Zuletzt aktualisiert: 28. Okt. 2026, 00:00
Diese Vereinbarung zur Auftragsverarbeitung ("DPA") ist Bestandteil der Master-Abonnementvereinbarung ("Agreement") zwischen ProcureLabs Pte. Ltd. ("Processor") und der juristischen Person, die ProcureLabs-Dienste abonniert ("Controller"). Nicht hierin definierte Begriffe haben die in der Agreement oder in der Verordnung (EU) 2016/679 ("GDPR") festgelegte Bedeutung.
Der Processor verarbeitet personenbezogene Daten ausschließlich zum Zweck der Bereitstellung der in der Agreement beschriebenen ProcureLabs-Services der Procurement-Intelligence-Plattform. Zu den Kategorien betroffener Personen gehören Mitarbeiter, Berater und autorisierte Nutzer des Controllers. Zu den Kategorien personenbezogener Daten gehören Namen, E-Mail-Adressen, Berufsbezeichnungen, organisatorische Rollen, IP-Adressen und Nutzungsanalysen.
Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung, die unten aufgeführten Unterauftragsverarbeiter zu beauftragen. Der Auftragsverarbeiter muss den Verantwortlichen mindestens 30 Tage vor dem Hinzufügen oder Ersetzen von Unterauftragsverarbeitern benachrichtigen.
The DocuSeal pilot entry is expressly excluded from the general authorization for listed client subprocessors above. Signing the vendor DPA, publishing this disclosure, a successful pilot or an administrator setting does not by itself authorize client processing or overseas transfers.
| Unterauftragsverarbeiter | Zweck | Standort |
|---|---|---|
| DocuSeal LLC | Electronic signing and signature-audit retrieval for fictional pilot agreements with specifically authorized own-mailbox signers only; not approved for client agreements or tender documents. | Vendor agreement: EU hosting (AWS Ireland); overseas support access and identified non-EEA subprocessors permitted under vendor terms |
| DocuSign | Optionale elektronische Unterzeichnung von Verträgen und NDAs | Konfigurierte Kontoregion; Transaktionsdaten können regionsübergreifend verarbeitet werden |
| Amazon Web Services (AWS) | Cloud-Hosting und Infrastruktur; Amazon Bedrock ist als primäre Claude-Route für autorisierte KI-Workloads aktiv. | Kernanwendungs-Computing: Singapur (ap-southeast-1). Aktive Bedrock-Inferenz: geografische Profile der EU über Irland, mit Ausführung in den EU-Regionen des Profils. Die KI-Inferenz ist vom Hosting in Singapur getrennt. |
| Microsoft (Azure OpenAI) | Konfigurierte primäre Route für autorisierte GPT-Chats und Text-Embeddings. Die standardmäßige Speicherung zur Missbrauchsüberwachung gilt; eine modifizierte Missbrauchsüberwachung und eine Speicherung von null Daten wurden nicht genehmigt. | Europäische Union: Ressource in Schweden (Central); Inferenz in der regionalen und EU Data Zone. Außerdem gelten die Service- und Supportbedingungen des Anbieters. |
| Supabase Inc. | Datenbank und Authentifizierung | Singapur (AWS ap-southeast-1) |
| Stripe Inc. | Zahlungsabwicklung | USA |
| Anthropic PBC | Verarbeitung durch KI-Sprachmodelle | USA |
| OpenAI Inc. | Verarbeitung durch KI-Sprachmodelle | Verarbeitungsregion für Konto und Projekt: vor der Nutzung zu prüfen |
| Google LLC | Verarbeitung durch KI-Sprachmodelle (Gemini), Website-Analysen mit Einwilligung, optionales Schlüsselmanagement | USA |
| Inngest Inc. | Orchestrierung von Hintergrundaufgaben | USA |
| Sentry Inc. | Fehlerüberwachung | USA |
| Resend Inc. | Zustellung transaktionaler E-Mails | USA |
Die Genehmigung der DocuSign-Produktionsintegration und die geltende Vereinbarung zum Datenschutz wurden noch nicht bestätigt. Bestätigen Sie vor der Aktivierung dieser Unterzeichnungsoption die Region des Absenderkontos.
Stand: oben genanntes Datum. Die aktuelle Liste finden Sie unter /subprocessors.
OpenAI unterstützt Chat, Analysen und begrenzte Decisions-Bewertungen zur Werkzeugauswahl und zu Beschaffungsnachweisen. Vorbehaltlich der aktuellen Kundenerlaubnis und der vereinbarten regionalen Konfiguration erhält Decisions minimierten Kontext und Fragen mit geschwärzten sensiblen Daten für den erlaubten Zweck. OpenAI-API-Daten werden nur bei ausdrücklicher Zustimmung für das Modelltraining verwendet. Decisions kann verschlüsselten Prompt-Cache-Zustand bis zu 24 Stunden und reguläre Protokolle zur Missbrauchsüberwachung bis zu 30 Tage speichern, vorbehaltlich geltender Sicherheits-, Schutz- oder gesetzlicher Ausnahmen.
