Datenschutzerklärung

1. Verantwortlicher

ProcureLabs Pte. Ltd. (UEN: 202606070W) bestimmt die Zwecke seiner Kontoverwaltungs-, Abrechnungs-, Sicherheits- und Marketingdaten. Kundenorganisationen bestimmen normalerweise die Zwecke personenbezogener Beschaffungsdaten; wir verarbeiten sie nach ihren geltenden Weisungen und Vereinbarungen.

Bei Fragen zum Datenschutz wenden Sie sich bitte an unseren Datenschutzbeauftragten unter admin@procure-labs.com

Unser benannter Datenschutzbeauftragter erfüllt Aufgaben nach Singapurs PDPA. Dies begründet keine DSGVO-Benennung oder Unabhängigkeit; die gesonderte Prüfung der DSGVO-Anwendbarkeit und Unabhängigkeit bleibt offen.

2. Von uns erfasste Daten

Wir erfassen und verarbeiten die folgenden Kategorien personenbezogener Daten:

• Kontoinformationen: E-Mail-Adresse, vollständiger Name, Name der Organisation, Zeitpunkt der Annahme unserer Bedingungen sowie der Link zu Ihrem Profilbild, wenn Sie sich mit Google anmelden
• Nutzungsdaten: Von Ihnen genutzte Seiten und Funktionen, Sitzungsdauer und Ihre Präferenzen. Seitenaufruf-Tracking und Google Analytics werden nur ausgeführt, wenn Sie Analyse-Cookies akzeptieren.
• Procurement-Daten: Ausgabedaten, Lieferanteninformationen und andere von Ihnen hochgeladene Geschäftsdaten
• KI-Interaktionen: Chatnachrichten und Anfragen an unsere KI-Assistenten
• Technische Daten: IP-Adresse, Browsertyp und Geräteinformationen, Anmeldeversuche und aktive Sitzungen, die für Sicherheit und Analysen verwendet werden

ProcureLabs beabsichtigt nicht, besondere Kategorien personenbezogener Daten (wie Gesundheitsdaten, religiöse Überzeugungen oder Gewerkschaftszugehörigkeit) zu verarbeiten; unsere Acceptable Use Policy untersagt deren Upload. Wenn unsere automatisierten Prüfungen solche Daten erkennen, werden sie aus dem Text entfernt, bevor dieser über unseren KI-Orchestrator an KI-Anbieter gesendet wird; ein CSV-Import, dessen Spaltenüberschriften solche Daten benennen, wird abgelehnt. Die Prüfungen erkennen ausschließlich englische Formulierungen und erfassen nicht alles; erkannter Text bleibt in Ihrem Workspace gespeichert, bis Sie ihn löschen.

Personenbezogene Daten, die wir von anderen erhalten

Einige personenbezogene Daten stammen nicht direkt von Ihnen:

• Von Ihrer Organisation: Wenn sie Single Sign-on oder SCIM-Provisioning verwendet, übermittelt ihr Identitätsanbieter uns Ihren Namen, Ihre E-Mail-Adresse und, sofern konfiguriert, die Gruppen, die Ihre Rolle festlegen. Ein Administrator kann stattdessen Ihre E-Mail-Adresse eingeben, um Sie einzuladen. Wenn Ihre Organisation Microsoft Teams verbindet, erhalten wir Ihren Teams-Namen und Ihre Teams-ID, wenn Sie unseren Bot verwenden. Wir verwenden diese Daten, um Ihr Konto zu erstellen und zu betreiben.
• Aus den Dokumenten und Daten, die Ihre Organisation hochlädt oder verbindet: Namen, geschäftliche Kontaktdaten und Berufsbezeichnungen ihrer Mitarbeitenden und der Mitarbeitenden ihrer Lieferanten sowie die Namen und Titel der Personen, die Verträge unterzeichnen, sofern diese in Verträgen, Rechnungen, Lieferantenlisten und verbundenen Geschäftssystemen enthalten sind. Ein Einkäufer kann Sie außerdem über die Eingabe Ihrer E-Mail-Adresse in das Lieferantenportal einladen, und ein Kollege kann Sie mit Ihrem Namen und Ihrer E-Mail-Adresse hinzufügen. Wir verarbeiten diese Daten für diese Organisation, die entscheidet, wie sie verwendet werden.
• Aus öffentlichen Registern und Sanktionslisten, wenn Ihre Organisation die Lieferantensuche, die Prüfung auf Interessenkonflikte oder das Sanktionsscreening nutzt: Namen, Rollen und Ernennungsdaten von Unternehmensleitern (UK Companies House, das auch Nationalität, Beruf und Wohnsitzland angibt, sowie OpenCorporates), öffentliche Einreichungen bei US SEC EDGAR, in denen der Name eines Mitarbeitenden Ihrer Organisation genannt wird, sowie Namen in staatlichen Sanktionslisten (OFAC, EU, UN und UK), die mit einem Lieferanten übereinstimmen. Wir verwenden diese Daten im Auftrag dieser Organisation zur Bewertung von Lieferanten sowie zur Prüfung auf Interessenkonflikte und Sanktionen.

