Legal
นโยบายความเป็นส่วนตัว | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
อัปเดตล่าสุด: 16 สิงหาคม 2026
Grouper มุ่งมั่นในการปกป้องข้อมูลส่วนบุคคลและรักษามาตรฐานความเป็นส่วนตัว ความมั่นคง และการปฏิบัติติตามข้อกำหนดทางกฎหมาย การคุ้มครองข้อมูลถือเป็นความรับผิดชอบเชิงปฏิบัติการและสัญญาหลัก ไม่ใช่สิ่งที่ละทิ้ง ออกแบบการให้บริการ การควบคุมการเข้าถึง กระบวนการสนับสนุน และธรรมาภิบาลผู้ขายให้สอดคล้องกับหลักความรับผิดชอบ ความสมบูรณ์ ความลับ และความโปร่งใสของ GDPR
นโยบายความเป็นส่วนตัวนี้อธิบายวิธีที่ Grouper Technology Limited (“Grouper”, “เรา”, “เรา” หรือ “ของเรา”) รวบรวม ใช้ เข้าถึง โฮสต์ เก็บ ปกป้อง โอน และประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้องกับบริการที่เราให้รวมถึงบทบาทของเราในฐานะพันธมิตรยุโรปของ BambooHR.
Grouper สนับสนุนองค์กรทั่ว Ireland, สหราชอาณาจักร, ยุโรป และภูมิภาคอื่นๆ ด้วยการติดตั้ง, บำรุงรักษา และใช้งานแพลตฟอร์ม BambooHR HRIS และเทคโนโลยี HR ที่เกี่ยวข้อง
โมเดลการให้บริการยุโรปของเราออกแบบบนหลักการที่ชัดเจนของถิ่นที่อยู่ข้อมูลยุโรป ซึ่งข้อมูลส่วนบุคคลของลูกค้าที่ถูกประมวลผลผ่าน Grouper’s European BambooHR บริการ ถูกโฮสต์และจัดเก็บภายในพื้นที่เศรษฐกิจยุโรป (European Economic Area, “EEA”) โดยมีที่ตั้งโฮสติ้งหลักในไอร์แลนด์
Privacy Policy นี้ใช้กับข้อมูลส่วนบุคคลที่ประมวลผลเกี่ยวกับ:
- BambooHR การดำเนินการและการเริ่มใช้งาน;
- การกำหนดค่า HRIS;
- การบริหารบัญชี;
- การสนับสนุนลูกค้า;
- การสนับสนุนทางเทคนิค;
- การสนับสนุนการบูรณาการ;
- การโยกย้ายข้อมูล;
- ความสำเร็จของลูกค้า;
- การฝึกอบรม;
- บริการวิชาชีพ;
- ความมั่นคงและการบริหารบริการ;
- การสื่อสารกับลูกค้า;
- การขายและการสาธิต;
- Grouper เว็บไซต์และบริการดิจิทัล; และ
- กิจกรรมธุรกิจทั่วไปของเรา.
Grouper Technology Limited เป็นบริษัทอ Irish โดยมีสำนักงานจดทะเบียนที่ 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.
BambooHR ให้ระบบข้อมูลทรัพยากรบุคคลพื้นฐานและฟังก์ชันผลิตภัณฑ์ที่เกี่ยวข้อง Grouper มีการดำเนินการในยุโรป การโยกย้าย การกำหนดค่า การฝึกอบรม ความสำเร็จของลูกค้า การสนับสนุน การบริหารบริการ และบริการทางวิชาชีพที่เกี่ยวข้อง ขึ้นอยู่กับการสมัครใช้งานและการกำหนดค่าของลูกค้า แพลตฟอร์ม HRIS BambooHR อาจรองรับเรคคอร์ดพนักงาน การ onboarding การสรรหา เวลาและการลงชื่อเข้าใช้ การจัดการวันลาพางาน ผลการปฏิบัติงาน สวัสดิการ ค่าแรง การรายงาน การวิเคราะห์ บูรณาการ APIs และคุณสมบัติปัญญาประดิษฐ์
ขึ้นอยู่กับบริการที่ลูกค้าซื้อ Grouper อาจจัดให้:
- BambooHR การนำไปใช้งาน;
- onboarding;
- การกำหนดค่าระบบ;
- การตั้งค่าบัญชี;
- การช่วยเหลือในการโยกย้ายข้อมูล;
- บริการเชื่อมต่อ;
- การสนับสนุนทางเทคนิค;
- การสนับสนุน HRIS;
- การฝึกอบรม;
- บริการความสำเร็จของลูกค้า;
- การบริหารบริการ;
- การแก้ไขปัญหา; และ
- บริการมืออาชีพที่เกี่ยวข้อง
บทบาทการคุ้มครองข้อมูลที่แม่นยำของ Grouper ขึ้นอยู่กับการดำเนินการประมวลผลที่เกี่ยวข้อง
เมื่อ Grouper กำหนดวัตถุประสงค์และวิธีการของการประมวลผล — เช่น ในเว็บไซต์ บัญชีขาย การติดต่อธุรกิจ ความปลอดภัย หรือกิจกรรมการบริหารองค์กร — Grouper ทำหน้าที่เป็นผู้ควบคุม
เมื่อ Grouper ประมวลผลข้อมูลส่วนบุคคลของลูกค้าเพื่อการให้บริการบน behalf ของลูกค้าเท่านั้น และตามคำสั่งที่ได้รับจากลูกค้าคลัสเตอร์ Grouper ทำหน้าที่เป็นผู้ประมวลผล
เมื่อลูกค้าเองทำหน้าที่เป็นผู้ควบคุมข้อมูลสำหรับผู้ควบคุมอีกราย Grouper อาจทำหน้าที่เป็นผู้ประมวลผลรองให้กับการประมวลผลที่เกี่ยวข้อง
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 ข้อตกลงถิ่นฐานยุโรปหลัก
สำหรับลูกค้าที่ซื้อบริการ European BambooHR ของ Grouper ด้วยถิ่นที่อยู่ข้อมูล EEA ข้อมูลส่วนบุคคลของลูกค้าที่เป็นส่วนหนึ่งของสภาพแวดล้อมการผลิต HRIS หลัก ถูกโฮสต์และจัดเก็บภายใน EEA โดยมีสถานที่โฮสติ้งหลักในไอร์แลนด์
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 การจัดเก็บข้อมูลกับการเข้าถึง
ข้อมูลถิ่นฐานข้อมูลอธิบายถึงตำแหน่งที่มีการจัดเก็บข้อมูลส่วนบุคคลของลูกค้า ไม่ได้หมายความว่าจะไม่มีการสนับสนุนที่ได้รับอนุญาตหรือการเข้าถึงทางเทคนิคจากประเทศอื่น
การเข้าถึงพิเศษจากภายนอก EEA อาจเกิดขึ้นได้เฉพาะเมื่อจำเป็น ได้รับอนุญาต และได้รับการคุ้มครองตามกฎหมายตามที่อธิบายไว้ในมาตรา 17 และ 18 ของนโยบายนี้
4.3 การสำรองข้อมูล ความยืดหยุ่น และการกู้คืนจากความเสียหาย
ข้อตกลงสำรองข้อมูล ความยืดหยุ่น และการกู้คืนจากภัยพิบัติ ถูกออกแบบมาเพื่อรักษาความลับ ความสมบูรณ์ และการใช้งานได้ และสอดคล้องกับข้อผูกพันการโฮสติ้งในภูมิภาคที่ลูกค้าได้ทำสัญญาไว้
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 ไม่ย้ายข้อมูลไปยังสถานที่อื่นภายใน EEA ตามปกติ
Grouper ไม่ใช้การเข้าถึงสนับสนุนพิเศษเป็นกลไกสำหรับการโอนย้ายข้อมูลส่วนบุคคลของลูกค้าชาวยุโรปในลักษณะปกติ
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
"Applicable Data Protection Law" หมายถึง กฎหมายและข้อบังคับด้านการคุ้มครองข้อมูล ความเป็นส่วนตัว และความปลอดภัยของข้อมูลทั้งหมดที่ใช้ในการประมวลผล รวมถึงเมื่อเหมาะสม:
- ข้อบังคับ (EU) 2016/679 — General Data Protection Regulation (GDPR);
