Legal
Chính sách quyền riêng tư | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
Cập nhật gần đây nhất: ngày 16 tháng 8 năm 2026
Grouper cam kết bảo về dữ liệu cá nhân và duy trì tiêu chuẩn cao về quyền riêng tư, bảo mật và tuân thủ quy định. Bảo vệ dữ liệu được xem như trách nhiệm vận hành và hợp đồng cốt lõi, không phải là suy nghĩ sau. Chúng tôi thiết kế cách cung cấp dịch vụ, kiểm soát truy cập, quá trình hỗ trợ và quản trị nhà cung cấp để phản ánh các nguyên tắc trách nhiệm, toàn vẹn, bảo mật và minh bạch của GDPR.
Bảo mật quyền riêng tư này giải thích cách Grouper Technology Limited (“Grouper”, “chúng tôi”, “chúng ta” hoặc “của chúng tôi”) thu thập, sử dụng, truy cập, lưu trữ, lưu giữ, bảo vệ, chuyển và xử lý dữ liệu cá nhân liên quan đến các dịch vụ chúng tôi cung cấp, bao gồm vai trò của chúng tôi như đối tác châu Âu của BambooHR.
Grouper hỗ trợ các tổ chức trên khắp Ireland, Vương quốc Anh, châu Âu và các khu vực khác với việc triển khai, quản trị và sử dụng nền tảng BambooHR HRIS và công nghệ HR liên quan.
Mô hình dịch vụ châu Âu của chúng tôi được thiết kế xung quanh nguyên tắc rõ ràng về cư trú dữ liệu ở châu Âu. Dữ liệu cá nhân của khách hàng được xử lý thông qua dịch vụ Grouper’s European BambooHR được lưu trữ và lưu giữ trong Khu vực Kinh tế Châu Âu (“EEA”), với lưu trữ chính tại Ireland.
Chính sách quyền riêng tư này áp dụng cho dữ liệu cá nhân được xử lý liên quan đến:
- Triển khai và onboarding BambooHR;
- Cấu hình HRIS;
- quản trị tài khoản;
- hỗ trợ khách hàng;
- hỗ trợ kỹ thuật;
- hỗ trợ tích hợp;
- di chuyển dữ liệu;
- thành công của khách hàng;
- đào tạo;
- dị vụ chuyên nghiệp;
- bảo mật và quản trị dịch vụ;
- liên lạc với khách hàng;
- bán hàng và trình diễn;
- Grouper trang web và dịch vụ kỹ thuật số; và
- hoạt động kinh doanh tổng thể của chúng tôi.
Grouper Technology Limited là một công ty Ireland có văn phòng đăng ký tại Tầng 3, 22 Ely Place, Dublin, D02 AH73, Ireland.
BambooHR cung cấp hệ thống thông tin nhân sự nền tảng và chức năng sản phẩm liên quan. Grouper cung cấp triển khai châu Âu, di chuyển, cấu hình, đào tạo, thành công khách hàng, hỗ trợ, quản lý dịch vụ và các dịch vụ chuyên môn liên quan. Tùy thuộc vào đăng ký và cấu hình của khách hàng, nền tảng HRIS BambooHR có thể hỗ trợ hồ sơ nhân viên, onboarding, tuyển dụng, thời gian và chấm công, quản lý nghỉ phép, hiệu suất, lương thưởng, phúc lợi, chức năng liên quan đến bảng lương, báo cáo, phân tích, tích hợp, API và các tính năng trí tuệ nhân tạo.
Tùy thuộc vào các dịch vụ được khách hàng mua, Grouper có thể cung cấp:
- triển khai BambooHR;
- onboarding;
- cài đặt cấu hình;
- thiết lập tài khoản;
- hỗ trợ di cư dữ liệu;
- dịch vụ tích hợp;
- hỗ trợ kỹ thuật;
- hỗ trợ HRIS;
- đào tạo;
- dịch vụ thành công của khách hàng;
- quản trị dịch vụ;
- khắc phục sự cố; và
- các dịch vụ chuyên môn liên quan.
Vai trò bảo vệ dữ liệu chính xác của Grouper phụ thuộc vào hoạt động Xử Lý cụ thể.
Khi Grouper xác định mục đích và phương tiện xử lý — ví dụ trong các hoạt động của trang web, bán hàng, liên hệ kinh doanh, bảo mật hoặc quản trị doanh nghiệp — Grouper đóng vai trò là Bảng điều khiển (Controller).
Khi Grouper Xử lý Dữ liệu cá nhân của Khách hàng chỉ nhân danh một Khách hàng và theo hướng dẫn được tài liệu hóa của Khách hàng, Grouper đóng vai trò là Người xử lý (Processor).
Khi Khách hàng tự đóng vai trò là Người Xử Lý cho một Bên Điều Khiển khác, Grouper có thể đóng vai trò là Người Xử Lý phụ tương ứng với phạm vi áp dụng.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 Cam kết Nơi Lưu Trữ Cốt lõi Châu Âu
Đối với Khách hàng mua dịch vụ Grouper’s European BambooHR với cư trú dữ liệu trong EEA, Dữ liệu cá nhân của Khách hàng hình thành một phần của môi trường sản xuất HRIS lõi được lưu trữ và lưu giữ trong EEA, với địa điểm lưu trữ chính tại Ireland.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 Lưu trữ So Với Truy cập
Lưu trú dữ liệu mô tả nơi Dữ Liệu Cá Nhân của Khách hàng được lưu trữ. Điều này không có nghĩa là sẽ không có sự hỗ trợ được ủy quyền hay truy cập kỹ thuật từ quốc gia khác.
Truy cập đặc biệt từ ngoài EEA chỉ được thực hiện khi cần thiết, được ủy quyền và được bảo vệ hợp pháp như mô tả ở các Mục 17 và 18 của Chính Sách này.
4.3 Sao lưu, Độ bền và Phục hồi sau thảm họa
Các thỏa thuận sao lưu, phục hồi và khôi phục sau thảm họa được thiết kế để bảo vệ tính bảo mật, tính toàn vẹn và tính sẵn có và phù hợp với các cam kết lưu trữ khu vực của Khách hàng.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 Không di chuyển thông thường ngoài EEA
Grouper không sử dụng truy cập hỗ trợ đặc biệt như cơ chế di chuyển thường xuyên dữ liệu Dữ Liệu Cá Nhân của Khách hàng ở châu Âu.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
“Đạo luật Bảo vệ Dữ liệu áp dụng” có nghĩa là tất cả các luật và quy định bảo vệ dữ liệu, quyền riêng tư và an ninh dữ liệu áp dụng cho Việc xử lý, bao gồm khi thích hợp:
- Quy định (EU) 2016/679 — Quy định Bảo vệ Dữ liệu Chung (GDPR);
- đạo luật Bảo vệ Dữ liệu Ireland 2018;
- các quy tắc Irish ePrivacy và điện tử liên lạc áp dụng;
- tại Vương quốc Anh GDPR và Đạo luật Bảo Vệ Dữ Liệu Vương quốc Anh 2018 khi có hiệu lực;
- pháp luật bảo vệ dữ liệu Thụy Sĩ áp dụng khi có;
- pháp luật quốc gia áp dụng thực thi các yêu cầu quyền riêng tư của Châu Âu; và
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
Thông tin được xử lý phụ thuộc vào Dịch vụ được Khách hàng chọn và dữ liệu mà Khách hàng quyết định đưa vào môi trường HR.
