Perjanjian Pemprosesan Data

1. Definisi

Perjanjian Pemprosesan Data ini ("DPA") merupakan sebahagian daripada Perjanjian Langganan Induk ("Perjanjian") antara ProcureLabs Pte. Ltd. ("Pemproses") dan entiti yang melanggan perkhidmatan ProcureLabs ("Pengawal"). Istilah yang tidak ditakrifkan di sini hendaklah mempunyai maksud seperti yang dinyatakan dalam Perjanjian atau Peraturan (EU) 2016/679 ("GDPR").

• Data Peribadi bermaksud sebarang maklumat berkaitan dengan seseorang individu yang dikenal pasti atau boleh dikenal pasti yang diproses di bawah DPA ini.
• Pemprosesan bermaksud sebarang operasi yang dilakukan ke atas Data Peribadi, termasuk pengumpulan, penyimpanan, pengubahan, pengambilan semula, penggunaan, pendedahan, dan pemadaman.
• Sub-pemproses bermaksud mana-mana pihak ketiga yang dilantik oleh Pemproses untuk memproses Data Peribadi bagi pihak Pengawal.

2. Skop dan Tujuan Pemprosesan

Pemproses hendaklah memproses Data Peribadi semata-mata untuk menyediakan perkhidmatan platform perisikan perolehan ProcureLabs seperti yang diterangkan dalam Perjanjian. Kategori subjek data termasuk pekerja, perunding dan pengguna yang diberi kuasa oleh Pengawal. Kategori Data Peribadi termasuk nama, alamat e-mel, jawatan, peranan organisasi, alamat IP dan analitik penggunaan.

3. Kewajipan Pemproses (GDPR Artikel 28)

• Memproses Data Peribadi hanya berdasarkan arahan yang didokumenkan daripada Pengawal, melainkan dikehendaki oleh undang-undang yang terpakai.
• Memastikan bahawa individu yang diberi kuasa untuk memproses Data Peribadi telah membuat komitmen terhadap kerahsiaan atau tertakluk kepada kewajipan kerahsiaan berkanun yang sewajarnya.
• Melaksanakan langkah teknikal dan organisasi yang sesuai untuk memastikan tahap keselamatan yang sepadan dengan risiko, termasuk penyulitan semasa rehat (AES-256) dan semasa transit (TLS 1.2+), serta kawalan akses dengan pengesahan berbilang faktor yang boleh diwajibkan oleh pentadbir penyewa.
• Tidak melantik pemproses lain tanpa kebenaran bertulis khusus atau umum terlebih dahulu daripada Pengawal. Jika kebenaran umum diberikan, Pemproses hendaklah memaklumkan Pengawal tentang perubahan yang dicadangkan dengan notis 30 hari.
• Membantu Pengawal menjawab permintaan subjek data (akses, pembetulan, pemadaman, kebolehportan, sekatan dan bantahan).
• Membantu Pengawal memastikan pematuhan terhadap kewajipan keselamatan, pemberitahuan pelanggaran dan penilaian impak perlindungan data.
• Atas pilihan Pengawal, memadam atau memulangkan semua Data Peribadi apabila perkhidmatan ditamatkan, serta memadam salinan sedia ada melainkan penyimpanan dikehendaki oleh undang-undang yang terpakai.
• Menyediakan kepada Pengawal semua maklumat yang diperlukan untuk menunjukkan pematuhan serta membenarkan dan menyumbang kepada audit.

4. Subpemproses

Pengawal memberikan kebenaran am kepada Pemproses untuk melibatkan subpemproses yang disenaraikan di bawah. Pemproses hendaklah memaklumkan Pengawal sekurang-kurangnya 30 hari sebelum menambah atau menggantikan subpemproses.

The DocuSeal pilot entry is expressly excluded from the general authorization for listed client subprocessors above. Signing the vendor DPA, publishing this disclosure, a successful pilot or an administrator setting does not by itself authorize client processing or overseas transfers.

Kelulusan integrasi produksi DocuSign dan perjanjian perlindungan data yang terpakai masih belum disahkan. Sahkan rantau akaun penghantaran sebelum mengaktifkan pilihan tandatangan ini.

Terkini pada tarikh di atas. Sila lihat /subprocessors untuk senarai semasa.

OpenAI menyokong sembang, analisis dan penilaian Decisions yang terhad untuk pemilihan alat serta bukti perolehan. Tertakluk pada kebenaran pelanggan yang masih sah dan konfigurasi wilayah yang dipersetujui, Decisions menerima konteks dan soalan yang diminimumkan serta maklumat sensitifnya disamarkan untuk tujuan yang dibenarkan. Data API OpenAI hanya digunakan untuk latihan model apabila penyertaan dipilih secara nyata. Decisions boleh menyimpan keadaan cache prom terenkripsi sehingga 24 jam dan log pemantauan penyalahgunaan standard sehingga 30 hari, tertakluk pada pengecualian keselamatan, perlindungan atau undang-undang yang berkenaan.

