プライバシーポリシー

1. データ管理者

ProcureLabs Pte. Ltd.（UEN: 202606070W）はアカウント管理、請求、安全管理、マーケティング記録の目的を決めます。通常、調達用個人データの目的は顧客組織が決め、当社は適用される指示と契約に従って処理します。

データ保護に関するお問い合わせは、当社のデータ保護責任者（admin@procure-labs.com）までご連絡ください

指定されたデータ保護責任者はシンガポールPDPAの責務を担います。これはGDPR上の任命や独立性を確立せず、別途の適用性・独立性評価は未解決です。

2. 収集するデータ

当社は、次のカテゴリーの個人データを収集および処理します。

• アカウント情報： メールアドレス、氏名、組織名、規約に同意した日時、およびGoogleでサインインする場合のプロフィール画像リンク
• 利用データ： 利用するページおよび機能、セッション時間、ならびに設定。ページビュー追跡およびGoogle Analyticsは、分析Cookieに同意した場合にのみ実行されます。
• 調達データ： アップロードする支出データ、サプライヤー情報、その他の業務データ
• AIとのやり取り： AIアシスタントとのチャットメッセージおよびクエリ
• 技術データ： IPアドレス、ブラウザーの種類とデバイス情報、サインイン試行およびアクティブセッション。セキュリティおよび分析に使用されます

ProcureLabsは、個人データの特別なカテゴリー（健康、宗教的信条、労働組合への加入など）を処理する意図はなく、Acceptable Use Policyによりこれらのアップロードを禁止しています。自動チェックがそのようなデータを検出した場合、AIオーケストレーターを通じてAIプロバイダーにテキストを送信する前に、テキストから削除されます。また、列ヘッダーにその旨を示すCSVインポートは拒否されます。チェックは英語の表現のみを認識するため、すべてを検出できるわけではありません。検出されたテキストは、削除するまでワークスペースに保存されます。

他者から受け取る個人データ

一部の個人データは、お客様から直接提供されるものではありません。

• 組織から：シングルサインオンまたはSCIMプロビジョニングを使用している場合、組織のIDプロバイダーから、お客様の氏名、メールアドレス、および設定されている場合は役割を設定するグループが当社に送信されます。管理者がメールアドレスを入力して招待する場合もあります。組織がMicrosoft Teamsに接続している場合、当社のボットを使用すると、Teamsの名前とIDを受け取ります。これらの情報を使用して、お客様のアカウントを作成および運用します。
• 組織がアップロードまたは接続する文書およびデータから：契約書、請求書、サプライヤー一覧、接続された業務システムに記載された、組織の従業員およびサプライヤーの従業員の氏名、業務上の連絡先情報、役職、ならびに契約に署名する人の氏名および役職。購入者がメールアドレスを入力してサプライヤーポータルに招待する場合や、同僚がお客様の氏名とメールアドレスを使って追加する場合もあります。当社はこれらをその組織のために処理し、その利用方法は組織が決定します。
• 公開登記簿および制裁リストから（組織がサプライヤー検索、利益相反または制裁スクリーニングを利用する場合）：会社役員の氏名、役割、就任日（UK Companies Houseからは国籍、職業、居住国も取得されます。また、OpenCorporatesも使用します）、お客様の組織の従業員の氏名に言及するUS SEC EDGARの公開提出書類、ならびにサプライヤーと一致する政府制裁リスト（OFAC、EU、UN、UK）上の氏名。当社は、その組織の指示に基づき、サプライヤーの評価、利益相反および制裁のスクリーニングにこれらを使用します。

3. 処理の法的根拠

当社は、以下の法的根拠に基づいてお客様の個人データを処理します。

• 契約の履行： 利用規約で合意したとおりに当社のサービスを提供するため
• 同意： AI処理は顧客の指示、法的根拠、目的、サービス設定に従います。任意の分析には適切なCookie同意が必要です。AI設定だけで全目的、全提供者、国外移転が許可されるわけではありません。
• 正当な利益： セキュリティ、不正利用の防止、サービスの改善のため
• 法的義務： 適用される法律および規制を遵守するため

4. 第三者とのデータ共有

当社は、以下を含む第三者のサービスプロバイダーとデータを共有します。所在地を含む完全な一覧は、当社のサブプロセッサーページに掲載しています。

支援サービスにはAWSホスティング、Supabaseデータベース・認証、Stripe請求、Sentryエラー監視、Resendメール、Inngestワークフロー、Upstashキャッシュ・レート制限、業務通信と社内文書のMicrosoft 365 / SharePointがあります。共有情報は機能と設定によります。一覧は復処理者ページをご覧ください。

