Polityka prywatności

1. Administrator danych

ProcureLabs Pte. Ltd. (UEN: 202606070W) ustala cele danych dotyczących kont, rozliczeń, bezpieczeństwa i marketingu. Organizacje klientów zwykle ustalają cele danych osobowych związanych z zakupami; przetwarzamy je zgodnie z ich instrukcjami i umowami.

W sprawach dotyczących ochrony danych skontaktuj się z naszym inspektorem ochrony danych pod adresem admin@procure-labs.com

Nasz wyznaczony inspektor wykonuje obowiązki singapurskiej PDPA. Nie oznacza to powołania lub niezależności w rozumieniu RODO; oddzielna ocena zastosowania RODO i niezależności pozostaje nierozstrzygnięta.

2. Gromadzone przez nas dane

Gromadzimy i przetwarzamy następujące kategorie danych osobowych:

• Informacje o koncie: Adres e-mail, imię i nazwisko, nazwa organizacji, data zaakceptowania przez Ciebie naszych warunków oraz link do zdjęcia profilowego, jeśli logujesz się za pomocą Google
• Dane dotyczące korzystania z usługi: Używane strony i funkcje, długość sesji oraz preferencje. Śledzenie wyświetleń stron i Google Analytics działają wyłącznie po zaakceptowaniu przez Ciebie analitycznych plików cookie.
• Dane dotyczące zakupów: Dane dotyczące wydatków, informacje o dostawcach i inne dane biznesowe przesyłane przez Ciebie
• Interakcje z AI: Wiadomości na czacie i zapytania kierowane do naszych asystentów AI
• Dane techniczne: Adres IP, typ przeglądarki i informacje o urządzeniu, próby logowania i aktywne sesje, wykorzystywane do celów bezpieczeństwa i analityki

ProcureLabs nie zamierza przetwarzać szczególnych kategorii danych osobowych (takich jak dane dotyczące zdrowia, przekonań religijnych lub członkostwa w związkach zawodowych), a nasza Polityka dopuszczalnego użytkowania zabrania ich przesyłania. Jeśli nasze automatyczne kontrole wykryją takie dane, są one usuwane z tekstu przed wysłaniem tego tekstu do dostawców AI za pośrednictwem naszego orkiestratora AI, a import CSV, którego nagłówki kolumn wskazują na takie dane, zostaje odrzucony. Kontrole rozpoznają wyłącznie angielskie sformułowania i nie wykrywają wszystkiego, a wykryty tekst pozostaje przechowywany w Twoim obszarze roboczym do czasu jego usunięcia przez Ciebie.

Dane osobowe otrzymywane od innych osób

Niektóre dane osobowe nie pochodzą bezpośrednio od Ciebie:

• Od Twojej organizacji: jeśli korzysta ona z jednokrotnego logowania lub aprowizacji SCIM, jej dostawca tożsamości przesyła nam Twoje imię i nazwisko, adres e-mail oraz, jeśli zostały skonfigurowane, grupy określające Twoją rolę. Administrator może zamiast tego wprowadzić Twój adres e-mail, aby Cię zaprosić. Jeśli Twoja organizacja połączy Microsoft Teams, otrzymamy Twoją nazwę i identyfikator Teams, gdy użyjesz naszego bota. Używamy tych danych do utworzenia i obsługi Twojego konta.
• Z dokumentów i danych przesyłanych lub łączonych przez Twoją organizację: imiona i nazwiska, służbowe dane kontaktowe oraz stanowiska jej pracowników i pracowników jej dostawców, a także imiona i nazwiska oraz stanowiska osób podpisujących umowy, znajdujące się w umowach, fakturach, wykazach dostawców i połączonych systemach biznesowych. Nabywca może również zaprosić Cię do swojego portalu dostawców, wprowadzając Twój adres e-mail, a współpracownik może dodać Cię, podając Twoje imię i nazwisko oraz adres e-mail. Przetwarzamy te dane na rzecz tej organizacji, która decyduje o sposobie ich wykorzystywania.
• Z publicznych rejestrów i list sankcyjnych, gdy Twoja organizacja korzysta z wyszukiwania dostawców, weryfikacji konfliktu interesów lub kontroli sankcyjnej: imiona i nazwiska osób pełniących funkcje w spółkach, ich role i daty powołania (UK Companies House, który podaje również obywatelstwo, zawód i kraj zamieszkania, oraz OpenCorporates), publiczne zgłoszenia US SEC EDGAR zawierające imię i nazwisko pracownika Twojej organizacji oraz nazwiska na rządowych listach sankcyjnych (OFAC, UE, ONZ i Wielkiej Brytanii) zgodne z danymi dostawcy. Wykorzystujemy te dane do oceny dostawców oraz kontroli konfliktów interesów i sankcji, zgodnie z instrukcjami tej organizacji.

