Legal
Gizlilik Politikası | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
Son güncelleme: 16 Ağustos 2026
Grouper kişisel verileri korumaya ve gizlilik, güvenlik ile mevzuata uygunluğu yüksek standartlarda sürdürmeye kararlıdır. Veri koruması, temel operasyonel ve sözleşmesel sorumluluk olarak ele alınır; sonradan düşünülmüş bir mesele değildir. Hizmet sunumumuzu, erişim kontrollerini, destek süreçlerini ve satıcı yönetişimini GDPR hesap verebilirlik, bütünlük, gizlilik ve şeffaflık ilkelerini yansıtacak şekilde tasarlarız.
Bu Gizlilik Politikası, Grouper Technology Limited (“Grouper”, “biz”, “bizim” veya “bizim tarafımızdan”) tarafından hizmetlerimizle ilişkili olarak kişisel verilerin nasıl toplandığını, kullanıldığını, erişildiğini, barındırıldığını, depolandığını, korunduğunu, aktarılmasını ve diğer şekillerde işlenmesini açıklamaktadır; ayrıca BambooHR ile olan Avrupa partnerliğimizdeki rolümüzü de kapsamaktadır.
Grouper İrlanda, Birleşik Krallık, Avrupa ve diğer bölgelerde BambooHR HRIS platformunun dağıtımı, yönetimi ve kullanımı ile ilgili kuruluşları destekler.
Avrupa hizmet modelimiz, Avrupa veri ikametinin net bir ilkesine dayalı olarak tasarlanmıştır. Grouper’ın Avrupa BambooHR hizmeti üzerinden işlenen Müşteri Kişisel Verileri, Avrupa Ekonomik Alanı (“EEA”) içinde barındırılır ve depolanır; birincil barındırma konumu İrlanda’dadır.
Bu Gizlilik Politikası şu kişilerle ilişkili olarak işlenen kişisel verilere uygulanır:
- BambooHR uygulaması ve onboarding;
- HRIS yapılandırması;
- hesap yönetimi;
- müşteri desteği;
- teknik destek;
- entegrasyon desteği;
- veri göçü;
- müşteri başarısı;
- eğitim;
- profesyonel hizmetler;
- güvenlik ve hizmet yönetimi;
- müşteri iletişimleri;
- satış ve demonstrasyonlar;
- Grouper web siteleri ve dijital hizmetler; ve
- genel iş faaliyetlerimiz.
Grouper Teknoloji Limited, kayıtlı ofisi Dublin, Ely Place 22, 3. Kat, D02 AH73, İrlanda adresinde bulunan bir İrlanda şirketidir.
BambooHR temel insan kaynakları bilgi sistemi ve ilgili ürün işlevselliğini sağlar. Grouper Avrupa uygulaması, göç, yapılandırma, eğitim, müşteri başarısı, destek, hizmet yönetimi ve ilgili profesyonel hizmetleri sağlar. Müşteri’nin aboneliğine ve yapılandırmasına bağlı olarak, BambooHR HRIS platformu çalışan kayıtları, onboarding, işe alım, zaman ve devam, izin yönetimi, performans, ücretlendirme, yan haklar, bordro ile ilgili işlevsellik, raporlama, analizler, entegrasyonlar, API’ler ve yapay zeka özelliklerini destekleyebilir.
Bir müşterinin satın aldığı hizmetlere bağlı olarak Grouper şu hizmetleri sunabilir:
- BambooHR uygulaması;
- onboarding;
- konfigurasyon;
- hesap kurulumu;
- geçiş yardımı;
- entegrasyon hizmetleri;
- teknik destek;
- HRIS desteği;
- eğitim;
- müşteri-başarı hizmetleri;
- hizmet yönetimi;
- teknik sorun giderme; ve
- ilişkili profesyonel hizmetler.
Grouper'nin kesin veri koruma rolü belirli İşleme faaliyetine bağlıdır.
Grouper amaçları ve İşlemlerin araçlarını — örneğin belirli web sitesi, satış, iş teması, güvenlik veya kurumsal yönetim faaliyetlerinde — belirlediğinde, Grouper Yetkili olarak hareket eder.
Grouper Müşterinin adına ve o Müşteri’nin belgelenmiş talimatlarına uygun olarak Kişisel Verileri İşlediğinde, Grouper İşlemci olarak hareket eder.
Müşteri kendisi başka bir Kontrolör için İşleyen olarak hareket ediyorsa, Grouper geçerli ölçekte Alt-işleyen olarak hareket edebilir.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 Çekirdek Avrupa Yerleşimi Taahhüdü
Grouper’ın Avrupa BambooHR hizmetini EEA veri ikametinde satın alan Müşteriler için, çekirdek HRIS üretim ortamını oluşturan Müşteri Kişisel Verileri EEA içinde barındırılır ve depolanır; birincil barındırma konumu İrlanda’dır.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 Saklama ile Erişim Arasındaki Fark
Veri ikametgahı, Müşteri Kişisel Verilerin nerede saklandığını açıklar. Başka bir ülkeden yetkili destek veya teknik erişimin asla gerçekleşmeyeceği anlamına gelmez.
Aşağı EEA dışından olağanüstü erişim yalnızca gerekli, yetkilendirilmiş ve bu Politika’nın 17 ve 18. bölümlerinde belirtildiği şekilde yasal olarak korunan durumlarda gerçekleşebilir.
4.3 Yedekler, Dayanıklılık ve Felaket Kurtarma
Güvenliği, bütünlüğü ve kullanılabilirliği korumaya yönelik yedekleme, dayanıklılık ve felaket kurtarma düzenlemeleri, Müşteri’nin sözleşmeli bölgesel barındırma taahhütleriyle tutarlı kalacak şekilde tasarlanmıştır.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 EEA Dışında Göçmenlik Rutinine Özel Yol Açma Yok
Grouper, Avrupalı Müşteri Kişisel Verilerinin rutin olarak taşınması için olağanüstü destek erişimini bir mekanizma olarak kullanmaz.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
“Geçerli Veri Koruma Hakkı Yasası” işlenen verilerin korunması, gizliliği ve veri güvenliğiyle ilgili tüm yasa ve yönetmelikleri kapsar ve ilgili olduğu durumlarda şunları içerir:
- Regulation (EU) 2016/679 — Genel Veri Koruma Yönetmeliği (GDPR);
- İrlandiya Veri Koruma Act 2018;
- uygulanabilir Kilt Irish ePrivacy ve elektronik iletişim kuralları;
- UK GDPR ve UK Data Protection Act 2018 uygulanabilir olduğu durumlarda;
- uygulanabilir İsviçre veri koruma hukuku uygun olduğunda;
- Avrupa gizlilik gerekliliklerini uygulayan ulusal mevzuat uygulanabilir; ve
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
İşlenen bilgiler Müşterinin seçtiği Hizmetlere ve Müşterinin HR ortamına koymaya karar verdiği verilere bağlıdır.
