas de i officiellt godkänd form utan ändringar i tvingande ordalydelse. För överföringar Controller till Processor tillämpar normalt Modul Två om inte parternas roller kräver annan modul.
Där Irland väljs som tillämplig EU:s rätt och forum, samtycker parterna till domstolarna i Irland enligt det tillämpliga SCC-tillägget.
För överföringar som omfattas av brittisk dataskyddslagstiftning gäller EU:s SCC tillsammans med dåvarande brittiska International Data Transfer Addendum eller annan lagligen erkänd överföringsmekanism.
Supplementary measures may include:
- kryptering;
- åtkomstbegränsningar;
- nyckelhanteringskontroller;
- minimering;
- loggföring;
- avtalsslutande begränsningar för vidare överföring;
- regeringsbegäran om granskning;
- transparensåtgärder; och
- avsägning eller upphörande av överföringar där ett adekvat skyddsnivå inte kan säkerställas.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
Olagliga eller oproportionerliga begäranden kommer att överklagas när det finns rimliga skäl och rättslig grund för detta.
Upplysningar kommer att begränsas till vad som är minsta lagligen krävt.
Kunden kommer att informeras där det är lagligt tillåtet. Om meddelande är förbjudet görs rimliga ansträngningar att få tillstånd att lämna avisering när det är lämpligt.
Register över begäran och svar kommer att hållas enligt lag och den tillämpliga överföringsmekanismen.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- tillgång;
- rättelse;
- radering;
- Behandlingens begränsning;
- dataöverförbarhet;
- invändning;
- återkallande av samtycke;
- rättigheter relaterade till automatiserat beslutsfattande och profilering; och
- the right to complain to a competent supervisory authority.
När Grouper agerar som Processor bör begäranden som rör Kundens Personuppgifter normalt riktas till den relevanta Kunden som Behandlingsansvarig. Om Grouper får en sådan begäran direkt kommer Grouper, såvida det inte är lagligen förhindrat, att hänvisa eller meddela begäran till Kunden och kommer inte att svara materiellt utanför dokumenterade Kundinstruktioner eller där lag kräver det. Grouper kommer att tillhandahålla rimligt stöd för att möjliggöra att Kunden uppfyller sina skyldigheter.
Med hänsyn till behandlingsnaturens och den information som är tillgänglig för Grouper, kommer Grouper att tillhandahålla rimligt stöd vid Dataskyddsbedömningar och, där det krävs, föregående samråd med en kompetent tillsynsmyndighet.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- säkerhetsdokumentation;
- policyer;
- överensstämmelseinformation;
- revisionsinformation;
- oberoende försäkringsrapporter;
- relevanta certifieringar;
- svar på rimliga säkerhetsfrågeformulär.
Där lagligen eller avtalsskyldigt krävs och rimliga dokumentära bevis inte räcker, kan kunder utöva tillämpliga granskningsrättigheter efter rimlig förvarning, med sekretess, säkerhet, icke-interferens och skydd för andra kunders information. Förutom om det krävs på grund av en säkerhetsincident, regleringskrav eller rimliga bevis på materialisk bristande efterlevnad, bör formella revisioner normalt begränsas till en gång inom tolv månader. Kunder bär vanligtvis sina egna revisionskostnader om inte lag eller avtal föreskriver något annat.
Grouper behåller Personuppgifter endast så länge som det är rimligt nödvändigt för det relevanta ändamålet eller enligt lag.
Där Grouper agerar som Processor bestäms bevarande huvudsakligen av:
- dokumenterade Kundinstruktioner;
- den tillämpliga kundavtalet;
- varaktigheten för Tjänsterna;
- stödbehov;
- rättsliga skyldigheter; och
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
Kunder är ansvariga för att upprätthålla korrekta Kunduppgifter. När Grouper eller en behandlare blir medveten om att uppgifter är felaktiga eller föråldrade i omständigheter som kräver åtgärd, kommer Grouper att samarbeta med Kunden för att rätta till eller radera uppgifterna i enlighet med dokumenterade instruktioner och gällande dataskyddslagstiftning.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
Vissa BambooHR-funktioner kan använda artificiell intelligens eller maskininlärning. AI-funktionalitet är valfri där den identifieras som sådan och kan vara föremål för separata BambooHR AI-villkor.
