Ostatnia aktualizacja: 28 paź 2026, 00:00
Niniejsza Umowa powierzenia przetwarzania danych ("DPA") stanowi część Umowy głównej o subskrypcję ("Umowa") zawartej między ProcureLabs Pte. Ltd. ("Podmiot przetwarzający") a podmiotem subskrybującym usługi ProcureLabs ("Administrator"). Terminy niezdefiniowane w niniejszym dokumencie mają znaczenie nadane im w Umowie lub w Rozporządzeniu (UE) 2016/679 ("GDPR").
Podmiot przetwarzający będzie przetwarzać Dane osobowe wyłącznie w celu świadczenia usług platformy analityki zakupowej ProcureLabs opisanych w Umowie. Kategorie osób, których dane dotyczą, obejmują pracowników, konsultantów i upoważnionych użytkowników Administratora. Kategorie Danych osobowych obejmują imiona i nazwiska, adresy e-mail, stanowiska, role organizacyjne, adresy IP i dane analityczne dotyczące korzystania z usługi.
Administrator udziela Podmiotowi przetwarzającemu ogólnego upoważnienia do angażowania dalszych podmiotów przetwarzających wymienionych poniżej. Podmiot przetwarzający powiadomi Administratora co najmniej 30 dni przed dodaniem lub zastąpieniem dalszych podmiotów przetwarzających.
The DocuSeal pilot entry is expressly excluded from the general authorization for listed client subprocessors above. Signing the vendor DPA, publishing this disclosure, a successful pilot or an administrator setting does not by itself authorize client processing or overseas transfers.
| Podmiot podprzetwarzający | Cel | Lokalizacja |
|---|---|---|
| DocuSeal LLC | Electronic signing and signature-audit retrieval for fictional pilot agreements with specifically authorized own-mailbox signers only; not approved for client agreements or tender documents. | Vendor agreement: EU hosting (AWS Ireland); overseas support access and identified non-EEA subprocessors permitted under vendor terms |
| DocuSign | Opcjonalne elektroniczne podpisywanie umów i NDA | Skonfigurowany region konta; dane transakcyjne mogą być przetwarzane w różnych regionach |
| Amazon Web Services (AWS) | Hosting w chmurze i infrastruktura; Amazon Bedrock jest aktywną podstawową ścieżką Claude dla autoryzowanych obciążeń AI. | Podstawowe środowisko obliczeniowe aplikacji: Singapur (ap-southeast-1). Aktywne wnioskowanie Bedrock: profile geograficzne UE za pośrednictwem Irlandii, z wykonywaniem w regionach UE uwzględnionych w profilu. Wnioskowanie AI jest oddzielone od hostingu w Singapurze. |
| Microsoft (Azure OpenAI) | Skonfigurowana podstawowa ścieżka dla autoryzowanych rozmów GPT i osadzania tekstu. Obowiązuje standardowy okres przechowywania danych na potrzeby monitorowania nadużyć; zmodyfikowane monitorowanie nadużyć i zerowy okres przechowywania danych nie zostały zatwierdzone. | Unia Europejska: zasób w regionie Sweden Central; wnioskowanie regionalne i w strefie danych UE. Obowiązują również warunki usług i wsparcia dostawcy. |
| Supabase Inc. | Baza danych i uwierzytelnianie | Singapur (AWS ap-southeast-1) |
| Stripe Inc. | Przetwarzanie płatności | USA |
| Anthropic PBC | Przetwarzanie przez modele językowe AI | USA |
| OpenAI Inc. | Przetwarzanie przez modele językowe AI | Region przetwarzania konta i projektu: wymaga weryfikacji przed użyciem |
| Google LLC | Przetwarzanie przez model językowy AI (Gemini), analityka witryny za zgodą, opcjonalne zarządzanie kluczami | USA |
| Inngest Inc. | Orkiestracja zadań w tle | USA |
| Sentry Inc. | Monitorowanie błędów | USA |
| Resend Inc. | Dostarczanie wiadomości e-mail o charakterze transakcyjnym | USA |
Zatwierdzenie produkcyjnej integracji DocuSign i odpowiedniej umowy dotyczącej ochrony danych nie zostały jeszcze potwierdzone. Przed włączeniem tej opcji podpisywania potwierdź region konta wysyłającego.
Stan na dzień podany powyżej. Aktualna lista jest dostępna pod adresem /subprocessors.
OpenAI obsługuje czat, analizy oraz ograniczone oceny Decisions dotyczące wyboru narzędzi i dowodów zakupowych. Z zastrzeżeniem aktualnego zezwolenia klienta i uzgodnionej konfiguracji regionalnej Decisions otrzymuje zminimalizowany kontekst z ukrytymi danymi wrażliwymi oraz pytania dla dozwolonego celu. Dane API OpenAI są używane do trenowania modeli tylko po wyraźnym przystąpieniu. Decisions może przechowywać zaszyfrowany stan pamięci podręcznej promptów do 24 godzin oraz standardowe dzienniki monitorowania nadużyć do 30 dni, z zastrzeżeniem obowiązujących wyjątków związanych z bezpieczeństwem, ochroną lub prawem.