- พระราชบัญญุัติคุ้มครองข้อมูลของไอร์แลนด์ พ.ศ. 2018;
- กฎระเบียบความเป็นส่วนตัวทางไอร์แลนด์และการสื่อสารทางอิเล็กทรอนิกส์ที่ใช้บังคับ;
- UK GDPR และพระราชบัญญัติคุ้มครองข้อมูลของสหราชอาณาจักร พ.ศ. 2561 (เมื่อเกี่ยวข้อง);
- กฎหมายคุ้มครองข้อมูลของสวิสที่ใช้งานได้เมื่อจำเป็น;
- ข้อบังคับระดับชาติเสนอกฎหมายคุ้มครองความเป็นส่วนตัวของสหภาพยุโรป;
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
ข้อมูลที่ถูกประมวลผลขึ้นอยู่กับบริการที่ลูกค้าเลือกและข้อมูลที่ลูกค้าตั้งใจวางไว้ในสภาพแวดล้อม HR
6.1 Employee and Workforce Information
ข้อมูลส่วนบุคคลอาจรวมถึง:
- ชื่อและหมายเลขระบุตัวพนักงาน;
- ภาพถ่ายเมื่อมีการให้บริการ;
- รายละเอียดผู้ติดต่อที่บ้านหรือที่ทำงาน;
- วันเกิด เพศ และข้อมูลประชากรเมื่อมีการให้ข้อมูล;
- ข้อมูลสถานภาพสมรสหรือครอบครัวเมื่อมีการให้ข้อมูล;
- ผู้ติดต่อเหตุฉุกเฉินและหมายเลขโทรศัพท์;
- คุณวุฒิการศึกษาและมืออาชีพ;
- ข้อมูล CV หรือประวัติการทำงาน และทักษะภาษา;
- ตำแหน่งงาน ระดับ แผนก สถานที่ รายงาน และสังกัดทีม;
- วันที่จ้างและสิ้นสุด ชั่วโมงทำงาน และรายละเอียดสัญญา;
- ข้อมูลประสิทธิภาพ ประเมิน ผลทางวินัย และประวัติการทำงาน;
- สวัสดิการ ประกันภัย ทรัพย์สินของบริษัท และข้อมูลการฝึกอบรม;
- ข้อมูลการลาหา การเข้าร่วม และข้อมูลเวลาพัก;
6.2 ข้อมูลเงินเดือนและค่าตอบแทน
หากมีการใช้บริการที่เกี่ยวข้อง ข้อมูลส่วนบุคคลอาจรวมถึง:
- เงินเดือน ค่าตอบแทน และโบนัส;
- ข้อมูลภาษีและประกันสังคม;
- รายละเอียดธนาคารและการชำระเงิน;
- ข้อมูลบำนาญ;
- สิทธิในการถือหุ้นและสวัสดิการอื่น ๆ; และ
- ข้อมูลที่เกี่ยวข้องกับเงินเดือนอื่น ๆ
6.3 การสรรหา ข้อมูลผู้สมัคร และผู้แนะนำ
For candidates, prospective employees and referees, information may include:
- ข้อมูลระบุตัวตนและรายละเอียดการติดต่อ;
- CVs, résumés, ประวัติการทำงาน และคุณสมบัติ;
- ประวัติการสมัคร สัมภาษณ์ และการสรรหา;
- การสื่อสารกับผู้สมัครและสถานะการสรรหา;
- ข้อมูลค่าตอบแทนที่เสนอ;
- ชื่อผู้แนะนำ ข้อมูลการติดต่อ และความสัมพันธ์ทางวิชาชีพ;
- ข้อมูลที่อยู่ในการอ้างอิง;
6.4 หมวดหมู่ข้อมูลพิเศษและข้อมูลที่ละเอียดอ่อน
ขึ้นอยู่กับการใช้งานแพลตฟอร์ม HRIS BambooHR ของลูกค้า บริการอาจมีข้อมูลสุขภาพหรือความพิการ และข้อมูลส่วนบุคคลในหมวดหมู่พิเศษหรือข้อมูลอ่อนไหวอื่นๆ
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
ลูกค้าควรไม่ใส่ข้อมูลที่ละเอียดอ่อนลงในฟิลด์ข้อความอิสระหรือคุณลักษณะ AI เว้นแต่จำเป็น ถูกกฎหมาย และได้รับอนุญาตตามข้อกำหนดผลิตภัณฑ์ที่เกี่ยวข้อง
ข้อมูลส่วนบุคคลที่ประมวลผลในความสัมพันธ์กับบริการของ Grouper อาจเกี่ยวข้องกับ:
- พนักงานปัจจุบัน อดีต และผู้สมัครที่มีแนวโน้มจะเข้ามา
- ผู้สมัครและผู้สมัครงาน
- ผู้รับเหมา ที่ปรึกษา ตัวแทน และผู้รับเหมาช่วงอิสระ;
- ผู้แทน ออกแรงชั่วคราว และพนักงานชั่วคราว;
- นักศึกษาฝึกงานและอาสาสมัคร;
- ผู้อาศัยพนักงาน ผู้รับผลประโยชน์ และผู้ติดต่อฉุกเฉิน;
- ผู้แนะนำและผู้ให้ข้อมูลอ้างอิง;
- ผู้ดูแลระบบลูกค้าและผู้ใช้งานที่ได้รับอนุญาต; และ
- บุคคลอื่นที่ข้อมูลส่วนบุคคลถูกส่งผ่านไปยังบริการโดยชอบด้วยกฎหมาย
ข้อมูลส่วนบุคคลอาจได้มาจาก:
- โดยตรงจากบุคคลนั้น
- จากนายจ้างของบุคคลนั้นหรือจากนายจ้างที่คาดหวัง;
- จากผู้ดูแลระบบลูกค้าและผู้ใช้ที่ได้รับอนุญาต
- ระหว่างการนำไปใช้งาน กำหนดค่า และการย้ายข้อมูล
- ผ่านการเชื่อมต่อหรือ API ที่ได้รับอนุญาต
- ผ่านคำขอสนับสนุนและการแก้ไขปัญหา
- ผ่านแพลตฟอร์ม HRIS ของ BambooHR หรือระบบอื่นที่ลูกค้าเลือก
- ผ่านกระบวนการสรรหา;
- จากแหล่งสาธารณะที่ใช้งานได้ตามกฎหมาย; และ
- จากแหล่งที่ถูกกฎหมายอื่น ๆ ที่ลูกค้าฝากอนุญาตสนับสนุน
Grouper ประมวลผลข้อมูลส่วนบุคคลเฉพาะเพื่อวัตถุประสงค์ที่ระบุและถูกกฎหมายเท่านั้น ซึ่งอาจรวมถึง:
- การดำเนินการติดตั้งและกำหนดค่าแพลตฟอร์ม HRIS ของ BambooHR
- การโฮสต์หรืออำนวยความสะดวกในการโฮสต์ข้อมูลส่วนบุคคลของลูกค้า;
- การบริหารจัดการบัญชีและการอนุญาตของผู้ใช้งาน;
- การดูแลรักษาและความมั่นคงของบริการ;
- การให้บริการสนับสนุมลูกค้าและเทคนิค;
- สนับสนุนการเชื่อมต่อและการโยกย้าย;
- การฝึกอบรมและบริการวิชาชีพ;
- การจัดการการสมัครสมาชิกและความสัมพันธ์กับลูกค้า;
- การตรวจหาและสืบค้นเหตุการณ์ด้านความมั่นคง;
- การรักษาบันทึกการตรวจสอบ;
- การป้องกันการฉ้อโกงหรือการใช้งานผิดวัตถุประสงค์;
- การปฏิบัติตามพันธกรณีตามกฎหมาย; และ
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
เมื่อเจ้าหน้าที่สนับสนุนเข้าถึงข้อมูลส่วนบุคคลของลูกค้า เข้าถึงข้อมูลต้องจำกัดเฉพาะข้อมูลขั้นต่ำที่จำเป็นสำหรับวัตถุประสงค์ในการสนับสนุน และต้องดำเนินการโดยเจ้าหน้าที่ที่ได้รับอนุญาต ภายใต้ข้อกำหนดความลับและการควบคุมการเข้าถึง
เมื่อ Grouper ทำหน้าที่เป็นผู้ควบคุม พื้นฐานทางกฎหมายที่ใช้ได้อาจรวมถึง:
10.1 สัญญา
การประมวลผลที่จำเป็นเพื่อเข้าถึงสัญญาหรือดำเนินการตามสัญญา หรือขั้นตอนก่อนเข้าสู่สัญญาตามคำขอของบุคคล
10.2 ผลประโยชน์ที่ชอบด้วยกฎหมาย
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- การให้บริการ;
- การบริหารลูกค้า;
- ความมั่นคงทางข้อมูล;
- การป้องกันการฉ้อโกง;
- ความต่อเนื่องทางธุรกิจ;
- การสนับสนุนลูกค้า; และ
- relationship management.