5. お客様の権利 (GDPR)

一般データ保護規則 (GDPR) に基づき、お客様には以下の権利があります。

GDPR適用時、法律は不当な遅滞なく受領から暦の1か月以内に回答することを求めます。複雑さや件数により最大でさらに2か月延長する場合、最初の1か月以内に理由を添えて通知する必要があります。他法には異なる要件があり得ます。

有効なアカウントや契約がなくてもメールで適用される権利を行使できます。相応の本人確認をお願いする場合があります。顧客管理データでは管理者を支援します。シンガポールPDPCまたはGDPR適用時の管轄監督機関に申立てできます。

6. データ保持

当社は、お客様のデータを以下の期間保持します。

• 保持は、対象のデータ分類、お客様の指示、法的な保全義務およびプロバイダーの条件に従います。チャット履歴、派生コンテンツ、監査記録およびプロバイダーのログには、それぞれの保持条件があります。削除の依頼は、データ処理契約と適用法に基づいて取り扱われます。

7. データセキュリティ

お客様のデータを保護するため、業界標準のセキュリティ対策を実施しています。

• HTTPSで通信を保護し、ホスティングサービスはサービス別の鍵管理で保存データを暗号化します。テナントアクセスには限定された権限と適用される行単位ポリシーを使います。多要素認証は対応する提供者アカウントと特定の特権操作に適用されます。安全記録、対象範囲、保存期間はサービスによって異なり、顧客管理鍵には別途の合意と設定が必要です。
• SOC 2 Type II の準備プログラムは進行中です。当社独自の監査はまだ開始されておらず、完成した Type II レポートは提供されていません。

データ侵害が発生した場合

侵害が、当社が管理者である個人データに影響し、高いリスクまたはお客様への重大な損害をもたらす可能性がある場合、当社は不当な遅滞なくお知らせします。侵害が通知対象であると評価してから3 calendar days以内にSingapore's Personal Data Protection Commissionへ通知し、GDPRが適用される場合は、侵害を認識してから72 hours以内に所管の監督当局へ通知します。侵害が当社がお客様の組織のために処理するデータに影響する場合、72 hours以内に組織へ通知し、お客様への通知方法は組織が決定します。

8. Cookie

当社は、以下の目的でCookieおよび類似技術を使用します。

• 必須： 認証およびセキュリティ（必須）
• 分析： 利用パターンの把握（任意）
• 設定： 言語などのお客様の設定の記憶

サイトフッターの「Cookie preferences」またはSettings → Accountから、いつでもCookie設定を変更できます。 クッキーの詳細な一覧については、クッキーポリシーをご覧ください。

9. 国際移転

当社のホスティング記録ではシンガポールが主な所在地とされていますが、アプリとデータベースのサービスの実際の所在地は引き続き確認が必要です。提供者は米国など他国で処理する場合があり、シンガポールでの保存は全処理が国内に留まることを意味しません。移転保護は受領者、処理、適用される契約や十分性の枠組みに依存します。詳細はプライバシー窓口へ。欧州のデータ所在地オプションは約束しません。

10. 自動意思決定 (GDPR Article 22)

ProcureLabsは、以下を含む調達上の意思決定を支援するために自動処理を使用します。

• 取引の完全性： 不正の可能性（例：重複支払い、分割購入、架空サプライヤー）を検出するための請求書および取引の自動スコアリング
• サプライヤーリスクスコアリング： 財務、コンプライアンス、業績データに基づく複合的なリスクの自動評価
• コンプライアンスフラグ： 規制または社内ポリシー違反の可能性を自動的に特定

自動意思決定に関するお客様の権利：

AI機能および自動化された意思決定について、文書化したデータ保護影響評価を保持し、少なくとも年1回、また大幅な変更があるたびに見直しています。

11. 年齢制限

ProcureLabsは法人向けの企業間プラットフォームです。当社のサービスは未成年者を対象としておらず、18歳未満の方の個人データを認識しながら収集することはありません。18歳未満の方は本サービスを利用できません。登録する方は18歳以上であることを確認する必要があり、その確認なしにアカウントを作成することはありません。未成年者が当社に個人データを提供したと思われる場合は、admin@procure-labs.comまでご連絡ください。

12. 本ポリシーの更新

当社は、本プライバシーポリシーを随時更新する場合があります。その際は、このページに新しいバージョンを掲載し、上部の「Last updated」日付を変更します。更新後もサービスを継続して利用することにより、改訂後のポリシーに同意したものとみなされます。