6.1 Employee and Workforce Information
Kişisel Veriler şunları içerebilir:
- isim ve çalışan kimlik numaraları;
- sağlanan fotoğraflar;
- ev veya iş iletişim bilgileri;
- doğum tarihi, cinsiyet ve demografik bilgiler (sağlandığında);
- evli veya ailesel bilgiler (sağlandığında);
- acil iletişimler ve telefon numaraları;
- akademik ve mesleki nitelikler;
- CV veya özgeçmiş bilgisi, istihdam geçmişi ve dil yeterliliği;
- iş unvanı, kademe, bölüm, konum, raporlama hatları ve ekip ilişkisi;
- işe alınma ve sonlandırma tarihleri, çalışma saatleri ve sözleşme detayları;
- performans, değerlendirme, disiplin ve iş geçmişi bilgileri;
- yarar, sigorta, şirket varlıkları ve eğitim bilgileri; ve
- izinler, katılım ve izin süresi bilgileri.
6.2 Maaş ve Ücret Bilgileri
İlgili hizmetler kullanıldığında, Kişisel Veriler şunları içerebilir:
- maaş, ücret ve primler;
- vergi ve sosyal güvenlik bilgileri;
- banka ve ödeme ayrıntıları;
- emeklilik bilgileri;
- hisse senedi opsiyonları ve diğer faydalar; ve
- diğer maaşla ilgili bilgiler.
6.3 İşe Alma, Aday ve Referans Bilgileri
For candidates, prospective employees and referees, information may include:
- Kimlik ve iletişim bilgileri;
- CVler, özgeçmişler, istihdam geçmişi ve nitelikler;
- başvuru, görüşme ve işe alım kayıtları;
- aday iletişimi ve işe alım durumu;
- önerilen ücret bilgisi;
- referans isimleri, iletişim bilgileri ve mesleki ilişki; ve
- referanslarda yer alan bilgiler.
6.4 Özel Kategoriler ve Hassas Veriler
BambooHR HRIS platformünün bir müşterinin kullanımına bağlı olarak, Hizmetler sağlık veya engellilik bilgileri ve diğer özel kategori veya hassas Kişisel Verileri içerebilir.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
Müşteriler, gerekli, yasal ve ilgili ürün şartları tarafından izin verilmedikçe serbest metin alanlarına veya AI özelliklerine hassas bilgi koymamalıdır.
Grouper’n hizmetleriyle ilgili işlenen Kişisel Veriler şu konularla ilişkili olabilir:
- mevcut, eski, olası ve gelecekteki çalışanlar;
- adaylar ve başvuranlar;
- yükleniciler, danışmanlar, ajanlar ve bağımsız yükleniciler;
- ajans, geçici ve gündelik çalışanlar;
- stajyerler ve gönüllüler;
- çalışan bağımlıları, yararlanıcılar ve acil iletişimler;
- gözetmenler ve referans sağlayıcılar;
- Müşteri yöneticileri ve yetkili kullanıcılar; ve
- Hizmetlere yasal olarak Kişisel Verisini gönderen diğer kişiler.
Kişisel Veriler şu yollarla elde edilebilir:
- kişiden doğrudan;
- bireyin işvereni veya aday işvereni tarafından;
- Müşteri yöneticileri ve yetkili kullanıcılarından;
- uygulama, konfigurasyon ve veri geçişi sırasında;
- yetkili entegrasyonlar veya API'lar aracılığıyla;
- destek talepleri ve sorun giderme yoluyla;
- BambooHR HRIS platformu veya Müşteri tarafından seçilen başka bir sistem üzerinden;
- istihdam süreçleri yoluyla;
- yasal olarak kullanıldığı kamusal kaynaklardan; ve
- Müşteri tarafından yetkilendirilmiş diğer yasal kaynaklardan.
Grouper Kişisel Verileri yalnızca belirlenen ve yasal amaçlar için işler. Bunlar şunları içerebilir:
- BambooHR HRIS platformunu uygulama ve yapılandırma;
- Müşteri Kişisel Verilerinin barındırılması veya barındırılmasının kolaylaştırılması;
- hesaplar ve kullanıcı izinlerini yönetme;
- hizmeti sürdürme ve güvenliğini sağlama;
- müşteri ve teknik desteği sağlama;
- entegrasyonları ve geçişleri destekleme;
- eğitim ve profesyonel hizmetler sunma;
- abonelikleri ve müşteri ilişkilerini yönetme;
- güvenlik olaylarını tespit etme ve araştırma;
- denetim kayıtlarını sürdürme;
- dolandırıcılık veya kötüye kullanımı önleme;
- yasal yükümlülüklere uyum; ve
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
Destek personeli Müşteri Kişisel Verilerine eriştiğinde, erişim, destek amacıyla makul olarak gerekli olan minimum bilgilerle sınırlı olmalı ve gizlilik ile erişim kontrollerine tabi yetkili personel tarafından gerçekleştirilmelidir.
Grouper Kontrolör olarak hareket ettiğinde uygulanabilir yasal dayanaklar şunları içerebilir:
10.1 Sözleşme
Bir sözleşmeye girmek veya sözleşmeyi yerine getirmek için gerekli olan işlemler veya bireyin talebiyle bir sözleşmeye girmeden önce adımlar atmak.
10.2 Meşru Menfaatler
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- hizmet sunumu;
- müşteri yönetimi;
- bilgi güvenliği;
- dolandırıcılık önleme;
- iş sürekliliği;
- müşteri desteği; ve
- relationship management.