3. Rechtsgrundlage der Verarbeitung

Wir verarbeiten Ihre personenbezogenen Daten auf Grundlage der folgenden Rechtsgrundlagen:

• Vertragserfüllung: Zur Erbringung unserer Leistungen gemäß unserer Nutzungsbedingungen
• Einwilligung: KI-Verarbeitung hängt von den geltenden Kundenweisungen und Rechtsgrundlagen, dem Zweck und den Diensteinstellungen ab. Optionale Analysen erfordern die entsprechende Cookie-Einwilligung. Eine KI-Einstellung erlaubt nicht automatisch jeden Zweck, Anbieter oder Auslandstransfer.
• Berechtigtes Interesse: Für Sicherheit, Missbrauchsprävention und die Verbesserung unserer Leistungen
• Gesetzliche Verpflichtung: Zur Einhaltung geltender Gesetze und Vorschriften

4. Weitergabe von Daten an Dritte

Wir geben Daten an externe Dienstleister weiter, darunter die unten aufgeführten. Die vollständige Liste mit Standorten finden Sie auf unserer Seite zu Unterauftragsverarbeitern.

Unterstützende Dienste umfassen AWS-Hosting, Supabase-Datenbank und Anmeldung, Stripe-Abrechnung, Sentry-Fehlerüberwachung, Resend-E-Mail, Inngest-Abläufe, Upstash-Caching und Ratenbegrenzung sowie Microsoft 365 / SharePoint für Geschäftskorrespondenz und Unternehmensdokumente. Geteilte Daten hängen von Funktion und Konfiguration ab. Siehe die Unterauftragsverarbeiter-Seite.

5. Ihre Rechte (GDPR)

Nach der Datenschutz-Grundverordnung (GDPR) haben Sie folgende Rechte:

Bei anwendbarer DSGVO verlangt das Gesetz eine unverzügliche Antwort innerhalb eines Kalendermonats nach Eingang. Komplexität oder Anzahl der Anträge können bis zu zwei weitere Monate rechtfertigen; die Verlängerung ist im ersten Monat mit Begründung mitzuteilen. Andere Gesetze können andere Anforderungen stellen.

Sie können geltende Rechte per E-Mail ohne aktives Konto oder Abonnement ausüben. Eine angemessene Identitätsprüfung kann erforderlich sein. Bei kundengesteuerten Daten unterstützen wir den Verantwortlichen. Beschwerden sind bei Singapurs PDPC oder bei anwendbarer DSGVO der zuständigen Aufsichtsbehörde möglich.

6. Aufbewahrung von Daten

Wir bewahren Ihre Daten für die folgenden Zeiträume auf:

• Die Aufbewahrung richtet sich nach der jeweiligen Datenkategorie, den Kundenanweisungen, gesetzlichen Aufbewahrungssperren und Anbieterbedingungen. Für Chatverläufe, abgeleitete Inhalte, Prüfprotokolle und Anbieterprotokolle gelten gesonderte Aufbewahrungsbedingungen. Löschanfragen werden nach der Vereinbarung zur Auftragsverarbeitung und geltendem Recht bearbeitet.

7. Datensicherheit

Wir setzen branchenübliche Sicherheitsmaßnahmen ein, um Ihre Daten zu schützen:

• HTTPS schützt Daten bei der Übertragung; Hostingdienste verschlüsseln gespeicherte Daten mit dienstspezifischer Schlüsselverwaltung. Mandantenzugriff nutzt begrenzte Berechtigungen und gegebenenfalls zeilenbezogene Datenbankrichtlinien. Mehrfaktorauthentifizierung gilt für unterstützte Anbieterkonten und bestimmte privilegierte Aktionen. Sicherheitsaufzeichnungen, Abdeckung und Aufbewahrung hängen vom Dienst ab; kundeneigene Schlüssel erfordern eine gesonderte Vereinbarung und Einrichtung.
• Das Vorbereitungsprogramm für SOC 2 Type II läuft; unser eigenes Audit hat noch nicht begonnen, und es liegt noch kein abgeschlossener Type-II-Bericht vor.