6.1 Employee and Workforce Information
Dữ Liệu Cá Nhân có thể bao gồm:
- tên và số nhận diện nhân viên;
- ảnh nếu có;
- chi tiết liên hệ tại nhà hoặc nơi làm việc;
- ngày sinh, giới tính và thông tin nhân khẩu học nếu có;
- thông tin tình trạng hôn nhân hoặc gia đình nếu có;
- liên hệ khẩn cấp và số điện thoại;
- bằng cấp học thuật và chuyên môn;
- Thông tin CV hoặc sơ yếu lý lịch, lịch sử làm việc và trình độ ngôn ngữ;
- chức danh công việc, cấp bậc, phòng ban, địa điểm, đường dây báo cáo và thành viên nhóm;
- ngày tuyển dụng và kết thúc, giờ làm việc và chi tiết hợp đồng;
- hiệu suất, đánh giá, kỷ luật và thông tin lịch sử công việc;
- lợi ích, bảo hiểm, tài sản công ty và thông tin đào tạo; và
- thông tin nghỉ phép, tham dự và thời gian nghỉ.
6.2 Thông tin Lương và Thù lao
Khi các dịch vụ liên quan được sử dụng, Dữ Liệu Cá Nhân có thể bao gồm:
- lương, thù lao và tiền thưởng;
- thông tin thuế và an sinh xã hội;
- chi tiết ngân hàng và thanh toán;
- thông tin lương hưu;
- tùy chọn cổ phần và các phúc lợi khác; và
- thông tin liên quan đến bảng lương khác.
6.3 Tuyển dụng, Thông tinỨng viên và Người giới thiệu
For candidates, prospective employees and referees, information may include:
- thông tin nhận dạng và liên hệ;
- CVs, sơ yếu lý lịch, lịch sử làm việc và trình độ;
- hồ sơ đơn ứng tuyển, phỏng vấn và tuyển dụng;
- liên lạc với ứng viên và tình trạng tuyển dụng;
- thông tin đề xuất thù lao;
- tên người giới thiệu, chi tiết liên hệ và mối quan hệ chuyên môn; và
- thông tin có trong các tham chiếu.
6.4 Dữ Liệu Đặc Biệt và Dữ Liệu Nhạy Cảm
Tùy thuộc vào việc Khách hàng sử dụng nền tảng HRIS BambooHR, Dịch vụ có thể chứa thông tin sức khỏe hoặc khuyết tật và các Dữ liệu Dự phòng hoặc Nhạy cảm khác.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
Khách hàng không nên đưa dữ liệu nhạy cảm vào các trường văn bản tự do hoặc các tính năng AI trừ khi cần thiết, hợp pháp và được điều khoản sản phẩm liên quan cho phép.
Dữ liệu cá nhân được xử lý liên quan đến các dịch vụ của Grouper có thể liên quan đến:
- hiện tại, đã nghỉ, đang được xem xét và tương lai của nhân viên;
- ứng viên và người nộp đơn;
- nhà thầu, tư vấn, đại lý và hợp đồng độc lập;
- cơ quan, công nhân thời vụ và bán thời gian;
- thực tập sinh và tình nguyện viên;
- người phụ thuộc người lao động, người thụ hưởng và liên hệ khẩn cấp;
- người giới thiệu và nhà cung cấp tham khảo;
- Quản trị viên khách hàng và người dùng được ủy quyền; và
- các cá nhân khác mà Dữ Liệu Cá Nhân do Khách hàng hợp pháp gửi đến Dịch vụ.
Dữ Liệu Cá Nhân có thể được thu thập từ:
- trực tiếp từ từng cá nhân;
- từ nhà tuyển dụng của cá nhân hoặc nhà tuyển dụng tiềm năng;
- từ quản trị viên khách hàng và người dùng được ủy quyền;
- trong quá trình triển khai, cấu hình và di chuyển dữ liệu;
- thông qua các tích hợp được ủy quyền hoặc API;
- thông qua các yêu cầu hỗ trợ và khắc phục sự cố;
- thông qua nền HRIS BambooHR hoặc hệ thống khác do khách hàng chọn;
- thông qua các quá trình tuyển dụng;
- từ các nguồn công khai khi được sử dụng hợp pháp; và
- từ các nguồn hợp pháp khác được Khách hàng ủy quyền.
Grouper Xử Lý Dữ Liệu Cá Nhân chỉ cho các mục đích được chỉ định và hợp pháp. Những mục đích này có thể bao gồm:
- triển khai và cấu hình nền tảng HRIS BambooHR;
- lưu trữ hoặc tạo điều kiện cho việc lưu trữ Dữ Liệu Cá Nhân của Khách hàng;
- quản lý tài khoản và quyền người dùng;
- duy trì và bảo vệ dịch vụ;
- cung cấp hỗ trợ khách hàng và kỹ thuật;
- hỗ trợ tích hợp và di chuyển dữ liệu;
- cung cấp đào tạo và dịch vụ chuyên môn;
- quản lý các gói đăng ký và mối quan hệ với khách hàng;
- phát hiện và điều tra các sự kiện an ninh;
- duy trì hồ sơ kiểm toán;
- ngăn chặn gian lận hoặc lạm dụng;
- tuân thủ các nghĩa vụ pháp lý; và
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
Khi nhân viên hỗ trợ truy cập Dữ Liệu Cá Nhân của Khách hàng, truy cập phải giới hạn ở mức tối thiểu cần thiết cho mục đích hỗ trợ và phải được thực hiện bởi nhân sự được ủy quyền, có bảo mật và kiểm soát truy cập.
Khi Grouper đóng vai trò Người Điều Khiển, cơ sở hợp pháp áp dụng có thể bao gồm:
10.1 Hợp đồng
Xử lý cần thiết để ký kết hoặc thực hiện hợp đồng, hoặc để chuẩn bị các bước trước khi ký kết theo yêu cầu của cá nhân.
10.2 Mối Quan Tâm Hợp Pháp
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- cung cấp dịch vụ;
- quản trị khách hàng;
- an ninh thông tin;
- ngăn chặn gian lận;
- khả năng liên tục kinh doanh;
- hỗ trợ khách hàng; và
- relationship management.
10.3 Nghĩa vụ pháp lý
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 Sự đồng ý
Khi thích hợp, Việc Xử lý có thể dựa trên sự đồng ý. Sự đồng ý có thể rút lại bất cứ lúc nào mà không ảnh hưởng tính hợp pháp của Việc Xử lý trước khi rút lui.