10.3 Yasal Zorunluluk
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 Onay
Uygulama uygun olduğunda rızaya dayanabilir. Rıza herhangi bir zamanda geri çekilebilir; geri çekme, çekilmeden önceki işleme hukuka uygunluğu etkilemez.
Müşteri Kontrolör olarak hareket ettiğinde, Müşteri şunlardan sorumludur:
- Kişisel Verilerin hangi amaçlarla işleneceğini belirlemek;
- meşru temeller ve özel kategori şartlarının oluşturulması;
- gerekli gizlilik bildirimlerini sağlamak;
- gerekli olduğunda onay almak;
- veri doğruluğunu ve kalitesini sağlamak;
- uygun saklama sürelerini belirlemek;
- yetkili kullanıcıları ve izinleri yönetmek;
- Hizmetleri güvenli bir şekilde kullanmak; ve
- Grouper yönergelerinin yasal olduğundan emin olmak.
Müşteri, Grouper'nin Kişisel Verileri, Uygulanabilir Veri Koruma Hukuku’nu ihlal edecek şekilde İşlemesini talimatlandırmamalıdır.
Grouper, talimatın Uygulanabilir Veri Koruma Hukuku’nu ihlal ettiğini makul görüşüyle tespit ederse Müşteriyi bilgilendirecek ve sorun çözüme kavuşana kadar etkilenen İşlemeyi askıya alabilir.
Grouper, Kişisel Verilere erişimi, görevleri için makul şekilde gerektiren yetkili kişilerle sınırlı tutar. Personel, uygun gizlilik yükümlülüklerine tabidir ve rolüne uygun gizlilik ve güvenlik eğitimi alır. Erişim en az ayrıcalık ve bilme gerekliliği ilkelerine göre yönetilir.
Erişim Kontrolleri Şunları İçerir:
- kimlik doğrulama kontrolleri;
- rol tabanlı ve ayrıcalıklı erişim kontrolleri;
- idari hesap kontrolleri;
- hesap yaşam döngüsü yönetimi;
- erişim kayıtları ve izleme;
- periyodik erişim incelemesi;
- gizlilik ve uygun kullanım gereklilikleri; ve
- uygun personel güvenliği ve eğitimi.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
Ölçütler şunları içerir:
- fiziksel ve mantıksal erişim kontrolleri;
- güçlü kimlik doğrulama ve uygun parola kontrolleri;
- gerektiğinde iletimde ve dinlenimde şifreleme;
- gerektiğinde takma adlandırma;
- ağ güvenlik duvarları, çevre güvenliği ve izinsiz giriş tespiti;
- kayıt tutma, izleme ve denetim günlükleri;
- zaaf yönetimi ve güvenlik testleri;
- kısıtlı yönetici erişimi;
- güvenli iletim, korunan iletim kanalları dahil;
- yedekleme, yedekleme, kurtarma ve dayanıklılık;
- iş sürekliliği ve felaket kurtarma planlaması;
- güvenli geliştirme ve değişiklik yönetimi;
- müşteriler ile işlenen amaçlar arasında veri ayrımı;
- olay müdahalesi prosedürleri;
- vekil personel güvenlik farkındalığı ve eğitimi; ve
- alt işlemci özen ve güvenlik yönetişimi.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
Where Grouper İşleyici olarak hareket eder ve Müşteri Kişisel Verilerini etkileyen gerçek veya şüpheli bir Kişisel Veri İhlalinden haberdar olduğunda, Grouper söz konusu olayı en hızlı mümkün olan zamanda ve her durumda olayı fark eder fark etmez 48 saat içinde ilgili Müşteriyi bilgilendirecektir.
Makul ölçüde mevcut olduğu ölçüde bildirim şunları içerecektir:
- olayın doğası;
- etkilenen Kişisel Verilerin kategorileri;
- yaklaşık Veri Sahipleri ve kayıt sayıları;
- muhtemel sonuçlar;
- alınan veya önerilen önlemler;
- hafifletici eylemler; ve
- ilgili bilgi için bir irtibat noktası.
Bilgi, mevcut oldukça aşamalı olarak sağlanabilir.
Grouper Müşterinin yürütülebilir mevzuata uygun bildirim yükümlülüklerini karşılaması için makul işbirliği sağlayacaktır.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper, gerektiğinde, Hizmetleri sunmak, barındırmak, güvenli kılmak, desteklemek, izlemek veya iyileştirmek amacıyla dikkatle seçilmiş Alt işlemcileri ve hizmet sağlayıcıları atayabilir.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
Uygulanabilir müşteri şartları genel yazılı yetki sağlıyorsa, Müşterilere önemli yeni Alt işlemcilerin ön bildirimi ve makul veri koruma gerekçeleriyle itiraz etme imkanı sağlanacaktır.
BambooHR alt etkileyicileri için mevcut BambooHR DPA, Müşteri Kişisel Verilerini İşletecek yeni Bir Alt Yüklenici hakkında en az 30 gün önceden bildirim sağlar.
Schedule 4, ana sağlayıcı kategorileri ve yönetim hizmet materyallerinde belirlenen adlandırılmış sağlayıcılar hakkında şeffaflık sağlar.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
BambooHR’n İşlemesi, geçerli sözleşme ve veri koruma hükümlerine, DPA’ya, güvenlik önlemlerine, alt yüklenici düzenlemelerine ve uluslararası transfer güvenliklerine tabidir.
Grouper, Uygulanabilir Veri Koruma Hukuku ve ilgili müşteri sözleşmesi kapsamındaki kendi yükümlülüklerinden sorumlu olmaya devam eder. BambooHR Avrupa müşteri ortamını desteklemek amacıyla Grouper Personal Data işlediğinde, geçerli sözleşmesel, güvenlik ve veri ikamet gereklilikleri uygulanır.
Grouper’n Avrupa hizmetine ilişkin sözleşmeli hizmeti için, Müşteri Kişisel Verileri EEA içinde saklanacak şekilde tasarlanmıştır; ana barındırma İrlanda’da Amazon Web Services (AWS) üzerinden yapılır. Yetkili İşleme veya EEA dışında uzaktan erişim, verinin İrlanda’da saklanmasına devam etse dahi Sınırlı Transfer olarak nitelendirilebilir. Böyle bir erişim ancak yasal, gerekli ve uygun güvenlik önlemleriyle korunduğu durumlarda izinlidir.
