Accordo sul trattamento dei dati

1. Definizioni

Il presente Accordo sul trattamento dei dati («DPA») costituisce parte dell’Accordo quadro di abbonamento («Accordo») tra ProcureLabs Pte. Ltd. («Responsabile del trattamento») e l’entità che sottoscrive i servizi ProcureLabs («Titolare del trattamento»). I termini non definiti nel presente documento hanno il significato loro attribuito nell’Accordo o nel Regolamento (UE) 2016/679 («GDPR»).

• Dati Personali indica qualsiasi informazione relativa a una persona fisica identificata o identificabile trattata ai sensi del presente DPA.
• Trattamento indica qualsiasi operazione compiuta sui Dati Personali, inclusa la raccolta, la conservazione, la modifica, il recupero, l'uso, la divulgazione e la cancellazione.
• Sub-responsabile indica qualsiasi terza parte incaricata dal Responsabile del trattamento di trattare i Dati Personali per conto del Titolare del trattamento.

2. Ambito e finalità del trattamento

Il Responsabile del trattamento tratterà i Dati personali esclusivamente allo scopo di fornire i servizi della piattaforma di intelligence per gli acquisti ProcureLabs descritti nell’Accordo. Le categorie di interessati includono i dipendenti, i consulenti e gli utenti autorizzati del Titolare del trattamento. Le categorie di Dati personali includono nomi, indirizzi e-mail, qualifiche professionali, ruoli organizzativi, indirizzi IP e dati analitici sull’utilizzo.

3. Obblighi del Responsabile del trattamento (articolo 28 GDPR)

• Trattare i Dati personali esclusivamente sulla base di istruzioni documentate del Titolare del trattamento, salvo quanto richiesto dalla legge applicabile.
• Garantire che le persone autorizzate a trattare i Dati personali si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza.
• Implementare misure tecniche e organizzative adeguate per garantire un livello di sicurezza commisurato al rischio, inclusa la cifratura dei dati a riposo (AES-256) e in transito (TLS 1.2+), nonché controlli di accesso con autenticazione a più fattori che gli amministratori del tenant possono rendere obbligatoria.
• Non ricorrere a un altro responsabile del trattamento senza la previa autorizzazione scritta, specifica o generale, del Titolare del trattamento. Qualora venga concessa un’autorizzazione generale, il Responsabile del trattamento informerà il Titolare del trattamento delle modifiche previste con un preavviso di 30 giorni.
• Assistere il Titolare del trattamento nel rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità, limitazione e opposizione).
• Assistere il Titolare del trattamento nel garantire la conformità agli obblighi relativi alla sicurezza, alla notifica delle violazioni e alla valutazione d’impatto sulla protezione dei dati.
• A scelta del Titolare del trattamento, cancellare o restituire tutti i Dati personali al termine dei servizi e cancellare le copie esistenti, salvo che la conservazione sia richiesta dalla legge applicabile.
• Mettere a disposizione del Titolare del trattamento tutte le informazioni necessarie a dimostrare la conformità e consentire e contribuire agli audit.

4. Sub-responsabili del trattamento

Il Titolare concede un'autorizzazione generale al Responsabile del trattamento affinché si avvalga dei sub-responsabili elencati di seguito. Il Responsabile del trattamento notificherà al Titolare almeno 30 giorni prima di aggiungere o sostituire sub-responsabili.

The DocuSeal pilot entry is expressly excluded from the general authorization for listed client subprocessors above. Signing the vendor DPA, publishing this disclosure, a successful pilot or an administrator setting does not by itself authorize client processing or overseas transfers.

L’approvazione dell’integrazione di produzione DocuSign e l’accordo applicabile sulla protezione dei dati non sono ancora stati confermati. Conferma la regione dell’account di invio prima di abilitare questa opzione di firma.

Aggiornato alla data sopra indicata. Consulta /subprocessors per l'elenco aggiornato.

OpenAI supporta conversazioni, analisi e valutazioni circoscritte di Decisions per selezionare strumenti ed esaminare prove relative agli acquisti. Nel rispetto dell’autorizzazione attuale del cliente e della configurazione regionale concordata, Decisions riceve contesto e domande minimizzati e oscurati per la finalità consentita. I dati dell’API OpenAI vengono utilizzati per addestrare i modelli solo previa adesione esplicita. Decisions può conservare lo stato cifrato della cache dei prompt fino a 24 ore e i normali log di monitoraggio degli abusi fino a 30 giorni, fatte salve le eccezioni applicabili per sicurezza, tutela o obblighi di legge.