10.3 ภาระทางกฎหมาย
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 ความยินยอม
เมื่อเหมาะสม Processing อาจอ้างอิงจากความยินยอม ความยินยอมสามารถถูกถอนออกได้ตลอดเวลาโดยไม่กระทบต่อความถูกต้องตามกฎหมายของ Processing ที่ดำเนินการก่อนการถอน
เมื่อลูกค้าเป็นผู้ควบคุม ลูกค้าจะรับผิดชอบต่อ:
- การกำหนดวัตถุประสงค์สำหรับการประมวลผลข้อมูลส่วนบุคคล
- การกำหนดฐานทางกฎหมายและเงื่อนไขหมวดหมู่พิเศษ;
- การเปิดเผยข้อมูลความเป็นส่วนตัวที่จำเป็น
- การขอความยินยอมเมื่อจำเป็น
- การประกันความถูกต้องและคุณภาพของข้อมูล
- การกำหนดระยะเวลาการเก็บรักษาที่เหมาะสม
- การบริหารผู้ใช้งานที่ได้รับอนุญาตและสิทธิ์
- การใช้งานบริการอย่างปลอดภัย;
- การให้คำสั่งต่อ Grouper อย่างถูกกฎหมาย
ลูกค้าต้องห้ามสั่งให้ Grouper ประมวลผลข้อมูลส่วนบุคคลในลักษณะที่ละเมิดกฎหมายคุ้มครองข้อมูล
Grouper จะแจ้งลูกค้าเมื่อเห็นว่า คำสั่งดังกล่าวละเมิดกฎหมายคุ้มครองข้อมูล และอาจระงับการประมวลผลที่เกี่ยวข้องจนกว่าจะแก้ไขปัญหา
Grouper จำกัดการเข้าถึงข้อมูลส่วนบุคคลของลูกค้าเฉพาะบุคคลที่มีความจำเป็นต้องเข้าถึงเพื่อภาระหน้าที่ของตน บุคลากรอยู่ภายใต้พันธนาการความลับที่เหมาะสมและได้รับการฝึกอบรมด้านความเป็นส่วนตัวและความมั่นคงตามบทบาทของตน การเข้าถึงถูกกำกับด้วยหลักความรับผิดชอบต่ำสุดและความจำเป็นต้องทราบ
การควบคุมการเข้าถึงรวมถึง:
- การควบคุมระบุตัวตนและการตรวจสอบ
- การควบคุมตามบทบาทและการเข้าถึงที่มีสิทธิพิเศษ
- การควบคุมบัญชีผู้ดูแลระบบ
- การจัดการวงจรชีวิตบัญชีผู้ใช้งาน
- การบันทึกการเข้าถึงและการเฝ้าระวัง
- การทบทวนการเข้าถึงเป็นระยะ
- ข้อกำหนดสำหรับความลับและการใช้งานที่ยอมรับได้
- บุคลากรที่เหมาะสมและการฝึกอบรม
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
มาตรการรวมถึง:
- การควบคุมการเข้าถึงทางกายภาพและตรรกะ
- การยืนยันตัวตนที่รุนแรงและการควบคุมรหัสผ่านที่เหมาะสม
- การเข้ารหัสข้อมูลระหว่างทางและเมื่อบันทึกไว้ตามความเหมาะสม
- การทำให้ไม่ระบุตัวตนเมื่อเหมาะสม
- ไฟร์วอลล์เครือข่าย ความมั่นคงขอบเขต และการตรวจค้นการบุกรุก
- การบันทึก การเฝ้าระวัง และร่องรอยการตรวจสอบ
- การจัดการความเปราะบางของระบบและการทดสอบความมั่นคง
- การเข้าถึงผู้ดูแลระบบที่จำกัด
- การส่งข้อมูลที่ปลอดภัย รวมถึงช่องทางการโอนข้อมูลที่ได้รับการคุ้มครอง
- การสำรองข้อมูล ความทดแทน การกู้คืน และความยืดหยุ่น
- การวางแผนความต่อเนื่องทางธุรกิจและการกู้คืนจากภัยพิบัติ
- การพัฒนาอย่างปลอดภัยและการบริหารการเปลี่ยนแปลง
- การแยกข้อมูลระหว่างลูกค้าและวัตถุประสงค์การประมวลผล
- ขั้นตอนการตอบสนองเหตุฉุกเฉิน
- การรับรู้อ่านการรักษาความปลอดภัยของพนักงานและการฝึกอบรม; และ
- การตรวจสอบความรอบรู้ของผู้ประมวลผลย่อยและการกำกับดูแลด้านความมั่นคง
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
เมื่อ Grouper ทำหน้าที่เป็นผู้ประมวลผลและทราบถึงเหตุการณ์รั่วไหลข้อมูลส่วนบุคคลจริงหรือสงสัยว่าเกิดขึ้น Grouper จะแจ้งลูกค้าที่เกี่ยวข้องได้ในเวลาที่เหมาะสมที่สุดเท่าที่จะเป็นไปได้ และไม่ช้ากว่า 48 ชั่วโมงนับจากการรับทราบเหตุการณ์
ในขอบเขตที่สามารถแจ้งได้อย่างสมเหตุสมผล การแจ้งเตือนจะรวมถึง:
- ลักษณะของเหตุการณ์;
- ประเภทข้อมูลส่วนบุคคลที่ได้รับผลกระทบ;
- ประมาณประเภทข้อมูลและจำนวนผู้มีข้อมูลส่วนบุคคลและบันทึกข้อมูล;
- ผลที่อาจเกิดขึ้น;
- มาตรการที่ดำเนินการหรือที่เสนอ;
- มาตรการลดผลกระทบ;
- จุดติดต่อสำหรับข้อมูลเพิ่มเติม.
ข้อมูลอาจถูกนำเสนอเป็นระลอกๆ ตามที่พบข้อมูล
Grouper จะให้ความร่วมมืออย่างสมเหตุสมผลเพื่อช่วยให้ลูกค้าตอบสนองภาระผูกพันด้านการกำกับดูแลและการแจ้งเตือนข้อมูลส่วนบุคคล
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper อาจแต่งตั้ง Sub-processors และผู้ให้บริการที่ผ่านการคัดเลือกอย่างระมัดระวังเมื่อจำเป็นเพื่อให้บริการ โฮสติ้ง คุ้มครอง สนับสนุน ตรวจสอบ หรือพัฒนาบริการ
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
เมื่อข้อกำหนดของลูกค้าเกี่ยวกับการใช้งานทั่วไปอนุญาตเป็นลายลักษณ์อักษร ลูกค้าจะได้รับการแจ้งล่วงหน้าเกี่ยวกับ Sub-processors ใหม่ที่มีความสำคัญ และมีโอกาสคัดค้านด้วยเหตุผลด้านการคุ้มครองข้อมูลที่สมเหตุสมผล
สำหรับผู้รับเหมาช่วง BambooHR ปัจจุบัน DPA ของ BambooHR ให้การแจ้งล่วงหน้าอย่างน้อย 30 วันเกี่ยวกับ Subcontractor ใหม่ที่จะประมวลผลข้อมูลส่วนบุคคลของลูกค้า
ตารางที่ 4 ให้ความโปร่งใสเกี่ยวกับหมวดหมู่ผู้ให้บริการหลักและผู้ให้บริการที่ระบุไว้ในวัสดุการให้บริการที่กำกับดูแล
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
การประมวลผลของ BambooHR ภายใต้ข้อตกลงและเงื่อนไขด้านการป้องกันข้อมูลที่บังคับใช้อยู่ รวมถึง DPA มาตรการความปลอดภัย ข้อตกลงกับซับโปรเซสเซอร์ และมาตรการการโอนข้อมูลระหว่างประเทศ
Grouper ยังคงรับผิดชอบต่อพันธกรณีของตนภายใต้กฎหมายคุ้มครองข้อมูลที่บังคับใช้อยู่และข้อตกลงลูกค้าที่เกี่ยวข้อง เมื่อ BambooHR ประมวลผลข้อมูลส่วนบุคคลเพื่อสนับสนุนสภาพแวดล้อมลูกค้าในยุโรปของ Grouper ข้อกำหนดทางสัญญา ความปลอดภัย และการมีถิ่นที่อยู่ข้อมูลที่เกี่ยวข้องจะถูกนำมาใช้