Khi Khách hàng đóng vai trò là Người Điều Khiển, Khách hàng có trách nhiệm:
- xác định các mục đích mà Dữ Liệu Cá Nhân được xử lý;
- thiết lập căn cứ hợp pháp và điều kiện danh mục đặc biệt;
- cung cấp thông báo quyền riêng tư cần thiết;
- thu thập sự đồng ý khi cần;
- đảm bảo tính chính xác và chất lượng dữ liệu;
- xác định khoảng thời gian lưu trữ phù hợp;
- quản lý người dùng được ủy quyền và quyền truy cập;
- sử dụng Dịch vụ một cách an toàn; và
- đảm bảo các chỉ dẫn của mình cho Grouper là hợp pháp.
Khách hàng không được chỉ dẫn Grouper Xử Lý Dữ Liệu Cá Nhân theo cách vi phạm Pháp luật Bảo Vệ Dữ Liệu Áp Dụng.
Grouper sẽ thông báo cho Khách hàng khi, theo ý kiến hợp lý của họ, một chỉ dẫn vi phạm Pháp luật Bảo Vệ Dữ Liệu Áp Dụng và có thể tạm ngưng Xử Lý bị ảnh hưởng cho đến khi vấn đề được 해결.
Grouper giới hạn truy cập Dữ Liệu Cá Nhân của Khách hàng cho những người được ủy quyền thực sự cần truy cập cho nhiệm vụ của họ. Nhân sự phải tuân thủ các nghĩa vụ bảo mật thích hợp và nhận đào tạo về quyền riêng tư và an ninh phù hợp với vai trò của họ. Truy cập được quản lý theo nguyên tắc tối thiểu và biết được nhu cầu.
Kiểm soát truy cập bao gồm:
- kiểm soát nhận diện và xác thực;
- kiểm soát dựa trên vai trò và quyền truy cập đặc quyền;
- kiểm soát tài khoản hành chính;
- quản lý vòng đời tài khoản;
- ghi log truy cập và giám sát;
- đánh giá định kỳ quyền truy cập;
- yêu cầu bảo mật bí mật và sử dụng chấp nhận được; và
- nhân sự và đào tạo phù hợp.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
Các biện pháp bao gồm:
- kiểm soát truy cập bằng vật lý và logic;
- xác thực mạnh và kiểm soát mật khẩu phù hợp;
- mã hóa khi chuyển và lưu trữ ở mức phù hợp;
- mã hoá giả danh ở mức phù hợp;
- tường lửa mạng, an ninh biên và phát hiện xâm nhập;
- ghi log, giám sát và dấu vết kiểm toán;
- quản lý lỗ hổng và kiểm tra an ninh;
- truy cập quản trị bị giới hạn;
- truyền an toàn, bao gồm các kênh chuyển được bảo vệ;
- sao lưu, dự phòng, phục hồi và phục hồi bền vững;
- kế hoạch liên tục kinh doanh và phục hồi sau thảm họa;
- phát triển an toàn và quản lý thay đổi;
- tách riêng dữ liệu giữa khách hàng và mục đích xử lý;
- quy trình ứng phó sự cố;
- nhận thức và đào tạo an ninh nhân viên; và
- điều tra nhà thầu phụ và quản trị an ninh.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
Khi Grouper đóng vai trò là Người Xử Lý và nhận thức về một sự cố rò rỉ Dữ Liệu Cá Nhân ảnh hưởng đến Dữ Liệu Cá Nhân của Khách hàng, Grouper sẽ thông báo cho Khách hàng liên quan trong thời gian sớm nhất có thể và trong mọi trường hợp trong vòng 48 giờ kể từ khi nhận thức được sự cố.
Trong phạm vi có thể, thông báo sẽ bao gồm:
- bản chất của sự cố;
- các loại Dữ Liệu Cá Nhân bị ảnh hưởng;
- nhóm và số lượng ước tính của Các Chủ Thể Dữ Liệu và các hồ sơ;
- hậu quả có thể xảy ra;
- biện pháp đã thực hiện hoặc đề xuất;
- các biện pháp giảm thiểu; và
- một điểm liên hệ để có thêm thông tin.
Thông tin có thể được cung cấp theo từng giai đoạn khi nó có sẵn.
Grouper sẽ cung cấp sự hợp tác hợp lý để giúp Khách hàng đáp ứng các nghĩa vụ thông báo quy định và Thông báo cho Chủ thể Dữ Liệu phù hợp.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
Grouper có thể bổ nhiệm các Nhà xử lý phụ và nhà cung cấp dịch vụ được lựa chọn cẩn thận khi cần thiết để cung cấp, lưu trữ, bảo mật, hỗ trợ, giám sát hoặc cải thiện Dịch vụ.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
Khi điều khoản khách hàng áp dụng có quy định bằng văn bản chung, Khách hàng sẽ nhận được thông báo trước về các Nhà xử lý phụ mới có ý nghĩa và cơ hội phản đối trên cơ sở bảo vệ dữ liệu hợp lý.
Đối với các subprocessors của BambooHR, DPA hiện tại của BambooHR cung cấp ít nhất 30 ngày thông báo trước về một Nhà thầu phụ mới sẽ Xử lý Dữ liệu cá nhân của Khách hàng.
Lịch trình 4 cung cấp tính minh bạch về các danh mục nhà cung cấp chính và nhà cung cấp được nêu trong tài liệu điều phối dịch vụ.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
Quy trình Xử lý của BambooHR được điều chỉnh bởi các điều khoản hợp đồng và bảo vệ dữ liệu áp dụng, bao gồm DPA, các biện pháp bảo mật, thỏa thuận với nhà cung cấp phụ và các biện pháp bảo vệ chuyển giao quốc tế.
Grouper vẫn chịu trách nhiệm cho các nghĩa vụ của mình theo Đạo luật Bảo vệ Dữ liệu áp dụng và thỏa thuận với khách hàng áp dụng. Khi BambooHR Xử lý Dữ liệu Cá nhân để hỗ trợ môi trường khách hàng châu Âu của Grouper, các yêu cầu hợp đồng, bảo mật và cư trú dữ liệu áp dụng.
Đối với dịch vụ châu Âu đã ký hợp đồng của Grouper, Dữ liệu Cá nhân của khách hàng được thiết kế để lưu trữ tại EEA, với lưu trữ chính tại Ireland qua Amazon Web Services (AWS). Xử lý được ủy quyền hoặc truy cập từ ngoài EEA có thể cấu thành một Chuyển giao bị giới hạn ngay cả khi dữ liệu vẫn được lưu trữ tại Ireland. Truy cập như vậy được cho phép chỉ khi hợp pháp, cần thiết và được bảo vệ bằng các biện pháp bảo vệ thích hợp.