Il trattamento tramite Decisions richiede istruzioni attuali del cliente e un’autorizzazione per la finalità, l’account, il responsabile del trattamento e il trasferimento negli Stati Uniti specifici. Disattivare l’IA o revocare l’autorizzazione pertinente impedisce nuove richieste a Decisions. Le azioni con conseguenze restano soggette alle garanzie richieste e a una revisione indipendente.

5. Trasferimenti internazionali di dati

Qualora i Dati personali siano trasferiti al di fuori dello Spazio economico europeo, il Responsabile del trattamento garantirà l'adozione di garanzie adeguate, tra cui: (a) le Clausole contrattuali standard dell'UE (Modulo 2: da Titolare a Responsabile del trattamento) approvate dalla Decisione di esecuzione (UE) 2021/914 della Commissione; (b) norme vincolanti d'impresa, ove applicabili; oppure (c) trasferimenti verso paesi riconosciuti adeguati dalla Commissione europea.

6. Notifica delle violazioni dei dati

Il Responsabile del trattamento notificherà al Titolare senza indebito ritardo e, in ogni caso, entro 72 ore dal momento in cui viene a conoscenza di una violazione dei Dati personali. La notifica includerà: (a) la natura della violazione, compreso il numero approssimativo di interessati coinvolti; (b) le probabili conseguenze della violazione; (c) le misure adottate o proposte per affrontare la violazione; (d) le informazioni di contatto del punto di contatto per la protezione dei dati del Responsabile del trattamento.

7. Misure di sicurezza

• Cifratura dei dati a riposo (AES-256) e in transito (TLS 1.2+)
• Autenticazione a più fattori disponibile per tutti gli utenti; gli amministratori del tenant possono renderla obbligatoria per tutti o per gli amministratori
• Sicurezza a livello di riga con isolamento del tenant nelle tabelle del database che contengono i dati dei clienti
• Scansione automatizzata di ogni modifica al codice per individuare segreti sottoposti a commit (Gitleaks) e vulnerabilità critiche correggibili nelle dipendenze (Trivy)
• I controlli sono associati ai Trust Services Criteria di SOC 2 in una matrice dei controlli disponibile su richiesta. Il programma di preparazione a SOC 2 Type II è in corso; il nostro audit non è ancora iniziato e non è disponibile alcun report Type II completato.
• Applicazione del timeout di sessione (30 minuti di inattività)
• Protezione CSRF sulle richieste che modificano lo stato, mediante un token double-submit che viene riemesso ogni ora
• Content Security Policy con nonce per ogni richiesta
• Limitazione della frequenza delle richieste API, per indirizzo IP e per utente sugli endpoint che utilizzano molte risorse, con contatori condivisi tra i server tramite Redis quando Redis è configurato e mantenuti altrimenti per server
• La conservazione segue la categoria di dati, le istruzioni del cliente, gli obblighi di preservazione legale e le condizioni del fornitore. Cronologia delle conversazioni, contenuti derivati, registri di audit e log del fornitore hanno condizioni di conservazione distinte. Le richieste di cancellazione sono gestite secondo l’accordo sul trattamento dei dati e la legge applicabile.

8. Diritti degli interessati

Il Responsabile del trattamento assisterà il Titolare del trattamento nell’adempimento dei propri obblighi di risposta alle richieste degli interessati entro 30 giorni di calendario. La piattaforma offre l’esportazione autonoma dei dati e la cancellazione dell’account (Settings > Account), nonché funzionalità di revisione degli accessi.

9. Diritti di audit

Il Titolare del trattamento può sottoporre ad audit la conformità del Responsabile del trattamento al presente DPA non più di una volta per anno solare, con un preavviso scritto di 30 giorni. Il Responsabile del trattamento metterà a disposizione i report di conformità, le certificazioni e le sintesi degli audit di terze parti pertinenti. Sono preferiti gli audit da remoto; gli audit in loco saranno effettuati a spese del Titolare del trattamento.

10. Durata e risoluzione

Il presente DPA resterà in vigore per la durata dell’Accordo. Alla risoluzione, il Responsabile del trattamento, a scelta del Titolare del trattamento, restituirà o cancellerà tutti i Dati personali entro 30 giorni. La cancellazione alla risoluzione viene effettuata dal personale del Responsabile del trattamento su istruzione scritta del Titolare del trattamento, non mediante un processo automatizzato nella piattaforma. La certificazione dell’avvenuta cancellazione sarà fornita su richiesta.