Avtal om personuppgiftsbehandling

1. Definitioner

Detta personuppgiftsbiträdesavtal (”DPA”) utgör en del av huvudavtalet för abonnemang (”Avtalet”) mellan ProcureLabs Pte. Ltd. (”Personuppgiftsbiträdet”) och den enhet som abonnerar på ProcureLabs tjänster (”Personuppgiftsansvarige”). Termer som inte definieras häri ska ha den betydelse som anges i Avtalet eller i förordning (EU) 2016/679 (”GDPR”).

• Personuppgifter avser all information som rör en identifierad eller identifierbar fysisk person som behandlas enligt detta personuppgiftsbiträdesavtal.
• Behandling avser varje åtgärd som utförs på personuppgifter, inklusive insamling, lagring, ändring, hämtning, användning, utlämnande och radering.
• Underbiträde avser tredje part som anlitas av personuppgiftsbiträdet för att behandla personuppgifter på uppdrag av den personuppgiftsansvarige.

2. Behandlingens omfattning och syfte

Personuppgiftsbiträdet ska behandla personuppgifter endast i syfte att tillhandahålla ProcureLabs plattformstjänster för inköpsanalys enligt beskrivningen i Avtalet. Kategorier av registrerade omfattar Personuppgiftsansvariges anställda, konsulter och behöriga användare. Kategorier av personuppgifter omfattar namn, e-postadresser, befattningar, organisatoriska roller, IP-adresser och användningsanalys.

3. Personuppgiftsbiträdets skyldigheter (GDPR artikel 28)

• Behandla personuppgifter endast enligt dokumenterade instruktioner från Personuppgiftsansvarige, om inte annat krävs enligt tillämplig lag.
• Säkerställa att personer som har behörighet att behandla personuppgifter har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.
• Genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inklusive kryptering i vila (AES-256) och under överföring (TLS 1.2+), samt åtkomstkontroller med multifaktorautentisering som tenantadministratörer kan kräva.
• Inte anlita ett annat personuppgiftsbiträde utan Personuppgiftsansvariges föregående specifika eller allmänna skriftliga godkännande. Om ett allmänt godkännande har lämnats ska Personuppgiftsbiträdet informera Personuppgiftsansvarige om planerade ändringar med 30 dagars varsel.
• Bistå Personuppgiftsansvarige med att besvara begäranden från registrerade (tillgång, rättelse, radering, dataportabilitet, begränsning och invändning).
• Bistå Personuppgiftsansvarige med att säkerställa efterlevnad av skyldigheter avseende säkerhet, incidentrapportering och konsekvensbedömningar avseende dataskydd.
• På Personuppgiftsansvariges begäran radera eller återlämna alla personuppgifter när tjänsterna upphör och radera befintliga kopior, om inte lag kräver att de bevaras.
• Tillhandahålla Personuppgiftsansvarige all information som krävs för att visa efterlevnad samt möjliggöra och bidra till revisioner.

4. Underbiträden

Den personuppgiftsansvarige ger den personuppgiftsbiträdet ett generellt tillstånd att anlita de underbiträden som anges nedan. Personuppgiftsbiträdet ska meddela den personuppgiftsansvarige minst 30 dagar innan underbiträden läggs till eller ersätts.

The DocuSeal pilot entry is expressly excluded from the general authorization for listed client subprocessors above. Signing the vendor DPA, publishing this disclosure, a successful pilot or an administrator setting does not by itself authorize client processing or overseas transfers.

Godkännande av DocuSigns produktionsintegration och tillämpligt dataskyddsavtal har ännu inte bekräftats. Bekräfta avsändarkontots region innan detta signeringsalternativ aktiveras.

Aktuell per datumet ovan. Se /subprocessors för den aktuella listan.

OpenAI stöder chatt, analys och avgränsade Decisions-bedömningar för verktygsval och inköpsunderlag. Med förbehåll för aktuellt kundtillstånd och den överenskomna regionala konfigurationen tar Decisions emot minimerad, maskerad kontext och frågor för det tillåtna ändamålet. OpenAI-API-data används för modellträning endast vid uttryckligt deltagande. Decisions kan behålla krypterat tillstånd i promptcachen i upp till 24 timmar och vanliga loggar för övervakning av missbruk i upp till 30 dagar, med förbehåll för tillämpliga undantag för säkerhet, skydd eller rättsliga krav.