Các ví dụ về các tình huống đặc biệt bao gồm:
- một tình huống khẩn cấp ảnh hưởng đến môi trường trung tâm dữ liệu Ireland hoặc tính liên tục của dịch vụ;
- một yêu cầu hỗ trợ hoặc bảo trì yêu cầu truy cập đặc biệt được cấp phép từ ngoài EEA, tùy thuộc sự chấp thuận hoặc ủy quyền hợp đồng của Khách hàng; và
- lời yêu cầu hợp lệ từ khách hàng để di chuyển hoặc xử lý dữ liệu bên ngoài khu vực lưu trữ châu Âu được hợp đồng.
Khi xảy ra Chuyển giao Hạn chế, Grouper và/hoặc nhà cung cấp công nghệ liên quan sẽ sử dụng cơ chế được công nhận hợp pháp như:
- quyết định phù hợp;
- Hiệp ước Điều Khoản Chuẩn của Ủy ban Châu Âu (SCCs);
- UK International Data Transfer Addendum khi có;
- tham gia Khung Bảo Vệ Quyền Riêng Tư Dữ Liệu EU–US khi có và áp dụng;
- Quy tắc Doanh Nghiệp Ràng Buộc khi có áp dụng; hoặc
- một biện pháp bảo vệ hợp lệ khác được công nhận theo Pháp Luật Bảo Vệ Dữ Liệu Áp Dụng.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
Mọi thứ trong các thỏa thuận truy cập đặc biệt như vậy không làm thay đổi cam kết của Grouper về việc Dữ liệu cá nhân của Khách hàng cho dịch vụ châu Âu được lưu trữ trong EEA.
Khi Tuân thủ Các Điều Khoản Bổ Sung Tiêu Chuẩn của Liên minh châu Âu được yêu cầu, chúng được kết hợp ở dạng đã được phê duyệt chính thức mà không thay đổi nội dung bắt buộc. Đối với chuyển giao từ Người kiểm soát sang Người xử lý, Mô-đun Hai thường áp dụng trừ khi các mô-đun khác được yêu cầu bởi vai trò của các bên.
Khi Ireland được chọn làm pháp luật và tòa án áp dụng, các bên đồng ý tòa án của Ireland như được quy định trong SCC đi kèm thích hợp.
Đối với các chuyển giao chịu sự Pháp luật Bảo Vệ Dữ Liệu của UK, SCC EU sẽ áp dụng cùng với UK International Data Transfer Addendum hiện hành hoặc một cơ chế chuyển giao hợp pháp UK khác.
Supplementary measures may include:
- mã hóa;
- hạn chế truy cập;
- kiểm soát quản trị chìa khóa;
- tối ưu hóa tối thiểu;
- ghi log;
- giới hạn hợp đồng về chuyển tiếp;
- thủ tục xem xét theo yêu cầu của chính phủ;
- biện pháp minh bạch; và
- đình chỉ hoặc chấm dứt chuyển giao khi không thể đảm bảo mức bảo vệ đầy đủ.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
Các yêu cầu trái pháp hoặc quá mức sẽ bị thách thức khi có căn cứ hợp lý và cơ sở hợp pháp để làm điều đó.
Tiết lộ sẽ được giới hạn ở mức tối thiểu được yêu cầu bởi pháp luật.
Khách hàng sẽ được thông báo khi được pháp luật cho phép. Khi việc thông báo bị cấm, sẽ cố gắng hợp lý để xin phép thông báo khi thích hợp.
Hồ sơ về yêu cầu và phản hồi sẽ được duy trì theo yêu cầu của pháp luật và cơ chế chuyển giao áp dụng.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- truy cập;
- điều chỉnh;
- xóa bỏ;
- hạn chế Xử Lý;
- di động dữ liệu;
- phản đối;
- rút lại sự đồng ý;
- quyền liên quan đến tự động ra quyết định và profiling; và
- the right to complain to a competent supervisory authority.
Khi Grouper đóng vai trò Người Xử Lý, các yêu cầu liên quan đến Dữ Liệu Cá Nhân của Khách hàng thường sẽ được gửi tới Khách hàng tương ứng với vai trò Người Điều Khiển. Nếu Grouper nhận được một yêu cầu như vậy trực tiếp, Grouper sẽ, trừ khi bị cấm theo pháp luật, tham khảo hoặc thông báo yêu cầu tới Khách hàng và sẽ không trả lời mang tính nội dung trừ khi có hướng dẫn bằng văn bản từ Khách hàng hoặc khi yêu cầu bởi pháp luật. Grouper sẽ cung cấp sự hỗ trợ hợp lý để Khách hàng thực hiện nghĩa vụ của mình.
Xem xét tính chất của quá trình Xử Lý và thông tin có sẵn cho Grouper, Grouper sẽ cung cấp sự hỗ trợ hợp lý trong các Đánh Giá Tác Động Bảo Vệ Dữ Liệu và, khi cần thiết, tư vấn trước với cơ quan giám sát có thẩm quyền.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- tài liệu an ninh;
- chính sách;
- thông tin tuân thủ;
- thông tin kiểm toán;
- báo cáo bảo đảm độc lập;
- các chứng nhận liên quan; và
- phản hồi cho các bảng câu hỏi an ninh hợp lý.
Khi được yêu cầu pháp lý hoặc theo hợp đồng và bằng chứng tài liệu hợp lý còn thiếu, Khách hàng có thể thực hiện các quyền thanh tra phù hợp với thông báo hợp lý, subject to confidentiality, security, non-interference and protections for other customers’ information. Trừ khi cần thiết do một Sự cố An ninh, yêu cầu quy định hoặc bằng chứng hợp lý về vi phạm material, các cuộc audit chính thức thông thường nên giới hạn tối đa một lần trong mỗi chu kỳ mười hai tháng. Khách hàng thường tự chịu chi phí audit trừ khi pháp luật hoặc hợp đồng quy định khác.
Grouper giữ Dữ Liệu Cá Nhân chỉ trong thời gian hợp lý cần thiết cho mục đích liên quan hoặc theo yêu cầu của pháp luật.
Khi Grouper đóng vai trò là Người Xử Lý, thời hạn lưu trữ chủ yếu được xác định bởi:
- hướng dẫn của Khách hàng được ghi lại;
- thỏa thuận khách hàng áp dụng;
- thời gian diễn ra Dịch vụ;
- yêu cầu hỗ trợ; và
- nghĩa vụ pháp lý; và
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
Khách hàng có trách nhiệm duy trì Dữ Liệu Cá Nhân của Khách hàng một cách chính xác. Khi Grouper hoặc một trình xử lý nhận thức rằng dữ liệu không chính xác hoặc lỗi thời trong các hoàn cảnh yêu cầu hành động, Grouper sẽ hợp tác với Khách hàng để sửa hoặc xóa dữ liệu theo hướng dẫn được ghi lại và tuân thủ Pháp Luật Bảo Vệ Dữ Liệu Áp Dụng.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
Một số tính năng BambooHR có thể sử dụng trí tuệ nhân tạo hoặc học máy. Chức năng AI là tùy chọn ở mức được xác định và có thể phải tuân theo các điều khoản AI BambooHR riêng.