Przetwarzanie przez Decisions wymaga aktualnych instrukcji klienta i zezwolenia dla konkretnego celu, konta, podmiotu przetwarzającego oraz przekazania do USA. Wyłączenie AI lub wycofanie właściwego upoważnienia zapobiega nowym żądaniom Decisions. Działania o istotnych skutkach nadal podlegają wymaganym zabezpieczeniom i niezależnej ocenie.
Prepared for a synthetic-only production pilot; not activated. Client-data processing through DocuSeal remains disabled pending whole-workflow validation and the required separate written authorizations.
This service-specific disclosure is currently provided in English.
ProcureLabs signed the DocuSeal EU Data Processing Agreement on 14 October 2026, using the version dated 28 August 2026. It applies to docuseal.eu services; it does not establish coverage for a global DocuSeal account or approval by any client.
Pilot signers’ actual names, email addresses, signatures or initials, signing timestamps, IP addresses and browser/device information may be processed. Fictional agreement contents do not make the signers’ personal data fictional. SMS and optional identity-verification services are outside this pilot.
The vendor agreement provides EU hosting, currently AWS Ireland, but permits identified non-EEA subprocessors and necessary overseas support, maintenance, security and continuity access. This is not an EU-only processing commitment. The complete processing/access-country inventory and onward-transfer assessment remain prerequisites for client use.
DocuSeal’s terms provide at least 14 days’ advance notice of onward-subprocessor changes and breach notification without undue delay, without a fixed hourly maximum. Those vendor terms do not shorten ProcureLabs’ applicable client notice periods or incident-notification deadlines.
The vendor terms provide ordinary deletion within 60 days of the specified termination, expiry, account-closure or written-request trigger, subject to routine backup/log/security retention and legal-claim or fraud/abuse exceptions. A fixed maximum for all retained copies has not been verified. These terms do not extend any shorter client deletion or backup deadline.
Under the vendor agreement, DocuSeal processes agreement and signature data on instructions, but acts as an independent controller for account and usage data. The agreement also permits aggregated, de-identified or anonymized information use. This notice does not assert a blanket no-secondary-use commitment or authorize reuse of client data.
Existing signed client agreements and mandatory legal protections remain unchanged, including any stricter hosting/access restrictions, prior written approval, advance notice, incident reporting, deletion, backup, audit and no-reuse obligations. No service-specific exception or client amendment is adopted by this notice.
Before client activation, ProcureLabs must validate the complete workflow, reconcile vendor terms with each applicable client agreement, verify locations, safeguards, security and retention controls, and obtain the required written instructions and approvals.
W przypadku przekazywania Danych osobowych poza Europejski Obszar Gospodarczy Podmiot przetwarzający zapewni odpowiednie zabezpieczenia, w tym: (a) standardowe klauzule umowne UE (Moduł 2: Administrator do Podmiotu przetwarzającego), zatwierdzone decyzją wykonawczą Komisji (UE) 2021/914; (b) wiążące reguły korporacyjne, w stosownych przypadkach; lub (c) przekazywanie do państw objętych decyzją Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony.
Podmiot przetwarzający powiadomi Administratora bez zbędnej zwłoki, a w każdym przypadku w ciągu 72 godzin od uzyskania wiedzy o naruszeniu Danych osobowych. Powiadomienie obejmie: (a) charakter naruszenia, w tym przybliżoną liczbę osób, których dane dotyczą; (b) prawdopodobne konsekwencje naruszenia; (c) środki podjęte lub proponowane w celu usunięcia naruszenia; (d) dane kontaktowe osoby kontaktowej Podmiotu przetwarzającego ds. ochrony danych.
Podmiot przetwarzający będzie pomagać Administratorowi w wypełnianiu jego obowiązków związanych z odpowiadaniem na żądania osób, których dane dotyczą, w terminie 30 dni kalendarzowych. Platforma zapewnia samoobsługowy eksport danych i usunięcie konta (Ustawienia > Konto), a także funkcje przeglądu dostępu.
Administrator może przeprowadzać audyt zgodności Podmiotu przetwarzającego z niniejszą DPA nie częściej niż raz w roku kalendarzowym, po przekazaniu pisemnego zawiadomienia z 30-dniowym wyprzedzeniem. Podmiot przetwarzający udostępni odpowiednie raporty dotyczące zgodności, certyfikaty i podsumowania audytów stron trzecich. Preferowane są audyty zdalne; audyty na miejscu będą przeprowadzane na koszt Administratora.
Niniejsza DPA pozostaje w mocy przez okres obowiązywania Umowy. Po jej rozwiązaniu Podmiot przetwarzający, według wyboru Administratora, zwróci lub usunie wszystkie Dane osobowe w terminie 30 dni. Usunięcie po rozwiązaniu Umowy jest wykonywane przez personel Podmiotu przetwarzającego na podstawie pisemnej instrukcji Administratora, a nie w ramach automatycznego procesu na platformie. Na żądanie zostanie dostarczone potwierdzenie usunięcia.
Klienci korporacyjni mogą poprosić o kontrasygnowaną umowę DPA, kontaktując się z support@procure-labs.com. Zazwyczaj odsyłamy podpisane umowy DPA w ciągu 2 dni roboczych.