Wenn es zu einer Datenschutzverletzung kommt

Wenn eine Datenschutzverletzung personenbezogene Daten betrifft, für die wir Verantwortlicher sind, und voraussichtlich ein hohes Risiko für Sie oder einen erheblichen Schaden für Sie verursacht, informieren wir Sie unverzüglich. Wir benachrichtigen Singapurs Personal Data Protection Commission innerhalb von 3 Kalendertagen, nachdem wir festgestellt haben, dass eine Datenschutzverletzung meldepflichtig ist, und, sofern die GDPR gilt, die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Kenntniserlangung der Datenschutzverletzung. Wenn die Datenschutzverletzung Daten betrifft, die wir für Ihre Organisation verarbeiten, informieren wir Ihre Organisation innerhalb von 72 Stunden; diese entscheidet, wie sie Sie informiert.

8. Cookies

Wir verwenden Cookies und ähnliche Technologien für:

• Essenziell: Authentifizierung und Sicherheit (erforderlich)
• Analyse: Verständnis von Nutzungsmustern (optional)
• Präferenzen: Speichern Ihrer Einstellungen, etwa Ihrer Sprache

Sie können Ihre Cookie-Einstellungen jederzeit über „Cookie preferences“ in der Fußzeile der Website oder unter Settings → Account ändern. Eine detaillierte Liste der Cookies finden Sie in unserer Cookie-Richtlinie.

9. Internationale Übermittlungen

Unsere Hosting-Unterlagen führen Singapur als primären Standort auf; die tatsächlichen Standorte der Anwendungs- und Datenbankdienste müssen noch überprüft werden. Ausgewählte Anbieter können Daten anderswo, auch in den USA, verarbeiten; Speicherung in Singapur bedeutet nicht ausschließlich dortige Verarbeitung. Transfergarantien hängen von Empfänger, Verarbeitung und geltenden Vertrags- oder Angemessenheitsregelungen ab. Einzelheiten erhalten Sie beim Datenschutzkontakt; eine europäische Datenresidenzoption wird nicht zugesagt.

10. Automatisierte Entscheidungsfindung (GDPR-Artikel 22)

ProcureLabs verwendet automatisierte Verarbeitung zur Unterstützung von Beschaffungsentscheidungen, einschließlich:

• Transaktionsintegrität: Automatisierte Bewertung von Rechnungen und Transaktionen auf mögliche Unregelmäßigkeiten (z. B. Doppelzahlungen, aufgeteilte Einkäufe, Scheinlieferanten)
• Bewertung des Lieferantenrisikos: Automatisierte zusammengesetzte Risikobewertungen auf Grundlage von Finanz-, Compliance- und Leistungsdaten
• Compliance-Kennzeichnung: Automatisierte Erkennung möglicher Verstöße gegen regulatorische Vorgaben oder Richtlinien

Ihre Rechte in Bezug auf automatisierte Entscheidungen:

Wir führen eine schriftliche Datenschutz-Folgenabschätzung für unsere KI-Funktionen und automatisierten Entscheidungen, die mindestens jährlich sowie bei wesentlichen Änderungen überprüft wird.

11. Altersbeschränkung

ProcureLabs ist eine Business-to-Business-Enterprise-Plattform. Unsere Dienste richten sich nicht an Personen unter 18 Jahren, und wir erheben wissentlich keine personenbezogenen Daten von ihnen. Wenn Sie unter 18 sind, dürfen Sie diesen Dienst nicht nutzen. Jede Person, die sich registriert, muss bestätigen, dass sie 18 Jahre oder älter ist; ohne diese Bestätigung erstellen wir das Konto nicht. Wenn Sie glauben, dass eine minderjährige Person uns personenbezogene Daten übermittelt hat, kontaktieren Sie uns bitte unter admin@procure-labs.com.

12. Änderungen dieser Richtlinie

Wir können diese Datenschutzrichtlinie von Zeit zu Zeit aktualisieren. In diesem Fall veröffentlichen wir die neue Version auf dieser Seite und ändern das Datum „Last updated“ oben auf der Seite. Ihre fortgesetzte Nutzung des Dienstes nach solchen Aktualisierungen gilt als Zustimmung zur überarbeiteten Richtlinie.