Dernière mise à jour : 28 oct. 2026, 00:00
Le présent Accord sur le traitement des données (« DPA ») fait partie de l’Accord-cadre d’abonnement (« Accord ») conclu entre ProcureLabs Pte. Ltd. (« Sous-traitant ») et l’entité souscrivant aux services de ProcureLabs (« Responsable du traitement »). Les termes non définis dans le présent document ont le sens qui leur est attribué dans l’Accord ou dans le Règlement (UE) 2016/679 (« GDPR »).
Le Sous-traitant traite les Données à caractère personnel uniquement aux fins de fourniture des services de la plateforme d’intelligence achats de ProcureLabs, tels que décrits dans l’Accord. Les catégories de personnes concernées comprennent les employés, consultants et utilisateurs autorisés du Responsable du traitement. Les catégories de Données à caractère personnel comprennent les noms, adresses e-mail, intitulés de poste, rôles organisationnels, adresses IP et données analytiques d’utilisation.
Le Responsable du traitement accorde une autorisation générale au Sous-traitant afin de faire appel aux sous-traitants ultérieurs listés ci-dessous. Le Sous-traitant doit informer le Responsable du traitement au moins 30 jours avant l’ajout ou le remplacement de sous-traitants ultérieurs.
The DocuSeal pilot entry is expressly excluded from the general authorization for listed client subprocessors above. Signing the vendor DPA, publishing this disclosure, a successful pilot or an administrator setting does not by itself authorize client processing or overseas transfers.
| Sous-traitant ultérieur | Finalité | Emplacement |
|---|---|---|
| DocuSeal LLC | Electronic signing and signature-audit retrieval for fictional pilot agreements with specifically authorized own-mailbox signers only; not approved for client agreements or tender documents. | Vendor agreement: EU hosting (AWS Ireland); overseas support access and identified non-EEA subprocessors permitted under vendor terms |
| DocuSign | Signature électronique facultative des contrats et des NDA | Région configurée du compte ; les données de transaction peuvent être traitées dans plusieurs régions |
| Amazon Web Services (AWS) | Hébergement cloud et infrastructure; Amazon Bedrock est actif comme route Claude principale pour les charges de travail d’IA autorisées. | Calcul applicatif principal : Singapour (ap-southeast-1). Inférence Bedrock active : profils géographiques de l’UE via l’Irlande, avec exécution dans les régions de l’UE incluses dans le profil. L’inférence IA est distincte de l’hébergement à Singapour. |
| Microsoft (Azure OpenAI) | Route principale configurée pour les conversations GPT autorisées et les embeddings de texte. La conservation standard liée à la surveillance des abus s’applique ; la surveillance modifiée des abus et la conservation nulle des données n’ont pas été approuvées. | Union européenne : ressource Sweden Central ; inférence régionale et dans la zone de données de l’UE. Les conditions de service et d’assistance du fournisseur s’appliquent également. |
| Supabase Inc. | Base de données et authentification | Singapour (AWS ap-southeast-1) |
| Stripe Inc. | Traitement des paiements | États-Unis |
| Anthropic PBC | Traitement par modèle de langage IA | États-Unis |
| OpenAI Inc. | Traitement par modèle de langage IA | Région de traitement du compte et du projet : vérification requise avant utilisation |
| Google LLC | Traitement par modèle de langage IA (Gemini), analyse du site web avec consentement, gestion facultative des clés | États-Unis |
| Inngest Inc. | Orchestration des tâches en arrière-plan | États-Unis |
| Sentry Inc. | Surveillance des erreurs | États-Unis |
| Resend Inc. | Envoi d’e-mails transactionnels | États-Unis |
L’approbation de l’intégration de production DocuSign et l’accord applicable sur la protection des données n’ont pas encore été confirmés. Confirmez la région du compte d’envoi avant d’activer cette option de signature.
À jour à la date ci-dessus. Consultez /subprocessors pour la liste actualisée.
OpenAI prend en charge les conversations, les analyses et les évaluations limitées de Decisions pour sélectionner les outils et examiner les éléments probants des achats. Sous réserve de l’autorisation actuelle du client et de la configuration régionale convenue, Decisions reçoit un contexte et des questions minimisés et expurgés pour la finalité autorisée. Les données de l’API OpenAI ne sont utilisées pour entraîner les modèles qu’en cas d’adhésion explicite. Decisions peut conserver l’état chiffré du cache des instructions jusqu’à 24 heures et les journaux habituels de surveillance des abus jusqu’à 30 jours, sous réserve des exceptions applicables en matière de sécurité, de protection ou de droit.
