Última actualización: 28 oct 2026, 0:00
Este Acuerdo de Tratamiento de Datos («DPA») forma parte del Acuerdo Marco de Suscripción («Acuerdo») entre ProcureLabs Pte. Ltd. («Encargado») y la entidad que se suscribe a los servicios de ProcureLabs («Responsable»). Los términos no definidos en el presente documento tendrán el significado establecido en el Acuerdo o en el Reglamento (UE) 2016/679 («GDPR»).
El Encargado tratará los Datos personales exclusivamente con la finalidad de prestar los servicios de la plataforma de inteligencia de compras de ProcureLabs descritos en el Acuerdo. Las categorías de interesados incluyen a los empleados, consultores y usuarios autorizados del Responsable. Las categorías de Datos personales incluyen nombres, direcciones de correo electrónico, cargos, funciones organizativas, direcciones IP y análisis de uso.
El Responsable autoriza de forma general al Encargado a contratar a los subencargados que se indican a continuación. El Encargado notificará al Responsable al menos 30 días antes de añadir o sustituir subencargados.
The DocuSeal pilot entry is expressly excluded from the general authorization for listed client subprocessors above. Signing the vendor DPA, publishing this disclosure, a successful pilot or an administrator setting does not by itself authorize client processing or overseas transfers.
| Subencargado | Finalidad | Ubicación |
|---|---|---|
| DocuSeal LLC | Electronic signing and signature-audit retrieval for fictional pilot agreements with specifically authorized own-mailbox signers only; not approved for client agreements or tender documents. | Vendor agreement: EU hosting (AWS Ireland); overseas support access and identified non-EEA subprocessors permitted under vendor terms |
| DocuSign | Firma electrónica opcional de contratos y NDA | Región configurada de la cuenta; los datos de transacciones pueden procesarse entre regiones |
| Amazon Web Services (AWS) | Alojamiento en la nube e infraestructura; Amazon Bedrock está activo como ruta principal de Claude para cargas de trabajo de IA autorizadas. | Cómputo de la aplicación principal: Singapur (ap-southeast-1). Inferencia activa de Bedrock: perfiles geográficos de la UE a través de Irlanda, con ejecución en las regiones de la UE incluidas en el perfil. La inferencia de IA es independiente del alojamiento en Singapur. |
| Microsoft (Azure OpenAI) | Ruta principal configurada para chats GPT autorizados y embeddings de texto. Se aplica la retención estándar de supervisión de abuso; no se han aprobado la supervisión de abuso modificada ni la retención cero de datos. | Unión Europea: recurso en Suecia Central; inferencia regional y en la Zona de Datos de la UE. También se aplican las condiciones de servicio y soporte del proveedor. |
| Supabase Inc. | Base de datos y autenticación | Singapur (AWS ap-southeast-1) |
| Stripe Inc. | Procesamiento de pagos | EE. UU. |
| Anthropic PBC | Procesamiento mediante modelos de lenguaje de IA | EE. UU. |
| OpenAI Inc. | Procesamiento mediante modelos de lenguaje de IA | Región de procesamiento de la cuenta y del proyecto: debe verificarse antes del uso |
| Google LLC | Procesamiento mediante modelos de lenguaje de IA (Gemini), análisis del sitio web con consentimiento, gestión opcional de claves | EE. UU. |
| Inngest Inc. | Orquestación de tareas en segundo plano | EE. UU. |
| Sentry Inc. | Supervisión de errores | EE. UU. |
| Resend Inc. | Envío de correos electrónicos transaccionales | EE. UU. |
La aprobación de la integración de producción de DocuSign y el acuerdo de protección de datos aplicable aún no se han confirmado. Confirme la región de la cuenta de envío antes de habilitar esta opción de firma.
Vigente a la fecha indicada arriba. Consulte /subprocessors para ver la lista actualizada.
OpenAI permite conversaciones, análisis y evaluaciones acotadas de Decisions para seleccionar herramientas y analizar evidencia de compras. Sujeto a los permisos vigentes del cliente y a la configuración regional acordada, Decisions recibe contexto y preguntas minimizados y con datos sensibles ocultados para el fin permitido. Los datos de la API de OpenAI solo se utilizan para entrenar modelos con una aceptación expresa. Decisions puede conservar el estado cifrado de la caché de instrucciones hasta 24 horas y los registros ordinarios de supervisión de abusos hasta 30 días, sujeto a las excepciones de seguridad, protección o legales aplicables.
