Última atualização: 28 de out. de 2026, 00:00
Este Acordo de Tratamento de Dados ("DPA") faz parte do Acordo Principal de Assinatura ("Acordo") entre a ProcureLabs Pte. Ltd. ("Operador") e a entidade que assina os serviços da ProcureLabs ("Controlador"). Os termos não definidos neste documento terão os significados estabelecidos no Acordo ou no Regulamento (UE) 2016/679 ("GDPR").
O Operador tratará Dados Pessoais exclusivamente para fornecer os serviços da plataforma de inteligência de procurement da ProcureLabs, conforme descritos no Acordo. As categorias de titulares de dados incluem funcionários, consultores e usuários autorizados do Controlador. As categorias de Dados Pessoais incluem nomes, endereços de e-mail, cargos, funções organizacionais, endereços IP e análises de uso.
O Controlador concede autorização geral para que o Processador contrate os subcontratantes listados abaixo. O Processador deverá notificar o Controlador pelo menos 30 dias antes de adicionar ou substituir subcontratantes.
The DocuSeal pilot entry is expressly excluded from the general authorization for listed client subprocessors above. Signing the vendor DPA, publishing this disclosure, a successful pilot or an administrator setting does not by itself authorize client processing or overseas transfers.
| Suboperador | Finalidade | Localização |
|---|---|---|
| DocuSeal LLC | Electronic signing and signature-audit retrieval for fictional pilot agreements with specifically authorized own-mailbox signers only; not approved for client agreements or tender documents. | Vendor agreement: EU hosting (AWS Ireland); overseas support access and identified non-EEA subprocessors permitted under vendor terms |
| DocuSign | Assinatura eletrônica opcional de contratos e NDAs | Região da conta configurada; os dados de transações podem ser processados entre regiões |
| Amazon Web Services (AWS) | Hospedagem em nuvem e infraestrutura; o Amazon Bedrock está ativo como rota principal do Claude para cargas de trabalho de IA autorizadas. | Computação principal da aplicação: Singapura (ap-southeast-1). Inferência ativa do Bedrock: perfis geográficos da UE por meio da Irlanda, com execução nas regiões da UE incluídas no perfil. A inferência de IA é separada da hospedagem em Singapura. |
| Microsoft (Azure OpenAI) | Rota principal configurada para chat GPT autorizado e embeddings de texto. Aplica-se a retenção padrão de monitoramento contra abusos; o monitoramento modificado contra abusos e a retenção zero de dados não foram aprovados. | União Europeia: recurso na Suécia Central; inferência regional e na Zona de Dados da UE. Os termos de serviço e suporte do fornecedor também se aplicam. |
| Supabase Inc. | Banco de dados e autenticação | Singapura (AWS ap-southeast-1) |
| Stripe Inc. | Processamento de pagamentos | EUA |
| Anthropic PBC | Processamento de modelos de linguagem de IA | EUA |
| OpenAI Inc. | Processamento de modelos de linguagem de IA | Região de processamento da conta e do projeto: verificação necessária antes do uso |
| Google LLC | Processamento de modelos de linguagem de IA (Gemini), análises do site com consentimento, gerenciamento opcional de chaves | EUA |
| Inngest Inc. | Orquestração de tarefas em segundo plano | EUA |
| Sentry Inc. | Monitoramento de erros | EUA |
| Resend Inc. | Entrega de e-mails transacionais | EUA |
A aprovação da integração de produção do DocuSign e o acordo de proteção de dados aplicável ainda não foram confirmados. Confirme a região da conta de envio antes de ativar esta opção de assinatura.
Atualizado até a data acima. Consulte /subprocessors para a lista em tempo real.
A OpenAI oferece suporte a conversas, análises e avaliações delimitadas do Decisions para seleção de ferramentas e evidências de compras. Sujeito à permissão atual do cliente e à configuração regional acordada, o Decisions recebe contexto e perguntas minimizados e com dados sensíveis ocultados para a finalidade permitida. Os dados da API da OpenAI só são usados para treinar modelos mediante adesão explícita. O Decisions pode reter o estado criptografado do cache de prompts por até 24 horas e os registros padrão de monitoramento de abusos por até 30 dias, sujeitos às exceções de segurança, proteção ou legais aplicáveis.
O tratamento pelo Decisions exige instruções atuais do cliente e permissão para a finalidade, a conta, o operador e a transferência aos EUA específicos. Desativar a IA ou retirar a autorização aplicável impede novas solicitações ao Decisions. Ações com consequências continuam sujeitas às salvaguardas exigidas e à revisão independente.