Hiện tại BambooHR AI service materials xác định các nhà cung cấp AI bên thứ ba bao gồm OpenAI, Cohere và Anthropic/Claude, và tài liệu thầu phụ hiện tại có thể xác định thêm nhà cung cấp AI hoặc xử lý tài liệu (như LlamaIndex) tùy theo cấu hình tính năng.
Customers remain responsible for:
- đánh giá xem việc sử dụng AI có phù hợp với tổ chức của họ hay không;
- xác lập cơ sở hợp pháp;
- cung cấp sự minh bạch cần thiết cho các chủ thể dữ liệu;
- thu thập sự đồng ý khi cần;
- thực thi sự giám sát của con người đầy đủ;
- đánh giá rủi ro thiên vị và công bằng; và
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
Khi BambooHR sử dụng Dữ Liệu Khách hàng, Dữ Liệu Đầu Vào hoặc Đầu Ra để tinh chỉnh hoặc huấn luyện một mô hình tùy chỉnh cho khách hàng, các điều khoản AI BambooHR áp dụng nói rằng việc sử dụng này nhằm cung cấp các tính năng AI cho Khách hàng đó và mô hình được khách hàng huấn luyện ra sẽ không được sử dụng cho cung cấp dịch vụ cho các khách hàng khác.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
Truy cập chương trình nên sử dụng các phương thức xác thực được hỗ trợ và không được tiết lộ Dữ Liệu Khách hàng hoặc thông tin đăng nhập cho bên không được ủy quyền.
Các tích hợp không được phép sử dụng Dữ Liệu Khách hàng vượt quá mục đích được ghi và được ủy quyền.
Khi một nhà cung cấp tích hợp Xử Lý Dữ Liệu Cá Nhân thay mặt cho Khách hàng hoặc Grouper, các điều khoản trình xử lý hoặc nhà xử lý phụ phù hợp và các biện pháp bảo vệ chuyển giao phải được áp dụng.
Khi Grouper đóng vai trò là Người Điều Khiển liên quan đến hoạt động kinh doanh của chính mình, chúng tôi có thể Xử Lý thông tin liên hệ kinh doanh liên quan đến:
- khách hàng tiềm năng;
- liên hệ với khách hàng;
- nhà cung cấp;
- đối tác;
- các tư vấn chuyên nghiệp;
- người tham dự sự kiện;
- khách truy cập trang web; và
- các cá nhân liên hệ với Grouper.
Thông tin có thể bao gồm tên, tổ chức, vai trò, chi tiết liên hệ công việc, liên hệ, thông tin yêu cầu, địa chỉ IP, trình duyệt và thiết bị, các trang đã xem và dữ liệu kỹ thuật tương tự.
Chúng tôi Xử Lý thông tin này để trả lời yêu cầu, quản trị quan hệ, cung cấp các dịch vụ được yêu cầu, duy trì an ninh, thực hiện hợp đồng, tuân thủ pháp luật và, khi được phép, gửi các thông điệp liên quan đến kinh doanh. Người nhận có thể từ bỏ tiếp thị trực tiếp bất cứ lúc nào. Các thông điệp vận hành, hợp đồng, an ninh và dịch vụ khách hàng không thuộc mục đích tiếp thị.
Các trang web có thể sử dụng cookies thiết yếu, chức năng và phân tích cùng công nghệ tương tự. Khi có yêu cầu pháp lý, cookies không thiết yếu sẽ được sử dụng chỉ sau sự đồng ý thích hợp và người dùng sẽ được cung cấp các công cụ control để quản lý tùy chọn.
Grouper seeks to embed privacy into service design and operations. This includes:
- Các lựa chọn nơi cư trú dữ liệu ở châu Âu;
- tối giản dữ liệu;
- truy cập tối thiểu-ưu tiên;
- xác thực phù hợp;
- mã hóa;
- ghi log truy cập;
- phân quyền dựa trên vai trò;
- truyền dữ liệu an toàn;
- Kiểm soát nhà xử lý phụ;
- kiểm soát lưu trữ;
- quy trình ứng phó sự cố;
- đào tạo quyền riêng tư và an ninh;
- kiểm tra bảo mật;
- hỗ trợ DPIA; và
- trách nhiệm được ghi nhận.
Grouper sẽ duy trì hồ sơ và biện pháp quản trị phù hợp với vai trò của mình và sẽ hợp tác một cách thiện chí với Khách hàng, Chủ thể Dữ Liệu và các cơ quan giám sát có thẩm quyền.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
Khi Grouper Xử Lý Dữ Liệu Cá Nhân Của Khách Hàng dưới vai trò Người Xử Lý, Phần B và thỏa thuận khách hàng áp dụng điều chỉnh mối quan hệ Xử Lý theo hợp đồng. Trong trường hợp có sự không nhất quán liên quan đến Dữ Liệu Cá Nhân của Khách hàng, thứ tự ưu tiên sau đây được áp dụng: Pháp luật Bảo Vệ Dữ Liệu Áp Dụng bắt buộc; SCC áp dụng, bổ sung hoặc cơ chế chuyển giao bắt buộc của UK; Thỏa thuận Xử Lý Dữ Liệu; các điều khoản bảo vệ dữ liệu áp dụng của Thỏa thuận; và phần còn lại của Thỏa thuận.
Đề xuất châu Âu BambooHR của Grouper được xây dựng trên ba nguyên tắc:
Lưu trú dữ liệu châu Âu.
Dữ Liệu Cá Nhân của Khách hàng được lưu trữ và lưu trữ trong Khu vực Kinh tế Châu Âu (EEA), với lưu trữ chính tại Ireland qua Amazon Web Services (AWS).
Tiêu chuẩn quyền riêng tư châu Âu.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
Dịch vụ và hỗ trợ châu Âu.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
Mục tiêu của chúng tôi là cho phép các tổ chức sử dụng BambooHR đồng thời duy trì các chuẩn quyền riêng tư, quản trị và cư trú dữ liệu được khách hàng châu Âu kỳ vọng.
Các câu hỏi liên quan đến Chính sách bảo mật này, các hoạt động xử lý của Grouper, quyền của Người liên quan, an ninh hoặc các thỏa thuận cư trú dữ liệu châu Âu có thể được gửi thông qua các kênh bảo mật hoặc hỗ trợ khách hàng được chỉ định của Grouper.
Grouper Technology Limited có thể liên hệ tại Tầng 3, 22 Ely Place, Dublin, D02 AH73, Ireland.
Khi Dữ liệu cá nhân liên quan được lưu trữ trong tài khoản BambooHR của một nhà tuyển dụng, người dùng nên liên hệ với nhà tuyển dụng đó trước, vì tổ chức đó thường là Người kiểm soát chịu trách nhiệm xác định cách thông tin được sử dụng.
