آخر تحديث: ٢٨ أكتوبر ٢٠٢٦، ١٢:٠٠ ص
تشكل اتفاقية معالجة البيانات هذه ("DPA") جزءًا من اتفاقية الاشتراك الرئيسية ("Agreement") المبرمة بين ProcureLabs Pte. Ltd. ("Processor") والكيان المشترك في خدمات ProcureLabs ("Controller"). ويكون للمصطلحات غير المعرّفة هنا المعاني المنصوص عليها في Agreement أو في اللائحة (EU) 2016/679 ("GDPR").
يعالج Processor البيانات الشخصية فقط لغرض تقديم خدمات منصة معلومات المشتريات من ProcureLabs، كما هو موضح في Agreement. تشمل فئات أصحاب البيانات موظفي Controller ومستشاريه ومستخدميه المصرح لهم. وتشمل فئات البيانات الشخصية الأسماء وعناوين البريد الإلكتروني والمسميات الوظيفية والأدوار التنظيمية وعناوين IP وتحليلات الاستخدام.
يمنح المتحكم المعالج تفويضًا عامًا للتعاقد مع المعالِجين الفرعيين المدرجين أدناه. ويجب على المعالج إخطار المتحكم قبل 30 يومًا على الأقل من إضافة المعالِجين الفرعيين أو استبدالهم.
The DocuSeal pilot entry is expressly excluded from the general authorization for listed client subprocessors above. Signing the vendor DPA, publishing this disclosure, a successful pilot or an administrator setting does not by itself authorize client processing or overseas transfers.
| المعالِج الفرعي | الغرض | الموقع |
|---|---|---|
| DocuSeal LLC | Electronic signing and signature-audit retrieval for fictional pilot agreements with specifically authorized own-mailbox signers only; not approved for client agreements or tender documents. | Vendor agreement: EU hosting (AWS Ireland); overseas support access and identified non-EEA subprocessors permitted under vendor terms |
| DocuSign | التوقيع الإلكتروني الاختياري على العقود واتفاقيات NDA | منطقة الحساب المكوّنة؛ قد تتم معالجة بيانات المعاملات عبر مناطق متعددة |
| Amazon Web Services (AWS) | الاستضافة السحابية والبنية التحتية؛ Amazon Bedrock مفعّل كمسار Claude أساسي لأحمال عمل الذكاء الاصطناعي المصرّح بها. | الحوسبة الأساسية للتطبيق: سنغافورة (ap-southeast-1). استدلال Bedrock النشط: ملفات تعريف جغرافية أوروبية عبر أيرلندا، مع التنفيذ عبر مناطق الاتحاد الأوروبي المدرجة في الملف. استدلال الذكاء الاصطناعي منفصل عن الاستضافة في سنغافورة. |
| Microsoft (Azure OpenAI) | المسار الأساسي المكوّن لمحادثات GPT المصرّح بها وتضمينات النصوص. ينطبق الاحتفاظ القياسي لأغراض مراقبة إساءة الاستخدام؛ ولم تتم الموافقة على مراقبة إساءة الاستخدام المعدّلة أو الاحتفاظ الصفري بالبيانات. | الاتحاد الأوروبي: مورد في السويد المركزية؛ استدلال إقليمي واستدلال ضمن منطقة بيانات الاتحاد الأوروبي. تنطبق أيضًا شروط خدمة المورد ودعمه. |
| Supabase Inc. | قاعدة البيانات والمصادقة | سنغافورة (AWS ap-southeast-1) |
| Stripe Inc. | معالجة المدفوعات | الولايات المتحدة |
| Anthropic PBC | معالجة نموذج اللغة بالذكاء الاصطناعي | الولايات المتحدة |
| OpenAI Inc. | معالجة نموذج اللغة بالذكاء الاصطناعي | منطقة معالجة الحساب والمشروع: يلزم التحقق قبل الاستخدام |
| Google LLC | معالجة نموذج اللغة بالذكاء الاصطناعي (Gemini)، وتحليلات الموقع بموافقة المستخدم، وإدارة المفاتيح الاختيارية | الولايات المتحدة |
| Inngest Inc. | تنسيق المهام في الخلفية | الولايات المتحدة |
| Sentry Inc. | مراقبة الأخطاء | الولايات المتحدة |
| Resend Inc. | تسليم رسائل البريد الإلكتروني الخاصة بالمعاملات | الولايات المتحدة |
لم يتم بعد تأكيد اعتماد تكامل DocuSign في بيئة الإنتاج واتفاقية حماية البيانات المعمول بها. أكّد منطقة حساب الإرسال قبل تفعيل خيار التوقيع هذا.
محدّثة حتى التاريخ أعلاه. راجع /subprocessors للاطلاع على القائمة الحالية.
تدعم OpenAI المحادثة والتحليل وتقييمات Decisions المحدودة لاختيار الأدوات وأدلة المشتريات. رهناً بإذن العميل الساري والإعداد الإقليمي المتفق عليه، تتلقى Decisions سياقاً وأسئلة جرى تقليلها وحجب البيانات الحساسة فيها للغرض المسموح به. لا تُستخدم بيانات واجهة OpenAI API لتدريب النماذج إلا باشتراك صريح. قد تحتفظ Decisions بحالة ذاكرة التخزين المؤقت المشفرة للمطالبات لمدة تصل إلى 24 ساعة، وبسجلات مراقبة إساءة الاستخدام المعتادة لمدة تصل إلى 30 يوماً، مع مراعاة الاستثناءات الأمنية أو المتعلقة بالسلامة أو القانونية المعمول بها.
