Laatst bijgewerkt: 28 okt 2026, 00:00
Deze overeenkomst inzake gegevensverwerking ("DPA") maakt deel uit van de Master Subscription Agreement ("Overeenkomst") tussen ProcureLabs Pte. Ltd. ("Verwerker") en de entiteit die zich abonneert op de diensten van ProcureLabs ("Verwerkingsverantwoordelijke"). Termen die hierin niet zijn gedefinieerd, hebben de betekenis die eraan wordt toegekend in de Overeenkomst of in Verordening (EU) 2016/679 ("GDPR").
De Verwerker verwerkt Persoonsgegevens uitsluitend met het doel de procurement intelligence-platformdiensten van ProcureLabs te leveren zoals beschreven in de Overeenkomst. Categorieën van betrokkenen zijn onder meer werknemers, consultants en geautoriseerde gebruikers van de Verwerkingsverantwoordelijke. Categorieën Persoonsgegevens omvatten namen, e-mailadressen, functietitels, organisatorische rollen, IP-adressen en gebruiksanalyses.
De Verwerkingsverantwoordelijke verleent algemene toestemming aan de Verwerker om de hieronder vermelde subverwerkers in te schakelen. De Verwerker stelt de Verwerkingsverantwoordelijke ten minste 30 dagen vóór het toevoegen of vervangen van subverwerkers op de hoogte.
The DocuSeal pilot entry is expressly excluded from the general authorization for listed client subprocessors above. Signing the vendor DPA, publishing this disclosure, a successful pilot or an administrator setting does not by itself authorize client processing or overseas transfers.
| Subverwerker | Doel | Locatie |
|---|---|---|
| DocuSeal LLC | Electronic signing and signature-audit retrieval for fictional pilot agreements with specifically authorized own-mailbox signers only; not approved for client agreements or tender documents. | Vendor agreement: EU hosting (AWS Ireland); overseas support access and identified non-EEA subprocessors permitted under vendor terms |
| DocuSign | Optionele elektronische ondertekening van contracten en NDA's | Geconfigureerde accountregio; transact gegevens kunnen in meerdere regio's worden verwerkt |
| Amazon Web Services (AWS) | Cloudhosting en infrastructuur; Amazon Bedrock is actief als primaire Claude-route voor geautoriseerde AI-workloads. | Rekenkracht voor de kernapplicatie: Singapore (ap-southeast-1). Actieve Bedrock-inferentie: geografische EU-profielen via Ierland, met uitvoering in de EU-regio's binnen het profiel. AI-inferentie staat los van hosting in Singapore. |
| Microsoft (Azure OpenAI) | Geconfigureerde primaire route voor geautoriseerde GPT-chats en tek embeddings. De standaardbewaartermijn voor misbruikmonitoring is van toepassing; aangepaste misbruikmonitoring en zero data retention zijn niet goedgekeurd. | Europese Unie: resource in Sweden Central; regionale en EU Data Zone-inferentie. Ook de service- en supportvoorwaarden van de leverancier zijn van toepassing. |
| Supabase Inc. | Database en authenticatie | Singapore (AWS ap-southeast-1) |
| Stripe Inc. | Betalingsverwerking | VS |
| Anthropic PBC | Verwerking door AI-taalmodel | VS |
| OpenAI Inc. | Verwerking door AI-taalmodel | Verwerkingsregio van account en project: verificatie vereist vóór gebruik |
| Google LLC | Verwerking door AI-taalmodel (Gemini), website-analyses met toestemming, optioneel sleutelbeheer | VS |
| Inngest Inc. | Orchestratie van achtergrondtaken | VS |
| Sentry Inc. | Foutmonitoring | VS |
| Resend Inc. | Bezorging van transactionele e-mails | VS |
De goedkeuring voor de DocuSign-productie-integratie en de toepasselijke overeenkomst inzake gegevensbescherming zijn nog niet bevestigd. Bevestig de regio van het verzendaccount voordat u deze ondertekeningsoptie inschakelt.
Actueel per bovenstaande datum. Zie /subprocessors voor de actuele lijst.
OpenAI ondersteunt chat, analyse en begrensde Decisions-beoordelingen voor toolselectie en inkoopbewijs. Onder voorbehoud van actuele klanttoestemming en de overeengekomen regionale configuratie ontvangt Decisions minimale context en vragen met afgeschermde gevoelige gegevens voor het toegestane doel. OpenAI-API-gegevens worden alleen voor modeltraining gebruikt bij uitdrukkelijke deelname. Decisions kan versleutelde promptcachestatus maximaal 24 uur en reguliere logboeken voor misbruikcontrole maximaal 30 dagen bewaren, onder voorbehoud van toepasselijke uitzonderingen voor beveiliging, veiligheid of wettelijke verplichtingen.
Decisions-verwerking vereist actuele klantinstructies en toestemming voor het specifieke doel, account, de verwerker en de doorgifte naar de VS. Het uitschakelen van AI of intrekken van de toepasselijke bevoegdheid voorkomt nieuwe Decisions-aanvragen. Acties met gevolgen blijven onderworpen aan de vereiste waarborgen en onafhankelijke beoordeling.