Olağanüstü durum örnekleri şunları içerir:
- İrlanda veri merkezi ortamını etkileyen bir acil durum veya hizmet sürekliliği;
- EEA dışından yetkili uzman erişimi gerektiren bir destek veya bakım talebi; Müşterinin ilgili onayı veya sözleşmesel yetkilendirmesi ile sınırlı olarak;
- abone edilen Müşteri talebiyle verilerin taahhüt edilen Avrupa barındırma bölgesinin dışında konumlandırılması veya başka şekilde İşlenmesi.
Kısıtlı Transfer gerçekleştiğinde, Grouper ve/veya ilgili teknoloji sağlayıcısı şu gibi yasal kabul görmüş bir mekanizmayı kullanacaktır:
- yeterlilik kararı;
- Avrupa Komisyonu Standart Sözleşme Maddeleri;
- İngiltere Uluslararası Veri Aktarım Eki, uygulanabilir olduğunda;
- yasal olarak mevcut ve uygulanabilir olduğunda EU-ABD Veri Gizliliği Çerçevesine katılım;
- Uygulanabilirse Bağlayıcı Kurumsal Kurallar; veya
- Uygulanabilir Veri Koruma Hukuku kapsamında tanınan başka geçerli bir güvenlik önlemi.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
Bu istisnai erişim düzenlemelerindeki herhangi bir şey, Grouper’n Avrupa hizmeti için Müşteri Kişisel Verileri’nin EEA içinde saklandığı yükümlülüğünü değiştirmez.
AB EU Standart Sözleşme Maddeleri gerektiğinde, zorunlu kelimelere değiştirilmeden resmi olarak onaylanmış formunda uygulanır. Kontrolörden İşlemci’ye transferler için tarafların rollerine bağlı olarak başka bir modül gerekmedikçe Modül İki genellikle uygulanır.
İrlanda uygulanacak AB yasa ve forum olarak seçildiğinde, taraflar ilgili SCC ekinde sağlanan İrlanda mahkemelerine uymayı kabul eder.
Birleşik Krallığı Veri Koruma Hukuku kapsamında transferler için EU SCC'ler, o dönemde geçerli UK Uluslararası Veri Aktarım Eki veya başka yasal olarak tanınmış bir UK transfer mekanizması ile birlikte uygulanacaktır.
Supplementary measures may include:
- şifreleme;
- erişim kısıtlamaları;
- anahtar yönetim kontrolleri;
- asgariye indirme;
- kayıt tutma;
- ileriye transfer konularında sözleşmesel sınırlamalar;
- hükümet talebi inceleme prosedürleri;
- şeffaflık önlemleri; ve
- Yeterli güvenlik seviyesi sağlanamadığında transferlerin askıya alınması veya sonlandırılması.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
Meşru dayanak ve makul gerekçeler mevcutsa yasa dışı veya orantısız talepler kınanacaktır.
İfşa en az yasal olarak gerekli olanla sınırlı kalacaktır.
Müşteriye yasal olarak izin verildiği durumlarda bildirim yapılacaktır. Bildirimin yasaklandığı durumlarda uygun olduğunda bildirim izni almak için makul çaba gösterilecektir.
Talep ve yanıt kayıtları yasa gereği ve geçerli transfer mekanizması uyarınca saklanacaktır.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- erişim;
- düzeltme;
- silme;
- İşlemin kısıtlanması;
- veri taşıyabilirlik;
- itiraz;
- rıza geri çekme;
- otomatik karar alma ve profil oluşturma ile ilgili haklar; ve
- the right to complain to a competent supervisory authority.
Grouper Veri İşleyen olarak hareket ettiğinde, Müşteri Kişisel Verilerine ilişkin talepler normalde Veri Sorumlusu sıfatıyla ilgili Müşteri’ye yönlendirilmelidir. Grouper böyle bir talebi doğrudan alırsa, Grouper, hukuken yasaklanmadıkça, talebi Müşteri’ye iletecek veya Müşteri’yi bilgilendirecek ve belgelenmiş Müşteri talimatları ya da kanunen gerekli olduğu durumlar dışında esasa ilişkin yanıt vermeyecektir. Grouper, Müşteri’nin yükümlülüklerini yerine getirebilmesini sağlamak için makul ölçüde yardım sağlayacaktır.
İşlemin doğası ve Grouper'a mevcut bilgiler gözetilerek, Grouper Veri Koruma Etki Değerlendirmeleri ile ilgili makul bir yardım sağlayacak ve gerekli olduğunda yetkin bir denetim otoritesiyle ön danışma yapacaktır.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- güvenlik belgeleri;
- politikalar;
- uyum bilgisi;
- denetim bilgisi;
- bağımsız güvence raporları;
- ilgili sertifikasyonlar; ve
- makul güvenlik anketlerine verilen yanıtlar.
Yasal olarak veya sözleşme gereği ve makul belgelendirme kanıtı yetersiz olduğunda, Müşteriler makul bildirimle uygulanabilir denetim haklarını, gizlilik, güvenlik, diğer müşterilerin bilgilerinin korunması ve müdahaleye karşı korunma koşulları altında kullanabilir. Bir Güvenlik Olayı, düzenleyici gereklilik veya maddi uyumsuzluğun makul kanıtı olmadıkça, resmi denetimler normal olarak on iki aylık bir periyotta bir kezle sınırlı olmalıdır. Genelde Müşteriler kendi denetim maliyetlerinden sorumludur; aksi belirtilmedikçe kanun veya sözleşme başka şekilde öngörmez.
Grouper, ilgili amaç için makul olarak gerekli olduğu süre boyunca veya yasal olarak zorunlu olduğu sürece Kişisel Verileri saklar.