Giao kết xử lý dữ liệu này (DPA) là một phần của thỏa thuận, đơn đặt hàng, tuyên bố công việc hoặc hợp đồng khác quy định việc cung cấp các dịch vụ liên quan Grouper’s BambooHR giữa Khách hàng và Grouper Technology Limited.
Khi cung cấp Dịch vụ, Grouper có thể Xử lý Dữ liệu Cá nhân của Khách hàng thay mặt cho Khách hàng. DPA này thiết lập nghĩa vụ tương ứng của các Bên đối với việc Xử lý đó.
DPA này áp dụng ở mức độ Grouper Xử lý Dữ liệu cá nhân của Khách hàng theo đại diện cho Khách hàng và such Processing chịu sự tuân thủ Pháp luật Bảo vệ Dữ liệu áp dụng. Nó bổ sung và là một phần của Thỏa thuận; các thuật ngữ viết hoa không được định nghĩa ở đây có nghĩa như trong Thỏa thuận.
Đối với DPA này:
Dữ liệu cá nhân của Khách hàng
Dữ liệu cá nhân do Khách hàng hoặc Công ty liên kết với Khách hàng kiểm soát và được Grouper Xử lý liên quan đến Dịch vụ.
Chuyển giao bị giới hạn
Một chuyển giao Dữ liệu cá nhân đòi hỏi cơ chế chuyển giao hợp pháp theo Luật Bảo vệ Dữ liệu áp dụng.
Điều khoản Giao kết Chuẩn (SCCs)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
Một bên thứ ba được chỉ định bởi hoặc nhân danh Grouper để Xử lý Dữ liệu cá nhân của Khách hàng.
Nhà cung cấp công nghệ
BambooHR LLC và, nơi áp dụng, các thực thể BambooHR liên quan cung cấp nền tảng công nghệ HR cốt lõi.
Trừ khi có thỏa thuận bằng văn bản khác, Khách hàng đóng vai trò là Người kiểm soát và Grouper đóng vai trò là Người xử lý. Khi Khách hàng đóng vai trò là Người xử lý cho một Người điều khiển khác, Grouper đóng vai trò là Người xử lý phụ trong phạm vi áp dụng.
Grouper sẽ Xử lý Dữ liệu cá nhân của Khách hàng chỉ theo các chỉ dẫn được ghi nhận của Khách hàng và chỉ khi cần thiết để cung cấp, duy trì, bảo mật và hỗ trợ Dịch vụ, trừ khi yêu cầu Xử lý dữ liệu bởi pháp luật áp dụng.
Grouper sẽ kịp thời thông báo cho Khách hàng nếu, theo ý kiến hợp lý của họ, một chỉ dẫn vi phạm Luật Bảo vệ Dữ liệu áp dụng và có thể tạm ngừng Xử lý bị ảnh hưởng cho đến khi được giải quyết.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper sẽ đảm bảo rằng các Người được ủy quyền phải chịu nghĩa vụ bảo mật thích hợp, chỉ truy cập Dữ liệu cá nhân của Khách hàng khi cần thiết một cách hợp lý, nhận được đào tạo về quyền riêng tư và bảo mật phù hợp và Xử lý Dữ liệu cá nhân của Khách hàng chỉ theo DPA này và các chỉ dẫn của Khách hàng được ghi nhận. Việc truy cập sẽ được giới hạn theo nguyên tắc tối thiểu quyền và cần biết.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
Các miền kiểm soát tối thiểu được mô tả ở Lịch D2. Grouper có thể cập nhật các biện pháp đó với điều kiện những thay đổi không làm giảm đáng kể mức độ bảo vệ tổng thể đối với Dữ liệu cá nhân của Khách hàng.
Grouper sẽ thông báo cho Khách hàng ngay khi có thể thực hiện được và, khi cam kết hợp đồng 48 giờ áp dụng, trong mọi trường hợp không quá 48 giờ sau khi nhận thức được sự cố Bảo mật thực tế có liên quan đến Dữ liệu cá nhân của Khách hàng.
Thông tin có thể được cung cấp theo từng giai đoạn khi có sẵn. Grouper sẽ cung cấp sự hợp tác hợp lý cần thiết để Khách hàng tuân thủ nghĩa vụ thông báo cho cơ quan giám sát và các Đối tượng Dữ liệu bị ảnh hưởng.
Khách hàng cấp cho Grouper sự ủy quyền bằng văn bản chung để thuê Đối tác phụ cần thiết để cung cấp Dịch vụ.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
Khi áp dụng DPA BambooHR cơ sở, BambooHR hiện cung cấp trước tối thiểu 30 ngày bằng văn bản thông báo cho một Nhà thầu phụ mới sẽ Xử lý Dữ liệu Cá nhân của Khách hàng.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
Nếu Grouper nhận được một yêu cầu liên quan trực tiếp đến Dữ liệu cá nhân của Khách hàng, Grouper sẽ kịp thời tham khảo hoặc thông báo cho Khách hàng và sẽ không trả lời mang tính chất nội dung ngoại trừ theo chỉ dẫn được ghi nhận hoặc khi được pháp luật yêu cầu.
Grouper sẽ cung cấp sự hỗ trợ hợp lý, xem xét tính chất của Xử lý và thông tin có sẵn, với các Đánh giá tác động Bảo vệ Dữ liệu, tham khảo trước với cơ quan giám sát và các yêu cầu hoặc điều tra hợp lý bởi cơ quan giám sát có thẩm quyền liên quan đến Dịch vụ.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
Trong phạm vi cho phép bởi pháp luật, Grouper sẽ xem xét các yêu cầu có tính ràng buộc của cơ quan công quyền đối với Dữ liệu cá nhân của Khách hàng, tranh chấp các yêu cầu trái pháp hoặc quá mức khi có căn cứ hợp lý, cố gắng giới hạn tiết lộ ở mức tối thiểu được pháp luật yêu cầu, thông báo cho Khách hàng khi được pháp luật cho phép và duy trì hồ sơ phù hợp.
Theo yêu cầu của Khách hàng, hoặc khi Dịch vụ kết thúc hoặc hết hạn, Grouper sẽ, theo lựa chọn của Khách hàng và tùy thuộc khả năng kỹ thuật và Thỏa thuận, trả lại hoặc xóa an toàn Dữ liệu Cá nhân của Khách hàng và yêu cầu các Nhà thầu phụ liên quan làm như vậy. Khi pháp luật yêu cầu lưu trữ, Grouper sẽ cô lập và bảo vệ dữ liệu được lưu giữ và chỉ Xử lý nó khi luật pháp cho phép.