Prepared for a synthetic-only production pilot; not activated. Client-data processing through DocuSeal remains disabled pending whole-workflow validation and the required separate written authorizations.
This service-specific disclosure is currently provided in English.
ProcureLabs signed the DocuSeal EU Data Processing Agreement on 14 October 2026, using the version dated 28 August 2026. It applies to docuseal.eu services; it does not establish coverage for a global DocuSeal account or approval by any client.
Pilot signers’ actual names, email addresses, signatures or initials, signing timestamps, IP addresses and browser/device information may be processed. Fictional agreement contents do not make the signers’ personal data fictional. SMS and optional identity-verification services are outside this pilot.
The vendor agreement provides EU hosting, currently AWS Ireland, but permits identified non-EEA subprocessors and necessary overseas support, maintenance, security and continuity access. This is not an EU-only processing commitment. The complete processing/access-country inventory and onward-transfer assessment remain prerequisites for client use.
DocuSeal’s terms provide at least 14 days’ advance notice of onward-subprocessor changes and breach notification without undue delay, without a fixed hourly maximum. Those vendor terms do not shorten ProcureLabs’ applicable client notice periods or incident-notification deadlines.
The vendor terms provide ordinary deletion within 60 days of the specified termination, expiry, account-closure or written-request trigger, subject to routine backup/log/security retention and legal-claim or fraud/abuse exceptions. A fixed maximum for all retained copies has not been verified. These terms do not extend any shorter client deletion or backup deadline.
Under the vendor agreement, DocuSeal processes agreement and signature data on instructions, but acts as an independent controller for account and usage data. The agreement also permits aggregated, de-identified or anonymized information use. This notice does not assert a blanket no-secondary-use commitment or authorize reuse of client data.
Existing signed client agreements and mandatory legal protections remain unchanged, including any stricter hosting/access restrictions, prior written approval, advance notice, incident reporting, deletion, backup, audit and no-reuse obligations. No service-specific exception or client amendment is adopted by this notice.
Before client activation, ProcureLabs must validate the complete workflow, reconcile vendor terms with each applicable client agreement, verify locations, safeguards, security and retention controls, and obtain the required written instructions and approvals.
Wanneer Persoonsgegevens buiten de Europese Economische Ruimte worden doorgegeven, zorgt de Verwerker ervoor dat passende waarborgen aanwezig zijn, waaronder: (a) de standaardcontractbepalingen van de EU (Module 2: Verwerkingsverantwoordelijke naar Verwerker), zoals goedgekeurd bij Uitvoeringsbesluit (EU) 2021/914 van de Commissie; (b) bindende bedrijfsvoorschriften, waar van toepassing; of (c) doorgiften naar landen waarvoor de Europese Commissie een adequaatheidsbesluit heeft vastgesteld.
De Verwerker stelt de Verwerkingsverantwoordelijke zonder onnodige vertraging en in ieder geval binnen 72 uur nadat hij kennis heeft gekregen van een inbreuk in verband met Persoonsgegevens op de hoogte. De melding bevat: (a) de aard van de inbreuk, met inbegrip van het geschatte aantal getroffen betrokkenen; (b) de waarschijnlijke gevolgen van de inbreuk; (c) de maatregelen die zijn genomen of voorgesteld om de inbreuk aan te pakken; (d) de contactgegevens van het contactpunt voor gegevensbescherming van de Verwerker.
De Verwerker helpt de Verwerkingsverantwoordelijke bij het nakomen van zijn verplichtingen om binnen 30 kalenderdagen te reageren op verzoeken van betrokkenen. Het platform biedt selfservice voor gegevensexport en accountverwijdering (Settings > Account), evenals mogelijkheden voor toegangsbeoordeling.
De Verwerkingsverantwoordelijke mag de naleving van deze DPA door de Verwerker maximaal eenmaal per kalenderjaar auditen, met een schriftelijke kennisgeving van 30 dagen. De Verwerker stelt relevante nalevingsrapporten, certificeringen en samenvattingen van audits door derden beschikbaar. Audits op afstand hebben de voorkeur; audits op locatie worden uitgevoerd op kosten van de Verwerkingsverantwoordelijke.
Deze DPA blijft van kracht gedurende de looptijd van de Overeenkomst. Bij beëindiging retourneert of verwijdert de Verwerker, naar keuze van de Verwerkingsverantwoordelijke, alle Persoonsgegevens binnen 30 dagen. Verwijdering bij beëindiging wordt uitgevoerd door medewerkers van de Verwerker op schriftelijke instructie van de Verwerkingsverantwoordelijke, niet door een geautomatiseerd proces in het platform. Op verzoek wordt een verwijderingscertificaat verstrekt.
Enterprise-klanten kunnen een medeondertekende DPA aanvragen door contact op te nemen met support@procure-labs.com. Doorgaans sturen we ondertekende DPA's binnen 2 werkdagen terug.