Privacybeleid

1. Verwerkingsverantwoordelijke

ProcureLabs Pte. Ltd. (UEN: 202606070W) bepaalt de doelen van accountbeheer, facturatie, beveiliging en marketing. Klantorganisaties bepalen doorgaans de doelen van persoonsgegevens voor inkoop; wij verwerken deze volgens hun toepasselijke instructies en overeenkomsten.

Neem voor vragen over gegevensbescherming contact op met onze Functionaris voor Gegevensbescherming via admin@procure-labs.com

Onze aangewezen functionaris vervult Singaporese PDPA-taken. Dit bevestigt geen AVG-benoeming of onafhankelijkheid; de afzonderlijke beoordeling van toepasselijkheid en onafhankelijkheid blijft open.

2. Gegevens die we verzamelen

We verzamelen en verwerken de volgende categorieën persoonsgegevens:

• Accountgegevens: E-mailadres, volledige naam, organisatienaam, het moment waarop u onze voorwaarden hebt aanvaard en de link naar uw profielfoto als u inlogt met Google
• Gebruiksgegevens: Pagina's en functies die u gebruikt, sessieduur en uw voorkeuren. Tracking van paginaweergaven en Google Analytics worden alleen uitgevoerd als u analysecookies aanvaardt.
• Procurementgegevens: Uitgavendata, leveranciersinformatie en andere bedrijfsgegevens die u uploadt
• AI-interacties: Chatberichten en vragen aan onze AI-assistenten
• Technische gegevens: IP-adres, browsertype en apparaatgegevens, inlogpogingen en actieve sessies, gebruikt voor beveiliging en analyses

ProcureLabs is niet van plan bijzondere categorieën persoonsgegevens te verwerken (zoals gezondheidsgegevens, religieuze overtuigingen of lidmaatschap van een vakbond), en ons Acceptable Use Policy verbiedt het uploaden daarvan. Wanneer onze geautomatiseerde controles dergelijke gegevens detecteren, worden deze uit de tekst verwijderd voordat die tekst via onze AI-orchestrator naar AI-providers wordt verzonden, en wordt een CSV-import waarvan de kolomkoppen deze gegevens benoemen, geweigerd. De controles herkennen uitsluitend Engelstalige formuleringen en detecteren niet alles, en de tekst die ze detecteren blijft in uw workspace opgeslagen totdat u deze verwijdert.

Persoonsgegevens die we van anderen ontvangen

Sommige persoonsgegevens zijn niet rechtstreeks van u afkomstig:

• Van uw organisatie: als deze gebruikmaakt van single sign-on of SCIM-provisioning, stuurt haar identiteitsprovider ons uw naam, e-mailadres en, indien geconfigureerd, de groepen die uw rol bepalen. Een beheerder kan ook uw e-mailadres invoeren om u uit te nodigen. Als uw organisatie Microsoft Teams koppelt, ontvangen we uw Teams-naam en ID wanneer u onze bot gebruikt. We gebruiken dit om uw account aan te maken en te beheren.
• Uit de documenten en gegevens die uw organisatie uploadt of koppelt: namen, zakelijke contactgegevens en functietitels van haar medewerkers en de medewerkers van haar leveranciers, evenals de namen en titels van personen die contracten ondertekenen, zoals aangetroffen in contracten, facturen, leverancierslijsten en gekoppelde bedrijfssystemen. Een koper kan u ook uitnodigen voor zijn leveranciersportaal door uw e-mailadres in te voeren, en een collega kan u toevoegen met uw naam en e-mailadres. Wij verwerken dit voor die organisatie, die bepaalt hoe het wordt gebruikt.
• Uit openbare registers en sanctielijsten, wanneer uw organisatie gebruikmaakt van leverancierszoekopdrachten, screening op belangenconflicten of sanctiescreening: namen, functies en benoemingsdata van bedrijfsfunctionarissen (UK Companies House, dat ook nationaliteit, beroep en woonland verstrekt; en OpenCorporates), openbare documenten uit US SEC EDGAR waarin de naam van een medewerker van uw organisatie wordt genoemd, en namen op overheidssanctielijsten (OFAC, EU, UN en UK) die overeenkomen met een leverancier. Wij gebruiken dit om leveranciers te beoordelen en, in opdracht van die organisatie, te screenen op belangenconflicten en sancties.

3. Rechtsgrond voor verwerking

Wij verwerken uw persoonsgegevens op basis van de volgende rechtsgronden:

• Uitvoering van de overeenkomst: Om onze diensten te leveren zoals overeengekomen in onze servicevoorwaarden
• Toestemming: AI-verwerking hangt af van klantinstructies, rechtsgrond, doel en dienstinstellingen. Optionele analyses vereisen de toepasselijke cookietoestemming. Een AI-voorkeur machtigt niet iedere verwerking, aanbieder of buitenlandse doorgifte.
• Gerechtvaardigd belang: Voor beveiliging, misbruikpreventie en verbetering van de dienstverlening
• Wettelijke verplichting: Om te voldoen aan toepasselijke wet- en regelgeving

4. Gegevens delen met derden

Wij delen gegevens met externe dienstverleners, waaronder de hieronder genoemde. De volledige lijst, met locaties, staat op onze pagina Subverwerkers.

Ondersteunende diensten zijn AWS-hosting, Supabase-database en authenticatie, Stripe-facturatie, Sentry-foutcontrole, Resend-e-mail, Inngest-workflows, Upstash-caching en snelheidslimieten, en Microsoft 365 / SharePoint voor zakelijke correspondentie en bedrijfsdocumenten. Gedeelde gegevens hangen af van functie en configuratie. Zie de subverwerkerspagina.