Decisions-behandling kräver aktuella kundinstruktioner och tillstånd för det specifika ändamålet, kontot, personuppgiftsbiträdet och överföringen till USA. Att stänga av AI eller återkalla den tillämpliga behörigheten förhindrar nya Decisions-förfrågningar. Åtgärder med konsekvenser omfattas fortsatt av nödvändiga skyddsåtgärder och oberoende granskning.

5. Internationella dataöverföringar

Om personuppgifter överförs utanför Europeiska ekonomiska samarbetsområdet ska personuppgiftsbiträdet säkerställa att tillräckliga skyddsåtgärder finns på plats, inklusive: (a) EU:s standardavtalsklausuler (modul 2: personuppgiftsansvarig till personuppgiftsbiträde) som godkänts genom kommissionens genomförandebeslut (EU) 2021/914; (b) bindande företagsbestämmelser där det är tillämpligt; eller (c) överföringar till länder med ett adekvansbeslut från Europeiska kommissionen.

6. Incidentrapportering

Personuppgiftsbiträdet ska utan onödigt dröjsmål och under alla omständigheter inom 72 timmar efter att ha fått kännedom om en personuppgiftsincident meddela den personuppgiftsansvarige. Meddelandet ska innehålla: (a) incidentens art, inklusive ungefärligt antal berörda registrerade; (b) incidentens sannolika konsekvenser; (c) vidtagna eller föreslagna åtgärder för att hantera incidenten; (d) kontaktuppgifter till personuppgiftsbiträdets kontaktperson för dataskydd.

7. Säkerhetsåtgärder

• Kryptering i vila (AES-256) och under överföring (TLS 1.2+)
• Multifaktorautentisering tillgänglig för alla användare; tenantadministratörer kan kräva den för alla eller för administratörer
• Radnivåsäkerhet med tenantisolering i de databastabeller som innehåller kunddata
• Automatisk skanning av varje kodändring efter incheckade hemligheter (Gitleaks) och åtgärdbara kritiska sårbarheter i beroenden (Trivy)
• Kontrollerna är mappade mot SOC 2 Trust Services Criteria i en kontrollmatris som tillhandahålls på begäran. Förberedelseprogrammet för SOC 2 Type II pågår; vår egen revision har ännu inte inletts och ingen färdig Type II-rapport finns tillgänglig.
• Tillämpning av sessionstimeout (30 minuters inaktivitet)
• CSRF-skydd för förfrågningar som ändrar tillstånd, med en double-submit-token som utfärdas på nytt varje timme
• Content Security Policy med per-request-noncer
• Hastighetsbegränsning av API-förfrågningar, per IP-adress och per användare på resurskrävande endpoints, med räknare som delas mellan servrar via Redis när Redis är konfigurerat och annars hålls per server
• Lagringen följer tillämplig datakategori, kundinstruktioner, rättsliga bevarandekrav och leverantörsvillkor. Chatthistorik, härlett innehåll, revisionsuppgifter och leverantörsloggar har separata lagringsvillkor. Raderingsbegäranden hanteras enligt personuppgiftsbiträdesavtalet och tillämplig lag.

8. Registrerades rättigheter

Personuppgiftsbiträdet ska bistå Personuppgiftsansvarige med att uppfylla sina skyldigheter att besvara begäranden från registrerade inom 30 kalenderdagar. Plattformen erbjuder självbetjäning för dataexport och kontoradering (Settings > Account) samt funktioner för åtkomstgranskning.

9. Revisionsrättigheter

Personuppgiftsansvarige får granska Personuppgiftsbiträdets efterlevnad av detta DPA högst en gång per kalenderår, med 30 dagars skriftligt varsel. Personuppgiftsbiträdet ska tillhandahålla relevanta efterlevnadsrapporter, certifieringar och sammanfattningar av tredjepartsrevisioner. Fjärrrevisioner föredras; revisioner på plats ska genomföras på Personuppgiftsansvariges bekostnad.

10. Avtalstid och upphörande

Detta DPA gäller under hela Avtalets löptid. När Avtalet upphör ska Personuppgiftsbiträdet, enligt Personuppgiftsansvariges val, återlämna eller radera alla personuppgifter inom 30 dagar. Radering vid avtalets upphörande utförs av Personuppgiftsbiträdets personal enligt Personuppgiftsansvariges skriftliga instruktion, inte genom en automatiserad process i plattformen. Intyg om radering ska tillhandahållas på begäran.