Informativa sulla privacy

1. Titolare del trattamento

ProcureLabs Pte. Ltd. (UEN: 202606070W) determina le finalità dei propri dati di gestione degli account, fatturazione, sicurezza e marketing. Le organizzazioni clienti normalmente determinano le finalità dei dati personali forniti per gli acquisti; li trattiamo secondo le loro istruzioni e gli accordi applicabili.

Per qualsiasi richiesta relativa alla protezione dei dati, contatta il nostro Responsabile della protezione dei dati all'indirizzo admin@procure-labs.com

Il nostro responsabile designato svolge le funzioni previste dalla PDPA di Singapore. La designazione non stabilisce una nomina o indipendenza ai sensi del GDPR; la valutazione separata di applicabilità e indipendenza rimane aperta.

2. Dati che raccogliamo

Raccogliamo e trattiamo le seguenti categorie di dati personali:

• Informazioni sull’account: Indirizzo e-mail, nome e cognome, nome dell’organizzazione, data di accettazione dei nostri termini e link all’immagine del profilo se accedi con Google
• Dati di utilizzo: Pagine e funzionalità utilizzate, durata della sessione e preferenze. Il tracciamento delle visualizzazioni di pagina e Google Analytics vengono eseguiti solo se accetti i cookie analitici.
• Dati relativi agli acquisti: Dati sulla spesa, informazioni sui fornitori e altri dati aziendali caricati
• Interazioni con l’AI: Messaggi e richieste nelle chat con i nostri assistenti AI
• Dati tecnici: Indirizzo IP, tipo di browser e informazioni sul dispositivo, tentativi di accesso e sessioni attive, utilizzati per la sicurezza e l’analisi

ProcureLabs non intende trattare categorie particolari di dati personali (come dati relativi alla salute, convinzioni religiose o appartenenza sindacale) e la nostra Acceptable Use Policy ne vieta il caricamento. Quando i nostri controlli automatizzati rilevano tali dati, questi vengono rimossi dal testo prima che il testo venga inviato ai fornitori di AI tramite il nostro orchestratore AI, e un’importazione CSV le cui intestazioni di colonna li identificano viene rifiutata. I controlli riconoscono solo formulazioni in inglese e non rilevano tutto; inoltre, il testo rilevato rimane memorizzato nel tuo workspace finché non lo elimini.

Dati personali che riceviamo da altri

Alcuni dati personali non provengono direttamente da te:

• Dalla vostra organizzazione: se utilizza il single sign-on o il provisioning SCIM, il suo provider di identità ci invia il vostro nome, indirizzo email e, se configurati, i gruppi che definiscono il vostro ruolo. In alternativa, un amministratore può inserire il vostro indirizzo email per invitarvi. Se la vostra organizzazione collega Microsoft Teams, riceviamo il vostro nome e ID Teams quando utilizzate il nostro bot. Utilizziamo questi dati per creare e gestire il vostro account.
• Dai documenti e dai dati che la vostra organizzazione carica o collega: nomi, dati di contatto aziendali e qualifiche professionali del personale dell'organizzazione e del personale dei suoi fornitori, nonché i nomi e le qualifiche delle persone che firmano i contratti, presenti nei contratti, nelle fatture, negli elenchi dei fornitori e nei sistemi aziendali collegati. Un acquirente può inoltre invitarvi al proprio portale fornitori inserendo il vostro indirizzo email, e un collega può aggiungervi con il vostro nome e indirizzo email. Trattiamo questi dati per conto di tale organizzazione, che decide come utilizzarli.
• Da registri pubblici e liste di sanzioni, quando la vostra organizzazione utilizza la ricerca di fornitori, il controllo dei conflitti di interesse o lo screening delle sanzioni: nomi, ruoli e date di nomina dei dirigenti societari (UK Companies House, che fornisce anche nazionalità, professione e Paese di residenza; e OpenCorporates), documenti pubblici depositati presso US SEC EDGAR che menzionano il nome di un membro del personale della vostra organizzazione, e nomi presenti nelle liste governative delle sanzioni (OFAC, UE, ONU e Regno Unito) che corrispondono a un fornitore. Utilizziamo questi dati per valutare i fornitori e verificare la presenza di conflitti di interesse e sanzioni, secondo le istruzioni di tale organizzazione.

3. Base giuridica del trattamento

Trattiamo i vostri dati personali sulla base delle seguenti basi giuridiche:

• Esecuzione del contratto: Per fornire i nostri servizi come concordato nei nostri termini di servizio
• Consenso: Il trattamento IA dipende dalle istruzioni e dalla base giuridica del cliente, dalla finalità e dalle impostazioni del servizio. Le analisi facoltative richiedono il relativo consenso ai cookie. Una preferenza IA non autorizza da sola ogni finalità, fornitore o trasferimento estero.
• Legittimo interesse: Per la sicurezza, la prevenzione degli abusi e il miglioramento del servizio
• Obbligo di legge: Per rispettare le leggi e i regolamenti applicabili

4. Condivisione dei dati con terze parti

Condividiamo i dati con fornitori di servizi terzi, inclusi quelli indicati di seguito. L'elenco completo, con le relative ubicazioni, è disponibile nella nostra pagina Subprocessor.

I servizi comprendono hosting AWS, database e autenticazione Supabase, fatturazione Stripe, monitoraggio errori Sentry, email Resend, flussi Inngest, cache e limiti Upstash, e Microsoft 365 / SharePoint per corrispondenza e documenti aziendali. I dati condivisi dipendono da funzione e configurazione. Consultare la pagina dei sub-responsabili.