Pemprosesan Decisions memerlukan arahan pelanggan yang masih sah dan kebenaran untuk tujuan, akaun, pemproses serta pemindahan ke AS yang tertentu. Menyahaktifkan AI atau menarik balik kuasa yang berkenaan menghalang permintaan Decisions baharu. Tindakan yang membawa kesan kekal tertakluk pada perlindungan yang diperlukan dan semakan bebas.

5. Pemindahan Data Antarabangsa

Sekiranya Data Peribadi dipindahkan ke luar Kawasan Ekonomi Eropah, Pemproses hendaklah memastikan perlindungan yang mencukupi tersedia, termasuk: (a) Klausa Kontrak Standard EU (Modul 2: Pengawal kepada Pemproses) seperti yang diluluskan oleh Keputusan Pelaksanaan Suruhanjaya (EU) 2021/914; (b) peraturan korporat yang mengikat jika berkenaan; atau (c) pemindahan ke negara yang mempunyai keputusan kecukupan daripada Suruhanjaya Eropah.

6. Pemberitahuan Pelanggaran Data

Pemproses hendaklah memaklumkan Pengawal tanpa kelewatan yang tidak wajar dan dalam apa jua keadaan dalam tempoh 72 jam selepas menyedari pelanggaran Data Peribadi. Pemberitahuan hendaklah merangkumi: (a) sifat pelanggaran termasuk anggaran bilangan subjek data yang terjejas; (b) kemungkinan akibat pelanggaran; (c) langkah yang diambil atau dicadangkan untuk menangani pelanggaran; (d) maklumat hubungan pegawai hubungan perlindungan data Pemproses.

7. Langkah Keselamatan

• Penyulitan semasa rehat (AES-256) dan semasa transit (TLS 1.2+)
• Pengesahan berbilang faktor tersedia untuk semua pengguna; pentadbir penyewa boleh mewajibkannya untuk semua orang atau untuk pentadbir
• Keselamatan peringkat baris dengan pengasingan penyewa pada jadual pangkalan data yang menyimpan data pelanggan
• Pengimbasan automatik bagi setiap perubahan kod untuk mengesan rahsia yang dikomit (Gitleaks) dan kelemahan kebergantungan kritikal yang boleh dibaiki (Trivy)
• Kawalan dipetakan kepada Kriteria Perkhidmatan Amanah SOC 2 dalam matriks kawalan yang tersedia atas permintaan. Program persediaan SOC 2 Type II sedang berjalan; audit kami sendiri masih belum bermula dan tiada laporan Type II yang lengkap tersedia.
• Penguatkuasaan tamat masa sesi (30 minit tidak aktif)
• Perlindungan CSRF pada permintaan yang mengubah keadaan, menggunakan token double-submit yang dikeluarkan semula setiap jam
• Dasar Keselamatan Kandungan dengan nonce bagi setiap permintaan
• Pengehadan kadar pada permintaan API, mengikut alamat IP dan pengguna pada titik akhir yang intensif sumber, dengan pembilang dikongsi merentas pelayan melalui Redis apabila Redis dikonfigurasikan dan dikekalkan pada setiap pelayan jika sebaliknya
• Penyimpanan mengikut kategori data yang berkenaan, arahan pelanggan, kewajipan pemeliharaan undang-undang serta terma penyedia. Sejarah sembang, kandungan terbitan, rekod audit dan log penyedia mempunyai syarat penyimpanan berasingan. Permintaan pemadaman dikendalikan menurut perjanjian pemprosesan data dan undang-undang yang berkenaan.

8. Hak Subjek Data

Pemproses hendaklah membantu Pengawal memenuhi kewajipannya untuk menjawab permintaan subjek data dalam tempoh 30 hari kalendar. Platform menyediakan pengeksportan data layan diri dan pemadaman akaun (Settings > Account), serta keupayaan semakan akses.

9. Hak Audit

Pengawal boleh mengaudit pematuhan Pemproses terhadap DPA ini tidak lebih daripada sekali setiap tahun kalendar, dengan notis bertulis 30 hari. Pemproses hendaklah menyediakan laporan pematuhan, pensijilan dan ringkasan audit pihak ketiga yang berkaitan. Audit jarak jauh adalah diutamakan; audit di lokasi hendaklah dijalankan atas perbelanjaan Pengawal.

10. Tempoh dan Penamatan

DPA ini kekal berkuat kuasa sepanjang tempoh Perjanjian. Apabila ditamatkan, Pemproses hendaklah, atas pilihan Pengawal, memulangkan atau memadam semua Data Peribadi dalam tempoh 30 hari. Pemadaman semasa penamatan dilaksanakan oleh kakitangan Pemproses berdasarkan arahan bertulis Pengawal, bukan melalui proses automatik dalam platform. Pensijilan pemadaman akan diberikan atas permintaan.