Nuvarande BambooHR AI-tjänstematerial identifierar tredjeparts-AI-leverantörer inklusive OpenAI, Cohere och Anthropic/Claude, och nuvarande underleverantörsmaterial kan identifiera ytterligare AI- eller dokumentbehandlingsleverantörer (såsom LlamaIndex) beroende på funktionskonfiguration.
Customers remain responsible for:
- bedöma om användning av AI är lämplig för deras organisation;
- etablera en rättslig grund;
- ge nödvändig transparens till registrerade personer;
- att inhämta samtycke där det krävs;
- införa tillräcklig mänsklig övervakning;
- utvärdera risker för partiskhet och rättvisa; och
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
När BambooHR använder Kunddata, Input eller Output för att finjustera eller träna en kundspecifik modell, anger det tillämpliga BambooHR AI-villkor att sådan användning är för att tillhandahålla AI-funktionerna till den Kunden och att den resulterande kundtränade modellen inte används för att tillhandahålla tjänster till andra kunder.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
Programmatisk åtkomst bör använda stödda autentiseringsmetoder och får inte exponera Kunddata eller uppgifter för obehöriga parter.
Integrationer får inte använda Kunddata utöver det dokumenterade och auktoriserade ändamålet.
När en integrationsleverantör behandlar personuppgifter å kundens eller Grouper vägnar, ska lämpliga behandlar- eller underbehandlarvillkor och överföringsskydd tillämpas.
När Grouper agerar som Behandlingsansvarig i förhållande till sin egen affärsverksamhet, kan vi behandla affärskontaktuppgifter som gäller:
- potentiella kunder;
- kundkontakter;
- leverantörer;
- partner;
- yrkesrådgivare;
- evenemangsbesökare;
- webbplatsbesökare; och
- individer som kontaktar Grouper.
Informationen kan inkludera namn, organisation, roll, affärskontaktuppgifter, kommunikationer, förfrågningsinformation, IP-adress, webbläsar- och enhetsinformation, besökta sidor och liknande teknisk data.
Vi behandlar sådan information för att svara på förfrågningar, förvalta relationer, tillhandahålla begärda tjänster, upprätthålla säkerhet, fullfölja avtal, följa lagen och, där det är tillåtet, skicka relevanta affärsmeddelanden. Mottagare kan välja bort direktmarknadsföring när som helst. Operationella, avtals-, säkerhets- och kundtjänstkommunikation är inte marknadsföring.
Webbplatser kan använda nödvändiga, funktionella och analyscookies samt liknande teknologier. När lag kräver kommer icke-nödvändiga cookies endast användas efter korrekt samtycke och användare kommer att få kontroller för att hantera preferenser.
Grouper seeks to embed privacy into service design and operations. This includes:
- Europas dataresidensalternativ;
- dataminimering;
- minsta behörighet
- passande autentisering;
- kryptering;
- åtkomstloggning;
- rollbaserade behörigheter;
- säker överföring;
- Under-behandlar-kontroller;
- bevarandekontroller;
- incident-respons-processer;
- integritet och utbildning i säkerhet;
- säkerhetstestning;
- DPIA-stöd; och
- dokumenterad ansvarsskyldighet.
Grouper kommer att behålla register och styrningsåtgärder som är lämpliga för sin roll och kommer i gott tro att samarbeta med kunder, registrerade personer och kompetenta tillsynsmyndigheter.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
När Grouper behandlar Kundens Personuppgifter som Processor, regleras del B och det tillämpliga kundavtalet den kontraktuella behandlingsrelationen. Vid konflikt om Kundens Personuppgifter gäller följande företrädesordning: obligatorisk tillämplig dataskyddslagstiftning; tillämpliga SCC; UK tillägg eller annan obligatorisk överföringsmekanism; Databehandlingsavtalet; tillämpliga dataskyddsvillkor i Avtalet; och återstående delar av Avtalet.
Grouper:s europeiska BambooHR-erbjudande bygger på tre principer:
europeisk dataresidens.
Kundens Personuppgifter är värdt och lagras inom EEA, med primär hosting i Irland via Amazon Web Services (AWS).