Grouper İşlemci olarak hareket ettiğinde, saklama süresi esas olarak şu faktörlerle belirlenir:
- belgelendirilmiş Müşteri talimatları;
- geçerli müşteri sözleşmesi;
- Hizmetlerin süresi;
- destek gereksinimleri;
- hukuki yükümlülükler; ve
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
Müşteriler, Kişisel Verileri doğru tutmaktan sorumludur. Grouper veya bir işlemci veri, mevcut olduğu durumlarda yanlış veya güncel değilse, Grouper belgelenmiş talimatlara ve Uygulanabilir Veri Koruma Yasalarına uygun olarak veriyi düzeltmek veya silmek için Müşteri ile işbirliği edecektir.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
Belirli BambooHR özellikleri yapay zeka veya makine öğrenimi kullanabilir. Yapay zeka işlevselliği, böyle olarak tanımlanmışsa isteğe bağlıdır ve ayrı BambooHR AI şartlarına tabi olabilir.
Mevcut BambooHR AI hizmet materyalleri OpenAI, Cohere ve Anthropic/Claude gibi üçüncü taraf AI sağlayıcılarını belirler; mevcut alt yüklenici materyalleri, özellikle özellik yapılandırmasına bağlı olarak LlamaIndex gibi ek AI veya belge işleme sağlayıcılarını da gösterebilir.
Customers remain responsible for:
- kuruluşları için yapay zeka kullanımının uygun olup olmadığını değerlendirirken;
- hukuki temelin kurulması;
- veri sahiplerine gerekli şeffaflığı sağlamak;
- gerekli olduğunda onay almak;
- yeterli insan denetimini uygulamak;
- önyargı ve adalet risklerini değerlendirmek; ve
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
BambooHR Kişisel Veri, Girdi veya Çıktı kullanarak müşteri özelinde bir model ince ayarına veya eğitimine devam ederse, geçerli BambooHR AI şartları, bu kullanımın o Müşteriye AI özelliklerini sağlamak için olduğunu ve elde edilen müşteri tarafından eğitilmiş modelin başka müşterilere hizmet sunmak için kullanılmadığını belirtir.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
Programatik erişim, desteklenen kimlik doğrulama yöntemlerini kullanmalı ve Müşteri Verilerini veya kimlik bilgilerini yetkisiz taraflara açmamalıdır.
Entegrasyonlar, belgelenmiş ve yetkilendirilmiş amaçtan başka Müşteri Verilerini kullanmamalıdır.
Bir entegrasyon sağlayıcısı, Müşteri veya Grouper adına Kişisel Verileri İşlediğinde, uygun işlemci veya alt işlemci şartları ve transfer güvenceleri uygulanmalıdır.
Grouper Kendisiyle ilgili iş faaliyetleri açısından Kontrolcü olarak hareket ettiğinde,yle ilişkili iş iletişim bilgilerini İşleyebiliriz:
- potansiyel müşteriler;
- müşteri irtibatları;
- tedarikçiler;
- ortaklar;
- profesyonel danışmanlar;
- etkinlik katılımcıları;
- web sitesi ziyaretçileri; ve
- Grouper ile iletişime geçen kişiler.
Bilgi; ad, organizasyon, rol, iş iletişim bilgileri, iletişimler, soru bilgisi, IP adresi, tarayıcı ve cihaz bilgileri, ziyaret edilen sayfalar ve benzer teknik verileri içerebilir.
Böyle bilgileri, taleplere yanıt vermek, ilişkileri yönetmek, istenen hizmetleri sunmak, güvenliği sürdürmek, sözleşmeleri yerine getirmek, yasalara uymak ve mümkün olduğunda ilgili iş iletilerini göndermek için İşleriz. Alıcılar, istediği zaman doğrudan pazarlamadan çıkabilir. Operasyonel, sözleşmesel, güvenlik ve müşteri hizmetleri iletişimleri pazarlama değildir.
Web siteleri, temel, işlevsel ve analiz çerezleri ve benzer teknolojileri kullanabilir. Yasal olarak gerekli olduğunda, temel olmayan çerezler yalnızca uygun onay sonrası kullanılacak ve kullanıcılar tercihler üzerinde kontrol sağlayacaktır.
Grouper seeks to embed privacy into service design and operations. This includes:
- Avrupa veri ikamet seçenekleri;
- veri en aza indirgeme;
- en az ayrıcalıklı erişim;
- uygun kimlik doğrulama;
- şifreleme;
- erişim kayıtları;
- rol tabanlı izinler;
- güvenli iletim;
- alt-işleyen denetimleri;
- saklama kontrolleri;
- olay müdahale süreçleri;
- gizlilik ve güvenlik eğitimi;
- güvenlik testleri;
- DPIA desteği; ve
- belgelendirilmiş hesap verebilirlik.
Grouper rolüne uygun kayıtlar ve yönetişim önlemleri sürdürecek ve Müşteriler, Veri Konusu ve yetkili denetim makamları ile iyi niyetli işbirliği içinde bulunacaktır.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
Grouper Müşteri Kişisel Verisini İşleyici olarak İşlediğinde, Bölüm B ve uygulanabilir müşteri sözleşmesi, sözleşmesel İşlem ilişkisini yönetir. Müşteri Kişisel Verisi ile ilgili tutarsızlık durumunda aşağıdaki öncelik sırası uygulanır: zorunlu Uygulanabilir Veri Koruma Hukuku; uygulanabilir SCC'ler, UK Eki veya diğer zorunlu transfer mekanizması; Veri İşleme Sözleşmesi; Sözleşmenin ilgili veri koruma hükümleri; ve Sözleşmenin geri kalanı.
Grouper’nın Avrupa BambooHR önerisi üç ilke etrafında inşa edilmiştir:
Avrupa veri ikameti.
Müşteri Kişisel Verisi EEA içinde barındırılır ve saklanır; birincil barındırma İrlanda üzerinden Amazon Web Services (AWS) ile yapılır.
Avrupa gizlilik standartları.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
Avrupa hizmeti ve desteği.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
Amacımız, BambooHR kullanabilen örgütleri, Avrupa müşterilerinin beklediği gizlilik, yönetişim ve veri ikamet standartlarını sürdürerek etkinleştirmektir.
Bu Gizlilik Politikası, Grouper’nin İşlem faaliyetleri, Veri Sahibi hakları, güvenlik veya Avrupa veri ikamet düzenlemelerimizle ilgili sorular Grouper’in belirlenmiş gizlilik veya müşteri destek kanalları aracılığıyla iletilebilir.
Grouper Technology Limited ayrıca 3rd Floor, 22 Ely Place, Dublin, D02 AH73, İrlanda adresinde de iletişime geçirilebilir.
