गोपनीयता नीति

1. डेटा नियंत्रक

ProcureLabs Pte. Ltd. (UEN: 202606070W) खाता प्रशासन, बिलिंग, सुरक्षा और विपणन रिकॉर्ड के उद्देश्य तय करती है। ग्राहक संगठन आम तौर पर खरीद संबंधी व्यक्तिगत डेटा के उद्देश्य तय करते हैं; हम लागू निर्देशों और समझौतों के अनुसार प्रसंस्करण करते हैं।

डेटा सुरक्षा संबंधी किसी भी पूछताछ के लिए, कृपया admin@procure-labs.com पर हमारे डेटा प्रोटेक्शन ऑफिसर से संपर्क करें

नियुक्त डेटा सुरक्षा अधिकारी सिंगापुर PDPA की जिम्मेदारियां निभाते हैं। यह GDPR नियुक्ति या स्वतंत्रता स्थापित नहीं करता; अलग GDPR प्रयोज्यता और स्वतंत्रता मूल्यांकन अनसुलझा है।

2. हम कौन-सा डेटा एकत्र करते हैं

हम व्यक्तिगत डेटा की निम्नलिखित श्रेणियां एकत्र और प्रोसेस करते हैं:

• खाता जानकारी: ईमेल पता, पूरा नाम, संगठन का नाम, आपने हमारी शर्तें कब स्वीकार कीं, और यदि आप Google से साइन इन करते हैं तो आपकी प्रोफ़ाइल तस्वीर का लिंक
• उपयोग डेटा: आपके द्वारा उपयोग किए जाने वाले पृष्ठ और सुविधाएं, सेशन की अवधि और आपकी प्राथमिकताएं। पृष्ठ-दृश्य ट्रैकिंग और Google Analytics केवल तभी चलते हैं जब आप विश्लेषणात्मक कुकीज़ स्वीकार करते हैं।
• प्रोक्योरमेंट डेटा: आपके द्वारा अपलोड किया गया खर्च डेटा, आपूर्तिकर्ता की जानकारी और अन्य व्यावसायिक डेटा
• AI इंटरैक्शन: हमारे AI सहायकों के साथ चैट संदेश और प्रश्न
• तकनीकी डेटा: IP address, ब्राउज़र का प्रकार और डिवाइस की जानकारी, साइन-इन प्रयास और सक्रिय सेशन, जिनका उपयोग सुरक्षा और विश्लेषण के लिए किया जाता है

ProcureLabs व्यक्तिगत डेटा की विशेष श्रेणियों (जैसे स्वास्थ्य, धार्मिक मान्यताएं या ट्रेड-यूनियन सदस्यता) को प्रोसेस करने का इरादा नहीं रखता और हमारी Acceptable Use Policy उन्हें अपलोड करने पर रोक लगाती है। जहां हमारी स्वचालित जांच ऐसे डेटा का पता लगाती है, वहां उस टेक्स्ट को हमारे AI orchestrator के माध्यम से AI प्रदाताओं को भेजने से पहले उसे टेक्स्ट से हटा दिया जाता है, और जिस CSV import के column headers में उसका नाम हो उसे अस्वीकार कर दिया जाता है। ये जांच केवल English wording को पहचानती हैं और हर चीज़ का पता नहीं लगा पातीं, तथा उनके द्वारा पहचाना गया टेक्स्ट आपके workspace में तब तक संग्रहीत रहता है जब तक आप उसे मिटा नहीं देते।

हमें दूसरों से प्राप्त व्यक्तिगत डेटा

कुछ व्यक्तिगत डेटा सीधे आपसे प्राप्त नहीं होता:

• आपके संगठन से: यदि वह single sign-on या SCIM provisioning का उपयोग करता है, तो उसका identity provider हमें आपका नाम, email address और, जहाँ configured हो, आपकी भूमिका निर्धारित करने वाले groups भेजता है। इसके बजाय कोई administrator आपको आमंत्रित करने के लिए आपका email address दर्ज कर सकता है। यदि आपका संगठन Microsoft Teams से जुड़ता है, तो हमारे bot का उपयोग करने पर हमें आपका Teams नाम और ID प्राप्त होता है। हम इसका उपयोग आपका account बनाने और चलाने के लिए करते हैं।
• आपके संगठन द्वारा upload या connect किए गए documents और data से: उसके कर्मचारियों और उसके suppliers के कर्मचारियों के नाम, business contact details और job titles, तथा contracts, invoices, supplier lists और connected business systems में पाए जाने वाले contracts पर हस्ताक्षर करने वाले लोगों के नाम और titles। कोई buyer आपका email address दर्ज करके आपको अपने supplier portal में आमंत्रित कर सकता है, और कोई colleague आपके नाम और email address से आपको जोड़ सकता है। हम इसे उस संगठन के लिए process करते हैं, जो तय करता है कि इसका उपयोग कैसे किया जाए।
• Public registers और sanctions lists से, जब आपका संगठन supplier discovery, conflict-of-interest या sanctions screening का उपयोग करता है: company officers के नाम, roles और appointment dates (UK Companies House, जो nationality, occupation और country of residence भी देता है; तथा OpenCorporates), US SEC EDGAR की ऐसी public filings जिनमें आपके संगठन के किसी staff member का नाम हो, और government sanctions lists (OFAC, EU, UN और UK) में किसी supplier से मेल खाने वाले नाम। हम उस संगठन के निर्देशों पर suppliers का आकलन करने और conflicts of interest तथा sanctions की screening के लिए इसका उपयोग करते हैं।