3. Podstawa prawna przetwarzania

Przetwarzamy Twoje dane osobowe na następujących podstawach prawnych:

• Wykonanie umowy: Aby świadczyć nasze usługi zgodnie z uzgodnionymi warunkami świadczenia usług
• Zgoda: Przetwarzanie przez AI zależy od instrukcji klienta, podstawy prawnej, celu i ustawień usługi. Opcjonalna analityka wymaga odpowiedniej zgody na pliki cookie. Preferencja AI nie upoważnia do każdego celu, dostawcy ani przekazania za granicę.
• Prawnie uzasadniony interes: W celu zapewnienia bezpieczeństwa, zapobiegania nadużyciom i ulepszania usług
• Obowiązek prawny: W celu przestrzegania obowiązujących przepisów prawa i regulacji

4. Udostępnianie danych podmiotom trzecim

Udostępniamy dane zewnętrznym usługodawcom, w tym wymienionym poniżej. Pełna lista wraz z lokalizacjami znajduje się na naszej stronie Subprocessors.

Usługi obejmują hosting AWS, bazę i uwierzytelnianie Supabase, rozliczenia Stripe, monitorowanie błędów Sentry, email Resend, przepływy Inngest, pamięć podręczną i limity Upstash oraz Microsoft 365 / SharePoint do korespondencji i dokumentów firmy. Zakres danych zależy od funkcji i konfiguracji. Zobacz stronę podmiotów przetwarzających.

5. Twoje prawa (GDPR)

Na mocy ogólnego rozporządzenia o ochronie danych (GDPR) przysługują Ci następujące prawa:

Gdy stosuje się RODO, prawo wymaga odpowiedzi bez zbędnej zwłoki w ciągu jednego miesiąca kalendarzowego od otrzymania. Złożoność lub liczba wniosków mogą uzasadniać do dwóch dalszych miesięcy; przedłużenie należy zgłosić z uzasadnieniem w pierwszym miesiącu. Inne przepisy mogą mieć inne wymogi.

Możesz korzystać z przysługujących praw przez email bez aktywnego konta ani subskrypcji. Możemy wymagać proporcjonalnego sprawdzenia tożsamości. Wspieramy klienta będącego administratorem jego danych. Skargę można złożyć do PDPC Singapuru lub, gdy stosuje się RODO, właściwego organu nadzorczego.

6. Przechowywanie danych

Przechowujemy Twoje dane przez następujące okresy:

• Przechowywanie zależy od kategorii danych, instrukcji klienta, prawnych obowiązków zachowania danych i warunków dostawcy. Historia czatu, treści pochodne, zapisy audytowe i dzienniki dostawcy mają odrębne warunki przechowywania. Wnioski o usunięcie są realizowane zgodnie z umową powierzenia przetwarzania danych i obowiązującym prawem.

7. Bezpieczeństwo danych

Stosujemy standardowe w branży środki bezpieczeństwa w celu ochrony Twoich danych:

• HTTPS chroni transmisję; hosting szyfruje zapisane dane z zarządzaniem kluczami właściwym dla usługi. Dostęp opiera się na ograniczonych uprawnieniach i, gdy mają zastosowanie, zasadach bazy danych na poziomie wierszy. MFA dotyczy obsługiwanych kont i określonych działań uprzywilejowanych. Rejestry, zakres i retencja zależą od usługi; klucze klienta wymagają osobnej umowy i konfiguracji.
• Program przygotowania do SOC 2 Type II jest w toku; nasz własny audyt jeszcze się nie rozpoczął i nie jest dostępny żaden ukończony raport Type II.