İlgili Kişisel Veriler bir işverenin BambooHR hesabında yer alıyorsa, bireyler genellikle önce o işverenle iletişime geçmelidir; çünkü bu kuruluş genellikle verinin nasıl kullanılacağını belirlemekten Sorumlu Denetleyici olacaktır.
Bu Veri İşleme Sözleşmesi (“DPA”), Grouper’nın BambooHR-ilişkili hizmetlerin Müşteri ile Grouper Technology Limited arasındaki sağlayıcısını yöneten anlaşmanın, sipariş formunun, iş kapsamı beyanının veya diğer sözleşmenin parçasını oluşturur.
Hizmetleri sunarken, Grouper Müşteri adına Müşteri Kişisel Verileri İşleyebilir. Bu DPA, o İşlemenin tarafların karşılıklı yükümlülüklerini belirler.
Bu DPA, Grouper İşlemlerin Müşteri adına Müşteri Kişisel Verileri işlediği ölçüde geçerlidir ve bu İşlemeler Mevcut Veri Koruma Hukukuna tabidir. Bu, Anlaşmayı tamamlar ve bir parçasını oluşturur; burada tanımlanmamış kavramlar Anlaşmada verilen anlamdadır.
Bu DPA için:
Müşteri Kişisel Verileri
Hizmetlerle bağlantılı olarak Grouper tarafından Kontrol edilen ve Müşteri veya Müşteri Bağlı Kuruluşu tarafından İşlenen Kişisel Veriler.
Kısıtlı Transfer
Mevcut Veri Koruma Hukukuna göre yasal bir aktarım mekanizması gerektiren bir Kişisel Veri aktarımı.
Standart Sözleşmesel Hükümlerde (SCC'ler)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
Grouper tarafından veya onun adına Müşteri Kişisel Verileri İşlemek üzere atanan bir üçüncü taraf.
Teknoloji Sağlayıcısı
BambooHR LLC ve uygulanabilir olduğunda temel HR teknolojisi platformunu sağlayan ilgili BambooHR tüzel kişiler.
Aksi yazılı olarak kararlaştırılmadıkça, Müşteri Kontrol Eden olarak ve Grouper İşleyen olarak hareket eder. Müşteri başka bir Kontrol Eden için İşleyen olarak hareket ettiğinde, Grouper uygulanabilir ölçüde Alt-işleyen olarak hareket eder.
Grouper, Kişisel Verileri yalnızca belgelenmiş Müşteri talimatlarıyla ve Hizmetleri sağlamak, bakımını yapmak, güvenliğini sağlamak ve desteklemek için gerektiği kadar İşleyecektir; uygulanabilir yasa tarafından Veri İşleme gerektirdiği takdirde haricinde.
Grouper, makul olarak görüldüğü durumda, bir talimatın Uygulanabilir Veri Koruma Hukukunu ihlal ettiğini bildirir ve etkilenen İşlemleri çözülene kadar askıya alabilir.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper Yetkili Kişilerin uygun gizlilik yükümlülüklerine tabi olmasını, Müşteri Kişisel Verilerine erişimin yalnızca makul şekilde gerekli olduğu durumlarda erişim sağlamasını, uygun gizlilik ve güvenlik eğitimi almasını ve Bu DPA ve belgelenmiş Müşteri talimatlarına uygun olarak Müşteri Kişisel Verilerini işlemesini sağlayacaktır. Erişim en az ayrıcalık ve bilgiye ihtiyaç prensiplerine göre sınırlandırılacaktır.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
Asgari kontrol alanları, Ek-2'de açıklanmıştır. Grouper bu önlemleri, değişikliklerin Müşteri Kişisel Verileri için sağlanan genel koruma seviyesini maddi olarak azaltmaması koşuluyla güncelleyebilir.
Grouper, makul olarak uygulanabilir olduğunda Müşteri'ye bildirecek ve 48 saatlik sözleşme taahhütü uygulanıyorsa, Müşteri Kişisel Verileri üzerindeki Gerçek veya Şüpheli Güvenlik Olayını öğrendikten sonra en geç 48 saat içinde bildirecek.
Bilgiler, mevcut olduğunca fazlar halinde sağlanabilir. Grouper, müşteri denetim otoritelerine bildirim yükümlülüklerini yerine getirmek için gerekli makul işbirliğini sağlayacak ve etkilenen Veri Sahipleriyle ilgili gerekli işlemleri yapacaktır.
Müşteri, Hizmetleri sağlamak için Gerektiğinde Alt-işleyenleri devreye almak için Grouper genel yazılı yetki verir.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
Altında yatan BambooHR DPA uygulanıyorsa, BambooHR şu anda Müşteri Kişisel Verilerini İşleyecek yeni bir Alt yüklenicinin yazılı olarak en az 30 gün önceden bildirilmesini sağlar.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Grouper doğrudan Müşteri Kişisel Verileriyle ilgili bir talep alırsa, Grouper hemen Müşteri'ye yönlendirecek veya bildirilecek ve yalnızca belgelenmiş talimatlar veya yasa gereği cevap verecektir.
Grouper, İşlemenin doğası ve mevcut bilgiler dikkate alınarak, Veri Koruma Etki Değerlendirmeleri, denetim otoriteleriyle ön görüşmeler ve yetkili denetim otoritesi tarafından Hizmetlerle ilgili makul sorular veya incelemeler konusunda makul yardım sağlayacaktır.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
Kanunen izin verilen ölçüde, Grouper yasa bağlayıcı kamu otoritesi taleplerini İnceleyecek, haklı gerekçelerle usulsüz veya orantısız taleplere meydan okuyacak, beyanı en az yasal olarak gerekli olan seviyeye indirecek, müşteriyi yasal olarak izin verildiğinde bildirecek ve uygun kayıtları tutacaktır.
Müşteri’nin talebi üzerine veya Hizmetler’in sona ermesi veya süresinin dolması halinde, Grouper Müşteri’nin tercihiyle ve teknik uygulanabilirlik ile Anlaşma’ya tabi olarak Müşteri Kişisel Verilerini geri gönderecek veya güvenli şekilde silecektir ve ilgili Alt işlemcilerin de aynısını yapmasını talep edecektir. Hukuk gereği saklama gerekiyorsa, Grouper saklanan verileri izole edecek ve yalnızca kanunen gerekli şekilde İşleyecektir.