สำหรับบริการยุโรปที่สัญญาจาก Grouper ข้อมูลส่วนบุคคลของลูกค้ถูกออกแบบมาให้ถูกจัดเก็บใน EEA โดยมีโฮสติ้งหลักในไอร์แลนด์ผ่าน Amazon Web Services (AWS) การประมวลผลที่ได้รับอนุญาตหรือการเข้าถึงทางไกลจากนอก EEA อาจ constitute เป็นการโอนข้อมูลที่ถูกจำกัดแม้ข้อมูลจะยังคงถูกจัดเก็บในไอร์แลนด์ การเข้าถึงดังกล่าวได้รับอนุญาตเฉพาะเมื่อถูกต้องตามกฎหมาย จำเป็น และได้รับการคุ้มครองด้วยมาตรการคุ้มครองที่เหมาะสม
ตัวอย่างสถานการณ์พิเศษรวมถึง:
- เหตุฉุกเฉินที่กระทบสภาพแวดล้อมศูนย์ข้อมูลในไอร์แลนด์หรือความต่อเนื่องของบริการ
- คำขอสนับสนุนหรือบำรุงรักษาที่ต้องการการเข้าถึงผู้เชี่ยวชาญที่ได้รับอนุญาตจากนอก EEA โดยขึ้นอยู่กับการอนุมัติหรืออำนาจตามสัญญาของลูกค้า; และ
- คำขอต่อเนื่องของลูกค้าที่ตรวจสอบแล้วเพื่อย้ายข้อมูลหรือตัวอย่างประมวลผลข้อมูลนอกภูมิภาคโฮสติ้งยุโรปที่สัญญาไว้
เมื่อเกิดการโอนถจำกัด (Restricted Transfer) Grouper และ/หรือผู้ให้บริการเทคโนโลยีที่เกี่ยวข้องจะใช้กลไกที่ได้รับการยอมรับตามกฎหมาย เช่น
- คำตัดสินเรื่องความเพียงพอของระดับความมั่นคง
- ข้อกำหนดมาตรฐานสัญญาค่าคงที่ของคณะกรรมาธิการยุโรป (European Commission Standard Contractual Clauses)
- UK International Data Transfer Addendum ตามที่ใช้;
- การเข้าร่วมกรอบความเป็นส่วนตัวข้อมูล EU-US หากใช้งานได้และเหมาะสม;
- กฎระเบียบของบริษัทที่ผูกพันได้ (Binding Corporate Rules) ตามที่ใช้ได้; หรือ
- มาตรการคุ้มครองที่ถูกต้องอื่นๆ ที่ยอมรับภายใตกฎหมายคุ้มครองข้อมูลที่ใช้ได้
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
ไม่มีอะไรในข้อตกลงการเข้าถึงพิเศษดังกล่าวที่เปลี่ยนแปลงความมุ่งมั่นของ Grouper ที่ข้อมูลส่วนบุคคลของลูกค้าสำหรับบริการยุโรปถูกจัดเก็บภายใน EEA
เมื่อมีความจำเป็นตาม EU Standard Contractual Clauses จะถูกรวมไว้ในรูปแบบที่ได้รับการอนุมัติอย่างเป็นทางการโดยไม่เปลี่ยนแปลงถ้อยคำบังคับ สำหรับการถ่ายโอนข้อมูลจากผู้ควบคุมไปยังผู้ประมวลผล โมดูลที่สองจะใช้โดยปกติ เว้นแต่ฝ่ายใดฝ่ายหนึ่งจะต้องการโมดูลอื่นตามบทบาทของฝ่าย
เมื่อไอร์แลนด์ถูกเลือกเป็นกฎหมายบังคับและศาลที่ใช้บังคับในสหภาพ EU คู่สัญญาตกลงที่จะให้ศาลของไอร์แลนด์เป็นผู้พิจารณาตาม SCC ที่เกี่ยวข้อง
สำหรับการโอนข้อมูลที่อยู่ภายใต้กฎหมายคุ้มครองข้อมูลของสหราชอาณาจักร EU SCC จะใช้ร่วมกับ UK Addendum หรือกลไกการโอนข้อมูลที่ถูกต้องตามกฎหมายอื่นๆ
Supplementary measures may include:
- การเข้ารหัส;
- ข้อจำกัดในการเข้าถึง;
- การควบคุมการบริหารกุญแจ;
- การลดข้อมูลลง;
- การบันทึก;
- ข้อจำกัดในการส่งต่อข้อมูลต่อไปตามสัญญา;
- ขั้นตอนตรวจสอบคำขอของรัฐบาล;
- มาตรการความโปร่งใส; และ
- การระงับหรือยุติการโอนข้อมูลเมื่อไม่สามารถรับประกันระดับการป้องกันที่เพียงพอได้
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
คำขอที่ผิดกฎหมายหรือไม่สัดส่วนจะถูกท้าทายในกรณีมีเหตุผลและฐานทางกฎหมาย
การเปิดเผยจะถูกจำกัดให้เฉพาะข้อมูลที่กฎหมายกำหนดเท่านั้น
ลูกค้าจะได้รับการแจ้งเมื่อมีสิทธิได้รับอนุญาตทางกฎหมาย หากการแจ้งเตือนเป็นเรื่องต้องห้าม จะพยายามขออนุญาตแจ้งให้ทราบเมื่อเหมาะสม
บันทึกคำขอและคำตอบจะถูกบำรุงรักษาตามกฎหมายและกลไกการโอนข้อมูลที่เกี่ยวข้อง
Depending upon Applicable Data Protection Law, individuals may have rights including:
- การเข้าถึง;
- การแก้ไขข้อมูลที่ผิดพลาด;
- การลบข้อมูล;
- ข้อจำกัดในการประมวลผล;
- การโอนข้อมูลออกไปในระยะต่อไป;
- การคัดค้าน;
- การถอนความยินยอม;
- สิทธิในการตัดสินใจอัตโนมัติและการสร้างโปรไฟล์;
- the right to complain to a competent supervisory authority.
เมื่อ Grouper ทำหน้าที่เป็นผู้ประมวลผล คำขอที่เกี่ยวกับข้อมูลส่วนบุคคลของลูกค้าควรไปยังเจ้าของข้อมูลที่เกี่ยวข้องเป็นหลัก หาก Grouper ได้รับคำขอโดยตรง Grouper จะ, เว้นแต่ห้ามตามกฎหมาย, ส่งต่อหรือแจ้งคำขอไปยังลูกค้าและจะไม่ตอบกลับในเชิงสาระเว้นแต่ตามคำสั่งของลูกค้าหรือที่จำเป็นตามกฎหมาย Grouper จะให้ความช่วยเหลืออย่างสมเหตุสมผลเพื่อให้ลูกค้าบรรลุภาระผูกพันของตน
เมื่อคำนึงถึงลักษณะการประมวลผลและข้อมูลที่มีอยู่ให้ Grouper, Grouper จะให้ความช่วยเหลืออย่างสมเหตุสมผลในการประเมินผลกระทบด้านคุ้มครองข้อมูล และเมื่อจำเป็น การปรึกษาล่วงหน้ากับหน่วยงานกำกับดูแลที่มีอำนาจ
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- เอกสารด้านความมั่นคง;
- นโยบาย;
- ข้อมูลการปฏิบัติตามข้อกำหนด;
- ข้อมูลการตรวจสอบ;
- รายงานการรับรองความอิสระ;
- การรับรองที่เกี่ยวข้อง; และ
- คำตอบต่อแบบสอบถามด้านความมั่นคงที่สมเหตุสมผล
เมื่อถูกกำหนดตามกฎหมายหรือสัญญาและหลักฐานเอกสารที่เหมาะสมไม่เพียงพอ ลูกค้าสามารถใช้สิทธิ์ตรวจสอบที่เกี่ยวข้องได้ตามแจ้งล่วงหน้าโดยพิจารณาความลับ ความมั่นคง ความไม่รบกวน และการคุ้มครองข้อมูลของลูกค้ารายอื่น เว้นแต่จำเป็นเนื่องจากเหตุการณ์ด้านความมั่นคง กรอบข้อบังคับ หรือหลักฐานที่เป็นเหตุผลของการไม่ปฏิบัติตามอย่างมีนัยสำคัญ การตรวจสอบอย่างเป็นทางการโดยทั่วไปควรจำกัดไว้เพียงหนึ่งครั้งในระยะเวลาหนึ่งปี ผู้ให้บริการตรวจสอบด้วยตนเองโดยทั่วไปจะเป็นผู้รับผิดชอบค่าใช้จ่ายในการตรวจสอบ เว้นแต่กฎหมายหรือตกลงกำหนดไว้เป็นอย่างอื่น