5. Uw rechten (GDPR)

Op grond van de Algemene Verordening Gegevensbescherming (GDPR) heeft u de volgende rechten:

Bij toepasselijke AVG vereist de wet een onverwijld antwoord binnen één kalendermaand na ontvangst. Complexiteit of aantal verzoeken kan maximaal twee extra maanden rechtvaardigen; de verlenging moet in de eerste maand met redenen worden meegedeeld. Andere wetten kunnen andere eisen stellen.

U kunt toepasselijke rechten per e-mail uitoefenen zonder actief account of abonnement. Een evenredige identiteitscontrole kan nodig zijn. Wij helpen de klant die verwerkingsverantwoordelijke is. Klachten zijn mogelijk bij de PDPC in Singapore of bij toepasselijke AVG de bevoegde toezichthouder.

6. Bewaren van gegevens

Wij bewaren uw gegevens gedurende de volgende perioden:

• Bewaring volgt de toepasselijke gegevenscategorie, klantinstructies, juridische bewaarverplichtingen en aanbiedersvoorwaarden. Chatgeschiedenis, afgeleide inhoud, auditgegevens en aanbiederslogboeken hebben afzonderlijke bewaarvoorwaarden. Verwijderingsverzoeken worden behandeld volgens de verwerkersovereenkomst en toepasselijk recht.

7. Gegevensbeveiliging

We implementeren beveiligingsmaatregelen volgens de industrienormen om je gegevens te beschermen:

• HTTPS beschermt gegevens onderweg; hostingdiensten versleutelen opgeslagen gegevens met dienstspecifiek sleutelbeheer. Toegang gebruikt afgebakende rechten en waar toepasselijk databasebeleid per rij. Meervoudige authenticatie geldt voor ondersteunde accounts en bepaalde bevoorrechte acties. Registratie, dekking en bewaring verschillen per dienst; klantsleutels vereisen een aparte afspraak en configuratie.
• Het SOC 2 Type II-voorbereidingsprogramma loopt; onze eigen audit is nog niet begonnen en er is geen afgerond Type II-rapport beschikbaar.

Als er een datalek is

Als een datalek persoonsgegevens betreft waarvoor wij verwerkingsverantwoordelijke zijn en waarschijnlijk een hoog risico of aanzienlijke schade voor u veroorzaakt, informeren wij u zonder onnodige vertraging. Wij melden een meldingsplichtig datalek binnen 3 kalenderdagen nadat wij dit hebben vastgesteld aan de Personal Data Protection Commission van Singapore en, wanneer de GDPR van toepassing is, binnen 72 uur nadat wij van het datalek kennis hebben genomen aan de bevoegde toezichthoudende autoriteit. Als het datalek gegevens betreft die wij voor uw organisatie verwerken, informeren wij uw organisatie binnen 72 uur; zij beslist hoe zij u informeert.

8. Cookies

Wij gebruiken cookies en vergelijkbare technologieën voor:

• Essentieel: Authenticatie en beveiliging (verplicht)
• Analytics: Inzicht in gebruikspatronen (optioneel)
• Voorkeuren: Uw instellingen onthouden, zoals uw taal

U kunt uw cookievoorkeuren op elk moment wijzigen via “Cookie preferences” in de voettekst van de site of via Settings → Account. Voor een gedetailleerde lijst met cookies, zie ons Cookiebeleid.

9. Internationale doorgiften

Onze hostingadministratie vermeldt Singapore als primaire locatie; de werkelijke locaties van de toepassings- en databasediensten moeten nog worden geverifieerd. Aanbieders kunnen elders verwerken, waaronder de VS; opslag in Singapore betekent niet dat alle verwerking daar blijft. Doorgiftewaarborgen hangen af van ontvanger, verwerking en toepasselijke contractuele of adequaatheidsregelingen. Vraag onze privacycontactpersoon om details; Europese gegevensresidentie wordt niet beloofd.

10. Geautomatiseerde besluitvorming (GDPR Artikel 22)

ProcureLabs gebruikt geautomatiseerde verwerking ter ondersteuning van inkoopbeslissingen, waaronder:

• Transactie-integriteit: Geautomatiseerde scoring van facturen en transacties op mogelijke onregelmatigheden (bijv. dubbele betalingen, opgesplitste aankopen, fictieve leveranciers)
• Leveranciersrisicoscoring: Geautomatiseerde samengestelde risicobeoordelingen op basis van financiële, compliance- en prestatiegegevens
• Compliance-markering: Geautomatiseerde identificatie van mogelijke overtredingen van regelgeving of beleid

Uw rechten met betrekking tot geautomatiseerde besluiten:

Wij houden een schriftelijke gegevensbeschermingseffectbeoordeling bij van onze AI-functies en geautomatiseerde besluiten. Deze wordt ten minste jaarlijks beoordeeld en telkens wanneer ze ingrijpend veranderen.

11. Leeftijdsbeperking

ProcureLabs is een business-to-business enterpriseplatform. Onze diensten zijn niet gericht op personen jonger dan 18 jaar en wij verzamelen niet bewust persoonsgegevens van hen. Als je jonger bent dan 18, mag je deze dienst niet gebruiken. Iedereen die zich registreert, moet bevestigen dat hij of zij 18 jaar of ouder is; zonder die bevestiging maken wij het account niet aan. Als je denkt dat een minderjarige persoonsgegevens aan ons heeft verstrekt, neem dan contact met ons op via admin@procure-labs.com.

12. Updates van dit beleid

Wij kunnen dit privacybeleid van tijd tot tijd bijwerken. Wanneer wij dat doen, publiceren wij de nieuwe versie op deze pagina en wijzigen wij de datum “Last updated” bovenaan. Als u de service na dergelijke updates blijft gebruiken, betekent dit dat u het herziene beleid aanvaardt.