Müşteri, Kişisel Verileri İşlemek için gerekli hak, izin, bildirimler, yasal dayanaklar ve rızalara sahip olduğunu; talimatlarının Uygulanabilir Veri Koruma Hukukuna uygun olduğunu; hukuka aykırı İşlemeye talimat vermeyeceğini; Hizmetleri güvenli bir şekilde yapılandırıp kullanacağını ve kullanıcı hesapları, kimlik bilgileri ve entegratlar üzerinde uygun kontrolleri sürdüreceğini garanti eder.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
Bu DPA, Müşteri buna bağlı olduğunda yürürlüğe girer ve Grouper Müşteri Adına Müşteri Kişisel Verilerini İşlediği sürece devam eder. Veri saklandığı sürece doğal olarak ya da yasa gereği devam etmesi gereken yükümlülükler, sürenin dolması veya fesih sonrası da devam eder.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
Müşteri Kişisel Verileriyle ilgili tutarsızlık durumunda, şu öncelik sırası uygulanır: zorunlu Uygulanabilir Veri Koruma Hukuku; uygulanabilir SCC'ler, UK Eki veya diğer zorunlu transfer mekanizması; bu DPA; Anlaşmanın uygulanabilir veri koruma hükümleri; ve Anlaşmanın kalanı.
Kontrol Edici / Veri Gönderici
The Customer identified in the applicable Agreement or Order Form.
İşleyen / Veri İçei
Grouper Technology Limited, 3rd Floor, 22 Ely Place, Dublin, D02 AH73, İrlanda.
Teknoloji Sağlayıcısı
BambooHR LLC ve temel HRIS platformunu sağlayan geçerli BambooHR tüzel kişiler.
Konu
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
İşlemenin Doğası
Toplama, alma, kaydetme, organisayon, yapılandırma, göç, barındırma, saklama, geri getirme, danışma, kullanım, iletme, erişim sağlama, kısıtlama, destek erişimi, silme ve Hizmetleri sağlamak için gerekli diğer İşlemler
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
Hizmetlerin süresi boyunca ve veriyi geri almak veya silmek ya da yasaya uymak için gerekli olan herhangi bir sonraki süre boyunca.
Veri Konuları
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
Kişisel Veri
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
Hassas Veriler
Müşteri tarafından seçildiğinde, sağlık ve engellilik bilgileri ile Hizmetler tarafından izin verilen diğer özel kategori veya hassas verileri içerebilir.
Birinci Avrupa Deposu
İrlanda / EEA, Avrupa veri ikamet hizmetini satın alan Müşteriler için AWS üzerinden.
Yetkili Denetim Otoritesi
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper aşağıdaki asgari kontrol alanlarında teknik ve örgütsel önlemler sürdürür:
1. Bilgi Güvenliği Yönetişimi
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. Personel Güvenliği
Gizlilik yükümlülükleri, yasal olduğunda rolüne uygun tarama, güvenlik farkındalığı ve gizlilik eğitimi ve yetkisiz erişim için disiplin cezaları.
3. Fiziksel Güvenlik
İlgili tesislere ve altyapıya sınırlı erişim; kontrollü erişim yolları; erişim yetkilendirmeleri; fiziksel izleme ve barındırma ortamına uygun diğer güvenlik önlemleri.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. Veri Erişim Kontrolü
Yetkili kullanıcıların sadece kendi izinleri dahilinde veri görebilmesini sağlayan kontroller; erişimin kaydı ve izlenmesi; verinin yalnızca yetkili kişilere serbest bırakılması.
6. Şifreleme ve Anonimleştirme
Giden ve dinlenirken Kişisel Verilerin uygun şifrelemesi; işleme amacı için uygun olduğunda anonimleştirme.
7. Ağ ve Transfer Güvenliği
Güvenlik duvarları, korumalı geçitler, güvenli iletişim kanalları, TLS/SFTP veya benzeri korumalı aktarım mekanizmaları ve yetkisiz intercept veya değişime karşı kontroller.
8. Kayıt ve İzleme
İlgili sistem, idari ve erişim aktivitelerinin kaydı; şüpheli olayların izlenmesi; risk açısından uygun denetim bilgilerinin saklanması.
9. Giriş ve Değişiklik Kontrolü
Veriyi kimlerin girdiğini, değiştirdiğini veya sildiğini belirleyen kontroller; yetkili kullanıcılar ve sistemlerin kimlik doğrulaması; belgelenmiş değişiklik yönetimi uygulamaları.
10. Zayıflık ve Güvenlik Testi
Zayıflıkların belirlenmesi, değerlendirilmesi ve giderilmesine yönelik süreçler; periyodik sızma veya güvenlik testleri; kontrol etkinliğinin düzenli olarak değerlendirilmesi ve değerlendirilmesi.
11. Erişilebilirlik, Yedekleme ve Kurtarma
Altyapı yedekliliği, yedekleme, kurtarma yeteneği, erişim güvenlik kontrolleri ve kaza sonucu kaybı veya tahribatına karşı koruma.
12. İş Sürekliliği ve Afet Kurtarma
Kesinti veya Güvenlik Olayı sonrası erişim ve erişimi zamanında yeniden sağlamak için belgelenmiş süreklilik ve kurtarma planları.
13. Veri Ayırımı
Müşteriler ve işleme amaçları arasında mantıksal veya uygulama düzeyinde ayrım; yetkisiz çapraz müşteri erişimini önlemek için kontroller.
14. Güvenli Geliştirme
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
İşleme uygun olarak özenli inceleme, yazılı veri koruma yükümlülükleri, güvenlik incelemesi, transfer koruması ve sürekli gözetim.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
AB Kısıtlı Transferleri
AB SCC'lerinin gerektiği durumlarda, resmi Avrupa Komisyonu SCC'leri değişiklik yapılmaksızın zorunlu dilde eklenmiştir. Rollerin aksi gerektirmediği sürece, Müşteri Veri İhracatçısıdır, Grouper ve/veya uygulanabilir Teknoloji Sağlayıcısı Veri İçeğidir ve Modül İki Kontrol Edici'den İşleyici transferlerine uygulanır.
