Последнее обновление: 28 окт. 2026 г., 00:00
Настоящее соглашение об обработке данных ("DPA") является частью Рамочного соглашения о подписке ("Agreement") между ProcureLabs Pte. Ltd. ("Processor") и организацией, подписавшейся на услуги ProcureLabs ("Controller"). Термины, не определённые в настоящем документе, имеют значения, установленные в Agreement или в Regulation (EU) 2016/679 ("GDPR").
Processor обрабатывает персональные данные исключительно в целях предоставления услуг платформы ProcureLabs для аналитики закупок, как описано в Agreement. К категориям субъектов данных относятся сотрудники, консультанты и уполномоченные пользователи Controller. К категориям персональных данных относятся имена, адреса электронной почты, должности, организационные роли, IP-адреса и аналитические данные об использовании.
Контролёр предоставляет Процессору общее разрешение на привлечение субпроцессоров, перечисленных ниже. Процессор обязан уведомить Контролёра как минимум за 30 дней до добавления или замены субпроцессоров.
The DocuSeal pilot entry is expressly excluded from the general authorization for listed client subprocessors above. Signing the vendor DPA, publishing this disclosure, a successful pilot or an administrator setting does not by itself authorize client processing or overseas transfers.
| Субобработчик | Назначение | Местоположение |
|---|---|---|
| DocuSeal LLC | Electronic signing and signature-audit retrieval for fictional pilot agreements with specifically authorized own-mailbox signers only; not approved for client agreements or tender documents. | Vendor agreement: EU hosting (AWS Ireland); overseas support access and identified non-EEA subprocessors permitted under vendor terms |
| DocuSign | Необязательное электронное подписание договоров и NDA | Настроенный регион аккаунта; данные транзакций могут обрабатываться в разных регионах |
| Amazon Web Services (AWS) | Облачный хостинг и инфраструктура; Amazon Bedrock активен как основной маршрут Claude для авторизованных рабочих нагрузок ИИ. | Основные вычислительные ресурсы приложения: Сингапур (ap-southeast-1). Активный вывод Bedrock: географические профили ЕС через Ирландию, с выполнением в регионах ЕС, входящих в профиль. Вывод ИИ отделён от размещения в Сингапуре. |
| Microsoft (Azure OpenAI) | Настроенный основной маршрут для авторизованных чатов GPT и текстовых эмбеддингов. Применяется стандартный срок хранения данных для мониторинга злоупотреблений; изменённый мониторинг злоупотреблений и нулевое хранение данных не утверждены. | Европейский союз: ресурс в центральной Швеции; региональный вывод и вывод в зоне данных ЕС. Также применяются условия обслуживания и поддержки поставщика. |
| Supabase Inc. | База данных и аутентификация | Сингапур (AWS ap-southeast-1) |
| Stripe Inc. | Обработка платежей | США |
| Anthropic PBC | Обработка языковой моделью AI | США |
| OpenAI Inc. | Обработка языковой моделью AI | Регион обработки для аккаунта и проекта: перед использованием требуется проверка |
| Google LLC | Обработка языковой моделью AI (Gemini), аналитика веб-сайта с согласия пользователя, необязательное управление ключами | США |
| Inngest Inc. | Оркестрация фоновых заданий | США |
| Sentry Inc. | Мониторинг ошибок | США |
| Resend Inc. | Доставка транзакционных электронных писем | США |
Одобрение рабочей интеграции DocuSign и применимое соглашение о защите данных ещё не подтверждены. Перед включением этой возможности подписания подтвердите регион аккаунта отправителя.
Актуально на указанную выше дату. Актуальный список см. по адресу /subprocessors.
OpenAI поддерживает чат, анализ и ограниченные оценки Decisions для выбора инструментов и проверки доказательств по закупкам. При наличии действующего разрешения клиента и согласованной региональной конфигурации Decisions получает минимизированный контекст со скрытыми конфиденциальными данными и вопросы для разрешённой цели. Данные OpenAI API используются для обучения моделей только при явном согласии на участие. Decisions может хранить зашифрованное состояние кэша запросов до 24 часов и стандартные журналы мониторинга злоупотреблений до 30 дней с учётом применимых исключений по безопасности, защите или закону.