Europeiska integritetsstandarder.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
Europeisk service och support.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
Vårt mål är att göra det möjligt för organisationer att använda BambooHR samtidigt som sekretess-, styrnings- och datalagringsstandarder som förväntas av europeiska kunder bibehålls.
Frågor om denna integritetspolicy, Grouper:s behandling, registrerades rättigheter, säkerhet eller våra arrangemang för datalagring i Europa kan skickas via Grouper:s särskilda kanaler för integritetsfrågor eller kundsupport.
Grouper Technology Limited kan även nås på 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.
Om de berörda personuppgifterna finns i en arbetsgivares BambooHR-konto bör personer normalt kontakta arbetsgivaren först, eftersom den organisationen vanligtvis är den ansvariga som bestämmer hur uppgifterna används.
Detta personuppgiftsbiträdesavtal (”DPA”) utgör en del av det avtal, beställningsformulär, uppdragsbeskrivning eller annat kontrakt mellan Kunden och Grouper Technology Limited som reglerar tillhandahållandet av Grouper:s BambooHR-relaterade tjänster.
När Tjänsterna tillhandahålls kan Grouper Behandla Kundpersonuppgifter för Kundens räkning. Detta DPA fastställer Parternas respektive skyldigheter för sådan Behandling.
Denna DPA gäller i den utsträckning Grouper Processer Kundens Personuppgifter å Kundens vägnar och sådan Behandling omfattas av Tillämplig dataskyddslagstiftning. Den kompletterar och utgör en del av Avtalet; skrivna och definierade termer som inte definieras här har den betydelse som ges i Avtalet.
För denna DPA:
Kundens Personuppgifter
Personuppgifter som styrs av en Kund eller Kundens dotterbolag och som Behandlas av Grouper i samband med Tjänsterna.
Begränsad överföring
En överföring av Personuppgifter som kräver en laglig överföringsmekanism enligt Tillämplig dataskyddslagstiftning.
Standardavtalssatser (SCCs)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
En tredje part utsedd av eller på uppdrag av Grouper för att Behandla Kundens Personuppgifter.
Teknikleverantör
BambooHR LLC och, där så är tillämpligt, relaterade BambooHR enheter som tillhandahåller den underliggande HR-teknikplattformen.
Om inte annat skriftligen överenskommits, agerar Kunden som Datakontroller och Grouper som Processor. När Kunden agerar som Processor för en annan Kontroller, agerar Grouper som Underbehandlare i den mån det är tillämpligt.
Grouper kommer endast att Behandla Kundens Personuppgifter enligt dokumenterade Kundinstruktioner och endast i den mån det är nödvändigt för att tillhandahålla, underhålla, säkra och stödja Tjänsterna, om inte Data måste Behandlas enligt tillämplig lagstiftning.
Grouper kommer skyndsamt informera Kunden om, enligt dess rimliga uppfattning, en instruktion inkräktar mot Tillämplig dataskyddslagstiftning och kan tillfälligt suspendera den berörda behandlingen tills frågan löses.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper ska säkerställa att behöriga personer omfattas av lämpliga sekretessskyldigheter, får tillgång till Kundens Personuppgifter endast där det är rimligt nödvändigt, erhålla lämplig integritets- och säkerhetsutbildning samt Behandla Kundens Personuppgifter endast i enlighet med denna DPA och dokumenterade Kundinstruktioner. Tillgång begränsas enligt principerna om minsta behörighet och behovsbaserad behörighet.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
De grundläggande kontrollområdena beskrivs i schema 2. Grouper kan uppdatera dessa åtgärder under förutsättning att ändringarna inte väsentligt minskar den övergripande skyddsnivån som tillhandahålls Kundens Personuppgifter.
Grouper kommer att meddela Kunden så snart det är rimligt möjligt och, där den 48-timmars avtalsförpliktelsen gäller, i inget fall senare än 48 timmar efter att ha blivit medveten om ett faktisk eller misstänkt Säkerhetsincident som påverkar Kundens Personuppgifter.