3. Processing का कानूनी आधार

हम आपके personal data को निम्नलिखित कानूनी आधारों के तहत process करते हैं:

• Contract Performance: हमारी terms of service में सहमति के अनुसार अपनी services प्रदान करने के लिए
• Consent: AI प्रसंस्करण ग्राहक निर्देश, कानूनी आधार, उद्देश्य और सेवा सेटिंग पर निर्भर है। वैकल्पिक विश्लेषण के लिए लागू कुकी सहमति चाहिए। AI वरीयता अकेले हर उद्देश्य, प्रदाता या विदेशी हस्तांतरण की अनुमति नहीं देती।
• Legitimate Interest: Security, abuse prevention और service improvement के लिए
• Legal Obligation: लागू laws और regulations का पालन करने के लिए

4. Third-Party Data Sharing

हम नीचे दिए गए third-party service providers सहित, third parties के साथ data share करते हैं। Locations सहित पूरी list हमारे Subprocessors page पर है।

सेवाओं में AWS होस्टिंग, Supabase डेटाबेस और प्रमाणीकरण, Stripe बिलिंग, Sentry त्रुटि निगरानी, Resend ईमेल, Inngest कार्यप्रवाह, Upstash कैश और दर सीमा तथा कंपनी पत्राचार और दस्तावेजों के लिए Microsoft 365 / SharePoint शामिल हैं। साझा डेटा सुविधा और कॉन्फ़िगरेशन पर निर्भर है। उप-प्रसंस्करणकर्ता पृष्ठ देखें।

5. आपके अधिकार (GDPR)

General Data Protection Regulation (GDPR) के तहत, आपके निम्नलिखित अधिकार हैं:

GDPR लागू होने पर कानून प्राप्ति से एक कैलेंडर महीने के भीतर बिना अनुचित विलंब उत्तर देना आवश्यक करता है। जटिलता या अनुरोधों की संख्या अधिकतम दो अतिरिक्त महीने उचित बना सकती है; पहले महीने में विस्तार और कारण की सूचना जरूरी है। अन्य कानूनों की अलग आवश्यकताएं हो सकती हैं।

सक्रिय खाता या सदस्यता बिना भी ईमेल से लागू अधिकार इस्तेमाल कर सकते हैं। अनुपातिक पहचान सत्यापन मांगा जा सकता है। ग्राहक-नियंत्रित डेटा के लिए हम उसके नियंत्रक की सहायता करते हैं। सिंगापुर PDPC या GDPR लागू होने पर सक्षम पर्यवेक्षी प्राधिकरण से शिकायत कर सकते हैं।

6. Data Retention

हम आपके data को निम्नलिखित अवधियों तक retain करते हैं:

• डेटा रखने की अवधि संबंधित डेटा श्रेणी, ग्राहक के निर्देश, कानूनी संरक्षण आदेश और प्रदाता की शर्तों के अनुसार होती है। चैट इतिहास, व्युत्पन्न सामग्री, ऑडिट रिकॉर्ड और प्रदाता लॉग की अलग प्रतिधारण शर्तें हैं। हटाने के अनुरोध डेटा प्रसंस्करण समझौते और लागू कानून के तहत संभाले जाते हैं।

7. Data Security

हम आपके डेटा की सुरक्षा के लिए उद्योग-मानक सुरक्षा उपाय लागू करते हैं:

• HTTPS संचार की रक्षा करता है; होस्टिंग सेवाएं सेवा-विशिष्ट कुंजी प्रबंधन से संग्रहित डेटा एन्क्रिप्ट करती हैं। टेनेंट पहुंच सीमित अनुमतियों और लागू पंक्ति-स्तरीय नीतियों से होती है। बहु-कारक प्रमाणीकरण समर्थित प्रदाता खातों और निर्दिष्ट विशेषाधिकार कार्यों पर लागू है। रिकॉर्ड, कवरेज और प्रतिधारण सेवा पर निर्भर हैं; ग्राहक कुंजियों के लिए अलग समझौता और कॉन्फ़िगरेशन चाहिए।
• SOC 2 Type II तैयारी कार्यक्रम प्रगति पर है; हमारा स्वयं का ऑडिट अभी शुरू नहीं हुआ है और कोई पूर्ण Type II रिपोर्ट उपलब्ध नहीं है।

यदि data breach हो

यदि कोई breach ऐसे personal data को प्रभावित करता है जिसके लिए हम controller हैं और जिससे आपको high risk या significant harm होने की संभावना है, तो हम आपको बिना अनुचित देरी के बताएँगे। हम यह आकलन करने के 3 calendar days के भीतर Singapore's Personal Data Protection Commission को notify करते हैं कि breach की notification आवश्यक है और, जहाँ GDPR लागू होता है, breach का पता चलने के 72 hours के भीतर competent supervisory authority को notify करते हैं। यदि breach उस data को प्रभावित करता है जिसे हम आपके संगठन के लिए process करते हैं, तो हम आपके संगठन को 72 hours के भीतर बताते हैं और वह तय करता है कि आपको कैसे सूचित किया जाए।

8. Cookies

हम cookies और समान technologies का उपयोग निम्नलिखित के लिए करते हैं:

• Essential: Authentication और security (required)
• Analytics: Usage patterns को समझना (optional)
• Preferences: आपकी settings, जैसे आपकी भाषा, याद रखना

आप site footer में “Cookie preferences” या Settings → Account में किसी भी समय अपनी cookie preferences बदल सकते हैं। कुकीज़ की विस्तृत सूची के लिए, हमारी कुकी पॉलिसी देखें।

9. International Transfers

हमारे होस्टिंग रिकॉर्ड में सिंगापुर मुख्य स्थान के रूप में दर्ज है; एप्लिकेशन और डेटाबेस सेवाओं के वास्तविक स्थानों का सत्यापन अभी बाकी है। प्रदाता अमेरिका सहित अन्य देशों में प्रसंस्करण कर सकते हैं; सिंगापुर में संग्रह का अर्थ सभी प्रसंस्करण वहीं होना नहीं है। हस्तांतरण सुरक्षा प्राप्तकर्ता, प्रसंस्करण और लागू अनुबंध या पर्याप्तता व्यवस्था पर निर्भर है। विवरण के लिए गोपनीयता संपर्क से पूछें; यूरोपीय डेटा निवास विकल्प का वादा नहीं है।

10. Automated Decision-Making (GDPR Article 22)

ProcureLabs procurement decisions में सहायता के लिए automated processing का उपयोग करता है, जिसमें शामिल हैं:

• Transaction Integrity: संभावित irregularities (जैसे duplicate payments, split purchases, ghost vendors) के लिए invoices और transactions की automated scoring
• Supplier Risk Scoring: Financial, compliance और performance data पर आधारित automated composite risk assessments
• Compliance Flagging: संभावित regulatory या policy violations की automated identification

Automated decisions से संबंधित आपके अधिकार:

हम अपने AI features और automated decisions का एक written data protection impact assessment रखते हैं, जिसकी review कम से कम annually और जब भी उनमें significant बदलाव हो, की जाती है।

11. Age Restriction

ProcureLabs व्यवसाय-से-व्यवसाय एंटरप्राइज़ प्लेटफ़ॉर्म है। हमारी सेवाएँ 18 वर्ष से कम आयु के व्यक्तियों के लिए निर्देशित नहीं हैं और हम जानबूझकर उनसे व्यक्तिगत डेटा एकत्र नहीं करते। यदि आपकी आयु 18 वर्ष से कम है, तो आप इस सेवा का उपयोग नहीं कर सकते। साइन अप करने वाले प्रत्येक व्यक्ति को यह पुष्टि करनी होगी कि उनकी आयु 18 वर्ष या उससे अधिक है, और इस पुष्टि के बिना हम खाता नहीं बनाते। यदि आपको लगता है कि किसी नाबालिग ने हमें व्यक्तिगत डेटा प्रदान किया है, तो कृपया admin@procure-labs.com पर हमसे संपर्क करें।

12. इस Policy में Updates

हम समय-समय पर इस privacy policy को update कर सकते हैं। ऐसा करने पर हम इस page पर नया version publish करते हैं और ऊपर “Last updated” date बदलते हैं। ऐसे updates के बाद service का आपका निरंतर उपयोग revised policy की स्वीकृति माना जाएगा।