Обработка Decisions требует действующих инструкций клиента и разрешения для конкретной цели, учётной записи, обработчика и передачи в США. Отключение ИИ или отзыв соответствующих полномочий предотвращает новые запросы Decisions. Действия с существенными последствиями по-прежнему подлежат требуемым мерам защиты и независимой проверке.
Prepared for a synthetic-only production pilot; not activated. Client-data processing through DocuSeal remains disabled pending whole-workflow validation and the required separate written authorizations.
This service-specific disclosure is currently provided in English.
ProcureLabs signed the DocuSeal EU Data Processing Agreement on 14 October 2026, using the version dated 28 August 2026. It applies to docuseal.eu services; it does not establish coverage for a global DocuSeal account or approval by any client.
Pilot signers’ actual names, email addresses, signatures or initials, signing timestamps, IP addresses and browser/device information may be processed. Fictional agreement contents do not make the signers’ personal data fictional. SMS and optional identity-verification services are outside this pilot.
The vendor agreement provides EU hosting, currently AWS Ireland, but permits identified non-EEA subprocessors and necessary overseas support, maintenance, security and continuity access. This is not an EU-only processing commitment. The complete processing/access-country inventory and onward-transfer assessment remain prerequisites for client use.
DocuSeal’s terms provide at least 14 days’ advance notice of onward-subprocessor changes and breach notification without undue delay, without a fixed hourly maximum. Those vendor terms do not shorten ProcureLabs’ applicable client notice periods or incident-notification deadlines.
The vendor terms provide ordinary deletion within 60 days of the specified termination, expiry, account-closure or written-request trigger, subject to routine backup/log/security retention and legal-claim or fraud/abuse exceptions. A fixed maximum for all retained copies has not been verified. These terms do not extend any shorter client deletion or backup deadline.
Under the vendor agreement, DocuSeal processes agreement and signature data on instructions, but acts as an independent controller for account and usage data. The agreement also permits aggregated, de-identified or anonymized information use. This notice does not assert a blanket no-secondary-use commitment or authorize reuse of client data.
Existing signed client agreements and mandatory legal protections remain unchanged, including any stricter hosting/access restrictions, prior written approval, advance notice, incident reporting, deletion, backup, audit and no-reuse obligations. No service-specific exception or client amendment is adopted by this notice.
Before client activation, ProcureLabs must validate the complete workflow, reconcile vendor terms with each applicable client agreement, verify locations, safeguards, security and retention controls, and obtain the required written instructions and approvals.
Если Персональные данные передаются за пределы Европейской экономической зоны, Процессор обязан обеспечить наличие надлежащих гарантий, включая: (a) Стандартные договорные положения ЕС (Модуль 2: от Контролёра к Процессору), утверждённые Исполнительным решением Комиссии (ЕС) 2021/914; (b) обязательные корпоративные правила, если применимо; или (c) передачу в страны, в отношении которых Европейская комиссия приняла решение о достаточности уровня защиты.
Процессор обязан уведомить Контролёра без неоправданной задержки и в любом случае в течение 72 часов после того, как ему станет известно о нарушении безопасности Персональных данных. Уведомление должно включать: (a) характер нарушения, включая приблизительное число затронутых субъектов данных; (b) вероятные последствия нарушения; (c) меры, принятые или предложенные для устранения нарушения; (d) контактную информацию ответственного лица Процессора по вопросам защиты данных.
Processor содействует Controller в выполнении обязательств по ответам на запросы субъектов данных в течение 30 календарных дней. Платформа предоставляет возможности самостоятельного экспорта данных и удаления аккаунта (Settings > Account), а также проверки доступа.
Controller может проводить аудит соблюдения Processor настоящего DPA не чаще одного раза за календарный год, направив письменное уведомление за 30 дней. Processor предоставляет соответствующие отчёты о соблюдении требований, сертификаты и краткие отчёты сторонних аудитов. Предпочтительны дистанционные аудиты; выездные аудиты проводятся за счёт Controller.
Настоящее DPA действует в течение срока действия Agreement. После прекращения действия Processor по выбору Controller возвращает или удаляет все персональные данные в течение 30 дней. Удаление при прекращении действия выполняется сотрудниками Processor на основании письменной инструкции Controller, а не автоматически платформой. По запросу предоставляется подтверждение удаления.
Корпоративные клиенты могут запросить DPA с подписью обеих сторон, обратившись по адресу support@procure-labs.com. Как правило, мы возвращаем подписанные DPA в течение 2 рабочих дней.