Information kan lämnas i faser allt eftersom den blir tillgänglig. Grouper kommer att tillhandahålla rimligt samarbete som behövs för att Kunden ska uppfylla skyldigheterna att underrätta tillsynsmyndigheter och drabbade Dataskyddsmyndigheter.
Kunden beviljar Grouper allmän skriftlig behörighet att engagera Underbehandlare som är nödvändiga för att tillhandahålla Tjänsterna.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
När det underliggande BambooHR-DPA:t gäller lämnar BambooHR för närvarande skriftligt förhandsmeddelande minst 30 dagar innan ett nytt Underbiträde som ska Behandla Kundpersonuppgifter anlitas.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Om Grouper får en begäran direkt som rör Kundens Personuppgifter, kommer Grouper att omedelbart hänvisa eller informera Kunden och kommer inte att svara väsentligt utanför dokumenterade instruktioner eller där lagen kräver.
Grouper kommer att tillhandahålla rimlig hjälp, med hänsyn till Behandlings natur och tillgänglig information, med Dataskyddsbedömningar, förhandskonsultation med tillsynsmyndigheter och rimliga förfrågningar eller undersökningar av en behörig tillsynsmyndighet som rör Tjänsterna.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
i den mån lagstiftningen tillåter, kommer Grouper att granska rättsligt bindande begäran från offentliga myndigheter om Kundens Personuppgifter, ifrågasätta olagliga eller oproportionerliga begäran när det finns rimliga skäl, försöka begränsa utlämnandet till vad som är lagligen krävt, underrätta Kunden där det är lagligt tillåtet och föra lämpliga register.
På Kundens begäran, eller när Tjänsterna sägs upp eller löper ut, ska Grouper enligt Kundens val och med förbehåll för teknisk genomförbarhet och Avtalet återlämna eller på ett säkert sätt radera Kundpersonuppgifter samt kräva att berörda Underbiträden gör detsamma. När lag kräver lagring ska Grouper avskilja och skydda de lagrade uppgifterna och endast Behandla dem i den utsträckning som lagen kräver.
Kunden intygar att den har rättigheterna, tillstånd, meddelanden, lagliga grunder och samtycken som krävs för att tillhandahålla Kundens Personuppgifter för Behandling; att dess instruktioner överensstämmer med Tillämplig dataskyddslagstiftning; att den inte kommer att instruera om olaglig Behandling; och att den kommer att konfigurera och använda Tjänsterna säkert och upprätthålla lämpliga kontroller över användarkonton, autentiseringsuppgifter och integrationer.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
Denna DPA träder i kraft när Kunden blir bunden av den och fortsätter så länge Grouper Behandlar Kundens Personuppgifter å Kundens vägnar. Förpliktelser som av natur eller enligt lag måste fortsätta medan uppgifterna behålls överlever utgång eller uppsägning.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
Vid inkompatibilitet rörande Kundens Personuppgifter gäller följande ordning för företräde: obligatorisk Tillämplig dataskyddslagstiftning; tillämplade SCCs, UK-tillägg eller annan obligatorisk överföringsmekanism; denna DPA; tillämpliga bestämmelser om dataskydd i Avtalet; och resten av Avtalet.
Kontroller / Data Exporter
The Customer identified in the applicable Agreement or Order Form.
Personuppgiftsbiträde/dataimportör
Grouper Technology Limited, 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.
Teknikleverantör
BambooHR LLC och tillämpliga BambooHR-enheter som tillhandahåller den underliggande HRIS-plattformen.
Ämne
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
Behandlingens Natur
Insamling, mottagning, registrering, organisering, strukturering, migrering, hosting, lagring, hämtning, konsultation, användning, överföring, tillgängliggörande, begränsning, stöd, åtkomst, radering och annan Behandling som rimligt behövs för att tillhandahålla Tjänsterna.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
Under Tjänsternas varaktighet och eventuellt därefter som krävs för att återlämna eller radera Kundens Personuppgifter eller följa lag.
Dataskydds-Subjekt
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
Personuppgifter
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
Känsliga uppgifter
Där det väljs av Kunden kan det inkludera hälsouppgifter och funktionsnedsättning samt andra särskilda eller känsliga uppgifter som tillåts av Tjänsterna.