Le traitement par Decisions nécessite des instructions actuelles du client et une autorisation pour la finalité, le compte, le sous-traitant et le transfert vers les États-Unis concernés. La désactivation de l’IA ou le retrait de l’autorisation applicable empêche toute nouvelle demande à Decisions. Les actions ayant des conséquences restent soumises aux garanties requises et à un examen indépendant.
Prepared for a synthetic-only production pilot; not activated. Client-data processing through DocuSeal remains disabled pending whole-workflow validation and the required separate written authorizations.
This service-specific disclosure is currently provided in English.
ProcureLabs signed the DocuSeal EU Data Processing Agreement on 14 October 2026, using the version dated 28 August 2026. It applies to docuseal.eu services; it does not establish coverage for a global DocuSeal account or approval by any client.
Pilot signers’ actual names, email addresses, signatures or initials, signing timestamps, IP addresses and browser/device information may be processed. Fictional agreement contents do not make the signers’ personal data fictional. SMS and optional identity-verification services are outside this pilot.
The vendor agreement provides EU hosting, currently AWS Ireland, but permits identified non-EEA subprocessors and necessary overseas support, maintenance, security and continuity access. This is not an EU-only processing commitment. The complete processing/access-country inventory and onward-transfer assessment remain prerequisites for client use.
DocuSeal’s terms provide at least 14 days’ advance notice of onward-subprocessor changes and breach notification without undue delay, without a fixed hourly maximum. Those vendor terms do not shorten ProcureLabs’ applicable client notice periods or incident-notification deadlines.
The vendor terms provide ordinary deletion within 60 days of the specified termination, expiry, account-closure or written-request trigger, subject to routine backup/log/security retention and legal-claim or fraud/abuse exceptions. A fixed maximum for all retained copies has not been verified. These terms do not extend any shorter client deletion or backup deadline.
Under the vendor agreement, DocuSeal processes agreement and signature data on instructions, but acts as an independent controller for account and usage data. The agreement also permits aggregated, de-identified or anonymized information use. This notice does not assert a blanket no-secondary-use commitment or authorize reuse of client data.
Existing signed client agreements and mandatory legal protections remain unchanged, including any stricter hosting/access restrictions, prior written approval, advance notice, incident reporting, deletion, backup, audit and no-reuse obligations. No service-specific exception or client amendment is adopted by this notice.
Before client activation, ProcureLabs must validate the complete workflow, reconcile vendor terms with each applicable client agreement, verify locations, safeguards, security and retention controls, and obtain the required written instructions and approvals.
Lorsque des données à caractère personnel sont transférées en dehors de l’Espace économique européen, le Sous-traitant doit veiller à la mise en place de garanties appropriées, notamment : (a) les clauses contractuelles types de l’UE (module 2 : responsable du traitement vers sous-traitant), approuvées par la décision d’exécution (UE) 2021/914 de la Commission ; (b) les règles d’entreprise contraignantes, le cas échéant ; ou (c) des transferts vers des pays bénéficiant d’une décision d’adéquation de la Commission européenne.
Le Sous-traitant doit informer le Responsable du traitement sans retard indu et, en tout état de cause, dans les 72 heures suivant la prise de connaissance d’une violation de données à caractère personnel. La notification doit inclure : (a) la nature de la violation, y compris le nombre approximatif de personnes concernées ; (b) les conséquences probables de la violation ; (c) les mesures prises ou proposées pour y remédier ; (d) les coordonnées du point de contact du Sous-traitant chargé de la protection des données.
Le Sous-traitant aide le Responsable du traitement à s’acquitter de ses obligations de réponse aux demandes des personnes concernées dans un délai de 30 jours calendaires. La plateforme propose l’exportation autonome des données et la suppression du compte (Settings > Account), ainsi que des fonctionnalités de revue des accès.
Le Responsable du traitement peut auditer la conformité du Sous-traitant au présent DPA au maximum une fois par année civile, moyennant un préavis écrit de 30 jours. Le Sous-traitant met à disposition les rapports de conformité, certifications et synthèses d’audits tiers pertinents. Les audits à distance sont privilégiés ; les audits sur site sont réalisés aux frais du Responsable du traitement.
Le présent DPA reste en vigueur pendant toute la durée de l’Accord. À la résiliation, le Sous-traitant restitue ou supprime, au choix du Responsable du traitement, toutes les Données à caractère personnel dans un délai de 30 jours. La suppression à la résiliation est effectuée par le personnel du Sous-traitant sur instruction écrite du Responsable du traitement, et non par un processus automatisé de la plateforme. Une attestation de suppression est fournie sur demande.
Les clients Enterprise peuvent demander un DPA contresigné en contactant support@procure-labs.com. Nous retournons généralement les DPA signés dans un délai de 2 jours ouvrés.