W przypadku naruszenia bezpieczeństwa danych

Jeśli naruszenie dotyczy danych osobowych, dla których jesteśmy administratorem, i prawdopodobnie wiąże się z wysokim ryzykiem lub może wyrządzić Ci znaczną szkodę, poinformujemy Cię bez zbędnej zwłoki. Powiadamiamy Singapore's Personal Data Protection Commission w ciągu 3 dni kalendarzowych od stwierdzenia, że naruszenie podlega zgłoszeniu, a w przypadkach, gdy zastosowanie ma GDPR, właściwy organ nadzorczy w ciągu 72 godzin od uzyskania wiedzy o naruszeniu. Jeśli naruszenie dotyczy danych przetwarzanych przez nas na rzecz Twojej organizacji, poinformujemy ją w ciągu 72 godzin, a ona zdecyduje, jak Cię o tym powiadomić.

8. Pliki cookie

Używamy plików cookie i podobnych technologii w celu:

• Niezbędne: Uwierzytelniania i bezpieczeństwa (wymagane)
• Analityki: Zrozumienia sposobu korzystania z usługi (opcjonalne)
• Preferencji: Zapamiętywania ustawień, takich jak język

W dowolnym momencie możesz zmienić preferencje dotyczące plików cookie, wybierając „Preferencje dotyczące plików cookie” w stopce witryny lub w Ustawienia → Konto. Szczegółową listę plików cookie znajdziesz w naszej Polityce plików cookie.

9. Transfery międzynarodowe

Nasze rejestry hostingu wskazują Singapur jako główną lokalizację; rzeczywiste lokalizacje usług aplikacji i bazy danych nadal wymagają weryfikacji. Dostawcy mogą przetwarzać dane gdzie indziej, także w USA; przechowywanie w Singapurze nie oznacza wyłącznie lokalnego przetwarzania. Zabezpieczenia transferów zależą od odbiorcy, przetwarzania i odpowiednich umów lub decyzji o adekwatności. Szczegóły uzyskasz u kontaktu ds. prywatności; nie obiecujemy europejskiej rezydencji danych.

10. Zautomatyzowane podejmowanie decyzji (art. 22 GDPR)

ProcureLabs wykorzystuje zautomatyzowane przetwarzanie do wspierania decyzji dotyczących zakupów, w tym:

• Integralności transakcji: Automatyczna ocena faktur i transakcji pod kątem potencjalnych nieprawidłowości (np. duplikatów płatności, dzielonych zakupów, fikcyjnych dostawców)
• Oceny ryzyka dostawcy: Automatyczne, zbiorcze oceny ryzyka na podstawie danych finansowych, dotyczących zgodności i wyników
• Oznaczania niezgodności: Automatyczne wykrywanie potencjalnych naruszeń przepisów lub zasad

Twoje prawa dotyczące zautomatyzowanych decyzji:

Prowadzimy pisemną ocenę skutków dla ochrony danych dotyczącą naszych funkcji AI i zautomatyzowanych decyzji, przeglądaną co najmniej raz w roku oraz za każdym razem, gdy funkcje te ulegają istotnej zmianie.

11. Ograniczenie wiekowe

ProcureLabs to platforma dla przedsiębiorstw działających między firmami. Nasze usługi nie są kierowane do osób poniżej 18. roku życia i świadomie nie gromadzimy od nich danych osobowych. Jeśli masz mniej niż 18 lat, nie możesz korzystać z tej usługi. Każda osoba rejestrująca się musi potwierdzić, że ma 18 lat lub więcej, a bez tego potwierdzenia nie tworzymy konta. Jeśli uważasz, że osoba małoletnia przekazała nam dane osobowe, skontaktuj się z nami pod adresem admin@procure-labs.com.

12. Aktualizacje niniejszej polityki

Niniejsza polityka prywatności może być okresowo aktualizowana. W takim przypadku publikujemy nową wersję na tej stronie i zmieniamy datę „Ostatnia aktualizacja” u góry strony. Dalsze korzystanie z usługi po takich aktualizacjach oznacza akceptację zmienionej polityki.