Primär Europeisk Lagring
Irland / EES via Amazon Web Services (AWS) för Kunder som köper den europeiska datastationeringstjänsten.
Behörig Tillsynsmyndighet
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper upprätthåller tekniska och organisatoriska åtgärder över följande minsta kontrollområden:
1. Styrning av informationssäkerhet
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. Personal Security
Sekretessskyldigheter, rollbaserad screening där lagen kräver det, säkerhetsmedvetenhet och integritetsträning samt disciplinära åtgärder för obehörig åtkomst.
3. Fysisk säkerhet
Begränsad tillgång till relevanta anläggningar och infrastruktur; kontrollerade tillträdesvägar; tillgångstillstånd; fysisk övervakning och andra skyddsåtgärder som är lämpliga för hostingmiljön.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. Dataåtkomstkontroll
Åtgärder utformade så att behöriga användare endast kan komma åt data inom sina behörigheter; loggning och övervakning av åtkomst; utlämnande av data endast till behöriga personer.
6. Kryptering och pseudonymisering
Korrekt kryptering av Personuppgifter i transitering och vila; pseudonymisering där det är lämpligt för behandlingssyftet.
7. Nätverk och Överföringssäkerhet
Brandväggar, skyddade gateways, säkra kommunikationskanaler, TLS/SFTP eller motsvarande skyddade överföringsmekanismer och kontroller mot obehörig avlyssning eller ändring.
8. Loggning och Övervakning
Loggföring av relevanta system-, administrativa och åtkomstaktiviteter; övervakning av misstänkta händelser; bevarande av revisionens information som är lämplig med risk.
9. Inmatnings- och ändringskontroll
Åtgärder för att identifiera vem som matat in, ändrat eller raderat data; autentisering av auktoriserade användare och system; dokumenterad förändringshantering.
10. Sårbarhet och säkerhetstestning
Processer för att identifiera, bedöma och åtgärda sårbarheter; periodisk intrångstestning eller säkerhetstestning; regelbunden utvärdering och bedömning av kontrollernas effektivitet.
11. Tillgänglighet, säkerhetskopiering och återställning
Infrastrukturens redundans, säkerhetskopiering, återställningsförmåga, tillgänglighetskontroller och skydd mot oavsiktlig förlust eller förstöring.
12. Kontinuitet och katastrofåterställning
Dokumenterade kontinuitets- och återställningsplaner utformade för att återställa tillgänglighet och åtkomst i rimlig tid efter avbrott eller Säkerhetsincident.
13. Datas separation
Logisk eller applikationsnivå-separation mellan kunder och mellan behandlingsändamål; kontroller utformade för att förhindra obehörig kors-kund-åtkomst.
14. Säker Utveckling
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
Due diligence, skriftliga dataskyddsarbete, säkerhetsgranskning, överföringsskydd och pågående tillsyn som är lämplig för behandlingen.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
EU Begränsade Överföringar
När EU SCCs krävs, är de officiella EU-kommissionens SCCs införda genom hänvisning utan ändring av obligatorisk formulering. Om rollerna inte kräver något annat, är Kunden Data Exporter, Grouper och/eller tillämplig Teknisk Leverantör är Data Importer, och Modul Två gäller överföringar från Kontroller till Bearbetare.
UK Begränsade Överföringar
För överföringar som omfattas av brittisk dataskyddslagstiftning gäller EU:s SCC tillsammans med dåvarande brittiska International Data Transfer Addendum eller annan lagligen erkänd överföringsmekanism.
Schweiziska Överföringar
För överföringar som omfattas av schweizisk dataskyddslagstiftning ska SCC:erna tolkas och anpassas enligt tillämplig schweizisk lagstiftning, inklusive lämpliga referenser till schweizisk tillsynsmyndighet och schweiziska Dataskydds Subjekter.
EU-US Dataskyddsramverk
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
Exceptionella Åtgärdsfällen för Europeiska Kunder
Godkänd exceptionell icke-EES-åtkomst kan endast förekomma i följande omständigheter:
- en nödsituation som påverkar irländska datacenter-miljön eller tjänstekontinuitet;
- a stöd- eller underhållsbegäran som kräver auktoriserad specialiståtkomst utanför EEA, under förutsättning att Kundens godkännande eller kontraktsbehörighet finns; och
- en verifierad Kundförfrågan om Behandling eller värd utanför den europeiska regionen.