Prepared for a synthetic-only production pilot; not activated. Client-data processing through DocuSeal remains disabled pending whole-workflow validation and the required separate written authorizations.
This service-specific disclosure is currently provided in English.
ProcureLabs signed the DocuSeal EU Data Processing Agreement on 14 October 2026, using the version dated 28 August 2026. It applies to docuseal.eu services; it does not establish coverage for a global DocuSeal account or approval by any client.
Pilot signers’ actual names, email addresses, signatures or initials, signing timestamps, IP addresses and browser/device information may be processed. Fictional agreement contents do not make the signers’ personal data fictional. SMS and optional identity-verification services are outside this pilot.
The vendor agreement provides EU hosting, currently AWS Ireland, but permits identified non-EEA subprocessors and necessary overseas support, maintenance, security and continuity access. This is not an EU-only processing commitment. The complete processing/access-country inventory and onward-transfer assessment remain prerequisites for client use.
DocuSeal’s terms provide at least 14 days’ advance notice of onward-subprocessor changes and breach notification without undue delay, without a fixed hourly maximum. Those vendor terms do not shorten ProcureLabs’ applicable client notice periods or incident-notification deadlines.
The vendor terms provide ordinary deletion within 60 days of the specified termination, expiry, account-closure or written-request trigger, subject to routine backup/log/security retention and legal-claim or fraud/abuse exceptions. A fixed maximum for all retained copies has not been verified. These terms do not extend any shorter client deletion or backup deadline.
Under the vendor agreement, DocuSeal processes agreement and signature data on instructions, but acts as an independent controller for account and usage data. The agreement also permits aggregated, de-identified or anonymized information use. This notice does not assert a blanket no-secondary-use commitment or authorize reuse of client data.
Existing signed client agreements and mandatory legal protections remain unchanged, including any stricter hosting/access restrictions, prior written approval, advance notice, incident reporting, deletion, backup, audit and no-reuse obligations. No service-specific exception or client amendment is adopted by this notice.
Before client activation, ProcureLabs must validate the complete workflow, reconcile vendor terms with each applicable client agreement, verify locations, safeguards, security and retention controls, and obtain the required written instructions and approvals.
Quando Dados Pessoais forem transferidos para fora do Espaço Econômico Europeu, o Processador deverá garantir a existência de salvaguardas adequadas, incluindo: (a) as Cláusulas Contratuais-Padrão da UE (Módulo 2: Controlador para Processador), conforme aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão; (b) regras corporativas vinculantes, quando aplicável; ou (c) transferências para países com uma decisão de adequação da Comissão Europeia.
O Processador deverá notificar o Controlador sem demora indevida e, em qualquer caso, dentro de 72 horas após tomar conhecimento de uma violação de Dados Pessoais. A notificação deverá incluir: (a) a natureza da violação, incluindo o número aproximado de titulares de dados afetados; (b) as prováveis consequências da violação; (c) as medidas tomadas ou propostas para tratar da violação; (d) as informações de contato do ponto de contato do Processador responsável pela proteção de dados.
O Operador deverá auxiliar o Controlador a cumprir suas obrigações de responder às solicitações dos titulares de dados no prazo de 30 dias corridos. A plataforma oferece exportação de dados e exclusão de conta por autoatendimento (Settings > Account), além de recursos de revisão de acesso.
O Controlador poderá auditar a conformidade do Operador com este DPA no máximo uma vez por ano-calendário, mediante aviso prévio por escrito de 30 dias. O Operador deverá disponibilizar relatórios de conformidade relevantes, certificações e resumos de auditorias realizadas por terceiros. Auditorias remotas são preferenciais; auditorias presenciais serão realizadas às custas do Controlador.
Este DPA permanecerá em vigor durante a vigência do Acordo. Após o encerramento, o Operador deverá, a critério do Controlador, devolver ou excluir todos os Dados Pessoais no prazo de 30 dias. A exclusão após o encerramento é realizada pela equipe do Operador mediante instrução por escrito do Controlador, e não por um processo automatizado na plataforma. A certificação da exclusão será fornecida mediante solicitação.
Clientes corporativos podem solicitar um DPA contra-assinado entrando em contato com support@procure-labs.com. Normalmente, devolvemos os DPAs assinados em até 2 dias úteis.