Grouper จะเก็บข้อมูลส่วนบุคคลไว้เท่าที่จำเป็นอย่างสมเหตุสมผลเพื่อวัตถุประสงค์ที่เกี่ยวข้องหรือที่กฎหมายกำหนด
เมื่อ Grouper ทำหน้าที่เป็นผู้ประมวลผล การเก็บรักษาจะถูกกำหนดหลักโดย:
- คำสั่งลูกค้าที่บันทึกไว้;
- ข้อตกลงลูกค้าที่นำมาใช้ได้;
- ระยะเวลาการให้บริการ;
- ข้อกำหนดสนับสนุน;
- พันธกรณีตามกฎหมาย; และ
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
ลูกค้ารับผิดชอบในการรักษาข้อมูลส่วนบุคคลของลูกค้าให้ถูกต้อง หาก Grouper หรือผู้ประมวลผลทราบว่าข้อมูลไม่ถูกต้องหรือล้าสมัยในสถานการณ์ที่ต้องดำเนินการ Grouper จะร่วมกับลูกค้าในการแก้ไขหรือลบข้อมูลตามคำแนะนำที่บันทึกไว้และตามกฎหมายคุ้มครองข้อมูลที่ใช้ได้
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
คุณลักษณะบางอย่างของ BambooHR อาจใช้ปัญญาประดิษฐ์หรือแมชชีนเลิร์นนิง ความสามารถ AI เป็นทางเลือกถ้ากำหนดให้เป็นเช่นนั้น และอาจอยู่ภายใต้เงื่อนไข AI ของ BambooHR แยกต่างหาก
วัสดุบริการ AI ของ BambooHR ในปัจจุบันระบุผู้ให้บริการ AI ภายนอกที่รวมถึง OpenAI, Cohere และ Anthropic/Claude และวัสดุผู้รับเหมาช่วงในปัจจุบันอาจระบุผู้ให้บริการ AI หรือผู้ให้บริการประมวลผลเอกสารเพิ่มเติม (เช่น LlamaIndex) ขึ้นอยู่กับการกำหนดค่าคุณลักษณะ
Customers remain responsible for:
- ประเมินว่า AI เหมาะสมกับองค์กรของพวกเขาหรือไม่;
- กำหนดพื้นฐานทางกฎหมาย;
- เปิดเผยความโปร่งใสที่จำเป็นต่อผู้ข้อมูลส่วนบุคคล;
- การขอความยินยอมเมื่อจำเป็น
- การบังคับใช้งานกำกับดูแลมนุษย์เพียงพอ;
- ประเมินความลำเอียงและความยุติธรรม
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
เมื่อ BambooHR ใช้ข้อมูลลูกค้า อินพุต หรือเอาต์พุตเพื่อปรับแต่งหรือฝึกโมเดลที่เฉพาะลูกค้า ข้อตกลง AI ที่เกี่ยวข้องของ BambooHR ระบุว่าการใช้นั้นเป็นเพื่อให้ฟีเจอร์ AI แก่ลูกค้านั้น และโมเดลที่ฝึกโดยลูกค้าจะไม่ถูกนำมาให้บริการลูกค้าคนอื่นโดยรวม
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
การเข้าถึงโปรแกรมควรใช้วิธีการรับรองความถูกต้องที่รองรับและไม่ควรเปิดเผยข้อมูลลูกค้าหรือข้อมูลประจำตัวให้กับฝ่ายที่ไม่ได้รับอนุญาต
การเชื่อมต่อเหล่านั้นไม่ควรใช้งานข้อมูลลูกค้ากนัการวัตถุประสงค์ที่ระบุไว้และได้รับอนุญาต
เมื่อผู้ให้บริการการเชื่อมต่อประมวลผลข้อมูลส่วนบุคคลแทนลูกค้าหรือ Grouper จะต้องมีเงื่อนไขผู้ประมวลผลหรือผู้ประมวลผลรองที่เหมาะสมและมาตราการโอนข้อมูล
เมื่อ Grouper ทำหน้าที่เป็นผู้ควบคุมในกิจกรรมธุรกิจของตน เราอาจประมวลผลข้อมูลติดต่อทางธุรกิจที่เกี่ยวข้องกับ:
- ลูกค้าเป้าหมายในอนาคต;
- การติดต่อกับลูกค้า;
- ซัพพลายเออร์;
- พันธมิตร;
- ที่ปรึกษามืออาชีพ;
- ผู้เข้าร่วมกิจกรรม;
- ผู้เยี่ยมชมเว็บไซต์; และ
- บุคคลที่ติดต่อ Grouper.
ข้อมูลอาจรวมถึงชื่อ องค์กร บทบาท ข้อมูลติดต่อทางธุรกิจ ข้อมูลการสื่อสาร ข้อมูลสอบถาม หมายเลข IP เบราว์เซอร์และอุปกรณ์ รายการหน้าเว็บที่เข้าชม และข้อมูลทางเทคนิคคล้ายกัน
เราประมวลผลข้อมูลดังกล่าวเพื่อตอบสนองต่อข้อสอบถาม ดำเนินการความสัมพันธ์ที่ดูแลให้บริการ ส่งมอบความปลอดภัย ปฏิบัติตามสัญญา และหากได้รับอนุญาต ส่งการสื่อสารทางธุรกิจที่เกี่ยวข้องให้กับผู้รับ ปลายทางอาจเลือกออกจากการตลาดโดยตรงได้ทุกเมื่อ การสื่อสารเชิงปฏิบัติการ ตามสัญญา ความมั่นคง และบริการลูกค้าไม่ใช่การตลาด
เว็บไซต์อาจใช้คุกกี้พื้นฐาน คุกกี้ฟังก์ชัน และคุกกี้วิเคราะห์ และเทคโนโลยีที่คล้ายกัน ตามกฎหมาย หากมีข้อกำหนด คุกกี้ที่ไม่จำเป็นจะถูกใช้งานหลังจากขอความยินยอมที่เหมาะสม และผู้ใช้จะมีตัวเลือกในการตั้งค่าความต้องการ
Grouper seeks to embed privacy into service design and operations. This includes:
- ตัวเลือกการอยู่อาศัยข้อมูลยุโรป
- การลดข้อมูล
- การเข้าถึงโดยมีสิทธิ์ต่ำสุด
- การตรวจสอบสิทธิ์ที่เหมาะสม
- การเข้ารหัส;
- การบันทึกการเข้าถึง
- สิทธิ์ตามบทบาท
- การส่งข้อมูลอย่างปลอดภัย
- การควบคุมผู้ประมวลรอง
- การควบคุมการเก็บรักษา
- กระบวนการตอบสนองเหตุการณ์;
- การฝึกอบรมความเป็นส่วนตัวและความมั่นคง
- การทดสอบความมั่นคง
- DPIA สนับสนุน; และ
- ความรับผิดชอบที่บันทึกไว้
Grouper จะบันทึกและนำเสนอกลไกการกำกับดูแลที่เหมาะสมกับบทบาทของตน และจะร่วมมืออย่างสุจริตร่วมกับลูกค้า ข้อมูลส่วนบุคคล และหน่วยงานกำกับดูแลที่มีอำนาจ
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
เมื่อ Grouper ประมวลผลข้อมูลส่วนบุคคลของลูกค้าในฐานะผู้ประมวลผล ส่วน B และข้อตกลงลูกค้าใช้กำกับความสัมพันธ์ในการประมวลผล ในกรณีความขัดแย้งเกี่ยวกับข้อมูลส่วนบุคคลของลูกค้า ลำดับความสำคัญดังต่อไปนี้มีผลบังคับบังคับ: กฎหมายคุ้มครองข้อมูลที่บังคับใช้; SCC ที่ใช้อยู่ UK Addendum หรือกลไกการโอนข้อมูลที่บังคับใช้อื่น; ข้อตกลงการประมวลผลข้อมูล; ข้อกำหนดข้อมูลคุ้มครองที่ใช้งานอยู่ของข้อตกลง; และส่วนที่เหลือของข้อตกลง
ข้อเสนอด้าน Grouper ของยุโรป BambooHR สร้างขึ้นบนหลักการสามประการ:
ถิ่นฐานข้อมูลในยุโรป
ข้อมูลส่วนบุคคลของลูกค้าถูกโฮสต์และจัดเก็บภายใน EEA โดยมีโฮสติ้งหลักในไอร์แลนด์ผ่าน Amazon Web Services (AWS).