Khách hàng cam kết có quyền, quyền cấp phép, thông báo, cơ sở pháp lý và sự đồng ý cần thiết để cung cấp Dữ liệu cá nhân của Khách hàng cho Xử lý; chỉ thị của họ tuân thủ Luật Bảo vệ Dữ liệu áp dụng; họ sẽ không ra lệnh Xử lý bất hợp pháp; và họ sẽ cấu hình và sử dụng Dịch vụ một cách an toàn và duy trì các kiểm soát thích hợp đối với tài khoản người dùng, thông tin đăng nhập và tích hợp.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
DPA này có hiệu lực khi Khách hàng bị ràng buộc bởi nó và duy trì trong thời gian Grouper Xử lý Dữ liệu cá nhân của Khách hàng nhân danh Khách hàng. Các nghĩa vụ theo bản chất hoặc theo luật phải tiếp tục trong khi dữ liệu được giữ lại sẽ tồn tại sau khi hết hạn hoặc chấm dứt.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
Trong trường hợp có sự bất nhất liên quan đến Dữ liệu cá nhân của Khách hàng, thứ tự ưu tiên sau đây được áp dụng: Luật Bảo vệ Dữ liệu áp dụng bắt buộc; SCC tương ứng, Bổ sung UK hoặc cơ chế chuyển giao bắt buộc khác; DPA này; các điều khoản bảo vệ dữ liệu áp dụng của Thỏa thuận; và phần còn lại của Thỏa thuận.
Người điều khiển / Người Xuất dữ liệu
The Customer identified in the applicable Agreement or Order Form.
Người Xử lý / Người Nhập dữ liệu
Grouper Technology Limited, Tầng 3, 22 Ely Place, Dublin, D02 AH73, Ireland.
Nhà cung cấp công nghệ
BambooHR LLC và các thực thể BambooHR áp dụng cung cấp nền tảng HRIS cơ bản.
Vấn đề Mục tiêu
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
Bản chất của Xử lý
Thu thập, nhận, ghi lại, tổ chức, cấu trúc, di chuyển, lưu trữ, lưu giữ, tham khảo ý kiến, sử dụng, truyền, cung cấp, hạn chế, hỗ trợ truy cập, xóa và các Xử lý khác cần thiết hợp lý để cung cấp Dịch vụ.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
Trong thời gian cung cấp Dịch vụ và bất kỳ khoảng thời gian sau đó cần thiết để trả lại hoặc xóa Dữ liệu cá nhân của Khách hàng hoặc tuân thủ pháp luật.
Các Đối tượng Dữ liệu
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
Dữ liệu cá nhân
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
Dữ liệu nhạy cảm
Khi được Khách hàng chọn, có thể bao gồm thông tin sức khỏe và khuyết tật cùng các dữ liệu đặc biệt hoặc nhạy cảm khác được phép bởi Dịch vụ.
Lưu trữ châu Âu chính
Ireland / EEA thông qua Amazon Web Services (AWS) cho Khách hàng mua dịch vụ cư trú dữ liệu châu Âu.
Cơ quan Giám sát có thẩm quyền
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper duy trì các biện pháp kỹ thuật và tổ chức trên các miền kiểm soát tối thiểu sau đây:
1. Quản trị Bảo mật Thông tin
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. An ninh Nhân sự
Các nghĩa vụ bảo mật, sàng lọc phù hợp vai trò nơi hợp pháp, nhận thức bảo mật và đào tạo quyền riêng tư, và các kiểm soát kỷ luật đối với việc truy cập trái phép.
3. An ninh vật lý
Truy cập hạn chế vào cơ sở vật chất và hạ tầng liên quan; các đường dẫn truy cập được kiểm soát; phân quyền truy cập; giám sát vật lý và các biện pháp bảo vệ phù hợp với môi trường lưu trữ.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. Kiểm soát truy cập dữ liệu
Các kiểm soát được thiết kế để người dùng được ủy quyền chỉ có thể truy cập dữ liệu trong phạm vi quyền của họ; ghi nhật ký và giám sát truy cập; giải phóng dữ liệu chỉ cho người được ủy quyền.
6. Mã hóa và Mã hóa danh tính giả
Mã hóa phù hợp Dữ liệu cá nhân khi đang chuyển và khi lưu trữ; danh tính giả khi thích hợp với mục đích xử lý.
7. An ninh Mạng và Truyền tải
Tường lửa, cổng kết nối được bảo vệ, kênh truyền tin an toàn, cơ chế truyền tải được bảo vệ TLS/SFTP hoặc tương đương, và kiểm soát chống chặn hoặc sửa đổi trái phép.
8. Ghi nhật ký và Giám sát
Ghi nhật ký các hoạt động hệ thống liên quan, quản trị và truy cập; giám sát các sự kiện đáng ngờ; lưu giữ thông tin kiểm toán phù hợp với rủi ro.
9. Kiểm soát Nhập và Thay đổi
Kiểm soát để xác định ai đã nhập, chỉnh sửa hoặc xóa dữ liệu; xác thực người dùng và hệ thống được ủy quyền; thực hành quản lý thay đổi được ghi nhận.
10. Kiểm tra Lỗ hổng và Bảo mật
Các quá trình để nhận diện, đánh giá và khắc phục lỗ hổng; kiểm tra thâm nhập hoặc an toàn định kỳ; đánh giá và đánh giá hiệu quả kiểm soát định kỳ.
11. Sẵn sàng, Sao lưu và Phục hồi
Dự phòng cơ sở hạ tầng, sao lưu, khả năng phục hồi, các kiểm soát sẵn có và bảo vệ khỏi mất mát hoặc phá hủy ngẫu nhiên.
12. Liên tục Kinh doanh và Phục hồi sau thảm họa
Kế hoạch liên tục và phục hồi được ghi nhận nhằm khôi phục tính sẵn có và truy cập kịp thời sau một sự gián đoạn hoặc Sự cố Bảo mật.
13. Tách Dữ liệu
Tách hợp lý ở mức logic hoặc ứng dụng giữa các khách hàng và giữa các mục đích xử lý; các kiểm soát được thiết kế để ngăn chặn truy cập chéo trái phép giữa các khách hàng.
14. Phát triển An toàn
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
Kết thúc thẩm định, nghĩa vụ bảo vệ dữ liệu bằng văn bản, rà soát an toàn, bảo vệ chuyển giao và giám sát liên tục phù hợp với quá trình xử lý.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
Chuyển giao EU Bị giới hạn
Khi SCC của EU được yêu cầu, SCC của Ủy ban châu Âu được đưa vào tham chiếu mà không sửa đổi ngôn từ bắt buộc. Trừ khi các vai trò yêu cầu khác, Khách hàng là Người Xuất Dữ liệu, Grouper và/hoặc Nhà Cung cấp Công nghệ áp dụng là Người Nhập Dữ liệu, và Module Hai áp dụng cho chuyển giao từ Điều khiển tới Người Xử lý.