El tratamiento mediante Decisions requiere instrucciones vigentes del cliente y permiso para el fin, la cuenta, el encargado del tratamiento y la transferencia a Estados Unidos específicos. Desactivar la IA o retirar la autorización correspondiente impide nuevas solicitudes a Decisions. Las acciones con consecuencias siguen sujetas a las salvaguardas requeridas y a revisión independiente.
Prepared for a synthetic-only production pilot; not activated. Client-data processing through DocuSeal remains disabled pending whole-workflow validation and the required separate written authorizations.
This service-specific disclosure is currently provided in English.
ProcureLabs signed the DocuSeal EU Data Processing Agreement on 14 October 2026, using the version dated 28 August 2026. It applies to docuseal.eu services; it does not establish coverage for a global DocuSeal account or approval by any client.
Pilot signers’ actual names, email addresses, signatures or initials, signing timestamps, IP addresses and browser/device information may be processed. Fictional agreement contents do not make the signers’ personal data fictional. SMS and optional identity-verification services are outside this pilot.
The vendor agreement provides EU hosting, currently AWS Ireland, but permits identified non-EEA subprocessors and necessary overseas support, maintenance, security and continuity access. This is not an EU-only processing commitment. The complete processing/access-country inventory and onward-transfer assessment remain prerequisites for client use.
DocuSeal’s terms provide at least 14 days’ advance notice of onward-subprocessor changes and breach notification without undue delay, without a fixed hourly maximum. Those vendor terms do not shorten ProcureLabs’ applicable client notice periods or incident-notification deadlines.
The vendor terms provide ordinary deletion within 60 days of the specified termination, expiry, account-closure or written-request trigger, subject to routine backup/log/security retention and legal-claim or fraud/abuse exceptions. A fixed maximum for all retained copies has not been verified. These terms do not extend any shorter client deletion or backup deadline.
Under the vendor agreement, DocuSeal processes agreement and signature data on instructions, but acts as an independent controller for account and usage data. The agreement also permits aggregated, de-identified or anonymized information use. This notice does not assert a blanket no-secondary-use commitment or authorize reuse of client data.
Existing signed client agreements and mandatory legal protections remain unchanged, including any stricter hosting/access restrictions, prior written approval, advance notice, incident reporting, deletion, backup, audit and no-reuse obligations. No service-specific exception or client amendment is adopted by this notice.
Before client activation, ProcureLabs must validate the complete workflow, reconcile vendor terms with each applicable client agreement, verify locations, safeguards, security and retention controls, and obtain the required written instructions and approvals.
Cuando los Datos Personales se transfieran fuera del Espacio Económico Europeo, el Encargado garantizará que existan garantías adecuadas, incluidas: (a) las Cláusulas Contractuales Tipo de la UE (Módulo 2: de Responsable a Encargado), aprobadas mediante la Decisión de Ejecución (UE) 2021/914 de la Comisión; (b) normas corporativas vinculantes cuando proceda; o (c) transferencias a países con una decisión de adecuación de la Comisión Europea.
El Encargado notificará al Responsable sin demora indebida y, en cualquier caso, en un plazo máximo de 72 horas desde que tenga conocimiento de una violación de Datos Personales. La notificación incluirá: (a) la naturaleza de la violación, incluido el número aproximado de interesados afectados; (b) las consecuencias probables de la violación; (c) las medidas adoptadas o propuestas para hacer frente a la violación; (d) la información de contacto del punto de contacto del Encargado en materia de protección de datos.
El Encargado ayudará al Responsable a cumplir sus obligaciones de responder a las solicitudes de los interesados en un plazo de 30 días naturales. La plataforma ofrece exportación de datos y eliminación de cuentas mediante autoservicio (Settings > Account), así como funciones de revisión de acceso.
El Responsable podrá auditar el cumplimiento de este DPA por parte del Encargado no más de una vez por año natural, con un preaviso escrito de 30 días. El Encargado pondrá a disposición los informes de cumplimiento, las certificaciones y los resúmenes de auditorías de terceros pertinentes. Se prefieren las auditorías remotas; las auditorías presenciales se realizarán a cargo del Responsable.
Este DPA permanecerá vigente durante la duración del Acuerdo. Tras la terminación, el Encargado, a elección del Responsable, devolverá o eliminará todos los Datos personales en un plazo de 30 días. La eliminación tras la terminación será realizada por el personal del Encargado siguiendo instrucciones escritas del Responsable, no mediante un proceso automatizado de la plataforma. Se proporcionará una certificación de eliminación previa solicitud.
Los clientes empresariales pueden solicitar un DPA contrafirmado escribiendo a support@procure-labs.com. Normalmente devolvemos los DPA firmados en un plazo de 2 días hábiles.