มาตรฐานความเป็นส่วนตัวของยุโรป
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
บริการและการสนับสนุนระดับยุโรป
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
เป้าหมายของเราคือการช่วยให้องค์กรสามารถใช้ BambooHR ในขณะที่คงไว้ซึ่งมาตรฐานความเป็นส่วนตัว การกำกับดูแล และที่อยู่ข้อมูลที่คาดหวังโดยลูกค้าชาวยุโรป
คำถามเกี่ยวกับนโยบายความเป็นส่วนตัวนี้ กิจกรรมการประมวลผลของ Grouper สิทธิของบุคคลข้อมูล ความปลอดภัย หรือข้อตกลงการอยู่วงข้อมูลยุโรปของเรา สามารถส่งผ่านช่องทางความเป็นส่วนตัวหรือการสนับสนือลูกค้าที่ถูกแต่งตั้งของ Grouper
Grouper Technology Limited อาจติดต่อได้ที่ชั้น 3, 22 Ely Place, Dublin, D02 AH73, Ireland
หากข้อมูลส่วนบุคคลที่เกี่ยวข้องอยู่ในบัญชี BambooHR ของนายจ้าง บุคคลธรรมดาควรติดต่อผู้จ้างงานดังกล่าวเป็นลำดับแรก เนื่องจากองค์กรนั้นโดยทั่วไปจะเป็นผู้ควบคุมข้อมูลในการกำหนดการใช้งาน
ข้อตกลงการประมวลผลข้อมูล (“DPA”) นี้เป็นส่วนหนึ่งของข้อตกลง แบบฟอร์มคำสั่ง งาน หรือสัญญาอื่นใดที่ควบคุมการให้บริการ Grouper’s BambooHR-related services ระหว่างลูกค้าและ Grouper Technology Limited
ในการให้บริการ Grouper อาจประมวลผลข้อมูลส่วนบุคคลของลูกค้าบน behalf ของลูกค้า ข้อตกลง DPA นี้กำหนดภาระผูกพันของแต่ละฝ่ายในการประมวลผลดังกล่าว
DPA นี้นำไปใช้เท่าที่ Grouper Processes Customer Personal Data ในนามของ Customer และการประมวลผลดังกล่าวอยู่ภายใต้กฎหมายการคุ้มครองข้อมูลที่บังคับใช้งit เนื้อหานี้เป็นส่วนเสริมและส่วนหนึ่งของข้อตกลง; คำที่เป็นตัวพิมพ์ใหญ่ที่ยังไม่ได้กำหนดไว้ที่นี่มีความหมายตามที่ระบุในข้อตกลง
สำหรับ DPA นี้:
ข้อมูลส่วนบุคคลของลูกค้า
ข้อมูลส่วนบุคคลที่ลูกค้าหรือผู้เกี่ยวข้องของลูกค้าควบคุมและประมวลผลโดย Grouper ในบริการ
การส่งถ่ายข้อมูลที่ถูกจำกัด
การถ่ายโอนข้อมูลส่วนบุคคลที่จำเป็นต้องมีกลไกการถ่ายโอนที่ถูกต้องตามกฎหมายภายใต้อำนาจของกฎหมายคุ้มครองข้อมูล
ข้อกำหนดสัญญามาตรฐาน (SCCs)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
บุคคลที่สามที่ได้รับการแต่งตั้งโดยหรือในนามของ Grouper เพื่อประมวลผลข้อมูลส่วนบุคคลของลูกค้า
ผู้ให้บริการเทคโนโลยี
BambooHR LLC และ ณ ที่ที่เกี่ยวข้อง BambooHR องค์กรที่ให้แพลตฟอร์มเทคโนโลยี HR พื้นฐาน
เว้นแต่จะตกลงเป็นลายลักษณ์อักษร Customer ทำหน้าที่เป็นผู้ควบคุมและ Grouper ทำหน้าที่เป็นผู้ประมวลผล เมื่อ Customer ทำหน้าที่เป็นผู้ประมวลผลให้กับผู้ควบคุมรายอื่น Grouper ทำหน้าที่เป็นผู้ประมวลผลย่อยในขอบเขตที่เกี่ยวข้อง
Grouper จะประมวลผลข้อมูลส่วนบุคคลของลูกค้าเฉพาะตามคำสั่งของลูกค้าที่บันทึกไว้และเฉพาะเพื่อให้บริการ บำรุงรักษา ปลอดภัย และสนับสนุนบริการ เว้นแต่จำเป็นต้องประมวลผลข้อมูลตามกฎหมายที่บังคับใช้งาน
Grouper จะแจ้งลูกค้าทันทีหากเห็นว่า คำสั่งใดๆ ละเมิดกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่บังคับใช้ได้และอาจระงับการประมวลผลที่ได้รับผลกระทบไว้จนกว่าจะหาทางแก้ไข
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper จะรับรองว่าบุคคลที่ได้รับอนุญาตอยู่ภายใต้พันธะความลับที่เหมาะสม เข้าถึงข้อมูลลูกค้าตามความจำเป็นเท่านั้น ได้รับการฝึกอบรมด้านความเป็นส่วนตัวและความปลอดภัยที่เหมาะสม และประมวลผลข้อมูลส่วนบุคคลของลูกค้าตาม DPA นี้และคำสั่งลูกค้าอย่างเป็นลายลักษณ์อักษร การเข้าถึงจะจำกัดตามหลักการสิทธิ์น้อยสุดและความจำเป็นต้องทราบ
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
โดเมนการควบคุมขั้นต่ำกำหนดไว้ในตารางที่ 2 Grouper สามารถปรับปรุงมาตรการเหล่านั้นได้Provided that changes do not materially diminish the overall level of protection afforded to Customer Personal Data.
Grouper จะแจ้งลูกค้าทันทีเมื่อเป็นไปได้อย่างสมเหตุสมผล และเมื่อข้อสัญญา 48 ชั่วโมงบังคับใช้งาน ให้ไม่เกิน 48 ชั่วโมงนับจากที่รับทราบเหตุการณ์ความปลอดภัยจริงที่ส่งผลต่อลูกค้าข้อมูลส่วนบุคคล
ข้อมูลอาจถูกให้บริการเป็นระยะเมื่อข้อมูลพร้อม Grouper จะให้ความร่วมมือที่เหมาะสมที่จำเป็นสำหรับลูกค้าในการปฏิบัติตามหน้าที่การแจ้งเตือนไปยังผู้ควบคุมดูแลและผู้มีสิทธิ์ได้รับผลกระทบ
ลูกค้ามอบอำนาจทั่วไปเป็นลายลักษณ์อักษรให้ Grouper ใช้ Sub-processors ที่จำเป็นเพื่อให้บริการ
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
เมื่อ DPA ของ BambooHR ดำเนินการอยู่ ปัจจุบัน BambooHR จะให้แจ้งล่วงหน้าเป็นลายลักษณ์อักษรอย่างน้อย 30 วันเกี่ยวกับ Subcontractor ใหม่ที่จะประมวลผลข้อมูลส่วนบุคคลของลูกค้า
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
หาก Grouper ได้รับคำขอโดยตรงที่เกี่ยวข้องกับข้อมูลส่วนบุคคลของลูกค้า Grouper จะเร่งส่งต่อหรือติดต่อกลับลูกค้าและจะไม่ตอบสนองในเชิงสาระเว้นแต่มีคำสั่งที่บันทึกไว้หรือตามที่กฎหมายกำหนด
Grouper จะให้ความช่วยเหลืออย่างสมเหตุสมผล โดยพิจารณาลักษณะการประมวลผลและข้อมูลที่มีอยู่ เหน้ Data Protection Impact Assessments การปรึกษาล่วงหน้ากับหน่วยงานกำกับดูแล และการสอบถามหรือตรวจสอบที่เหมาะสมโดยหน่วยงานกำกับดูแลที่มีอำนาจที่เกี่ยวข้องกับบริการ
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
ในขอบเขตที่กฎหมายอนุญาต Grouper จะทบทวนคำขอจากหน่วยงานสาธารณะที่มีผลผูกพันทางกฎหมายสำหรับข้อมูลส่วนบุคคลของลูกค้า ท้าทายคำขอที่ผิดกฎหมายหรือไม่สัดส่วนเมื่อมีเหตุผล มุ่งหวังที่จะจำกัดการเปิดเผยให้อยู่ในขั้นต่ำตามกฎหมาย แจ้งลูกค้าเมื่อได้รับอนุญาตทางกฎหมาย และ maintains บันทึกที่เหมาะสม
ตามคำขอของลูกค้า หรือเมื่อบริการสิ้นสุดหรือหมดอายุ Grouper จะคืนข้อมูลส่วนบุคคลของลูกค้หรือทำลายอย่างปลอดภัยตามตัวเลือกของลูกค้าและขอให้ Sub-processors ที่เกี่ยวข้องทำเช่นเดียวกัน หากกฎหมายกำหนดให้เก็บรักษา Grouper จะถูกแยกออกและปกป้องข้อมูลที่เก็บรักษาไว้และประมวลผลเฉพาะที่จำเป็นตามกฎหมาย
ลูกค้าการันตีว่าได้รับสิทธิ์ การอนุญาต การแจ้งล่วงหน้า ฐานกฎหมาย และความยินยอมที่จำเป็นในการให้ข้อมูลส่วนบุคคลของลูกค้าเพื่อการประมวลผล; คำสั่งของตนสอดคล้องกับกฎหมายคุ้มครองข้อมูลที่บังคับใช้งาน; จะไม่สั่งให้มีการประมวลผลที่ผิดกฎหมาย; และจะกำหนดค่าและใช้งานบริการอย่างปลอดภัยและรักษาการควบคุมที่เหมาะสมต่อบัญชีผู้ใช้ รหัสผ่าน และการรวมระบบ
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
DPA นี้มีผลบังคับเมื่อ Customer ตกลงและต่อเนื่องตลอดระยะเวลาที่ Grouper ประมวลผลข้อมูลส่วนบุคคลของลูกค้า การ obligations ที่ตามธรรมชาติหรือตามกฎหมายต้องดำเนินต่อไปเมื่อข้อมูลยังคงถูกเก็บรักษาไว้จะมีอยู่ต่อเมื่อหมดอายุหรือยุติ
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
ในกรณีที่ข้อมูลส่วนบุคคลของลูกค้มีความขัดแย้ง ลำดับความสำคัญต่อไปนี้จะใช้: กฎหมายคุ้มครองข้อมูลที่บังคับใช้อย่างจำเป็น SCCs ที่ใช้งานอยู่ UK Addendum หรือกลไกการถ่ายโอนที่บังคับใช้อื่นๆ DPA นี้ ข้อกำหนดข้อมูลคุ้มครองในข้อตกลง และส่วนที่เหลือของข้อตกลง
ผู้ควบคุม / ผู้ส่งออกข้อมูล
The Customer identified in the applicable Agreement or Order Form.