تتطلب معالجة Decisions تعليمات سارية من العميل وإذناً للغرض والحساب والمعالج والنقل إلى الولايات المتحدة المحددين. يؤدي تعطيل الذكاء الاصطناعي أو سحب الصلاحية المعنية إلى منع طلبات Decisions الجديدة. وتظل الإجراءات ذات العواقب خاضعة للضمانات المطلوبة والمراجعة المستقلة.
Prepared for a synthetic-only production pilot; not activated. Client-data processing through DocuSeal remains disabled pending whole-workflow validation and the required separate written authorizations.
This service-specific disclosure is currently provided in English.
ProcureLabs signed the DocuSeal EU Data Processing Agreement on 14 October 2026, using the version dated 28 August 2026. It applies to docuseal.eu services; it does not establish coverage for a global DocuSeal account or approval by any client.
Pilot signers’ actual names, email addresses, signatures or initials, signing timestamps, IP addresses and browser/device information may be processed. Fictional agreement contents do not make the signers’ personal data fictional. SMS and optional identity-verification services are outside this pilot.
The vendor agreement provides EU hosting, currently AWS Ireland, but permits identified non-EEA subprocessors and necessary overseas support, maintenance, security and continuity access. This is not an EU-only processing commitment. The complete processing/access-country inventory and onward-transfer assessment remain prerequisites for client use.
DocuSeal’s terms provide at least 14 days’ advance notice of onward-subprocessor changes and breach notification without undue delay, without a fixed hourly maximum. Those vendor terms do not shorten ProcureLabs’ applicable client notice periods or incident-notification deadlines.
The vendor terms provide ordinary deletion within 60 days of the specified termination, expiry, account-closure or written-request trigger, subject to routine backup/log/security retention and legal-claim or fraud/abuse exceptions. A fixed maximum for all retained copies has not been verified. These terms do not extend any shorter client deletion or backup deadline.
Under the vendor agreement, DocuSeal processes agreement and signature data on instructions, but acts as an independent controller for account and usage data. The agreement also permits aggregated, de-identified or anonymized information use. This notice does not assert a blanket no-secondary-use commitment or authorize reuse of client data.
Existing signed client agreements and mandatory legal protections remain unchanged, including any stricter hosting/access restrictions, prior written approval, advance notice, incident reporting, deletion, backup, audit and no-reuse obligations. No service-specific exception or client amendment is adopted by this notice.
Before client activation, ProcureLabs must validate the complete workflow, reconcile vendor terms with each applicable client agreement, verify locations, safeguards, security and retention controls, and obtain the required written instructions and approvals.
عند نقل البيانات الشخصية خارج المنطقة الاقتصادية الأوروبية، يجب على المعالج ضمان وجود ضمانات كافية، بما في ذلك: (أ) البنود التعاقدية القياسية للاتحاد الأوروبي (الوحدة 2: من المتحكم إلى المعالج) المعتمدة بموجب قرار التنفيذ (EU) 2021/914 الصادر عن المفوضية؛ (ب) القواعد المؤسسية الملزمة، حيثما ينطبق ذلك؛ أو (ج) عمليات النقل إلى بلدان لديها قرار ملاءمة صادر عن المفوضية الأوروبية.
يجب على المعالج إخطار المتحكم دون تأخير غير مبرر، وفي جميع الأحوال خلال 72 ساعة من علمه بخرق للبيانات الشخصية. يجب أن يتضمن الإخطار: (أ) طبيعة الخرق، بما في ذلك العدد التقريبي لأصحاب البيانات المتأثرين؛ (ب) العواقب المحتملة للخرق؛ (ج) التدابير المتخذة أو المقترحة لمعالجة الخرق؛ (د) معلومات الاتصال بنقطة اتصال حماية البيانات لدى المعالج.
يتعين على Processor مساعدة Controller في الوفاء بالتزاماته المتعلقة بالاستجابة لطلبات أصحاب البيانات خلال 30 يومًا تقويميًا. توفر المنصة تصدير البيانات وحذف الحساب ذاتيًا (Settings > Account)، بالإضافة إلى إمكانات مراجعة الوصول.
يجوز لـ Controller تدقيق امتثال Processor لهذه الاتفاقية DPA بما لا يزيد على مرة واحدة في كل سنة تقويمية، مع تقديم إشعار كتابي قبل 30 يومًا. ويتعين على Processor إتاحة تقارير الامتثال والشهادات وملخصات عمليات التدقيق التي تجريها جهات خارجية ذات الصلة. وتُفضّل عمليات التدقيق عن بُعد؛ وتُجرى عمليات التدقيق في الموقع على نفقة Controller.
تظل هذه الاتفاقية DPA سارية طوال مدة Agreement. وعند الإنهاء، يتعين على Processor، بناءً على اختيار Controller، إعادة جميع البيانات الشخصية أو حذفها خلال 30 يومًا. وينفذ موظفو Processor الحذف عند الإنهاء بناءً على تعليمات كتابية من Controller، وليس من خلال عملية آلية في المنصة. ويُقدَّم إثبات الحذف عند الطلب.
يمكن لعملاء المؤسسات طلب اتفاقية DPA موقّعة من الطرفين عبر التواصل مع support@procure-labs.com. عادةً ما نعيد اتفاقيات DPA الموقّعة خلال يومَي عمل.