UK Kısıtlı Transferler
Birleşik Krallığı Veri Koruma Hukuku kapsamında transferler için EU SCC'ler, o dönemde geçerli UK Uluslararası Veri Aktarım Eki veya başka yasal olarak tanınmış bir UK transfer mekanizması ile birlikte uygulanacaktır.
İsviçre Transferleri
İsviçre veri koruma yasalarına tabi transferler için SCC'ler, uygun İsviçre yasaları uyarınca yorumlanır ve gerekli şekilde İsviçre denetim otoritesine ve İsviçre Veri Konularına uygun referansları içerir.
EU-US Veri Gizliliği Çerçevesi
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
Avrupa Müşterileri için Olağanüstü Erişim Senaryoları
Yetkili olağanüstü harici erişim yalnızca şu durumlarda olabilir:
- İrlanda veri merkezi ortamını etkileyen bir acil durum veya hizmet sürekliliği;
- a yetkili uzman erişimi gerektiren destek veya bakım talebi; ve
- Avrupa bölgesi dışında işleme veya barındırma için doğrulanmış Müşteri talebi.
Kullanılan hassas sağlayıcılar ürün, özellik, destek yolu ve Müşteri yapılandırmasına göre değişmektedir. Grouper ve/veya BambooHR tarafından tutulan geçerli canlı alt işlemci kaydı active hizmet teslimatı için belirleyicidir.
Aşağıdaki ana sağlayıcılar yöneten hizmet materyallerinde belirlenmiştir. Burada listelenen bir sağlayıcı her Müşteri veya her uygulama için Kişisel Verileri işleyecek diye bir zorunluluk yoktur.
BambooHR LLC
Teknoloji sağlayıcısı; HRIS bakımı, barındırma ve destek. Konum: Amerika Birleşik Devletleri / Avrupa dahil hizmet bölgeleri.
Amazon Web Services (AWS)
Birincil bulut barındırma altyapısı; İrlanda'da Avrupa bölgesel barındırma. Konum: İrlanda / Avrupa ve hizmet yapılandırmasına bağlı olarak diğer bölgeler.
Anthropic / Claude
Yapay Zeka / dil modeli işleme. Konum: Amerika Birleşik Devletleri.
Cohere
Dil-modeli API / Yapay Zeka işleme. Konum: Amerika Birleşik Devletleri.
OpenAI
Dil-modeli API / Yapay Zeka işleme. Konum: Amerika Birleşik Devletleri.
LlamaIndex / LlamaParse
Yapay zeka işlevselliğiyle ilişkili isteğe bağlı belge ayrıştırması. Konum: Amerika Birleşik Devletleri.
Atlas MongoDB
Seçilen hizmetleri / Yapay zeka ile ilgili işlevselliği destekleyen veri depolama. Konum: Amerika Birleşik Devletleri.
Gainsight
Müşteri ilişkileri / CRM hizmetleri.
Salesforce
CRM platformu.
Cloudflare
Web uygulama güvenlik duvarı / güvenlik.
Datadog
Altyapı ve uygulama izleme.
Microsoft / Google Workspace
Mevcut yapılandırmaya bağlı olarak İşbirliği, iletişim ve belge depolama.
Mailgun
Uygulama iletişimleri.
Snowflake
Veri analitiği.
Twilio
MFA / SMS iletilmesi.
Ek Sağlayıcılar
Mevcut hizmet materyallerinde belirlenen ek sağlayıcılar Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike ve diğerlerini içerebilir. Müşteriler en güncel ayrıntılar için canlı BambooHR alt yüklenici listesine ve Grouper’ın mevcut alt işlemci bilgilerine başvurmalıdır.
1. Kapsam
Bu Ek, Müşteri BambooHR yapay zeka veya makine öğrenimi işlevselliğini Grouper desteklenen Hizmetlerle ilişkili olarak etkinleştirdiğinde veya kullandığında geçerlidir.
2. AI Sağlayıcıları
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. Girdi ve Çıktılar
Müşteri tarafından sağlanan istemler, talimatlar veya AI işlevselliğine sunulan veriler “Girdi”ler olarak kabul edilebilir ve üretilen yanıtlar “Çıktılar” olarak kabul edilebilir. Özelliğe bağlı olarak, Girdi veya Çıktılar Müşteri Verisini içerebilir. Çıktılar benzersiz olmayabilir ve diğer kullanıcılar için üretilen çıktı ile benzer olabilir.
4. Müşteri Sorumlulukları ve İnsan Gözetimi
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. Hassas ve Düzenlenen Veriler İçin Kısıtlamalar
İlgili yapay zeka şartları tarafından yasaklanmışsa, Müşteri Sağlık, Genetik veya Biyometrik bilgiler, hükümet tarafından verilen kimlik numaraları veya kişisel mali ya da banka hesap bilgileri dahil olmak üzere hassas veya düzenlenmiş bilgileri yapay zeka özelliklerine sunmamalıdır. Müşteriler, istemlerde Kişisel Veriyi en aza indirgemelidir.
6. Doğruluk, Önyargı ve Adalet
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
İlgili BambooHR AI şartları, Performans Verisi ve Geri Bildirim kullanımıyla AI işlevselliğini geliştirmeye izin veriyorsa, bu kullanım bu şartlar kapsamındadır. Müşteri Verileri, müşteri özel bir modeli ince ayar yapmak için kullanılıyorsa, ortaya çıkan model bu Müşteri için Yapay Zeka özellikleri sunmak amacıyla kullanılır ve diğer müşterilere hizmet sağlamak için kullanılmaz.
8. Uluslararası İşleme
AI sağlayıcıları yetkili Girdi veya ilgili Kişisel Verileri EEA dışında işleyebilir. Bu İşlem, bu DPA’daki transfer güvenlik önlemlerine tabidir ve Müşteri’nin sözleşmeli ana HRIS depolama bölgesinin konumunu değiştirmez. Müşteriler isteğe bağlı AI kullanımının kendi ikameti, çalışma konseyi, istihdam hukuku ve risk gereklilikleri ile uyumlu olup olmadığını etkinleştirmeden önce değerlendirmelidir.
Bu Gizlilik Politikası veya verileriniz haklarıyla ilgili sorular mı var?
Bize Ulaşın