ผู้ประมวลผล / ผู้เข้าสู่ข้อมูล
Grouper Technology Limited, 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland
ผู้ให้บริการเทคโนโลยี
BambooHR LLC และ entities BambooHR ที่เกี่ยวข้องที่ให้แพลตฟอร์ม HRIS ขั้นพื้นฐาน
สาระสำคัญ
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
ธรรมชาติของการประมวลผล
การรวบรวม การรับ การบันทึก การจัดระเบียบ โครงสร้าง การโยกย้าย โฮสต์ การเก็บรักษา การเรียกดู การปรึกษา การใช้งาน การส่งผ่าน การให้ความสามารถ การจำกัด การสนับสนุน การเข้าถึง การลบ และการประมวลผลอื่นๆ ที่จำเป็นอย่างสมเหตุสมผลเพื่อให้บริการ
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
ตลอดระยะเวลาบริการและระยะเวลาอื่นๆ ที่จำเป็นเพื่อคืนข้อมูลส่วนบุคคลของลูกค้หรือลบข้อมูลหรือปฏิบัติตามกฎหมาย
ผู้ถูกร้องเรื่องข้อมูล
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
ข้อมูลส่วนบุคคล
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
ข้อมูลที่อ่อนไหว
เมื่อมีการเลือกโดยลูกค้า อาจรวมถึงข้อมูลด้านสุขภาพและความพิการ และข้อมูลหมวดหมู่พิเศษหรือข้อมูลอ่อนไหวที่บริการอนุญาต
ที่จัดเก็บในยุโรปเป็นหลัก
ไอร์แลนด์ / EEA ผ่าน Amazon Web Services (AWS) สำหรับลูกค้าที่ซื้อบริการที่อยู่ข้อมูลยุโรป
หน่วยงานกำกับดูแลที่มีอำนาจ
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper รักษามาตรการทางเทคนิคและองค์กรในโดเมนควบคุมขั้นต่ำดังต่อไปนี้:
1. การกำกับดูแลความมั่นคงข้อมูล
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. ความปลอดภัยบุคลากร
พันธะความลับ ความคัดกรองที่เหมาะสมตามบทบาทเมื่อถูกต้องตามกฎหมาย การรับรู้ด้านความปลอดภัยและการฝึกอบรมความเป็นส่วนตัว และการควบคุมลงโทษสำหรับการเข้าถึงที่ไม่ได้รับอนุญาต
3. ความปลอดภัยทางกายภาพ
การเข้าถึงสถานที่และโครงสร้างพื้นฐานที่เกี่ยวข้องถูกจำกัด ทางเข้าที่ควบคุมได้ เส้นทางเข้าถึง สิทธิ์การเข้าถึง การเฝ้าระวังทางกายภาพ และมาตรการป้องกันอื่นๆ ตามสภาพแวดล้อมโฮสติ้ง
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. การควบคุมการเข้าถึงข้อมูล
มาตรการควบคุมที่อนุญาตให้ผู้ใช้ที่ได้รับอนุญาตเข้าถึงเฉพาะข้อมูลภายในสิทธิ์ของตนเท่านั้น การบันทึกและเฝ้าระวังการเข้าถึง การเปิดเผยข้อมูลเฉพาะบุคคลที่ได้รับอนุญาต
6. การเข้ารหัสและการสร้างนามแฝง
การเข้ารหัสข้อมูลส่วนบุคคลที่กำลังส่งและที่จัดเก็บเท่าที่เหมาะสม การสร้างนามแฝงตามความเหมาะสมกับวัตถุประสงค์การประมวลผล
7. ความมั่นคงของเครือข่ายและการส่งข้อมูล
ไฟร์วอลล์ ประตูทางผ่านที่ปลอดภัย ช่องทางสื่อสารที่ปลอดภัย TLS/SFTP หรือกลไกการถ่ายโอนที่ปลอดภัยเทียบเท่า และมาตรการป้องกันการดักฟังหรือการเปลี่ยนแปลงโดยไม่ได้รับอนุญาต
8. การบันทึกและการเฝ้าระวัง
การบันทึกกิจกรรมระบบที่สำคัญ การบริหารและการเข้าถึง การเฝ้าระวังเหตุการณ์ที่เป็นที่สงสัย การรักษาบันทึกการตรวจสอบที่สอดคล้องกับความเสี่ยง
9. การควบคุมอินพุตและการเปลี่ยนแปลง
มาตรการระบุตัวตนผู้ที่บันทึกข้อมูล แก้ไข หรือ ลบข้อมูล; การรับรองตัวตนของผู้ใช้และระบบที่ได้รับอนุญาต; แนวทางการจัดการการเปลี่ยนแปลงที่บันทึกไว้
10. การทดสอบหาช่องโหว่และความปลอดภัย
ขั้นตอนในการระบุ ประเมิน และแก้ไขช่องโหว่ การทดสอบเจาะระบบหรือความปลอดภัยเป็นระยะๆ การประเมินและประเมินความมีประสิทธิภาพของการควบคุมอย่างสม่ำเสมอ
11. ความพร้อมใช้งาน สำรองข้อมูล และการกู้คืน
ความซ้ำซ้อนของโครงสร้างพื้นฐาน สำรองข้อมูล ความสามารถในการกู้คืน การควบคุมการพร้อมใช้งาน และการป้องกันการสูญหายหรือทำลายโดยบังเอิญ
12. ความต่อเนื่องทางธุรกิจและการกู้คืนจากภัยพิบัติ
แผนความต่อเนื่องและการกู้คืนที่บันทึกไว้เพื่อเรียกคืนการใช้งานและการเข้าถึงได้อย่างทันท่วงทีหลังจากการหยุดชะงักหรือเหตุการณ์ความปลอดภัย
13. การแยกข้อมูล
การแยกทางตรรกะหรือตามระดับแอปพลิเคชันระหว่างลูกค้าและระหว่างวัตถุประสงค์การประมวลผล; มาตรการป้องกันการเข้าถึงข้ามลูกค้าโดยไม่ได้รับอนุญาต
14. การพัฒนาอย่างปลอดภัย
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
การตรวจสอบอย่างรอบคอบ ข้อตกลงด้านความคุ้มครองข้อมูลที่เป็นลายลักษณ์อักษร มาตรการความปลอดภัยในการโอนถ่ายและการกำกับดูแลอย่างต่อเนื่องที่เหมาะสมกับการประมวลผล
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
การส่งผ่านที่จำกัดในสหภาพยุโรป
เมื่อจำเป็นต้องใช้งาน SCC ของสหภาพยุโรป คำสั่ง SCC ของคณะกรรมาธิการยุโรปอย่างเป็นทางการจะถูกรวมเข้ามาโดยอ้างอิงโดยไม่แก้ไขวาจาที่บังคับ หากบทบาทไม่ระบุเป็นอย่างอื่น ลูกค้าคือผู้ส่งออกข้อมูล Grouper และ/หรือผู้ให้บริการเทคโนโลยีที่เกี่ยวข้องคือผู้รับข้อมูล และโมดูลที่สองใช้กับการถ่ายโอนจากผู้ควบคุมไปยังผู้ประมวลผล
การส่งผ่านที่จำกัดในสหราชอาณาจักร
สำหรับการโอนข้อมูลที่อยู่ภายใต้กฎหมายคุ้มครองข้อมูลของสหราชอาณาจักร EU SCC จะใช้ร่วมกับ UK Addendum หรือกลไกการโอนข้อมูลที่ถูกต้องตามกฎหมายอื่นๆ
การส่งผ่านระหว่างประเทศสวิตเซอร์แลนด์