Chuyển giao bị giới hạn tại UK
Đối với các chuyển giao chịu sự Pháp luật Bảo Vệ Dữ Liệu của UK, SCC EU sẽ áp dụng cùng với UK International Data Transfer Addendum hiện hành hoặc một cơ chế chuyển giao hợp pháp UK khác.
Chuyển giao của Thụy Sĩ
Đối với chuyển giao chịu sự pháp luật bảo vệ dữ liệu của Thụy Sĩ, SCC sẽ được diễn giải và điều chỉnh theo luật Thụy Sĩ hiện hành, bao gồm tham khảo thích hợp tới cơ quan giám sát Thụy Sĩ và Các Đối tượng Dữ liệu Thụy Sĩ.
Khung Bảo mật Dữ liệu EU-US
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
Các Tình huống Truy cập Đặc biệt cho Khách hàng châu Âu
Truy cập bất thường được ủy quyền đặc biệt chỉ có thể xảy ra trong các trường hợp sau:
- một tình huống khẩn cấp ảnh hưởng đến môi trường trung tâm dữ liệu Ireland hoặc tính liên tục của dịch vụ;
- a) yêu cầu hỗ trợ hoặc bảo trì đòi hỏi truy cập chuyên gia được ủy quyền ngoài EEA, tùy thuộc sự chấp thuận của Khách hàng hoặc ủy quyền theo hợp đồng; và
- b) một yêu cầu hợp lệ từ Khách hàng đối với Xử lý hoặc lưu trữ ngoài khu vực châu Âu.
Các nhà cung cấp cụ thể được sử dụng thay đổi theo sản phẩm, tính năng, đường dẫn hỗ trợ và cấu hình Khách hàng. Sổ đăng ký đối tác phụ hoạt động hiện tại do Grouper và/hoặc BambooHR duy trì đang kiểm soát việc cung cấp dịch vụ đang hoạt động.
Các nhà cung cấp chủ chốt sau đây đã được xác định trong tài liệu dịch vụ điều hành. Một nhà cung cấp được nêu ở đây không nhất thiết Xử lý Dữ liệu cá nhân của Khách hàng cho mọi Khách hàng hay mọi triển khai.
BambooHR LLC
Nhà cung cấp công nghệ; bảo trì HRIS, lưu trữ và hỗ trợ. Địa điểm: Hoa Kỳ / khu vực dịch vụ bao gồm châu Âu.
Amazon Web Services (AWS)
Cơ sở hạ tầng lưu trữ đám mây chính; lưu trữ khu vực châu Âu tại Ireland. Địa điểm: Ireland / Châu Âu và các khu vực khác tùy thuộc cấu hình dịch vụ.
Anthropic / Claude
Xử lý AI / mô hình ngôn ngữ. Địa điểm: Hoa Kỳ.
Cohere
API mô hình ngôn ngữ / Xử lý AI. Địa điểm: Hoa Kỳ.
OpenAI
API mô hình ngôn ngữ / Xử lý AI. Địa điểm: Hoa Kỳ.
LlamaIndex / LlamaParse
Xử lý tài liệu tùy chọn liên quan đến chức năng AI. Địa điểm: Hoa Kỳ.
Atlas MongoDB
Lưu trữ dữ liệu hỗ trợ các dịch vụ được chọn / chức năng liên quan đến AI. Địa điểm: Hoa Kỳ.
Gainsight
Quan hệ khách hàng / Dịch vụ CRM.
Salesforce
Nền tảng CRM.
Cloudflare
Tường lửa web / bảo mật.
Datadog
Giám sát cơ sở hạ tầng và ứng dụng.
Microsoft / Google Workspace
Cộng tác, giao tiếp và lưu trữ tài liệu tùy thuộc vào cấu hình hiện tại.
Mailgun
Giao tiếp ứng dụng.
Snowflake
Phân tích dữ liệu.
Twilio
Xác thực đa yếu tố / Giao hàng SMS.
Các nhà cung cấp bổ sung
Các nhà cung cấp bổ sung được xác định trong tài liệu dịch vụ hiện tại có thể bao gồm Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike và các nhà cung cấp khác. Khách hàng nên tham khảo danh sách nhà thầu phụ đang hoạt động BambooHR và thông tin nhà xử lý phụ hiện tại của Grouper để có thông tin cập nhật nhất.
1. Phạm vi
Lịch trình này áp dụng khi Khách hàng cho phép hoặc sử dụng chức năng trí tuệ nhân tạo hoặc máy học BambooHR liên kết với các Dịch vụ được hỗ trợ bởi Grouper.
2. Các Nhà cung cấp AI
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. Đầu vào và Đầu ra
Các gợi ý, chỉ dẫn hoặc dữ liệu do khách hàng cung cấp cho chức năng AI có thể được coi là “Đầu vào” và các phản hồi được tạo ra có thể coi là “Đầu ra”. Tùy thuộc vào tính năng, Đầu vào hoặc Đầu ra có thể bao gồm Dữ liệu Khách hàng. Đầu ra có thể không duy nhất và có thể tương tự với đầu ra được tạo ra cho người dùng khác.
4. Trách nhiệm của Khách hàng và Giám sát của Con người
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. Hạn chế Dữ liệu Nhạy cảm và Được quản lý
Khi bị cấm bởi các điều khoản AI áp dụng, Khách hàng không được gửi thông tin nhạy cảm hoặc được quản lý cho vào các tính năng AI, bao gồm thông tin sức khỏe, di truyền hoặc sinh trắc học, số nhận dạng do chính phủ cấp, hoặc thông tin tài chính cá nhân hoặc tài khoản ngân hàng. Khách hàng nên giảm thiểu Dữ liệu cá nhân trong các prompt.
6. Chính xác, Định kiến và Công bằng
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
Khi các điều khoản AI áp dụng cho BambooHR cho phép sử dụng Dữ liệu Hiệu suất và Phản hồi để cải thiện chức năng AI, việc sử dụng đó được quản lý bởi những điều khoản đó. Khi Dữ liệu của Khách hàng được sử dụng để tinh chỉnh một mô hình dành riêng cho khách hàng, mô hình kết quả được dùng để cung cấp các tính năng AI cho Khách hàng đó và không được sử dụng cho cung cấp dịch vụ cho các khách hàng khác.
8. Xử lý Quốc tế
Các nhà cung cấp AI có thể Xử lý Đầu vào được ủy quyền hoặc Dữ liệu Cá nhân liên quan ngoài EEA. Việc Xử lý như vậy tuân thủ các biện pháp bảo vệ chuyển giao trong DPA này và không làm thay đổi vị trí lưu trữ HRIS lõi được hợp đồng của Khách hàng. Khách hàng nên đánh giá xem việc sử dụng AI tùy chọn có nhất quán với cư trú, hội đồng việc làm, luật lao động và yêu cầu rủi ro của riêng họ trước khi bật nó.
Có câu hỏi về Chính sách quyền riêng tư này hoặc quyền dữ liệu của bạn không?
Liên hệ với chúng tôi