5. I vostri diritti (GDPR)

Ai sensi del Regolamento generale sulla protezione dei dati (GDPR), avete i seguenti diritti:

Quando si applica il GDPR, la legge richiede una risposta senza ingiustificato ritardo entro un mese di calendario dal ricevimento. Complessità o numero delle richieste possono giustificare fino a due ulteriori mesi; la proroga deve essere comunicata e motivata entro il primo mese. Altre leggi possono avere requisiti diversi.

È possibile esercitare i diritti applicabili via email senza account o abbonamento attivo. Possiamo richiedere una verifica proporzionata dell’identità. Per dati controllati dal cliente assistiamo il titolare. È possibile rivolgersi alla PDPC di Singapore o, quando si applica il GDPR, all’autorità competente.

6. Conservazione dei dati

Conserviamo i vostri dati per i seguenti periodi:

• La conservazione segue la categoria di dati, le istruzioni del cliente, gli obblighi di preservazione legale e le condizioni del fornitore. Cronologia delle conversazioni, contenuti derivati, registri di audit e log del fornitore hanno condizioni di conservazione distinte. Le richieste di cancellazione sono gestite secondo l’accordo sul trattamento dei dati e la legge applicabile.

7. Sicurezza dei dati

Applichiamo misure di sicurezza conformi agli standard del settore per proteggere i tuoi dati:

• HTTPS protegge i dati in transito e i servizi di hosting cifrano i dati conservati con gestione delle chiavi specifica. Gli accessi dei clienti usano permessi circoscritti e, ove applicabili, politiche di database a livello di riga. L’autenticazione multifattore riguarda account compatibili e specifiche azioni privilegiate. Registri, copertura e conservazione dipendono dal servizio; le chiavi gestite dal cliente richiedono accordo e configurazione separati.
• Il programma di preparazione a SOC 2 Type II è in corso; il nostro audit non è ancora iniziato e non è disponibile alcun report Type II completato.

In caso di violazione dei dati

Se una violazione riguarda dati personali per i quali siamo titolari del trattamento e può comportare un rischio elevato per voi o causarvi un danno significativo, ve lo comunicheremo senza ingiustificato ritardo. Informiamo la Personal Data Protection Commission di Singapore entro 3 giorni di calendario dalla valutazione secondo cui una violazione deve essere notificata e, quando si applica il GDPR, l'autorità di controllo competente entro 72 ore dal momento in cui veniamo a conoscenza della violazione. Se la violazione riguarda dati che trattiamo per la vostra organizzazione, informiamo la vostra organizzazione entro 72 ore, che decide come informarvi.

8. Cookie

Utilizziamo cookie e tecnologie simili per:

• Essenziali: Autenticazione e sicurezza (obbligatori)
• Analisi: Comprendere i modelli di utilizzo (facoltativo)
• Preferenze: Ricordare le vostre impostazioni, ad esempio la lingua

Potete modificare in qualsiasi momento le vostre preferenze relative ai cookie tramite “Cookie preferences” nel piè di pagina del sito o in Settings → Account. Per un elenco dettagliato dei cookie, consulta la nostra Cookie Policy.

9. Trasferimenti internazionali

I nostri registri di hosting indicano Singapore come sede principale; le sedi effettive dei servizi dell’applicazione e del database restano da verificare. Alcuni fornitori possono trattare dati altrove, anche negli Stati Uniti; conservarli a Singapore non significa che ogni trattamento vi rimanga. Le garanzie dipendono dal destinatario, dal trattamento e dagli accordi contrattuali o di adeguatezza applicabili. Contattare il referente privacy; non si promette un’opzione di residenza europea.

10. Processo decisionale automatizzato (articolo 22 del GDPR)

ProcureLabs utilizza trattamenti automatizzati per supportare le decisioni in materia di approvvigionamento, tra cui:

• Integrità delle transazioni: Valutazione automatizzata di fatture e transazioni per individuare potenziali irregolarità (ad es. pagamenti duplicati, acquisti frazionati, fornitori fittizi)
• Valutazione del rischio dei fornitori: Valutazioni automatizzate composite del rischio basate su dati finanziari, di conformità e relativi alle prestazioni
• Segnalazione di problemi di conformità: Individuazione automatizzata di potenziali violazioni normative o delle policy

I vostri diritti in relazione alle decisioni automatizzate:

Conserviamo una valutazione d'impatto sulla protezione dei dati relativa alle nostre funzionalità di IA e alle decisioni automatizzate, riesaminata almeno annualmente e ogni volta che tali funzionalità o decisioni cambiano in modo significativo.

11. Limiti di età

ProcureLabs è una piattaforma enterprise business-to-business. I nostri servizi non sono rivolti a persone di età inferiore a 18 anni e non raccogliamo consapevolmente dati personali di tali persone. Se hai meno di 18 anni, non puoi utilizzare questo servizio. Chiunque si registri deve confermare di avere almeno 18 anni e non creiamo l'account senza tale conferma. Se ritieni che un minore ci abbia fornito dati personali, contattaci all'indirizzo admin@procure-labs.com.

12. Aggiornamenti alla presente policy

Potremmo aggiornare periodicamente la presente informativa sulla privacy. In tal caso, pubblichiamo la nuova versione su questa pagina e modifichiamo la data “Last updated” in alto. Il vostro uso continuato del servizio dopo tali aggiornamenti costituisce accettazione della policy modificata.