สำหรับการส่งผ่านที่อยู่ภายใต้กฎหมายคุ้มครองข้อมูลของสวิตเซอร์แลนด์ SCCs จะถูกตีความและปรับให้สอดคล้องตามกฎหมายสวิตเซอร์แลนด์ที่บังคับ รวมถึงการอ้างอิงถึงหน่วยงานกำกับดูแลของสวิตเซอร์แลนด์และบุคคลที่เกี่ยวข้องในสวิตเซอร์แลนด์อย่างเหมาะสม
กรอบความเป็นส่วนตัวข้อมูล EU-US
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
สถานการณ์การเข้าถึงที่ผิดปกติสำหรับลูกค้าในยุโรป
การเข้าถึงพิเศษที่ไม่ใช่ EEA ที่ได้รับอนุญาตอาจเกิดได้เฉพาะในสถานการณ์ต่อไปนี้:
- เหตุฉุกเฉินที่กระทบสภาพแวดล้อมศูนย์ข้อมูลในไอร์แลนด์หรือความต่อเนื่องของบริการ
- a คำขอสนับสนุนหรือบำรุงรักษาที่ต้องการการเข้าถึงจากผู้เชี่ยวชาญที่ได้รับอนุญาตนอก EEA โดยอยู่ในข้อบังคับของการอนุมัติลูกค้าหรือการอนุญาตตามสัญญา; และ
- a คำขอโดยลูกค้าที่ผ่านการตรวจสอบเพื่อการประมวลผลหรือโฮสต์นอกภูมิภาคยุโรป
ผู้ให้บริการที่ใช้งานจริงอาจแตกต่างกันไปตามผลิตภัณฑ์ ฟีเจอร์ ช่องทางสนับสนุน และการกำหนดค่าของลูกค้า ขณะนี้มีการบันทึกผู้ให้บริการรองที่ใช้งานจริงที่ Grouper และ/หรือ BambooHR กำกับดูแลสำหรับการส่งมอบบริการที่ใช้งาน
ผู้ให้บริการหลักต่อไปนี้ได้ระบุไว้ในเอกสารบริการที่ governing ผู้ให้บริการที่ระบุไว้ที่นี่ไม่ได้หมายความว่าจะประมวลผลข้อมูลส่วนบุคคลของลูกค้าสำหรับลูกค้าทุกคนหรือทุกการติดตั้ง
BambooHR LLC
ผู้ให้บริการเทคโนโลยี; การบำรุงรักษา HRIS, ที่โฮสต์และสนับสนุน ตำแหน่ง: สหรัฐอเมริกา / พื้นที่ให้บริการรวมถึงยุโรป
Amazon Web Services (AWS)
โครงสร้างพื้นฐานโฮสติ้งคลาวด์หลัก; โฮสติ้งระดับยุโรปในไอร์แลนด์ ตำแหน่ง: ไอร์แลนด์ / ยุโรปและภูมิภาคอื่นๆ ตามการกำหนดค่าบริการ
แอนโทรปิก / คลอด
การประมวลผล AI / ภาษาโมเดล ตำแหน่ง: สหรัฐอเมริกา
Cohere
API ภาษาโมเดล / การประมวลผล AI ตำแหน่ง: สหรัฐอเมริกา
OpenAI
API ภาษาโมเดล / การประมวลผล AI ตำแหน่ง: สหรัฐอเมริกา
LlamaIndex / LlamaParse
การประมวลผลเอกสารเพิ่มเติมที่เกี่ยวข้องกับความสามารถ AI ตำแหน่ง: สหรัฐอเมริกา
แอตลาส MongoDB
การจัดเก็บข้อมูลที่สนับสนุนบริการที่เลือก / ฟังก์ชันที่เกี่ยวข้องกับ AI ตำแหน่ง: สหรัฐอเมริกา
Gainsight
บริการความสัมพันธ์กับลูกค้า / CRM
Salesforce
แพลตฟอร์ม CRM
Cloudflare
ไฟร์วอลล์เว็บแอปพลิเคชัน / ความปลอดภัย
Datadog
การเฝ้าระวังโครงสร้างพื้นฐานและแอปพลิเคชัน
Microsoft / Google Workspace
ความร่วมมือ การสื่อสาร และที่เก็บเอกสารขึ้นอยู่กับการกำหนดค่าปัจจุบัน
Mailgun
การสื่อสารของแอปพลิเคชัน
Snowflake
การวิเคราะห์ข้อมูล
Twilio
MFA / ส่งต่อ SMS
ผู้ให้บริการเพิ่มเติม
ผู้ให้บริการเพิ่มเติมที่ระบุในเอกสารบริการปัจจุบันอาจรวม Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike และอื่นๆ ลูกค้าควรอ้างถึงรายการ subcontractor ของ BambooHR ที่ใช้งานจริงและข้อมูล subprocessor ปัจจุบันของ Grouper เพื่อดูรายละเอียดล่าสุด
1. ขอบเขต
ตารางนี้มีผลเมื่อ ลูกค้เปิดใช้งานหรือนำฟังก์ชันการใช้งานปัญญาประดิษฐ์หรือแมชชีนเลิร์นนิงที่ BambooHR รองรับบริการที่ Grouper รองรับ
2. ผู้ให้ AI
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. อินพุตและเอาต์พุต
คำสั่งหรือข้อมูลที่ลูกค้าวางส่งให้ฟังก์ชัน AI หรือคำแนะนำอาจถือเป็น “Inputs” และการตอบสนองที่สร้างขึ้นอาจถือเป็น “Outputs” ตามลักษณะของฟีเจอร์ Inputs หรือ Outputs อาจรวมข้อมูลลูกค้า Outputs อาจไม่เป็นเอกลักษณ์และอาจคล้ายกับ Outputs ที่สร้างให้กับผู้ใช้อื่น
4. ความรับผิดชอบของลูกค้าและการกำกับดูแลบุคคลากร
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. ข้อจำกัดข้อมูลที่อ่อนไหวและข้อมูลที่ถูกควบคุม
หากห้ามภายใต้เงื่อนไขการใช้งาน AI ที่เกี่ยวข้อง ลูกค้าห้ามส่งข้อมูลอ่อนไหวหรือข้อมูลที่ถูกควบคุมไปยังฟีเจอร์ AI รวมถึงข้อมูลด้านสุขภาพ ข้อมูลทางพันธุกรรมหรือชีวมิติ เลขประจำตัวที่ออกโดยรัฐบาล หรือข้อมูลการเงินส่วนบุคคลหรือบัญชีธนาคาร ลูกค้าควรลดข้อมูลส่วนบุคคลใน prompts
6. ความถูกต้อง อคติ และความเป็นธรรม
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
เมื่อเงื่อนไขการใช้งาน BambooHR AI อนุญาตให้ใช้ข้อมูลประสิทธิภาพและข้อเสนอแนะเพื่อปรับปรุงฟังก์ชัน AI การใช้งานนั้นถูกกำกับด้วยเงื่อนไขเหล่านั้น หากข้อมูลของลูกค้าถูกนำมาใช้เพื่อปรับแต่งโมเดลเฉพาะลูกค้า โมเดลที่ได้จะถูกนำมาใช้เพื่อให้ฟีเจอร์ AI กับลูกค้ารายนั้นและจะไม่ถูกใช้งานเพื่อให้บริการลูกค้ารายอื่น
8. การประมวลผลระหว่างประเทศ
ผู้ให้บริการ AI อาจประมวลผล Inputs ที่ได้รับอนุญาตหรือข้อมูลส่วนบุคคลที่เกี่ยวข้องนอก EEА การประมวลผลดังกล่าวอยู่ภายใต้มาตรการการโอนข้อมูลใน DPA นี้และไม่เปลี่ยนแปลงตำแหน่งที่ตั้งของภูมิภาคการเก็บข้อมูล HRIS หลักของลูกค้า ลูกค้าควรประเมินว่าแนวใช้งาน AI ทางเลือกสอดคล้องกับที่อยู่อาศัยของตนเอง แนวคิดคณะทำงานด้านงาน และความเสี่ยงก่อนเปิดใช้งาน
มีคำถามเกี่ยวกับนโยบายความเป็นส่วนตัวนี้หรือสิทธิข้อมูลของคุณหรือไม่?
ติดต่อเรา