De exakta leverantörer som används varierar beroende på produkt, funktion, supportväg och Kundkonfiguration. Det nuvarande live-underleverantörsregistret som upprätthålls av Grouper och/eller BambooHR styr den aktiva tjänsteleveransen.
Följande nyckelleverantörer har identifierats i de styrande tjänstematerialen. En leverantör som listas här behandlar inte nödvändigt Kundens Personuppgifter för varje Kund eller varje deployment.
BambooHR LLC
Teknikleverantör; HRIS-underhåll, hosting och support. Plats: USA / tjänsteområden inklusive Europa.
Amazon Web Services (AWS)
Primär molnmiljö för hosting; Europeisk regional hosting i Irland. Plats: Irland / Europa och andra regioner beroende på tjänstekonfiguration.
Anthropic / Claude
AI-språk-modellsbehandling. Plats: USA.
Cohere
Språkmodell-API / AI-behandling. Plats: USA.
OpenAI
Språkmodell-API / AI-behandling. Plats: USA.
LlamaIndex / LlamaParse
Valfri dokumentparsing kopplad till AI-funktionalitet. Plats: USA.
Atlas MongoDB
Dataförvaring som stödjer valda tjänster / AI-relaterad funktionalitet. Plats: USA.
Gainsight
Kundrelationer / CRM-tjänster.
Salesforce
CRM-plattform.
Cloudflare
Webapplikationsbrandvägg / säkerhet.
Datadog
Infrastruktur och applikationsövervakning.
Microsoft / Google Workspace
Samarbete, kommunikation och dokumentlagring beroende på nuvarande konfiguration.
Mailgun
Applikationskommunikation.
Snowflake
Dataanalys.
Twilio
MFA / SMS-leverans.
Ytterligare Leverantörer
Ytterligare leverantörer som anges i aktuellt tjänstematerial kan omfatta Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike med flera. Kunder bör läsa BambooHR:s aktuella lista över underleverantörer och Grouper:s aktuella information om underbiträden för de senaste uppgifterna.
1. Omfattning
Denna bilaga gäller där Kunden aktiverar eller använder BambooHR artificiell intelligens eller maskininlärningsfunktionalitet i samband med Grouper-stödda Tjänster.
2. AI-leverantörer
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. Inmatningar och Utdragen
Kundens angivna uppmaningar, instruktioner eller data som lämnas till AI-funktionalitet kan utgöra “Inputs” och genererade svar kan utgöra “Outputs”. Beroende på funktionen kan Inputs eller Outputs inkludera Kunddata. Outputs kan inte vara unika och kan likna outputs som producerats för andra användare.
4. Kundansvar och mänsklig övervakning
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. Känsliga och reglerade databegränsningar
Där tillämpliga AI-villkor förbjuder det, får Kunden inte skicka känslig eller reglerad information till AI-funktioner, inklusive hälso-, genetiska eller biometriuppgifter, regeringsutfärdade identifikationsnummer eller personliga finansiella eller bankkontouppgifter. Kundernas bör minimera Personuppgifter i promptar.
6. Noggrannhet, partiskhet och rättvisa
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
Där tillämpliga BambooHR AI-villkor tillåter användning av Prestandadata och Feedback för att förbättra AI-funktionalitet, regleras sådan användning av de villkoren. Om Kundens data används för att finjustera en kundspecifik modell används den resulterande modellen för att tillhandahålla AI-funktioner till den Kunden och används inte på annat sätt för att tillhandahålla tjänster till andra kunder.
8. Internationell Behandling
AI-leverantörer får behandla auktoriserade Inputs eller relaterad Personal Data utanför EES. Sådana behandlingsåtgärder är föremål för överföringsskydd i denna DPA och ändrar inte platsen för kundens kontrakterade kärn-HRIS-lagringsregion. Kunder bör bedöma om frivillig AI-användning överensstämmer med deras egen bosättning, arbetsråd, arbetsrätt och riskkrav innan aktivering.
Frågor om denna integritetspolicy eller dina data rättigheter?
Kontakta oss