Die Decisions-Verarbeitung erfordert aktuelle Kundenanweisungen und eine Erlaubnis für den konkreten Zweck, das Konto, den Auftragsverarbeiter und die Übermittlung in die USA. Das Deaktivieren von KI oder der Widerruf der entsprechenden Berechtigung verhindert neue Decisions-Anfragen. Folgenreiche Aktionen unterliegen weiterhin den erforderlichen Schutzmaßnahmen und einer unabhängigen Prüfung.
Prepared for a synthetic-only production pilot; not activated. Client-data processing through DocuSeal remains disabled pending whole-workflow validation and the required separate written authorizations.
This service-specific disclosure is currently provided in English.
ProcureLabs signed the DocuSeal EU Data Processing Agreement on 14 October 2026, using the version dated 28 August 2026. It applies to docuseal.eu services; it does not establish coverage for a global DocuSeal account or approval by any client.
Pilot signers’ actual names, email addresses, signatures or initials, signing timestamps, IP addresses and browser/device information may be processed. Fictional agreement contents do not make the signers’ personal data fictional. SMS and optional identity-verification services are outside this pilot.
The vendor agreement provides EU hosting, currently AWS Ireland, but permits identified non-EEA subprocessors and necessary overseas support, maintenance, security and continuity access. This is not an EU-only processing commitment. The complete processing/access-country inventory and onward-transfer assessment remain prerequisites for client use.
DocuSeal’s terms provide at least 14 days’ advance notice of onward-subprocessor changes and breach notification without undue delay, without a fixed hourly maximum. Those vendor terms do not shorten ProcureLabs’ applicable client notice periods or incident-notification deadlines.
The vendor terms provide ordinary deletion within 60 days of the specified termination, expiry, account-closure or written-request trigger, subject to routine backup/log/security retention and legal-claim or fraud/abuse exceptions. A fixed maximum for all retained copies has not been verified. These terms do not extend any shorter client deletion or backup deadline.
Under the vendor agreement, DocuSeal processes agreement and signature data on instructions, but acts as an independent controller for account and usage data. The agreement also permits aggregated, de-identified or anonymized information use. This notice does not assert a blanket no-secondary-use commitment or authorize reuse of client data.
Existing signed client agreements and mandatory legal protections remain unchanged, including any stricter hosting/access restrictions, prior written approval, advance notice, incident reporting, deletion, backup, audit and no-reuse obligations. No service-specific exception or client amendment is adopted by this notice.
Before client activation, ProcureLabs must validate the complete workflow, reconcile vendor terms with each applicable client agreement, verify locations, safeguards, security and retention controls, and obtain the required written instructions and approvals.
Werden personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums übermittelt, muss der Auftragsverarbeiter sicherstellen, dass angemessene Schutzmaßnahmen vorhanden sind, einschließlich: (a) der von der Kommission mit dem Durchführungsbeschluss (EU) 2021/914 genehmigten EU-Standardvertragsklauseln (Modul 2: Verantwortlicher an Auftragsverarbeiter); (b) gegebenenfalls verbindlicher interner Datenschutzvorschriften; oder (c) Übermittlungen in Länder, für die ein Angemessenheitsbeschluss der Europäischen Kommission vorliegt.
Der Auftragsverarbeiter muss den Verantwortlichen unverzüglich und in jedem Fall innerhalb von 72 Stunden nach Kenntniserlangung von einer Verletzung des Schutzes personenbezogener Daten benachrichtigen. Die Benachrichtigung muss Folgendes enthalten: (a) die Art der Verletzung, einschließlich der ungefähren Anzahl betroffener betroffener Personen; (b) die voraussichtlichen Folgen der Verletzung; (c) die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung; (d) die Kontaktdaten des Datenschutzansprechpartners des Auftragsverarbeiters.
Der Processor unterstützt den Controller bei der Erfüllung seiner Verpflichtung, innerhalb von 30 Kalendertagen auf Anfragen betroffener Personen zu reagieren. Die Plattform bietet einen Self-Service-Datenexport und die Löschung von Konten (Settings > Account) sowie Funktionen zur Zugriffsüberprüfung.
Der Controller darf die Compliance des Processors mit dieser DPA höchstens einmal pro Kalenderjahr und mit einer schriftlichen Frist von 30 Tagen prüfen. Der Processor stellt relevante Compliance-Berichte, Zertifizierungen und Zusammenfassungen von Prüfungen durch Dritte zur Verfügung. Remote-Prüfungen werden bevorzugt; Vor-Ort-Prüfungen gehen zulasten des Controllers.
Diese DPA bleibt für die Laufzeit der Agreement in Kraft. Bei Beendigung gibt der Processor nach Wahl des Controllers alle personenbezogenen Daten innerhalb von 30 Tagen zurück oder löscht sie. Die Löschung bei Beendigung wird von Mitarbeitern des Processors auf schriftliche Weisung des Controllers durchgeführt, nicht durch einen automatisierten Prozess in der Plattform. Eine Löschbestätigung wird auf Anfrage bereitgestellt.
Enterprise-Kunden können einen gegengezeichneten DPA anfordern, indem sie support@procure-labs.com kontaktieren. In der Regel senden wir unterzeichnete DPAs innerhalb von 2 Werktagen zurück.